# Jornal Oficial L 199/2021

| | ISSN 1977-0774 |
| --- | --- |
| Jornal Oficial
  da União Europeia | L 199 |
| | |
| Edição em língua portuguesa | Legislação | 64.° ano7 de junho de 2021 |

ISSN 1977-0774

Jornal Oficial

da União Europeia

L 199

Edição em língua portuguesa

Legislação

64.° ano7 de junho de 2021

---

| Índice | | II   Atos não legislativos | Página |
| --- | --- | --- | --- |
| | | REGULAMENTOS |
| | * | Regulamento de Execução (UE) 2021/909 da Comissão, de 31 de maio de 2021, relativo à classificação de determinadas mercadorias na Nomenclatura Combinada | 1 |
| | * | Regulamento de Execução (UE) 2021/910 da Comissão, de 31 de maio de 2021, relativo à classificação de determinadas mercadorias na Nomenclatura Combinada | 4 |
| | * | Regulamento de Execução (UE) 2021/911 da Comissão, de 31 de maio de 2021, relativo à classificação de determinadas mercadorias na Nomenclatura Combinada | 7 |
| | * | Regulamento de Execução (UE) 2021/912 da Comissão, de 4 de junho de 2021, que autoriza a alteração das especificações do novo alimento Lacto-N-neotetraose (fonte microbiana) e que altera o Regulamento de Execução (UE) 2017/2470 (
  1
  ) | 10 |
| | | DECISÕES |
| | * | Decisão de Execução (UE) 2021/913 da Comissão, de 3 de junho de 2021, relativa às normas harmonizadas aplicáveis às máquinas de lavar louça para uso doméstico elaboradas em apoio do Regulamento (UE) 2019/2022 e do Regulamento Delegado (UE) 2019/2017 | 13 |
| | * | Decisão de Execução (UE) 2021/915 da Comissão, de 4 de junho de 2021, relativa às cláusulas contratuais-tipo entre os responsáveis pelo tratamento de dados pessoais e os subcontratantes nos termos do artigo 28.o, n.o 7, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho e do artigo 29.o, n.o 7, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (
  1
  ) | 18 |
| | * | Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021, relativa às cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para países terceiros nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (
  1
  ) | 31 |

Índice

II   Atos não legislativos

Página

REGULAMENTOS

*

Regulamento de Execução (UE) 2021/909 da Comissão, de 31 de maio de 2021, relativo à classificação de determinadas mercadorias na Nomenclatura Combinada

1

*

Regulamento de Execução (UE) 2021/910 da Comissão, de 31 de maio de 2021, relativo à classificação de determinadas mercadorias na Nomenclatura Combinada

4

*

Regulamento de Execução (UE) 2021/911 da Comissão, de 31 de maio de 2021, relativo à classificação de determinadas mercadorias na Nomenclatura Combinada

7

*

Regulamento de Execução (UE) 2021/912 da Comissão, de 4 de junho de 2021, que autoriza a alteração das especificações do novo alimento Lacto-N-neotetraose (fonte microbiana) e que altera o Regulamento de Execução (UE) 2017/2470 (
  1
  )

N

1

10

DECISÕES

*

Decisão de Execução (UE) 2021/913 da Comissão, de 3 de junho de 2021, relativa às normas harmonizadas aplicáveis às máquinas de lavar louça para uso doméstico elaboradas em apoio do Regulamento (UE) 2019/2022 e do Regulamento Delegado (UE) 2019/2017

13

*

Decisão de Execução (UE) 2021/915 da Comissão, de 4 de junho de 2021, relativa às cláusulas contratuais-tipo entre os responsáveis pelo tratamento de dados pessoais e os subcontratantes nos termos do artigo 28.o, n.o 7, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho e do artigo 29.o, n.o 7, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (
  1
  )

o

o

o

o

1

18

*

Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021, relativa às cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para países terceiros nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (
  1
  )

1

31

| | |
| --- | --- |
| | (1)   Texto relevante para efeitos do EEE. |

---

(1)   Texto relevante para efeitos do EEE.

1

| PT | Os actos cujos títulos são impressos em tipo fino são actos de gestão corrente adoptados no âmbito da política agrícola e que têm, em geral, um período de validade limitado.
  Os actos cujos títulos são impressos em tipo negro e precedidos de um asterisco são todos os restantes. |
| --- | --- |

PT

Os actos cujos títulos são impressos em tipo fino são actos de gestão corrente adoptados no âmbito da política agrícola e que têm, em geral, um período de validade limitado.

Os actos cujos títulos são impressos em tipo negro e precedidos de um asterisco são todos os restantes.

---

II Atos não legislativos

REGULAMENTOS

| 7.6.2021 | PT | Jornal Oficial da União Europeia | L 199/1 |
| --- | --- | --- | --- |

7.6.2021

PT

Jornal Oficial da União Europeia

L 199/1

---

REGULAMENTO DE EXECUÇÃO (UE) 2021/909 DA COMISSÃO

de 31 de maio de 2021

relativo à classificação de determinadas mercadorias na Nomenclatura Combinada

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) n.o 952/2013 do Parlamento Europeu e do Conselho, de 9 de outubro de 2013, que estabelece o Código Aduaneiro da União (1), nomeadamente o artigo 57.o, n.o 4, e o artigo 58.o, n.o 2,

Considerando o seguinte:

| (1) | A fim de assegurar a aplicação uniforme da Nomenclatura Combinada anexa ao Regulamento (CEE) n.o 2658/87 do Conselho (2), importa adotar disposições relativas à classificação das mercadorias que figuram no anexo do presente regulamento. |
| --- | --- |

(1)

A fim de assegurar a aplicação uniforme da Nomenclatura Combinada anexa ao Regulamento (CEE) n.o 2658/87 do Conselho (2), importa adotar disposições relativas à classificação das mercadorias que figuram no anexo do presente regulamento.

| (2) | O Regulamento (CEE) n.o 2658/87 fixa as regras gerais para a interpretação da Nomenclatura Combinada. Essas regras aplicam-se igualmente a qualquer outra nomenclatura que retome a Nomenclatura Combinada total ou parcialmente ou acrescentando-lhe eventualmente subdivisões, e que esteja estabelecida por disposições específicas da União, com vista à aplicação de medidas pautais ou outras relativas ao comércio de mercadorias. |
| --- | --- |

(2)

O Regulamento (CEE) n.o 2658/87 fixa as regras gerais para a interpretação da Nomenclatura Combinada. Essas regras aplicam-se igualmente a qualquer outra nomenclatura que retome a Nomenclatura Combinada total ou parcialmente ou acrescentando-lhe eventualmente subdivisões, e que esteja estabelecida por disposições específicas da União, com vista à aplicação de medidas pautais ou outras relativas ao comércio de mercadorias.

| (3) | Em aplicação das referidas regras gerais, as mercadorias descritas na coluna 1 do quadro que figura no anexo devem ser classificadas nos códigos NC correspondentes, indicados na coluna 2, por força dos fundamentos estabelecidos na coluna 3 do referido quadro. |
| --- | --- |

(3)

Em aplicação das referidas regras gerais, as mercadorias descritas na coluna 1 do quadro que figura no anexo devem ser classificadas nos códigos NC correspondentes, indicados na coluna 2, por força dos fundamentos estabelecidos na coluna 3 do referido quadro.

| (4) | É oportuno que as informações pautais vinculativas emitidas em relação às mercadorias em causa no presente regulamento e que não estejam em conformidade com o disposto no presente regulamento possam continuar a ser invocadas pelos seus titulares, durante um determinado período, em conformidade com o artigo 34.o, n.o 9, do Regulamento (UE) n.o 952/2013. Esse período deve ser de três meses. |
| --- | --- |

(4)

É oportuno que as informações pautais vinculativas emitidas em relação às mercadorias em causa no presente regulamento e que não estejam em conformidade com o disposto no presente regulamento possam continuar a ser invocadas pelos seus titulares, durante um determinado período, em conformidade com o artigo 34.o, n.o 9, do Regulamento (UE) n.o 952/2013. Esse período deve ser de três meses.

| (5) | As medidas previstas no presente regulamento estão em conformidade com o parecer do Comité do Código Aduaneiro, |
| --- | --- |

(5)

As medidas previstas no presente regulamento estão em conformidade com o parecer do Comité do Código Aduaneiro,

ADOTOU O PRESENTE REGULAMENTO:

Artigo 1.o

As mercadorias descritas na coluna 1 do quadro em anexo devem ser classificadas na Nomenclatura Combinada nos códigos NC correspondentes, indicados na coluna 2 do referido quadro.

Artigo 2.o

As informações pautais vinculativas que não estejam em conformidade com o disposto no presente regulamento podem continuar a ser invocadas, em conformidade com o artigo 34.o, n.o 9, do Regulamento (UE) n.o 952/2013, por um período de três meses a contar da data de entrada em vigor do presente regulamento.

Artigo 3.o

O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.

Feito em Bruxelas, em 31 de maio de 2021.

Pela Comissão

Em nome da Presidente,

Gerassimos THOMAS

Diretor-Geral

Direção-Geral da Fiscalidade e da União Aduaneira

---

(1)  
  JO L 269 de 10.10.2013, p. 1.

1

(2)  Regulamento (CEE) n.o 2658/87 do Conselho, de 23 de julho de 1987, relativo à nomenclatura pautal e estatística e à pauta aduaneira comum (JO L 256 de 7.9.1987, p. 1).

2

o

---

ANEXO

| Descrição das mercadorias | Classificação (Código NC) | Fundamentos |
| --- | --- | --- |
| (1) | (2) | (3) |
| Artigo flexível (denominado esparguete de natação), em plástico alveolar (espuma plástica), com a forma de um tubo oco, e um comprimento e diâmetro, respetivamente, de aproximadamente 1 m e 8 cm. O artigo flutua na água e é apresentado para utilização como equipamento de flutuação, em conformidade com a norma europeia relativa aos equipamentos de flutuação para a aprendizagem de natação (EN 13138-2:2014). O artigo possui também características de amortecedor de choques e isolante térmico.
  Ver imagens  (*1) | 3926 90 97 | A classificação é determinada pelas disposições das Regras Gerais 1 e 6 para a interpretação da Nomenclatura Combinada e pelo descritivo dos códigos NC 3926 , 3926 90 e 3926 90 97 .
  Exclui-se a classificação na posição 9506 como artigos e equipamentos para cultura física, ginástica, atletismo, outros desportos ou jogos ao ar livre, porque, devido à sua forma simples e vulgar, o artigo não pode ser identificado como um artigo concebido para cultura física ou desporto da posição 9506 , ainda que, devido à sua capacidade para flutuar, o artigo cumpra a norma relativa aos equipamentos de flutuação para a aprendizagem de natação. Por outro lado, devido à sua forma simples e material vulgar, o artigo pode possuir outras finalidades (por exemplo, como amortecedor de choques quando se apresente enrolado à volta de postes; como isolante térmico quando seja colocado em torno de tubos; ou como um produto para divertimento de crianças).
  Do mesmo modo, exclui-se a classificação na posição 9503 como outros brinquedos, uma vez que o artigo não pode ser claramente identificado como sendo para divertimento de crianças ou adultos, dada a sua conceção.
  Por conseguinte, o artigo deve classificar-se de acordo com a sua matéria constitutiva (plástico).
  Pelo que deve ser classificado no código NC 3926 90 97 , como outras obras de plástico. |

Descrição das mercadorias

Classificação (Código NC)

Fundamentos

(1)

(2)

(3)

Artigo flexível (denominado esparguete de natação), em plástico alveolar (espuma plástica), com a forma de um tubo oco, e um comprimento e diâmetro, respetivamente, de aproximadamente 1 m e 8 cm. O artigo flutua na água e é apresentado para utilização como equipamento de flutuação, em conformidade com a norma europeia relativa aos equipamentos de flutuação para a aprendizagem de natação (EN 13138-2:2014). O artigo possui também características de amortecedor de choques e isolante térmico.

Ver imagens  (*1)

3926 90 97

A classificação é determinada pelas disposições das Regras Gerais 1 e 6 para a interpretação da Nomenclatura Combinada e pelo descritivo dos códigos NC 3926 , 3926 90 e 3926 90 97 .

Exclui-se a classificação na posição 9506 como artigos e equipamentos para cultura física, ginástica, atletismo, outros desportos ou jogos ao ar livre, porque, devido à sua forma simples e vulgar, o artigo não pode ser identificado como um artigo concebido para cultura física ou desporto da posição 9506 , ainda que, devido à sua capacidade para flutuar, o artigo cumpra a norma relativa aos equipamentos de flutuação para a aprendizagem de natação. Por outro lado, devido à sua forma simples e material vulgar, o artigo pode possuir outras finalidades (por exemplo, como amortecedor de choques quando se apresente enrolado à volta de postes; como isolante térmico quando seja colocado em torno de tubos; ou como um produto para divertimento de crianças).

Do mesmo modo, exclui-se a classificação na posição 9503 como outros brinquedos, uma vez que o artigo não pode ser claramente identificado como sendo para divertimento de crianças ou adultos, dada a sua conceção.

Por conseguinte, o artigo deve classificar-se de acordo com a sua matéria constitutiva (plástico).

Pelo que deve ser classificado no código NC 3926 90 97 , como outras obras de plástico.

---

(*1)  As imagens destinam-se a fins meramente informativos.

Image 1

---

| 7.6.2021 | PT | Jornal Oficial da União Europeia | L 199/4 |
| --- | --- | --- | --- |

7.6.2021

PT

Jornal Oficial da União Europeia

L 199/4

---

REGULAMENTO DE EXECUÇÃO (UE) 2021/910 DA COMISSÃO

de 31 de maio de 2021

relativo à classificação de determinadas mercadorias na Nomenclatura Combinada

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) n.o 952/2013 do Parlamento Europeu e do Conselho, de 9 de outubro de 2013, que estabelece o Código Aduaneiro da União (1), nomeadamente o artigo 57.o, n.o 4, e o artigo 58.o, n.o 2,

Considerando o seguinte:

| (1) | A fim de assegurar a aplicação uniforme da Nomenclatura Combinada anexa ao Regulamento (CEE) n.o 2658/87 do Conselho (2), importa adotar disposições relativas à classificação das mercadorias que figuram no anexo do presente regulamento. |
| --- | --- |

(1)

A fim de assegurar a aplicação uniforme da Nomenclatura Combinada anexa ao Regulamento (CEE) n.o 2658/87 do Conselho (2), importa adotar disposições relativas à classificação das mercadorias que figuram no anexo do presente regulamento.

| (2) | O Regulamento (CEE) n.o 2658/87 fixa as regras gerais para a interpretação da Nomenclatura Combinada. Essas regras aplicam-se igualmente a qualquer outra nomenclatura que retome a Nomenclatura Combinada total ou parcialmente ou acrescentando-lhe eventualmente subdivisões, e que esteja estabelecida por disposições específicas da União, com vista à aplicação de medidas pautais ou outras relativas ao comércio de mercadorias. |
| --- | --- |

(2)

O Regulamento (CEE) n.o 2658/87 fixa as regras gerais para a interpretação da Nomenclatura Combinada. Essas regras aplicam-se igualmente a qualquer outra nomenclatura que retome a Nomenclatura Combinada total ou parcialmente ou acrescentando-lhe eventualmente subdivisões, e que esteja estabelecida por disposições específicas da União, com vista à aplicação de medidas pautais ou outras relativas ao comércio de mercadorias.

| (3) | Em aplicação das referidas regras gerais, as mercadorias descritas na coluna 1 do quadro que figura no anexo devem ser classificadas nos códigos NC correspondentes, indicados na coluna 2, por força dos fundamentos estabelecidos na coluna 3 do referido quadro. |
| --- | --- |

(3)

Em aplicação das referidas regras gerais, as mercadorias descritas na coluna 1 do quadro que figura no anexo devem ser classificadas nos códigos NC correspondentes, indicados na coluna 2, por força dos fundamentos estabelecidos na coluna 3 do referido quadro.

| (4) | É oportuno que as informações pautais vinculativas emitidas em relação às mercadorias em causa no presente regulamento e que não estejam em conformidade com o disposto no presente regulamento possam continuar a ser invocadas pelos seus titulares, durante um determinado período, em conformidade com o artigo 34.o, n.o 9, do Regulamento (UE) n.o 952/2013. Esse período deve ser de três meses. |
| --- | --- |

(4)

É oportuno que as informações pautais vinculativas emitidas em relação às mercadorias em causa no presente regulamento e que não estejam em conformidade com o disposto no presente regulamento possam continuar a ser invocadas pelos seus titulares, durante um determinado período, em conformidade com o artigo 34.o, n.o 9, do Regulamento (UE) n.o 952/2013. Esse período deve ser de três meses.

| (5) | As medidas previstas no presente regulamento estão em conformidade com o parecer do Comité do Código Aduaneiro, |
| --- | --- |

(5)

As medidas previstas no presente regulamento estão em conformidade com o parecer do Comité do Código Aduaneiro,

ADOTOU O PRESENTE REGULAMENTO:

Artigo 1.o

As mercadorias descritas na coluna 1 do quadro em anexo devem ser classificadas na Nomenclatura Combinada nos códigos NC correspondentes, indicados na coluna 2 do referido quadro.

Artigo 2.o

As informações pautais vinculativas que não estejam em conformidade com o disposto no presente regulamento podem continuar a ser invocadas, em conformidade com o artigo 34.o, n.o 9, do Regulamento (UE) n.o 952/2013, por um período de três meses a contar da data de entrada em vigor do presente regulamento.

Artigo 3.o

O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.

Feito em Bruxelas, em 31 de maio de 2021.

Pela Comissão

Em nome da Presidente,

Gerassimos THOMAS

Diretor-Geral

Direção-Geral da Fiscalidade e da União Aduaneira

---

(1)  
  JO L 269 de 10.10.2013, p. 1.

1

(2)  Regulamento (CEE) n.o 2658/87 do Conselho, de 23 de julho de 1987, relativo à nomenclatura pautal e estatística e à pauta aduaneira comum (JO L 256 de 7.9.1987, p. 1).

2

o

---

ANEXO

| Descrição das mercadorias | Classificação
  (Código NC) | Fundamentos |
| --- | --- | --- |
| (1) | (2) | (3) |
| Varetas de cermets com uma secção transversal uniforme e redonda. Os artigos de comprimentos e diâmetros variáveis podem ser maciços ou perfurados e ter canais de resfriamento, com extremidades embotadas. Alguns dos artigos também podem ter sido chanfrados.
  Os artigos são feitos de cermet, nomeadamente de carboneto metálico sinterizado com base em carboneto de tungsténio (volfrâmio) com cobalto como aglutinante.
  Com base no seu baixo grau de transformação, molde e forma simples, os artigos podem ser usados numa vasta gama de utilizações, por exemplo, como elementos de reforço. Se forem posteriormente transformados, os artigos podem ser utilizados para ferramentas e como ferramentas. | 8113 00 90 | A classificação é determinada pelas Regras Gerais 1 e 6 para a interpretação da Nomenclatura Combinada, pela Nota 4 da Secção XV e pelo descritivo dos códigos NC 8113 00 e 8113 00 90 .
  Exclui-se a classificação no código NC 8209 00 80 como varetas e objetos semelhantes para ferramentas, não montados, de cermets, uma vez que os artigos só podem ser utilizados para ferramentas e como ferramentas se forem posteriormente transformados e podem também ser adequados para outras utilizações.
  Os artigos classificam-se na posição 8113 , que compreende os cermets, quer em formas brutas quer sob a forma de obras não especificadas noutras posições da Nomenclatura Combinada (ver também as Notas Explicativas do Sistema Harmonizado relativas à posição 8113 , sexto parágrafo).
  Consequentemente, os artigos classificam-se no código NC 8113 00 90 , como outros cermets e suas obras. |

Descrição das mercadorias

Classificação

(Código NC)

Fundamentos

(1)

(2)

(3)

Varetas de cermets com uma secção transversal uniforme e redonda. Os artigos de comprimentos e diâmetros variáveis podem ser maciços ou perfurados e ter canais de resfriamento, com extremidades embotadas. Alguns dos artigos também podem ter sido chanfrados.

Os artigos são feitos de cermet, nomeadamente de carboneto metálico sinterizado com base em carboneto de tungsténio (volfrâmio) com cobalto como aglutinante.

Com base no seu baixo grau de transformação, molde e forma simples, os artigos podem ser usados numa vasta gama de utilizações, por exemplo, como elementos de reforço. Se forem posteriormente transformados, os artigos podem ser utilizados para ferramentas e como ferramentas.

8113 00 90

A classificação é determinada pelas Regras Gerais 1 e 6 para a interpretação da Nomenclatura Combinada, pela Nota 4 da Secção XV e pelo descritivo dos códigos NC 8113 00 e 8113 00 90 .

Exclui-se a classificação no código NC 8209 00 80 como varetas e objetos semelhantes para ferramentas, não montados, de cermets, uma vez que os artigos só podem ser utilizados para ferramentas e como ferramentas se forem posteriormente transformados e podem também ser adequados para outras utilizações.

Os artigos classificam-se na posição 8113 , que compreende os cermets, quer em formas brutas quer sob a forma de obras não especificadas noutras posições da Nomenclatura Combinada (ver também as Notas Explicativas do Sistema Harmonizado relativas à posição 8113 , sexto parágrafo).

Consequentemente, os artigos classificam-se no código NC 8113 00 90 , como outros cermets e suas obras.

---

| 7.6.2021 | PT | Jornal Oficial da União Europeia | L 199/7 |
| --- | --- | --- | --- |

7.6.2021

PT

Jornal Oficial da União Europeia

L 199/7

---

REGULAMENTO DE EXECUÇÃO (UE) 2021/911 DA COMISSÃO

de 31 de maio de 2021

relativo à classificação de determinadas mercadorias na Nomenclatura Combinada

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) n.o 952/2013 do Parlamento Europeu e do Conselho, de 9 de outubro de 2013, que estabelece o Código Aduaneiro da União (1), nomeadamente o artigo 57.o, n.o 4, e o artigo 58.o, n.o 2,

Considerando o seguinte:

| (1) | A fim de assegurar a aplicação uniforme da Nomenclatura Combinada anexa ao Regulamento (CEE) n.o 2658/87 do Conselho (2), importa adotar disposições relativas à classificação das mercadorias que figuram no anexo do presente regulamento. |
| --- | --- |

(1)

A fim de assegurar a aplicação uniforme da Nomenclatura Combinada anexa ao Regulamento (CEE) n.o 2658/87 do Conselho (2), importa adotar disposições relativas à classificação das mercadorias que figuram no anexo do presente regulamento.

| (2) | O Regulamento (CEE) n.o 2658/87 fixa as regras gerais para a interpretação da Nomenclatura Combinada. Essas regras aplicam-se igualmente a qualquer outra nomenclatura que retome a Nomenclatura Combinada total ou parcialmente ou acrescentando-lhe eventualmente subdivisões, e que esteja estabelecida por disposições específicas da União, com vista à aplicação de medidas pautais ou outras relativas ao comércio de mercadorias. |
| --- | --- |

(2)

O Regulamento (CEE) n.o 2658/87 fixa as regras gerais para a interpretação da Nomenclatura Combinada. Essas regras aplicam-se igualmente a qualquer outra nomenclatura que retome a Nomenclatura Combinada total ou parcialmente ou acrescentando-lhe eventualmente subdivisões, e que esteja estabelecida por disposições específicas da União, com vista à aplicação de medidas pautais ou outras relativas ao comércio de mercadorias.

| (3) | Em aplicação das referidas regras gerais, as mercadorias descritas na coluna 1 do quadro que figura no anexo devem ser classificadas nos códigos NC correspondentes, indicados na coluna 2, por força dos fundamentos estabelecidos na coluna 3 do referido quadro. |
| --- | --- |

(3)

Em aplicação das referidas regras gerais, as mercadorias descritas na coluna 1 do quadro que figura no anexo devem ser classificadas nos códigos NC correspondentes, indicados na coluna 2, por força dos fundamentos estabelecidos na coluna 3 do referido quadro.

| (4) | É oportuno que as informações pautais vinculativas emitidas em relação às mercadorias em causa no presente regulamento e que não estejam em conformidade com o disposto no presente regulamento possam continuar a ser invocadas pelos seus titulares, durante um determinado período, em conformidade com o artigo 34.o, n.o 9, do Regulamento (UE) n.o 952/2013. Esse período deve ser de três meses. |
| --- | --- |

(4)

É oportuno que as informações pautais vinculativas emitidas em relação às mercadorias em causa no presente regulamento e que não estejam em conformidade com o disposto no presente regulamento possam continuar a ser invocadas pelos seus titulares, durante um determinado período, em conformidade com o artigo 34.o, n.o 9, do Regulamento (UE) n.o 952/2013. Esse período deve ser de três meses.

| (5) | As medidas previstas no presente regulamento estão em conformidade com o parecer do Comité do Código Aduaneiro, |
| --- | --- |

(5)

As medidas previstas no presente regulamento estão em conformidade com o parecer do Comité do Código Aduaneiro,

ADOTOU O PRESENTE REGULAMENTO:

Artigo 1.o

As mercadorias descritas na coluna 1 do quadro em anexo devem ser classificadas na Nomenclatura Combinada nos códigos NC correspondentes, indicados na coluna 2 do referido quadro.

Artigo 2.o

As informações pautais vinculativas que não estejam em conformidade com o disposto no presente regulamento podem continuar a ser invocadas, em conformidade com o artigo 34.o, n.o 9, do Regulamento (UE) n.o 952/2013, por um período de três meses a contar da data de entrada em vigor do presente regulamento.

Artigo 3.o

O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.

Feito em Bruxelas, em 31 de maio de 2021.

Pela Comissão

Em nome da Presidente,

Gerassimos THOMAS

Diretor-Geral

Direção-Geral da Fiscalidade e da União Aduaneira

---

(1)  
  JO L 269 de 10.10.2013, p. 1.

1

(2)  Regulamento (CEE) n.o 2658/87 do Conselho, de 23 de julho de 1987, relativo à nomenclatura pautal e estatística e à pauta aduaneira comum (JO L 256 de 7.9.1987, p. 1).

2

o

---

ANEXO

| Descrição das mercadorias | Classificação
  (Código NC) | Fundamentos |
| --- | --- | --- |
| (1) | (2) | (3) |
| Uma plataforma com rodas, constituída por:






  — | um painel de madeira (painel de fibras com cantos e bordos arredondados); |

Descrição das mercadorias

Classificação

(Código NC)

Fundamentos

(1)

(2)

(3)

Uma plataforma com rodas, constituída por:

—

um painel de madeira (painel de fibras com cantos e bordos arredondados);

| — | almofadas antiderrapantes de plástico na parte superior do painel; |
| --- | --- |

—

almofadas antiderrapantes de plástico na parte superior do painel;

| — | rodas de plástico; |
| --- | --- |

—

rodas de plástico;

| — | suportes metálicos para montar as rodas de plástico na parte inferior dos painéis. |
| --- | --- |

—

suportes metálicos para montar as rodas de plástico na parte inferior dos painéis.

O artigo tem uma pega recortada para o levar na mão, por exemplo, ou para o pendurar numa parede.

O artigo destina-se a ser utilizado no transporte de vários objetos, nomeadamente mobiliário e quaisquer outros objetos pesados.

(Ver imagem)  (*1)

4421 99 10

A classificação é determinada pelas disposições das Regras Gerais 1, 3 b) e 6 para a interpretação da Nomenclatura Combinada, pela Nota 3 do Capítulo 44 e pelos descritivos dos códigos NC 4421 , 4421 99 e 4421 99 10 .

Exclui-se a classificação no código NC 8716 80 00 como outros veículos não autopropulsionados, uma vez que as características e propriedades objetivas do artigo não correspondem inteiramente aos termos da posição 8716 e do código NC 8716 80 00 .

Dadas as suas características e propriedades objetivas, incluindo uma pega recortada não utilizada para empurrar o artigo com o pé ou com a mão, e a sua conceção para o transporte de objetos pesados, como mobiliário, empurrando os objetos, o artigo não é concebido para ser rebocado por outros veículos, para ser empurrado ou puxado manualmente, para ser empurrado com o pé ou para ser puxado por animais (ver também as Notas Explicativas do Sistema Harmonizado relativas à posição 8716 , segundo parágrafo).

O artigo não pode ser considerado um veículo, uma vez que não possui algumas das características e propriedades de um veículo dirigido manualmente ou empurrado com o pé da posição 8716 por não ser um carro de movimentação, carrinho de mão ou carreta de qualquer tipo, nem ser composto por uma parte específica de um veículo, como um chassis.

Por conseguinte, o artigo deve classificar-se de acordo com a sua matéria constitutiva.

O artigo é um produto composto constituído por diferentes materiais (madeira, plástico e metal). O componente que confere ao artigo a sua característica essencial é a madeira, uma vez que o painel de madeira constitui a parte principal do produto composto e porque o painel de madeira é de maior importância para a utilização pretendida do artigo.

Consequentemente, o artigo classifica-se no código NC 4421 99 10 , como outras obras de painéis de fibras.

Image 2

---

(*1)  A imagem destina-se a fins meramente informativos.

---

| 7.6.2021 | PT | Jornal Oficial da União Europeia | L 199/10 |
| --- | --- | --- | --- |

7.6.2021

PT

Jornal Oficial da União Europeia

L 199/10

---

REGULAMENTO DE EXECUÇÃO (UE) 2021/912 DA COMISSÃO

de 4 de junho de 2021

que autoriza a alteração das especificações do novo alimento Lacto-N-neotetraose (fonte microbiana) e que altera o Regulamento de Execução (UE) 2017/2470

(Texto relevante para efeitos do EEE)

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) 2015/2283 do Parlamento Europeu e do Conselho, de 25 de novembro de 2015, relativo a novos alimentos, que altera o Regulamento (UE) n.o 1169/2011 do Parlamento Europeu e do Conselho e que revoga o Regulamento (CE) n.o 258/97 do Parlamento Europeu e do Conselho e o Regulamento (CE) n.o 1852/2001 da Comissão (1), nomeadamente o artigo 12.o,

Considerando o seguinte:

| (1) | O Regulamento (UE) 2015/2283 determina que apenas os novos alimentos autorizados e incluídos na lista da União podem ser colocados no mercado da União. |
| --- | --- |

(1)

O Regulamento (UE) 2015/2283 determina que apenas os novos alimentos autorizados e incluídos na lista da União podem ser colocados no mercado da União.

| (2) | Em conformidade com o disposto no artigo 8.o do Regulamento (UE) 2015/2283, foi adotado o Regulamento de Execução (UE) 2017/2470 da Comissão (2), que estabelece a lista da União de novos alimentos autorizados. |
| --- | --- |

(2)

Em conformidade com o disposto no artigo 8.o do Regulamento (UE) 2015/2283, foi adotado o Regulamento de Execução (UE) 2017/2470 da Comissão (2), que estabelece a lista da União de novos alimentos autorizados.

| (3) | Nos termos do artigo 12.o do Regulamento (UE) 2015/2283, a Comissão deve apresentar um projeto de ato de execução para autorizar a colocação no mercado da União de um novo alimento e atualizar a lista da União. |
| --- | --- |

(3)

Nos termos do artigo 12.o do Regulamento (UE) 2015/2283, a Comissão deve apresentar um projeto de ato de execução para autorizar a colocação no mercado da União de um novo alimento e atualizar a lista da União.

| (4) | A Decisão de Execução (UE) 2016/375 da Comissão (3) autorizou, em conformidade com o Regulamento (CE) n.o 258/97 do Parlamento Europeu e do Conselho (4), a colocação no mercado de lacto-N-neotetraose de síntese química como novo ingrediente alimentar. |
| --- | --- |

(4)

A Decisão de Execução (UE) 2016/375 da Comissão (3) autorizou, em conformidade com o Regulamento (CE) n.o 258/97 do Parlamento Europeu e do Conselho (4), a colocação no mercado de lacto-N-neotetraose de síntese química como novo ingrediente alimentar.

| (5) | Em conformidade com o artigo 5.o do Regulamento (CE) n.o 258/97, em 1 de setembro de 2016, a empresa Glycom A/S informou a Comissão da sua intenção de colocar no mercado lacto-N-neotetraose de fonte microbiana produzida com Escherichia coli estirpe K-12 como novo ingrediente alimentar. |
| --- | --- |

(5)

Em conformidade com o artigo 5.o do Regulamento (CE) n.o 258/97, em 1 de setembro de 2016, a empresa Glycom A/S informou a Comissão da sua intenção de colocar no mercado lacto-N-neotetraose de fonte microbiana produzida com Escherichia coli estirpe K-12 como novo ingrediente alimentar.

| (6) | Na notificação à Comissão, a Glycom A/S também apresentou um relatório, emitido pela autoridade competente da Irlanda nos termos do artigo 3.o, n.o 4, do Regulamento (CE) n.o 258/97, que, com base nas provas científicas apresentadas pela referida empresa, tinha concluído que a lacto-N-neotetraose produzida com Escherichia coli estirpe K-12 é substancialmente equivalente à lacto-N-neotetraose sintética autorizada pela Decisão de Execução (UE) 2016/375. Por conseguinte, a lacto-N-neotetraose de fonte microbiana foi incluída na lista da União de novos alimentos. |
| --- | --- |

(6)

Na notificação à Comissão, a Glycom A/S também apresentou um relatório, emitido pela autoridade competente da Irlanda nos termos do artigo 3.o, n.o 4, do Regulamento (CE) n.o 258/97, que, com base nas provas científicas apresentadas pela referida empresa, tinha concluído que a lacto-N-neotetraose produzida com Escherichia coli estirpe K-12 é substancialmente equivalente à lacto-N-neotetraose sintética autorizada pela Decisão de Execução (UE) 2016/375. Por conseguinte, a lacto-N-neotetraose de fonte microbiana foi incluída na lista da União de novos alimentos.

| (7) | Em 23 de junho de 2019, a empresa Chr. Hansen A/S («requerente») apresentou um pedido à Comissão em conformidade com o artigo 10.o, n.o 1, do Regulamento (UE) 2015/2283 para a autorização da lacto-N-neotetraose (fonte microbiana) produzida através da atividade combinada das estirpes derivadas PS-LNnT-JBT e DS-LNnT-JBT de Escherichia coli estirpe BL21(DE3) como novo alimento nas mesmas condições de utilização que as atualmente autorizadas para a lacto-N-neotetraose sintética e de fonte microbiana. O requerente solicitou uma atualização da lista da União relativamente à nova fonte desse novo alimento. |
| --- | --- |

(7)

Em 23 de junho de 2019, a empresa Chr. Hansen A/S («requerente») apresentou um pedido à Comissão em conformidade com o artigo 10.o, n.o 1, do Regulamento (UE) 2015/2283 para a autorização da lacto-N-neotetraose (fonte microbiana) produzida através da atividade combinada das estirpes derivadas PS-LNnT-JBT e DS-LNnT-JBT de Escherichia coli estirpe BL21(DE3) como novo alimento nas mesmas condições de utilização que as atualmente autorizadas para a lacto-N-neotetraose sintética e de fonte microbiana. O requerente solicitou uma atualização da lista da União relativamente à nova fonte desse novo alimento.

| (8) | Além disso, o requerente propôs a atualização de algumas das especificações da lacto-N-neotetraose (fonte microbiana) produzida por essa nova fonte, uma vez que diferem das especificações da lacto-N-neotetraose de fonte microbiana autorizada produzida com Escherichia coli estirpe K-12, na medida em que apresentam um aumento dos níveis de cinzas de ≤ 0,4 % para ≤ 1,0 %; um nível mais elevado de presença de leveduras e bolores, passando das atuais ≤ 10 unidades formadoras de colónias («UFC»)/g do novo alimento para cada tipo de microrganismo a ≤ 50 UFC/g para a combinação de ambos; e a ausência de metanol (em vez do valor atual de ≤ 100 mg/kg) e do isómero lacto-N-neotetraose frutose (em vez do valor atual de ≤ 1,0 %). |
| --- | --- |

(8)

Além disso, o requerente propôs a atualização de algumas das especificações da lacto-N-neotetraose (fonte microbiana) produzida por essa nova fonte, uma vez que diferem das especificações da lacto-N-neotetraose de fonte microbiana autorizada produzida com Escherichia coli estirpe K-12, na medida em que apresentam um aumento dos níveis de cinzas de ≤ 0,4 % para ≤ 1,0 %; um nível mais elevado de presença de leveduras e bolores, passando das atuais ≤ 10 unidades formadoras de colónias («UFC»)/g do novo alimento para cada tipo de microrganismo a ≤ 50 UFC/g para a combinação de ambos; e a ausência de metanol (em vez do valor atual de ≤ 100 mg/kg) e do isómero lacto-N-neotetraose frutose (em vez do valor atual de ≤ 1,0 %).

| (9) | Em 17 de janeiro de 2020, a Comissão solicitou à Autoridade Europeia para a Segurança dos Alimentos («Autoridade») que efetuasse uma avaliação da lacto-N-neotetraose produzida através da atividade combinada das estirpes derivadas PS-LNnT-JBT e DS-LNnT-JBT de Escherichia coli estirpe BL21(DE3), em conformidade com os requisitos do artigo 11.o do Regulamento (UE) 2015/2283. |
| --- | --- |

(9)

Em 17 de janeiro de 2020, a Comissão solicitou à Autoridade Europeia para a Segurança dos Alimentos («Autoridade») que efetuasse uma avaliação da lacto-N-neotetraose produzida através da atividade combinada das estirpes derivadas PS-LNnT-JBT e DS-LNnT-JBT de Escherichia coli estirpe BL21(DE3), em conformidade com os requisitos do artigo 11.o do Regulamento (UE) 2015/2283.

| (10) | Em 22 de outubro de 2020, a Autoridade adotou o seu parecer científico Safety of lacto-N-neotetraose (LNnT) produced by derivative strains of E. coli BL21 as a novel food pursuant to Regulation (EU) 2015/2283 [Segurança da lacto-N-neotetraose produzida por estirpes derivadas de E. coli BL21 como novo alimento nos termos do Regulamento (UE) 2015/2283] (5). |
| --- | --- |

(10)

Em 22 de outubro de 2020, a Autoridade adotou o seu parecer científico Safety of lacto-N-neotetraose (LNnT) produced by derivative strains of E. coli BL21 as a novel food pursuant to Regulation (EU) 2015/2283 [Segurança da lacto-N-neotetraose produzida por estirpes derivadas de E. coli BL21 como novo alimento nos termos do Regulamento (UE) 2015/2283] (5).

| (11) | No seu parecer científico, a Autoridade concluiu que a lacto-N-neotetraose (LNnT) produzida através da atividade combinada das estirpes derivadas PS-LNnT-JBT e DS-LNnT-JBT de Escherichia coli estirpe BL21(DE3) como novo alimento nos termos do Regulamento (UE) 2015/2283 é segura nas atuais condições de utilização autorizadas. Por conseguinte, o referido parecer científico contém fundamentos suficientes para concluir que a lacto-N-neotetraose (LNnT) produzida através da atividade combinada das estirpes derivadas PS-LNnT-JBT e DS-LNnT-JBT de Escherichia coli estirpe BL21(DE3) está em conformidade com o artigo 12.o, n.o 1, do Regulamento (UE) 2015/2283. |
| --- | --- |

(11)

No seu parecer científico, a Autoridade concluiu que a lacto-N-neotetraose (LNnT) produzida através da atividade combinada das estirpes derivadas PS-LNnT-JBT e DS-LNnT-JBT de Escherichia coli estirpe BL21(DE3) como novo alimento nos termos do Regulamento (UE) 2015/2283 é segura nas atuais condições de utilização autorizadas. Por conseguinte, o referido parecer científico contém fundamentos suficientes para concluir que a lacto-N-neotetraose (LNnT) produzida através da atividade combinada das estirpes derivadas PS-LNnT-JBT e DS-LNnT-JBT de Escherichia coli estirpe BL21(DE3) está em conformidade com o artigo 12.o, n.o 1, do Regulamento (UE) 2015/2283.

| (12) | É, portanto, adequado alterar as especificações da lacto-N-neotetraose produzida microbiologicamente para incluir as estirpes derivadas PS-LNnT-JBT e DS-LNnT-JBT de Escherichia coli estirpe BL21(DE3) como fonte do novo alimento, além da Escherichia coli estirpe K12 autorizada, e para alterar os níveis propostos relativos à presença de cinzas, bolores e leveduras. |
| --- | --- |

(12)

É, portanto, adequado alterar as especificações da lacto-N-neotetraose produzida microbiologicamente para incluir as estirpes derivadas PS-LNnT-JBT e DS-LNnT-JBT de Escherichia coli estirpe BL21(DE3) como fonte do novo alimento, além da Escherichia coli estirpe K12 autorizada, e para alterar os níveis propostos relativos à presença de cinzas, bolores e leveduras.

| (13) | O anexo do Regulamento (UE) 2017/2470 deve, pois, ser alterado em conformidade. |
| --- | --- |

(13)

O anexo do Regulamento (UE) 2017/2470 deve, pois, ser alterado em conformidade.

| (14) | As medidas previstas no presente regulamento estão em conformidade com o parecer do Comité Permanente dos Vegetais, Animais e Alimentos para Consumo Humano e Animal, |
| --- | --- |

(14)

As medidas previstas no presente regulamento estão em conformidade com o parecer do Comité Permanente dos Vegetais, Animais e Alimentos para Consumo Humano e Animal,

ADOTOU O PRESENTE REGULAMENTO:

Artigo 1.o

A entrada relativa à substância lacto-N-neotetraose (fonte microbiana) constante da lista da União de novos alimentos autorizados, prevista no artigo 6.o do Regulamento (UE) 2015/2283, é alterada em conformidade com o anexo do presente regulamento.

Artigo 2.o

O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.

Feito em Bruxelas, em 4 de junho de 2021.

Pela Comissão

A Presidente

Ursula VON DER LEYEN

---

(1)  
  JO L 327 de 11.12.2015, p. 1.

1

(2)  Regulamento de Execução (UE) 2017/2470 da Comissão, de 20 de dezembro de 2017, que estabelece a lista da União de novos alimentos em conformidade com o Regulamento (UE) 2015/2283 do Parlamento Europeu e do Conselho relativo a novos alimentos (JO L 351 de 30.12.2017, p. 72).

2

(3)  Decisão de Execução (UE) 2016/375 da Comissão, de 11 de março de 2016, que autoriza a colocação no mercado de lacto-N-neotetraose como novo ingrediente alimentar, nos termos do Regulamento (CE) n.o 258/97 do Parlamento Europeu e do Conselho (JO L 70 de 16.3.2016, p. 22).

3

o

(4)  Regulamento (CE) n.o 258/97 do Parlamento Europeu e do Conselho, de 27 de janeiro de 1997, relativo a novos alimentos e ingredientes alimentares (JO L 43 de 14.2.1997, p. 1).

4

o

(5)  
  EFSA Journal (2020);18(11):6305.

5

EFSA Journal

---

ANEXO

No quadro 2 (Especificações) do anexo do Regulamento de Execução (UE) 2017/2470, a entrada relativa a «Lacto-N-neotetraose (fonte microbiana)» passa a ter a seguinte redação:

| «Lacto-N-neotetraose


  (fonte microbiana) | Definição:

  Denominação química: β-D-galactopiranosil-(1→4)-2-acetamido-2-desoxi-β-D-glucopiranosil-(1→3)-β-D-galactopiranosil-(1→4)-D-glucopiranose
  Fórmula química: C26H45NO21

  N.o CAS: 13007-32-4
  Peso molecular: 707,63 g/mol

  Fonte:







  — | Estirpe geneticamente modificada de Escherichia coli K-12, ou |
| --- | --- | --- |

«Lacto-N-neotetraose

(fonte microbiana)

Definição:

Denominação química: β-D-galactopiranosil-(1→4)-2-acetamido-2-desoxi-β-D-glucopiranosil-(1→3)-β-D-galactopiranosil-(1→4)-D-glucopiranose

Fórmula química: C26H45NO21

N.o CAS: 13007-32-4

Peso molecular: 707,63 g/mol

Fonte:

—

Estirpe geneticamente modificada de Escherichia coli K-12, ou

| — | uma combinação das estirpes geneticamente modificadas PS-LNnT-JBT e DS-LNnT-JBT de Escherichia coli BL21(DE3) |
| --- | --- |

—

uma combinação das estirpes geneticamente modificadas PS-LNnT-JBT e DS-LNnT-JBT de Escherichia coli BL21(DE3)

Descrição:

A lacto-N-neotetraose é um produto pulverulento, de cor branca a esbranquiçada, que é produzido por um processo microbiológico.

Pureza:

Doseamento (sem água): ≥ 80 %

D-Lactose: ≤ 10,0 %

Lacto-N-triose II: ≤ 3,0 %

para-Lacto-N-neo-hexaose: ≤ 5,0 %

Isómero de lacto-N-neotetraose frutose: ≤ 1,0 %

Soma dos sacáridos (lacto-N-neotetraose, D-lactose, lacto-N-triose II, para-lacto-N-neo-hexaose, isómero de lacto-N-neotetraose frutose): ≥ 92 % (% m/m de matéria seca)

pH (solução a 5 %, 20 °C): 4,0-7,0

Água: ≤ 9,0 %

Cinzas sulfatadas: ≤ 1,0 %

Solventes residuais (metanol): ≤ 100 mg/kg

Proteínas residuais: ≤ 0,01 %

Critérios microbiológicos:

Contagem total de bactérias mesófilas aeróbias: ≤ 500 UFC/g

Bolores e leveduras: ≤ 50 UFC/g

Endotoxinas residuais: ≤ 10 UE/mg

UFC: unidades formadoras de colónias; UE: unidades de endotoxinas»

---

DECISÕES

| 7.6.2021 | PT | Jornal Oficial da União Europeia | L 199/13 |
| --- | --- | --- | --- |

7.6.2021

PT

Jornal Oficial da União Europeia

L 199/13

---

DECISÃO DE EXECUÇÃO (UE) 2021/913 DA COMISSÃO

de 3 de junho de 2021

relativa às normas harmonizadas aplicáveis às máquinas de lavar louça para uso doméstico elaboradas em apoio do Regulamento (UE) 2019/2022 e do Regulamento Delegado (UE) 2019/2017

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) n.o 1025/2012 do Parlamento Europeu e do Conselho, de 25 de outubro de 2012, relativo à normalização europeia, que altera as Diretivas 89/686/CEE e 93/15/CEE do Conselho e as Diretivas 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE e 2009/105/CE do Parlamento Europeu e do Conselho e revoga a Decisão 87/95/CEE do Conselho e a Decisão n.o 1673/2006/CE do Parlamento Europeu e do Conselho (1), nomeadamente o artigo 10.o, n.o 6,

Considerando o seguinte:

| (1) | Em conformidade com o artigo 9.o, n.o 2, da Diretiva 2009/125/CE do Parlamento Europeu e do Conselho (2), os Estados-Membros devem considerar que os produtos a que se aplicaram normas harmonizadas, cujos números de referência tenham sido publicados no Jornal Oficial da União Europeia, cumprem todos os requisitos relevantes da medida de execução aplicável a que essas normas se referem. O artigo 4.o e o anexo III do Regulamento (UE) 2019/2022 da Comissão (3) estabelecem os requisitos de medição e de cálculo aplicáveis às máquinas de lavar louça para uso doméstico. |
| --- | --- |

(1)

Em conformidade com o artigo 9.o, n.o 2, da Diretiva 2009/125/CE do Parlamento Europeu e do Conselho (2), os Estados-Membros devem considerar que os produtos a que se aplicaram normas harmonizadas, cujos números de referência tenham sido publicados no Jornal Oficial da União Europeia, cumprem todos os requisitos relevantes da medida de execução aplicável a que essas normas se referem. O artigo 4.o e o anexo III do Regulamento (UE) 2019/2022 da Comissão (3) estabelecem os requisitos de medição e de cálculo aplicáveis às máquinas de lavar louça para uso doméstico.

| (2) | Nos termos do artigo 13.o do Regulamento (UE) 2017/1369 do Parlamento Europeu e do Conselho (4), após a adoção de um ato delegado nos termos do artigo 16.o desse regulamento, que estabeleça requisitos específicos em matéria de etiquetagem, a Comissão publica no Jornal Oficial da União Europeia as referências das normas harmonizadas que satisfazem os requisitos de medição e de cálculo pertinentes constantes do ato delegado. Se as referidas normas harmonizadas forem aplicadas durante a avaliação da conformidade de um produto, o modelo beneficia da presunção de conformidade com os requisitos de medição e de cálculo pertinentes constantes do ato delegado. O artigo 3.o e o anexo IV do Regulamento Delegado (UE) 2019/2017 da Comissão (5) estabelecem os requisitos de medição e de cálculo aplicáveis às máquinas de lavar louça para uso doméstico. |
| --- | --- |

(2)

Nos termos do artigo 13.o do Regulamento (UE) 2017/1369 do Parlamento Europeu e do Conselho (4), após a adoção de um ato delegado nos termos do artigo 16.o desse regulamento, que estabeleça requisitos específicos em matéria de etiquetagem, a Comissão publica no Jornal Oficial da União Europeia as referências das normas harmonizadas que satisfazem os requisitos de medição e de cálculo pertinentes constantes do ato delegado. Se as referidas normas harmonizadas forem aplicadas durante a avaliação da conformidade de um produto, o modelo beneficia da presunção de conformidade com os requisitos de medição e de cálculo pertinentes constantes do ato delegado. O artigo 3.o e o anexo IV do Regulamento Delegado (UE) 2019/2017 da Comissão (5) estabelecem os requisitos de medição e de cálculo aplicáveis às máquinas de lavar louça para uso doméstico.

| (3) | Pela Decisão de Execução C(2020) 4329 (6), a Comissão solicitou ao Comité Europeu de Normalização (CEN), ao Comité Europeu de Normalização Eletrotécnica (CENELEC) e ao Instituto Europeu de Normalização das Telecomunicações (ETSI) a revisão das normas harmonizadas existentes sobre máquinas de lavar louça para uso doméstico, máquinas de lavar roupa para uso doméstico e máquinas combinadas de lavar e secar roupa para uso doméstico em apoio dos Regulamentos (UE) 2019/2022 e (UE) 2019/2023 e dos Regulamentos Delegados (UE) 2019/2017 e (UE) 2019/2014. |
| --- | --- |

(3)

Pela Decisão de Execução C(2020) 4329 (6), a Comissão solicitou ao Comité Europeu de Normalização (CEN), ao Comité Europeu de Normalização Eletrotécnica (CENELEC) e ao Instituto Europeu de Normalização das Telecomunicações (ETSI) a revisão das normas harmonizadas existentes sobre máquinas de lavar louça para uso doméstico, máquinas de lavar roupa para uso doméstico e máquinas combinadas de lavar e secar roupa para uso doméstico em apoio dos Regulamentos (UE) 2019/2022 e (UE) 2019/2023 e dos Regulamentos Delegados (UE) 2019/2017 e (UE) 2019/2014.

| (4) | Com base no pedido formulado na Decisão de Execução C(2020) 4329, o CENELEC elaborou a norma harmonizada EN 60436:2020, a fim de ter em conta o progresso técnico e científico. O CENELEC adotou igualmente a alteração EN 60436:2020/A11:2020 e a retificação EN 60436:2020/AC:2020-6 a essa norma. |
| --- | --- |

(4)

Com base no pedido formulado na Decisão de Execução C(2020) 4329, o CENELEC elaborou a norma harmonizada EN 60436:2020, a fim de ter em conta o progresso técnico e científico. O CENELEC adotou igualmente a alteração EN 60436:2020/A11:2020 e a retificação EN 60436:2020/AC:2020-6 a essa norma.

| (5) | A Comissão, juntamente com o CENELEC, avaliou se a norma harmonizada EN 60436:2020, com a redação que lhe foi dada pela alteração EN 60436:2020/A11:2020 e corrigida pela correção EN 60436:2020/AC:2020-6, cumpre o pedido formulado na Decisão de Execução C(2020) 4329. |
| --- | --- |

(5)

A Comissão, juntamente com o CENELEC, avaliou se a norma harmonizada EN 60436:2020, com a redação que lhe foi dada pela alteração EN 60436:2020/A11:2020 e corrigida pela correção EN 60436:2020/AC:2020-6, cumpre o pedido formulado na Decisão de Execução C(2020) 4329.

| (6) | A norma harmonizada EN 60436:2020, com a redação que lhe foi dada pela alteração EN 60436:2020/A11:2020 e corrigida pela correção EN 60436:2020/AC:2020-6, satisfaz os requisitos que visa abranger, estabelecidos no Regulamento (UE) 2019/2022 e no Regulamento Delegado (UE) 2019/2017. |
| --- | --- |

(6)

A norma harmonizada EN 60436:2020, com a redação que lhe foi dada pela alteração EN 60436:2020/A11:2020 e corrigida pela correção EN 60436:2020/AC:2020-6, satisfaz os requisitos que visa abranger, estabelecidos no Regulamento (UE) 2019/2022 e no Regulamento Delegado (UE) 2019/2017.

| (7) | É necessário clarificar que versões das normas referidas na cláusula «3 Modificação da cláusula 2 “Referências normativas”» da norma EN 60436:2020 devem ser aplicadas para efeitos de presunção de conformidade. |
| --- | --- |

(7)

É necessário clarificar que versões das normas referidas na cláusula «3 Modificação da cláusula 2 “Referências normativas”» da norma EN 60436:2020 devem ser aplicadas para efeitos de presunção de conformidade.

| (8) | A coluna «Observações/notas*» do quadro ZZA.1 da norma EN 60436:2020 para efeitos do Regulamento Delegado (UE) 2019/2017 e a coluna «Observações/notas *» do quadro ZZB.1 dessa mesma norma para efeitos do Regulamento (UE) 2019/2022 devem ser excluídas da publicação, devido à incoerência dessas colunas com os requisitos do corpo normativo principal da norma e à insegurança jurídica resultante da interpretação do efeito jurídico da presunção de conformidade incluído na nota de rodapé dessas colunas. |
| --- | --- |

(8)

A coluna «Observações/notas*» do quadro ZZA.1 da norma EN 60436:2020 para efeitos do Regulamento Delegado (UE) 2019/2017 e a coluna «Observações/notas *» do quadro ZZB.1 dessa mesma norma para efeitos do Regulamento (UE) 2019/2022 devem ser excluídas da publicação, devido à incoerência dessas colunas com os requisitos do corpo normativo principal da norma e à insegurança jurídica resultante da interpretação do efeito jurídico da presunção de conformidade incluído na nota de rodapé dessas colunas.

| (9) | Por conseguinte, é adequado publicar no Jornal Oficial da União Europeia, com restrições, a referência da norma harmonizada EN 60436:2020, com a redação que lhe foi dada pela alteração EN 60436:2020/A11:2020 e corrigida pela correção EN 60436:2020/AC:2020-6. |
| --- | --- |

(9)

Por conseguinte, é adequado publicar no Jornal Oficial da União Europeia, com restrições, a referência da norma harmonizada EN 60436:2020, com a redação que lhe foi dada pela alteração EN 60436:2020/A11:2020 e corrigida pela correção EN 60436:2020/AC:2020-6.

| (10) | A norma harmonizada EN 60436:2020 substitui a norma harmonizada EN 50242:2016, publicada na Comunicação 2016/C 416/05 da Comissão (7). Importa, pois, revogar esta comunicação. |
| --- | --- |

(10)

A norma harmonizada EN 60436:2020 substitui a norma harmonizada EN 50242:2016, publicada na Comunicação 2016/C 416/05 da Comissão (7). Importa, pois, revogar esta comunicação.

| (11) | A conformidade com uma norma harmonizada confere uma presunção de conformidade com os correspondentes requisitos enunciados na legislação de harmonização da União a partir da data de publicação da referência dessa norma no Jornal Oficial da União Europeia. A presente decisão deve, pois, entrar em vigor na data da sua publicação, |
| --- | --- |

(11)

A conformidade com uma norma harmonizada confere uma presunção de conformidade com os correspondentes requisitos enunciados na legislação de harmonização da União a partir da data de publicação da referência dessa norma no Jornal Oficial da União Europeia. A presente decisão deve, pois, entrar em vigor na data da sua publicação,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o

Publica-se no Jornal Oficial da União Europeia, com restrições, a referência da norma harmonizada aplicável à etiquetagem energética das máquinas de lavar louça para uso doméstico elaborada em apoio do Regulamento Delegado (UE) 2019/2017 e indicada no anexo I da presente decisão.

Publica-se no Jornal Oficial da União Europeia, com restrições, a referência da norma harmonizada em matéria de conceção ecológica das máquinas de lavar louça para uso doméstico elaborada em apoio do Regulamento Delegado (UE) 2019/2022 e indicada no anexo II da presente decisão.

Artigo 2.o

É revogada a Comunicação 2016/C 416/05.

Artigo 3.o

A presente decisão entra em vigor no dia da sua publicação no Jornal Oficial da União Europeia.

Feito em Bruxelas, em 3 de junho de 2021.

Pela Comissão

A Presidente

Ursula VON DER LEYEN

---

(1)  
  JO L 316 de 14.11.2012, p. 12.

1

(2)  Diretiva 2009/125/CE do Parlamento Europeu e do Conselho, de 21 de outubro de 2009, relativa à criação de um quadro para definir os requisitos de conceção ecológica dos produtos relacionados com o consumo de energia (JO L 285 de 31.10.2009, p. 10).

2

(3)  Regulamento (UE) 2019/2022 da Comissão, de 1 de outubro de 2019, que estabelece os requisitos de conceção ecológica aplicáveis às máquinas de lavar louça para uso doméstico nos termos da Diretiva 2009/125/CE do Parlamento Europeu e do Conselho que altera o Regulamento (CE) n.o 1275/2008 da Comissão e que revoga o Regulamento (UE) n.o 1016/2010 da Comissão (JO L 315 de 5.12.2019, p. 267).

3

o

o

(4)  Regulamento (UE) 2017/1369 do Parlamento Europeu e do Conselho, de 4 de julho de 2017, que estabelece um regime de etiquetagem energética e que revoga a Diretiva 2010/30/UE (JO L 198 de 28.7.2017, p. 1).

4

(5)  Regulamento Delegado (UE) 2019/2017 da Comissão, de 11 de março de 2019, que complementa o Regulamento (UE) 2017/1369 do Parlamento Europeu e do Conselho no respeitante à etiquetagem energética das máquinas de lavar louça para uso doméstico e que revoga o Regulamento Delegado (UE) n.o 1059/2010 da Comissão (JO L 315 de 5.12.2019, p. 134).

5

o

(6)  Decisão de Execução C(2020) 4329 da Comissão, de 1 de julho de 2020, relativa a um pedido de normalização dirigido ao Comité Europeu de Normalização, ao Comité Europeu de Normalização Eletrotécnica e ao Instituto Europeu de Normalização das Telecomunicações respeitante aos requisitos em matéria de conceção ecológica e de etiquetagem energética aplicáveis às máquinas de lavar louça para uso doméstico, máquinas de lavar roupa para uso doméstico e máquinas combinadas de lavar e secar roupa para uso doméstico, em apoio dos Regulamentos (UE) 2019/2022 e (UE) 2019/2023 da Comissão e dos Regulamentos Delegados (UE) 2019/2017 e (UE) 2019/2014 da Comissão.

6

(7)  Comunicação da Comissão no âmbito da execução do Regulamento (UE) n.o 1016/2010 da Comissão que dá execução à Diretiva 2009/125/CE do Parlamento Europeu e do Conselho no que respeita aos requisitos de conceção ecológica para as máquinas de lavar loiça para uso doméstico e do Regulamento Delegado (UE) n.o 1059/2010 da Comissão que complementa a Diretiva 2010/30/UE do Parlamento Europeu e do Conselho no que respeita à rotulagem energética das máquinas de lavar loiça para uso doméstico (Publicação dos títulos e das referências das normas harmonizadas ao abrigo da legislação de harmonização da União) (JO C 416 de 11.11.2016, p. 14).

7

o

o

---

ANEXO I

Referência da norma harmonizada elaborada em apoio do Regulamento Delegado (UE) 2019/2017

| EN 60436:2020
  Máquinas de lavar louça elétricas para uso doméstico — Métodos para a medição do desempenho
  EN 60436:2020/A11:2020
  EN 60436:2020/AC:2020-6
  Restrições:






  a) | Para efeitos da secção «2 Referências normativas», aplicam-se as seguintes versões das normas harmonizadas:






  i) | EN 50564:2011; |
| --- | --- | --- |

EN 60436:2020

Máquinas de lavar louça elétricas para uso doméstico — Métodos para a medição do desempenho

EN 60436:2020/A11:2020

EN 60436:2020/AC:2020-6

Restrições:

a)

Para efeitos da secção «2 Referências normativas», aplicam-se as seguintes versões das normas harmonizadas:

i)

EN 50564:2011;

| ii) | EN 50643:2018 com a redação que lhe foi dada pela alteração EN 50643:2018/A1:2020; |
| --- | --- |

ii)

EN 50643:2018 com a redação que lhe foi dada pela alteração EN 50643:2018/A1:2020;

| iii) | EN 60704-2-3:2019; |
| --- | --- |

iii)

EN 60704-2-3:2019;

| iv) | EN 60704-2-3:2019 com a redação que lhe foi dada pela alteração EN 60704-2-3:2019/A11:2019; |
| --- | --- |

iv)

EN 60704-2-3:2019 com a redação que lhe foi dada pela alteração EN 60704-2-3:2019/A11:2019;

| v) | EN 60705:2015 com a redação que lhe foi dada pela alteração EN 60705:2015/A2:2018; |
| --- | --- |

v)

EN 60705:2015 com a redação que lhe foi dada pela alteração EN 60705:2015/A2:2018;

| vi) | EN 60734:2012; |
| --- | --- |

vi)

EN 60734:2012;

| vii) | ISO 607:1980. |
| --- | --- |

vii)

ISO 607:1980.

| b) | A presente publicação não abrange a coluna «Observações/notas*» do quadro ZZA.1. |
| --- | --- |

b)

A presente publicação não abrange a coluna «Observações/notas*» do quadro ZZA.1.

---

ANEXO II

Referência da norma harmonizada elaborada em apoio do Regulamento (UE) 2019/2022

| EN 60436:2020
  Máquinas de lavar louça elétricas para uso doméstico — Métodos para a medição do desempenho
  EN 60436:2020/A11:2020
  EN 60436:2020/AC:2020-6
  Restrições:






  a) | Para efeitos da secção «2 Referências normativas», aplicam-se as seguintes versões das normas harmonizadas:






  i) | EN 50564:2011; |
| --- | --- | --- |

EN 60436:2020

Máquinas de lavar louça elétricas para uso doméstico — Métodos para a medição do desempenho

EN 60436:2020/A11:2020

EN 60436:2020/AC:2020-6

Restrições:

a)

Para efeitos da secção «2 Referências normativas», aplicam-se as seguintes versões das normas harmonizadas:

i)

EN 50564:2011;

| ii) | EN 50643:2018 com a redação que lhe foi dada pela alteração EN 50643:2018/A1:2020; |
| --- | --- |

ii)

EN 50643:2018 com a redação que lhe foi dada pela alteração EN 50643:2018/A1:2020;

| iii) | EN 60704-2-3:2019; |
| --- | --- |

iii)

EN 60704-2-3:2019;

| iv) | EN 60704-2-3:2019 com a redação que lhe foi dada pela alteração EN 60704-2-3:2019/A11:2019; |
| --- | --- |

iv)

EN 60704-2-3:2019 com a redação que lhe foi dada pela alteração EN 60704-2-3:2019/A11:2019;

| v) | EN 60705:2015 com a redação que lhe foi dada pela alteração EN 60705:2015/A2:2018; |
| --- | --- |

v)

EN 60705:2015 com a redação que lhe foi dada pela alteração EN 60705:2015/A2:2018;

| vi) | EN 60734:2012; |
| --- | --- |

vi)

EN 60734:2012;

| vii) | ISO 607:1980. |
| --- | --- |

vii)

ISO 607:1980.

| b) | A presente publicação não abrange a coluna «Observações/notas*» do quadro ZZB.1. |
| --- | --- |

b)

A presente publicação não abrange a coluna «Observações/notas*» do quadro ZZB.1.

---

| 7.6.2021 | PT | Jornal Oficial da União Europeia | L 199/18 |
| --- | --- | --- | --- |

7.6.2021

PT

Jornal Oficial da União Europeia

L 199/18

---

DECISÃO DE EXECUÇÃO (UE) 2021/915 DA COMISSÃO

de 4 de junho de 2021

relativa às cláusulas contratuais-tipo entre os responsáveis pelo tratamento de dados pessoais e os subcontratantes nos termos do artigo 28.o, n.o 7, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho e do artigo 29.o, n.o 7, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho

(Texto relevante para efeitos do EEE)

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (RGPD) (1), nomeadamente o artigo 28.o, n.o 7,

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (RPDUE) (2), nomeadamente o artigo 29.o, n.o 7,

Considerando o seguinte:

| (1) | Os conceitos de responsável pelo tratamento e subcontratante desempenham um papel crucial na aplicação do Regulamento (UE) 2016/679 e do Regulamento (UE) 2018/1725. O responsável pelo tratamento é a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais. Para efeitos do Regulamento (UE) 2018/1725, o responsável pelo tratamento é a instituição ou o órgão da União, ou a direção-geral ou qualquer outra entidade organizativa que, individualmente ou em conjunto com outras entidades, determina as finalidades e os meios de tratamento dos dados pessoais. Caso as finalidades e os meios desse tratamento sejam determinados por um ato específico da União, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser previstos pela União. Um subcontratante é uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que trate os dados pessoais por conta do responsável pelo tratamento destes. |
| --- | --- |

(1)

Os conceitos de responsável pelo tratamento e subcontratante desempenham um papel crucial na aplicação do Regulamento (UE) 2016/679 e do Regulamento (UE) 2018/1725. O responsável pelo tratamento é a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais. Para efeitos do Regulamento (UE) 2018/1725, o responsável pelo tratamento é a instituição ou o órgão da União, ou a direção-geral ou qualquer outra entidade organizativa que, individualmente ou em conjunto com outras entidades, determina as finalidades e os meios de tratamento dos dados pessoais. Caso as finalidades e os meios desse tratamento sejam determinados por um ato específico da União, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser previstos pela União. Um subcontratante é uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que trate os dados pessoais por conta do responsável pelo tratamento destes.

| (2) | O mesmo conjunto de cláusulas contratuais-tipo deve aplicar-se no que diz respeito à relação entre responsáveis pelo tratamento de dados e subcontratantes sujeitos ao Regulamento (UE) 2016/679, e também quando estão sujeitos ao Regulamento (UE) 2018/1725. Isto porque, a fim de se dispor de uma abordagem coerente da proteção de dados pessoais em toda a União e da livre circulação de dados pessoais na União, as regras de proteção de dados constantes do Regulamento (UE) 2016/679 aplicáveis ao setor público nos Estados-Membros e as regras de proteção de dados constantes do Regulamento (UE) 2018/1725 aplicáveis às instituições e aos órgãos e organismos da União foram, na medida do possível, alinhadas entre si. |
| --- | --- |

(2)

O mesmo conjunto de cláusulas contratuais-tipo deve aplicar-se no que diz respeito à relação entre responsáveis pelo tratamento de dados e subcontratantes sujeitos ao Regulamento (UE) 2016/679, e também quando estão sujeitos ao Regulamento (UE) 2018/1725. Isto porque, a fim de se dispor de uma abordagem coerente da proteção de dados pessoais em toda a União e da livre circulação de dados pessoais na União, as regras de proteção de dados constantes do Regulamento (UE) 2016/679 aplicáveis ao setor público nos Estados-Membros e as regras de proteção de dados constantes do Regulamento (UE) 2018/1725 aplicáveis às instituições e aos órgãos e organismos da União foram, na medida do possível, alinhadas entre si.

| (3) | Para assegurar o cumprimento dos Regulamentos (UE) 2016/679 e (UE) 2018/1725, o responsável pelo tratamento, quando confiar atividades de tratamento a um subcontratante, deverá recorrer exclusivamente a subcontratantes que ofereçam garantias suficientes, especialmente em termos de conhecimentos especializados, fiabilidade e recursos, quanto à execução de medidas técnicas e organizativas que cumpram os requisitos do Regulamento (UE) 2016/679 e do Regulamento (UE) 2018/1725, incluindo no que se refere à segurança do tratamento. |
| --- | --- |

(3)

Para assegurar o cumprimento dos Regulamentos (UE) 2016/679 e (UE) 2018/1725, o responsável pelo tratamento, quando confiar atividades de tratamento a um subcontratante, deverá recorrer exclusivamente a subcontratantes que ofereçam garantias suficientes, especialmente em termos de conhecimentos especializados, fiabilidade e recursos, quanto à execução de medidas técnicas e organizativas que cumpram os requisitos do Regulamento (UE) 2016/679 e do Regulamento (UE) 2018/1725, incluindo no que se refere à segurança do tratamento.

| (4) | O tratamento por um subcontratante deve ser regulado por um contrato ou por outro ato normativo ao abrigo do direito da União ou dos Estados-Membros que vincule o subcontratante ao responsável pelo tratamento e que estabeleça os elementos enumerados no artigo 28.o, n.os 3 e 4, do Regulamento (UE) 2016/679 ou no artigo 29.o, n.os 3 e 4, do Regulamento (UE) 2018/1725. Esse contrato ou ato deve ser feito por escrito, incluindo em formato eletrónico. |
| --- | --- |

(4)

O tratamento por um subcontratante deve ser regulado por um contrato ou por outro ato normativo ao abrigo do direito da União ou dos Estados-Membros que vincule o subcontratante ao responsável pelo tratamento e que estabeleça os elementos enumerados no artigo 28.o, n.os 3 e 4, do Regulamento (UE) 2016/679 ou no artigo 29.o, n.os 3 e 4, do Regulamento (UE) 2018/1725. Esse contrato ou ato deve ser feito por escrito, incluindo em formato eletrónico.

| (5) | Nos termos do artigo 28.o, n.o 6, do Regulamento (UE) 2016/679 e do artigo 29.o, n.o 6, do Regulamento (UE) 2018/1725, o responsável pelo tratamento e o subcontratante podem optar por negociar um contrato individual que contenha os elementos obrigatórios estabelecidos no artigo 28.o, n.os 3 e 4, do Regulamento (UE) 2016/679 ou no artigo 29.o, n.os 3 e 4, do Regulamento (UE) 2018/1725, respetivamente, ou utilizar, total ou parcialmente, cláusulas contratuais-tipo adotadas pela Comissão nos termos do artigo 28.o, n.o 7, do Regulamento (UE) 2016/679 e do artigo 29.o, n.o 7, do Regulamento (UE) 2018/1725. |
| --- | --- |

(5)

Nos termos do artigo 28.o, n.o 6, do Regulamento (UE) 2016/679 e do artigo 29.o, n.o 6, do Regulamento (UE) 2018/1725, o responsável pelo tratamento e o subcontratante podem optar por negociar um contrato individual que contenha os elementos obrigatórios estabelecidos no artigo 28.o, n.os 3 e 4, do Regulamento (UE) 2016/679 ou no artigo 29.o, n.os 3 e 4, do Regulamento (UE) 2018/1725, respetivamente, ou utilizar, total ou parcialmente, cláusulas contratuais-tipo adotadas pela Comissão nos termos do artigo 28.o, n.o 7, do Regulamento (UE) 2016/679 e do artigo 29.o, n.o 7, do Regulamento (UE) 2018/1725.

| (6) | O responsável pelo tratamento e o subcontratante devem ter a liberdade de incluir as cláusulas contratuais-tipo constantes da presente decisão num contrato mais abrangente e de acrescentar outras cláusulas ou garantias adicionais, desde que não colidam, direta ou indiretamente, com as cláusulas contratuais-tipo, e sem prejuízo dos direitos ou das liberdades fundamentais dos titulares dos dados. A utilização das cláusulas contratuais-tipo em nada prejudica quaisquer obrigações contratuais do responsável pelo tratamento e/ou do subcontratante destinadas a assegurar o respeito pelos privilégios e imunidades aplicáveis. |
| --- | --- |

(6)

O responsável pelo tratamento e o subcontratante devem ter a liberdade de incluir as cláusulas contratuais-tipo constantes da presente decisão num contrato mais abrangente e de acrescentar outras cláusulas ou garantias adicionais, desde que não colidam, direta ou indiretamente, com as cláusulas contratuais-tipo, e sem prejuízo dos direitos ou das liberdades fundamentais dos titulares dos dados. A utilização das cláusulas contratuais-tipo em nada prejudica quaisquer obrigações contratuais do responsável pelo tratamento e/ou do subcontratante destinadas a assegurar o respeito pelos privilégios e imunidades aplicáveis.

| (7) | As cláusulas contratuais-tipo devem incluir regras materiais e processuais. Em consonância com o artigo 28.o, n.o 3, do Regulamento (UE) 2016/679 e com o artigo 29.o, n.o 3, do Regulamento (UE) 2018/1725, as cláusulas contratuais-tipo devem exigir igualmente que o responsável pelo tratamento e o subcontratante estabeleçam o objeto e a duração do tratamento, a sua natureza e a sua finalidade, o tipo de dados pessoais, as categorias dos titulares dos dados e as obrigações e os direitos do responsável pelo tratamento. |
| --- | --- |

(7)

As cláusulas contratuais-tipo devem incluir regras materiais e processuais. Em consonância com o artigo 28.o, n.o 3, do Regulamento (UE) 2016/679 e com o artigo 29.o, n.o 3, do Regulamento (UE) 2018/1725, as cláusulas contratuais-tipo devem exigir igualmente que o responsável pelo tratamento e o subcontratante estabeleçam o objeto e a duração do tratamento, a sua natureza e a sua finalidade, o tipo de dados pessoais, as categorias dos titulares dos dados e as obrigações e os direitos do responsável pelo tratamento.

| (8) | Nos termos do artigo 28.o, n.o 3, do Regulamento (UE) 2016/679 e do artigo 29.o, n.o 3, do Regulamento (UE) 2018/1725, o subcontratante tem de informar imediatamente o responsável pelo tratamento se, no seu entender, alguma instrução do responsável pelo tratamento violar o Regulamento (UE) 2016/679 ou o Regulamento (UE) 2018/1725, ou outras disposições do direito da União ou do direito dos Estados-Membros em matéria de proteção de dados. |
| --- | --- |

(8)

Nos termos do artigo 28.o, n.o 3, do Regulamento (UE) 2016/679 e do artigo 29.o, n.o 3, do Regulamento (UE) 2018/1725, o subcontratante tem de informar imediatamente o responsável pelo tratamento se, no seu entender, alguma instrução do responsável pelo tratamento violar o Regulamento (UE) 2016/679 ou o Regulamento (UE) 2018/1725, ou outras disposições do direito da União ou do direito dos Estados-Membros em matéria de proteção de dados.

| (9) | Se um subcontratante recorrer a outro subcontratante para realizar operações específicas de tratamento, deverão aplicar-se os requisitos específicos referidos no artigo 28.o, n.os 2 e 4, do Regulamento (UE) 2016/679 ou no artigo 29.o, n.os 2 e 4, do Regulamento (UE) 2018/1725. Em particular, é necessária uma autorização escrita prévia, específica ou geral. Quer a autorização prévia concedida seja específica ou geral, o primeiro subcontratante deve manter atualizada uma lista de outros subcontratantes. |
| --- | --- |

(9)

Se um subcontratante recorrer a outro subcontratante para realizar operações específicas de tratamento, deverão aplicar-se os requisitos específicos referidos no artigo 28.o, n.os 2 e 4, do Regulamento (UE) 2016/679 ou no artigo 29.o, n.os 2 e 4, do Regulamento (UE) 2018/1725. Em particular, é necessária uma autorização escrita prévia, específica ou geral. Quer a autorização prévia concedida seja específica ou geral, o primeiro subcontratante deve manter atualizada uma lista de outros subcontratantes.

| (10) | Para cumprir os requisitos do artigo 46.o, n.o 1, do Regulamento (UE) 2016/679, a Comissão adotou cláusulas contratuais-tipo nos termos do artigo 46.o, n.o 2, alínea c), do Regulamento (UE) 2016/679. Essas cláusulas cumprem igualmente os requisitos do artigo 28.o, n.os 3 e 4, do Regulamento (UE) 2016/679 aplicáveis às transferências de dados de responsáveis pelo tratamento sujeitos ao Regulamento (UE) 2016/679 para subcontratantes fora do âmbito de aplicação territorial desse regulamento ou de subcontratantes sujeitos ao Regulamento (UE) 2016/679 para subcontratantes ulteriores fora do âmbito de aplicação territorial desse regulamento. Estas cláusulas contratuais-tipo não podem ser utilizadas como cláusulas contratuais-tipo para efeitos do capítulo V do Regulamento (UE) 2016/679. |
| --- | --- |

(10)

Para cumprir os requisitos do artigo 46.o, n.o 1, do Regulamento (UE) 2016/679, a Comissão adotou cláusulas contratuais-tipo nos termos do artigo 46.o, n.o 2, alínea c), do Regulamento (UE) 2016/679. Essas cláusulas cumprem igualmente os requisitos do artigo 28.o, n.os 3 e 4, do Regulamento (UE) 2016/679 aplicáveis às transferências de dados de responsáveis pelo tratamento sujeitos ao Regulamento (UE) 2016/679 para subcontratantes fora do âmbito de aplicação territorial desse regulamento ou de subcontratantes sujeitos ao Regulamento (UE) 2016/679 para subcontratantes ulteriores fora do âmbito de aplicação territorial desse regulamento. Estas cláusulas contratuais-tipo não podem ser utilizadas como cláusulas contratuais-tipo para efeitos do capítulo V do Regulamento (UE) 2016/679.

| (11) | Terceiros devem poder tornar-se parte nas cláusulas contratuais-tipo ao longo da vigência do contrato. |
| --- | --- |

(11)

Terceiros devem poder tornar-se parte nas cláusulas contratuais-tipo ao longo da vigência do contrato.

| (12) | O funcionamento das cláusulas contratuais-tipo deve ser avaliado enquanto subparte da avaliação periódica do Regulamento (UE) 2016/679 referida no artigo 97.o desse regulamento. |
| --- | --- |

(12)

O funcionamento das cláusulas contratuais-tipo deve ser avaliado enquanto subparte da avaliação periódica do Regulamento (UE) 2016/679 referida no artigo 97.o desse regulamento.

| (13) | A Autoridade Europeia para a Proteção de Dados e o Comité Europeu para a Proteção de Dados foram consultados nos termos do artigo 42.o, n.os 1 e 2, do Regulamento (UE) 2018/1725 e emitiram um parecer comum em 14 de janeiro de 2021 (3), que foi tido em consideração na preparação da presente decisão. |
| --- | --- |

(13)

A Autoridade Europeia para a Proteção de Dados e o Comité Europeu para a Proteção de Dados foram consultados nos termos do artigo 42.o, n.os 1 e 2, do Regulamento (UE) 2018/1725 e emitiram um parecer comum em 14 de janeiro de 2021 (3), que foi tido em consideração na preparação da presente decisão.

| (14) | As medidas previstas na presente decisão são conformes ao parecer do Comité instituído pelo artigo 93.o do Regulamento (UE) 2016/679 e pelo artigo 96.o, n.o 2, do Regulamento (UE) 2018/1725, |
| --- | --- |

(14)

As medidas previstas na presente decisão são conformes ao parecer do Comité instituído pelo artigo 93.o do Regulamento (UE) 2016/679 e pelo artigo 96.o, n.o 2, do Regulamento (UE) 2018/1725,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o

As cláusulas contratuais-tipo constantes do anexo cumprem os requisitos aplicáveis aos contratos celebrados entre responsáveis pelo tratamento e subcontratantes referidos no artigo 28.o, n.os 3 e 4, do Regulamento (UE) 2016/679 e no artigo 29.o, n.os 3 e 4, do Regulamento (UE) 2018/1725.

Artigo 2.o

As cláusulas contratuais-tipo constantes do anexo podem ser utilizadas em contratos celebrados entre um responsável pelo tratamento e um subcontratante que trate dados pessoais por conta do responsável pelo tratamento.

Artigo 3.o

A Comissão deve avaliar a aplicação prática das cláusulas contratuais-tipo constantes do anexo com base em todas as informações disponíveis, no âmbito da avaliação periódica prevista no artigo 97.o do Regulamento (UE) 2016/679.

Artigo 4.o

A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Feito em Bruxelas, em 4 de junho de 2021.

Pela Comissão

A Presidente

Ursula VON DER LEYEN

---

(1)  
  JO L 119 de 4.5.2016, p. 1.

1

(2)  
  JO L 295 de 21.11.2018, p. 39.

2

(3)  
  «
  EDPB — EDPS Joint Opinion 1/2021 on the European Commission’s Implementing Decision on standard contractual clauses between controllers and processors for the matters referred to in Article 28 (7) of Regulation (EU) 2016/679 and Article 29 (7) of Regulation (EU) 2018/1725
  » [Parecer conjunto 1/2021 do CEPD e da AEPD sobre a Decisão de Execução da Comissão Europeia relativa às cláusulas contratuais-tipo entre os responsáveis pelo tratamento de dados pessoais e os subcontratantes para as matérias referidas no artigo 28.o, n.o 7, do Regulamento (UE) 2016/679 e no artigo 29.o, n.o 7, do Regulamento (UE) 2018/1725].

3

EDPB

EDPS Joint Opinion 1/2021 on the European Commission’s Implementing Decision on standard contractual clauses between controllers and processors for the matters referred to in Article 28 (7) of Regulation (EU) 2016/679 and Article 29 (7) of Regulation (EU) 2018/1725

o

o

o

o

---

ANEXO

Cláusulas contratuais-tipo

SECÇÃO I

Cláusula 1

Finalidade e âmbito de aplicação

| a) | As presentes cláusulas contratuais-tipo (cláusulas) visam assegurar a conformidade com [escolher a opção relevante: OPÇÃO 1: o artigo 28.o, n.os 3 e 4, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados)]/[OPÇÃO 2: o artigo 29.o, n.os 3 e 4, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE]. |
| --- | --- |

a)

As presentes cláusulas contratuais-tipo (cláusulas) visam assegurar a conformidade com [escolher a opção relevante: OPÇÃO 1: o artigo 28.o, n.os 3 e 4, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados)]/[OPÇÃO 2: o artigo 29.o, n.os 3 e 4, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE].

| b) | Os responsáveis pelo tratamento e os subcontratantes enumerados no anexo I acordaram nas presentes cláusulas a fim de assegurar o cumprimento do disposto no artigo 28.o, n.os 3 e 4, do Regulamento (UE) 2016/679 e/ou no artigo 29.o, n.os 3 e 4, do Regulamento (UE) 2018/1725. |
| --- | --- |

b)

Os responsáveis pelo tratamento e os subcontratantes enumerados no anexo I acordaram nas presentes cláusulas a fim de assegurar o cumprimento do disposto no artigo 28.o, n.os 3 e 4, do Regulamento (UE) 2016/679 e/ou no artigo 29.o, n.os 3 e 4, do Regulamento (UE) 2018/1725.

| c) | As presentes cláusulas são aplicáveis ao tratamento de dados pessoais, conforme especificado no anexo II. |
| --- | --- |

c)

As presentes cláusulas são aplicáveis ao tratamento de dados pessoais, conforme especificado no anexo II.

| d) | Os anexos I a IV são parte integrante das cláusulas. |
| --- | --- |

d)

Os anexos I a IV são parte integrante das cláusulas.

| e) | As presentes cláusulas não prejudicam as obrigações a que o responsável pelo tratamento está sujeito por força do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725. |
| --- | --- |

e)

As presentes cláusulas não prejudicam as obrigações a que o responsável pelo tratamento está sujeito por força do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725.

| f) | As presentes cláusulas não garantem, por si só, o cumprimento das obrigações relacionadas com as transferências internacionais em conformidade com o capítulo V do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725. |
| --- | --- |

f)

As presentes cláusulas não garantem, por si só, o cumprimento das obrigações relacionadas com as transferências internacionais em conformidade com o capítulo V do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725.

Cláusula 2

Invariabilidade das cláusulas

| a) | As Partes comprometem-se a não alterar as cláusulas, exceto para acrescentar informações nos anexos ou atualizar as informações neles contidas. |
| --- | --- |

a)

As Partes comprometem-se a não alterar as cláusulas, exceto para acrescentar informações nos anexos ou atualizar as informações neles contidas.

| b) | Tal não impede as Partes de incluírem as cláusulas contratuais-tipo estabelecidas nas presentes cláusulas num contrato mais abrangente ou de acrescentarem outras cláusulas ou garantias adicionais, desde que não colidam, direta ou indiretamente, com as cláusulas, e sem prejuízo dos direitos ou das liberdades fundamentais dos titulares dos dados. |
| --- | --- |

b)

Tal não impede as Partes de incluírem as cláusulas contratuais-tipo estabelecidas nas presentes cláusulas num contrato mais abrangente ou de acrescentarem outras cláusulas ou garantias adicionais, desde que não colidam, direta ou indiretamente, com as cláusulas, e sem prejuízo dos direitos ou das liberdades fundamentais dos titulares dos dados.

Cláusula 3

Interpretação

| a) | Caso as presentes cláusulas utilizem os termos definidos no Regulamento (UE) 2016/679 ou no Regulamento (UE) 2018/1725, respetivamente, esses termos terão o mesmo significado que lhes é atribuído no regulamento em causa. |
| --- | --- |

a)

Caso as presentes cláusulas utilizem os termos definidos no Regulamento (UE) 2016/679 ou no Regulamento (UE) 2018/1725, respetivamente, esses termos terão o mesmo significado que lhes é atribuído no regulamento em causa.

| b) | As presentes cláusulas devem ser lidas e interpretadas à luz das disposições do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725, respetivamente. |
| --- | --- |

b)

As presentes cláusulas devem ser lidas e interpretadas à luz das disposições do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725, respetivamente.

| c) | As presentes cláusulas não devem ser interpretadas de forma contrária aos direitos e obrigações previstos no Regulamento (UE) 2016/679/Regulamento (UE) 2018/1725, sem prejuízo dos direitos e das liberdades fundamentais dos titulares dos dados. |
| --- | --- |

c)

As presentes cláusulas não devem ser interpretadas de forma contrária aos direitos e obrigações previstos no Regulamento (UE) 2016/679/Regulamento (UE) 2018/1725, sem prejuízo dos direitos e das liberdades fundamentais dos titulares dos dados.

Cláusula 4

Hierarquia

Em caso de contradição entre as presentes cláusulas e as disposições de acordos conexos celebrados entre as Partes que se encontrem em vigor no momento em que as presentes cláusulas sejam acordadas ou que sejam celebrados posteriormente, prevalecem as presentes cláusulas.

Cláusula 5 — Facultativa

Cláusula de adesão

| a) | Qualquer entidade que não seja Parte nas presentes cláusulas pode, com o acordo de todas as Partes, aderir, em qualquer momento, às presentes cláusulas, como responsável pelo tratamento ou como subcontratante, preenchendo os anexos e assinando o anexo I. |
| --- | --- |

a)

Qualquer entidade que não seja Parte nas presentes cláusulas pode, com o acordo de todas as Partes, aderir, em qualquer momento, às presentes cláusulas, como responsável pelo tratamento ou como subcontratante, preenchendo os anexos e assinando o anexo I.

| b) | Uma vez preenchidos e assinados os anexos referidos na alínea a), a entidade aderente é tratada como Parte nas presentes cláusulas e tem os direitos e as obrigações de um responsável pelo tratamento ou subcontratante, em conformidade com a sua designação no anexo I. |
| --- | --- |

b)

Uma vez preenchidos e assinados os anexos referidos na alínea a), a entidade aderente é tratada como Parte nas presentes cláusulas e tem os direitos e as obrigações de um responsável pelo tratamento ou subcontratante, em conformidade com a sua designação no anexo I.

| c) | A entidade aderente não tem quaisquer direitos ou obrigações decorrentes das presentes cláusulas em relação ao período antes de se ter tornado Parte. |
| --- | --- |

c)

A entidade aderente não tem quaisquer direitos ou obrigações decorrentes das presentes cláusulas em relação ao período antes de se ter tornado Parte.

SECÇÃO II

OBRIGAÇÕES DAS PARTES

Cláusula 6

Descrição do(s) tratamento(s)

Os pormenores das operações de tratamento, em particular as categorias de dados pessoais e as finalidades do tratamento para as quais os dados pessoais são tratados por conta do responsável pelo tratamento, são especificados no anexo II.

Cláusula 7

Obrigações das Partes

7.1.   Instruções

| a) | O subcontratante deve proceder ao tratamento de dados pessoais apenas mediante instruções documentadas do responsável pelo tratamento, salvo se for obrigado a fazê-lo pelo direito da União ou pelo direito do Estado-Membro a que esteja sujeito. Neste caso, o subcontratante deve informar o responsável pelo tratamento desse requisito jurídico antes do tratamento, salvo se a lei o proibir por motivos importantes de interesse público. O responsável pelo tratamento pode dar instruções subsequentes ao longo de toda a duração do tratamento de dados pessoais. Estas instruções devem ser sempre documentadas. |
| --- | --- |

a)

O subcontratante deve proceder ao tratamento de dados pessoais apenas mediante instruções documentadas do responsável pelo tratamento, salvo se for obrigado a fazê-lo pelo direito da União ou pelo direito do Estado-Membro a que esteja sujeito. Neste caso, o subcontratante deve informar o responsável pelo tratamento desse requisito jurídico antes do tratamento, salvo se a lei o proibir por motivos importantes de interesse público. O responsável pelo tratamento pode dar instruções subsequentes ao longo de toda a duração do tratamento de dados pessoais. Estas instruções devem ser sempre documentadas.

| b) | O subcontratante deve informar imediatamente o responsável pelo tratamento se, no seu entender, as instruções dadas pelo responsável pelo tratamento violarem o Regulamento (UE) 2016/679/Regulamento (UE) 2018/1725 ou as disposições aplicáveis do direito da União ou do direito dos Estados-Membros em matéria de proteção de dados. |
| --- | --- |

b)

O subcontratante deve informar imediatamente o responsável pelo tratamento se, no seu entender, as instruções dadas pelo responsável pelo tratamento violarem o Regulamento (UE) 2016/679/Regulamento (UE) 2018/1725 ou as disposições aplicáveis do direito da União ou do direito dos Estados-Membros em matéria de proteção de dados.

7.2.   Limitação das finalidades

O subcontratante deve proceder ao tratamento dos dados pessoais apenas para a(s) finalidade(s) específica(s) do tratamento, conforme estabelecido no anexo II, salvo se receber instruções adicionais do responsável pelo tratamento.

7.3.   Duração do tratamento de dados pessoais

O tratamento pelo subcontratante só pode ocorrer durante o período especificado no anexo II.

7.4.   Segurança do tratamento

| a) | O subcontratante deve, pelo menos, aplicar as medidas técnicas e organizativas especificadas no anexo III para garantir a segurança dos dados pessoais. Tal inclui a proteção dos dados contra uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados aos dados (violação de dados pessoais). Ao avaliar o nível de segurança adequado, as Partes devem ter em devida conta as técnicas mais avançadas, os custos de aplicação, a natureza, o âmbito, o contexto e as finalidades do tratamento e os riscos para os titulares dos dados. |
| --- | --- |

a)

O subcontratante deve, pelo menos, aplicar as medidas técnicas e organizativas especificadas no anexo III para garantir a segurança dos dados pessoais. Tal inclui a proteção dos dados contra uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados aos dados (violação de dados pessoais). Ao avaliar o nível de segurança adequado, as Partes devem ter em devida conta as técnicas mais avançadas, os custos de aplicação, a natureza, o âmbito, o contexto e as finalidades do tratamento e os riscos para os titulares dos dados.

| b) | O subcontratante só deve conceder acesso aos dados pessoais objeto de tratamento aos membros do seu pessoal na medida estritamente necessária para a execução, a gestão e o acompanhamento do contrato. O subcontratante deve assegurar que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas às obrigações legais de confidencialidade adequadas. |
| --- | --- |

b)

O subcontratante só deve conceder acesso aos dados pessoais objeto de tratamento aos membros do seu pessoal na medida estritamente necessária para a execução, a gestão e o acompanhamento do contrato. O subcontratante deve assegurar que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas às obrigações legais de confidencialidade adequadas.

7.5.   Dados sensíveis

Se o tratamento envolver dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas ou a filiação sindical, dados genéticos ou biométricos destinados a identificar uma pessoa singular de forma inequívoca, dados relativos à saúde, à vida sexual ou à orientação sexual de uma pessoa ou dados relacionados com condenações penais e com infrações («dados sensíveis»), o subcontratante deve aplicar limitações específicas e/ou garantias adicionais.

7.6   Documentação e cumprimento

| a) | As Partes devem poder demonstrar o cumprimento das presentes cláusulas. |
| --- | --- |

a)

As Partes devem poder demonstrar o cumprimento das presentes cláusulas.

| b) | O subcontratante deve responder, rápida e adequadamente, aos pedidos de informação do responsável pelo tratamento sobre o tratamento de dados, em conformidade com as presentes cláusulas. |
| --- | --- |

b)

O subcontratante deve responder, rápida e adequadamente, aos pedidos de informação do responsável pelo tratamento sobre o tratamento de dados, em conformidade com as presentes cláusulas.

| c) | O subcontratante deve disponibilizar ao responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas nas presentes cláusulas decorrentes diretamente do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725. A pedido do responsável pelo tratamento, o subcontratante deve igualmente facilitar e contribuir para as auditorias das operações de tratamento abrangidas pelas presentes cláusulas, a intervalos razoáveis ou se houver indícios de incumprimento. Ao decidir sobre uma revisão ou uma auditoria, o responsável pelo tratamento pode ter em conta as certificações pertinentes detidas pelo subcontratante. |
| --- | --- |

c)

O subcontratante deve disponibilizar ao responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas nas presentes cláusulas decorrentes diretamente do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725. A pedido do responsável pelo tratamento, o subcontratante deve igualmente facilitar e contribuir para as auditorias das operações de tratamento abrangidas pelas presentes cláusulas, a intervalos razoáveis ou se houver indícios de incumprimento. Ao decidir sobre uma revisão ou uma auditoria, o responsável pelo tratamento pode ter em conta as certificações pertinentes detidas pelo subcontratante.

| d) | O responsável pelo tratamento pode optar por realizar, ele próprio, a auditoria ou mandatar um auditor independente. As auditorias podem igualmente incluir inspeções nos edifícios ou nas instalações físicas do subcontratante, devendo, se for caso disso, ser realizadas com uma antecedência razoável. |
| --- | --- |

d)

O responsável pelo tratamento pode optar por realizar, ele próprio, a auditoria ou mandatar um auditor independente. As auditorias podem igualmente incluir inspeções nos edifícios ou nas instalações físicas do subcontratante, devendo, se for caso disso, ser realizadas com uma antecedência razoável.

| e) | As Partes devem disponibilizar as informações referidas na presente cláusula, incluindo os resultados de quaisquer auditorias, à(s) autoridade de controlo competente(s), mediante pedido. |
| --- | --- |

e)

As Partes devem disponibilizar as informações referidas na presente cláusula, incluindo os resultados de quaisquer auditorias, à(s) autoridade de controlo competente(s), mediante pedido.

7.7.   Recurso a subcontratantes ulteriores

| a) | OPÇÃO 1: AUTORIZAÇÃO PRÉVIA ESPECÍFICA: O subcontratante não pode subcontratar nenhuma das suas operações de tratamento efetuadas por conta do responsável pelo tratamento em conformidade com as presentes cláusulas a um subcontratante ulterior sem a autorização escrita prévia específica do responsável pelo tratamento. O subcontratante deve apresentar o pedido de autorização específica pelo menos [ESPECIFICAR PERÍODO] antes da contratação do subcontratante ulterior em causa, juntamente com as informações necessárias para permitir ao responsável pelo tratamento tomar uma decisão sobre a autorização. A lista de subcontratantes ulteriores autorizados pelo responsável pelo tratamento pode ser consultada no anexo IV. As Partes devem manter o anexo IV atualizado.
  OPÇÃO 2: AUTORIZAÇÃO ESCRITA GERAL: O subcontratante tem a autorização geral do responsável pelo tratamento para a contratação de subcontratantes ulteriores a partir de uma lista acordada. O subcontratante deve informar especificamente o responsável pelo tratamento, por escrito, das alterações pretendidas a efetuar a essa lista quanto ao aumento do número ou à substituição de subcontratantes ulteriores com uma antecedência mínima de [ESPECIFICAR PERÍODO], dando assim ao responsável pelo tratamento tempo suficiente para se opor a essas alterações antes da contratação do(s) subcontratante(s) ulterior(es) em causa. O subcontratante deve fornecer ao responsável pelo tratamento as informações necessárias para que este último possa exercer o direito de oposição. |
| --- | --- |

a)

OPÇÃO 1: AUTORIZAÇÃO PRÉVIA ESPECÍFICA: O subcontratante não pode subcontratar nenhuma das suas operações de tratamento efetuadas por conta do responsável pelo tratamento em conformidade com as presentes cláusulas a um subcontratante ulterior sem a autorização escrita prévia específica do responsável pelo tratamento. O subcontratante deve apresentar o pedido de autorização específica pelo menos [ESPECIFICAR PERÍODO] antes da contratação do subcontratante ulterior em causa, juntamente com as informações necessárias para permitir ao responsável pelo tratamento tomar uma decisão sobre a autorização. A lista de subcontratantes ulteriores autorizados pelo responsável pelo tratamento pode ser consultada no anexo IV. As Partes devem manter o anexo IV atualizado.

OPÇÃO 2: AUTORIZAÇÃO ESCRITA GERAL: O subcontratante tem a autorização geral do responsável pelo tratamento para a contratação de subcontratantes ulteriores a partir de uma lista acordada. O subcontratante deve informar especificamente o responsável pelo tratamento, por escrito, das alterações pretendidas a efetuar a essa lista quanto ao aumento do número ou à substituição de subcontratantes ulteriores com uma antecedência mínima de [ESPECIFICAR PERÍODO], dando assim ao responsável pelo tratamento tempo suficiente para se opor a essas alterações antes da contratação do(s) subcontratante(s) ulterior(es) em causa. O subcontratante deve fornecer ao responsável pelo tratamento as informações necessárias para que este último possa exercer o direito de oposição.

| b) | Caso o subcontratante contrate um subcontratante ulterior para realizar operações específicas de tratamento (por conta do responsável pelo tratamento), deve fazê-o através de um contrato que imponha ao subcontratante ulterior, do ponto de vista material, as mesmas obrigações em matéria de proteção de dados que as impostas ao subcontratante em conformidade com as presentes cláusulas. O subcontratante deve assegurar o cumprimento, pelo subcontratante ulterior, das obrigações a que o subcontratante está sujeito nos termos das presentes cláusulas e do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725. |
| --- | --- |

b)

Caso o subcontratante contrate um subcontratante ulterior para realizar operações específicas de tratamento (por conta do responsável pelo tratamento), deve fazê-o através de um contrato que imponha ao subcontratante ulterior, do ponto de vista material, as mesmas obrigações em matéria de proteção de dados que as impostas ao subcontratante em conformidade com as presentes cláusulas. O subcontratante deve assegurar o cumprimento, pelo subcontratante ulterior, das obrigações a que o subcontratante está sujeito nos termos das presentes cláusulas e do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725.

| c) | O subcontratante deve facultar ao responsável pelo tratamento, a pedido do mesmo, uma cópia do referido acordo de subcontratação e de quaisquer alterações subsequentes. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo dados pessoais, o subcontratante pode editar o texto do acordo antes de partilhar a cópia. |
| --- | --- |

c)

O subcontratante deve facultar ao responsável pelo tratamento, a pedido do mesmo, uma cópia do referido acordo de subcontratação e de quaisquer alterações subsequentes. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo dados pessoais, o subcontratante pode editar o texto do acordo antes de partilhar a cópia.

| d) | O subcontratante continua a ser inteiramente responsável, perante o responsável pelo tratamento, pelo cumprimento das obrigações que incumbem ao subcontratante ulterior em conformidade com o seu contrato com o subcontratante. O subcontratante deve notificar o responsável pelo tratamento de qualquer incumprimento, pelo subcontratante ulterior, das obrigações contratuais que lhe incumbem. |
| --- | --- |

d)

O subcontratante continua a ser inteiramente responsável, perante o responsável pelo tratamento, pelo cumprimento das obrigações que incumbem ao subcontratante ulterior em conformidade com o seu contrato com o subcontratante. O subcontratante deve notificar o responsável pelo tratamento de qualquer incumprimento, pelo subcontratante ulterior, das obrigações contratuais que lhe incumbem.

| e) | O subcontratante deve acordar com o subcontratante ulterior uma cláusula do terceiro beneficiário nos termos da qual - em caso de desaparecimento de facto, de extinção legal ou de insolvência do subcontratante - o responsável pelo tratamento tem o direito de rescindir o contrato do subcontratante ulterior e de dar instruções ao subcontratante ulterior para apagar ou devolver os dados pessoais. |
| --- | --- |

e)

O subcontratante deve acordar com o subcontratante ulterior uma cláusula do terceiro beneficiário nos termos da qual - em caso de desaparecimento de facto, de extinção legal ou de insolvência do subcontratante - o responsável pelo tratamento tem o direito de rescindir o contrato do subcontratante ulterior e de dar instruções ao subcontratante ulterior para apagar ou devolver os dados pessoais.

7.8.   Transferências internacionais

| a) | Qualquer transferência de dados para um país terceiro ou para uma organização internacional pelo subcontratante só pode ser efetuada com base em instruções documentadas do responsável pelo tratamento ou a fim de cumprir um requisito específico ao abrigo do direito da União ou do direito do Estado-Membro a que o subcontratante esteja sujeito e deve ter lugar em conformidade com o capítulo V do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725. |
| --- | --- |

a)

Qualquer transferência de dados para um país terceiro ou para uma organização internacional pelo subcontratante só pode ser efetuada com base em instruções documentadas do responsável pelo tratamento ou a fim de cumprir um requisito específico ao abrigo do direito da União ou do direito do Estado-Membro a que o subcontratante esteja sujeito e deve ter lugar em conformidade com o capítulo V do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725.

| b) | O responsável pelo tratamento concorda que, caso o subcontratante contrate um subcontratante ulterior, em conformidade com a cláusula 7.7, para realizar operações específicas de tratamento (por conta do responsável pelo tratamento) e essas operações de tratamento envolvam uma transferência de dados pessoais na aceção do capítulo V do Regulamento (UE) 2016/679, o subcontratante e o subcontratante ulterior podem assegurar o cumprimento do capítulo V do Regulamento (UE) 2016/679 recorrendo às cláusulas contratuais-tipo adotadas pela Comissão em conformidade com o artigo 46.o, n.o 2, do Regulamento (UE) 2016/679, desde que as condições para o recurso a essas cláusulas contratuais-tipo sejam cumpridas. |
| --- | --- |

b)

O responsável pelo tratamento concorda que, caso o subcontratante contrate um subcontratante ulterior, em conformidade com a cláusula 7.7, para realizar operações específicas de tratamento (por conta do responsável pelo tratamento) e essas operações de tratamento envolvam uma transferência de dados pessoais na aceção do capítulo V do Regulamento (UE) 2016/679, o subcontratante e o subcontratante ulterior podem assegurar o cumprimento do capítulo V do Regulamento (UE) 2016/679 recorrendo às cláusulas contratuais-tipo adotadas pela Comissão em conformidade com o artigo 46.o, n.o 2, do Regulamento (UE) 2016/679, desde que as condições para o recurso a essas cláusulas contratuais-tipo sejam cumpridas.

Cláusula 8

Assistência ao responsável pelo tratamento

| a) | O subcontratante deve notificar imediatamente o responsável pelo tratamento de qualquer pedido que tenha recebido do titular dos dados. Não pode responder ele próprio a esse pedido, salvo se autorizado a fazê-lo pelo responsável pelo tratamento. |
| --- | --- |

a)

O subcontratante deve notificar imediatamente o responsável pelo tratamento de qualquer pedido que tenha recebido do titular dos dados. Não pode responder ele próprio a esse pedido, salvo se autorizado a fazê-lo pelo responsável pelo tratamento.

| b) | O subcontratante deve prestar assistência ao responsável pelo tratamento no cumprimento das suas obrigações de resposta aos pedidos de exercício de direitos apresentados pelos titulares dos dados, tendo em conta a natureza do tratamento. No cumprimento das obrigações que lhe incumbem por força das alíneas a) e b), o subcontratante deve cumprir as instruções do responsável pelo tratamento. |
| --- | --- |

b)

O subcontratante deve prestar assistência ao responsável pelo tratamento no cumprimento das suas obrigações de resposta aos pedidos de exercício de direitos apresentados pelos titulares dos dados, tendo em conta a natureza do tratamento. No cumprimento das obrigações que lhe incumbem por força das alíneas a) e b), o subcontratante deve cumprir as instruções do responsável pelo tratamento.

| c) | Para além da obrigação que incumbe ao subcontratante de prestar assistência ao responsável pelo tratamento nos termos da cláusula 8, alínea b), o subcontratante deve ainda prestar assistência ao responsável pelo tratamento para assegurar o cumprimento das obrigações a seguir indicadas, tendo em conta a natureza do tratamento de dados e as informações ao seu dispor:






  1) | a obrigação de proceder a uma avaliação do impacto das operações de tratamento previstas na proteção de dados pessoais (uma «avaliação de impacto relativa à proteção de dados») caso um tipo de tratamento seja suscetível de constituir um elevado risco para os direitos e as liberdades das pessoas singulares; |
| --- | --- | --- |

c)

Para além da obrigação que incumbe ao subcontratante de prestar assistência ao responsável pelo tratamento nos termos da cláusula 8, alínea b), o subcontratante deve ainda prestar assistência ao responsável pelo tratamento para assegurar o cumprimento das obrigações a seguir indicadas, tendo em conta a natureza do tratamento de dados e as informações ao seu dispor:

1)

a obrigação de proceder a uma avaliação do impacto das operações de tratamento previstas na proteção de dados pessoais (uma «avaliação de impacto relativa à proteção de dados») caso um tipo de tratamento seja suscetível de constituir um elevado risco para os direitos e as liberdades das pessoas singulares;

| 2) | a obrigação de consultar a(s) autoridade de controlo competente(s) antes de proceder ao tratamento quando a avaliação de impacto relativa à proteção de dados indicar que o tratamento resultaria num elevado risco na ausência das medidas tomadas pelo responsável pelo tratamento para atenuar o risco; |
| --- | --- |

2)

a obrigação de consultar a(s) autoridade de controlo competente(s) antes de proceder ao tratamento quando a avaliação de impacto relativa à proteção de dados indicar que o tratamento resultaria num elevado risco na ausência das medidas tomadas pelo responsável pelo tratamento para atenuar o risco;

| 3) | a obrigação de assegurar que os dados pessoais sejam exatos e atualizados, informando sem demora o responsável pelo tratamento se o subcontratante tomar conhecimento de que os dados pessoais que está a tratar são inexatos ou estão desatualizados; |
| --- | --- |

3)

a obrigação de assegurar que os dados pessoais sejam exatos e atualizados, informando sem demora o responsável pelo tratamento se o subcontratante tomar conhecimento de que os dados pessoais que está a tratar são inexatos ou estão desatualizados;

| 4) | as obrigações previstas [OPÇÃO 1] no artigo 32.o do Regulamento (UE) 2016/679/[OPÇÃO 2] nos artigos 33.o e 36.o a 38.o do Regulamento (UE) 2018/1725. |
| --- | --- |

4)

as obrigações previstas [OPÇÃO 1] no artigo 32.o do Regulamento (UE) 2016/679/[OPÇÃO 2] nos artigos 33.o e 36.o a 38.o do Regulamento (UE) 2018/1725.

| d) | As Partes devem estabelecer, no anexo III, as medidas técnicas e organizativas adequadas através das quais o subcontratante é obrigado a prestar assistência ao responsável pelo tratamento na aplicação da presente cláusula, bem como o âmbito e a amplitude da assistência necessária. |
| --- | --- |

d)

As Partes devem estabelecer, no anexo III, as medidas técnicas e organizativas adequadas através das quais o subcontratante é obrigado a prestar assistência ao responsável pelo tratamento na aplicação da presente cláusula, bem como o âmbito e a amplitude da assistência necessária.

Cláusula 9

Notificação de violação de dados pessoais

Em caso de violação de dados pessoais, o subcontratante deve cooperar com o responsável pelo tratamento e prestar-lhe assistência para que este cumpra as obrigações que lhe incumbem por força dos artigos 33.o e 34.o do Regulamento (UE) 2016/679 ou dos artigos 34.o e 35.o do Regulamento (UE) 2018/1725, se aplicável, tendo em conta a natureza do tratamento e as informações ao seu dispor.

9.1   Violação de dados relativa a dados tratados pelo responsável pelo tratamento

Em caso de violação de dados pessoais relativa a dados tratados pelo responsável pelo tratamento, o subcontratante deve prestar assistência ao responsável pelo tratamento:

| a) | Na notificação da violação de dados pessoais à(s) autoridade de controlo competente(s), sem demora injustificada, após o responsável pelo tratamento ter tomado conhecimento da violação, quando pertinente/(salvo se essa violação não for suscetível de constituir um risco para os direitos e para as liberdades das pessoas singulares); |
| --- | --- |

a)

Na notificação da violação de dados pessoais à(s) autoridade de controlo competente(s), sem demora injustificada, após o responsável pelo tratamento ter tomado conhecimento da violação, quando pertinente/(salvo se essa violação não for suscetível de constituir um risco para os direitos e para as liberdades das pessoas singulares);

| b) | Na obtenção das informações a seguir enumeradas que, nos termos do [OPÇÃO 1] artigo 33.o, n.o 3, do Regulamento (UE) 2016/679/[OPÇÃO 2] artigo 34.o, n.o 3, do Regulamento (UE) 2018/1725, devem ser indicadas na notificação do responsável pelo tratamento e têm de incluir, pelo menos:






  1) | A natureza dos dados pessoais, incluindo, se possível, as categorias e o número aproximado de titulares de dados afetados, e as categorias e o número aproximado de registos de dados pessoais em causa, |
| --- | --- | --- |

b)

Na obtenção das informações a seguir enumeradas que, nos termos do [OPÇÃO 1] artigo 33.o, n.o 3, do Regulamento (UE) 2016/679/[OPÇÃO 2] artigo 34.o, n.o 3, do Regulamento (UE) 2018/1725, devem ser indicadas na notificação do responsável pelo tratamento e têm de incluir, pelo menos:

1)

A natureza dos dados pessoais, incluindo, se possível, as categorias e o número aproximado de titulares de dados afetados, e as categorias e o número aproximado de registos de dados pessoais em causa,

| 2) | As consequências prováveis da violação de dados pessoais, |
| --- | --- |

2)

As consequências prováveis da violação de dados pessoais,

| 3) | As medidas adotadas ou propostas pelo responsável pelo tratamento para reparar a violação de dados pessoais, incluindo, se for caso disso, medidas para atenuar os seus eventuais efeitos negativos. |
| --- | --- |

3)

As medidas adotadas ou propostas pelo responsável pelo tratamento para reparar a violação de dados pessoais, incluindo, se for caso disso, medidas para atenuar os seus eventuais efeitos negativos.

Caso, e na medida em que, não seja possível comunicar todas estas informações ao mesmo tempo, a notificação inicial deve conter as informações então disponíveis, devendo outras informações, à medida que fiquem disponíveis, ser fornecidas posteriormente sem demora injustificada.

| c) | No cumprimento, nos termos do [OPÇÃO 1] artigo 34.o do Regulamento (UE) 2016/679/[OPÇÃO 2] artigo 35.o do Regulamento (UE) 2018/1725, da obrigação de comunicar, sem demora injustificada, a violação de dados pessoais ao titular dos dados, caso a violação de dados pessoais seja suscetível de constituir um elevado risco para os direitos e as liberdades das pessoas singulares. |
| --- | --- |

c)

No cumprimento, nos termos do [OPÇÃO 1] artigo 34.o do Regulamento (UE) 2016/679/[OPÇÃO 2] artigo 35.o do Regulamento (UE) 2018/1725, da obrigação de comunicar, sem demora injustificada, a violação de dados pessoais ao titular dos dados, caso a violação de dados pessoais seja suscetível de constituir um elevado risco para os direitos e as liberdades das pessoas singulares.

9.2   Violação de dados relativa a dados tratados pelo subcontratante

Em caso de violação de dados pessoais relativa a dados tratados pelo subcontratante, o subcontratante deve notificar o responsável pelo tratamento, sem demora injustificada, após ter tomado conhecimento da violação. Esta notificação deve conter, pelo menos, os seguintes elementos:

| a) | Uma descrição da natureza da violação (incluindo, se possível, as categorias e o número aproximado de titulares de dados afetados e de registos de dados em causa); |
| --- | --- |

a)

Uma descrição da natureza da violação (incluindo, se possível, as categorias e o número aproximado de titulares de dados afetados e de registos de dados em causa);

| b) | Os dados de um ponto de contacto onde possam ser obtidas mais informações relativas à violação de dados pessoais; |
| --- | --- |

b)

Os dados de um ponto de contacto onde possam ser obtidas mais informações relativas à violação de dados pessoais;

| c) | As consequências prováveis da violação e as medidas adotadas ou propostas para a reparar, incluindo para atenuar os seus eventuais efeitos negativos. |
| --- | --- |

c)

As consequências prováveis da violação e as medidas adotadas ou propostas para a reparar, incluindo para atenuar os seus eventuais efeitos negativos.

Caso, e na medida em que, não seja possível comunicar todas estas informações ao mesmo tempo, a notificação inicial deve conter as informações então disponíveis, devendo outras informações, à medida que fiquem disponíveis, ser fornecidas posteriormente sem demora injustificada.

As Partes devem estabelecer, no anexo III, todos os outros elementos a fornecer pelo subcontratante aquando da prestação de assistência ao responsável pelo tratamento no cumprimento das obrigações que lhe incumbem por força dos [OPÇÃO 1] artigos 33.o e 34.o do Regulamento (UE) 2016/679/[OPÇÃO 2] artigos 34.o e 35.o do Regulamento (UE) 2018/1725.

SECÇÃO III

DISPOSIÇÕES FINAIS

Cláusula 10

Incumprimento das cláusulas e rescisão

| a) | Sem prejuízo de quaisquer disposições do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725, caso o subcontratante viole as obrigações que lhe incumbem por força das presentes cláusulas, o responsável pelo tratamento pode dar instruções ao subcontratante para suspender o tratamento de dados pessoais até que este último cumpra as presentes cláusulas ou até que o contrato seja rescindido. O subcontratante deve informar imediatamente o responsável pelo tratamento caso, por qualquer motivo, não possa cumprir as presentes cláusulas. |
| --- | --- |

a)

Sem prejuízo de quaisquer disposições do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725, caso o subcontratante viole as obrigações que lhe incumbem por força das presentes cláusulas, o responsável pelo tratamento pode dar instruções ao subcontratante para suspender o tratamento de dados pessoais até que este último cumpra as presentes cláusulas ou até que o contrato seja rescindido. O subcontratante deve informar imediatamente o responsável pelo tratamento caso, por qualquer motivo, não possa cumprir as presentes cláusulas.

| b) | O responsável pelo tratamento tem o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de dados pessoais em conformidade com as presentes cláusulas, se:






  1) | o tratamento de dados pessoais pelo subcontratante tiver sido suspenso pelo responsável pelo tratamento nos termos da alínea a) e o cumprimento das presentes cláusulas não for restabelecido num prazo razoável e, em todo o caso, no prazo de um mês após a suspensão; |
| --- | --- | --- |

b)

O responsável pelo tratamento tem o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de dados pessoais em conformidade com as presentes cláusulas, se:

1)

o tratamento de dados pessoais pelo subcontratante tiver sido suspenso pelo responsável pelo tratamento nos termos da alínea a) e o cumprimento das presentes cláusulas não for restabelecido num prazo razoável e, em todo o caso, no prazo de um mês após a suspensão;

| 2) | o subcontratante violar, de forma substancial ou persistente, as presentes cláusulas ou as obrigações que lhe incumbem por força do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725; |
| --- | --- |

2)

o subcontratante violar, de forma substancial ou persistente, as presentes cláusulas ou as obrigações que lhe incumbem por força do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725;

| 3) | o subcontratante não cumprir uma decisão vinculativa de um tribunal competente ou da(s) autoridade de controlo competente(s) relativamente às obrigações que lhe incumbem nos termos das presentes cláusulas ou do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725. |
| --- | --- |

3)

o subcontratante não cumprir uma decisão vinculativa de um tribunal competente ou da(s) autoridade de controlo competente(s) relativamente às obrigações que lhe incumbem nos termos das presentes cláusulas ou do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725.

| c) | O subcontratante tem o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de dados pessoais ao abrigo das presentes cláusulas, caso, após ter informado o responsável pelo tratamento de que as suas instruções violam os requisitos legais aplicáveis nos termos da cláusula 7.1, alínea b), o responsável pelo tratamento insista no cumprimento das instruções. |
| --- | --- |

c)

O subcontratante tem o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de dados pessoais ao abrigo das presentes cláusulas, caso, após ter informado o responsável pelo tratamento de que as suas instruções violam os requisitos legais aplicáveis nos termos da cláusula 7.1, alínea b), o responsável pelo tratamento insista no cumprimento das instruções.

| d) | Na sequência da rescisão do contrato, o subcontratante deve, consoante a escolha do responsável pelo tratamento, apagar todos os dados pessoais tratados por conta deste último e certificar ao responsável pelo tratamento que o fez ou devolver todos os dados pessoais ao responsável pelo tratamento e apagar as cópias existentes, salvo se a conservação dos dados pessoais for exigida ao abrigo do direito da União ou do direito dos Estados-Membros. Até que os dados sejam apagados ou devolvidos, o subcontratante deve continuar a assegurar o cumprimento das presentes cláusulas. |
| --- | --- |

d)

Na sequência da rescisão do contrato, o subcontratante deve, consoante a escolha do responsável pelo tratamento, apagar todos os dados pessoais tratados por conta deste último e certificar ao responsável pelo tratamento que o fez ou devolver todos os dados pessoais ao responsável pelo tratamento e apagar as cópias existentes, salvo se a conservação dos dados pessoais for exigida ao abrigo do direito da União ou do direito dos Estados-Membros. Até que os dados sejam apagados ou devolvidos, o subcontratante deve continuar a assegurar o cumprimento das presentes cláusulas.

---

ANEXO I

Lista das partes

Responsável(eis) pelo tratamento: [Identidade e contactos do(s) responsável(eis) pelo tratamento e, se for caso disso, do encarregado da proteção de dados do responsável pelo tratamento]

| 1. | Nome: ... |
| --- | --- |

1.

Nome: ...

| | Endereço: ... |
| --- | --- |

Endereço: ...

| | Nome, cargo e contactos da pessoa de contacto: ... |
| --- | --- |

Nome, cargo e contactos da pessoa de contacto: ...

| | Assinatura e data de adesão: ... |
| --- | --- |

Assinatura e data de adesão: ...

| 2. | |
| --- | --- |

2.

...

Subcontratante(s): [Identidade e contactos do(s) subcontratante(s) e, se for caso disso, do encarregado da proteção de dados do subcontratante]

| 1. | Nome: ... |
| --- | --- |

1.

Nome: ...

| | Endereço: ... |
| --- | --- |

Endereço: ...

| | Nome, cargo e contactos da pessoa de contacto: ... |
| --- | --- |

Nome, cargo e contactos da pessoa de contacto: ...

| | Assinatura e data de adesão: ... |
| --- | --- |

Assinatura e data de adesão: ...

| 2. | |
| --- | --- |

2.

...

---

ANEXO II

Descrição do tratamento

Categorias de titulares de dados cujos dados pessoais são tratados

...

Categorias de dados pessoais tratados

...

Dados sensíveis tratados (se aplicável) e limitações aplicadas ou garantias que tenham plenamente em consideração a natureza dos dados e os riscos inerentes, como, por exemplo, a limitação rigorosa da finalidade, limitações de acesso (incluindo o acesso apenas do pessoal que tenha recebido uma formação especializada), a manutenção de um registo de acesso aos dados, limitações aplicáveis a transferências ulteriores ou medidas de segurança adicionais.

...

Natureza do tratamento

...

Finalidade(s) para a(s) qual(ais) os dados pessoais são tratados por conta do responsável pelo tratamento

...

Duração do tratamento

...

...

Para o tratamento por subcontratantes (ulteriores), especificar também o objeto, a natureza e a duração do tratamento

---

ANEXO III

Medidas técnicas e organizativas, incluindo medidas técnicas e organizativas destinadas a garantir a segurança dos dados

NOTA EXPLICATIVA:

As medidas técnicas e organizativas têm de ser descritas de forma concreta e não de forma genérica.

Descrição das medidas técnicas e organizativas no domínio da segurança aplicadas pelo(s) subcontratante(s) (incluindo quaisquer certificações pertinentes) para garantir um nível de segurança adequado, tendo em conta a natureza, o âmbito, o contexto e a finalidade do tratamento, bem como os riscos para os direitos e as liberdades das pessoas singulares. Exemplos de eventuais medidas:

| | medidas de pseudonimização e de cifragem dos dados pessoais |
| --- | --- |

medidas de pseudonimização e de cifragem dos dados pessoais

| | medidas destinadas a assegurar a confidencialidade, a integridade, a disponibilidade e a resiliência permanentes dos sistemas e dos serviços de tratamento |
| --- | --- |

medidas destinadas a assegurar a confidencialidade, a integridade, a disponibilidade e a resiliência permanentes dos sistemas e dos serviços de tratamento

| | medidas destinadas a restabelecer atempadamente a disponibilidade e o acesso aos dados pessoais em caso de incidente físico ou técnico |
| --- | --- |

medidas destinadas a restabelecer atempadamente a disponibilidade e o acesso aos dados pessoais em caso de incidente físico ou técnico

| | processos para testar, apreciar e avaliar periodicamente a eficácia das medidas técnicas e organizativas a fim de garantir a segurança do tratamento |
| --- | --- |

processos para testar, apreciar e avaliar periodicamente a eficácia das medidas técnicas e organizativas a fim de garantir a segurança do tratamento

| | medidas de identificação e de autorização do utilizador |
| --- | --- |

medidas de identificação e de autorização do utilizador

| | medidas de proteção de dados durante a transmissão |
| --- | --- |

medidas de proteção de dados durante a transmissão

| | medidas de proteção de dados durante a conservação |
| --- | --- |

medidas de proteção de dados durante a conservação

| | medidas destinadas a garantir a segurança física dos locais onde os dados pessoais são tratados |
| --- | --- |

medidas destinadas a garantir a segurança física dos locais onde os dados pessoais são tratados

| | medidas destinadas a garantir o registo cronológico de acontecimentos |
| --- | --- |

medidas destinadas a garantir o registo cronológico de acontecimentos

| | medidas destinadas a garantir a configuração do sistema, incluindo a configuração por defeito |
| --- | --- |

medidas destinadas a garantir a configuração do sistema, incluindo a configuração por defeito

| | medidas de governação e de gestão interna do serviço informático e do serviço de segurança informática |
| --- | --- |

medidas de governação e de gestão interna do serviço informático e do serviço de segurança informática

| | medidas de certificação/garantia dos processos e dos produtos |
| --- | --- |

medidas de certificação/garantia dos processos e dos produtos

| | medidas destinadas a garantir a minimização dos dados |
| --- | --- |

medidas destinadas a garantir a minimização dos dados

| | medidas destinadas a garantir a qualidade dos dados |
| --- | --- |

medidas destinadas a garantir a qualidade dos dados

| | medidas destinadas a garantir uma limitação da conservação dos dados |
| --- | --- |

medidas destinadas a garantir uma limitação da conservação dos dados

| | medidas destinadas a garantir a responsabilidade |
| --- | --- |

medidas destinadas a garantir a responsabilidade

| | medidas destinadas a permitir a portabilidade dos dados e a garantir o seu apagamento] |
| --- | --- |

medidas destinadas a permitir a portabilidade dos dados e a garantir o seu apagamento]

Para transferências para subcontratantes (ulteriores), descrever
  também as medidas técnicas e organizativas específicas a tomar pelo subcontratante (ulterior) para poder prestar assistência ao responsável pelo tratamento

Descrição das medidas técnicas e organizativas específicas a tomar pelo subcontratante para poder prestar assistência ao responsável pelo tratamento.

---

ANEXO IV

Lista de subcontratantes ulteriores

NOTA EXPLICATIVA:

Este anexo tem de ser preenchido caso seja concedida uma autorização específica a subcontratantes [cláusula 7.7, alínea a), opção 1].

O responsável pelo tratamento autorizou o recurso aos seguintes subcontratantes:

| 1. | Nome: ... |
| --- | --- |

1.

Nome: ...

| | Endereço: ... |
| --- | --- |

Endereço: ...

| | Nome, cargo e contactos da pessoa de contacto: ... |
| --- | --- |

Nome, cargo e contactos da pessoa de contacto: ...

| | Descrição do tratamento (incluindo uma delimitação clara de responsabilidades caso sejam autorizados vários subcontratantes): ... |
| --- | --- |

Descrição do tratamento (incluindo uma delimitação clara de responsabilidades caso sejam autorizados vários subcontratantes): ...

| 2. | ... |
| --- | --- |

2.

...

---

| 7.6.2021 | PT | Jornal Oficial da União Europeia | L 199/31 |
| --- | --- | --- | --- |

7.6.2021

PT

Jornal Oficial da União Europeia

L 199/31

---

DECISÃO DE EXECUÇÃO (UE) 2021/914 DA COMISSÃO

de 4 de junho de 2021

relativa às cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para países terceiros nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho

(Texto relevante para efeitos do EEE)

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (1), nomeadamente o artigo 28.o, n.o 7, e o artigo 46.o, n.o 2, alínea c),

Considerando o seguinte:

| (1) | A evolução tecnológica está a facilitar os fluxos de dados transfronteiriços necessários para a expansão da cooperação internacional e do comércio internacional. Simultaneamente, é necessário assegurar que o nível de proteção das pessoas singulares garantido pelo Regulamento (UE) 2016/679 não seja comprometido quando os dados pessoais são transferidos para países terceiros, inclusivamente em caso de transferências ulteriores (2). As disposições em matéria de transferências de dados do capítulo V do Regulamento (UE) 2016/679 visam assegurar a continuidade desse elevado nível de proteção em caso de transferência de dados pessoais para um país terceiro (3). |
| --- | --- |

(1)

A evolução tecnológica está a facilitar os fluxos de dados transfronteiriços necessários para a expansão da cooperação internacional e do comércio internacional. Simultaneamente, é necessário assegurar que o nível de proteção das pessoas singulares garantido pelo Regulamento (UE) 2016/679 não seja comprometido quando os dados pessoais são transferidos para países terceiros, inclusivamente em caso de transferências ulteriores (2). As disposições em matéria de transferências de dados do capítulo V do Regulamento (UE) 2016/679 visam assegurar a continuidade desse elevado nível de proteção em caso de transferência de dados pessoais para um país terceiro (3).

| (2) | De acordo com o artigo 46.o, n.o 1, do Regulamento (UE) 2016/679, não tendo sido tomada qualquer decisão de adequação pela Comissão nos termos do artigo 45.o, n.o 3, os responsáveis pelo tratamento ou subcontratantes só podem transferir dados pessoais para um país terceiro se tiverem apresentado garantias adequadas, e na condição de os titulares dos dados gozarem de direitos oponíveis e de medidas jurídicas corretivas eficazes. Tais garantias podem ser previstas por meio de cláusulas-tipo de proteção de dados adotadas pela Comissão nos termos do artigo 46.o, n.o 2, alínea c). |
| --- | --- |

(2)

De acordo com o artigo 46.o, n.o 1, do Regulamento (UE) 2016/679, não tendo sido tomada qualquer decisão de adequação pela Comissão nos termos do artigo 45.o, n.o 3, os responsáveis pelo tratamento ou subcontratantes só podem transferir dados pessoais para um país terceiro se tiverem apresentado garantias adequadas, e na condição de os titulares dos dados gozarem de direitos oponíveis e de medidas jurídicas corretivas eficazes. Tais garantias podem ser previstas por meio de cláusulas-tipo de proteção de dados adotadas pela Comissão nos termos do artigo 46.o, n.o 2, alínea c).

| (3) | O papel das cláusulas contratuais-tipo limita-se a assegurar garantias adequadas em matéria de proteção de dados para transferências internacionais de dados. Por conseguinte, o responsável pelo tratamento ou subcontratante que transfere os dados pessoais para um país terceiro («exportador de dados») e o responsável pelo tratamento ou subcontratante que recebe os dados pessoais («importador de dados») têm a liberdade de incluir essas cláusulas contratuais-tipo num contrato mais abrangente e de acrescentar outras cláusulas ou garantias adicionais, desde que não colidam, direta ou indiretamente, com as cláusulas contratuais-tipo, e sem prejuízo dos direitos ou das liberdades fundamentais dos titulares dos dados. Os responsáveis pelo tratamento e os subcontratantes são encorajados a apresentar garantias suplementares através de compromissos contratuais que complementem as cláusulas contratuais-tipo (4). O recurso às cláusulas contratuais-tipo em nada prejudica quaisquer obrigações contratuais do exportador e/ou do importador de dados destinadas a assegurar o respeito pelos privilégios e imunidades aplicáveis. |
| --- | --- |

(3)

O papel das cláusulas contratuais-tipo limita-se a assegurar garantias adequadas em matéria de proteção de dados para transferências internacionais de dados. Por conseguinte, o responsável pelo tratamento ou subcontratante que transfere os dados pessoais para um país terceiro («exportador de dados») e o responsável pelo tratamento ou subcontratante que recebe os dados pessoais («importador de dados») têm a liberdade de incluir essas cláusulas contratuais-tipo num contrato mais abrangente e de acrescentar outras cláusulas ou garantias adicionais, desde que não colidam, direta ou indiretamente, com as cláusulas contratuais-tipo, e sem prejuízo dos direitos ou das liberdades fundamentais dos titulares dos dados. Os responsáveis pelo tratamento e os subcontratantes são encorajados a apresentar garantias suplementares através de compromissos contratuais que complementem as cláusulas contratuais-tipo (4). O recurso às cláusulas contratuais-tipo em nada prejudica quaisquer obrigações contratuais do exportador e/ou do importador de dados destinadas a assegurar o respeito pelos privilégios e imunidades aplicáveis.

| (4) | Além de recorrer a cláusulas contratuais-tipo para proporcionar garantias adequadas às transferências nos termos do artigo 46.o, n.o 1, do Regulamento (UE) 2016/679, o exportador de dados tem de cumprir as responsabilidades gerais que lhe incumbem enquanto responsável pelo tratamento ou subcontratante nos termos do Regulamento (UE) 2016/679. Essas responsabilidades incluem a obrigação de o responsável pelo tratamento facultar aos titulares dos dados informações sobre o facto de tencionar transferir os seus dados pessoais para um país terceiro nos termos do artigo 13.o, n.o 1, alínea f), e do artigo 14.o, n.o 1, alínea f), do Regulamento (UE) 2016/679. No caso das transferências realizadas nos termos do artigo 46.o do Regulamento (UE) 2016/679, essa responsabilidade deve incluir uma referência às garantias adequadas e aos meios de obter cópia das mesmas, ou onde foram disponibilizadas. |
| --- | --- |

(4)

Além de recorrer a cláusulas contratuais-tipo para proporcionar garantias adequadas às transferências nos termos do artigo 46.o, n.o 1, do Regulamento (UE) 2016/679, o exportador de dados tem de cumprir as responsabilidades gerais que lhe incumbem enquanto responsável pelo tratamento ou subcontratante nos termos do Regulamento (UE) 2016/679. Essas responsabilidades incluem a obrigação de o responsável pelo tratamento facultar aos titulares dos dados informações sobre o facto de tencionar transferir os seus dados pessoais para um país terceiro nos termos do artigo 13.o, n.o 1, alínea f), e do artigo 14.o, n.o 1, alínea f), do Regulamento (UE) 2016/679. No caso das transferências realizadas nos termos do artigo 46.o do Regulamento (UE) 2016/679, essa responsabilidade deve incluir uma referência às garantias adequadas e aos meios de obter cópia das mesmas, ou onde foram disponibilizadas.

| (5) | As Decisões 2001/497/CE (5) e 2010/87/UE da Comissão (6) contêm cláusulas contratuais-tipo para facilitar a transferência de dados pessoais de um responsável pelo tratamento de dados estabelecido na União para um responsável pelo tratamento ou subcontratante estabelecido num país terceiro que não assegure um nível de proteção adequado. Essas decisões basearam-se na Diretiva 95/46/CE do Parlamento Europeu e do Conselho (7). |
| --- | --- |

(5)

As Decisões 2001/497/CE (5) e 2010/87/UE da Comissão (6) contêm cláusulas contratuais-tipo para facilitar a transferência de dados pessoais de um responsável pelo tratamento de dados estabelecido na União para um responsável pelo tratamento ou subcontratante estabelecido num país terceiro que não assegure um nível de proteção adequado. Essas decisões basearam-se na Diretiva 95/46/CE do Parlamento Europeu e do Conselho (7).

| (6) | Nos termos do artigo 46.o, n.o 5, do Regulamento (UE) 2016/679, a Decisão 2001/497/CE e a Decisão 2010/87/UE permanecem em vigor até que sejam alteradas, substituídas ou revogadas, caso seja necessário, por uma decisão da Comissão adotada nos termos do artigo 46.o, n.o 2, do referido regulamento. Foi necessário atualizar as cláusulas contratuais-tipo constantes das decisões em função dos novos requisitos do Regulamento (UE) 2016/679. Além disso, desde a adoção das decisões, registaram-se progressos significativos na economia digital, com a utilização generalizada de operações de tratamento novas e mais complexas, que envolvem frequentemente múltiplos importadores e exportadores de dados, cadeias de tratamento longas e complexas e relações comerciais em evolução. Esta situação exige uma modernização das cláusulas contratuais-tipo para refletir melhor essas realidades, abrangendo situações adicionais de tratamento e de transferência, e permitir uma abordagem mais flexível, por exemplo, no que diz respeito ao número de partes que podem aderir ao contrato. |
| --- | --- |

(6)

Nos termos do artigo 46.o, n.o 5, do Regulamento (UE) 2016/679, a Decisão 2001/497/CE e a Decisão 2010/87/UE permanecem em vigor até que sejam alteradas, substituídas ou revogadas, caso seja necessário, por uma decisão da Comissão adotada nos termos do artigo 46.o, n.o 2, do referido regulamento. Foi necessário atualizar as cláusulas contratuais-tipo constantes das decisões em função dos novos requisitos do Regulamento (UE) 2016/679. Além disso, desde a adoção das decisões, registaram-se progressos significativos na economia digital, com a utilização generalizada de operações de tratamento novas e mais complexas, que envolvem frequentemente múltiplos importadores e exportadores de dados, cadeias de tratamento longas e complexas e relações comerciais em evolução. Esta situação exige uma modernização das cláusulas contratuais-tipo para refletir melhor essas realidades, abrangendo situações adicionais de tratamento e de transferência, e permitir uma abordagem mais flexível, por exemplo, no que diz respeito ao número de partes que podem aderir ao contrato.

| (7) | Um responsável pelo tratamento ou subcontratante pode utilizar as cláusulas contratuais-tipo constantes do anexo da presente decisão para apresentar garantias adequadas, na aceção do artigo 46.o, n.o 1, do Regulamento (UE) 2016/679, para a transferência de dados pessoais para um subcontratante ou responsável pelo tratamento estabelecido num país terceiro, sem prejuízo da interpretação do conceito de transferência internacional constante do Regulamento (UE) 2016/679. As cláusulas contratuais-tipo só podem ser utilizadas para essas transferências na medida em que o tratamento pelo importador não seja abrangido pelo âmbito de aplicação do Regulamento (UE) 2016/679. Tal inclui igualmente a transferência de dados pessoais por um responsável pelo tratamento ou subcontratante não estabelecido na União, na medida em que o tratamento esteja sujeito ao Regulamento (UE) 2016/679 (nos termos do artigo 3.o, n.o 2), por estar relacionado com a oferta de bens ou serviços aos titulares dos dados na União ou com o controlo do seu comportamento, desde que o mesmo tenha lugar na União. |
| --- | --- |

(7)

Um responsável pelo tratamento ou subcontratante pode utilizar as cláusulas contratuais-tipo constantes do anexo da presente decisão para apresentar garantias adequadas, na aceção do artigo 46.o, n.o 1, do Regulamento (UE) 2016/679, para a transferência de dados pessoais para um subcontratante ou responsável pelo tratamento estabelecido num país terceiro, sem prejuízo da interpretação do conceito de transferência internacional constante do Regulamento (UE) 2016/679. As cláusulas contratuais-tipo só podem ser utilizadas para essas transferências na medida em que o tratamento pelo importador não seja abrangido pelo âmbito de aplicação do Regulamento (UE) 2016/679. Tal inclui igualmente a transferência de dados pessoais por um responsável pelo tratamento ou subcontratante não estabelecido na União, na medida em que o tratamento esteja sujeito ao Regulamento (UE) 2016/679 (nos termos do artigo 3.o, n.o 2), por estar relacionado com a oferta de bens ou serviços aos titulares dos dados na União ou com o controlo do seu comportamento, desde que o mesmo tenha lugar na União.

| (8) | Dado o alinhamento geral do Regulamento (UE) 2016/679 e do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (8), deve ser possível utilizar as cláusulas contratuais-tipo também no contexto de um contrato, conforme referido no artigo 29.o, n.o 4, do Regulamento (UE) 2018/1725, para a transferência de dados pessoais para um subcontratante ulterior num país terceiro por um subcontratante que não seja uma instituição ou um órgão da União, mas que esteja sujeito ao Regulamento (UE) 2016/679 e que trate dados pessoais por conta de uma instituição ou de um órgão da União, nos termos do artigo 29.o do Regulamento (UE) 2018/1725. Desde que o contrato reflita as mesmas obrigações em matéria de proteção de dados que as estabelecidas no contrato ou noutro ato normativo entre o responsável pelo tratamento e o subcontratante nos termos do artigo 29.o, n.o 3, do Regulamento (UE) 2018/1725, proporcionando, em particular, garantias suficientes de execução de medidas técnicas e organizativas para assegurar que o tratamento satisfaz os requisitos do referido regulamento, tal garantirá o cumprimento do artigo 29.o, n.o 4, do Regulamento (UE) 2018/1725. Será esse o caso, em especial, se o responsável pelo tratamento dos dados pessoais e o subcontratante recorrerem às cláusulas contratuais-tipo incluídas na Decisão de Execução da Comissão relativa às cláusulas contratuais-tipo entre os responsáveis pelo tratamento de dados pessoais e os subcontratantes nos termos do artigo 28.o, n.o 7, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho e do artigo 29.o, n.o 7, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (9). |
| --- | --- |

(8)

Dado o alinhamento geral do Regulamento (UE) 2016/679 e do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (8), deve ser possível utilizar as cláusulas contratuais-tipo também no contexto de um contrato, conforme referido no artigo 29.o, n.o 4, do Regulamento (UE) 2018/1725, para a transferência de dados pessoais para um subcontratante ulterior num país terceiro por um subcontratante que não seja uma instituição ou um órgão da União, mas que esteja sujeito ao Regulamento (UE) 2016/679 e que trate dados pessoais por conta de uma instituição ou de um órgão da União, nos termos do artigo 29.o do Regulamento (UE) 2018/1725. Desde que o contrato reflita as mesmas obrigações em matéria de proteção de dados que as estabelecidas no contrato ou noutro ato normativo entre o responsável pelo tratamento e o subcontratante nos termos do artigo 29.o, n.o 3, do Regulamento (UE) 2018/1725, proporcionando, em particular, garantias suficientes de execução de medidas técnicas e organizativas para assegurar que o tratamento satisfaz os requisitos do referido regulamento, tal garantirá o cumprimento do artigo 29.o, n.o 4, do Regulamento (UE) 2018/1725. Será esse o caso, em especial, se o responsável pelo tratamento dos dados pessoais e o subcontratante recorrerem às cláusulas contratuais-tipo incluídas na Decisão de Execução da Comissão relativa às cláusulas contratuais-tipo entre os responsáveis pelo tratamento de dados pessoais e os subcontratantes nos termos do artigo 28.o, n.o 7, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho e do artigo 29.o, n.o 7, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (9).

| (9) | Quando o tratamento implicar transferências de dados de responsáveis pelo tratamento sujeitos ao Regulamento (UE) 2016/679 para subcontratantes fora do respetivo âmbito de aplicação territorial ou de subcontratantes sujeitos ao Regulamento (UE) 2016/679 para subcontratantes ulteriores fora do respetivo âmbito de aplicação territorial, as cláusulas contratuais-tipo estabelecidas no anexo da presente decisão devem igualmente permitir cumprir os requisitos do artigo 28.o, n.os 3 e 4, do Regulamento (UE) 2016/679. |
| --- | --- |

(9)

Quando o tratamento implicar transferências de dados de responsáveis pelo tratamento sujeitos ao Regulamento (UE) 2016/679 para subcontratantes fora do respetivo âmbito de aplicação territorial ou de subcontratantes sujeitos ao Regulamento (UE) 2016/679 para subcontratantes ulteriores fora do respetivo âmbito de aplicação territorial, as cláusulas contratuais-tipo estabelecidas no anexo da presente decisão devem igualmente permitir cumprir os requisitos do artigo 28.o, n.os 3 e 4, do Regulamento (UE) 2016/679.

| (10) | As cláusulas contratuais-tipo estabelecidas no anexo da presente decisão combinam cláusulas gerais com uma abordagem modular para atender a vários cenários de transferência e à complexidade das cadeias de tratamento modernas. Para além das cláusulas gerais, os responsáveis pelo tratamento e subcontratantes devem selecionar o módulo aplicável à sua situação, de modo a adaptar as obrigações que lhes incumbem por força das cláusulas contratuais-tipo ao seu papel e responsabilidades em relação ao tratamento de dados em questão. Deve ser possível que mais de duas partes subscrevam as cláusulas contratuais-tipo. Além disso, responsáveis pelo tratamento e subcontratantes adicionais devem ser autorizados a subscrever as cláusulas contratuais-tipo enquanto exportadores ou importadores de dados ao longo da vigência do contrato do qual fazem parte. |
| --- | --- |

(10)

As cláusulas contratuais-tipo estabelecidas no anexo da presente decisão combinam cláusulas gerais com uma abordagem modular para atender a vários cenários de transferência e à complexidade das cadeias de tratamento modernas. Para além das cláusulas gerais, os responsáveis pelo tratamento e subcontratantes devem selecionar o módulo aplicável à sua situação, de modo a adaptar as obrigações que lhes incumbem por força das cláusulas contratuais-tipo ao seu papel e responsabilidades em relação ao tratamento de dados em questão. Deve ser possível que mais de duas partes subscrevam as cláusulas contratuais-tipo. Além disso, responsáveis pelo tratamento e subcontratantes adicionais devem ser autorizados a subscrever as cláusulas contratuais-tipo enquanto exportadores ou importadores de dados ao longo da vigência do contrato do qual fazem parte.

| (11) | A fim de proporcionar garantias adequadas, as cláusulas contratuais-tipo devem assegurar que os dados pessoais transferidos com base nas mesmas beneficiam de um nível de proteção substancialmente equivalente ao garantido na União (10). Com vista a assegurar a transparência do tratamento, os titulares dos dados devem receber uma cópia das cláusulas contratuais-tipo e ser informados, nomeadamente, das categorias de dados pessoais tratados, do direito de obter uma cópia das cláusulas contratuais-tipo e de qualquer transferência ulterior. As transferências ulteriores por parte do importador de dados para um terceiro situado noutro país terceiro só devem ser permitidas se o terceiro subscrever as cláusulas contratuais-tipo, se a continuidade da proteção for assegurada de outra forma ou em situações específicas, por exemplo, com base no consentimento explícito e informado do titular dos dados. |
| --- | --- |

(11)

A fim de proporcionar garantias adequadas, as cláusulas contratuais-tipo devem assegurar que os dados pessoais transferidos com base nas mesmas beneficiam de um nível de proteção substancialmente equivalente ao garantido na União (10). Com vista a assegurar a transparência do tratamento, os titulares dos dados devem receber uma cópia das cláusulas contratuais-tipo e ser informados, nomeadamente, das categorias de dados pessoais tratados, do direito de obter uma cópia das cláusulas contratuais-tipo e de qualquer transferência ulterior. As transferências ulteriores por parte do importador de dados para um terceiro situado noutro país terceiro só devem ser permitidas se o terceiro subscrever as cláusulas contratuais-tipo, se a continuidade da proteção for assegurada de outra forma ou em situações específicas, por exemplo, com base no consentimento explícito e informado do titular dos dados.

| (12) | Com algumas exceções, em particular no que se refere a determinadas obrigações que dizem exclusivamente respeito à relação entre o exportador de dados e o importador de dados, os titulares dos dados devem poder invocar e, quando necessário, fazer cumprir as cláusulas contratuais-tipo enquanto terceiros beneficiários. Por conseguinte, embora as partes devam poder escolher a legislação de um dos Estados-Membros que rege as cláusulas contratuais-tipo, essa legislação tem de permitir o exercício dos direitos de terceiros beneficiários. A fim de facilitar a reparação individual, as cláusulas contratuais-tipo devem exigir que o importador de dados informe os titulares dos dados de um ponto de contacto e dê rapidamente resposta a quaisquer reclamações ou pedidos. Em caso de litígio entre o importador de dados e um titular dos dados que invoque os seus direitos enquanto terceiro beneficiário, o titular dos dados deve poder apresentar uma reclamação à autoridade de controlo competente ou submeter o litígio à apreciação dos tribunais competentes na UE. |
| --- | --- |

(12)

Com algumas exceções, em particular no que se refere a determinadas obrigações que dizem exclusivamente respeito à relação entre o exportador de dados e o importador de dados, os titulares dos dados devem poder invocar e, quando necessário, fazer cumprir as cláusulas contratuais-tipo enquanto terceiros beneficiários. Por conseguinte, embora as partes devam poder escolher a legislação de um dos Estados-Membros que rege as cláusulas contratuais-tipo, essa legislação tem de permitir o exercício dos direitos de terceiros beneficiários. A fim de facilitar a reparação individual, as cláusulas contratuais-tipo devem exigir que o importador de dados informe os titulares dos dados de um ponto de contacto e dê rapidamente resposta a quaisquer reclamações ou pedidos. Em caso de litígio entre o importador de dados e um titular dos dados que invoque os seus direitos enquanto terceiro beneficiário, o titular dos dados deve poder apresentar uma reclamação à autoridade de controlo competente ou submeter o litígio à apreciação dos tribunais competentes na UE.

| (13) | A fim de assegurar uma aplicação efetiva, o importador de dados deve ser obrigado a submeter-se à competência dessa autoridade e desses tribunais e a comprometer-se a cumprir qualquer decisão vinculativa nos termos do direito aplicável do Estado-Membro. Em particular, o importador de dados deve concordar em responder a pedidos de informação, submeter-se a auditorias e cumprir as medidas adotadas pela autoridade de controlo, incluindo medidas corretivas e compensatórias. Além disso, o importador de dados deve poder proporcionar aos titulares dos dados a oportunidade de procurar obter reparação junto de um organismo independente de resolução de litígios, sem custos. Em consonância com o artigo 80.o, n.o 1, do Regulamento (UE) 2016/679, os titulares dos dados devem poder ser representados por associações ou outros organismos em litígios contra o importador de dados, se assim o desejarem. |
| --- | --- |

(13)

A fim de assegurar uma aplicação efetiva, o importador de dados deve ser obrigado a submeter-se à competência dessa autoridade e desses tribunais e a comprometer-se a cumprir qualquer decisão vinculativa nos termos do direito aplicável do Estado-Membro. Em particular, o importador de dados deve concordar em responder a pedidos de informação, submeter-se a auditorias e cumprir as medidas adotadas pela autoridade de controlo, incluindo medidas corretivas e compensatórias. Além disso, o importador de dados deve poder proporcionar aos titulares dos dados a oportunidade de procurar obter reparação junto de um organismo independente de resolução de litígios, sem custos. Em consonância com o artigo 80.o, n.o 1, do Regulamento (UE) 2016/679, os titulares dos dados devem poder ser representados por associações ou outros organismos em litígios contra o importador de dados, se assim o desejarem.

| (14) | As cláusulas contratuais-tipo devem prever regras em matéria de responsabilidade entre as partes e em relação aos titulares dos dados, e regras em matéria de indemnização entre as partes. Se o titular dos dados sofrer danos materiais ou imateriais em consequência de qualquer violação dos direitos de terceiro beneficiário nos termos das cláusulas contratuais-tipo, deve ter direito a indemnização. Tal não deve prejudicar qualquer responsabilidade nos termos do Regulamento (UE) 2016/679. |
| --- | --- |

(14)

As cláusulas contratuais-tipo devem prever regras em matéria de responsabilidade entre as partes e em relação aos titulares dos dados, e regras em matéria de indemnização entre as partes. Se o titular dos dados sofrer danos materiais ou imateriais em consequência de qualquer violação dos direitos de terceiro beneficiário nos termos das cláusulas contratuais-tipo, deve ter direito a indemnização. Tal não deve prejudicar qualquer responsabilidade nos termos do Regulamento (UE) 2016/679.

| (15) | No caso de uma transferência para um importador de dados que atue como subcontratante ou subcontratante ulterior, devem aplicar-se requisitos específicos nos termos do artigo 28.o, n.o 3, do Regulamento (UE) 2016/679. As cláusulas contratuais-tipo devem exigir que o importador de dados disponibilize todas as informações necessárias para demonstrar o cumprimento das obrigações nelas previstas e facilite e contribua para as auditorias das suas operações de tratamento por parte do exportador de dados. No que diz respeito à contratação de qualquer subcontratante ulterior pelo importador de dados, em consonância com o artigo 28.o, n.os 2 e 4, do Regulamento (UE) 2016/679, as cláusulas contratuais-tipo devem, em particular, estabelecer o procedimento para a obtenção de uma autorização geral ou específica do exportador de dados e a exigência de celebrar um contrato escrito com o subcontratante ulterior que assegure o mesmo nível de proteção previsto nas cláusulas. |
| --- | --- |

(15)

No caso de uma transferência para um importador de dados que atue como subcontratante ou subcontratante ulterior, devem aplicar-se requisitos específicos nos termos do artigo 28.o, n.o 3, do Regulamento (UE) 2016/679. As cláusulas contratuais-tipo devem exigir que o importador de dados disponibilize todas as informações necessárias para demonstrar o cumprimento das obrigações nelas previstas e facilite e contribua para as auditorias das suas operações de tratamento por parte do exportador de dados. No que diz respeito à contratação de qualquer subcontratante ulterior pelo importador de dados, em consonância com o artigo 28.o, n.os 2 e 4, do Regulamento (UE) 2016/679, as cláusulas contratuais-tipo devem, em particular, estabelecer o procedimento para a obtenção de uma autorização geral ou específica do exportador de dados e a exigência de celebrar um contrato escrito com o subcontratante ulterior que assegure o mesmo nível de proteção previsto nas cláusulas.

| (16) | Afigura-se adequado prever diferentes garantias nas cláusulas contratuais-tipo que abranjam a situação específica de uma transferência de dados pessoais por um subcontratante na União para o seu responsável pelo tratamento num país terceiro e reflitam as obrigações autónomas limitadas dos subcontratantes nos termos do Regulamento (UE) 2016/679. Em particular, as cláusulas contratuais-tipo devem exigir que o subcontratante informe o responsável pelo tratamento se não puder seguir as suas instruções, nomeadamente se essas instruções violarem o direito da União em matéria de proteção de dados, e que o responsável pelo tratamento se abstenha de quaisquer atos que impeçam o subcontratante de cumprir as obrigações que lhe incumbem nos termos do Regulamento (UE) 2016/679. Devem igualmente exigir que as partes se prestem assistência mútua na resposta a perguntas e pedidos apresentados pelos titulares dos dados ao abrigo da legislação local aplicável ao importador de dados ou, no que se refere ao tratamento de dados na União, ao abrigo do Regulamento (UE) 2016/679. Devem aplicar-se requisitos adicionais para fazer face a quaisquer efeitos da legislação do país terceiro de destino no cumprimento das cláusulas por parte do responsável pelo tratamento, em especial, para tratar os pedidos vinculativos recebidos das autoridades públicas do país terceiro para a divulgação dos dados pessoais transferidos, nos casos em que o subcontratante da União combine os dados pessoais recebidos do responsável pelo tratamento no país terceiro com os dados pessoais recolhidos pelo subcontratante na União. Inversamente, tais requisitos não se justificam quando a contratação externa envolve apenas o tratamento e a transferência de dados pessoais recebidos dos responsáveis pelo tratamento que, em todo o caso, estiveram e continuarão a estar sujeitos à jurisdição do país terceiro em questão. |
| --- | --- |

(16)

Afigura-se adequado prever diferentes garantias nas cláusulas contratuais-tipo que abranjam a situação específica de uma transferência de dados pessoais por um subcontratante na União para o seu responsável pelo tratamento num país terceiro e reflitam as obrigações autónomas limitadas dos subcontratantes nos termos do Regulamento (UE) 2016/679. Em particular, as cláusulas contratuais-tipo devem exigir que o subcontratante informe o responsável pelo tratamento se não puder seguir as suas instruções, nomeadamente se essas instruções violarem o direito da União em matéria de proteção de dados, e que o responsável pelo tratamento se abstenha de quaisquer atos que impeçam o subcontratante de cumprir as obrigações que lhe incumbem nos termos do Regulamento (UE) 2016/679. Devem igualmente exigir que as partes se prestem assistência mútua na resposta a perguntas e pedidos apresentados pelos titulares dos dados ao abrigo da legislação local aplicável ao importador de dados ou, no que se refere ao tratamento de dados na União, ao abrigo do Regulamento (UE) 2016/679. Devem aplicar-se requisitos adicionais para fazer face a quaisquer efeitos da legislação do país terceiro de destino no cumprimento das cláusulas por parte do responsável pelo tratamento, em especial, para tratar os pedidos vinculativos recebidos das autoridades públicas do país terceiro para a divulgação dos dados pessoais transferidos, nos casos em que o subcontratante da União combine os dados pessoais recebidos do responsável pelo tratamento no país terceiro com os dados pessoais recolhidos pelo subcontratante na União. Inversamente, tais requisitos não se justificam quando a contratação externa envolve apenas o tratamento e a transferência de dados pessoais recebidos dos responsáveis pelo tratamento que, em todo o caso, estiveram e continuarão a estar sujeitos à jurisdição do país terceiro em questão.

| (17) | As partes devem poder demonstrar o cumprimento das cláusulas contratuais-tipo. Em particular, o importador de dados deve ser obrigado a conservar documentação adequada relativa às atividades de tratamento sob a sua responsabilidade e a informar imediatamente o exportador de dados se, por qualquer motivo, não puder cumprir as cláusulas. Por sua vez, o exportador de dados deve suspender a transferência e, em casos particularmente graves, ter o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de dados pessoais ao abrigo das cláusulas contratuais-tipo, caso o importador de dados viole ou não possa cumprir as cláusulas. Devem aplicar-se regras específicas caso a legislação local afete o cumprimento das cláusulas. Os dados pessoais que tenham sido transferidos antes da rescisão do contrato e quaisquer cópias dos mesmos devem, consoante a escolha do exportador de dados, ser devolvidos ao exportador de dados ou destruídos na sua totalidade. |
| --- | --- |

(17)

As partes devem poder demonstrar o cumprimento das cláusulas contratuais-tipo. Em particular, o importador de dados deve ser obrigado a conservar documentação adequada relativa às atividades de tratamento sob a sua responsabilidade e a informar imediatamente o exportador de dados se, por qualquer motivo, não puder cumprir as cláusulas. Por sua vez, o exportador de dados deve suspender a transferência e, em casos particularmente graves, ter o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de dados pessoais ao abrigo das cláusulas contratuais-tipo, caso o importador de dados viole ou não possa cumprir as cláusulas. Devem aplicar-se regras específicas caso a legislação local afete o cumprimento das cláusulas. Os dados pessoais que tenham sido transferidos antes da rescisão do contrato e quaisquer cópias dos mesmos devem, consoante a escolha do exportador de dados, ser devolvidos ao exportador de dados ou destruídos na sua totalidade.

| (18) | As cláusulas contratuais-tipo devem prever garantias específicas, em particular à luz da jurisprudência do Tribunal de Justiça (11), para fazer face a quaisquer efeitos da legislação do país terceiro de destino no cumprimento das cláusulas por parte do importador de dados, em especial, formas de tratar os pedidos vinculativos recebidos das autoridades públicas desse país para a divulgação dos dados pessoais transferidos. |
| --- | --- |

(18)

As cláusulas contratuais-tipo devem prever garantias específicas, em particular à luz da jurisprudência do Tribunal de Justiça (11), para fazer face a quaisquer efeitos da legislação do país terceiro de destino no cumprimento das cláusulas por parte do importador de dados, em especial, formas de tratar os pedidos vinculativos recebidos das autoridades públicas desse país para a divulgação dos dados pessoais transferidos.

| (19) | A transferência e o tratamento de dados pessoais ao abrigo das cláusulas contratuais-tipo não devem ter lugar se a legislação e as práticas do país terceiro de destino impedirem o importador de dados de cumprir as cláusulas. Neste contexto, as legislações e as práticas que respeitem a essência dos direitos e das liberdades fundamentais e não excedam o necessário e proporcional numa sociedade democrática para salvaguardar um dos objetivos enumerados no artigo 23.o, n.o 1, do Regulamento (UE) 2016/679 não devem ser consideradas contrárias ao disposto nas cláusulas contratuais-tipo. As partes devem garantir que, aquando da subscrição das cláusulas contratuais-tipo, não têm motivos para crer que as legislações e as práticas aplicáveis ao importador de dados não estão em consonância com estes requisitos. |
| --- | --- |

(19)

A transferência e o tratamento de dados pessoais ao abrigo das cláusulas contratuais-tipo não devem ter lugar se a legislação e as práticas do país terceiro de destino impedirem o importador de dados de cumprir as cláusulas. Neste contexto, as legislações e as práticas que respeitem a essência dos direitos e das liberdades fundamentais e não excedam o necessário e proporcional numa sociedade democrática para salvaguardar um dos objetivos enumerados no artigo 23.o, n.o 1, do Regulamento (UE) 2016/679 não devem ser consideradas contrárias ao disposto nas cláusulas contratuais-tipo. As partes devem garantir que, aquando da subscrição das cláusulas contratuais-tipo, não têm motivos para crer que as legislações e as práticas aplicáveis ao importador de dados não estão em consonância com estes requisitos.

| (20) | As partes devem ter em conta, em especial, as circunstâncias específicas da transferência (como o conteúdo e a duração do contrato, a natureza dos dados a transferir, o tipo de destinatário, a finalidade do tratamento), as legislações e as práticas do país terceiro de destino pertinentes à luz das circunstâncias da transferência e quaisquer garantias aplicadas para complementar as garantias previstas nas cláusulas contratuais-tipo (incluindo as medidas contratuais, técnicas e organizativas pertinentes aplicáveis à transmissão dos dados pessoais e ao seu tratamento no país de destino). Quanto ao impacto de tais legislações e práticas no cumprimento das cláusulas contratuais-tipo, podem ser tidos em consideração diferentes elementos no âmbito de uma avaliação global, incluindo informações fiáveis sobre a aplicação da legislação na prática (como a jurisprudência e relatórios de organismos de supervisão independentes), a existência ou ausência de pedidos dentro do mesmo setor e, em condições estritas, a experiência prática documentada do exportador de dados e/ou do importador de dados. |
| --- | --- |

(20)

As partes devem ter em conta, em especial, as circunstâncias específicas da transferência (como o conteúdo e a duração do contrato, a natureza dos dados a transferir, o tipo de destinatário, a finalidade do tratamento), as legislações e as práticas do país terceiro de destino pertinentes à luz das circunstâncias da transferência e quaisquer garantias aplicadas para complementar as garantias previstas nas cláusulas contratuais-tipo (incluindo as medidas contratuais, técnicas e organizativas pertinentes aplicáveis à transmissão dos dados pessoais e ao seu tratamento no país de destino). Quanto ao impacto de tais legislações e práticas no cumprimento das cláusulas contratuais-tipo, podem ser tidos em consideração diferentes elementos no âmbito de uma avaliação global, incluindo informações fiáveis sobre a aplicação da legislação na prática (como a jurisprudência e relatórios de organismos de supervisão independentes), a existência ou ausência de pedidos dentro do mesmo setor e, em condições estritas, a experiência prática documentada do exportador de dados e/ou do importador de dados.

| (21) | O importador de dados deve notificar o exportador de dados se, depois de ter subscrito as cláusulas contratuais-tipo, tiver motivos para crer que não é capaz de as cumprir. Se o exportador de dados receber tal notificação ou tomar conhecimento, de qualquer outra forma, de que o importador de dados deixou de ter capacidade para cumprir as cláusulas contratuais-tipo, deve identificar as medidas adequadas para resolver a situação, se necessário em consulta com a autoridade de controlo competente. Tais medidas podem incluir medidas suplementares adotadas pelo exportador e/ou importador de dados, como medidas técnicas ou organizativas destinadas a garantir a segurança e a confidencialidade. O exportador de dados deve ser obrigado a suspender a transferência se considerar que não podem ser asseguradas garantias adequadas ou se receber instruções da autoridade de controlo competente nesse sentido. |
| --- | --- |

(21)

O importador de dados deve notificar o exportador de dados se, depois de ter subscrito as cláusulas contratuais-tipo, tiver motivos para crer que não é capaz de as cumprir. Se o exportador de dados receber tal notificação ou tomar conhecimento, de qualquer outra forma, de que o importador de dados deixou de ter capacidade para cumprir as cláusulas contratuais-tipo, deve identificar as medidas adequadas para resolver a situação, se necessário em consulta com a autoridade de controlo competente. Tais medidas podem incluir medidas suplementares adotadas pelo exportador e/ou importador de dados, como medidas técnicas ou organizativas destinadas a garantir a segurança e a confidencialidade. O exportador de dados deve ser obrigado a suspender a transferência se considerar que não podem ser asseguradas garantias adequadas ou se receber instruções da autoridade de controlo competente nesse sentido.

| (22) | Sempre que possível, o importador de dados deve notificar o exportador de dados e o titular dos dados se receber um pedido juridicamente vinculativo de uma autoridade pública (incluindo judiciária) ao abrigo da legislação do país de destino para a divulgação dos dados pessoais transferidos nos termos das cláusulas contratuais-tipo. Do mesmo modo, deve notificá-los se tomar conhecimento de qualquer acesso direto das autoridades públicas a tais dados pessoais, em conformidade com a legislação do país terceiro de destino. Se, não obstante todos os seus esforços, o importador de dados não estiver em condições de notificar o exportador de dados e/ou o titular dos dados de pedidos específicos de divulgação, deve fornecer ao exportador de dados o máximo possível de informações pertinentes sobre os pedidos. Além disso, o importador de dados deve fornecer periodicamente ao exportador de dados informações agregadas. O importador de dados deve igualmente ser obrigado a documentar qualquer pedido de divulgação recebido e a resposta fornecida, e a disponibilizar essa informação ao exportador de dados ou à autoridade de controlo competente, ou a ambos, mediante pedido. Se, na sequência de uma fiscalização da legalidade de tal pedido ao abrigo da legislação do país de destino, o importador de dados concluir que existem motivos razoáveis para considerar que o pedido é ilegal nos termos da legislação do país terceiro de destino, deve contestá-lo, nomeadamente, quando adequado, esgotando as possibilidades de recurso disponíveis. Em todo o caso, se o importador de dados deixar de ter capacidade para cumprir as cláusulas contratuais-tipo, deve informar o exportador de dados em conformidade, inclusivamente quando tal for consequência de um pedido de divulgação. |
| --- | --- |

(22)

Sempre que possível, o importador de dados deve notificar o exportador de dados e o titular dos dados se receber um pedido juridicamente vinculativo de uma autoridade pública (incluindo judiciária) ao abrigo da legislação do país de destino para a divulgação dos dados pessoais transferidos nos termos das cláusulas contratuais-tipo. Do mesmo modo, deve notificá-los se tomar conhecimento de qualquer acesso direto das autoridades públicas a tais dados pessoais, em conformidade com a legislação do país terceiro de destino. Se, não obstante todos os seus esforços, o importador de dados não estiver em condições de notificar o exportador de dados e/ou o titular dos dados de pedidos específicos de divulgação, deve fornecer ao exportador de dados o máximo possível de informações pertinentes sobre os pedidos. Além disso, o importador de dados deve fornecer periodicamente ao exportador de dados informações agregadas. O importador de dados deve igualmente ser obrigado a documentar qualquer pedido de divulgação recebido e a resposta fornecida, e a disponibilizar essa informação ao exportador de dados ou à autoridade de controlo competente, ou a ambos, mediante pedido. Se, na sequência de uma fiscalização da legalidade de tal pedido ao abrigo da legislação do país de destino, o importador de dados concluir que existem motivos razoáveis para considerar que o pedido é ilegal nos termos da legislação do país terceiro de destino, deve contestá-lo, nomeadamente, quando adequado, esgotando as possibilidades de recurso disponíveis. Em todo o caso, se o importador de dados deixar de ter capacidade para cumprir as cláusulas contratuais-tipo, deve informar o exportador de dados em conformidade, inclusivamente quando tal for consequência de um pedido de divulgação.

| (23) | Uma vez que as necessidades das partes interessadas, a tecnologia e as operações de tratamento podem sofrer alterações, a Comissão deve avaliar o funcionamento das cláusulas contratuais-tipo à luz da experiência, no âmbito da avaliação periódica do Regulamento (UE) 2016/679, referida no artigo 97.o do mesmo regulamento. |
| --- | --- |

(23)

Uma vez que as necessidades das partes interessadas, a tecnologia e as operações de tratamento podem sofrer alterações, a Comissão deve avaliar o funcionamento das cláusulas contratuais-tipo à luz da experiência, no âmbito da avaliação periódica do Regulamento (UE) 2016/679, referida no artigo 97.o do mesmo regulamento.

| (24) | A Decisão 2001/497/CE e a Decisão 2010/87/UE devem ser revogadas três meses após a entrada em vigor da presente decisão. Durante esse período, os exportadores e importadores de dados devem, para efeitos do artigo 46.o, n.o 1, do Regulamento (UE) 2016/679, continuar a poder utilizar as cláusulas contratuais-tipo estabelecidas nas Decisões 2001/497/CE e 2010/87/UE. Durante um período adicional de 15 meses, os exportadores e importadores de dados devem, para efeitos do artigo 46.o, n.o 1, do Regulamento (UE) 2016/679, continuar a poder recorrer às cláusulas contratuais-tipo estabelecidas nas Decisões 2001/497/CE e 2010/87/UE para a execução de contratos celebrados entre os mesmos antes da data de revogação dessas decisões, desde que as operações de tratamento objeto do contrato permaneçam inalteradas e que o recurso às cláusulas garanta que a transferência de dados pessoais está sujeita a garantias adequadas na aceção do artigo 46.o, n.o 1, do Regulamento (UE) 2016/679. Caso o contrato seja objeto de alterações significativas, o exportador de dados deve ser obrigado a invocar um novo fundamento para as transferências de dados ao abrigo do contrato, em particular substituindo as cláusulas contratuais-tipo existentes pelas cláusulas contratuais-tipo estabelecidas no anexo da presente decisão. O mesmo deve ser aplicável a qualquer subcontratação, a um subcontratante (ulterior), das operações de tratamento abrangidas pelo contrato. |
| --- | --- |

(24)

A Decisão 2001/497/CE e a Decisão 2010/87/UE devem ser revogadas três meses após a entrada em vigor da presente decisão. Durante esse período, os exportadores e importadores de dados devem, para efeitos do artigo 46.o, n.o 1, do Regulamento (UE) 2016/679, continuar a poder utilizar as cláusulas contratuais-tipo estabelecidas nas Decisões 2001/497/CE e 2010/87/UE. Durante um período adicional de 15 meses, os exportadores e importadores de dados devem, para efeitos do artigo 46.o, n.o 1, do Regulamento (UE) 2016/679, continuar a poder recorrer às cláusulas contratuais-tipo estabelecidas nas Decisões 2001/497/CE e 2010/87/UE para a execução de contratos celebrados entre os mesmos antes da data de revogação dessas decisões, desde que as operações de tratamento objeto do contrato permaneçam inalteradas e que o recurso às cláusulas garanta que a transferência de dados pessoais está sujeita a garantias adequadas na aceção do artigo 46.o, n.o 1, do Regulamento (UE) 2016/679. Caso o contrato seja objeto de alterações significativas, o exportador de dados deve ser obrigado a invocar um novo fundamento para as transferências de dados ao abrigo do contrato, em particular substituindo as cláusulas contratuais-tipo existentes pelas cláusulas contratuais-tipo estabelecidas no anexo da presente decisão. O mesmo deve ser aplicável a qualquer subcontratação, a um subcontratante (ulterior), das operações de tratamento abrangidas pelo contrato.

| (25) | A Autoridade Europeia para a Proteção de Dados e o Comité Europeu para a Proteção de Dados foram consultados nos termos do artigo 42.o, n.os 1 e 2, do Regulamento (UE) 2018/1725 e emitiram um parecer comum em 14 de janeiro de 2021 (12), que foi tido em consideração na preparação da presente decisão. |
| --- | --- |

(25)

A Autoridade Europeia para a Proteção de Dados e o Comité Europeu para a Proteção de Dados foram consultados nos termos do artigo 42.o, n.os 1 e 2, do Regulamento (UE) 2018/1725 e emitiram um parecer comum em 14 de janeiro de 2021 (12), que foi tido em consideração na preparação da presente decisão.

| (26) | As medidas previstas na presente decisão estão em conformidade com o parecer do Comité instituído pelo artigo 93.o do Regulamento (UE) 2016/679, |
| --- | --- |

(26)

As medidas previstas na presente decisão estão em conformidade com o parecer do Comité instituído pelo artigo 93.o do Regulamento (UE) 2016/679,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o

1.   Considera-se que as cláusulas contratuais-tipo estabelecidas no anexo proporcionam garantias adequadas na aceção do artigo 46.o, n.o 1, e n.o 2, alínea c), do Regulamento (UE) 2016/679 para a transferência, por um responsável pelo tratamento ou por um subcontratante, de dados pessoais tratados nos termos desse regulamento (exportador de dados) para um responsável pelo tratamento ou para um subcontratante (ulterior) cujo tratamento dos dados não esteja sujeito a esse regulamento (importador de dados).

2.   As cláusulas contratuais-tipo estabelecem igualmente os direitos e as obrigações dos responsáveis pelo tratamento e dos subcontratantes no que diz respeito às matérias referidas no artigo 28.o, n.os 3 e 4, do Regulamento (UE) 2016/679 no que se refere à transferência de dados pessoais de um responsável pelo tratamento para um subcontratante, ou de um subcontratante para um subcontratante ulterior.

Artigo 2.o

Sempre que as autoridades competentes dos Estados-Membros exerçam poderes de correção nos termos do artigo 58.o do Regulamento (UE) 2016/679 em resposta ao facto de o importador de dados estar ou vir a estar sujeito a legislações ou práticas no país terceiro de destino que o impeçam de cumprir as cláusulas contratuais-tipo constantes do anexo, conduzindo à suspensão ou à proibição das transferências de dados para países terceiros, o Estado-Membro em causa deve informar, sem demora, a Comissão, que transmite a informação aos outros Estados-Membros.

Artigo 3.o

A Comissão deve avaliar a aplicação prática das cláusulas contratuais-tipo constantes do anexo com base em todas as informações disponíveis, no âmbito da avaliação periódica exigida pelo artigo 97.o do Regulamento (UE) 2016/679.

Artigo 4.o

1.   A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

2.   A Decisão 2001/497/CE é revogada com efeitos a partir de 27 de setembro de 2021.

3.   A Decisão 2010/87/UE é revogada com efeitos a partir de 27 de setembro de 2021.

4.   Considera-se que os contratos celebrados antes de 27 de setembro de 2021 com base na Decisão 2001/497/CE ou na Decisão 2010/87/UE proporcionam garantias adequadas na aceção do artigo 46.o, n.o 1, do Regulamento (UE) 2016/679 até 27 de dezembro de 2022, desde que as operações de tratamento objeto do contrato permaneçam inalteradas e que o recurso a essas cláusulas garanta que a transferência de dados pessoais está sujeita a garantias adequadas.

Feito em Bruxelas, em 4 de junho de 2021.

Pela Comissão

A Presidente

Ursula VON DER LEYEN

---

(1)  
  JO L 119 de 4.5.2016, p. 1.

1

(2)  Artigo 44.o do Regulamento (UE) 2016/679.

2

o

(3)  Ver também o Acórdão do Tribunal de Justiça de 16 de julho de 2020 no processo C-311/18, Data Protection Commissioner/Facebook Ireland Ltd e Maximillian Schrems («Schrems II»), ECLI:EU:C:2020:559, n.o 93.

3

Data Protection Commissioner/Facebook Ireland Ltd e Maximillian Schrems («Schrems II»)

o

(4)  Considerando 109 do Regulamento (UE) 2016/679.

4

(5)  Decisão 2001/497/CE da Comissão, de 15 de junho de 2001, relativa às cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para países terceiros, nos termos da Diretiva 95/46/CE (JO L 181 de 4.7.2001, p. 19).

5

(6)  Decisão 2010/87/UE da Comissão, de 5 de fevereiro de 2010, relativa a cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para subcontratantes estabelecidos em países terceiros nos termos da Diretiva 95/46/CE do Parlamento Europeu e do Conselho (JO L 39 de 12.2.2010, p. 5).

6

(7)  Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO L 281 de 23.11.1995, p. 31).

7

(8)  Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39); ver considerando 5.

8

o

o

(9)  C(2021) 3701.

9

(10)  
  Schrems II, n.os 96 e 103. Ver também os considerandos 108 e 114 do Regulamento (UE) 2016/679.

10

Schrems II

os

(11)  
  Schrems II.

11

Schrems II

(12)  
  «
  EDPB-EDPS Joint Opinion 2/2021 on the European Commission’s Implementing Decision on standard contractual clauses for the transfer of personal data to third countries for the matters referred to in Article 46(2)(c) of Regulation (EU) 2016/679
  » [Parecer conjunto 2/2021 do CEPD e da AEPD sobre a Decisão de Execução da Comissão Europeia relativa às cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para países terceiros para as matérias referidas no artigo 46.o, n.o 2, alínea c), do Regulamento (UE) 2016/679].

12

EDPB-EDPS Joint Opinion 2/2021 on the European Commission’s Implementing Decision on standard contractual clauses for the transfer of personal data to third countries for the matters referred to in Article 46(2)(c) of Regulation (EU) 2016/679

o

o

---

ANEXO

CLÁUSULAS CONTRATUAIS-TIPO

SECÇÃO I

Cláusula 1

Finalidade e âmbito de aplicação

| a) | As presentes cláusulas contratuais-tipo visam assegurar o cumprimento dos requisitos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (Regulamento Geral sobre a Proteção de Dados) (1) aplicáveis às transferências de dados pessoais para países terceiros. |
| --- | --- |

a)

As presentes cláusulas contratuais-tipo visam assegurar o cumprimento dos requisitos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (Regulamento Geral sobre a Proteção de Dados) (1) aplicáveis às transferências de dados pessoais para países terceiros.

| b) | As Partes:






  i) | a(s) pessoa(s) singular(es) ou coletiva(s), a(s) autoridade(s) pública(s), a(s) agência(s) ou outro(s) organismo(s) (adiante designado(s) por «entidade(s)») que transfere(m) os dados pessoais, tal como enumerados no anexo I.A. (a seguir designado(s) individualmente por «exportador de dados»), e |
| --- | --- | --- |

b)

As Partes:

i)

a(s) pessoa(s) singular(es) ou coletiva(s), a(s) autoridade(s) pública(s), a(s) agência(s) ou outro(s) organismo(s) (adiante designado(s) por «entidade(s)») que transfere(m) os dados pessoais, tal como enumerados no anexo I.A. (a seguir designado(s) individualmente por «exportador de dados»), e

| ii) | a(s) entidade(s) de um país terceiro que recebe(m) os dados pessoais do exportador de dados, direta ou indiretamente através de outra entidade também Parte nas presentes cláusulas, tal como enumeradas no anexo I.A. (a seguir designada(s) individualmente por «importador de dados») |
| --- | --- |

ii)

a(s) entidade(s) de um país terceiro que recebe(m) os dados pessoais do exportador de dados, direta ou indiretamente através de outra entidade também Parte nas presentes cláusulas, tal como enumeradas no anexo I.A. (a seguir designada(s) individualmente por «importador de dados»)

acordaram nas presentes cláusulas contratuais-tipo (a seguir designadas por «cláusulas»).

| c) | As presentes cláusulas são aplicáveis no que diz respeito à transferência de dados pessoais, conforme especificado no anexo I.B. |
| --- | --- |

c)

As presentes cláusulas são aplicáveis no que diz respeito à transferência de dados pessoais, conforme especificado no anexo I.B.

| d) | O apêndice das presentes cláusulas, que contém os anexos nelas referidos, é parte integrante das presentes cláusulas. |
| --- | --- |

d)

O apêndice das presentes cláusulas, que contém os anexos nelas referidos, é parte integrante das presentes cláusulas.

Cláusula 2

Efeito e invariabilidade das cláusulas

| a) | As presentes cláusulas estabelecem garantias adequadas, incluindo direitos oponíveis dos titulares dos dados e medidas jurídicas corretivas eficazes, nos termos do artigo 46.o, n.o 1, e do artigo 46.o, n.o 2, alínea c), do Regulamento (UE) 2016/679 e, no que diz respeito às transferências de dados de responsáveis pelo tratamento para subcontratantes e/ou entre subcontratantes, nos termos do artigo 28.o, n.o 7, do Regulamento (UE) 2016/679, desde que não sejam alteradas, exceto para selecionar o(s) módulo(s) adequado(s) ou para acrescentar ou atualizar informações no apêndice. Tal não impede as Partes de incluir as cláusulas contratuais-tipo estabelecidas nas presentes cláusulas num contrato mais abrangente e/ou de acrescentar outras cláusulas ou garantias adicionais, desde que não colidam, direta ou indiretamente, com as presentes cláusulas, e sem prejuízo dos direitos ou das liberdades fundamentais dos titulares dos dados. |
| --- | --- |

a)

As presentes cláusulas estabelecem garantias adequadas, incluindo direitos oponíveis dos titulares dos dados e medidas jurídicas corretivas eficazes, nos termos do artigo 46.o, n.o 1, e do artigo 46.o, n.o 2, alínea c), do Regulamento (UE) 2016/679 e, no que diz respeito às transferências de dados de responsáveis pelo tratamento para subcontratantes e/ou entre subcontratantes, nos termos do artigo 28.o, n.o 7, do Regulamento (UE) 2016/679, desde que não sejam alteradas, exceto para selecionar o(s) módulo(s) adequado(s) ou para acrescentar ou atualizar informações no apêndice. Tal não impede as Partes de incluir as cláusulas contratuais-tipo estabelecidas nas presentes cláusulas num contrato mais abrangente e/ou de acrescentar outras cláusulas ou garantias adicionais, desde que não colidam, direta ou indiretamente, com as presentes cláusulas, e sem prejuízo dos direitos ou das liberdades fundamentais dos titulares dos dados.

| b) | As presentes cláusulas não prejudicam as obrigações a que o exportador de dados está sujeito por força do Regulamento (UE) 2016/679. |
| --- | --- |

b)

As presentes cláusulas não prejudicam as obrigações a que o exportador de dados está sujeito por força do Regulamento (UE) 2016/679.

Cláusula 3

Cláusula do terceiro beneficiário

| a) | Os titulares dos dados podem invocar e fazer aplicar as presentes cláusulas, enquanto terceiros beneficiários, contra o exportador e/ou importador de dados, com as seguintes exceções:






  i) | cláusulas 1, 2, 3, 6, 7, |
| --- | --- | --- |

a)

Os titulares dos dados podem invocar e fazer aplicar as presentes cláusulas, enquanto terceiros beneficiários, contra o exportador e/ou importador de dados, com as seguintes exceções:

i)

cláusulas 1, 2, 3, 6, 7,

| ii) | cláusula 8 — módulo um: cláusula 8.5, alínea e), e cláusula 8.9, alínea b); módulo dois: cláusula 8.1, alínea b), cláusula 8.9, alíneas a), c), d) e e); módulo três: cláusula 8.1, alíneas a), c) e d), e cláusula 8.9, alíneas a), c), d), e), f) e g); módulo quatro: cláusula 8.1, alínea b), e cláusula 8.3, alínea b), |
| --- | --- |

ii)

cláusula 8 — módulo um: cláusula 8.5, alínea e), e cláusula 8.9, alínea b); módulo dois: cláusula 8.1, alínea b), cláusula 8.9, alíneas a), c), d) e e); módulo três: cláusula 8.1, alíneas a), c) e d), e cláusula 8.9, alíneas a), c), d), e), f) e g); módulo quatro: cláusula 8.1, alínea b), e cláusula 8.3, alínea b),

| iii) | cláusula 9 — módulo dois: cláusula 9, alíneas a), c), d) e e); módulo três: cláusula 9, alíneas a), c), d) e e), |
| --- | --- |

iii)

cláusula 9 — módulo dois: cláusula 9, alíneas a), c), d) e e); módulo três: cláusula 9, alíneas a), c), d) e e),

| iv) | cláusula 12 — módulo um: cláusula 12, alíneas a) e d), módulos dois e três: cláusula 12, alíneas a), d) e f), |
| --- | --- |

iv)

cláusula 12 — módulo um: cláusula 12, alíneas a) e d), módulos dois e três: cláusula 12, alíneas a), d) e f),

| v) | cláusula 13, |
| --- | --- |

v)

cláusula 13,

| vi) | cláusula 15.1, alíneas c), d) e e), |
| --- | --- |

vi)

cláusula 15.1, alíneas c), d) e e),

| vii) | cláusula 16, alínea e), |
| --- | --- |

vii)

cláusula 16, alínea e),

| viii) | cláusula 18 — módulos um, dois e três: cláusula 18, alíneas a) e b); módulo quatro: cláusula 18. |
| --- | --- |

viii)

cláusula 18 — módulos um, dois e três: cláusula 18, alíneas a) e b); módulo quatro: cláusula 18.

| b) | A alínea a) não prejudica os direitos dos titulares dos dados ao abrigo do Regulamento (UE) 2016/679. |
| --- | --- |

b)

A alínea a) não prejudica os direitos dos titulares dos dados ao abrigo do Regulamento (UE) 2016/679.

Cláusula 4

Interpretação

| a) | Caso as presentes cláusulas utilizem termos que se encontram definidos no Regulamento (UE) 2016/679, esses termos têm o mesmo significado que lhes é atribuído nesse regulamento. |
| --- | --- |

a)

Caso as presentes cláusulas utilizem termos que se encontram definidos no Regulamento (UE) 2016/679, esses termos têm o mesmo significado que lhes é atribuído nesse regulamento.

| b) | As presentes cláusulas devem ser lidas e interpretadas à luz das disposições do Regulamento (UE) 2016/679. |
| --- | --- |

b)

As presentes cláusulas devem ser lidas e interpretadas à luz das disposições do Regulamento (UE) 2016/679.

| c) | As presentes cláusulas não devem ser interpretadas de forma contrária aos direitos e obrigações previstos no Regulamento (UE) 2016/679. |
| --- | --- |

c)

As presentes cláusulas não devem ser interpretadas de forma contrária aos direitos e obrigações previstos no Regulamento (UE) 2016/679.

Cláusula 5

Hierarquia

Em caso de contradição entre as presentes cláusulas e as disposições de acordos conexos celebrados entre as Partes que se encontrem em vigor no momento em que as presentes cláusulas sejam acordadas ou que sejam celebrados posteriormente, prevalecem as presentes cláusulas.

Cláusula 6

Descrição da(s) transferência(s)

Os pormenores da(s) transferência(s) e, em particular, as categorias de dados pessoais que são transferidos e a(s) finalidade(s) para a(s) qual(is) são transferidos, são especificados no anexo I.B.

Cláusula 7 – Facultativa

Cláusula de adesão

| a) | Uma entidade que não seja Parte nas presentes cláusulas pode, com o acordo das Partes, aderir, em qualquer momento, às presentes cláusulas, quer como exportador de dados quer como importador de dados, preenchendo o apêndice e assinando o anexo I.A. |
| --- | --- |

a)

Uma entidade que não seja Parte nas presentes cláusulas pode, com o acordo das Partes, aderir, em qualquer momento, às presentes cláusulas, quer como exportador de dados quer como importador de dados, preenchendo o apêndice e assinando o anexo I.A.

| b) | Uma vez preenchido o apêndice e assinado o anexo I.A, a entidade aderente passa a ser Parte nas presentes cláusulas e tem os direitos e as obrigações de um exportador ou importador de dados, em conformidade com a sua designação no anexo I.A. |
| --- | --- |

b)

Uma vez preenchido o apêndice e assinado o anexo I.A, a entidade aderente passa a ser Parte nas presentes cláusulas e tem os direitos e as obrigações de um exportador ou importador de dados, em conformidade com a sua designação no anexo I.A.

| c) | A entidade aderente não tem quaisquer direitos ou obrigações decorrentes das presentes cláusulas em relação ao período antes de se ter tornado Parte. |
| --- | --- |

c)

A entidade aderente não tem quaisquer direitos ou obrigações decorrentes das presentes cláusulas em relação ao período antes de se ter tornado Parte.

SECÇÃO II — OBRIGAÇÕES DAS PARTES

Cláusula 8

Garantias em matéria de proteção de dados

O exportador de dados garante que envidou esforços razoáveis para determinar que o importador de dados tem capacidade, através da aplicação de medidas técnicas e organizativas adequadas, para cumprir as obrigações que lhe incumbem por força das presentes cláusulas.

MÓDULO UM: Transferência entre responsáveis pelo tratamento

8.1.   Limitação das finalidades

O importador de dados deve proceder ao tratamento dos dados pessoais apenas para a(s) finalidade(s) específica(s) da transferência, conforme estabelecido no anexo I.B. Só pode tratar os dados pessoais para outra finalidade:

| i) | se tiver obtido o consentimento prévio do titular dos dados, |
| --- | --- |

i)

se tiver obtido o consentimento prévio do titular dos dados,

| ii) | se o tratamento for necessário à declaração, ao exercício ou à defesa de um direito num processo judicial no contexto de processos administrativos, regulamentares ou judiciais específicos, ou |
| --- | --- |

ii)

se o tratamento for necessário à declaração, ao exercício ou à defesa de um direito num processo judicial no contexto de processos administrativos, regulamentares ou judiciais específicos, ou

| iii) | se o tratamento for necessário para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular. |
| --- | --- |

iii)

se o tratamento for necessário para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular.

8.2.   Transparência

| a) | A fim de permitir que os titulares dos dados exerçam efetivamente os seus direitos nos termos da cláusula 10, o importador de dados deve informá-los, quer diretamente quer através do exportador de dados:






  i) | da sua identidade e dos seus contactos, |
| --- | --- | --- |

a)

A fim de permitir que os titulares dos dados exerçam efetivamente os seus direitos nos termos da cláusula 10, o importador de dados deve informá-los, quer diretamente quer através do exportador de dados:

i)

da sua identidade e dos seus contactos,

| ii) | das categorias de dados pessoais tratados, |
| --- | --- |

ii)

das categorias de dados pessoais tratados,

| iii) | do direito de obter uma cópia das presentes cláusulas, |
| --- | --- |

iii)

do direito de obter uma cópia das presentes cláusulas,

| iv) | caso tencione transferir ulteriormente os dados pessoais para terceiros, do destinatário ou das categorias de destinatários (conforme o caso, com vista a fornecer informações significativas), da finalidade dessa transferência ulterior e do respetivo fundamento nos termos da cláusula 8.7. |
| --- | --- |

iv)

caso tencione transferir ulteriormente os dados pessoais para terceiros, do destinatário ou das categorias de destinatários (conforme o caso, com vista a fornecer informações significativas), da finalidade dessa transferência ulterior e do respetivo fundamento nos termos da cláusula 8.7.

| b) | A alínea a) não é aplicável caso o titular dos dados já tenha conhecimento das informações, incluindo quando essas informações já tenham sido facultadas pelo exportador de dados, ou quando a disponibilização das informações se revele impossível ou implique um esforço desproporcionado para o importador de dados. Neste último caso, o importador de dados deve, na medida do possível, colocar as informações à disposição do público. |
| --- | --- |

b)

A alínea a) não é aplicável caso o titular dos dados já tenha conhecimento das informações, incluindo quando essas informações já tenham sido facultadas pelo exportador de dados, ou quando a disponibilização das informações se revele impossível ou implique um esforço desproporcionado para o importador de dados. Neste último caso, o importador de dados deve, na medida do possível, colocar as informações à disposição do público.

| c) | Mediante pedido, as Partes devem disponibilizar gratuitamente ao titular dos dados uma cópia das presentes cláusulas, incluindo o apêndice, tal como preenchido pelas mesmas. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo dados pessoais, as Partes podem editar parte do texto do apêndice antes de partilhar uma cópia do mesmo, mas devem disponibilizar um resumo significativo do apêndice se, de outro modo, o titular dos dados não for capaz de compreender o seu conteúdo ou exercer os seus direitos. Mediante pedido, as Partes devem comunicar ao titular dos dados os motivos das ocultações, na medida do possível sem revelar as informações ocultadas. |
| --- | --- |

c)

Mediante pedido, as Partes devem disponibilizar gratuitamente ao titular dos dados uma cópia das presentes cláusulas, incluindo o apêndice, tal como preenchido pelas mesmas. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo dados pessoais, as Partes podem editar parte do texto do apêndice antes de partilhar uma cópia do mesmo, mas devem disponibilizar um resumo significativo do apêndice se, de outro modo, o titular dos dados não for capaz de compreender o seu conteúdo ou exercer os seus direitos. Mediante pedido, as Partes devem comunicar ao titular dos dados os motivos das ocultações, na medida do possível sem revelar as informações ocultadas.

| d) | As alíneas a) a c) em nada prejudicam as obrigações do exportador de dados nos termos dos artigos 13.o e 14.o do Regulamento (UE) 2016/679. |
| --- | --- |

d)

As alíneas a) a c) em nada prejudicam as obrigações do exportador de dados nos termos dos artigos 13.o e 14.o do Regulamento (UE) 2016/679.

8.3.   Exatidão e minimização dos dados

| a) | Cada Parte deve assegurar que os dados pessoais sejam exatos e, se necessário, atualizados. O importador de dados deve adotar todas as medidas adequadas para que os dados inexatos, tendo em conta a(s) finalidade(s) do tratamento, sejam apagados ou retificados sem demora. |
| --- | --- |

a)

Cada Parte deve assegurar que os dados pessoais sejam exatos e, se necessário, atualizados. O importador de dados deve adotar todas as medidas adequadas para que os dados inexatos, tendo em conta a(s) finalidade(s) do tratamento, sejam apagados ou retificados sem demora.

| b) | Se uma das Partes tomar conhecimento de que os dados pessoais que transferiu ou recebeu são inexatos ou estão desatualizados, deve informar a outra Parte sem demora injustificada. |
| --- | --- |

b)

Se uma das Partes tomar conhecimento de que os dados pessoais que transferiu ou recebeu são inexatos ou estão desatualizados, deve informar a outra Parte sem demora injustificada.

| c) | O importador de dados deve assegurar que os dados pessoais sejam adequados, pertinentes e limitados ao que é necessário relativamente à(s) finalidade(s) do tratamento. |
| --- | --- |

c)

O importador de dados deve assegurar que os dados pessoais sejam adequados, pertinentes e limitados ao que é necessário relativamente à(s) finalidade(s) do tratamento.

8.4.   Limitação da conservação

O importador de dados deve conservar os dados pessoais apenas durante o tempo necessário para a(s) finalidade(s) para a(s) qual(is) são tratados. Deve adotar medidas técnicas ou organizativas adequadas para assegurar o cumprimento desta obrigação, incluindo o apagamento ou a anonimização (2) dos dados e de todas as cópias de segurança no final do período de conservação.

8.5.   Segurança do tratamento

| a) | O importador de dados e, durante a transmissão, também o exportador de dados devem aplicar medidas técnicas e organizativas adequadas para garantir a segurança dos dados pessoais, incluindo a proteção contra uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados (a seguir designada por «violação de dados pessoais»). Ao avaliar o nível de segurança adequado, devem ter em devida conta as técnicas mais avançadas, os custos de aplicação, a natureza, o âmbito, o contexto e a(s) finalidade(s) do tratamento e os riscos inerentes ao tratamento para os titulares dos dados. As Partes devem, em particular, ponderar o recurso à cifragem ou à pseudonimização, nomeadamente durante a transmissão, sempre que a finalidade do tratamento possa ser cumprida dessa forma. |
| --- | --- |

a)

O importador de dados e, durante a transmissão, também o exportador de dados devem aplicar medidas técnicas e organizativas adequadas para garantir a segurança dos dados pessoais, incluindo a proteção contra uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados (a seguir designada por «violação de dados pessoais»). Ao avaliar o nível de segurança adequado, devem ter em devida conta as técnicas mais avançadas, os custos de aplicação, a natureza, o âmbito, o contexto e a(s) finalidade(s) do tratamento e os riscos inerentes ao tratamento para os titulares dos dados. As Partes devem, em particular, ponderar o recurso à cifragem ou à pseudonimização, nomeadamente durante a transmissão, sempre que a finalidade do tratamento possa ser cumprida dessa forma.

| b) | As Partes acordaram nas medidas técnicas e organizativas estabelecidas no anexo II. O importador de dados deve realizar controlos regulares para garantir que estas medidas continuam a proporcionar um nível de segurança adequado. |
| --- | --- |

b)

As Partes acordaram nas medidas técnicas e organizativas estabelecidas no anexo II. O importador de dados deve realizar controlos regulares para garantir que estas medidas continuam a proporcionar um nível de segurança adequado.

| c) | O importador de dados deve assegurar que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas às obrigações legais de confidencialidade adequadas. |
| --- | --- |

c)

O importador de dados deve assegurar que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas às obrigações legais de confidencialidade adequadas.

| d) | Em caso de violação de dados pessoais relativa a dados pessoais tratados pelo importador de dados ao abrigo das presentes cláusulas, o importador de dados deve tomar as medidas adequadas para reparar a violação de dados pessoais, incluindo medidas para atenuar os seus eventuais efeitos negativos. |
| --- | --- |

d)

Em caso de violação de dados pessoais relativa a dados pessoais tratados pelo importador de dados ao abrigo das presentes cláusulas, o importador de dados deve tomar as medidas adequadas para reparar a violação de dados pessoais, incluindo medidas para atenuar os seus eventuais efeitos negativos.

| e) | Em caso de violação de dados pessoais suscetível de constituir um risco para os direitos e as liberdades das pessoas singulares, o importador de dados deve notificar, sem demora, o exportador de dados e a autoridade de controlo competente, nos termos da cláusula 13. Essa notificação deve conter i) uma descrição da natureza da violação (incluindo, se possível, as categorias e o número aproximado de titulares de dados e de registos de dados pessoais em causa), ii) as suas consequências prováveis, iii) as medidas adotadas ou propostas para reparar a violação e iv) os dados de um ponto de contacto junto do qual possam ser obtidas mais informações. Na medida em que não seja possível ao importador de dados fornecer todas as informações ao mesmo tempo, poderá fazê-lo por fases, sem demora injustificada. |
| --- | --- |

e)

Em caso de violação de dados pessoais suscetível de constituir um risco para os direitos e as liberdades das pessoas singulares, o importador de dados deve notificar, sem demora, o exportador de dados e a autoridade de controlo competente, nos termos da cláusula 13. Essa notificação deve conter i) uma descrição da natureza da violação (incluindo, se possível, as categorias e o número aproximado de titulares de dados e de registos de dados pessoais em causa), ii) as suas consequências prováveis, iii) as medidas adotadas ou propostas para reparar a violação e iv) os dados de um ponto de contacto junto do qual possam ser obtidas mais informações. Na medida em que não seja possível ao importador de dados fornecer todas as informações ao mesmo tempo, poderá fazê-lo por fases, sem demora injustificada.

| f) | Em caso de violação de dados pessoais suscetível de constituir um risco elevado para os direitos e as liberdades das pessoas singulares, o importador de dados deve notificar igualmente os titulares dos dados afetados, sem demora injustificada, da violação de dados pessoais e da sua natureza, se necessário em cooperação com o exportador de dados, juntamente com as informações referidas na alínea e), subalíneas ii) a iv), a menos que o importador de dados tenha aplicado medidas para reduzir significativamente o risco para os direitos ou as liberdades das pessoas singulares ou que a notificação implique esforços desproporcionados. Neste último caso, o importador de dados deve, em alternativa, emitir uma comunicação pública ou tomar uma medida semelhante para informar o público da violação de dados pessoais. |
| --- | --- |

f)

Em caso de violação de dados pessoais suscetível de constituir um risco elevado para os direitos e as liberdades das pessoas singulares, o importador de dados deve notificar igualmente os titulares dos dados afetados, sem demora injustificada, da violação de dados pessoais e da sua natureza, se necessário em cooperação com o exportador de dados, juntamente com as informações referidas na alínea e), subalíneas ii) a iv), a menos que o importador de dados tenha aplicado medidas para reduzir significativamente o risco para os direitos ou as liberdades das pessoas singulares ou que a notificação implique esforços desproporcionados. Neste último caso, o importador de dados deve, em alternativa, emitir uma comunicação pública ou tomar uma medida semelhante para informar o público da violação de dados pessoais.

| g) | O importador de dados deve documentar todos os factos pertinentes relacionados com a violação de dados pessoais, incluindo os respetivos efeitos e quaisquer medidas corretivas adotadas, e conservar um registo dos mesmos. |
| --- | --- |

g)

O importador de dados deve documentar todos os factos pertinentes relacionados com a violação de dados pessoais, incluindo os respetivos efeitos e quaisquer medidas corretivas adotadas, e conservar um registo dos mesmos.

8.6.   Dados sensíveis

Sempre que a transferência envolva dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas ou a filiação sindical, dados genéticos ou biométricos destinados a identificar uma pessoa singular de forma inequívoca, dados relativos à saúde, à vida sexual ou à orientação sexual de uma pessoa ou dados relacionados com condenações penais ou com infrações (a seguir designados por «dados sensíveis»), o importador de dados deve aplicar limitações específicas e/ou garantias adicionais adaptadas à natureza específica dos dados e aos riscos envolvidos. Tal pode incluir a limitação do pessoal autorizado a aceder aos dados pessoais, medidas de segurança adicionais (como a pseudonimização) e/ou limitações adicionais no que diz respeito à divulgação posterior.

8.7.   Transferências ulteriores

O importador de dados não pode divulgar os dados pessoais a terceiros localizados fora da União Europeia (3) (no mesmo país que o importador de dados ou noutro país terceiro, a seguir designada «transferência ulterior»), a menos que o terceiro esteja ou aceite estar vinculado pelas presentes cláusulas, ao abrigo do módulo adequado. Caso contrário, uma transferência ulterior por parte do importador de dados só pode ser realizada se:

| i) | o seu destino for um país que beneficie de uma decisão de adequação nos termos do artigo 45.o do Regulamento (UE) 2016/679 que abranja a transferência ulterior, |
| --- | --- |

i)

o seu destino for um país que beneficie de uma decisão de adequação nos termos do artigo 45.o do Regulamento (UE) 2016/679 que abranja a transferência ulterior,

| ii) | o terceiro assegurar, de qualquer outra forma, as garantias adequadas nos termos dos artigos 46.o ou 47.o do Regulamento (UE) 2016/679 no que diz respeito ao tratamento em questão, |
| --- | --- |

ii)

o terceiro assegurar, de qualquer outra forma, as garantias adequadas nos termos dos artigos 46.o ou 47.o do Regulamento (UE) 2016/679 no que diz respeito ao tratamento em questão,

| iii) | o terceiro celebrar um instrumento vinculativo com o importador de dados que assegure o mesmo nível de proteção de dados previsto nas presentes cláusulas e o importador de dados facultar uma cópia destas garantias ao exportador de dados, |
| --- | --- |

iii)

o terceiro celebrar um instrumento vinculativo com o importador de dados que assegure o mesmo nível de proteção de dados previsto nas presentes cláusulas e o importador de dados facultar uma cópia destas garantias ao exportador de dados,

| iv) | for necessária à declaração, ao exercício ou à defesa de um direito num processo judicial no contexto de processos administrativos, regulamentares ou judiciais específicos, |
| --- | --- |

iv)

for necessária à declaração, ao exercício ou à defesa de um direito num processo judicial no contexto de processos administrativos, regulamentares ou judiciais específicos,

| v) | for necessária para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular; ou |
| --- | --- |

v)

for necessária para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular; ou

| vi) | se nenhuma das outras condições for aplicável, o importador de dados tiver obtido o consentimento explícito do titular dos dados para uma transferência ulterior numa situação específica, depois de o ter informado da(s) sua(s) finalidade(s), da identidade do destinatário e dos possíveis riscos dessa transferência para o titular dos dados devido à inexistência de garantias adequadas em matéria de proteção de dados. neste caso, o importador de dados deve informar o exportador de dados e, a pedido deste último, transmitir-lhe uma cópia das informações facultadas ao titular dos dados. |
| --- | --- |

vi)

se nenhuma das outras condições for aplicável, o importador de dados tiver obtido o consentimento explícito do titular dos dados para uma transferência ulterior numa situação específica, depois de o ter informado da(s) sua(s) finalidade(s), da identidade do destinatário e dos possíveis riscos dessa transferência para o titular dos dados devido à inexistência de garantias adequadas em matéria de proteção de dados. neste caso, o importador de dados deve informar o exportador de dados e, a pedido deste último, transmitir-lhe uma cópia das informações facultadas ao titular dos dados.

Qualquer transferência ulterior está sujeita ao cumprimento, pelo importador de dados, de todas as outras garantias previstas nas presentes cláusulas, em particular a limitação da finalidade.

8.8.   Tratamento sob a autoridade do importador de dados

O importador de dados deve assegurar que qualquer pessoa que atue sob a sua autoridade, incluindo um subcontratante, só procede ao tratamento dos dados mediante as suas instruções.

8.9.   Documentação e cumprimento

| a) | Cada Parte deve poder demonstrar o cumprimento das obrigações que lhe incumbem por força das presentes cláusulas. Em particular, o importador de dados deve conservar documentação adequada relativa às atividades de tratamento realizadas sob a sua responsabilidade. |
| --- | --- |

a)

Cada Parte deve poder demonstrar o cumprimento das obrigações que lhe incumbem por força das presentes cláusulas. Em particular, o importador de dados deve conservar documentação adequada relativa às atividades de tratamento realizadas sob a sua responsabilidade.

| b) | O importador de dados deve disponibilizar essa documentação à autoridade de controlo competente, mediante pedido. |
| --- | --- |

b)

O importador de dados deve disponibilizar essa documentação à autoridade de controlo competente, mediante pedido.

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

8.1.   Instruções

| a) | O importador de dados deve proceder ao tratamento dos dados pessoais apenas mediante instruções documentadas do exportador de dados. O exportador de dados pode dar essas instruções ao longo do período de vigência do contrato. |
| --- | --- |

a)

O importador de dados deve proceder ao tratamento dos dados pessoais apenas mediante instruções documentadas do exportador de dados. O exportador de dados pode dar essas instruções ao longo do período de vigência do contrato.

| b) | O importador de dados deve informar imediatamente o exportador de dados se não puder seguir essas instruções. |
| --- | --- |

b)

O importador de dados deve informar imediatamente o exportador de dados se não puder seguir essas instruções.

8.2.   Limitação das finalidades

O importador de dados deve proceder ao tratamento dos dados pessoais apenas para a(s) finalidade(s) específica(s) da transferência, conforme estabelecido no anexo I.B, salvo se receber instruções adicionais do exportador de dados.

8.3.   Transparência

Mediante pedido, o exportador de dados deve disponibilizar gratuitamente ao titular dos dados uma cópia das presentes cláusulas, incluindo o apêndice, conforme preenchido pelas Partes. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo as medidas descritas no anexo II e dados pessoais, o exportador de dados pode editar parte do texto do apêndice das presentes cláusulas antes de partilhar uma cópia do mesmo, mas deve disponibilizar um resumo significativo do apêndice se, de outro modo, o titular dos dados não for capaz de compreender o seu conteúdo ou exercer os seus direitos. Mediante pedido, as Partes devem comunicar ao titular dos dados os motivos das ocultações, na medida do possível sem revelar as informações ocultadas. Esta cláusula não prejudica as obrigações do exportador de dados nos termos dos artigos 13.o e 14.° do Regulamento (UE) 2016/679.

8.4.   Exatidão

Se o importador de dados tomar conhecimento de que os dados pessoais que recebeu são inexatos ou estão desatualizados, deve informar o exportador de dados sem demora injustificada. Neste caso, o importador de dados deve cooperar com o exportador de dados para apagar ou retificar os dados.

8.5.   Duração do tratamento e apagamento ou devolução dos dados

O tratamento pelo importador de dados só pode ocorrer durante o período especificado no anexo I.B. Depois de concluída a prestação dos serviços de tratamento, o importador de dados deve, consoante a escolha do exportador de dados, apagar todos os dados pessoais tratados por conta deste último e certificar ao exportador de dados que o fez ou devolver ao exportador de dados todos os dados pessoais tratados por sua conta e apagar as cópias existentes. Até que os dados sejam apagados ou devolvidos, o importador de dados deve continuar a assegurar o cumprimento das presentes cláusulas. Caso a legislação local aplicável ao importador de dados proíba a devolução ou o apagamento dos dados pessoais, o importador de dados garante continuar a assegurar o cumprimento das presentes cláusulas e só proceder ao tratamento dos dados pessoais em causa na medida em que e enquanto for necessário nos termos dessa legislação local. Tal não prejudica a cláusula 14, em particular a exigência de o importador de dados, nos termos da cláusula 14, alínea e), notificar o exportador de dados ao longo do período de vigência do contrato se tiver motivos para crer que está ou ficou sujeito a legislações ou práticas não conformes com os requisitos da cláusula 14, alínea a).

8.6.   Segurança do tratamento

| a) | O importador de dados e, durante a transmissão, também o exportador de dados devem aplicar medidas técnicas e organizativas adequadas para garantir a segurança dos dados, incluindo a proteção contra uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a esses dados (a seguir designada por «violação de dados pessoais»). Ao avaliar o nível de segurança adequado, as Partes devem ter em devida conta as técnicas mais avançadas, os custos de aplicação, a natureza, o âmbito, o contexto e a(s) finalidade(s) do tratamento e os riscos inerentes ao tratamento para os titulares dos dados. As Partes devem, em particular, ponderar o recurso à cifragem ou à pseudonimização, nomeadamente durante a transmissão, sempre que a finalidade do tratamento possa ser cumprida dessa forma. Em caso de pseudonimização, as informações adicionais para a atribuição dos dados pessoais a um titular de dados específico devem permanecer, sempre que possível, sob o controlo exclusivo do exportador de dados. No cumprimento das obrigações que lhe incumbem por força do presente número, o importador de dados deve, pelo menos, aplicar as medidas técnicas e organizativas especificadas no anexo II. O importador de dados deve realizar controlos regulares para garantir que estas medidas continuam a proporcionar um nível de segurança adequado. |
| --- | --- |

a)

O importador de dados e, durante a transmissão, também o exportador de dados devem aplicar medidas técnicas e organizativas adequadas para garantir a segurança dos dados, incluindo a proteção contra uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a esses dados (a seguir designada por «violação de dados pessoais»). Ao avaliar o nível de segurança adequado, as Partes devem ter em devida conta as técnicas mais avançadas, os custos de aplicação, a natureza, o âmbito, o contexto e a(s) finalidade(s) do tratamento e os riscos inerentes ao tratamento para os titulares dos dados. As Partes devem, em particular, ponderar o recurso à cifragem ou à pseudonimização, nomeadamente durante a transmissão, sempre que a finalidade do tratamento possa ser cumprida dessa forma. Em caso de pseudonimização, as informações adicionais para a atribuição dos dados pessoais a um titular de dados específico devem permanecer, sempre que possível, sob o controlo exclusivo do exportador de dados. No cumprimento das obrigações que lhe incumbem por força do presente número, o importador de dados deve, pelo menos, aplicar as medidas técnicas e organizativas especificadas no anexo II. O importador de dados deve realizar controlos regulares para garantir que estas medidas continuam a proporcionar um nível de segurança adequado.

| b) | O importador de dados só deve conceder acesso aos dados pessoais aos membros do seu pessoal na medida estritamente necessária para a execução, a gestão e o acompanhamento do contrato. Deve assegurar que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas às obrigações legais de confidencialidade adequadas. |
| --- | --- |

b)

O importador de dados só deve conceder acesso aos dados pessoais aos membros do seu pessoal na medida estritamente necessária para a execução, a gestão e o acompanhamento do contrato. Deve assegurar que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas às obrigações legais de confidencialidade adequadas.

| c) | Em caso de violação de dados pessoais relativa a dados pessoais tratados pelo importador de dados ao abrigo das presentes cláusulas, o importador de dados deve tomar as medidas adequadas para reparar a violação, incluindo medidas para atenuar os seus efeitos negativos. O importador de dados deve notificar igualmente o exportador de dados, sem demora injustificada, após ter tomado conhecimento da violação. Essa notificação deve conter os dados de um ponto de contacto onde possam ser obtidas mais informações, uma descrição da natureza da violação (incluindo, se possível, as categorias e o número aproximado de titulares de dados e de registos de dados pessoais em causa), as suas consequências prováveis e as medidas adotadas ou propostas para reparar a violação, incluindo, se for caso disso, medidas para atenuar os seus eventuais efeitos negativos. Caso, e na medida em que, não seja possível comunicar todas as informações ao mesmo tempo, a notificação inicial deve conter as informações então disponíveis, devendo outras informações, à medida que fiquem disponíveis, ser fornecidas posteriormente sem demora injustificada. |
| --- | --- |

c)

Em caso de violação de dados pessoais relativa a dados pessoais tratados pelo importador de dados ao abrigo das presentes cláusulas, o importador de dados deve tomar as medidas adequadas para reparar a violação, incluindo medidas para atenuar os seus efeitos negativos. O importador de dados deve notificar igualmente o exportador de dados, sem demora injustificada, após ter tomado conhecimento da violação. Essa notificação deve conter os dados de um ponto de contacto onde possam ser obtidas mais informações, uma descrição da natureza da violação (incluindo, se possível, as categorias e o número aproximado de titulares de dados e de registos de dados pessoais em causa), as suas consequências prováveis e as medidas adotadas ou propostas para reparar a violação, incluindo, se for caso disso, medidas para atenuar os seus eventuais efeitos negativos. Caso, e na medida em que, não seja possível comunicar todas as informações ao mesmo tempo, a notificação inicial deve conter as informações então disponíveis, devendo outras informações, à medida que fiquem disponíveis, ser fornecidas posteriormente sem demora injustificada.

| d) | O importador de dados deve cooperar com o exportador de dados e prestar-lhe assistência para que este cumpra as obrigações que lhe incumbem nos termos do Regulamento (UE) 2016/679, em particular a obrigação de notificar a autoridade de controlo competente e os titulares de dados afetados, tendo em conta a natureza do tratamento e as informações ao dispor do importador de dados. |
| --- | --- |

d)

O importador de dados deve cooperar com o exportador de dados e prestar-lhe assistência para que este cumpra as obrigações que lhe incumbem nos termos do Regulamento (UE) 2016/679, em particular a obrigação de notificar a autoridade de controlo competente e os titulares de dados afetados, tendo em conta a natureza do tratamento e as informações ao dispor do importador de dados.

8.7.   Dados sensíveis

Sempre que a transferência envolva dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas ou a filiação sindical, dados genéticos ou biométricos destinados a identificar uma pessoa singular de forma inequívoca, dados relativos à saúde, à vida sexual ou à orientação sexual de uma pessoa ou dados relacionados com condenações penais e com infrações (a seguir designados por «dados sensíveis»), o importador de dados deve aplicar as limitações específicas e/ou garantias adicionais descritas no anexo I.B.

8.8.   Transferências ulteriores

O importador de dados só deve divulgar os dados pessoais a terceiros mediante instruções documentadas do exportador de dados. Além disso, os dados só podem ser divulgados a terceiros localizados fora da União Europeia (4) (no mesmo país que o importador de dados ou noutro país terceiro, a seguir designada «transferência ulterior») se o terceiro estiver ou aceitar estar vinculado pelas presentes cláusulas, ao abrigo do módulo adequado, ou se:

| i) | o destino da transferência ulterior for um país que beneficie de uma decisão de adequação nos termos do artigo 45.o do Regulamento (UE) 2016/679 que abranja a transferência ulterior, |
| --- | --- |

i)

o destino da transferência ulterior for um país que beneficie de uma decisão de adequação nos termos do artigo 45.o do Regulamento (UE) 2016/679 que abranja a transferência ulterior,

| ii) | o terceiro assegurar, de qualquer outra forma, as garantias adequadas nos termos dos artigos 46.o ou 47.° do Regulamento (UE) 2016/679 no que diz respeito ao tratamento em questão, |
| --- | --- |

ii)

o terceiro assegurar, de qualquer outra forma, as garantias adequadas nos termos dos artigos 46.o ou 47.° do Regulamento (UE) 2016/679 no que diz respeito ao tratamento em questão,

| iii) | a transferência ulterior for necessária à declaração, ao exercício ou à defesa de um direito num processo judicial no contexto de processos administrativos, regulamentares ou judiciais específicos, ou |
| --- | --- |

iii)

a transferência ulterior for necessária à declaração, ao exercício ou à defesa de um direito num processo judicial no contexto de processos administrativos, regulamentares ou judiciais específicos, ou

| iv) | a transferência ulterior for necessária para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular. |
| --- | --- |

iv)

a transferência ulterior for necessária para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular.

Qualquer transferência ulterior está sujeita ao cumprimento, pelo importador de dados, de todas as outras garantias previstas nas presentes cláusulas, em particular a limitação da finalidade.

8.9.   Documentação e cumprimento

| a) | O importador de dados deve responder, rápida e adequadamente, aos pedidos de informação do exportador de dados relacionados com o tratamento ao abrigo das presentes cláusulas. |
| --- | --- |

a)

O importador de dados deve responder, rápida e adequadamente, aos pedidos de informação do exportador de dados relacionados com o tratamento ao abrigo das presentes cláusulas.

| b) | As Partes devem poder demonstrar o cumprimento das presentes cláusulas. Em particular, o importador de dados deve conservar documentação adequada sobre as atividades de tratamento realizadas por conta do exportador de dados. |
| --- | --- |

b)

As Partes devem poder demonstrar o cumprimento das presentes cláusulas. Em particular, o importador de dados deve conservar documentação adequada sobre as atividades de tratamento realizadas por conta do exportador de dados.

| c) | O importador de dados deve disponibilizar ao exportador de dados todas as informações necessárias para demonstrar o cumprimento das obrigações previstas nas presentes cláusulas e, a pedido deste último, facilitar e contribuir para as auditorias das operações de tratamento abrangidas pelas presentes cláusulas, a intervalos razoáveis ou se houver indícios de incumprimento. Ao decidir sobre uma revisão ou auditoria, o exportador de dados pode ter em conta as certificações pertinentes detidas pelo importador de dados. |
| --- | --- |

c)

O importador de dados deve disponibilizar ao exportador de dados todas as informações necessárias para demonstrar o cumprimento das obrigações previstas nas presentes cláusulas e, a pedido deste último, facilitar e contribuir para as auditorias das operações de tratamento abrangidas pelas presentes cláusulas, a intervalos razoáveis ou se houver indícios de incumprimento. Ao decidir sobre uma revisão ou auditoria, o exportador de dados pode ter em conta as certificações pertinentes detidas pelo importador de dados.

| d) | O exportador de dados pode optar por realizar, ele próprio, a auditoria ou mandatar um auditor independente. As auditorias podem incluir inspeções nos edifícios ou nas instalações físicas do importador de dados, devendo, se for caso disso, ser realizadas com uma antecedência razoável. |
| --- | --- |

d)

O exportador de dados pode optar por realizar, ele próprio, a auditoria ou mandatar um auditor independente. As auditorias podem incluir inspeções nos edifícios ou nas instalações físicas do importador de dados, devendo, se for caso disso, ser realizadas com uma antecedência razoável.

| e) | As Partes devem disponibilizar as informações referidas nas alíneas b) e c), incluindo os resultados de quaisquer auditorias, à autoridade de controlo competente, mediante pedido. |
| --- | --- |

e)

As Partes devem disponibilizar as informações referidas nas alíneas b) e c), incluindo os resultados de quaisquer auditorias, à autoridade de controlo competente, mediante pedido.

MÓDULO TRÊS: Transferência entre subcontratantes

8.1.   Instruções

| a) | O exportador de dados informou o importador de dados de que atua como subcontratante sob as instruções do(s) seu(s) responsável(eis) pelo tratamento, que o exportador de dados vai disponibilizar ao importador de dados antes do tratamento. |
| --- | --- |

a)

O exportador de dados informou o importador de dados de que atua como subcontratante sob as instruções do(s) seu(s) responsável(eis) pelo tratamento, que o exportador de dados vai disponibilizar ao importador de dados antes do tratamento.

| b) | O importador de dados só deve proceder ao tratamento dos dados pessoais mediante instruções documentadas do responsável pelo tratamento, conforme comunicadas ao importador de dados pelo exportador de dados, e quaisquer instruções adicionais documentadas do exportador de dados. Essas instruções adicionais não podem ser contrárias às instruções do responsável pelo tratamento. O responsável pelo tratamento ou exportador de dados pode dar instruções documentadas adicionais a respeito do tratamento de dados ao longo do período de vigência do contrato. |
| --- | --- |

b)

O importador de dados só deve proceder ao tratamento dos dados pessoais mediante instruções documentadas do responsável pelo tratamento, conforme comunicadas ao importador de dados pelo exportador de dados, e quaisquer instruções adicionais documentadas do exportador de dados. Essas instruções adicionais não podem ser contrárias às instruções do responsável pelo tratamento. O responsável pelo tratamento ou exportador de dados pode dar instruções documentadas adicionais a respeito do tratamento de dados ao longo do período de vigência do contrato.

| c) | O importador de dados deve informar imediatamente o exportador de dados se não puder seguir essas instruções. Se o importador de dados não puder seguir as instruções do responsável pelo tratamento, o exportador de dados deve notificar imediatamente o responsável pelo tratamento. |
| --- | --- |

c)

O importador de dados deve informar imediatamente o exportador de dados se não puder seguir essas instruções. Se o importador de dados não puder seguir as instruções do responsável pelo tratamento, o exportador de dados deve notificar imediatamente o responsável pelo tratamento.

| d) | O exportador de dados garante que impôs ao importador de dados as mesmas obrigações em matéria de proteção de dados que as estabelecidas no contrato ou noutro ato normativo ao abrigo do direito da União ou dos Estados-Membros entre o responsável pelo tratamento e o exportador de dados (5). |
| --- | --- |

d)

O exportador de dados garante que impôs ao importador de dados as mesmas obrigações em matéria de proteção de dados que as estabelecidas no contrato ou noutro ato normativo ao abrigo do direito da União ou dos Estados-Membros entre o responsável pelo tratamento e o exportador de dados (5).

8.2.   Limitação das finalidades

O importador de dados deve proceder ao tratamento dos dados pessoais apenas para a(s) finalidade(s) específica(s) da transferência, conforme estabelecido no anexo I.B, salvo se receber instruções adicionais do responsável pelo tratamento, conforme comunicadas ao importador de dados pelo exportador de dados, ou do exportador de dados.

8.3.   Transparência

Mediante pedido, o exportador de dados deve disponibilizar gratuitamente ao titular dos dados uma cópia das presentes cláusulas, incluindo o apêndice, conforme preenchido pelas Partes. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo dados pessoais, o exportador de dados pode editar parte do texto do apêndice antes de partilhar uma cópia do mesmo, mas deve disponibilizar um resumo significativo do apêndice se, de outro modo, o titular dos dados não for capaz de compreender o seu conteúdo ou exercer os seus direitos. Mediante pedido, as Partes devem comunicar ao titular dos dados os motivos das ocultações, na medida do possível sem revelar as informações ocultadas.

8.4.   Exatidão

Se o importador de dados tomar conhecimento de que os dados pessoais que recebeu são inexatos ou estão desatualizados, deve informar o exportador de dados sem demora injustificada. Neste caso, o importador de dados deve cooperar com o exportador de dados para retificar ou apagar os dados.

8.5.   Duração do tratamento e apagamento ou devolução dos dados

O tratamento pelo importador de dados só pode ocorrer durante o período especificado no anexo I.B. Depois de concluída a prestação dos serviços de tratamento, o importador de dados deve, consoante a escolha do exportador de dados, apagar todos os dados pessoais tratados por conta do responsável pelo tratamento e certificar ao exportador de dados que o fez ou devolver ao exportador de dados todos os dados pessoais tratados por sua conta e apagar as cópias existentes. Até que os dados sejam apagados ou devolvidos, o importador de dados deve continuar a assegurar o cumprimento das presentes cláusulas. Caso a legislação local aplicável ao importador de dados proíba a devolução ou o apagamento dos dados pessoais, o importador de dados garante continuar a assegurar o cumprimento das presentes cláusulas e só proceder ao tratamento dos dados pessoais em causa na medida em que e enquanto for necessário nos termos dessa legislação local. Tal não prejudica a cláusula 14, em particular a exigência de o importador de dados, nos termos da cláusula 14, alínea e), notificar o exportador de dados ao longo do período de vigência do contrato se tiver motivos para crer que está ou ficou sujeito a legislações ou práticas não conformes com os requisitos da cláusula 14, alínea a).

8.6.   Segurança do tratamento

| a) | O importador de dados e, durante a transmissão, também o exportador de dados devem aplicar medidas técnicas e organizativas adequadas para garantir a segurança dos dados, incluindo a proteção contra uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a esses dados (a seguir designada por «violação de dados pessoais»). Ao avaliar o nível de segurança adequado, devem ter em devida conta as técnicas mais avançadas, os custos de aplicação, a natureza, o âmbito, o contexto e a(s) finalidade(s) do tratamento e os riscos inerentes ao tratamento para os titulares dos dados. As Partes devem, em particular, ponderar o recurso à cifragem ou à pseudonimização, nomeadamente durante a transmissão, sempre que a finalidade do tratamento possa ser cumprida dessa forma. Em caso de pseudonimização, as informações adicionais para a atribuição dos dados pessoais a um titular de dados específico devem permanecer, sempre que possível, sob o controlo exclusivo do exportador de dados ou responsável pelo tratamento. No cumprimento das obrigações que lhe incumbem por força do presente número, o importador de dados deve, pelo menos, aplicar as medidas técnicas e organizativas especificadas no anexo II. O importador de dados deve realizar controlos regulares para garantir que estas medidas continuam a proporcionar um nível de segurança adequado. |
| --- | --- |

a)

O importador de dados e, durante a transmissão, também o exportador de dados devem aplicar medidas técnicas e organizativas adequadas para garantir a segurança dos dados, incluindo a proteção contra uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a esses dados (a seguir designada por «violação de dados pessoais»). Ao avaliar o nível de segurança adequado, devem ter em devida conta as técnicas mais avançadas, os custos de aplicação, a natureza, o âmbito, o contexto e a(s) finalidade(s) do tratamento e os riscos inerentes ao tratamento para os titulares dos dados. As Partes devem, em particular, ponderar o recurso à cifragem ou à pseudonimização, nomeadamente durante a transmissão, sempre que a finalidade do tratamento possa ser cumprida dessa forma. Em caso de pseudonimização, as informações adicionais para a atribuição dos dados pessoais a um titular de dados específico devem permanecer, sempre que possível, sob o controlo exclusivo do exportador de dados ou responsável pelo tratamento. No cumprimento das obrigações que lhe incumbem por força do presente número, o importador de dados deve, pelo menos, aplicar as medidas técnicas e organizativas especificadas no anexo II. O importador de dados deve realizar controlos regulares para garantir que estas medidas continuam a proporcionar um nível de segurança adequado.

| b) | O importador de dados só deve conceder acesso aos dados aos membros do seu pessoal na medida estritamente necessária para a execução, a gestão e o acompanhamento do contrato. Deve assegurar que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas às obrigações legais de confidencialidade adequadas. |
| --- | --- |

b)

O importador de dados só deve conceder acesso aos dados aos membros do seu pessoal na medida estritamente necessária para a execução, a gestão e o acompanhamento do contrato. Deve assegurar que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas às obrigações legais de confidencialidade adequadas.

| c) | Em caso de violação de dados pessoais relativa a dados pessoais tratados pelo importador de dados ao abrigo das presentes cláusulas, o importador de dados deve tomar as medidas adequadas para reparar a violação, incluindo medidas para atenuar os seus efeitos negativos. O importador de dados deve notificar igualmente, sem demora injustificada, o exportador de dados e, sempre que adequado e viável, o responsável pelo tratamento após ter tomado conhecimento da violação. Essa notificação deve conter os dados de um ponto de contacto onde possam ser obtidas mais informações, uma descrição da natureza da violação (incluindo, se possível, as categorias e o número aproximado de titulares de dados e de registos de dados pessoais em causa), as suas consequências prováveis e as medidas adotadas ou propostas para reparar a violação de dados, incluindo medidas para atenuar os seus eventuais efeitos negativos. Caso, e na medida em que, não seja possível comunicar todas as informações ao mesmo tempo, a notificação inicial deve conter as informações então disponíveis, devendo outras informações, à medida que fiquem disponíveis, ser fornecidas posteriormente sem demora injustificada. |
| --- | --- |

c)

Em caso de violação de dados pessoais relativa a dados pessoais tratados pelo importador de dados ao abrigo das presentes cláusulas, o importador de dados deve tomar as medidas adequadas para reparar a violação, incluindo medidas para atenuar os seus efeitos negativos. O importador de dados deve notificar igualmente, sem demora injustificada, o exportador de dados e, sempre que adequado e viável, o responsável pelo tratamento após ter tomado conhecimento da violação. Essa notificação deve conter os dados de um ponto de contacto onde possam ser obtidas mais informações, uma descrição da natureza da violação (incluindo, se possível, as categorias e o número aproximado de titulares de dados e de registos de dados pessoais em causa), as suas consequências prováveis e as medidas adotadas ou propostas para reparar a violação de dados, incluindo medidas para atenuar os seus eventuais efeitos negativos. Caso, e na medida em que, não seja possível comunicar todas as informações ao mesmo tempo, a notificação inicial deve conter as informações então disponíveis, devendo outras informações, à medida que fiquem disponíveis, ser fornecidas posteriormente sem demora injustificada.

| d) | O importador de dados deve cooperar com o exportador de dados e prestar-lhe assistência para que este cumpra as obrigações que lhe incumbem nos termos do Regulamento (UE) 2016/679, em particular a obrigação de notificar o respetivo responsável pelo tratamento para que este possa, por sua vez, notificar a autoridade de controlo competente e os titulares de dados afetados, tendo em conta a natureza do tratamento e as informações ao dispor do importador de dados. |
| --- | --- |

d)

O importador de dados deve cooperar com o exportador de dados e prestar-lhe assistência para que este cumpra as obrigações que lhe incumbem nos termos do Regulamento (UE) 2016/679, em particular a obrigação de notificar o respetivo responsável pelo tratamento para que este possa, por sua vez, notificar a autoridade de controlo competente e os titulares de dados afetados, tendo em conta a natureza do tratamento e as informações ao dispor do importador de dados.

8.7.   Dados sensíveis

Sempre que a transferência envolva dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas ou a filiação sindical, dados genéticos ou biométricos destinados a identificar uma pessoa singular de forma inequívoca, dados relativos à saúde, à vida sexual ou à orientação sexual de uma pessoa ou dados relacionados com condenações penais e com infrações (a seguir designados por «dados sensíveis»), o importador de dados deve aplicar as limitações específicas e/ou garantias adicionais estabelecidas no anexo I.B.

8.8.   Transferências ulteriores

O importador de dados só deve divulgar os dados pessoais a terceiros mediante instruções documentadas do responsável pelo tratamento, conforme comunicadas ao importador de dados pelo exportador de dados. Além disso, os dados só podem ser divulgados a terceiros localizados fora da União Europeia (6) (no mesmo país que o importador de dados ou noutro país terceiro, a seguir designada «transferência ulterior») se o terceiro estiver ou aceitar estar vinculado pelas presentes cláusulas, ao abrigo do módulo adequado, ou se:

| i) | o destino da transferência ulterior for um país que beneficie de uma decisão de adequação nos termos do artigo 45.o do Regulamento (UE) 2016/679 que abranja a transferência ulterior, |
| --- | --- |

i)

o destino da transferência ulterior for um país que beneficie de uma decisão de adequação nos termos do artigo 45.o do Regulamento (UE) 2016/679 que abranja a transferência ulterior,

| ii) | o terceiro assegurar, de qualquer outra forma, as garantias adequadas nos termos dos artigos 46.o ou 47.o do Regulamento (UE) 2016/679, |
| --- | --- |

ii)

o terceiro assegurar, de qualquer outra forma, as garantias adequadas nos termos dos artigos 46.o ou 47.o do Regulamento (UE) 2016/679,

| iii) | a transferência ulterior for necessária à declaração, ao exercício ou à defesa de um direito num processo judicial no contexto de processos administrativos, regulamentares ou judiciais específicos, ou |
| --- | --- |

iii)

a transferência ulterior for necessária à declaração, ao exercício ou à defesa de um direito num processo judicial no contexto de processos administrativos, regulamentares ou judiciais específicos, ou

| iv) | a transferência ulterior for necessária para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular. |
| --- | --- |

iv)

a transferência ulterior for necessária para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular.

Qualquer transferência ulterior está sujeita ao cumprimento, pelo importador de dados, de todas as outras garantias previstas nas presentes cláusulas, em particular a limitação da finalidade.

8.9.   Documentação e cumprimento

| a) | O importador de dados deve responder, rápida e adequadamente, aos pedidos de informação do exportador de dados ou do responsável pelo tratamento relacionados com o tratamento ao abrigo das presentes cláusulas. |
| --- | --- |

a)

O importador de dados deve responder, rápida e adequadamente, aos pedidos de informação do exportador de dados ou do responsável pelo tratamento relacionados com o tratamento ao abrigo das presentes cláusulas.

| b) | As Partes devem poder demonstrar o cumprimento das presentes cláusulas. Em particular, o importador de dados deve conservar documentação adequada sobre as atividades de tratamento realizadas por conta do responsável pelo tratamento. |
| --- | --- |

b)

As Partes devem poder demonstrar o cumprimento das presentes cláusulas. Em particular, o importador de dados deve conservar documentação adequada sobre as atividades de tratamento realizadas por conta do responsável pelo tratamento.

| c) | O importador de dados deve disponibilizar ao exportador de dados todas as informações necessárias para demonstrar o cumprimento das obrigações previstas nas presentes cláusulas, que as deve facultar ao responsável pelo tratamento. |
| --- | --- |

c)

O importador de dados deve disponibilizar ao exportador de dados todas as informações necessárias para demonstrar o cumprimento das obrigações previstas nas presentes cláusulas, que as deve facultar ao responsável pelo tratamento.

| d) | O importador de dados deve facilitar e contribuir para as auditorias, realizadas pelo exportador de dados, das operações de tratamento abrangidas pelas presentes cláusulas, a intervalos razoáveis ou se houver indícios de incumprimento. O mesmo se aplica se o exportador de dados solicitar uma auditoria mediante instruções do responsável pelo tratamento. Ao decidir sobre uma auditoria, o exportador de dados pode ter em conta as certificações pertinentes detidas pelo importador de dados. |
| --- | --- |

d)

O importador de dados deve facilitar e contribuir para as auditorias, realizadas pelo exportador de dados, das operações de tratamento abrangidas pelas presentes cláusulas, a intervalos razoáveis ou se houver indícios de incumprimento. O mesmo se aplica se o exportador de dados solicitar uma auditoria mediante instruções do responsável pelo tratamento. Ao decidir sobre uma auditoria, o exportador de dados pode ter em conta as certificações pertinentes detidas pelo importador de dados.

| e) | Se a auditoria for realizada mediante instruções do responsável pelo tratamento, o exportador de dados deve disponibilizar os resultados ao responsável pelo tratamento. |
| --- | --- |

e)

Se a auditoria for realizada mediante instruções do responsável pelo tratamento, o exportador de dados deve disponibilizar os resultados ao responsável pelo tratamento.

| f) | O exportador de dados pode optar por realizar, ele próprio, a auditoria ou mandatar um auditor independente. As auditorias podem incluir inspeções nos edifícios ou nas instalações físicas do importador de dados, devendo, se for caso disso, ser realizadas com uma antecedência razoável. |
| --- | --- |

f)

O exportador de dados pode optar por realizar, ele próprio, a auditoria ou mandatar um auditor independente. As auditorias podem incluir inspeções nos edifícios ou nas instalações físicas do importador de dados, devendo, se for caso disso, ser realizadas com uma antecedência razoável.

| g) | As Partes devem disponibilizar as informações referidas nas alíneas b) e c), incluindo os resultados de quaisquer auditorias, à autoridade de controlo competente, mediante pedido. |
| --- | --- |

g)

As Partes devem disponibilizar as informações referidas nas alíneas b) e c), incluindo os resultados de quaisquer auditorias, à autoridade de controlo competente, mediante pedido.

MÓDULO QUATRO: Transferência de subcontratante para responsável pelo tratamento

8.1.   Instruções

| a) | O exportador de dados deve proceder ao tratamento dos dados pessoais apenas mediante instruções documentadas do importador de dados que atue como seu responsável pelo tratamento. |
| --- | --- |

a)

O exportador de dados deve proceder ao tratamento dos dados pessoais apenas mediante instruções documentadas do importador de dados que atue como seu responsável pelo tratamento.

| b) | O exportador de dados deve informar imediatamente o importador de dados se não puder seguir essas instruções, nomeadamente se tais instruções violarem o Regulamento (UE) 2016/679 ou o direito da União ou dos Estados-Membros em matéria de proteção de dados. |
| --- | --- |

b)

O exportador de dados deve informar imediatamente o importador de dados se não puder seguir essas instruções, nomeadamente se tais instruções violarem o Regulamento (UE) 2016/679 ou o direito da União ou dos Estados-Membros em matéria de proteção de dados.

| c) | O importador de dados deve abster-se de quaisquer atos que impeçam o exportador de dados de cumprir as obrigações que lhe incumbem nos termos do Regulamento (UE) 2016/679, inclusivamente no contexto da subcontratação ou no que respeita à cooperação com as autoridades de controlo competentes. |
| --- | --- |

c)

O importador de dados deve abster-se de quaisquer atos que impeçam o exportador de dados de cumprir as obrigações que lhe incumbem nos termos do Regulamento (UE) 2016/679, inclusivamente no contexto da subcontratação ou no que respeita à cooperação com as autoridades de controlo competentes.

| d) | Depois de concluída a prestação dos serviços de tratamento, o exportador de dados deve, consoante a escolha do importador de dados, apagar todos os dados pessoais tratados por conta deste último e certificar ao importador de dados que o fez ou devolver ao importador de dados todos os dados pessoais tratados por sua conta e apagar as cópias existentes. |
| --- | --- |

d)

Depois de concluída a prestação dos serviços de tratamento, o exportador de dados deve, consoante a escolha do importador de dados, apagar todos os dados pessoais tratados por conta deste último e certificar ao importador de dados que o fez ou devolver ao importador de dados todos os dados pessoais tratados por sua conta e apagar as cópias existentes.

8.2.   Segurança do tratamento

| a) | As Partes devem aplicar medidas técnicas e organizativas adequadas para garantir a segurança dos dados, nomeadamente durante a transmissão, e a proteção contra uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados (a seguir designada por «violação de dados pessoais»). Ao avaliar o nível de segurança adequado, devem ter em devida conta as técnicas mais avançadas, os custos de aplicação, a natureza dos dados pessoais (7), a natureza, o âmbito, o contexto e a(s) finalidade(s) do tratamento e os riscos para os titulares dos dados e, em particular, ponderar o recurso à cifragem ou à pseudonimização, nomeadamente durante a transmissão, sempre que a finalidade do tratamento possa ser cumprida dessa forma. |
| --- | --- |

a)

As Partes devem aplicar medidas técnicas e organizativas adequadas para garantir a segurança dos dados, nomeadamente durante a transmissão, e a proteção contra uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados (a seguir designada por «violação de dados pessoais»). Ao avaliar o nível de segurança adequado, devem ter em devida conta as técnicas mais avançadas, os custos de aplicação, a natureza dos dados pessoais (7), a natureza, o âmbito, o contexto e a(s) finalidade(s) do tratamento e os riscos para os titulares dos dados e, em particular, ponderar o recurso à cifragem ou à pseudonimização, nomeadamente durante a transmissão, sempre que a finalidade do tratamento possa ser cumprida dessa forma.

| b) | O exportador de dados deve prestar assistência ao importador de dados para garantir a segurança adequada dos dados, em conformidade com o disposto na alínea a). Em caso de violação de dados pessoais relativa aos dados pessoais tratados pelo exportador de dados ao abrigo das presentes cláusulas, o exportador de dados deve notificar o importador de dados, sem demora injustificada, após ter tomado conhecimento da mesma e prestar assistência ao importador de dados para reparar a violação. |
| --- | --- |

b)

O exportador de dados deve prestar assistência ao importador de dados para garantir a segurança adequada dos dados, em conformidade com o disposto na alínea a). Em caso de violação de dados pessoais relativa aos dados pessoais tratados pelo exportador de dados ao abrigo das presentes cláusulas, o exportador de dados deve notificar o importador de dados, sem demora injustificada, após ter tomado conhecimento da mesma e prestar assistência ao importador de dados para reparar a violação.

| c) | O exportador de dados deve assegurar que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas às obrigações legais de confidencialidade adequadas. |
| --- | --- |

c)

O exportador de dados deve assegurar que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas às obrigações legais de confidencialidade adequadas.

8.3.   Documentação e cumprimento

| a) | As Partes devem poder demonstrar o cumprimento das presentes cláusulas. |
| --- | --- |

a)

As Partes devem poder demonstrar o cumprimento das presentes cláusulas.

| b) | O exportador de dados deve disponibilizar ao importador de dados todas as informações necessárias para demonstrar o cumprimento das obrigações que lhe incumbem por força das presentes cláusulas e facilitar e contribuir para as auditorias. |
| --- | --- |

b)

O exportador de dados deve disponibilizar ao importador de dados todas as informações necessárias para demonstrar o cumprimento das obrigações que lhe incumbem por força das presentes cláusulas e facilitar e contribuir para as auditorias.

Cláusula 9

Recurso a subcontratantes ulteriores

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

| a) | OPÇÃO 1: AUTORIZAÇÃO PRÉVIA ESPECÍFICA O importador de dados não pode subcontratar nenhuma das suas atividades de tratamento realizadas por conta do exportador de dados ao abrigo das presentes cláusulas a um subcontratante ulterior sem a autorização escrita prévia específica do exportador de dados. O importador de dados deve apresentar o pedido de autorização específica pelo menos [especificar período] antes da contratação do subcontratante ulterior, juntamente com as informações necessárias para permitir ao exportador de dados tomar uma decisão sobre a autorização. A lista de subcontratantes ulteriores já autorizados pelo exportador de dados pode ser consultada no anexo III. As Partes devem manter o anexo III atualizado.
  OPÇÃO 2: AUTORIZAÇÃO ESCRITA GERAL O importador de dados tem a autorização geral do exportador de dados para a contratação de (um) subcontratante(s) ulterior(es) a partir de uma lista acordada. O importador de dados deve informar especificamente o exportador de dados, por escrito, das alterações pretendidas a efetuar a essa lista quanto ao aumento do número ou à substituição de subcontratantes ulteriores com uma antecedência mínima de [especificar período], dando assim ao exportador de dados tempo suficiente para se opor a essas alterações antes da contratação do(s) subcontratante(s) ulterior(es). O importador de dados deve fornecer ao exportador de dados as informações necessárias para que este último possa exercer o seu direito de oposição. |
| --- | --- |

a)

OPÇÃO 1: AUTORIZAÇÃO PRÉVIA ESPECÍFICA O importador de dados não pode subcontratar nenhuma das suas atividades de tratamento realizadas por conta do exportador de dados ao abrigo das presentes cláusulas a um subcontratante ulterior sem a autorização escrita prévia específica do exportador de dados. O importador de dados deve apresentar o pedido de autorização específica pelo menos [especificar período] antes da contratação do subcontratante ulterior, juntamente com as informações necessárias para permitir ao exportador de dados tomar uma decisão sobre a autorização. A lista de subcontratantes ulteriores já autorizados pelo exportador de dados pode ser consultada no anexo III. As Partes devem manter o anexo III atualizado.

OPÇÃO 2: AUTORIZAÇÃO ESCRITA GERAL O importador de dados tem a autorização geral do exportador de dados para a contratação de (um) subcontratante(s) ulterior(es) a partir de uma lista acordada. O importador de dados deve informar especificamente o exportador de dados, por escrito, das alterações pretendidas a efetuar a essa lista quanto ao aumento do número ou à substituição de subcontratantes ulteriores com uma antecedência mínima de [especificar período], dando assim ao exportador de dados tempo suficiente para se opor a essas alterações antes da contratação do(s) subcontratante(s) ulterior(es). O importador de dados deve fornecer ao exportador de dados as informações necessárias para que este último possa exercer o seu direito de oposição.

| b) | Se o importador de dados contratar um subcontratante ulterior para realizar operações específicas de tratamento (por conta do exportador de dados), deve fazê-lo através de um contrato escrito que preveja, do ponto de vista material, as mesmas obrigações em matéria de proteção de dados que as que incumbem ao importador de dados por força das presentes cláusulas, incluindo em termos de direitos de terceiro beneficiário para os titulares dos dados (8). As Partes concordam que, ao cumprir esta cláusula, o importador de dados cumpre as obrigações que lhe incumbem por força da cláusula 8.8. O importador de dados deve garantir que o subcontratante ulterior cumpre as obrigações a que o importador de dados está sujeito nos termos das presentes cláusulas. |
| --- | --- |

b)

Se o importador de dados contratar um subcontratante ulterior para realizar operações específicas de tratamento (por conta do exportador de dados), deve fazê-lo através de um contrato escrito que preveja, do ponto de vista material, as mesmas obrigações em matéria de proteção de dados que as que incumbem ao importador de dados por força das presentes cláusulas, incluindo em termos de direitos de terceiro beneficiário para os titulares dos dados (8). As Partes concordam que, ao cumprir esta cláusula, o importador de dados cumpre as obrigações que lhe incumbem por força da cláusula 8.8. O importador de dados deve garantir que o subcontratante ulterior cumpre as obrigações a que o importador de dados está sujeito nos termos das presentes cláusulas.

| c) | O importador de dados deve facultar ao exportador de dados, a pedido do mesmo, uma cópia do referido acordo de subcontratação e de quaisquer alterações subsequentes. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo dados pessoais, o importador de dados pode editar o texto do acordo antes de partilhar uma cópia. |
| --- | --- |

c)

O importador de dados deve facultar ao exportador de dados, a pedido do mesmo, uma cópia do referido acordo de subcontratação e de quaisquer alterações subsequentes. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo dados pessoais, o importador de dados pode editar o texto do acordo antes de partilhar uma cópia.

| d) | O importador de dados continua a ser inteiramente responsável, perante o exportador de dados, pelo cumprimento das obrigações que incumbem ao subcontratante ulterior por força do seu contrato com o importador de dados. O importador de dados deve notificar o exportador de dados de qualquer incumprimento, pelo subcontratante ulterior, das obrigações que lhe incumbem por força desse contrato. |
| --- | --- |

d)

O importador de dados continua a ser inteiramente responsável, perante o exportador de dados, pelo cumprimento das obrigações que incumbem ao subcontratante ulterior por força do seu contrato com o importador de dados. O importador de dados deve notificar o exportador de dados de qualquer incumprimento, pelo subcontratante ulterior, das obrigações que lhe incumbem por força desse contrato.

| e) | O importador de dados deve acordar com o subcontratante ulterior uma cláusula do terceiro beneficiário nos termos da qual — em caso de desaparecimento de facto, de extinção legal ou de insolvência do importador de dados — o exportador de dados tem o direito de rescindir o contrato do subcontratante ulterior e de dar instruções ao subcontratante ulterior para apagar ou devolver os dados pessoais. |
| --- | --- |

e)

O importador de dados deve acordar com o subcontratante ulterior uma cláusula do terceiro beneficiário nos termos da qual — em caso de desaparecimento de facto, de extinção legal ou de insolvência do importador de dados — o exportador de dados tem o direito de rescindir o contrato do subcontratante ulterior e de dar instruções ao subcontratante ulterior para apagar ou devolver os dados pessoais.

MÓDULO TRÊS: Transferência entre subcontratantes

| a) | OPÇÃO 1: AUTORIZAÇÃO PRÉVIA ESPECÍFICA O importador de dados não pode subcontratar nenhuma das suas atividades de tratamento realizadas por conta do exportador de dados ao abrigo das presentes cláusulas a um subcontratante ulterior sem a autorização escrita prévia específica do responsável pelo tratamento. O importador de dados deve apresentar o pedido de autorização específica pelo menos [especificar período] antes da contratação do subcontratante ulterior, juntamente com as informações necessárias para permitir ao responsável pelo tratamento tomar uma decisão sobre a autorização. Deve informar o exportador de dados dessa contratação. A lista de subcontratantes ulteriores já autorizados pelo responsável pelo tratamento pode ser consultada no anexo III. As Partes devem manter o anexo III atualizado.
  OPÇÃO 2: AUTORIZAÇÃO ESCRITA GERAL O importador de dados tem a autorização geral do responsável pelo tratamento para a contratação de (um) subcontratante(s) ulterior(es) a partir de uma lista acordada. O importador de dados deve informar especificamente o responsável pelo tratamento, por escrito, das alterações pretendidas a efetuar a essa lista quanto ao aumento do número ou à substituição de subcontratantes ulteriores com uma antecedência mínima de [especificar período], dando assim ao responsável pelo tratamento tempo suficiente para se opor a essas alterações antes da contratação do(s) subcontratante(s) ulterior(es). O importador de dados deve fornecer ao responsável pelo tratamento as informações necessárias para que este último possa exercer o seu direito de oposição. O importador de dados deve informar o exportador de dados da contratação do(s) subcontratante(s) ulterior(es). |
| --- | --- |

a)

OPÇÃO 1: AUTORIZAÇÃO PRÉVIA ESPECÍFICA O importador de dados não pode subcontratar nenhuma das suas atividades de tratamento realizadas por conta do exportador de dados ao abrigo das presentes cláusulas a um subcontratante ulterior sem a autorização escrita prévia específica do responsável pelo tratamento. O importador de dados deve apresentar o pedido de autorização específica pelo menos [especificar período] antes da contratação do subcontratante ulterior, juntamente com as informações necessárias para permitir ao responsável pelo tratamento tomar uma decisão sobre a autorização. Deve informar o exportador de dados dessa contratação. A lista de subcontratantes ulteriores já autorizados pelo responsável pelo tratamento pode ser consultada no anexo III. As Partes devem manter o anexo III atualizado.

OPÇÃO 2: AUTORIZAÇÃO ESCRITA GERAL O importador de dados tem a autorização geral do responsável pelo tratamento para a contratação de (um) subcontratante(s) ulterior(es) a partir de uma lista acordada. O importador de dados deve informar especificamente o responsável pelo tratamento, por escrito, das alterações pretendidas a efetuar a essa lista quanto ao aumento do número ou à substituição de subcontratantes ulteriores com uma antecedência mínima de [especificar período], dando assim ao responsável pelo tratamento tempo suficiente para se opor a essas alterações antes da contratação do(s) subcontratante(s) ulterior(es). O importador de dados deve fornecer ao responsável pelo tratamento as informações necessárias para que este último possa exercer o seu direito de oposição. O importador de dados deve informar o exportador de dados da contratação do(s) subcontratante(s) ulterior(es).

| b) | Se o importador de dados contratar um subcontratante ulterior para realizar operações específicas de tratamento (por conta do responsável pelo tratamento), deve fazê-lo através de um contrato escrito que preveja, do ponto de vista material, as mesmas obrigações em matéria de proteção de dados que as que incumbem ao importador de dados por força das presentes cláusulas, incluindo em termos de direitos de terceiro beneficiário para os titulares dos dados (9). As Partes concordam que, ao cumprir esta cláusula, o importador de dados cumpre as obrigações que lhe incumbem por força da cláusula 8.8. O importador de dados deve garantir que o subcontratante ulterior cumpre as obrigações a que o importador de dados está sujeito nos termos das presentes cláusulas. |
| --- | --- |

b)

Se o importador de dados contratar um subcontratante ulterior para realizar operações específicas de tratamento (por conta do responsável pelo tratamento), deve fazê-lo através de um contrato escrito que preveja, do ponto de vista material, as mesmas obrigações em matéria de proteção de dados que as que incumbem ao importador de dados por força das presentes cláusulas, incluindo em termos de direitos de terceiro beneficiário para os titulares dos dados (9). As Partes concordam que, ao cumprir esta cláusula, o importador de dados cumpre as obrigações que lhe incumbem por força da cláusula 8.8. O importador de dados deve garantir que o subcontratante ulterior cumpre as obrigações a que o importador de dados está sujeito nos termos das presentes cláusulas.

| c) | O importador de dados deve facultar ao exportador de dados ou ao responsável pelo tratamento, a pedido do mesmo, uma cópia do referido acordo de subcontratação e de quaisquer alterações subsequentes. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo dados pessoais, o importador de dados pode editar o texto do acordo antes de partilhar uma cópia. |
| --- | --- |

c)

O importador de dados deve facultar ao exportador de dados ou ao responsável pelo tratamento, a pedido do mesmo, uma cópia do referido acordo de subcontratação e de quaisquer alterações subsequentes. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo dados pessoais, o importador de dados pode editar o texto do acordo antes de partilhar uma cópia.

| d) | O importador de dados continua a ser inteiramente responsável, perante o exportador de dados, pelo cumprimento das obrigações que incumbem ao subcontratante ulterior por força do seu contrato com o importador de dados. O importador de dados deve notificar o exportador de dados de qualquer incumprimento, pelo subcontratante ulterior, das obrigações que lhe incumbem por força desse contrato. |
| --- | --- |

d)

O importador de dados continua a ser inteiramente responsável, perante o exportador de dados, pelo cumprimento das obrigações que incumbem ao subcontratante ulterior por força do seu contrato com o importador de dados. O importador de dados deve notificar o exportador de dados de qualquer incumprimento, pelo subcontratante ulterior, das obrigações que lhe incumbem por força desse contrato.

| e) | O importador de dados deve acordar com o subcontratante ulterior uma cláusula do terceiro beneficiário nos termos da qual — em caso de desaparecimento de facto, de extinção legal ou de insolvência do importador de dados — o exportador de dados tem o direito de rescindir o contrato do subcontratante ulterior e de dar instruções ao subcontratante ulterior para apagar ou devolver os dados pessoais. |
| --- | --- |

e)

O importador de dados deve acordar com o subcontratante ulterior uma cláusula do terceiro beneficiário nos termos da qual — em caso de desaparecimento de facto, de extinção legal ou de insolvência do importador de dados — o exportador de dados tem o direito de rescindir o contrato do subcontratante ulterior e de dar instruções ao subcontratante ulterior para apagar ou devolver os dados pessoais.

Cláusula 10

Direitos dos titulares dos dados

MÓDULO UM: Transferência entre responsáveis pelo tratamento

| a) | O importador de dados, se necessário com a assistência do exportador de dados, deve responder a quaisquer perguntas e pedidos que receba de um titular de dados relacionados com o tratamento dos seus dados pessoais e com o exercício dos seus direitos ao abrigo das presentes cláusulas sem demora injustificada e, o mais tardar, no prazo de um mês a contar da data de receção da pergunta ou do pedido (10). O importador de dados deve tomar as medidas adequadas para facilitar essas perguntas, pedidos e o exercício dos direitos do titular dos dados. Quaisquer informações facultadas ao titular dos dados devem ser apresentadas de forma inteligível e de fácil acesso, utilizando uma linguagem clara e simples. |
| --- | --- |

a)

O importador de dados, se necessário com a assistência do exportador de dados, deve responder a quaisquer perguntas e pedidos que receba de um titular de dados relacionados com o tratamento dos seus dados pessoais e com o exercício dos seus direitos ao abrigo das presentes cláusulas sem demora injustificada e, o mais tardar, no prazo de um mês a contar da data de receção da pergunta ou do pedido (10). O importador de dados deve tomar as medidas adequadas para facilitar essas perguntas, pedidos e o exercício dos direitos do titular dos dados. Quaisquer informações facultadas ao titular dos dados devem ser apresentadas de forma inteligível e de fácil acesso, utilizando uma linguagem clara e simples.

| b) | Em particular, a pedido do titular dos dados, o importador de dados deve, gratuitamente:






  i) | confirmar ao titular dos dados se os dados pessoais que lhe dizem respeito estão a ser objeto de tratamento e, se for esse o caso, fornecer-lhe uma cópia dos mesmos e das informações constantes do anexo I, se os dados pessoais tiverem sido ou venham a ser transferidos ulteriormente, facultar-lhe informações sobre: os destinatários ou as categorias de destinatários (conforme o caso, com vista a fornecer informações úteis) para os quais os dados pessoais foram ou serão transferidos ulteriormente, a finalidade dessas transferências ulteriores e o respetivo fundamento, nos termos da cláusula 8.7, bem como sobre o direito de apresentar uma reclamação a uma autoridade de controlo, em conformidade com a cláusula 12, alínea c), subalínea i), |
| --- | --- | --- |

b)

Em particular, a pedido do titular dos dados, o importador de dados deve, gratuitamente:

i)

confirmar ao titular dos dados se os dados pessoais que lhe dizem respeito estão a ser objeto de tratamento e, se for esse o caso, fornecer-lhe uma cópia dos mesmos e das informações constantes do anexo I, se os dados pessoais tiverem sido ou venham a ser transferidos ulteriormente, facultar-lhe informações sobre: os destinatários ou as categorias de destinatários (conforme o caso, com vista a fornecer informações úteis) para os quais os dados pessoais foram ou serão transferidos ulteriormente, a finalidade dessas transferências ulteriores e o respetivo fundamento, nos termos da cláusula 8.7, bem como sobre o direito de apresentar uma reclamação a uma autoridade de controlo, em conformidade com a cláusula 12, alínea c), subalínea i),

| ii) | retificar dados inexatos ou incompletos relativos ao titular dos dados, |
| --- | --- |

ii)

retificar dados inexatos ou incompletos relativos ao titular dos dados,

| iii) | apagar dados pessoais relativos ao titular dos dados, se esses dados estiverem a ser ou tiverem sido objeto de tratamento em violação de qualquer uma das presentes cláusulas, garantindo os direitos de terceiro beneficiário, ou se o titular dos dados retirar o consentimento em que se baseia o tratamento. |
| --- | --- |

iii)

apagar dados pessoais relativos ao titular dos dados, se esses dados estiverem a ser ou tiverem sido objeto de tratamento em violação de qualquer uma das presentes cláusulas, garantindo os direitos de terceiro beneficiário, ou se o titular dos dados retirar o consentimento em que se baseia o tratamento.

| c) | Se o importador de dados proceder ao tratamento dos dados pessoais para efeitos de comercialização direta, deve cessar o tratamento para esses fins se o titular dos dados se lhe opuser. |
| --- | --- |

c)

Se o importador de dados proceder ao tratamento dos dados pessoais para efeitos de comercialização direta, deve cessar o tratamento para esses fins se o titular dos dados se lhe opuser.

| d) | O importador de dados não deve tomar uma decisão exclusivamente com base no tratamento automatizado dos dados pessoais transferidos (a seguir designada por «decisão automatizada») que produza efeitos jurídicos relativamente ao titular dos dados ou que o afete significativamente de forma similar, a não ser com o consentimento explícito do titular dos dados ou se estiver autorizado a fazê-lo ao abrigo da legislação do país de destino, desde que essa legislação preveja medidas adequadas para salvaguardar os seus direitos e legítimos interesses. Neste caso, o importador de dados deve, se necessário em cooperação com o exportador de dados:






  i) | informar o titular dos dados sobre a decisão automatizada prevista, as consequências previstas e a lógica subjacente, e |
| --- | --- | --- |

d)

O importador de dados não deve tomar uma decisão exclusivamente com base no tratamento automatizado dos dados pessoais transferidos (a seguir designada por «decisão automatizada») que produza efeitos jurídicos relativamente ao titular dos dados ou que o afete significativamente de forma similar, a não ser com o consentimento explícito do titular dos dados ou se estiver autorizado a fazê-lo ao abrigo da legislação do país de destino, desde que essa legislação preveja medidas adequadas para salvaguardar os seus direitos e legítimos interesses. Neste caso, o importador de dados deve, se necessário em cooperação com o exportador de dados:

i)

informar o titular dos dados sobre a decisão automatizada prevista, as consequências previstas e a lógica subjacente, e

| ii) | aplicar garantias adequadas, pelo menos permitindo ao titular dos dados contestar a decisão, manifestar o seu ponto de vista e obter intervenção humana. |
| --- | --- |

ii)

aplicar garantias adequadas, pelo menos permitindo ao titular dos dados contestar a decisão, manifestar o seu ponto de vista e obter intervenção humana.

| e) | Quando os pedidos de um titular de dados forem excessivos, particularmente devido ao seu caráter recorrente, o importador de dados pode exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos do deferimento do pedido ou pode indeferi-los. |
| --- | --- |

e)

Quando os pedidos de um titular de dados forem excessivos, particularmente devido ao seu caráter recorrente, o importador de dados pode exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos do deferimento do pedido ou pode indeferi-los.

| f) | O importador de dados pode recusar o pedido de um titular de dados se essa recusa for permitida pela legislação do país de destino e for necessária e proporcional numa sociedade democrática para proteger um dos objetivos enumerados no artigo 23.o, n.o 1, do Regulamento (UE) 2016/679. |
| --- | --- |

f)

O importador de dados pode recusar o pedido de um titular de dados se essa recusa for permitida pela legislação do país de destino e for necessária e proporcional numa sociedade democrática para proteger um dos objetivos enumerados no artigo 23.o, n.o 1, do Regulamento (UE) 2016/679.

| g) | Se o importador de dados tencionar recusar um pedido de um titular de dados, deve informá-lo dos motivos da recusa e da possibilidade de apresentar uma reclamação à autoridade de controlo competente e/ou de interpor recurso judicial. |
| --- | --- |

g)

Se o importador de dados tencionar recusar um pedido de um titular de dados, deve informá-lo dos motivos da recusa e da possibilidade de apresentar uma reclamação à autoridade de controlo competente e/ou de interpor recurso judicial.

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

| a) | O importador de dados deve notificar imediatamente o exportador de dados de qualquer pedido que tenha recebido de um titular de dados. Não pode responder ele próprio a esse pedido, salvo se tiver sido autorizado pelo exportador de dados. |
| --- | --- |

a)

O importador de dados deve notificar imediatamente o exportador de dados de qualquer pedido que tenha recebido de um titular de dados. Não pode responder ele próprio a esse pedido, salvo se tiver sido autorizado pelo exportador de dados.

| b) | O importador de dados deve prestar assistência ao exportador de dados no cumprimento das suas obrigações de resposta aos pedidos dos titulares dos dados respeitantes ao exercício dos seus direitos ao abrigo do Regulamento (UE) 2016/679. Neste contexto, as Partes devem estabelecer, no anexo II, as medidas técnicas e organizativas adequadas, tendo em conta a natureza do tratamento, através das quais a assistência deve ser prestada, bem como o âmbito e a amplitude da assistência necessária. |
| --- | --- |

b)

O importador de dados deve prestar assistência ao exportador de dados no cumprimento das suas obrigações de resposta aos pedidos dos titulares dos dados respeitantes ao exercício dos seus direitos ao abrigo do Regulamento (UE) 2016/679. Neste contexto, as Partes devem estabelecer, no anexo II, as medidas técnicas e organizativas adequadas, tendo em conta a natureza do tratamento, através das quais a assistência deve ser prestada, bem como o âmbito e a amplitude da assistência necessária.

| c) | No cumprimento das obrigações que lhe incumbem por força das alíneas a) e b), o importador de dados deve cumprir as instruções do exportador de dados. |
| --- | --- |

c)

No cumprimento das obrigações que lhe incumbem por força das alíneas a) e b), o importador de dados deve cumprir as instruções do exportador de dados.

MÓDULO TRÊS: Transferência entre subcontratantes

| a) | O importador de dados deve notificar imediatamente o exportador de dados e, se for caso disso, o responsável pelo tratamento, de qualquer pedido que tenha recebido de um titular de dados, não devendo responder a esse pedido, a menos que tenha sido autorizado a fazê-lo pelo responsável pelo tratamento. |
| --- | --- |

a)

O importador de dados deve notificar imediatamente o exportador de dados e, se for caso disso, o responsável pelo tratamento, de qualquer pedido que tenha recebido de um titular de dados, não devendo responder a esse pedido, a menos que tenha sido autorizado a fazê-lo pelo responsável pelo tratamento.

| b) | O importador de dados deve prestar assistência ao responsável pelo tratamento, se necessário em cooperação com o exportador de dados, no cumprimento das suas obrigações de resposta aos pedidos dos titulares dos dados respeitantes ao exercício dos seus direitos ao abrigo do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725, consoante o caso. Neste contexto, as Partes devem estabelecer, no anexo II, as medidas técnicas e organizativas adequadas, tendo em conta a natureza do tratamento, através das quais a assistência deve ser prestada, bem como o âmbito e a amplitude da assistência necessária. |
| --- | --- |

b)

O importador de dados deve prestar assistência ao responsável pelo tratamento, se necessário em cooperação com o exportador de dados, no cumprimento das suas obrigações de resposta aos pedidos dos titulares dos dados respeitantes ao exercício dos seus direitos ao abrigo do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725, consoante o caso. Neste contexto, as Partes devem estabelecer, no anexo II, as medidas técnicas e organizativas adequadas, tendo em conta a natureza do tratamento, através das quais a assistência deve ser prestada, bem como o âmbito e a amplitude da assistência necessária.

| c) | No cumprimento das obrigações que lhe incumbem por força das alíneas a) e b), o importador de dados deve cumprir as instruções do responsável pelo tratamento, conforme comunicadas pelo exportador de dados. |
| --- | --- |

c)

No cumprimento das obrigações que lhe incumbem por força das alíneas a) e b), o importador de dados deve cumprir as instruções do responsável pelo tratamento, conforme comunicadas pelo exportador de dados.

MÓDULO QUATRO: Transferência de subcontratante para responsável pelo tratamento

As Partes devem prestar-se assistência mútua na resposta a perguntas e pedidos apresentados pelos titulares dos dados ao abrigo da legislação local aplicável ao importador de dados ou, no que se refere ao tratamento de dados pelo exportador de dados na União, ao abrigo do Regulamento (UE) 2016/679.

Cláusula 11

Recurso

| a) | O importador de dados deve informar os titulares dos dados, de forma transparente e de fácil acesso, através de uma notificação individual ou no seu sítio Web, de um ponto de contacto autorizado a tratar as reclamações. Deve tratar imediatamente quaisquer reclamações que receba de um titular de dados.
  [OPÇÃO: O importador de dados concorda que os titulares dos dados podem igualmente apresentar uma reclamação a um organismo independente de resolução de litígios (11), sem que tenham de suportar quaisquer custos. Deve informar os titulares dos dados, da forma prevista na alínea a), desse mecanismo de recurso e de que não são obrigados a utilizá-lo, ou a seguir uma determinada sequência na interposição de recurso.] |
| --- | --- |

a)

O importador de dados deve informar os titulares dos dados, de forma transparente e de fácil acesso, através de uma notificação individual ou no seu sítio Web, de um ponto de contacto autorizado a tratar as reclamações. Deve tratar imediatamente quaisquer reclamações que receba de um titular de dados.

[OPÇÃO: O importador de dados concorda que os titulares dos dados podem igualmente apresentar uma reclamação a um organismo independente de resolução de litígios (11), sem que tenham de suportar quaisquer custos. Deve informar os titulares dos dados, da forma prevista na alínea a), desse mecanismo de recurso e de que não são obrigados a utilizá-lo, ou a seguir uma determinada sequência na interposição de recurso.]

MÓDULO UM: Transferência entre responsáveis pelo tratamento

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

MÓDULO TRÊS: Transferência entre subcontratantes

| b) | Em caso de litígio entre um titular dos dados e uma das Partes quanto ao cumprimento das presentes cláusulas, essa Parte deve envidar todos os esforços para resolver a questão de forma amigável e atempada. As Partes devem manter-se mutuamente informadas sobre esses litígios e, quando adequado, cooperar na sua resolução. |
| --- | --- |

b)

Em caso de litígio entre um titular dos dados e uma das Partes quanto ao cumprimento das presentes cláusulas, essa Parte deve envidar todos os esforços para resolver a questão de forma amigável e atempada. As Partes devem manter-se mutuamente informadas sobre esses litígios e, quando adequado, cooperar na sua resolução.

| c) | Se o titular dos dados invocar um direito de terceiro beneficiário nos termos da cláusula 3, o importador de dados deve aceitar a decisão do titular dos dados de:






  i) | apresentar uma reclamação à autoridade de controlo no Estado-Membro da sua residência habitual ou do seu local de trabalho ou à autoridade de controlo competente, nos termos da cláusula 13, |
| --- | --- | --- |

c)

Se o titular dos dados invocar um direito de terceiro beneficiário nos termos da cláusula 3, o importador de dados deve aceitar a decisão do titular dos dados de:

i)

apresentar uma reclamação à autoridade de controlo no Estado-Membro da sua residência habitual ou do seu local de trabalho ou à autoridade de controlo competente, nos termos da cláusula 13,

| ii) | submeter o litígio à apreciação dos tribunais competentes na aceção da cláusula 18. |
| --- | --- |

ii)

submeter o litígio à apreciação dos tribunais competentes na aceção da cláusula 18.

| d) | As Partes aceitam que o titular dos dados possa ser representado por um organismo, organização ou associação sem fins lucrativos, nas condições estabelecidas no artigo 80.o, n.o 1, do Regulamento (UE) 2016/679. |
| --- | --- |

d)

As Partes aceitam que o titular dos dados possa ser representado por um organismo, organização ou associação sem fins lucrativos, nas condições estabelecidas no artigo 80.o, n.o 1, do Regulamento (UE) 2016/679.

| e) | O importador de dados deve acatar uma decisão vinculativa nos termos do direito da UE ou dos Estados-Membros aplicável. |
| --- | --- |

e)

O importador de dados deve acatar uma decisão vinculativa nos termos do direito da UE ou dos Estados-Membros aplicável.

| f) | O importador de dados acorda que a opção do titular dos dados não prejudica os direitos materiais e processuais do mesmo de obter reparação em conformidade com a legislação aplicável. |
| --- | --- |

f)

O importador de dados acorda que a opção do titular dos dados não prejudica os direitos materiais e processuais do mesmo de obter reparação em conformidade com a legislação aplicável.

Cláusula 12

Responsabilidade

MÓDULO UM: Transferência entre responsáveis pelo tratamento

MÓDULO QUATRO: Transferência de subcontratante para responsável pelo tratamento

| a) | Cada Parte é responsável perante a(s) outra(s) Parte(s) por quaisquer danos que lhe(s) cause decorrentes de qualquer violação das presentes cláusulas. |
| --- | --- |

a)

Cada Parte é responsável perante a(s) outra(s) Parte(s) por quaisquer danos que lhe(s) cause decorrentes de qualquer violação das presentes cláusulas.

| b) | Cada Parte é responsável perante o titular dos dados, tendo o titular dos dados o direito de receber uma indemnização, por quaisquer danos materiais ou imateriais que a Parte cause ao titular dos dados em consequência da violação dos direitos de terceiro beneficiário ao abrigo das presentes cláusulas. Tal não prejudica a responsabilidade do exportador de dados nos termos do Regulamento (UE) 2016/679. |
| --- | --- |

b)

Cada Parte é responsável perante o titular dos dados, tendo o titular dos dados o direito de receber uma indemnização, por quaisquer danos materiais ou imateriais que a Parte cause ao titular dos dados em consequência da violação dos direitos de terceiro beneficiário ao abrigo das presentes cláusulas. Tal não prejudica a responsabilidade do exportador de dados nos termos do Regulamento (UE) 2016/679.

| c) | Quando mais de uma Parte for responsável por quaisquer danos causados ao titular dos dados devido a uma violação das presentes cláusulas, todas as Partes responsáveis são solidariamente responsáveis e o titular dos dados tem o direito de intentar uma ação em tribunal contra qualquer uma destas Partes. |
| --- | --- |

c)

Quando mais de uma Parte for responsável por quaisquer danos causados ao titular dos dados devido a uma violação das presentes cláusulas, todas as Partes responsáveis são solidariamente responsáveis e o titular dos dados tem o direito de intentar uma ação em tribunal contra qualquer uma destas Partes.

| d) | As Partes acordam que, se uma Parte for considerada responsável nos termos da alínea c), tem o direito de reclamar à(s) outra(s) Parte(s) a parte da indemnização correspondente à sua responsabilidade pelos danos. |
| --- | --- |

d)

As Partes acordam que, se uma Parte for considerada responsável nos termos da alínea c), tem o direito de reclamar à(s) outra(s) Parte(s) a parte da indemnização correspondente à sua responsabilidade pelos danos.

| e) | O importador de dados não pode invocar o comportamento de um subcontratante ou subcontratante ulterior para se eximir à sua própria responsabilidade. |
| --- | --- |

e)

O importador de dados não pode invocar o comportamento de um subcontratante ou subcontratante ulterior para se eximir à sua própria responsabilidade.

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

MÓDULO TRÊS: Transferência entre subcontratantes

| a) | Cada Parte é responsável perante a(s) outra(s) Parte(s) por quaisquer danos que lhe(s) cause decorrentes de qualquer violação das presentes cláusulas. |
| --- | --- |

a)

Cada Parte é responsável perante a(s) outra(s) Parte(s) por quaisquer danos que lhe(s) cause decorrentes de qualquer violação das presentes cláusulas.

| b) | O importador de dados é responsável perante o titular dos dados, tendo o titular dos dados o direito de receber uma indemnização, por quaisquer danos materiais ou imateriais que o importador de dados ou o seu subcontratante ulterior cause ao titular dos dados em consequência da violação dos direitos de terceiro beneficiário ao abrigo das presentes cláusulas. |
| --- | --- |

b)

O importador de dados é responsável perante o titular dos dados, tendo o titular dos dados o direito de receber uma indemnização, por quaisquer danos materiais ou imateriais que o importador de dados ou o seu subcontratante ulterior cause ao titular dos dados em consequência da violação dos direitos de terceiro beneficiário ao abrigo das presentes cláusulas.

| c) | Não obstante o disposto na alínea b), o exportador de dados é responsável perante o titular dos dados, tendo o titular dos dados o direito de receber uma indemnização, por quaisquer danos materiais ou imateriais que o exportador ou o importador de dados (ou o seu subcontratante ulterior) cause ao titular dos dados em consequência da violação dos direitos de terceiro beneficiário ao abrigo das presentes cláusulas. Tal não prejudica a responsabilidade do exportador de dados e, se este for um subcontratante que atue por conta de um responsável pelo tratamento, a responsabilidade do responsável pelo tratamento nos termos do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725, consoante o caso. |
| --- | --- |

c)

Não obstante o disposto na alínea b), o exportador de dados é responsável perante o titular dos dados, tendo o titular dos dados o direito de receber uma indemnização, por quaisquer danos materiais ou imateriais que o exportador ou o importador de dados (ou o seu subcontratante ulterior) cause ao titular dos dados em consequência da violação dos direitos de terceiro beneficiário ao abrigo das presentes cláusulas. Tal não prejudica a responsabilidade do exportador de dados e, se este for um subcontratante que atue por conta de um responsável pelo tratamento, a responsabilidade do responsável pelo tratamento nos termos do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725, consoante o caso.

| d) | As Partes acordam que, se o exportador de dados for considerado responsável, nos termos da alínea c), por danos causados pelo importador de dados (ou pelo seu subcontratante), tem o direito de reclamar ao importador de dados a parte da indemnização correspondente à responsabilidade do importador de dados pelos danos. |
| --- | --- |

d)

As Partes acordam que, se o exportador de dados for considerado responsável, nos termos da alínea c), por danos causados pelo importador de dados (ou pelo seu subcontratante), tem o direito de reclamar ao importador de dados a parte da indemnização correspondente à responsabilidade do importador de dados pelos danos.

| e) | Quando mais de uma Parte for responsável por quaisquer danos causados ao titular dos dados devido a uma violação das presentes cláusulas, todas as Partes responsáveis são solidariamente responsáveis e o titular dos dados tem o direito de intentar uma ação em tribunal contra qualquer uma destas Partes. |
| --- | --- |

e)

Quando mais de uma Parte for responsável por quaisquer danos causados ao titular dos dados devido a uma violação das presentes cláusulas, todas as Partes responsáveis são solidariamente responsáveis e o titular dos dados tem o direito de intentar uma ação em tribunal contra qualquer uma destas Partes.

| f) | As Partes acordam que, se uma Parte for considerada responsável nos termos da alínea e), tem o direito de reclamar à(s) outra(s) Parte(s) a parte da indemnização correspondente à sua responsabilidade pelos danos. |
| --- | --- |

f)

As Partes acordam que, se uma Parte for considerada responsável nos termos da alínea e), tem o direito de reclamar à(s) outra(s) Parte(s) a parte da indemnização correspondente à sua responsabilidade pelos danos.

| g) | O importador de dados não pode invocar o comportamento de um subcontratante ulterior para se isentar da sua própria responsabilidade. |
| --- | --- |

g)

O importador de dados não pode invocar o comportamento de um subcontratante ulterior para se isentar da sua própria responsabilidade.

Cláusula 13

Controlo

MÓDULO UM: Transferência entre responsáveis pelo tratamento

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

MÓDULO TRÊS: Transferência entre subcontratantes

| a) | [Quando o exportador de dados estiver estabelecido num Estado-Membro da UE:] A autoridade de controlo com a responsabilidade de assegurar o cumprimento, pelo exportador de dados, do Regulamento (UE) 2016/679 no que diz respeito à transferência de dados, conforme indicado no anexo I.C, deve agir como autoridade de controlo competente.
  [Quando o exportador de dados não estiver estabelecido num Estado-Membro da UE, mas for abrangido pelo âmbito de aplicação territorial do Regulamento (UE) 2016/679, em conformidade com o seu artigo 3.o, n.o 2, e tiver nomeado um representante nos termos do artigo 27.o, n.o 1, do Regulamento (UE) 2016/679:] A autoridade de controlo do Estado-Membro em que o representante, na aceção do artigo 27.o, n.o 1, do Regulamento (UE) 2016/679, está estabelecido, conforme indicado no anexo I.C, deve agir como autoridade de controlo competente.
  [Quando o exportador de dados não estiver estabelecido num Estado-Membro da UE, mas for abrangido pelo âmbito de aplicação territorial do Regulamento (UE) 2016/679, em conformidade com o seu artigo 3.o, n.o 2, sem, contudo, ter de nomear um representante nos termos do artigo 27.o, n.o 2, do Regulamento (UE) 2016/679:] A autoridade de controlo de um dos Estados-Membros onde se encontram os titulares dos dados cujos dados pessoais são transferidos ao abrigo das presentes cláusulas no contexto da oferta que lhes é feita de bens ou serviços ou cujo comportamento é controlado, conforme indicado no anexo I.C, deve agir como autoridade de controlo competente. |
| --- | --- |

a)

[Quando o exportador de dados estiver estabelecido num Estado-Membro da UE:] A autoridade de controlo com a responsabilidade de assegurar o cumprimento, pelo exportador de dados, do Regulamento (UE) 2016/679 no que diz respeito à transferência de dados, conforme indicado no anexo I.C, deve agir como autoridade de controlo competente.

[Quando o exportador de dados não estiver estabelecido num Estado-Membro da UE, mas for abrangido pelo âmbito de aplicação territorial do Regulamento (UE) 2016/679, em conformidade com o seu artigo 3.o, n.o 2, e tiver nomeado um representante nos termos do artigo 27.o, n.o 1, do Regulamento (UE) 2016/679:] A autoridade de controlo do Estado-Membro em que o representante, na aceção do artigo 27.o, n.o 1, do Regulamento (UE) 2016/679, está estabelecido, conforme indicado no anexo I.C, deve agir como autoridade de controlo competente.

[Quando o exportador de dados não estiver estabelecido num Estado-Membro da UE, mas for abrangido pelo âmbito de aplicação territorial do Regulamento (UE) 2016/679, em conformidade com o seu artigo 3.o, n.o 2, sem, contudo, ter de nomear um representante nos termos do artigo 27.o, n.o 2, do Regulamento (UE) 2016/679:] A autoridade de controlo de um dos Estados-Membros onde se encontram os titulares dos dados cujos dados pessoais são transferidos ao abrigo das presentes cláusulas no contexto da oferta que lhes é feita de bens ou serviços ou cujo comportamento é controlado, conforme indicado no anexo I.C, deve agir como autoridade de controlo competente.

| b) | O importador de dados aceita submeter-se à jurisdição da autoridade de controlo competente e cooperar com a mesma em quaisquer procedimentos destinados a assegurar o cumprimento das presentes cláusulas. Em particular, o importador de dados concorda em responder a pedidos de informação, submeter-se a auditorias e cumprir as medidas adotadas pela autoridade de controlo, incluindo medidas corretivas e compensatórias. Deve fornecer à autoridade de controlo uma confirmação escrita de que foram tomadas as medidas necessárias. |
| --- | --- |

b)

O importador de dados aceita submeter-se à jurisdição da autoridade de controlo competente e cooperar com a mesma em quaisquer procedimentos destinados a assegurar o cumprimento das presentes cláusulas. Em particular, o importador de dados concorda em responder a pedidos de informação, submeter-se a auditorias e cumprir as medidas adotadas pela autoridade de controlo, incluindo medidas corretivas e compensatórias. Deve fornecer à autoridade de controlo uma confirmação escrita de que foram tomadas as medidas necessárias.

SECÇÃO III — LEGISLAÇÃO LOCAL E OBRIGAÇÕES EM CASO DE ACESSO POR PARTE DE AUTORIDADES PÚBLICAS

Cláusula 14

Legislação e práticas locais que afetam o cumprimento das cláusulas

MÓDULO UM: Transferência entre responsáveis pelo tratamento

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

MÓDULO TRÊS: Transferência entre subcontratantes

MÓDULO QUATRO: Transferência de subcontratante para responsável pelo tratamento
  (quando o subcontratante da UE combina os dados pessoais recebidos do responsável pelo tratamento no país terceiro com os dados pessoais recolhidos pelo subcontratante na UE)

| a) | As Partes garantem que não têm motivos para crer que a legislação e as práticas do país terceiro de destino aplicáveis ao tratamento dos dados pessoais pelo importador de dados, incluindo quaisquer requisitos de divulgação de dados pessoais ou medidas destinadas a autorizar o acesso de autoridades públicas, impedem o importador de dados de cumprir as obrigações que lhe incumbem por força das presentes cláusulas. Tal baseia-se no entendimento de que a legislação e as práticas que respeitem a essência dos direitos e das liberdades fundamentais e não excedam o necessário e proporcional numa sociedade democrática para salvaguardar um dos objetivos enumerados no artigo 23.o, n.o 1, do Regulamento (UE) 2016/679 não são contrárias ao disposto nas presentes cláusulas. |
| --- | --- |

a)

As Partes garantem que não têm motivos para crer que a legislação e as práticas do país terceiro de destino aplicáveis ao tratamento dos dados pessoais pelo importador de dados, incluindo quaisquer requisitos de divulgação de dados pessoais ou medidas destinadas a autorizar o acesso de autoridades públicas, impedem o importador de dados de cumprir as obrigações que lhe incumbem por força das presentes cláusulas. Tal baseia-se no entendimento de que a legislação e as práticas que respeitem a essência dos direitos e das liberdades fundamentais e não excedam o necessário e proporcional numa sociedade democrática para salvaguardar um dos objetivos enumerados no artigo 23.o, n.o 1, do Regulamento (UE) 2016/679 não são contrárias ao disposto nas presentes cláusulas.

| b) | As Partes declaram que, ao apresentar a garantia referida na alínea a), tiveram em devida conta, em especial, os seguintes elementos:






  i) | as circunstâncias específicas da transferência, incluindo a extensão da cadeia de tratamento, o número de intervenientes envolvidos e os canais de transmissão utilizados; transferências ulteriores previstas; o tipo de destinatário; a finalidade do tratamento; as categorias e o formato dos dados pessoais transferidos; o setor económico em que a transferência ocorre; o local de conservação dos dados transferidos, |
| --- | --- | --- |

b)

As Partes declaram que, ao apresentar a garantia referida na alínea a), tiveram em devida conta, em especial, os seguintes elementos:

i)

as circunstâncias específicas da transferência, incluindo a extensão da cadeia de tratamento, o número de intervenientes envolvidos e os canais de transmissão utilizados; transferências ulteriores previstas; o tipo de destinatário; a finalidade do tratamento; as categorias e o formato dos dados pessoais transferidos; o setor económico em que a transferência ocorre; o local de conservação dos dados transferidos,

| ii) | a legislação e as práticas do país terceiro de destino – nomeadamente as que exigem a divulgação de dados às autoridades públicas ou autorizam o acesso por parte dessas autoridades – pertinentes à luz das circunstâncias específicas da transferência e as limitações e garantias aplicáveis (12), |
| --- | --- |

ii)

a legislação e as práticas do país terceiro de destino – nomeadamente as que exigem a divulgação de dados às autoridades públicas ou autorizam o acesso por parte dessas autoridades – pertinentes à luz das circunstâncias específicas da transferência e as limitações e garantias aplicáveis (12),

| iii) | quaisquer garantias contratuais, técnicas ou organizativas pertinentes aplicadas para complementar as garantias previstas nas presentes cláusulas, incluindo as medidas aplicadas durante a transmissão e ao tratamento dos dados pessoais no país de destino. |
| --- | --- |

iii)

quaisquer garantias contratuais, técnicas ou organizativas pertinentes aplicadas para complementar as garantias previstas nas presentes cláusulas, incluindo as medidas aplicadas durante a transmissão e ao tratamento dos dados pessoais no país de destino.

| c) | O importador de dados garante que, ao efetuar a avaliação nos termos da alínea b), envidou todos os esforços para fornecer ao exportador de dados informações pertinentes e acorda que continuará a cooperar com o exportador de dados no sentido de assegurar o cumprimento das presentes cláusulas. |
| --- | --- |

c)

O importador de dados garante que, ao efetuar a avaliação nos termos da alínea b), envidou todos os esforços para fornecer ao exportador de dados informações pertinentes e acorda que continuará a cooperar com o exportador de dados no sentido de assegurar o cumprimento das presentes cláusulas.

| d) | As Partes acordam em documentar a avaliação prevista na alínea b) e disponibilizá-la à autoridade de controlo competente, mediante pedido. |
| --- | --- |

d)

As Partes acordam em documentar a avaliação prevista na alínea b) e disponibilizá-la à autoridade de controlo competente, mediante pedido.

| e) | O importador de dados acorda em notificar imediatamente o exportador de dados se, depois de ter subscrito as presentes cláusulas e durante a vigência do contrato, tiver motivos para crer que está ou ficou sujeito a legislações ou práticas não conformes com os requisitos da alínea a), nomeadamente na sequência de uma alteração da legislação do país terceiro ou de uma medida (como um pedido de divulgação) que indique uma aplicação dessa legislação na prática que não esteja em consonância com os requisitos da alínea a). [Para o módulo três: O exportador de dados deve transmitir a notificação ao responsável pelo tratamento.] |
| --- | --- |

e)

O importador de dados acorda em notificar imediatamente o exportador de dados se, depois de ter subscrito as presentes cláusulas e durante a vigência do contrato, tiver motivos para crer que está ou ficou sujeito a legislações ou práticas não conformes com os requisitos da alínea a), nomeadamente na sequência de uma alteração da legislação do país terceiro ou de uma medida (como um pedido de divulgação) que indique uma aplicação dessa legislação na prática que não esteja em consonância com os requisitos da alínea a). [Para o módulo três: O exportador de dados deve transmitir a notificação ao responsável pelo tratamento.]

| f) | Na sequência de uma notificação nos termos da alínea e), ou se o exportador de dados tiver motivos para crer que o importador de dados já não é capaz de cumprir as obrigações que lhe incumbem por força das presentes cláusulas, o exportador de dados deve identificar imediatamente as medidas adequadas (por exemplo, medidas técnicas ou organizativas para garantir a segurança e a confidencialidade) a adotar pelo exportador e/ou importador de dados para resolver a situação [para o módulo três: se for caso disso, em consulta com o responsável pelo tratamento]. O exportador de dados deve suspender a transferência de dados se considerar que não podem ser asseguradas garantias adequadas para essa transferência ou se receber instruções [para o módulo três: do responsável pelo tratamento ou] da autoridade de controlo competente nesse sentido. Neste caso, o exportador de dados tem o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de dados pessoais ao abrigo das presentes cláusulas. Se o contrato envolver mais de duas Partes, o exportador de dados só pode exercer este direito de rescisão em relação à Parte pertinente, salvo decisão das Partes em contrário. Se o contrato for rescindido nos termos da presente cláusula, aplica-se a cláusula 16, alíneas d) e e). |
| --- | --- |

f)

Na sequência de uma notificação nos termos da alínea e), ou se o exportador de dados tiver motivos para crer que o importador de dados já não é capaz de cumprir as obrigações que lhe incumbem por força das presentes cláusulas, o exportador de dados deve identificar imediatamente as medidas adequadas (por exemplo, medidas técnicas ou organizativas para garantir a segurança e a confidencialidade) a adotar pelo exportador e/ou importador de dados para resolver a situação [para o módulo três: se for caso disso, em consulta com o responsável pelo tratamento]. O exportador de dados deve suspender a transferência de dados se considerar que não podem ser asseguradas garantias adequadas para essa transferência ou se receber instruções [para o módulo três: do responsável pelo tratamento ou] da autoridade de controlo competente nesse sentido. Neste caso, o exportador de dados tem o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de dados pessoais ao abrigo das presentes cláusulas. Se o contrato envolver mais de duas Partes, o exportador de dados só pode exercer este direito de rescisão em relação à Parte pertinente, salvo decisão das Partes em contrário. Se o contrato for rescindido nos termos da presente cláusula, aplica-se a cláusula 16, alíneas d) e e).

Cláusula 15

Obrigações do importador de dados em caso de acesso por parte de autoridades públicas

MÓDULO UM: Transferência entre responsáveis pelo tratamento

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

MÓDULO TRÊS: Transferência entre subcontratantes

MÓDULO QUATRO: Transferência de subcontratante para responsável pelo tratamento
  (quando o subcontratante da UE combina os dados pessoais recebidos do responsável pelo tratamento no país terceiro com os dados pessoais recolhidos pelo subcontratante na UE)

15.1.   Notificação

| a) | O importador de dados acorda em notificar imediatamente o exportador de dados e, se possível, o titular dos dados (se necessário, com a ajuda do exportador de dados) se:






  i) | receber um pedido juridicamente vinculativo de uma autoridade pública, incluindo autoridades judiciárias, ao abrigo da legislação do país de destino para a divulgação dos dados pessoais transferidos nos termos das presentes cláusulas; esta notificação deve incluir informações sobre os dados pessoais solicitados, a autoridade requerente, o fundamento jurídico do pedido e a resposta fornecida, ou |
| --- | --- | --- |

a)

O importador de dados acorda em notificar imediatamente o exportador de dados e, se possível, o titular dos dados (se necessário, com a ajuda do exportador de dados) se:

i)

receber um pedido juridicamente vinculativo de uma autoridade pública, incluindo autoridades judiciárias, ao abrigo da legislação do país de destino para a divulgação dos dados pessoais transferidos nos termos das presentes cláusulas; esta notificação deve incluir informações sobre os dados pessoais solicitados, a autoridade requerente, o fundamento jurídico do pedido e a resposta fornecida, ou

| ii) | tomar conhecimento de qualquer acesso direto das autoridades públicas aos dados pessoais transferidos nos termos das presentes cláusulas, em conformidade com a legislação do país terceiro de destino; esta notificação deve incluir todas as informações de que o importador disponha. |
| --- | --- |

ii)

tomar conhecimento de qualquer acesso direto das autoridades públicas aos dados pessoais transferidos nos termos das presentes cláusulas, em conformidade com a legislação do país terceiro de destino; esta notificação deve incluir todas as informações de que o importador disponha.

[Para o módulo três: O exportador de dados deve transmitir a notificação ao responsável pelo tratamento.]

| b) | Se o importador de dados estiver proibido de notificar o exportador de dados e/ou o titular dos dados por força da legislação do país de destino, o importador de dados acorda em envidar todos os esforços para obter uma derrogação da proibição com vista a comunicar, o mais rapidamente possível, o maior número possível de informações. O importador de dados aceita documentar todos os seus esforços a fim de poder comprová-los a pedido do exportador de dados. |
| --- | --- |

b)

Se o importador de dados estiver proibido de notificar o exportador de dados e/ou o titular dos dados por força da legislação do país de destino, o importador de dados acorda em envidar todos os esforços para obter uma derrogação da proibição com vista a comunicar, o mais rapidamente possível, o maior número possível de informações. O importador de dados aceita documentar todos os seus esforços a fim de poder comprová-los a pedido do exportador de dados.

| c) | Quando tal for permitido pela legislação do país de destino, o importador de dados aceita fornecer periodicamente ao exportador de dados, durante a vigência do contrato, o maior número possível de informações pertinentes sobre os pedidos recebidos (em particular, o número de pedidos, o tipo de dados solicitados, a(s) autoridade(s)/entidade(s) requerente(s), se os pedidos foram contestados e o resultado dessas contestações, etc.). [Para o módulo três: O exportador de dados deve transmitir as informações ao responsável pelo tratamento.] |
| --- | --- |

c)

Quando tal for permitido pela legislação do país de destino, o importador de dados aceita fornecer periodicamente ao exportador de dados, durante a vigência do contrato, o maior número possível de informações pertinentes sobre os pedidos recebidos (em particular, o número de pedidos, o tipo de dados solicitados, a(s) autoridade(s)/entidade(s) requerente(s), se os pedidos foram contestados e o resultado dessas contestações, etc.). [Para o módulo três: O exportador de dados deve transmitir as informações ao responsável pelo tratamento.]

| d) | O importador de dados aceita conservar as informações nos termos das alíneas a) a c) durante a vigência do contrato e em disponibilizá-las à autoridade de controlo competente, mediante pedido. |
| --- | --- |

d)

O importador de dados aceita conservar as informações nos termos das alíneas a) a c) durante a vigência do contrato e em disponibilizá-las à autoridade de controlo competente, mediante pedido.

| e) | As alíneas a) a c) não prejudicam a obrigação que incumbe ao importador de dados, nos termos da cláusula 14, alínea e), e da cláusula 16, de informar imediatamente o exportador de dados se não puder cumprir as presentes cláusulas. |
| --- | --- |

e)

As alíneas a) a c) não prejudicam a obrigação que incumbe ao importador de dados, nos termos da cláusula 14, alínea e), e da cláusula 16, de informar imediatamente o exportador de dados se não puder cumprir as presentes cláusulas.

15.2.   Controlo da legalidade e minimização dos dados

| a) | O importador de dados aceita controlar a legalidade do pedido de divulgação, em particular a questão de saber se este se mantém nos limites dos poderes concedidos à autoridade pública requerente, e em contestar o pedido se, após uma avaliação minuciosa, concluir que existem fundamentos razoáveis para considerar que o pedido é ilegal nos termos da legislação do país de destino, das obrigações aplicáveis ao abrigo do direito internacional e dos princípios de cortesia internacional. O importador de dados deve, nas mesmas condições, explorar as possibilidades de recurso. Ao contestar um pedido, o importador de dados deve procurar medidas provisórias com vista a suspender os efeitos do pedido até que a autoridade judiciária competente tenha decidido sobre o seu mérito. O importador de dados não pode divulgar os dados pessoais solicitados até que seja obrigado a fazê-lo ao abrigo das regras processuais aplicáveis. Estes requisitos não prejudicam as obrigações que incumbem ao importador de dados nos termos da cláusula 14, alínea e). |
| --- | --- |

a)

O importador de dados aceita controlar a legalidade do pedido de divulgação, em particular a questão de saber se este se mantém nos limites dos poderes concedidos à autoridade pública requerente, e em contestar o pedido se, após uma avaliação minuciosa, concluir que existem fundamentos razoáveis para considerar que o pedido é ilegal nos termos da legislação do país de destino, das obrigações aplicáveis ao abrigo do direito internacional e dos princípios de cortesia internacional. O importador de dados deve, nas mesmas condições, explorar as possibilidades de recurso. Ao contestar um pedido, o importador de dados deve procurar medidas provisórias com vista a suspender os efeitos do pedido até que a autoridade judiciária competente tenha decidido sobre o seu mérito. O importador de dados não pode divulgar os dados pessoais solicitados até que seja obrigado a fazê-lo ao abrigo das regras processuais aplicáveis. Estes requisitos não prejudicam as obrigações que incumbem ao importador de dados nos termos da cláusula 14, alínea e).

| b) | O importador de dados aceita documentar a sua avaliação jurídica e qualquer contestação do pedido de divulgação e, na medida do permitido pela legislação do país de destino, disponibilizar a documentação ao exportador de dados. Deve igualmente disponibilizá-la à autoridade de controlo competente, mediante pedido. [Para o módulo três: O exportador de dados deve disponibilizar a avaliação ao responsável pelo tratamento.] |
| --- | --- |

b)

O importador de dados aceita documentar a sua avaliação jurídica e qualquer contestação do pedido de divulgação e, na medida do permitido pela legislação do país de destino, disponibilizar a documentação ao exportador de dados. Deve igualmente disponibilizá-la à autoridade de controlo competente, mediante pedido. [Para o módulo três: O exportador de dados deve disponibilizar a avaliação ao responsável pelo tratamento.]

| c) | O importador de dados aceita fornecer a quantidade mínima de informação admissível ao responder a um pedido de divulgação, com base numa interpretação razoável do pedido. |
| --- | --- |

c)

O importador de dados aceita fornecer a quantidade mínima de informação admissível ao responder a um pedido de divulgação, com base numa interpretação razoável do pedido.

SECÇÃO IV — DISPOSIÇÕES FINAIS

Cláusula 16

Incumprimento das cláusulas e rescisão

| a) | O importador de dados deve informar imediatamente o exportador de dados se, por qualquer motivo, não puder cumprir as presentes cláusulas. |
| --- | --- |

a)

O importador de dados deve informar imediatamente o exportador de dados se, por qualquer motivo, não puder cumprir as presentes cláusulas.

| b) | Se o importador de dados violar ou não puder cumprir as presentes cláusulas, o exportador de dados deve suspender a transferência de dados pessoais para o importador de dados até que o cumprimento seja novamente assegurado ou o contrato seja rescindido. Esta disposição não prejudica o disposto na cláusula 14, alínea f). |
| --- | --- |

b)

Se o importador de dados violar ou não puder cumprir as presentes cláusulas, o exportador de dados deve suspender a transferência de dados pessoais para o importador de dados até que o cumprimento seja novamente assegurado ou o contrato seja rescindido. Esta disposição não prejudica o disposto na cláusula 14, alínea f).

| c) | O exportador de dados tem o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de dados pessoais ao abrigo das presentes cláusulas, caso:






  i) | o exportador de dados tenha suspendido a transferência de dados pessoais para o importador de dados nos termos da alínea b) e o cumprimento das presentes cláusulas não for restabelecido num prazo razoável e, em todo o caso, no prazo de um mês a contar da suspensão, |
| --- | --- | --- |

c)

O exportador de dados tem o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de dados pessoais ao abrigo das presentes cláusulas, caso:

i)

o exportador de dados tenha suspendido a transferência de dados pessoais para o importador de dados nos termos da alínea b) e o cumprimento das presentes cláusulas não for restabelecido num prazo razoável e, em todo o caso, no prazo de um mês a contar da suspensão,

| ii) | o importador de dados viole, de forma substancial ou persistente, as presentes cláusulas, ou |
| --- | --- |

ii)

o importador de dados viole, de forma substancial ou persistente, as presentes cláusulas, ou

| iii) | o importador de dados não cumpra uma decisão vinculativa de um tribunal ou autoridade de controlo competente relativamente às obrigações que lhe incumbem por força das presentes cláusulas. |
| --- | --- |

iii)

o importador de dados não cumpra uma decisão vinculativa de um tribunal ou autoridade de controlo competente relativamente às obrigações que lhe incumbem por força das presentes cláusulas.

Nestes casos, deve informar a autoridade de controlo competente [para o módulo três: e o responsável pelo tratamento] desse incumprimento. Se o contrato envolver mais de duas Partes, o exportador de dados só pode exercer este direito de rescisão em relação à Parte pertinente, salvo decisão das Partes em contrário.

| d) | [Para os módulos um, dois e três: Os dados pessoais que tenham sido transferidos antes da rescisão do contrato nos termos da alínea c) devem, consoante a escolha do exportador de dados, ser imediatamente devolvidos ao exportador de dados ou apagados na sua totalidade. O mesmo se aplica a quaisquer cópias dos dados.] [Para o módulo quatro: Os dados pessoais recolhidos pelo exportador de dados na UE que tenham sido transferidos antes da rescisão do contrato nos termos da alínea c) devem ser imediatamente apagados na sua totalidade, incluindo quaisquer cópias dos mesmos.] O importador de dados deve certificar o apagamento dos dados ao exportador de dados. Até que os dados sejam apagados ou devolvidos, o importador de dados deve continuar a assegurar o cumprimento das presentes cláusulas. Caso a legislação local aplicável ao importador de dados proíba a devolução ou o apagamento dos dados pessoais transferidos, o importador de dados garante continuar a assegurar o cumprimento das presentes cláusulas e só proceder ao tratamento dos dados na medida em que e enquanto for necessário nos termos dessa legislação local. |
| --- | --- |

d)

[Para os módulos um, dois e três: Os dados pessoais que tenham sido transferidos antes da rescisão do contrato nos termos da alínea c) devem, consoante a escolha do exportador de dados, ser imediatamente devolvidos ao exportador de dados ou apagados na sua totalidade. O mesmo se aplica a quaisquer cópias dos dados.] [Para o módulo quatro: Os dados pessoais recolhidos pelo exportador de dados na UE que tenham sido transferidos antes da rescisão do contrato nos termos da alínea c) devem ser imediatamente apagados na sua totalidade, incluindo quaisquer cópias dos mesmos.] O importador de dados deve certificar o apagamento dos dados ao exportador de dados. Até que os dados sejam apagados ou devolvidos, o importador de dados deve continuar a assegurar o cumprimento das presentes cláusulas. Caso a legislação local aplicável ao importador de dados proíba a devolução ou o apagamento dos dados pessoais transferidos, o importador de dados garante continuar a assegurar o cumprimento das presentes cláusulas e só proceder ao tratamento dos dados na medida em que e enquanto for necessário nos termos dessa legislação local.

| e) | Qualquer das Partes pode revogar o seu consentimento em ficar vinculada pelas presentes cláusulas se i) a Comissão Europeia adotar uma decisão nos termos do artigo 45.o, n.o 3, do Regulamento (UE) 2016/679 que abranja a transferência de dados pessoais a que se aplicam as presentes cláusulas; ou ii) o Regulamento (UE) 2016/679 se tornar parte do quadro jurídico do país para o qual os dados pessoais são transferidos. Tal não prejudica outras obrigações aplicáveis ao tratamento em questão nos termos do Regulamento (UE) 2016/679. |
| --- | --- |

e)

Qualquer das Partes pode revogar o seu consentimento em ficar vinculada pelas presentes cláusulas se i) a Comissão Europeia adotar uma decisão nos termos do artigo 45.o, n.o 3, do Regulamento (UE) 2016/679 que abranja a transferência de dados pessoais a que se aplicam as presentes cláusulas; ou ii) o Regulamento (UE) 2016/679 se tornar parte do quadro jurídico do país para o qual os dados pessoais são transferidos. Tal não prejudica outras obrigações aplicáveis ao tratamento em questão nos termos do Regulamento (UE) 2016/679.

Cláusula 17

Direito aplicável

MÓDULO UM: Transferência entre responsáveis pelo tratamento

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

MÓDULO TRÊS: Transferência entre subcontratantes

[OPÇÃO 1: As presentes cláusulas são regidas pelo direito de um dos Estados-Membros da UE, desde que tal direito permita o exercício dos direitos de terceiros beneficiários. As Partes acordam que é aplicável o direito _______ (especificar a preposição e o Estado-Membro).]

[OPÇÃO 2 (para os módulos dois e três): As presentes cláusulas são regidas pelo direito do Estado-Membro onde o exportador de dados está estabelecido. Sempre que tal direito não permita o exercício dos direitos de terceiros beneficiários, as cláusulas são regidas pelo direito de outro Estado-Membro da UE que permita o exercício desses direitos. As Partes acordam que é aplicável o direito _______ (especificar a preposição e o Estado-Membro).]

MÓDULO QUATRO: Transferência de subcontratante para responsável pelo tratamento

As presentes cláusulas são regidas pelo direito de um país que permita o exercício dos direitos de terceiros beneficiários. As Partes acordam que é aplicável o direito _______ (especificar a preposição e o Estado-Membro).]

Cláusula 18

Eleição do foro e jurisdição

MÓDULO UM: Transferência entre responsáveis pelo tratamento

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

MÓDULO TRÊS: Transferência entre subcontratantes

| a) | Qualquer litígio decorrente das presentes cláusulas deve ser dirimido pelos tribunais de um Estado-Membro da UE. |
| --- | --- |

a)

Qualquer litígio decorrente das presentes cláusulas deve ser dirimido pelos tribunais de um Estado-Membro da UE.

| b) | As Partes acordam que estes são os tribunais _______ (especificar a preposição e o Estado-Membro). |
| --- | --- |

b)

As Partes acordam que estes são os tribunais _______ (especificar a preposição e o Estado-Membro).

| c) | Um titular de dados pode igualmente intentar uma ação judicial contra o exportador e/ou importador de dados nos tribunais do Estado-Membro em que tem a sua residência habitual. |
| --- | --- |

c)

Um titular de dados pode igualmente intentar uma ação judicial contra o exportador e/ou importador de dados nos tribunais do Estado-Membro em que tem a sua residência habitual.

| d) | As Partes aceitam submeter-se à jurisdição dos referidos tribunais. |
| --- | --- |

d)

As Partes aceitam submeter-se à jurisdição dos referidos tribunais.

MÓDULO QUATRO: Transferência de subcontratante para responsável pelo tratamento

| | Qualquer litígio decorrente das presentes cláusulas deve ser dirimido pelos tribunais _______ (especificar a preposição e o país). |
| --- | --- |

Qualquer litígio decorrente das presentes cláusulas deve ser dirimido pelos tribunais _______ (especificar a preposição e o país).

---

(1)  Se o exportador de dados for um subcontratante sujeito ao Regulamento (UE) 2016/679 agindo em nome de uma instituição ou de um órgão da União na qualidade de responsável pelo tratamento, o recurso às presentes cláusulas aquando da contratação de outro subcontratante (subcontratação) não sujeito ao Regulamento (UE) 2016/679 garante igualmente o cumprimento do artigo 29.o, n.o 4, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39), na medida em que as presentes cláusulas e as obrigações em matéria de proteção de dados estabelecidas no contrato ou noutro ato normativo entre o responsável pelo tratamento e o subcontratante nos termos do artigo 29.o, n.o 3, do Regulamento (UE) 2018/1725 estejam alinhadas. Será este o caso, em especial, se o responsável pelo tratamento e o subcontratante recorrerem às cláusulas contratuais-tipo incluídas na decisão 2021/915.

(2)  O que exige que os dados sejam tornados de tal modo anónimos que o seu titular já não possa ser identificado, em consonância com o considerando 26 do Regulamento (UE) 2016/679, e que este processo seja irreversível.

(3)  O Acordo sobre o Espaço Económico Europeu («Acordo EEE») prevê a extensão do mercado interno da União Europeia aos três Estados do EEE: Islândia, Listenstaine e Noruega. A legislação da União em matéria de proteção de dados, nomeadamente o Regulamento (UE) 2016/679, é abrangida pelo Acordo EEE e foi integrada no respetivo anexo XI. Por conseguinte, qualquer divulgação pelo importador de dados a um terceiro situado no EEE não é considerada uma transferência ulterior para efeitos das presentes cláusulas.

(4)  O Acordo sobre o Espaço Económico Europeu («Acordo EEE») prevê a extensão do mercado interno da União Europeia aos três Estados do EEE: Islândia, Listenstaine e Noruega. A legislação da União em matéria de proteção de dados, nomeadamente o Regulamento (UE) 2016/679, é abrangida pelo Acordo EEE e foi integrada no respetivo anexo XI. Por conseguinte, qualquer divulgação pelo importador de dados a um terceiro situado no EEE não é considerada uma transferência ulterior para efeitos das presentes cláusulas.

(5)  Ver o artigo 28.o, n.o 4, do Regulamento (UE) 2016/679 e, se o responsável pelo tratamento for uma instituição ou um órgão da UE, o artigo 29.o, n.o 4, do Regulamento (UE) 2018/1725.

(6)  O Acordo sobre o Espaço Económico Europeu («Acordo EEE») prevê a extensão do mercado interno da União Europeia aos três Estados do EEE: Islândia, Listenstaine e Noruega. A legislação da União em matéria de proteção de dados, nomeadamente o Regulamento (UE) 2016/679, é abrangida pelo Acordo EEE e foi integrada no respetivo anexo XI. Por conseguinte, qualquer divulgação pelo importador de dados a um terceiro situado no EEE não é considerada uma transferência ulterior para efeitos das presentes cláusulas.

(7)  Tal inclui a questão de saber se o tratamento envolve dados pessoais que revelam a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas ou a filiação sindical, dados genéticos ou biométricos destinados a identificar uma pessoa singular de forma inequívoca, dados relativos à saúde, à vida sexual ou à orientação sexual de uma pessoa ou dados relacionados com condenações penais ou com infrações.

(8)  Este requisito pode ser satisfeito através da subscrição, pelo subcontratante ulterior, das presentes cláusulas no módulo adequado, em conformidade com a cláusula 7.

(9)  Este requisito pode ser satisfeito através da subscrição, pelo subcontratante ulterior, das presentes cláusulas no módulo adequado, em conformidade com a cláusula 7.

(10)  Esse prazo pode ser prorrogado, no máximo, até dois meses, na medida do necessário tendo em conta a complexidade e o número de pedidos. O importador de dados deve informar, devidamente e sem demora, o titular dos dados de qualquer prorrogação.

(11)  O importador de dados só pode disponibilizar uma resolução de litígios independente através de umainstância de arbitragem se estiver estabelecido num país que tenha ratificado a Convenção de Nova Iorque sobre o Reconhecimento e a Execução de Sentenças Arbitrais Estrangeiras.

(12)  No que diz respeito ao impacto das legislações e práticas em questão no cumprimento das presentes cláusulas, podem ser tidos em consideração diferentes elementos no âmbito de uma avaliação global. Esses elementos podem incluir a experiência prática pertinente e documentada com casos anteriores de pedidos de divulgação por parte de autoridades públicas, ou a ausência de tais pedidos, abrangendo um intervalo de tempo suficientemente representativo. Tal refere-se, em particular, a registos internos ou outra documentação, elaborados numa base contínua de acordo com a diligência devida e certificados a nível dos quadros superiores, desde que esta informação possa ser legalmente partilhada com terceiros. Sempre que esta experiência prática seja utilizada para concluir que o importador de dados não será impedido de cumprir as presentes cláusulas, é necessário que seja apoiada por outros elementos pertinentes e objetivos, e cabe às Partes ponderar cuidadosamente se estes elementos, em conjunto, têm peso suficiente, em termos da sua fiabilidade e representatividade, para apoiar esta conclusão. Em particular, as Partes têm de ter em conta se a sua experiência prática é corroborada e não contrariada por informações fiáveis, acessíveis ao público ou, de outro modo, acessíveis, sobre a existência ou a ausência de pedidos no mesmo setor e/ou a aplicação da legislação na prática, como a jurisprudência e relatórios de organismos de supervisão independentes.

---

APÊNDICE

NOTA EXPLICATIVA:

Tem de ser possível distinguir claramente as informações aplicáveis a cada transferência ou categoria de transferências e, neste contexto, determinar o(s) respetivo(s) papel(éis) das Partes enquanto exportador(es) e/ou importador(es) de dados. Tal não exige necessariamente o preenchimento e a assinatura de apêndices distintos para cada transferência/categoria de transferências e/ou relação contratual se esta transparência puder ser alcançada através de um apêndice. No entanto, sempre que necessário para assegurar clareza suficiente, devem ser utilizados apêndices distintos.

---

ANEXO I

A.   LISTA DAS PARTES

MÓDULO UM: Transferência entre responsáveis pelo tratamento

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

MÓDULO TRÊS: Transferência entre subcontratantes

MÓDULO QUATRO: Transferência de subcontratante para responsável pelo tratamento

Exportador(es) de dados: [Identidade e contactos do(s) exportador(es) de dados e, se for caso disso, do(s) seu(s) encarregado(s) da proteção de dados e/ou representante(s) na União Europeia]

| 1. | Nome: ...
  Endereço: ...
  Nome, cargo e contactos da pessoa de contacto: ...
  Atividades pertinentes para os dados transferidos ao abrigo das presentes cláusulas: ...
  Assinatura e data: ...
  Papel (responsável pelo tratamento/subcontratante): ... |
| --- | --- |

1.

Endereço: ...

Nome, cargo e contactos da pessoa de contacto: ...

Atividades pertinentes para os dados transferidos ao abrigo das presentes cláusulas: ...

Assinatura e data: ...

Papel (responsável pelo tratamento/subcontratante): ...

| 2. | ... |
| --- | --- |

2.

Importador(es) de dados: [Identidade e contactos do(s) importador(es) de dados, incluindo qualquer pessoa de contacto responsável pela proteção de dados]

| 1. | Nome: ...
  Endereço: ...
  Nome, cargo e contactos da pessoa de contacto: ...
  Atividades pertinentes para os dados transferidos ao abrigo das presentes cláusulas: ...
  Assinatura e data: ...
  Papel (responsável pelo tratamento/subcontratante): ... |
| --- | --- |

1.

Endereço: ...

Nome, cargo e contactos da pessoa de contacto: ...

Atividades pertinentes para os dados transferidos ao abrigo das presentes cláusulas: ...

Assinatura e data: ...

Papel (responsável pelo tratamento/subcontratante): ...

| 2. | ... |
| --- | --- |

2.

B.   DESCRIÇÃO DA TRANSFERÊNCIA

MÓDULO UM: Transferência entre responsáveis pelo tratamento

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

MÓDULO TRÊS: Transferência entre subcontratantes

MÓDULO QUATRO: Transferência de subcontratante para responsável pelo tratamento

Categorias de titulares de dados cujos dados pessoais são transferidos

...

Categorias de dados pessoais transferidos

...

Dados sensíveis transferidos (se aplicável) e limitações aplicadas ou garantias que tenham plenamente em consideração a natureza dos dados e os riscos inerentes, como, por exemplo, a limitação rigorosa da finalidade, limitações de acesso (incluindo o acesso apenas do pessoal que tenha recebido uma formação especializada), a manutenção de um registo de acesso aos dados, limitações aplicáveis a transferências ulteriores ou medidas de segurança adicionais.

...

A frequência da transferência (por exemplo, se os dados são transferidos de forma pontual ou contínua).

...

Natureza do tratamento

...

Finalidade(s) da transferência e do tratamento posterior dos dados

...

Prazo de conservação dos dados pessoais ou, se não for possível, os critérios usados para definir esse prazo

...

Para as transferências para subcontratantes (ulteriores), especificar também o objeto, a natureza e a duração do tratamento

...

C.   AUTORIDADE DE CONTROLO COMPETENTE

MÓDULO UM: Transferência entre responsáveis pelo tratamento

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

MÓDULO TRÊS: Transferência entre subcontratantes

Identificar a(s) autoridade(s) de controlo competente(s) em conformidade com a cláusula 13

...

---

ANEXO II

MEDIDAS TÉCNICAS E ORGANIZATIVAS, INCLUINDO MEDIDAS TÉCNICAS E ORGANIZATIVAS DESTINADAS A GARANTIR A SEGURANÇA DOS DADOS

MÓDULO UM: Transferência entre responsáveis pelo tratamento

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

MÓDULO TRÊS: Transferência entre subcontratantes

NOTA EXPLICATIVA:

As medidas técnicas e organizativas têm de ser descritas em termos específicos (e não genéricos). Ver também o comentário geral na primeira página do apêndice, em particular sobre a necessidade de indicar claramente as medidas aplicáveis a cada transferência/grupo de transferências.

Descrição das medidas técnicas e organizativas aplicadas pelo(s) importador(es) de dados (incluindo quaisquer certificações pertinentes) para garantir um nível de segurança adequado, tendo em conta a natureza, o âmbito, o contexto e a finalidade do tratamento, e os riscos para os direitos e as liberdades das pessoas singulares.

[Exemplos de eventuais medidas:

Medidas de pseudonimização e de cifragem dos dados pessoais

Medidas destinadas a assegurar a confidencialidade, a integridade, a disponibilidade e a resiliência permanentes dos sistemas e dos serviços de tratamento

Medidas destinadas a restabelecer atempadamente a disponibilidade e o acesso aos dados pessoais em caso de incidente físico ou técnico

Processos para testar, apreciar e avaliar periodicamente a eficácia das medidas técnicas e organizativas a fim de garantir a segurança do tratamento

Medidas de identificação e de autorização do utilizador

Medidas de proteção de dados durante a transmissão

Medidas de proteção de dados durante a conservação

Medidas destinadas a garantir a segurança física dos locais onde os dados pessoais são tratados

Medidas destinadas a assegurar o registo cronológico de acontecimentos

Medidas destinadas a assegurar a configuração do sistema, incluindo a configuração por defeito

Medidas de governação e de gestão interna do serviço informático e do serviço de segurança informática

Medidas de certificação/garantia dos processos e dos produtos

Medidas destinadas a assegurar a minimização dos dados

Medidas destinadas a assegurar a qualidade dos dados

Medidas destinadas a assegurar uma limitação da conservação dos dados

Medidas destinadas a assegurar a responsabilidade

Medidas destinadas a permitir a portabilidade dos dados e a garantir o seu apagamento]

Para transferências para subcontratantes (ulteriores), descrever
  também as medidas técnicas e organizativas específicas a tomar pelo subcontratante (ulterior) para poder prestar assistência ao responsável pelo tratamento e, no caso das transferências de um subcontratante para um subcontratante ulterior, ao exportador de dados

---

ANEXO III

LISTA DE SUBCONTRATANTES ULTERIORES

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

MÓDULO TRÊS: Transferência entre subcontratantes

NOTA EXPLICATIVA:

Este anexo tem de ser preenchido para os módulos dois e três, caso seja concedida uma autorização específica a subcontratantes ulteriores (cláusula 9, alínea a), opção 1).

O responsável pelo tratamento autorizou o recurso aos seguintes subcontratantes ulteriores:

| 1. | Nome: ...
  Endereço: ...
  Nome, cargo e contactos da pessoa de contacto: ...
  Descrição do tratamento (incluindo uma delimitação clara de responsabilidades caso sejam autorizados vários subcontratantes ulteriores): ... |
| --- | --- |

1.

Endereço: ...

Nome, cargo e contactos da pessoa de contacto: ...

Descrição do tratamento (incluindo uma delimitação clara de responsabilidades caso sejam autorizados vários subcontratantes ulteriores): ...

| 2. | ... |
| --- | --- |

2.

---