II SÉRIE-E — NÚMERO 21 8  Artigo 15.o Tratamento de dados pessoais em decorrência de vínculo laboral ou semelhante 1 – O tratamento dos dados pessoais para finalidades inerentes a vínculo laboral ou semelhante (e.g. pagamento de salários, dedução de quotizações ou cobrança de impostos) deve ser o estritamente necessário. 2 – A análise da proporcionalidade do tratamento a efetuar deve garantir o equilíbrio entre os direitos de privacidade dos funcionários e o interesse legítimo no tratamento. 3 – Caberá ao EPD, em cooperação com as unidades competentes, definir medidas técnicas e organizativas para assegurar que, por defeito, só são tratados os dados pessoais necessários para cada finalidade específica do tratamento. 4 – Deve ser também garantido o princípio da minimização de dados sempre que se decida sobre a utilização de novas tecnologias. Artigo 16.o Contratos com terceiros 1 – Toda a contratação com terceiros que implique o acesso a dados pessoais sob a responsabilidade da Assembleia da República, é precedida de uma análise das garantias de cumprimento do RGPD e da implementação de medidas de segurança por parte de tais terceiros. 2 – Os contratos a celebrar devem incluir cláusulas específicas de proteção de dados que limitem o tratamento dos dados à execução do contrato e às instruções da Assembleia da República, bem como prever medidas de proteção dos dados por parte da entidade contratada. 3 – Após a cessação do contrato, a entidade contratada deve ser obrigada a devolver os dados pessoais à Assembleia da República e destruir todas as cópias dos mesmos, com exceção dos casos em que exista uma obrigação legal ou contratual da sua conservação. 4 – Quanto aos contratos já celebrados, a Assembleia da República procede, no prazo de 30 dias a contar da publicação do presente regulamento, ao inventário de terceiros que têm acesso direto ou indireto aos dados pessoais sob a sua responsabilidade, podendo, caso se justifique, rever os contratos existentes para que os mesmos fiquem em conformidade com as obrigações impostas pelo RGPD. Artigo 17.o Subcontratantes 1 – Quando a Assembleia da República recorra a entidades subcontratadas para, em seu nome e de acordo com as suas instruções, procederem ao tratamento de dados pessoais, o contrato deve definir claramente a duração do serviço, a natureza e as finalidades do tratamento dos dados pessoais, o tipo de dados pessoais, as categorias de titulares de dados, a obrigação de notificar uma violação de dados pessoais, bem como indicar as obrigações da entidade subcontratada no que concerne à segurança da informação e confidencialidade. 2 – As entidades subcontratadas devem fornecer à Assembleia da República a documentação necessária para demonstrar o adequado cumprimento de todas as obrigações referentes à proteção de dados pessoais, em especial no RGPD. 3 – Essas entidades não poderão transmitir os dados pessoais a outras entidades sem que a Assembleia da República tenha dado, previamente e por escrito, autorização para tal. 4 – Quando o contrato cesse, essas entidades devem ser obrigadas a devolver os dados pessoais à Assembleia da República e a destruir todas as cópias dos mesmos, com exceção dos casos em que exista uma obrigação legal ou contratual da sua conservação.