COMISSÃO EUROPEIA Bruxelas, 10.1.2017 COM(2017) 8 final 2017/0002(COD) Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições, órgãos, organismos e agências da União e à livre circulação desses dados e que revoga o Regulamento (CE) n.º 45/2001 e a Decisão n.º 1247/2002/CE



EXPOSIÇÃO DE MOTIVOS 1.CONTEXTO DA PROPOSTA •Justificação e objetivos da proposta O artigo 16.º, n.º 1, do Tratado sobre o Funcionamento da União Europeia (TFUE), tal como introduzido pelo Tratado de Lisboa, estabelece o princípio de que todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito. Além disso, no artigo 16.º, n.º 2, do TFUE, o Tratado de Lisboa introduziu uma base jurídica específica para a adoção de normas em matéria de proteção de dados pessoais. O artigo 8.º da Carta dos Direitos Fundamentais da União Europeia consagra a proteção de dados pessoais como um direito fundamental. O direito à proteção de dados pessoais também se aplica ao tratamento de dados pessoais por parte de instituições, órgãos, organismos e agências da UE. O Regulamento (CE) n.º 45/2001, o ato principal da atual legislação da UE em matéria de proteção de dados nas instituições da UE, foi adotado em 2001 com dois objetivos: assegurar o direito fundamental à proteção de dados e assegurar a livre circulação de dados pessoais na União. O referido regulamento foi completado pela Decisão n.º 1247/2002/CE. Em 27 de abril de 2016, o Parlamento Europeu e o Conselho adotaram o Regulamento Geral sobre a Proteção de Dados [Regulamento (UE) 2016/679], que será aplicável a partir de 25 de maio de 2018. Este regulamento estabelece que o Regulamento (CE) n.º 45/2001 seja adaptado de acordo com os princípios e normas estabelecidos no Regulamento (UE) 2016/679 para fornecer um quadro de proteção de dados sólido e coerente na União e para possibilitar que ambos os instrumentos sejam aplicados em simultâneo. É considerado consistente com a abordagem coerente da proteção de dados pessoais na União visando alinhar, na medida do possível, as normas de proteção de dados aplicadas pelas instituições, órgãos, organismos e agências da União com as normas de proteção de dados aplicadas a nível dos Estados-Membros. Sempre que as disposições da proposta sejam baseadas no mesmo conceito que as disposições do Regulamento (UE) 2016/679, essas duas disposições devem ser interpretadas homogeneamente, sobretudo porque o sistema da proposta deve ser considerado como equivalente ao sistema do Regulamento (UE) 2016/679. O reexame do Regulamento (CE) n.º 45/2001 também tem em consideração os resultados dos inquéritos e das consultas às partes interessadas, bem como o estudo de avaliação sobre a sua utilização ao longo dos últimos 15 anos. Esta iniciativa não se enquadra no programa para a adequação e a eficácia da regulamentação (REFIT). •Coerência com as disposições em vigor no mesmo domínio de intervenção A proposta visa alinhar as disposições do Regulamento (CE) n.º 45/2001 com os princípios e normas estabelecidos no Regulamento (UE) 2016/679, a fim de estabelecer um quadro de proteção de dados sólido e coerente na União. A proposta também incorpora as normas relevantes estabelecidas no Regulamento (CE) XXXX/XX [Regulamento sobre a privacidade e as comunicações eletrónicas] no que diz respeito à proteção de equipamentos terminais dos utilizadores finais. •Coerência com outras políticas da União Não aplicável. 2.BASE JURÍDICA, SUBSIDIARIEDADE E PROPORCIONALIDADE •Base jurídica A proteção de pessoas singulares no que diz respeito ao tratamento dos seus dados pessoais é um direito fundamental estabelecido no artigo 8.º, n.º 1, da Carta dos Direitos Fundamentais da União Europeia. Esta proposta é baseada no artigo 16.º do TFUE, que constitui a base jurídica para a adoção de normas em matéria de proteção de dados. O referido artigo permite a adoção de normas relacionadas com a proteção de pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições, órgãos, organismos e agências da União no exercício de atividades abrangidas pelo direito da União. Também permite a adoção de normas relativas à livre circulação de dados pessoais tratados por essas instituições, órgãos, organismos e agências. •Subsidiariedade (no caso de competência não exclusiva) O objeto do presente regulamento enquadra-se no domínio da competência exclusiva da União, dado que apenas a União pode adotar normas relativas ao tratamento de dados pessoais por parte das instituições da União.

•Proporcionalidade De acordo com o princípio da proporcionalidade, para atingir os objetivos básicos que garantem um nível equivalente da proteção de pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados na União, é necessário e apropriado estabelecer normas sobre o tratamento de dados pessoais pelas instituições, órgãos, organismos e agências da União. O presente regulamento não excede o necessário para atingir os objetivos preconizados, em conformidade com o artigo 5.º, n.º 4, do Tratado da União Europeia. •Escolha do instrumento Um regulamento é considerado o instrumento jurídico apropriado para definir o quadro de proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições, órgãos, organismos e agências da União e à livre circulação desses dados. Prevê a concessão às pessoas singulares de direitos suscetíveis de proteção judicial, especifica as obrigações em matéria de tratamento de dados dos responsáveis nesse domínio nas instituições, órgãos, organismos e agências da União. Também prevê uma autoridade independente de controlo, ou seja, a Autoridade Europeia para a Proteção de Dados, que é responsável pela supervisão do tratamento de dados pessoais por parte das instituições, órgãos, organismos e agências da União. 3.RESULTADOS DAS AVALIAÇÕES EX POST, DAS CONSULTAS ÀS PARTES INTERESSADAS E DAS AVALIAÇÕES DE IMPACTO A Comissão realizou consultas às partes interessadas em 2010 e 2011,bem como uma avaliação do impacto no contexto da preparação do pacote de reforma legislativa da proteção de dados, que contribuíram para as alterações propostas ao Regulamento (CE) n.º 45/2001. Neste contexto, a Comissão também realizou um inquérito aos coordenadores da proteção de dados da Comissão. No que diz respeito à aplicação prática do Regulamento (CE) n.º 45/2001 pelas instituições, órgãos, organismos e agências da União, as informações foram recolhidas a partir da Autoridade Europeia para a Proteção de Dados (AEPD), de outras instituições, órgãos, organismos e agências da União, de outras DG da Comissão e de um contratante externo. Foi enviado um questionário à rede de responsáveis pela proteção de dados. Os responsáveis pela proteção de dados de várias instituições, órgãos, organismos e agências da União organizaram seminários sobre a reforma do Regulamento 45/2001 em 9 de julho de 2015, 22 de outubro de 2015, 19 de janeiro de 2016 e 15 de março de 2016. Em 2013, a Comissão decidiu realizar um estudo de avaliação sobre a aplicação do Regulamento (CE) n.º 45/2001 até àquele momento, que foi encomendado a um contratante externo. Os resultados finais do estudo de avaliação (relatório final, cinco casos de estudo e análise artigo a artigo) foram submetidos à apreciação da Comissão em 8 de junho de 2015. A avaliação demonstrou que o sistema de governação estruturado em torno dos responsáveis pela proteção de dados e da AEPD é eficaz. Considerou que a partilha de competências entre os responsáveis pela proteção de dados e a AEPD é clara e equilibrada e que dispõem de um conjunto de competências adequadas. Contudo, podem surgir dificuldades devido a uma falta de autoridade decorrente do apoio insuficiente da hierarquia aos responsáveis pela proteção de dados. O estudo de avaliação indicou que o Regulamento (CE) n.º 45/2001 podia ser aplicado de forma mais rigorosa através do recurso a sanções por parte da AEPD. Uma utilização mais determinada dos poderes da respetiva autoridade de controlo poderia resultar numa melhor aplicação das normas de proteção de dados. Outra conclusão foi que os responsáveis pelos dados devem adotar um método de gestão dos riscos e efetuar avaliações de riscos antes de realizar operações de tratamento, de forma a aplicar da melhor forma os requisitos de conservação de dados e de segurança. O estudo também assinalou que as normas do capítulo IV do Regulamento (CE) n.º 45/2001 sobre o sector das telecomunicações estão desatualizadas e que é necessário alinhar esse capítulo com a Diretiva sobre a privacidade e as comunicações eletrónicas. De acordo com o estudo de avaliação, existe ainda a necessidade de clarificar algumas definições essenciais do Regulamento (CE) n.º 45/2001. Estas definições incluem a identificação dos responsáveis pelos dados nas instituições, órgãos, organismos e agências da União, a definição dos destinatários e a extensão da obrigação de confidencialidade a subcontratantes externos. O estudo de avaliação também mencionou a necessidade de simplificar o regime de notificações e controlos prévios para aumentar a eficácia e reduzir os encargos administrativos. O avaliador efetuou um inquérito em linha em 64 instituições, órgãos, organismos e agências da União. Responderam às perguntas do inquérito 422 funcionários responsáveis pelo tratamento de dados, 73 responsáveis pela proteção de dados, 118 coordenadores da proteção de dados e 109 representantes de empresas de tecnologias da informação. O avaliador também efetuou uma série de entrevistas às partes interessadas. Em 26 de março de 2015, o avaliador e a Comissão organizaram uma reunião final na qual participaram vários responsáveis pelos dados, responsáveis pela proteção de dados, coordenadores da proteção de dados, representantes de empresas de tecnologias da informação e representantes da AEPD. •Obtenção e utilização de competências especializadas Consultar o estudo de avaliação no ponto anterior. •Avaliação de impacto O impacto da presente proposta incide sobretudo nas instituições, órgãos, organismos e agências da União. Esta situação foi confirmada por informações recolhidas junto da AEPD, de outras instituições, órgãos, organismos e agências da União, das DG da Comissão e do contratante externo. Além disso, o impacto das novas obrigações resultantes do Regulamento (UE) 2016/679, com o qual o presente regulamento deve ser alinhado, foi avaliado no contexto dos trabalhos preliminares respeitantes a este último instrumento. por conseguinte, é desnecessária uma avaliação de impacto específica para o presente regulamento. •Adequação e simplificação da legislação Não aplicável.

•Direitos fundamentais O direito à proteção de dados pessoais encontra-se estabelecido no artigo 8.º da Carta dos Direitos Fundamentais da União Europeia (Carta), no artigo 16.º do TFUE e no artigo 8.º da Convenção Europeia dos Direitos do Homem. Conforme salientado pelo Tribunal de Justiça da União Europeia, o direito à proteção de dados pessoais não é absoluto, mas deve ser considerado em relação à sua função na sociedade. A proteção de dados também está profundamente relacionada com o respeito pela vida privada e familiar, protegido pelo artigo 7.º da Carta. A presente proposta estabelece normas para a proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições, órgãos, organismos e agências da União e à livre circulação desses dados. Outros direitos fundamentais consagrados na Carta suscetíveis de serem afetados são: a liberdade de expressão (artigo 11.º); o direito à propriedade e, em particular, à proteção da propriedade intelectual (artigo 17.º, n.º 2); a proibição de discriminação em razão da raça, origem étnica, características genéticas, religião ou convicções, opiniões políticas ou outras, deficiência ou orientação sexual (artigo 21.º); os direitos da criança (artigo 24.º); o direito a um elevado nível de proteção da saúde humana (artigo 35.º); o direito de acesso aos documentos (artigo 42.º); e o direito à ação e a um tribunal imparcial (artigo 47.º). 4.INCIDÊNCIA ORÇAMENTAL Consultar a ficha financeira apresentada em anexo. 5.OUTROS ELEMENTOS •Planos de execução e acompanhamento, avaliação e prestação de informações Não aplicável. •Documentos explicativos (para as diretivas) Não aplicável. CAPÍTULO I – DISPOSIÇÕES GERAIS O artigo 1.º define o objeto do regulamento e, tal como no artigo 1.º do Regulamento (CE) n.º 45/2001, estabelece os dois objetivos do regulamento: a proteção do direito fundamental à proteção de dados e assegurar a livre circulação de dados pessoais na União. Prevê igualmente as principais atribuições da Autoridade Europeia para a Proteção de Dados. O artigo 2.º determina o âmbito de aplicação do regulamento: deve aplicar-se ao tratamento de dados pessoais por meios automatizados ou outros, por todas as instituições e organismos da União, na medida em que esse tratamento seja efetuado para o exercício de atividades abrangidas total ou parcialmente pelo direito da União. O âmbito de aplicação material do presente regulamento é neutro do ponto de vista tecnológico. A proteção de dados pessoais aplica-se ao seu tratamento por meios automatizados, bem como ao tratamento manual, se os dados pessoais estiverem contidos ou se forem destinados a um sistema de ficheiros. O artigo 3.º contém as definições dos termos utilizados no regulamento. Para além das definições de «instituições e organismos da União», «responsável pelo tratamento», «utilizador» e «lista», que são específicas do presente regulamento, os termos utilizados no presente regulamento são definidos no Regulamento (UE) 2016/679, no Regulamento (UE) 0000/00 [novo regulamento sobre a privacidade e as comunicações eletrónicas], na Diretiva 00/0000/UE [Diretiva que estabelece o Código Europeu de Comunicações Eletrónicas] e na Diretiva da Comissão 2008/63/CE. CAPÍTULO II – PRINCÍPIOS O artigo 4.º enuncia os princípios relativos ao tratamento de dados pessoais, que correspondem aos previstos no artigo 5.º do Regulamento (UE) 2016/679. Comparativamente ao Regulamento (CE) n.º 45/2001, acrescenta os novos princípios de transparência, de integridade e confidencialidade. O artigo 5.º é baseado no artigo 6.º do Regulamento (UE) 2016/679 e estabelece os critérios para o tratamento lícito, com a única exceção dos critérios do interesse legítimo do responsável pelo tratamento, que não são aplicáveis ao sector público e, como tal, não se aplicam às instituições e organismos da União. O artigo 5.º retoma os critérios já estabelecidos ao abrigo do artigo 5.º do Regulamento (CE) n.º 45/2001. O artigo 6.º clarifica as condições que determinam o tratamento para outras finalidades compatíveis, em conformidade com o artigo 6.º, n.º 4, do Regulamento (UE) 2016/679. Comparativamente ao artigo 6.º do Regulamento (CE) n.º 45/2001, esta nova disposição confere mais flexibilidade e segurança jurídica no que se refere ao tratamento posterior para fins de compatibilidade. O artigo 7.º clarifica, de acordo com o artigo 7.º do Regulamento (UE) 2016/679, as condições para que o consentimento seja válido enquanto fundamento jurídico para o tratamento lícito.

O artigo 8.º estabelece, de acordo com o artigo 8.º do Regulamento (UE) 2016/679, condições suplementares aplicáveis à licitude do tratamento de dados pessoais de crianças em relação aos serviços da sociedade da informação que lhes são diretamente propostos. Estabelece os 13 anos como a idade mínima de uma criança para que o consentimento seja válido. O artigo 9.º estabelece, de acordo com o artigo 8.º do Regulamento (CE) n.º 45/2001, normas que fornecem um nível específico de proteção na transmissão de dados pessoais a destinatários, diferentes das instituições e organismos da União, estabelecidos na União e sujeitos ao Regulamento (UE) 2016/679 ou à Diretiva (UE) 2016/680. Clarifica que, nos casos em que o responsável pelo tratamento inicia a transmissão, deve demonstrar a necessidade e a proporcionalidade da transmissão. O artigo 10.º estabelece a proibição geral de tratamento de categorias especiais de dados pessoais e as exceções a esta regra geral, com base no artigo 9.º do Regulamento (UE) 2016/679, e adicionalmente com base no artigo 10.º do Regulamento (CE) n.º 45/2001. O artigo 11.º estabelece, de acordo com o artigo 10.º do Regulamento (UE) 2016/679 e, em conformidade com o artigo 10.º, n.º 5, do Regulamento (CE) n.º 45/2001, as condições para o tratamento de dados pessoais relacionados com condenações penais e infrações. O artigo 12.º clarifica as obrigações de informação pelo responsável pelo tratamento para com o titular dos dados, em conformidade com o artigo 11.º do Regulamento (UE) 2016/679, desde que, quando os dados pessoais tratados por um responsável não permitirem a este último identificar uma pessoa singular, esse responsável não deve ser obrigado a obter informações adicionais para identificar os dados com o único objetivo de dar cumprimento a qualquer disposição do presente regulamento. Todavia, o responsável pelo tratamento não deve recusar receber informações suplementares fornecidas pelo titular dos dados no intuito de apoiar o exercício dos seus direitos. O artigo 13.º estabelece, com base no artigo 89.º, n.º 1, do Regulamento (UE) 2016/679, as normas sobre garantias relativas ao tratamento para fins de arquivo de interesse público, de investigação científica ou histórica ou para fins estatísticos. CAPÍTULO III - DIREITOS DO TITULAR DOS DADOS Secção 1 – Transparência e regras O artigo 14.º introduz, com base no artigo 12.º do Regulamento (UE) 2016/679, a obrigação de os responsáveis pelo tratamento fornecerem informações transparentes, de fácil acesso e compreensão, bem como os procedimentos e mecanismos para o exercício dos direitos pelo titular dos dados, incluindo, quando apropriado, meios para pedidos por via eletrónica que requeiram resposta ao interessado dentro de um prazo fixado, e os motivos da recusa. Dado que as instituições e organismos da União não devem cobrar, em circunstância alguma, taxas relativas a custos administrativos para o fornecimento de informações, esta possibilidade não foi retomada do Regulamento (UE) 2016/679. Secção 2 – Informação e acesso aos dados pessoais O artigo 15.º especifica as obrigações de informação pelo responsável pelo tratamento para com o titular dos dados quando os dados pessoais são recolhidos junto do titular, com base no artigo 13.º do Regulamento (UE) 2016/679 e adicionalmente com base no artigo 11.º do Regulamento (CE) n.º 45/2001, ao fornecer informações ao titular dos dados, incluindo sobre o período de conservação, o direito de apresentar uma reclamação e em relação a transferências internacionais. O artigo 16.º especifica mais em pormenor, com base no artigo 14.º do Regulamento (UE) 2016/679 e adicionalmente com base no artigo 12.º do Regulamento (CE) n.º 45/2001, as obrigações de informação pelo responsável pelo tratamento para com o titular dos dados quando os dados pessoais não foram obtidos do titular dos dados, fornecendo informação à fonte a partir da qual os dados são gerados. Também retoma as derrogações previstas no Regulamento (UE) 2016/679, por exemplo a inexistência de qualquer obrigação caso o titular dos dados já tenha tal informação, a prestação dessa informação se revele impossível ou implique um esforço desproporcionado para o responsável pelo tratamento, nos casos em que os dados pessoais devem manter-se confidenciais em virtude de uma obrigação de sigilo profissional regulada pelo direito da União ou o registo ou a comunicação se encontre expressamente previsto por lei. Tal pode ser aplicado, por exemplo, aos serviços competentes da segurança social ou de saúde. O artigo 17.º prevê, em conformidade com o artigo 15.º do Regulamento (UE) 2016/679 e adicionalmente com base no artigo 13.º do Regulamento (CE) n.º 45/2001, o direito de acesso do titular dos dados aos seus dados pessoais, e acrescenta novos elementos, tais como a obrigação de informar os titulares dos dados sobre o período de conservação, os direitos de retificação, de apagamento e de apresentação de reclamação. Secção 3 – Retificação e apagamento O artigo 18.º estabelece o direito do titular dos dados à retificação, com base no artigo 16.º do Regulamento (UE) 2016/679 e adicionalmente com base no artigo 14.º do Regulamento (CE) n.º 45/2001. O artigo 19.º estabelece, em conformidade com o artigo 17.º do Regulamento (UE) 2016/679 e adicionalmente com base no artigo 16.º do Regulamento (CE) n.º 45/2001, o direito do titular dos dados a ser esquecido e ao apagamento. Prevê as condições sobre o direito a ser esquecido, incluindo a obrigação do responsável pelo tratamento que tornou públicos os dados pessoais de informar os terceiros sobre o pedido do interessado de apagamento de quaisquer ligações para esses dados, ou cópias ou reproduções que tenham sido efetuadas. O artigo 20.º introduz o direito à limitação do tratamento em determinados casos, evitando o termo ambíguo de «bloqueio» utilizado no Regulamento (CE) n.º 45/2001 e garantindo a coerência com a nova terminologia ao abrigo do artigo 18.º do Regulamento (UE) 2016/679. O artigo 21.º prevê, com base no artigo 19.º do Regulamento (UE) 2016/679 e adicionalmente com base no artigo 17.º do Regulamento (CE) n.º 45/2001, a obrigação do responsável pelo tratamento de comunicar aos destinatários aos quais os dados pessoais foram divulgados qualquer retificação ou apagamento dos dados pessoais ou limitação, exceto se for considerado impossível ou envolver um esforço desproporcionado. O responsável pelo tratamento também deve informar o titular dos dados sobre esses destinatários, caso o solicite. O artigo 22.º introduz, em conformidade com o artigo 20.º do Regulamento (UE) 2016/679, o direito do titular dos dados à portabilidade dos dados, ou seja, o direito a receber os dados pessoais que lhe digam respeito, que tenha fornecido a um responsável pelo tratamento, ou a que esses dados pessoais sejam transmitidos diretamente a outro responsável pelo tratamento, sempre que seja tecnicamente possível. Como condição prévia, e para melhorar o acesso das pessoas singulares aos dados pessoais que lhe digam respeito, prevê o direito de obter esses dados do responsável pelo tratamento num formato estruturado, de uso corrente e de leitura automática. Este direito só se aplica nos casos em que o tratamento é baseado no consentimento do titular dos dados ou num contrato celebrado por esse titular. Secção 4 - Direito de oposição e decisões individuais automatizadas

O artigo 23.º prevê o direito de oposição do titular dos dados, com base no artigo 21.º do Regulamento (UE) 2016/679 e adicionalmente com base no artigo 18.º do Regulamento (CE) n.º 45/2001. O artigo 24.º diz respeito ao direito de o titular dos dados não ser objeto de uma medida com base somente no tratamento automatizado, incluindo definição de perfis, em consonância com o artigo 22.º do Regulamento (UE) 2016/679 e adicionalmente com base no artigo 19.º do Regulamento (CE) n.º 45/2001. Secção 5 - Limitações O artigo 25.º permite limitações dos direitos do titular dos dados estabelecidos nos artigos 14.º a 22.º, e nos artigos 34.º e 38.º, e dos princípios estabelecidos no artigo 4.º (na medida em que tais disposições correspondam aos direitos e obrigações previstos nos artigos 14.º a 22.º). Essas limitações devem ser estabelecidas em atos legais adotados com base nos Tratados ou nos regulamentos internos das instituições e organismos da União. Caso não seja fornecida uma possibilidade dessa limitação nos atos jurídicos adotados com base nos Tratados ou nos regulamentos internos das instituições e organismos da União, os últimos poderão impor uma restrição ad hoc, desde que respeite a essência dos direitos e liberdades fundamentais, em relação a uma operação de tratamento específica, e seja uma medida necessária e proporcionada numa sociedade democrática para salvaguardar um ou mais objetivos que permitem as restrições aos direitos dos titulares dos dados. Esta abordagem é conforme com o artigo 23.º do Regulamento (UE) 2016/679, mas em contraste com este último artigo e em conformidade com o artigo 20.º do Regulamento (CE) n.º 45/2001, a disposição não confere a possibilidade de restringir o direito de oposição e o direito de não ser objeto de decisões baseadas unicamente no tratamento automatizado. Os requisitos das limitações estão em conformidade com a Carta dos Direitos Fundamentais e a Convenção Europeia dos Direitos do Homem, conforme interpretado pelo Tribunal de Justiça da União Europeia e o Tribunal Europeu dos Direitos do Homem, respetivamente. CAPÍTULO IV – RESPONSÁVEL PELO TRATAMENTO E SUBCONTRATANTE Secção 1 – Obrigações gerais O artigo 26.º tem por base o artigo 24.º do Regulamento (UE) 2016/679 e introduz o «princípio da responsabilidade», ao descrever a obrigação de responsabilidade do responsável pelo tratamento para dar cumprimento ao presente regulamento e comprovar a sua observância, incluindo através da adoção de medidas técnicas e organizativas apropriadas e, quando adequado, de políticas e procedimentos internos para garantir essa conformidade. O artigo 24.º, n.º 3, do Regulamento (UE) 2016/679 não foi retomado nesta disposição, dado que as instituições e organismos da União não devem aderir a códigos de conduta ou procedimentos de certificação. O artigo 27.º estabelece, em conformidade com o artigo 25.º do Regulamento (UE) 2016/679, as obrigações do responsável pelo tratamento decorrentes dos princípios de proteção de dados desde a conceção e por defeito. O artigo 28.º relativo aos responsáveis conjuntos pelo tratamento tem por base o artigo 26.º do Regulamento (UE) 2016/679 e visa clarificar as responsabilidades dos responsáveis conjuntos pelo tratamento - sejam estes as instituições ou organismos da União - relativamente às relações internas e face ao titular dos dados. Esta disposição regula a situação em que todos os responsáveis conjuntos pelo tratamento são abrangidos pelo mesmo regime jurídico (o presente regulamento) e outros por um instrumento jurídico diferente [Regulamento (UE) 2016/679, Diretiva (UE) 2016/680, Diretiva (UE) 2016/681 e outros regimes específicos de proteção de dados relacionados com as instituições ou organismos da União]. O artigo 29.º tem por base o artigo 28.º do Regulamento (UE) 2016/679 e ainda desenvolve o artigo 23.º do Regulamento (CE) n.º 45/2001, e visa clarificar a posição e as obrigações dos subcontratantes, incluindo a determinação de que um subcontratante que infringe o regulamento ao determinar as finalidades e os meios do tratamento deve ser considerado responsável pelo tratamento em relação a esse tratamento. O artigo 30.º relativo ao tratamento sob a autoridade do responsável pelo tratamento e do subcontratante é baseado no artigo 29.º do Regulamento (UE) 2016/679, e estabelece uma proibição para o subcontratante ou qualquer pessoa que atua sob a autoridade do responsável pelo tratamento ou do subcontratante, e que tenha acesso a dados pessoais para proceder ao tratamento desses dados exceto por instrução do responsável pelo tratamento, salvo se a tal for obrigado por força do direito da União ou dos Estados-Membros. O artigo 31.º tem por base o artigo 30.º do Regulamento (UE) 2016/679, e introduz a obrigação dos responsáveis pelo tratamento e subcontratantes de manter a documentação das operações de tratamento sob a sua responsabilidade, ao invés de uma notificação prévia da AEPD, conforme exigido pelo artigo 25.º do Regulamento (CE) n.º 45/2001 e do registo do encarregado da proteção de dados. Em contraste com o Regulamento (UE) 2016/679, esta disposição não faz referência aos representantes, uma vez que as instituições da União não têm representantes e terão sempre encarregados da proteção de dados. As referências a transferências com base em derrogações para situações específicas como no Regulamento (UE) 2016/679 não foram mantidas, uma vez que esses tipos de transferências não são previstos no presente regulamento. A obrigação de manter um registo das atividades de tratamento pode ser centralizada ao nível de uma instituição ou organismo da União. Nesse caso, as instituições e organismos da União têm a possibilidade de manter os seus registos de atividades de tratamento na forma de um registo de acesso público. O artigo 32.º clarifica, com base no artigo 31.º do Regulamento (UE) 2016/679, as obrigações das instituições e organismos da União a nível da cooperação com a AEPD. Secção 2 – Segurança dos dados pessoais e confidencialidade das comunicações eletrónicas O artigo 33.º obriga, em conformidade com o artigo 32.º do Regulamento (UE) 2016/679 e adicionalmente com base no artigo 22.º do Regulamento (CE) n.º 45/2001, o responsável pelo tratamento a aplicar medidas apropriadas para a segurança do tratamento, alargando essa obrigação a subcontratantes, independentemente do contrato com o responsável pelo tratamento. O artigo 34.º tem por base o artigo 36.º do Regulamento (CE) n.º 45/2001 e garante a confidencialidade das comunicações eletrónicas dentro das instituições e organismos da União. O artigo 35.º tem por base a prática existente das instituições e organismos da União e protege a informação relacionada com o equipamento terminal dos utilizadores finais que acedem a sítios Web e aplicações móveis acessíveis ao público proporcionados pelas instituições e organismos da União, em conformidade com o Regulamento (UE) XXXX/XX [novo Regulamento sobre a privacidade e as comunicações eletrónicas], sobretudo o artigo 8.º. O artigo 36.º é baseado no artigo 38.º do Regulamento (CE) n.º 45/2001 e protege os dados pessoais mantidos em listas públicas e privadas das instituições e organismos da União. Os artigos 37.º e 38.º introduzem uma obrigação de notificar as violações de dados pessoais, em conformidade com os artigos 33.º e 34.º do Regulamento (UE) 2016/679. Secção 3 - Avaliação de impacto sobre a proteção de dados e consulta prévia

O artigo 39.º tem por base o artigo 35.º do Regulamento (UE) 2016/679 e introduz a obrigação dos responsáveis pelo tratamento e dos subcontratantes de efetuarem uma avaliação de impacto sobre a proteção de dados antes das operações de tratamento, que são suscetíveis de resultar num elevado risco para os direitos e liberdades das pessoas singulares. Esta obrigação é aplicada, em particular, no caso da avaliação sistemática e completa dos aspetos pessoais relacionados com pessoas singulares, que são baseados no tratamento automatizado, incluindo a definição de perfis, as operações de tratamento em grande escala de categorias especiais de dados ou o controlo sistemático de zonas acessíveis ao público em grande escala. O artigo 40.º é baseado no artigo 36.º do Regulamento (UE) 2016/679 e está relacionado com os casos em que a autorização por parte da AEPD e a sua consulta é obrigatória antes do tratamento. Contudo, o n.° 1 do artigo 40.º reproduz o considerando 94 do Regulamento (UE) 2016/679 e visa clarificar o âmbito da obrigação da consulta. Secção 4 - Informação e consulta legislativa O artigo 41.º determina que as instituições e organismos da União devem informar a AEPD ao elaborarem as medidas administrativas e os regulamentos internos respetivos ao tratamento de dados pessoais. O artigo 42.º prevê que a Comissão deve consultar a AEPD, após a adoção das propostas de um ato legislativo e das recomendações ou propostas ao Conselho, nos termos do artigo 218.º do TFUE, ou durante a preparação de atos delegados ou atos de execução que têm um impacto sobre a proteção dos direitos e liberdades das pessoas singulares no que diz respeito ao tratamento de dados pessoais. Quando esses atos têm uma importância particular para a proteção dos direitos e liberdades das pessoas singulares no que diz respeito ao tratamento de dados pessoais, a Comissão pode também consultar o Comité Europeu para a Proteção de Dados. Nesses casos, ambas as entidades devem coordenar o seu trabalho para emitirem uma opinião conjunta. É estabelecido um limite temporal de oito semanas para a emissão do parecer nos casos supramencionados, com derrogações previstas para casos urgentes e quando for apropriado, por exemplo quando a Comissão está a preparar atos delegados e atos de execução. Secção 5 – Dever de resposta a alegações O artigo 43.º estabelece a obrigação de os responsáveis pelo tratamento e o subcontratante reagirem às alegações após a AEPD ter decidido remeter-lhes uma questão. Secção 6 – Encarregado da proteção de dados O artigo 44.º tem por base o artigo 37.º, n.º 1, alínea a), do Regulamento (UE) 2016/679 e o artigo 24.º do Regulamento (CE) n.º 45/2001, e prevê a designação de um encarregado da proteção de dados obrigatório para as instituições e organismos da União. O artigo 45.º tem por base o artigo 38.º do Regulamento (UE) 2016/679 e o artigo 24.º do Regulamento (CE) n.º 45/2001, e estabelece a posição do encarregado da proteção de dados. O artigo 46.º tem por base o artigo 39.º do Regulamento (UE) 2016/679 e o artigo 24.º do Regulamento (CE) n.º 45/2001, bem como e os n.os 2 e 3 do anexo deste último regulamento, e prevê as funções principais do encarregado da proteção de dados. CAPÍTULO V – TRANSFERÊNCIAS DE DADOS PESSOAIS PARA PAÍSES TERCEIROS OU ORGANIZAÇÕES INTERNACIONAIS O artigo 47.º tem por base e aprofunda o artigo 9.º do Regulamento (CE) n.º 45/2001, bem como estabelece o princípio geral, em conformidade com o artigo 44.º do Regulamento (UE) 2016/679, de que a conformidade com outras disposições do presente regulamento e as condições estabelecidas no capítulo V são obrigatórias para todas as transferências de dados pessoais para países terceiros ou organizações internacionais, incluindo para transferências ulteriores de dados pessoais do país terceiro ou de uma organização internacional para outro país terceiro ou para outra organização internacional. O artigo 48.º estabelece que uma transferência de dados pessoais para um país terceiro ou organização internacional pode ocorrer quando a Comissão tiver decidido, em conformidade com o artigo 45.º, n.º 3, do Regulamento (UE) 2016/679, que é garantido um nível adequado de proteção no país terceiro, num território ou num ou mais sectores específicos dentro desse país terceiro ou dentro da organização internacional e que os dados pessoais são transferidos unicamente para permitir o desempenho de funções da competência do responsável pelo tratamento. Os n.os 2 e 3 deste artigo foram transpostos do artigo 9.º do Regulamento (CE) n.º 45/2001, uma vez que são elementos úteis para o controlo do nível de proteção em países terceiros e organizações internacionais. O artigo 49.º tem por base o artigo 46.º do Regulamento (UE) 2016/679 e exige, para as transferências para países terceiros quando não tenha sido adotada pela Comissão uma decisão sobre a adequação do nível de proteção, que sejam apresentadas garantias adequadas, em especial cláusulas-tipo de proteção de dados e cláusulas contratuais. Podem ser utilizadas regras vinculativas aplicáveis às empresas, códigos de conduta e procedimentos de certificação, em conformidade com o Regulamento (UE) 2016/679, por subcontratantes diferentes de instituições e organismos da União. O n.° 4 deste artigo prevê a obrigação de instituições e organismos da União informarem a AEPD sobre as categorias de casos em que aplicaram este artigo, correspondendo ao artigo 9.º, n.º 8, do Regulamento (CE) n.º 45/2001, sendo mantido devido à sua especificidade. O n.° 5 tem por base a manutenção das autorizações em vigor estabelecidas no artigo 46.º, n.º 5, do Regulamento (UE) 2016/679. O artigo 50.º clarifica, em conformidade com o artigo 48.º do Regulamento (UE) 2016/679, que as decisões judiciais ou as decisões de autoridades administrativas de países terceiros que exijam uma transferência ou divulgação de dados pessoais só são reconhecidas ou executadas se tiverem por base um acordo internacional, designadamente um acordo de assistência judiciária mútua, em vigor entre o país terceiro em causa e a União, sem prejuízo de outros motivos de transferência nos termos deste capítulo. O artigo 51.º tem por base o artigo 49.º do Regulamento (UE) 2016/679, e define e clarifica as derrogações para uma transferência de dados. Esta disposição é especialmente aplicável às transferências de dados exigidas e necessárias por razões de proteção de interesses públicos importantes, por exemplo em caso de transferências internacionais de dados que envolvem autoridades da concorrência, fiscais ou aduaneiras, ou entre serviços competentes em matéria de segurança social ou de gestão das atividades da pesca. O n.° 5 prevê a obrigação de informar a AEPD das categorias de casos nos quais foram invocadas derrogações para uma transferência, correspondendo ao atual artigo 9.º, n.º 8, do Regulamento (CE) n.º 45/2001. O artigo 52.º tem por base o artigo 50.º do Regulamento (UE) 2016/679, e prevê expressamente os procedimentos de cooperação internacional para a proteção de dados entre a AEPD, em cooperação com a Comissão e o Comité Europeu para a Proteção de Dados, e as autoridades de controlo de países terceiros. CAPÍTULO VI - AUTORIDADE EUROPEIA PARA A PROTECÇÃO DE DADOS O artigo 53.º tem por base o artigo 41.º do Regulamento (CE) n.º 45/2001, e diz respeito ao estabelecimento da AEPD.

O artigo 54.º tem por base o artigo 42.º do Regulamento (CE) n.º 45/2001 e o artigo 3.º da Decisão 1247/2002/CE, e estabelece as normas para a nomeação da AEPD pelo Parlamento Europeu e o Conselho. Também especifica a duração do respetivo mandato, ou seja, cinco anos. O artigo 55.º tem por base o artigo 43.º do Regulamento (CE) n.º 45/2001 e o artigo 1.º da Decisão 1247/2002/CE, e prevê o estatuto e as condições gerais de exercício das funções da AEPD, bem como diz respeito aos seus colaboradores e recursos financeiros. O artigo 56.º tem por base o artigo 52.º do Regulamento (UE) 2016/679 e o artigo 44.º do Regulamento (CE) n.º 45/2001, e clarifica as condições que garantem a independência da AEPD, tendo em consideração a jurisprudência do Tribunal de Justiça da União Europeia. O artigo 57.º estabelece, com base no artigo 45.º do Regulamento (CE) n.º 45/2001, as obrigações de sigilo da AEPD durante e após o mandato, relativamente às informações confidenciais a que tenha tido acesso durante o desempenho das suas funções. O artigo 58.º tem por base o artigo 57.º do Regulamento (UE) 2016/679 e o artigo 46.º do Regulamento (CE) n.º 45/2001, e estabelece as atribuições da AEPD, incluindo receber e examinar reclamações e sensibilizar o público para os riscos, normas, garantias e direitos existentes. O artigo 59.º tem por base o artigo 58.º do Regulamento (UE) 2016/679 e o artigo 47.º do Regulamento (CE) n.º 45/2001, e estabelece os poderes da AEPD. O artigo 60.º tem por base o artigo 59.º do Regulamento (UE) 2016/679 e o artigo 48.º do Regulamento (CE) n.º 45/2001, e estabelece a obrigação de a AEPD elaborar um relatório anual de atividades. CAPÍTULO VII – COOPERAÇÃO E COERÊNCIA O artigo 61.º tem por base o artigo 61.º do Regulamento (UE) 2016/679 e o artigo 46.º, alínea f), do Regulamento (CE) n.º 45/2001, e introduz normas explícitas sobre a cooperação da AEPD com as autoridades nacionais de controlo. O artigo 62.º prevê as obrigações da AEPD, sempre que outros atos da União remetem para este artigo no quadro de supervisão coordenada com as autoridades nacionais de controlo. Visa aplicar um modelo único de supervisão coordenada. Este modelo pode ser utilizado para uma supervisão coordenada de grandes sistemas informáticos, tais como o Eurodac, o Sistema de Informação de Schengen II, o Sistema de Informação sobre Vistos, o Sistema de Informação Aduaneiro ou o Sistema de Informação do Mercado Interno, mas também para a supervisão de algumas agências da União, nos casos em que é estabelecido um modelo específico de cooperação entre a AEPD e as autoridades nacionais, designadamente a Europol. O Comité Europeu para a Proteção de Dados deve constituir uma instância única para garantir a eficácia do controlo coordenado a todos os níveis. CAPÍTULO VIII - VIAS DE RECURSO, RESPONSABILIDADE E SANÇÕES O artigo 63.º tem por base o artigo 77.º do Regulamento (UE) 2016/679 e o artigo 32.º do Regulamento (CE) n.º 45/2001, e prevê o direito de qualquer titular dos dados de apresentar uma reclamação à AEPD. Estabelece ainda a obrigação da AEPD de contactar e informar o titular dos dados sobre os progressos e o resultado da reclamação no prazo de três meses, período após o qual a reclamação é considerada indeferida. O artigo 64.º retoma o artigo 32.º, n.º 1, do Regulamento (CE) n.º 45/2001, que estabelece a competência do Tribunal de Justiça da União Europeia para apreciar todos os litígios relativos a disposições do presente regulamento, incluindo ações de indemnização. O artigo 65.º estabelece o direito de obter uma indemnização, para danos materiais e não materiais, sob reserva das condições previstas nos Tratados, incluindo em matéria de responsabilidade. O artigo 66.º tem por base o artigo 83.º do Regulamento (UE) 2016/679, conferindo à AEPD a competência para impor coimas às instituições e organismos da União, como medida de último recurso e apenas nos casos em que as instituições e organismos da União não cumpriram uma ordem da AEPD mencionada no artigo 59.º, n.º 2, alíneas a) a h) e alínea j). Este artigo também especifica os critérios para decidir do montante da coima em cada caso individual, sendo que os montantes anuais máximos se inspiram nos montantes das coimas aplicadas em alguns Estados-Membros. O artigo 67.º permite, em conformidade com o artigo 80.º, n.º 1, do Regulamento (UE) 2016/679, que determinados organismos, organizações ou associações apresentem uma reclamação em nome do titular dos dados. O artigo 68.º prevê, em conformidade com o artigo 33.º do Regulamento (CE) n.º 45/2001, normas específicas destinadas a proteger os membros do pessoal da União que apresentam uma reclamação à AEPD relativa a uma alegada violação das disposições do presente regulamento, sem passar pela via oficial. O artigo 69.º tem por base o artigo 49.º do Regulamento (CE) n.º 45/2001, e prevê as sanções aplicáveis à inobservância de obrigações do presente regulamento por funcionários ou outros agentes da União Europeia. CAPÍTULO IX - ATOS DE EXECUÇÃO O artigo 70.º contém a disposição relativa ao procedimento de comité necessário para conferir competências de execução à Comissão sempre que, em conformidade com o artigo 291.º do TFUE, são necessárias condições uniformes para a execução de atos juridicamente vinculativos da União Europeia. Aplica-se o procedimento de exame.

CAPÍTULO X - DISPOSIÇÕES FINAIS O artigo 71.º revoga o Regulamento (CE) n.º 45/2001 e a Decisão n.º 1247/2002/CE, e prevê que as referências aos dois instrumentos revogados devem entender-se como feitas para o presente regulamento. O artigo 72.º clarifica que os mandatos atuais da Autoridade Europeia para a Proteção de Dados e da Autoridade-Adjunta não devem ser afetados pelo presente regulamento e que o artigo 54.º, n.os 4, 5 e 7 e os artigos 56.º e 57.º do regulamento são aplicáveis à atual Autoridade-Adjunta até ao final do seu mandato, ou seja, 5 de dezembro de 2019. O artigo 73.º estabelece 25 de maio de 2018 como a data de entrada em vigor do presente regulamento, de forma a garantir a coerência com a data de aplicação do Regulamento (UE) 2016/679. 2017/0002 (COD) Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições, órgãos, organismos e agências da União e à livre circulação desses dados e que revoga o Regulamento (CE) n.º 45/2001 e a Decisão n.º 1247/2002/CE O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA, Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 16.º, n.º 2, Tendo em conta a proposta da Comissão Europeia, Após transmissão do projeto de ato legislativo aos parlamentos nacionais, Tendo em conta o parecer do Comité Económico e Social Europeu, Deliberando de acordo com o processo legislativo ordinário, Considerando o seguinte: (1)A proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais é um direito fundamental. O artigo 8.º, n.º 1, da Carta dos Direitos Fundamentais da União Europeia («Carta») e o artigo 16.º, n.º 1, do Tratado sobre o Funcionamento da União Europeia (TFUE) estabelecem que todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito. (2)O Regulamento (CE) n.º 45/2001 do Parlamento Europeu e do Conselho confere às pessoas singulares direitos suscetíveis de proteção judicial, especifica as obrigações em matéria de tratamento de dados dos responsáveis pelo tratamento a nível das instituições e órgãos comunitários, e cria uma autoridade de controlo independente, a Autoridade Europeia para a Proteção de Dados, responsável pelo controlo do tratamento de dados pessoais pelas instituições e órgãos da União. Contudo, não se aplica ao tratamento de dados pessoais efetuado no exercício de uma atividade das instituições e órgãos da União que se encontre fora do âmbito de aplicação do direito da União. (3)O Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho e a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho foram adotados em 27 de abril de 2016. Enquanto o regulamento estabelece normas gerais para proteger as pessoas singulares no que diz respeito ao tratamento de dados pessoais e assegurar a livre circulação de dados pessoais na União, a diretiva estabelece as normas específicas para proteger as pessoas singulares no que diz respeito ao tratamento de dados pessoais e assegurar a livre circulação de dados pessoais na União nos domínios da cooperação judiciária em matéria penal e da cooperação policial. (4)O Regulamento (UE) 2016/679 salienta que devem ser realizadas as necessárias adaptações do Regulamento (CE) n.º 45/2001, a fim de prever um quadro de proteção de dados sólido e coerente na União e permitir a aplicação em simultâneo com o Regulamento (UE) 2016/679. (5)É no interesse de uma abordagem coerente à proteção de dados pessoais em toda a União e da livre circulação de dados pessoais na União, harmonizar o mais possível as normas de proteção de dados adotadas a nível das instituições e organismos da União com as normas de proteção de dados adotadas para o sector público nos Estados-Membros. Sempre que as disposições do presente regulamento sejam baseadas no mesmo conceito que as disposições do Regulamento (UE) 2016/679, essas duas disposições devem ser interpretadas de forma homogénea, sobretudo porque o sistema do presente regulamento deve ser entendido como equivalente ao sistema do Regulamento (UE) 2016/679.

(6)As pessoas cujos dados pessoais são tratados por instituições e organismos da União, independentemente do contexto, por exemplo porque são funcionários dessas instituições e organismos, devem ser protegidas. O presente regulamento não deve ser aplicado ao tratamento de dados pessoais de pessoas falecidas. O presente regulamento não abrange o tratamento de dados pessoais relativos a pessoas coletivas, em especial empresas estabelecidas enquanto pessoas coletivas, incluindo a denominação, a forma jurídica e os dados de contacto da pessoa coletiva. (7)A fim de se evitar um sério risco de ser contornada, a proteção das pessoas singulares deve ser neutra em termos tecnológicos e não deve depender das técnicas utilizadas. A proteção das pessoas singulares deve aplicar-se ao tratamento de dados pessoais por meios automatizados, bem como ao tratamento manual se os dados pessoais estiverem contidos ou se forem destinados a um sistema de ficheiros. Os ficheiros ou conjuntos de ficheiros, bem como as suas capas, que não estejam estruturados de acordo com critérios específicos, não devem ser abrangidos pelo âmbito de aplicação do presente regulamento. (8)Na Declaração 21 sobre a proteção de dados pessoais no domínio da cooperação judiciária em matéria penal e da cooperação policial, anexada à Ata Final da Conferência Intergovernamental que adotou o Tratado de Lisboa, a conferência reconheceu que, atendendo à especificidade dos domínios em causa, poderão ser necessárias disposições especiais sobre a proteção de dados pessoais e a livre circulação desses dados nos domínios da cooperação judiciária em matéria penal e da cooperação policial, com base no artigo 16.º do TFUE. Por conseguinte, o presente regulamento deve ser aplicado às agências da União que exerçam atividades nos domínios da cooperação judiciária em matéria penal e da cooperação policial, apenas na medida em que o direito da União aplicável a essas agências não contenha normas específicas sobre o tratamento de dados pessoais. (9)A Diretiva (UE) 2016/680 prevê normas harmonizadas para a proteção e a livre circulação de dados pessoais tratados para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública. A fim de assegurar o mesmo nível de proteção para as pessoas singulares através de direitos suscetíveis de proteção judicial no conjunto da União e evitar divergências que criem obstáculos ao intercâmbio de dados pessoais entre as agências da União que exercem atividades nos domínios da cooperação judiciária em matéria penal e da cooperação policial e as autoridades competentes nos Estados-Membros, as normas relativas à proteção e à livre circulação de dados pessoais operacionais tratados por essas agências da União devem basear-se nos princípios subjacentes ao presente regulamento e ser coerentes com a Diretiva (UE) 2016/680. (10)Sempre que que o ato que cria uma agência da União que exerce atividades abrangidas pelo âmbito de aplicação dos capítulos 4 e 5 do título V do Tratado estabelece um regime autónomo de proteção de dados para o tratamento de dados pessoais operacionais, esses regimes não devem ser afetados pelo presente regulamento. Contudo, a Comissão deve, nos termos do artigo 62.º da Diretiva (UE) 2016/680, até 6 de maio de 2019, avaliar os atos da União que regulam o tratamento efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública e, quando necessário, apresentar as propostas necessárias à alteração desses atos de forma a assegurar uma abordagem coerente da proteção de dados pessoais no domínio da cooperação judiciária em matéria penal e da cooperação policial. (11)Os princípios da proteção de dados devem aplicar-se a qualquer informação relativa a uma pessoa singular identificada ou identificável. Os dados pessoais que tenham sido pseudonimizados, que possam ser atribuídos a uma pessoa singular mediante a utilização de informações suplementares, devem ser considerados informações sobre uma pessoa singular identificável. Para determinar se uma pessoa singular é identificável, importa considerar todos os meios suscetíveis de serem razoavelmente utilizados, tais como a seleção, quer pelo responsável pelo tratamento quer por outra pessoa, para identificar direta ou indiretamente a pessoa singular. Para determinar se há uma probabilidade razoável de os meios serem utilizados para identificar a pessoa singular, importa considerar todos os fatores objetivos, como os custos e o tempo necessário para a identificação, tendo em conta a tecnologia disponível à data do tratamento dos dados e a evolução tecnológica. Os princípios da proteção de dados não devem, pois, aplicar-se às informações anónimas, ou seja, às informações que não digam respeito a uma pessoa singular identificada ou identificável nem a dados pessoais tornados de tal modo anónimos que o seu titular não seja ou já não possa ser identificado. O presente regulamento não diz, portanto, respeito ao tratamento dessas informações anónimas, inclusive para fins estatísticos ou de investigação. (12)A aplicação da pseudonimização aos dados pessoais pode reduzir os riscos para os titulares dos dados em questão e ajudar os responsáveis pelo tratamento e os subcontratantes a cumprirem as suas obrigações de proteção de dados. A introdução explícita da «pseudonimização» no presente regulamento não se destina a excluir outras eventuais medidas de proteção de dados. (13)As pessoas singulares podem ser associadas a identificadores por via eletrónica, fornecidos pelos respetivos aparelhos, aplicações, ferramentas e protocolos, tais como endereços IP (protocolo internet) ou testemunhos de conexão (cookie) ou outros identificadores, como as etiquetas de identificação por radiofrequência. Estes identificadores podem deixar vestígios que, em especial quando combinados com identificadores únicos e outras informações recebidas pelos servidores, podem ser utilizados para a definição de perfis e a identificação das pessoas singulares. (14)O consentimento do titular dos dados deve ser dado mediante um ato positivo claro que indique uma manifestação de vontade livre, específica, informada e inequívoca de que autoriza o tratamento dos dados que lhe digam respeito, por exemplo mediante uma declaração escrita, inclusive em formato eletrónico, ou uma declaração oral. O consentimento pode ser dado validando uma opção ao visitar um sítio Web na Internet, selecionando os parâmetros técnicos para os serviços da sociedade da informação ou mediante outra declaração ou conduta que indique claramente nesse contexto que aceita o tratamento proposto dos seus dados pessoais. O silêncio, as opções pré-validadas ou a omissão não devem, por conseguinte, constituir um consentimento. O consentimento deve abranger todas as atividades de tratamento realizadas com a mesma finalidade. Nos casos em que o tratamento sirva fins múltiplos, deve ser dado um consentimento para todos esses fins. Se o consentimento tiver de ser dado no seguimento de um pedido apresentado por via eletrónica, esse pedido tem de ser claro e conciso e não pode perturbar desnecessariamente a utilização do serviço para o qual é fornecido. (15)O tratamento de dados pessoais deve ser efetuado de forma lícita e leal. Deve ser transparente para as pessoas singulares que os dados pessoais que lhes digam respeito são recolhidos, utilizados, consultados ou sujeitos a qualquer outro tipo de tratamento e a medida em que os dados pessoais são ou virão a ser tratados. O princípio da transparência exige que as informações ou comunicações relacionadas com o tratamento desses dados pessoais sejam de fácil acesso e compreensão, e formuladas numa linguagem clara e simples. Esse princípio diz respeito, em particular, às informações fornecidas aos titulares dos dados sobre a identidade do responsável pelo tratamento dos mesmos e as finalidades a que o tratamento se destina, bem como às informações que se destinam a assegurar que seja efetuado com lealdade e transparência em relação às pessoas singulares em causa, bem como a salvaguardar o seu direito a obter a confirmação e a comunicação dos dados pessoais que lhes digam respeito que estão a ser tratados. As pessoas singulares a quem os dados digam respeito devem ser alertadas para os riscos, normas, garantias e direitos associados ao tratamento dos dados pessoais e para os meios de que dispõem para exercer os seus direitos relativamente a esse tratamento. Em especial, as finalidades específicas do tratamento dos dados pessoais devem ser explícitas e legítimas e ser determinadas aquando da recolha dos dados pessoais. Os dados pessoais devem ser adequados, pertinentes e limitados ao necessário para os efeitos para os quais são tratados. Para tal, é necessário assegurar, em especial, que o prazo de conservação dos dados seja limitado ao mínimo. Os dados pessoais apenas devem ser tratados se a finalidade do tratamento não puder ser atingida de forma razoável por outros meios. A fim de assegurar que os dados pessoais são conservados apenas durante o período considerado necessário, o responsável pelo tratamento deve fixar os prazos para o apagamento ou a revisão periódica. Devem ser adotadas todas as medidas razoáveis para que os dados pessoais incorretos sejam retificados ou apagados. Os dados pessoais devem ser tratados de uma forma que garanta a devida segurança e confidencialidade, designadamente para evitar o acesso a dados pessoais e equipamentos utilizados para o seu tratamento ou a sua utilização por pessoas não autorizadas. (16)Em conformidade com o princípio da responsabilidade, quando as instituições e organismos da União transmitem dados pessoais internamente ou a outras instituições e organismos da União, devem verificar se esses dados pessoais são necessários para o desempenho legítimo de funções da competência do destinatário, sempre que este não faz parte do responsável pelo tratamento. Em particular, após o pedido do destinatário para a transmissão dos dados pessoais, o responsável pelo tratamento deve verificar a existência de um motivo relevante para o tratamento lícito dos dados pessoais, a competência do destinatário e efetuar uma avaliação provisória da necessidade da transferência desses dados. Em caso de dúvida quanto a essa necessidade, o responsável pelo tratamento deve solicitar informações complementares ao destinatário. O destinatário deve certificar-se que a necessidade da transferência dos dados pode ser posteriormente verificada. (17)Para que o tratamento seja lícito, os dados pessoais devem ser tratados com base na necessidade de desempenho de uma função efetuada no interesse público pelas instituições e organismos da União ou no exercício da sua autoridade pública, na necessidade de conformidade com a obrigação jurídica a que o responsável pelo tratamento esteja sujeito ou outra base legítima, conforme mencionado no presente regulamento, incluindo o consentimento do titular dos dados em causa ou a necessidade de ser executado um contrato no qual o titular dos dados seja parte ou para adotar medidas pré-contratuais a pedido do titular dos dados. O tratamento de dados pessoais para o desempenho de funções de interesse público pelas instituições e organismos da União inclui o tratamento de dados pessoais necessários à gestão e ao funcionamento dessas instituições e organismos. O tratamento de dados pessoais também deve ser considerado lícito quando for necessário à proteção de um interesse essencial à vida do titular dos dados ou de qualquer outra pessoa singular. Em princípio, o tratamento de dados pessoais com base no interesse vital de outra pessoa singular só pode ocorrer quando tal tratamento não puder manifestamente ter como base outro fundamento jurídico. Alguns tipos de tratamento podem servir tanto importantes interesses públicos como interesses vitais do titular dos dados, por exemplo, se o tratamento for necessário para fins humanitários, incluindo a monitorização de epidemias e da sua propagação, ou em situações de emergência humanitária, em especial em situações de catástrofes naturais e de origem humana. (18)O direito da União, incluindo as normas internas mencionadas no presente regulamento, deve ser claro e rigoroso e a sua aplicação deve ser previsível para os seus destinatários, em conformidade com a jurisprudência do Tribunal de Justiça da União Europeia e do Tribunal Europeu dos Direitos do Homem. (19)O tratamento de dados pessoais para outros fins que não aqueles para os quais esses dados tenham sido inicialmente recolhidos apenas deve ser autorizado se for compatível com as finalidades para as quais os dados pessoais tenham sido inicialmente recolhidos. Nesse caso, não é necessário um fundamento jurídico distinto do que permitiu a recolha dos dados pessoais. Se o tratamento for necessário para o exercício de funções de interesse público ou o exercício da autoridade pública de que está investido o responsável pelo tratamento, o direito da União pode determinar e definir as tarefas e finalidades para as quais o tratamento posterior deve ser considerado compatível e lícito. As operações de tratamento posterior para fins de arquivo de interesse público, de investigação científica ou histórica ou para fins estatísticos, devem ser consideradas tratamento lícito compatível. A base jurídica prevista no direito da União para o tratamento de dados pessoais pode igualmente prever a base jurídica para o tratamento posterior. A fim de apurar se a finalidade de um tratamento de dados posterior é compatível com a finalidade para a qual os dados pessoais foram inicialmente recolhidos, o responsável pelo seu tratamento, após ter cumprido todos os requisitos para a licitude do tratamento inicial, deve ter em atenção, nomeadamente: a existência de uma ligação entre tais finalidades e a finalidade do tratamento posterior previsto; o contexto em que os dados pessoais foram recolhidos, em especial as expectativas razoáveis do titular dos dados quanto à sua posterior utilização, baseadas na sua relação com o responsável pelo tratamento; a natureza dos dados pessoais; as consequências do tratamento posterior previsto para os titulares dos dados; e a existência de garantias adequadas tanto no tratamento inicial como nas posteriores operações de tratamento previstas. (20)Sempre que o tratamento tiver por base o consentimento do titular dos dados, o responsável pelo tratamento deve poder demonstrar que o titular deu o seu consentimento a esse tratamento. Em especial, no contexto de uma declaração escrita relativa a outra matéria, devem existir as devidas garantias de que o titular dos dados está plenamente ciente do consentimento dado e do seu alcance. Em conformidade com a Diretiva 93/13/CEE do Conselho, é oportuno prever uma declaração de consentimento previamente redigida pelo responsável pelo tratamento de forma compreensível e facilmente acessível, numa linguagem clara e simples e sem cláusulas abusivas. Para efeitos de um consentimento informado, o titular dos dados deve conhecer, pelo menos, a identidade do responsável pelo tratamento e as finalidades do tratamento para as quais os dados se destinam. Não se deve considerar que o consentimento foi dado de livre vontade se o titular dos dados não dispuser de uma escolha verdadeira ou livre ou não puder recusar nem retirar o consentimento sem ser prejudicado. (21)As crianças merecem proteção especial quanto aos seus dados pessoais, uma vez que podem estar menos cientes dos riscos, consequências e garantias em questão e dos seus direitos relacionados com o tratamento dos dados pessoais. Essa proteção especial deve aplicar-se, nomeadamente, à criação de perfis de personalidade e à recolha de dados pessoais relativos às crianças aquando da utilização de serviços disponibilizados diretamente a um menor nos sítios Web das instituições e organismos da União, tais como os serviços de comunicação interpessoal ou a venda de bilhetes em linha, e aquando do tratamento de dados com base no consentimento. (22)Quando os destinatários estabelecidos na União e sujeitos ao disposto no Regulamento (UE) 2016/679 ou na Diretiva (UE) 2016/680, pretendem que lhes sejam transmitidos os seus dados pessoais pelas instituições e organismos da União, devem demonstrar que a transmissão é necessária para a obtenção do seu objetivo, é proporcionada e não excede o necessário para atingir tal objetivo. As instituições e organismos da União devem demonstrar essa necessidade quando estão na origem da transmissão, em conformidade com o princípio da transparência. (23)Merecem proteção específica os dados pessoais que são, pela sua natureza, especialmente sensíveis do ponto de vista dos direitos e das liberdades fundamentais, dado que o contexto do tratamento desses dados poderá implicar riscos significativos para os direitos e as liberdades fundamentais. Devem incluir-se neste caso os dados pessoais que revelem a origem racial ou étnica, não implicando o uso da expressão «origem racial» no presente regulamento que a União aceita teorias que tentam demonstrar a existência de diferentes raças humanas. O tratamento de fotografias não deve ser considerado sistematicamente um tratamento de categorias especiais de dados pessoais, uma vez que são apenas abrangidas pela definição de dados biométricos quando forem processadas por meios técnicos específicos que permitam a identificação inequívoca ou a autenticação de uma pessoa singular. Para além dos requisitos específicos para o tratamento de dados sensíveis, devem aplicar-se os princípios gerais e outras disposições do presente regulamento, em especial, no que se refere às condições para o tratamento lícito. É oportuno prever expressamente derrogações à proibição geral de tratamento de categorias especiais de dados pessoais, por exemplo, se o titular dos dados der o seu consentimento expresso ou para ter em conta necessidades específicas, designadamente quando o tratamento for efetuado no exercício de atividades legítimas de certas associações ou fundações que tenham por finalidade permitir o exercício das liberdades fundamentais. (24)O tratamento de categorias especiais de dados pessoais pode ser necessário por razões de interesse público nos domínios da saúde pública sem o consentimento do titular dos dados. Esse tratamento deve ser objeto de medidas adequadas e específicas, a fim de defender os direitos e as liberdades das pessoas singulares. Nesse contexto, a noção de «saúde pública» deve ser interpretada segundo a definição constante do Regulamento (CE) n.º 1338/2008 do Parlamento Europeu e do Conselho, ou seja, todos os elementos relacionados com a saúde, a saber, o estado de saúde, incluindo a morbilidade e a incapacidade, as determinantes desse estado de saúde, as necessidades de cuidados de saúde, os recursos atribuídos aos cuidados de saúde, a prestação de cuidados de saúde e o acesso universal aos mesmos, assim como as despesas e o financiamento dos cuidados de saúde e as causas de mortalidade. Tal tratamento de dados relativos à saúde efetuado por motivos de interesse público não deve ter por resultado que os dados pessoais sejam tratados para outros fins por terceiros. (25)Se os dados pessoais tratados pelo responsável pelo tratamento não lhe permitirem identificar uma pessoa singular, não deve ser obrigado a obter informações suplementares para identificar o titular dos dados com o único objetivo de dar cumprimento a uma disposição do presente regulamento. Todavia, o responsável pelo tratamento não deve recusar receber informações suplementares fornecidas pelo titular dos dados no intuito de apoiar o exercício dos seus direitos. A identificação deve incluir a identificação digital do titular dos dados, por exemplo com recurso a um procedimento de autenticação com os mesmos dados de identificação usados pelo interessado para aceder (log in) ao serviço em linha do responsável pelo tratamento.

(26)O tratamento de dados pessoais para fins de arquivo de interesse público, de investigação científica ou histórica ou para fins estatísticos, deve ficar sujeito a garantias adequadas aplicáveis aos direitos e às liberdades do titular dos dados, em conformidade como presente regulamento. Essas garantias devem assegurar a existência de medidas técnicas e organizativas que assegurem, nomeadamente, o princípio da minimização dos dados. O tratamento posterior de dados pessoais para fins de arquivo de interesse público, de investigação científica ou histórica ou para fins estatísticos, deve ser efetuado quando o responsável pelo tratamento tiver avaliado a possibilidade de tais fins serem alcançados por um tipo de tratamento de dados pessoais que não permita ou tenha deixado de permitir a identificação dos titulares dos dados, na condição de existirem as garantias adequadas (como a pseudonimização dos dados pessoais). As instituições e organismos da União devem prever no direito da União, e eventualmente em normas internas, as garantias apropriadas para o tratamento de dados pessoais para fins de arquivo de interesse público, de investigação científica ou histórica ou para fins estatísticos. (27)É oportuno prever modalidades para facilitar o exercício pelo titular dos dados dos direitos que lhe são conferidos ao abrigo do presente regulamento, incluindo procedimentos para solicitar e, se for o caso, obter gratuitamente, em especial o acesso a dados pessoais, a sua retificação ou apagamento e o exercício do direito de oposição. O responsável pelo tratamento deve fornecer os meios necessários para que os pedidos possam ser apresentados por via eletrónica, em especial quando os dados sejam também tratados por essa via. O responsável pelo tratamento deve ser obrigado a responder aos pedidos do titular dos dados sem demora injustificada e o mais tardar no prazo de um mês e fundamentar a sua eventual intenção de recusar o pedido. (28)Os princípios do tratamento leal e transparente exigem que o titular dos dados seja informado da operação de tratamento de dados e das suas finalidades. O responsável pelo tratamento deve fornecer ao titular as informações adicionais necessárias para assegurar um tratamento leal e transparente tendo em conta as circunstâncias e o contexto específicos em que os dados pessoais são tratados. Além disso, o titular dos dados deve ser informado da existência de uma definição de perfis e das suas consequências. Sempre que os dados pessoais forem recolhidos junto do titular dos dados, este deve ser também informado da eventual obrigatoriedade de fornecer os dados pessoais e das consequências de não os facultar. Essas informações podem ser fornecidas em combinação com ícones normalizados a fim de dar, de modo facilmente visível, inteligível e claramente legível, uma panorâmica útil do tratamento previsto. Se forem apresentados por via eletrónica, os ícones devem ser de leitura automática. (29)As informações sobre o tratamento de dados pessoais relativos ao titular dos dados devem ser-lhe facultadas no momento da sua recolha junto do interessado ou, se os dados pessoais tiverem sido obtidos a partir de outra fonte, dentro de um prazo razoável, consoante as circunstâncias. Sempre que os dados pessoais forem suscetíveis de ser legitimamente comunicados a outro destinatário, o titular dos dados deve ser informado aquando da primeira comunicação dos dados pessoais a esse destinatário. Sempre que o responsável pelo tratamento tiver a intenção de tratar os dados pessoais para uma finalidade diferente daquela para a qual tenham sido recolhidos, deve facultar ao titular dos dados, antes desse tratamento, informações sobre tal finalidade e outras informações necessárias. Quando não for possível informar o titular dos dados da origem dos dados pessoais por se ter recorrido a várias fontes, devem ser-lhe facultadas informações genéricas. (30)Os titulares de dados devem ter o direito de aceder aos dados pessoais recolhidos que lhes digam respeito e de exercer esse direito com facilidade e a intervalos razoáveis, a fim de tomar conhecimento do tratamento e verificar a sua licitude. Tal inclui o direito de acederem a dados sobre a sua saúde, por exemplo os registos médicos contendo informações como diagnósticos, resultados de exames, avaliações dos médicos e eventuais tratamentos ou intervenções realizados. Cada titular de dados deve, portanto, ter o direito de conhecer e ser informado, em especial das finalidades para as quais os dados pessoais são tratados, quando possível o período durante o qual os dados são tratados, a identidade dos destinatários dos dados pessoais, a lógica subjacente ao eventual tratamento automático dos dados pessoais e, pelo menos quando tiver por base a definição de perfis, as consequências de tal tratamento. Esse direito não deve prejudicar os direitos ou as liberdades de terceiros, incluindo o segredo comercial ou a propriedade intelectual e, particularmente, o direito de autor que protege o software. Todavia, tais considerações não devem implicar a recusa de fornecer ao titular dos dados todas as informações. Quando o responsável pelo tratamento proceder ao tratamento de grande quantidade de informação relativa ao titular dos dados, deve poder solicitar que, antes de a informação ser fornecida, o titular especifique a que informações ou a que atividades de tratamento se refere o seu pedido. (31)Os titulares dos dados devem ter direito a que os seus dados pessoais sejam retificados e ao «direito a serem esquecidos» quando a conservação desses dados violar o presente regulamento ou o direito da União aplicável ao responsável pelo tratamento. Um titular dos dados deve ter direito a que os seus dados pessoais sejam apagados e deixem de ser objeto de tratamento se já não forem necessários para a finalidade para a qual foram recolhidos ou tratados, se o titular dos dados tiver retirado o seu consentimento ou se se opuser ao tratamento dos seus dados pessoais ou se o tratamento desses dados não respeitar o disposto no presente regulamento. Tal direito assume particular importância sempre que o titular dos dados tiver dado o seu consentimento quando era criança e não estava totalmente ciente dos riscos inerentes ao tratamento, e mais tarde pretenda suprimir esses dados pessoais, especialmente na Internet. O titular dos dados deve ter a possibilidade de exercer esse direito independentemente do facto de já ser adulto. No entanto, o prolongamento da conservação dos dados pessoais deve ser efetuado de forma lícita quando tal se revele necessário para o exercício do direito de liberdade de expressão e informação, para o cumprimento de uma obrigação jurídica, para o exercício de funções de interesse público ou o exercício da autoridade pública de que está investido o responsável pelo tratamento, por razões de interesse público no domínio da saúde pública, para fins de arquivo de interesse público, de investigação científica ou histórica ou para fins estatísticos, ou para efeitos de declaração, exercício ou defesa de um direito num processo judicial. (32)Para reforçar o «direito a ser esquecido» no ambiente em linha, é oportuno que o direito de apagamento seja alargado de modo a obrigar o responsável pelo tratamento que tenha tornado públicos os dados pessoais, a informar os responsáveis que estejam a tratar esses dados pessoais de que devem suprimir quaisquer ligações para esses dados pessoais, ou cópias ou reproduções dos mesmos. Ao fazê-lo, é oportuno que esse responsável pelo tratamento adote medidas razoáveis, tendo em conta a tecnologia disponível e os meios ao seu dispor, incluindo medidas técnicas, para informar do pedido do titular dos dados pessoais os responsáveis que estejam a tratar esses dados. (33)Para restringir o tratamento de dados pessoais pode recorrer-se a métodos como a transferência temporária de determinados dados para outro sistema de tratamento, a indisponibilização do acesso a determinados dados pessoais por parte dos utilizadores, ou a retirada temporária de um sítio Web dos dados aí publicados. Nos ficheiros automatizados, as restrições ao tratamento devem, em princípio, ser impostas por meios técnicos de modo a que os dados pessoais não sejam sujeitos a outras operações de tratamento e não possam ser alterados. Deve indicar-se de forma clara no sistema que o tratamento dos dados pessoais se encontra sujeito a restrições. (34)Para reforçar o controlo sobre os seus próprios dados, sempre que o tratamento de dados pessoais for automatizado, o titular dos dados deve ser igualmente autorizado a receber os dados pessoais que lhe digam respeito que tenha fornecido a um responsável pelo tratamento num formato estruturado, de uso corrente, de leitura automática e interoperável, e a transmiti-los a outro responsável. Os responsáveis pelo tratamento de dados devem ser encorajados a desenvolver formatos interoperáveis que permitam a portabilidade dos dados. Esse direito deve aplicar-se também se o titular dos dados tiver fornecido os dados pessoais com base no seu consentimento ou se o tratamento for necessário para a execução de um contrato. Por conseguinte, esse direito não deve ser aplicável quando o tratamento de dados pessoais for necessário para o cumprimento de uma obrigação jurídica à qual o responsável esteja sujeito, para o exercício de funções de interesse público ou o exercício da autoridade pública de que esteja investido o responsável pelo tratamento. O direito do titular dos dados a transmitir ou receber dados pessoais que lhe digam respeito não deve implicar para os responsáveis pelo tratamento a obrigação de adotar ou manter sistemas de tratamento que sejam tecnicamente compatíveis. Quando um determinado conjunto de dados pessoais diga respeito a mais de um titular, o direito de receber os dados pessoais não deve prejudicar os direitos e as liberdades de outros titulares de dados em conformidade com o presente regulamento. Além disso, esse direito também não deve prejudicar o direito dos titulares dos dados a obter o apagamento dos dados pessoais nem as restrições a esse direito estabelecidas no presente regulamento e, nomeadamente, não deve implicar o apagamento dos dados pessoais relativos ao titular que este tenha fornecido para execução de um contrato, na medida em que e enquanto os dados pessoais forem necessários para a execução do referido contrato. Sempre que seja tecnicamente possível, o titular dos dados deve ter o direito a que os dados pessoais sejam transmitidos diretamente entre os responsáveis pelo tratamento. (35)No caso de um tratamento de dados pessoais lícito realizado por ser necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento, o titular dos dados não deve deixar de ter o direito de se opor ao tratamento dos dados pessoais que digam respeito à sua situação específica. Deve caber ao responsável pelo tratamento provar que os seus interesses legítimos e imperiosos prevalecem sobre os interesses ou direitos e liberdades fundamentais do titular dos dados. (36)O titular dos dados deve ter o direito de não ficar sujeito a uma decisão, que pode incluir uma medida que avalie aspetos pessoais que lhe digam respeito, que se baseie exclusivamente no tratamento automatizado e que produza efeitos jurídicos que lhe digam respeito ou o afetem significativamente de modo similar, como práticas de recrutamento eletrónico sem intervenção humana. Esse tratamento inclui a definição de perfis mediante qualquer forma de tratamento automatizado de dados pessoais para avaliar aspetos pessoais relativos a uma pessoa singular, em especial a análise e previsão de aspetos relacionados com o desempenho profissional, a situação económica, saúde, preferências ou interesses pessoais, fiabilidade ou comportamento, localização ou deslocações do titular dos dados, quando produza efeitos jurídicos que lhe digam respeito ou a afetem significativamente de forma similar. Contudo, a tomada de decisões com base nesse tratamento, incluindo a definição de perfis, deve ser permitida se expressamente autorizada pelo direito da União. Em qualquer dos casos, tal tratamento deve ser acompanhado das garantias adequadas, que devem incluir a informação específica ao titular dos dados e o direito de obter a intervenção humana, de manifestar o seu ponto de vista, de obter uma explicação sobre a decisão tomada na sequência dessa avaliação e de contestar a decisão. Essa medida não deve dizer respeito a uma criança. A fim de assegurar um tratamento leal e transparente no que diz respeito ao titular dos dados, tendo em conta a especificidade das circunstâncias e do contexto em que os dados pessoais são tratados, o responsável pelo tratamento deve utilizar procedimentos matemáticos e estatísticos adequados à definição de perfis, aplicar medidas técnicas e organizativas que garantam designadamente que os fatores que introduzem imprecisões nos dados pessoais são corrigidos e que o risco de erros é minimizado, e proteger os dados pessoais de modo a ter em conta os potenciais riscos para os interesses e direitos do titular dos dados e a prevenir, por exemplo, efeitos discriminatórios contra pessoas singulares em razão da sua origem racial ou étnica, opinião política, religião ou convicções, filiação sindical, estado genético ou de saúde ou orientação sexual, ou a impedir que as medidas venham a ter tais efeitos. O processo de tomada de decisão automatizado e a definição de perfis baseada em categorias especiais de dados pessoais só deve ser permitido em condições específicas. (37)Os atos jurídicos adotados com base nos Tratados ou normas internas das instituições e organismos da União podem impor restrições relativas a princípios específicos e aos direitos de informação, acesso e retificação ou apagamento de dados pessoais, ao direito à portabilidade dos dados, à confidencialidade das comunicações eletrónicas, bem como à comunicação de uma violação de dados pessoais ao titular dos dados e a determinadas obrigações conexas dos responsáveis pelo tratamento, desde que necessárias e proporcionais numa sociedade democrática, para salvaguardar a segurança pública, a prevenção, a investigação e repressão de infração penais ou a execução de sanções penais, incluindo a prevenção de ameaças contra a segurança pública e a sua prevenção, a proteção da vida humana, especialmente em resposta a catástrofes naturais ou provocadas pelo homem, a segurança interna das instituições e organismos da União, outros objetivos importantes de interesse público geral da União ou de um Estado-Membro, nomeadamente um interesse económico ou financeiro importante da União ou de um Estado-Membro, a conservação de registos públicos por motivos de interesse público geral ou a defesa do titular dos dados ou dos direitos e liberdades de outrem, incluindo a proteção social, a saúde pública e os fins humanitários. Sempre que uma restrição não esteja prevista nos atos jurídicos adotados com base nos Tratados ou nas suas normas internas, as instituições e organismos da União podem, em casos específicos, impor uma restrição ad hoc relativa aos princípios específicos e aos direitos do titular dos dados, se essa restrição respeitar a essência dos direitos e liberdades fundamentais e, em relação a uma operação de tratamento específica, for necessária e proporcionada numa sociedade democrática para salvaguardar um ou mais objetivos mencionados no n.º 1. A restrição deve ser notificada ao encarregado da proteção de dados. Todas as restrições devem respeitar as exigências estabelecidas na Carta e na Convenção Europeia para a Proteção dos Direitos do Homem e das Liberdades Fundamentais. (38)É oportuno estabelecer a responsabilidade do responsável por qualquer tratamento de dados pessoais realizado por este ou por sua conta. Em especial, o responsável pelo tratamento deve ser obrigado a executar as medidas que forem adequadas e eficazes e ser capaz de demonstrar a conformidade das atividades de tratamento com o presente regulamento, incluindo a eficácia das medidas. Essas medidas devem ter em conta a natureza, o âmbito, o contexto e as finalidades do tratamento dos dados, bem como o risco que possa implicar para os direitos e liberdades das pessoas singulares. Os riscos para os direitos e liberdades das pessoas singulares, cuja probabilidade e gravidade podem ser variáveis, podem resultar de operações de tratamento de dados pessoais suscetíveis de causar danos físicos, materiais ou imateriais, em especial: quando o tratamento implicar discriminação, usurpação ou roubo da identidade, perdas financeiras, prejuízo para a reputação, perda de confidencialidade dose dados pessoais protegidos por sigilo profissional, decifração não autorizada da pseudonimização, ou qualquer outro prejuízo significativo de natureza económica ou social; quando os titulares dos dados possam ficar privados dos seus direitos e liberdades ou impedidos do exercício do controlo sobre os respetivos dados pessoais; quando forem tratados dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas e a filiação sindical, bem como dados genéticos ou dados relativos à saúde ou à vida sexual ou a condenações penais e infrações ou medidas de segurança conexas; quando forem avaliados aspetos de natureza pessoal, em particular análises ou previsões de aspetos que digam respeito ao desempenho no trabalho, à situação económica, à saúde, às preferências ou interesses pessoais, à fiabilidade ou comportamento e à localização ou às deslocações das pessoas, a fim de definir ou fazer uso de perfis; quando forem tratados dados relativos a pessoas singulares vulneráveis, em particular crianças; ou quando o tratamento incidir sobre uma grande quantidade de dados pessoais e afetar um grande número de titulares de dados. A probabilidade e a gravidade dos riscos para os direitos e liberdades do titular dos dados devem ser determinadas por referência à natureza, âmbito, contexto e finalidades do tratamento de dados. Os riscos devem ser aferidos com base numa avaliação objetiva, que determine se as operações de tratamento de dados implicam um risco ou um risco elevado. (39)A proteção dos direitos e liberdades das pessoas singulares relativamente ao tratamento dos seus dados pessoais exige a adoção de medidas técnicas e organizativas adequadas, a fim de assegurar o cumprimento dos requisitos do presente regulamento. Para poder demonstrar a conformidade com o presente regulamento, o responsável pelo tratamento deve adotar orientações internas e aplicar medidas que respeitem, em especial, os princípios da proteção de dados desde a conceção e da proteção de dados por defeito. Tais medidas podem incluir a minimização do tratamento de dados pessoais, a pseudonimização de dados pessoais o mais cedo possível, a transparência no que toca às funções e ao tratamento de dados pessoais, a possibilidade de o titular dos dados controlar o tratamento de dados e a possibilidade de o responsável pelo tratamento criar e melhorar medidas de segurança. Os princípios de proteção de dados desde a conceção e, por defeito, devem também ser tomados em consideração no contexto dos contratos públicos. (40)A proteção dos direitos e liberdades dos titulares de dados, bem como a responsabilidade dos responsáveis pelo tratamento e dos subcontratantes, exige uma clara repartição das responsabilidades nos termos do presente regulamento, nomeadamente quando o responsável pelo tratamento determina as finalidades e os meios do tratamento conjuntamente com outros responsáveis, ou quando uma operação de tratamento de dados é efetuada por conta de um responsável pelo tratamento. (41)Para assegurar o cumprimento do presente regulamento no que se refere ao tratamento a efetuar pelo subcontratante por conta do responsável pelo tratamento, este, quando confiar atividades de tratamento a um subcontratante, deve recorrer exclusivamente a subcontratantes que ofereçam garantias suficientes, especialmente em termos de conhecimentos especializados, fiabilidade e recursos, quanto à execução de medidas técnicas e organizativas que cumpram os requisitos do presente regulamento, incluindo no que se refere à segurança do tratamento. A aplicação por subcontratantes diferentes de instituições e organismos da União de um código de conduta aprovado ou de um mecanismo de certificação aprovado pode ser utilizada como elemento para demonstrar a conformidade com as obrigações do responsável pelo tratamento. A realização de operações de tratamento de dados por um subcontratante deve ser regulada por um contrato ou outro ato jurídico ao abrigo do direito da União ou dos Estados-Membros que vincule o subcontratante ao responsável pelo tratamento, e em que seja estabelecido o objeto e a duração do contrato, a natureza e as finalidades do tratamento, o tipo de dados pessoais e as categorias de titulares dos dados, tendo em conta as tarefas e responsabilidades específicas do subcontratante no contexto do tratamento a realizar e o risco em relação aos direitos e liberdades do titular dos dados. O responsável pelo tratamento e o subcontratante devem poder optar por um contrato individual ou cláusulas contratuais-tipo, que são adotadas quer diretamente pela Comissão ou pela Autoridade Europeia para a Proteção de Dados e posteriormente adotadas pela Comissão. Após concluído o tratamento por conta do responsável pelo tratamento, o subcontratante deve, consoante a escolha do responsável pelo tratamento, restituir ou apagar os dados pessoais, a menos que seja exigida a conservação desses dados pessoais ao abrigo do direito da União ou do Estado-Membro a que o subcontratante está sujeito. (42)A fim de demonstrar a observância do presente regulamento, os responsáveis pelo tratamento devem conservar um registo das atividades de tratamento sob a sua responsabilidade e os subcontratantes devem conservar um registo das categorias de atividades de tratamento sob a sua responsabilidade. As instituições e organismos da União devem ser obrigados a cooperar com a Autoridade Europeia para a Proteção de Dados e a facultar-lhe esses registos, mediante pedido, para fiscalização dessas operações de tratamento. As instituições e organismos da União devem ter condições para estabelecer um registo central dos registos das suas atividades de tratamento. Por motivos de transparência, devem poder igualmente tornar esse registo público. (43)A fim de preservar a segurança e evitar o tratamento em violação do presente regulamento, o responsável pelo tratamento, ou o subcontratante, deve avaliar os riscos que o tratamento implica e aplicar medidas que os atenuem, como a cifragem. Essas medidas devem assegurar um nível de segurança adequado, nomeadamente a confidencialidade, tendo em conta as técnicas mais avançadas e os custos da sua aplicação em função dos riscos e da natureza dos dados pessoais a proteger. Ao avaliar os riscos para a segurança dos dados, devem ser tidos em conta os riscos apresentados pelo tratamento dos dados pessoais, tais como a destruição, perda e alteração acidentais ou ilícitas, e a divulgação ou o acesso não autorizados a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento, riscos esses que podem dar azo, em particular, a danos físicos, materiais ou imateriais. (44)As instituições e organismos da União devem garantir a confidencialidade das comunicações eletrónicas, tal como previsto no artigo 7.º da Carta. Em especial, as instituições e organismos da União devem garantir a segurança das suas redes de comunicações eletrónicas, proteger as informações relativas ao equipamento terminal dos utilizadores finais que acedem aos seus sítios Web e aplicações móveis acessíveis ao público em conformidade com o Regulamento (UE) XXXX/XX [novo Regulamento relativo à privacidade e às comunicações eletrónicas] e proteger os dados pessoais em listas de utilizadores.

(45) Se não forem adotadas medidas adequadas e oportunas, a violação de dados pessoais pode causar danos físicos, materiais ou imateriais às pessoas singulares. Por conseguinte, logo que o responsável pelo tratamento tenha conhecimento de uma violação de dados pessoais, deve notificá-la à Autoridade Europeia para a Proteção de Dados, sem demora injustificada e, sempre que possível, no prazo de 72 horas após ter tido conhecimento do ocorrido, a menos que seja capaz de demonstrar em conformidade com o princípio da responsabilidade, que essa violação não é suscetível de implicar um risco para os direitos e liberdades das pessoas singulares. Se não for possível efetuar essa notificação no prazo de 72 horas, a notificação deve ser acompanhada dos motivos do atraso, podendo as informações ser fornecidas por fases sem demora injustificada. Se esse atraso for justificado, devem ser comunicadas o mais cedo possível as informações menos sensíveis ou menos específicas sobre a violação em vez de resolver totalmente o incidente subjacente antes da notificação. (46)O responsável pelo tratamento deve informar, sem demora injustificada, o titular dos dados da violação de dados pessoais quando for provável que desta resulte um elevado risco para os direitos e liberdades da pessoa singular, a fim de lhe permitir tomar as precauções necessárias. A comunicação deve descrever a natureza da violação de dados pessoais e dirigir recomendações à pessoa singular em causa para atenuar potenciais efeitos adversos. Essa comunicação aos titulares dos dados deve ser efetuada logo que seja razoavelmente possível, em estreita cooperação com a Autoridade Europeia para a Proteção de Dados, e em cumprimento das orientações fornecidas por esta ou por outras autoridades competentes, como as autoridades com funções coercivas. (47)O Regulamento (CE) n.º 45/2001 prevê uma obrigação geral do responsável pelo tratamento de notificar o tratamento dos dados pessoais ao encarregado da proteção de dados, que, por seu turno, deve conservar um registo das operações de tratamento notificadas. Além de esta obrigação originar encargos administrativos e financeiros, nem sempre contribuiu para a melhoria da proteção dos dados pessoais. Tais obrigações gerais e indiscriminadas de notificação devem, por isso, ser suprimidas e substituídas por normas e procedimentos eficazes mais centrados nos tipos de operações de tratamento suscetíveis de resultar num elevado risco para os direitos e liberdades das pessoas singulares, devido à sua natureza, âmbito, contexto e finalidades. Esses tipos de operações de tratamento poderão, nomeadamente, envolver a utilização de novas tecnologias, ou pertencer a um novo tipo e não ter sido antecedidas por uma avaliação de impacto sobre a proteção de dados por parte do responsável pelo tratamento, ou ser consideradas necessárias à luz do período decorrido desde o tratamento inicial responsável pelo tratamento. Nesses casos, o responsável pelo tratamento deve proceder, antes do tratamento, a uma avaliação do impacto sobre a proteção de dados, a fim de avaliar a probabilidade ou gravidade particulares do elevado risco, tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento e as fontes do risco. Essa avaliação do impacto deve incluir, nomeadamente, as medidas, garantias e procedimentos previstos para atenuar esse risco, assegurar a proteção dos dados pessoais e comprovar a observância do presente regulamento. (48)Sempre que uma avaliação de impacto relativa à proteção de dados indicar que o tratamento, na falta de garantias e de medidas e procedimentos de segurança para atenuar os riscos, implica um elevado risco para os direitos e liberdades das pessoas singulares e o responsável pelo tratamento considerar que o risco não poderá ser atenuado através de medidas razoáveis, atendendo à tecnologia disponível e aos custos de aplicação, a Autoridade Europeia para a Proteção de Dados deve ser consultada antes de as atividades de tratamento terem início. Provavelmente, esse elevado risco decorre de determinados tipos de tratamento e da extensão e frequência do tratamento, que podem originar igualmente danos ou interferir com os direitos e liberdades da pessoa singular. A Autoridade Europeia para a Proteção de Dados deve responder ao pedido de consulta dentro de um determinado prazo. Contudo, a ausência de reação da Autoridade Europeia para a Proteção de Dados no decorrer desse prazo não prejudicará qualquer intervenção que esta autoridade venha a fazer em conformidade com as suas funções e competências, definidas pelo presente regulamento, incluindo a competência para proibir certas operações de tratamento. No âmbito desse processo de consulta, o resultado de uma avaliação do impacto sobre a proteção de dados efetuada relativamente ao tratamento em questão pode ser apresentado à Autoridade Europeia para a Proteção de Dados, em especial as medidas previstas para atenuar o risco para os direitos e liberdades das pessoas singulares. (49)A Autoridade Europeia para a Proteção de Dados deve ser informada das medidas administrativas e dos regulamentos internos das instituições e organismos da União que preveem o tratamento de dados pessoais, estabelecem condições para as restrições dos direitos dos titulares dos dados ou conferem garantias adequadas para os direitos dos titulares dos dados, de forma a assegurar a conformidade do tratamento previsto com o presente regulamento e, nomeadamente, atenuar os riscos para os titulares dos dados. (50)O Regulamento (UE) 2016/679 instituiu o Comité Europeu para a Proteção de Dados como um organismo independente da União com personalidade jurídica. O Comité deve contribuir para a aplicação coerente do Regulamento (UE) 2016/679 e da Diretiva 2016/680 em toda a União, e igualmente o aconselhamento da Comissão. Simultaneamente, a Autoridade Europeia para a Proteção de Dados deve continuar a exercer as suas funções de supervisão e consultivas relativamente a todas as instituições e organismos da União, incluindo por iniciativa própria ou mediante pedido. A fim de garantir a coerência das normas em matéria de proteção de dados em toda a União, deve ser obrigatória uma consulta por parte da Comissão, após a adoção dos atos legislativos ou durante a preparação dos atos delegados e dos atos de execução, conforme definido nos artigos 289.º, 290.º e 291.º do TFUE, e após a adoção de recomendações e propostas relativas aos acordos com países terceiros e organizações internacionais, tal como previsto no artigo 218.º do TFUE, que têm um impacto no direito à proteção de dados pessoais. Nesses casos, a Comissão deve ser obrigada a consultar a Autoridade Europeia para a Proteção de Dados, exceto quando o Regulamento (UE) 2016/679 prevê uma consulta obrigatória do Comité Europeu para a Proteção de Dados, por exemplo, sobre decisões de adequação ou atos delegados relativos a ícones normalizados e a requisitos aplicáveis aos procedimentos de certificação. Sempre que o ato em questão for particularmente importante para a proteção dos direitos e liberdades das pessoas singulares no que diz respeito ao tratamento de dados pessoais, a Comissão deve ainda poder consultar o Comité Europeu para a Proteção de Dados. Nesses casos, a Autoridade Europeia para a Proteção de Dados deve, enquanto membro do Comité Europeu para a Proteção de Dados, coordenar o seu trabalho com este último a fim de emitirem uma opinião conjunta. A Autoridade Europeia para a Proteção de Dados e, se aplicável, o Comité Europeu para a Proteção de Dados, devem emitir o seu parecer por escrito no prazo de oito semanas. Tal prazo deve ser mais curto em caso de urgência, ou sempre que necessário, por exemplo quando a Comissão estiver a preparar atos delegados ou de execução. (51)Um encarregado da proteção de dados deve assegurar, em cada instituição ou organismo da União, que as disposições do presente regulamento são aplicadas e aconselhar os responsáveis pelo tratamento e subcontratantes no exercício das suas obrigações. Esse encarregado deve ser uma pessoa com conhecimentos especializados sobre a legislação e práticas em matéria de proteção de dados que devem ser determinados, em particular, em função do tratamento de dados realizado e da proteção exigida para os dados pessoais tratados pelo responsável pelo seu tratamento ou pelo subcontratante. Essas pessoas encarregadas da proteção de dados devem poder desempenhar as suas funções e cumprir os seus deveres de forma independente. (52)Quando os dados pessoais são transferidos das instituições e organismos da União para responsáveis pelo tratamento, para subcontratantes ou para outros destinatários em países terceiros ou para organizações internacionais, o nível de proteção das pessoas singulares assegurado na União pelo prese