5. 11. 90 Jornal Oficial das Comunidades Europeias N? C 277/3 
Proposta de Directiva do Conselho relativa à protecção das pessoas no que diz respeito ao 
tratamento dos dados pessoais 
COM(90) 314 final — SYN 287 
(Apresentada pela Comissão em 27 de Julho de 1990) 
(90/C 277/03) 
O CONSELHO DAS COMUNIDAS EUROPEIAS, 
Tendo em conta o Tratado que institui a Comunidade 
Económica Europeia e, nomeadamente, o seu artigo 100?A 
e o seu artigo 113?, (4) Considerando que o reforço da cooperação científica e 
técnica, bem como a criação coordenada de novas 
redes de telecomunicações na Comunidade, necessi­
tam e facilitam a circulação transfronteiriça de dados 
pessoais; 
Tendo em conta a proposta da Comissão, 
Em colaboração com o Parlamento Europeu, 
Tendo em conta o parecer do Comité Económico e Social, 
(1) Considerando que os objectivos da Comunidade, 
enunciados no Tratado, com a redacção que lhe foi 
dada pelo Acto Único Europeu, consistem em 
estabelecer uma união cada vez mais estreita entre os 
povos europeus, em estabelecer relações mais estreitas 
entre os Estados que a Comunidade agrupa, em 
assegurar, mediante uma acção comum, o progresso 
económico e social eliminando as barreiras que 
dividem a Europa, em promover a melhoria constante 
das condições de vida destes povos, em consolidar a 
defesa da paz e da liberdade e em promover a 
democracia com base nos direitos fundamentais 
reconhecidos nas Constituições e leis dos Estados-
-membros, bem como na Convenção Europeia de 
Defesa dos Direitos do Homem e das Liberdades 
Fundamentais; 
(2) Considerando que o estabelecimento e o funciona­
mento do mercado interno no qual, nos termos do 
artigo 8?A do Tratado, a livre circulação das 
mercadorias, das pessoas, dos serviços e dos capitais é 
assegurada, necessitam que não apenas os dados 
pessoais possam circular, quaisquer que sejam os 
Estados-membros em que sejam tratados ou solicita­
dos, mas, igualmente, que os direitos fundamentais 
sejam salvaguardados, tendo em conta o recurso cada 
vez mais frequente na Comunidade aos tratamentos 
de dados pessoais nos diversos domínios das activida­
des económicas e sociais; 
(3) Considerando que o mercado interno engloba um 
espaço sem fronteiras; que, por este facto, as 
administrações nacionais dos diferentes Estados-
-membros, por força do direito comunitário, são 
chamadas cada vez mais frequentemente a colabora­
rem e a trocarem entre si dados pessoais a fim de 
poderem desempenhar a sua missão ou exercer tarefas 
por conta de uma administração de outro Estado-
-membro; (5) Considerando que a diferença de níveis de protecção 
da vida privada relativamente aos tratamentos de 
dados pessoais assegurados nos Estados-membros 
pode impedir a transmissão destes dados do território 
de um Estado-membro para o de outro Estado-
-membro; que esta diferença pode, por conseguinte, 
constituir um obstáculo ao exercício de uma série de 
actividades económicas à escala comunitária, falsear a 
concorrência e entravar a função das administrações 
intervenientes no âmbito de aplicação do direito 
comunitário; que esta diferença de níveis de protecção 
resulta da disparidade das disposições nacionais 
legislativas, regulamentares e administrativas; 
(6) Considerando que, para eliminar os obstáculos à 
circulação dos dados pessoais, o nível de protecção da 
vida privada relativamente aos tratamentos destes 
dados deve ser equivalente em todos os Estados-
-rnembros; que é, assim, necessário aproximar as 
legislações aplicáveis na matéria; 
(7) Considerando que o objecto das legislações nacionais 
relativas ao tratamento dos dados pessoais é assegurar 
o respeito dos direitos fundamentais, nomeadamente 
o direito à vida privada, reconhecido não só no 
artigo 8? da Convenção de Defesa dos Direitos do 
Homem e das Liberdades Fundamentais como tam­
bém nos princípios gerais do direito comunitário; que, 
por conseguinte, a aproximação destas legislações não 
deve conduzir à redução da protecção que estas 
asseguram mas deve, em contrapartida, ter por 
objectivo a garantia de um alto nível de protecção na 
Comunidade; 
(8) Considerando que os princípios da protecção da vida 
privada relativamente ao tratamento dos dados 
pessoais objecto da directiva poderão ser completados 
ou precisados, nomeadamente relativamente a certos 
sectores, através de regras específicas conformes a 
esses princípios; 
(9) Considerando que os princípios da protecção devem 
aplicar-se a todos os ficheiros, desde que as activida­
des do responsável pelo ficheiro relevem do âmbito de 
aplicação do direito comunitário; que os ficheiros do 
N? C 277/4 Jornal Oficial das Comunidades Europeias 5. 11. 90 
sector público que não relevem do âmbito de 
aplicação do direito comunitário deveriam estar 
sujeitos aos mesmos princípios da protecção utiliza­
dos nas legislações nacionais, tal como se encontra 
previsto na resolução dos representantes dos governos 
dos Estados-membros das Comunidades Europeias 
reunidos em Conselho de ...; que, todavia, devem ser 
excluídos os ficheiros que relevem exclusivamente do 
exercício do direito à vida privada de uma pessoa 
singular, tal como os ficheiros pessoais de endereços; 
(10) Considerando que é necessário que qualquer trata­
mento de dados pessoais na Comunidade respeite a 
legislação do Estado-membro em que o ficheiro se 
encontra localizado, a fim de evitar que uma pessoa 
escape à protecção que lhe deve ser garantida por 
força da presente directiva; que, relativamente a este 
ponto, cada parte de um ficheiro repartido por vários 
Estados-membros deve ser considerada como um 
ficheiro e que a transferência da sua localização para 
um país terceiro não deve prejudicar esta protecção; 
(11) Considerando que qualquer tratamento de dados 
pessoais deve ser lícito; que tal licitude deve fundar-se 
no consentimento da pessoa em causa ou no direito 
comunitário ou nas legislações nacionais; 
(12) Considerando que as legislações nacionais podem 
especificar, nos termos da directiva, as regras relativas 
à licitude do tratamento; que, contudo, essa possibili­
dade não pode servir de fundamento para um controlo 
de um Estado-membro que não o Estado-membro de 
localização do ficheiro, dado que a obrigação deste 
último de assegurar, em conformidade com a presente 
directiva, a protecção da vida privada relativamente 
ao tratamento dos dados pessoais, é suficiente, à luz 
do direito comunitário, para permitir a livre circula­
ção dos dados; 
(13) Considerando que os processos de notificação, para os 
ficheiros do sector público ou privado, e de informa­
ção aquando da primeira comunicação, para os 
ficheiros do sector privado, têm por objectivo 
assegurar a transparência indispensável ao exercício 
do direito de acesso da pessoa em causa aos dados que 
a ela dizem respeito; 
(14) Considerando que a pessoa em causa deve beneficiar 
de uma informação eficaz e completa para que o seu 
consentimento seja válido, bem como nos casos em 
que fornece dados a seu respeito; 
(15) Considerando que a pessoa em causa deve poder 
beneficiar do direito de acesso a fim de poder 
assegurar-se da licitude do tratamento dos dados que 
lhe dizem respeito e da sua qualidade; (16) Considerando que para ser objecto de um tratamento, 
os dados devem responder a certas exigências; que o 
tratamento dos dados que são susceptíveis, pela sua 
própria natureza, de prejudicar o direito à vida 
privada deve ser proibido salvo consentimento 
explícito da pessoa em causa; que, contudo, por 
rasões de interesse público importante, nomeadamen­
te nas profissões médicas, podem ser previstas 
derrogações com base em lei que fixe precisa e 
estritamente as condições e limites do tratamento 
deste tipo de dados; 
(17) Considerando que a protecção da vida privada 
relativamente a dados pessoais exige que sejam 
tomadas medidas de segurança apropriadas, quer a 
nível da concepção quer da tecnologia do tratamento, 
a fim de impedir qualquer tratamento não permitido; 
(18) Considerando que no domínio dos meios de comuni­
cação social os Estados-membros podem prever 
derrogações às disposições da presente directiva, na 
medida em que tenham por objectivo conciliar o 
direito à vida privada com a liberdade da informação e 
o direito de receber ou de comunicar informações, tal 
como é garantido nomeadamente no artigo 10? da 
Convenção de Defesa dos Direitos do Homem e das 
Liberdades Fundamentais; 
(19) Considerando que os Estados-membros devem incen­
tivar a elaboração, por parte dos meios profissionais, 
de códigos europeus de deontologia ou de boa conduta 
relativos a determinados sectores específicos; que a 
Comissão apoiará essas iniciativas, tomando-as em 
consideração quando examinar a possibilidade de 
novas medidas específicas para determinados secto­
res; 
(20) Considerando que, em caso de não respeito das 
disposições previstas na presente directiva, o respon­
sável pelo ficheiro deve ser considerado como 
civilmente responsável; que devem ser aplicadas 
sanções dissuasivas a fim de assegurar uma protecção 
efectiva; 
(21) Considerando que é igualmente necessário que a 
transferência de dados pessoais se possa efectuar com 
países terceiros que possuam um nível de protecção 
adequado; que, na ausência de uma protecção desse 
tipo em países terceiros, a presente directiva prevê, em 
especial, processos de negociação a realizar com eles; 
(22) Considerando que os princípios constantes da presen­
te directiva concretizam e ampliam os constantes da 
convenção de 28 de Janeiro de 1981 do Conselho da 
Europa relativa à protecção das pessoas no que diz 
respeito ao tratamento automatizado dos dados 
pessoais; 
(23) Considerando que a existência em cada Estado-
-membro de uma autoridade de controlo independen­
te constitui um elemento essencial da protecção das 
5. 11. 90 Jornal Oficial das Comunidades Europeias N? C 277/5 
pessoas no que diz repeito ao tratamento de dados 
pessoais; que, a nível comunitário, deve ser criado um 
grupo de protecção dos dados pessoais, composto por 
representantes das autoridades de controlo nacionais, 
que exercerá as suas funções de forma independente; 
que, tendo em conta este carácter específico, deve 
aconselhar a Comissão e contribuir para a aplicação 
homogénea das regras nacionais de execução da 
presente directiva; 
(24) Considerando que a adopção das medidas comple­
mentares para a aplicação dos princípios da presente 
directiva necessita da atribuição de um poder 
regulamentar à Comissão e da criação de um comité 
consultivo, de acordo com as modalidades fixadas na 
Decisão 87/373/CEE do Conselho (l), 
ADOPTOU A PRESENTE DIRECTIVA: 
CAPÍTULO I 
DISPOSIÇÕES GERAIS 
Artigo 1° 
Objecto da directiva 
1. Os Estados-membros assegurarão, em conformidade 
com as disposições da presente directiva, a protecção da 
vida privada das pessoas no que diz respeito ao tratamento 
dos dados pessoais contidos em ficheiros. 
2. Os Estados-membros não podem restringir ou proibir 
a livre circulação dos dados pessoais entre Estados-
-membros por razões relativas à protecção assegurada por 
força do número anterior. 
Artigo 2? 
Definições 
Para efeitos da presente directiva, entende-se por: 
a) « Dados pessoais » qualquer informação relativa a uma 
pessoa singular identificada ou identificável («pessoa 
em causa»); é, nomeadamente, considerada identificá­
vel uma pessoa que pode ser identificada por referência 
a um número de identificação ou a uma informação 
similar; 
b) « Tornar anónimo » uma alteração dos dados pessoais 
de forma a que as informações que neles estão contidas 
possam deixar de estar associadas a uma pessoa singular 
determinada ou determinável, ou apenas mediante um 
esforço excessivo em pessoal, em custos e em tempo; 
c) «Ficheiro de dados pessoais» (ficheiro) qualquer 
conjunto de dados pessoais, centralizados ou repartidos 
(!) JO n? L 197 de 18. 7. 1987, p. 33. por vários locais, objecto de um tratamento automatiza­
do ou que, ainda que não o sejam, se encontrem 
estruturados e acessíveis num conjunto organizado 
segundo critérios determinados de forma a facilitar a 
utilização ou a interconexão dos dados; 
(d) « Tratamento » as operações efectuadas ou não com a 
ajuda de processos automatizados: registo, conserva­
ção, interconexão de dados, a sua alteração, a sua 
utilização e a sua comunicação, nomeadamente a 
transmissão, a difusão, a extracção, bem como o 
bloqueio e a limpeza; 
e) «Responsável pelo ficheiro» a pessoa singular ou 
colectiva, a autoridade pública, o serviço ou qualquer 
outro organismo competente, segundo o direito comu­
nitário ou a legislação nacional de um Estado-membro, 
para decidir qual será a finalidade do ficheiro, que 
categorias de dados pessoais devem ser registadas, que 
operações lhes serão aplicadas e os terceiros que a ele 
podem ter acesso; 
f) «Autoridade de controlo» a autoridade pública 
independente ou qualquer outra instância independen­
te, designadas por cada Estado-membro em conformi­
dade com o artigo 26? da presente directiva; 
g) «Sector público» o conjunto das administrações, 
organizações e entidades de um Estado-membro que 
relevam do direito público, à excepção das que 
participam numa actividade insustrial ou comercial, 
bem como os organismos e entidades de direito privado 
quando participem no exercício da autoridade pública; 
h) « Sector privado » qualquer pessoa singular ou colectiva, 
ou associação, incluindo as administrações, organiza­
ções e entidades do sector público, na medida em que 
exerçam uma actividade industrial ou comercial. 
Artigo 3? 
Âmbito de aplicação 
1. Os Estados-membros aplicarão as disposições da 
presente directiva aos ficheiros do sector privado e do 
sector público, à excepção dos ficheiros do sector público 
cujas actividades não relevem do âmbito de aplicação do 
direito comunitário. 
2. As disposições da presente directiva não se aplicam aos 
ficheiros: 
a) Na posse de uma pessoa singular exclusivamente para 
fins privados ou pessoais; ou 
b) Na posse de associações sem fim lucrativo, nomeada­
mente de natureza política, filosófica, religiosa, cultu­
ral, sindical, desportiva ou de lazer, no âmbito do seu 
objectivo legítimo e desde que digam unicamente 
N? C 277/6 Jornal Oficial das Comunidades Europeias 5. 11. 90 
respeito aos membros e correspondentes da associação 
que tenham consentido nele figurar e desde que não 
sejam comunicados a terceiros. 
Artigo 4° 
Direito aplicável 
1. Cada Estado-membro aplicará as disposições da 
presente directiva: 
a) A todos os ficheiros localizados no seu território; 
b) Ao responsável pelo ficheiro que resida no seu território 
e utilize a partir desse território um ficheiro localizado 
num país terceiro cuja legislação não possua um nível de 
protecção adequado, a menos que essa utilização seja 
esporádica. 
2. Cada Estado-membro aplicará as disposições previstas 
nos artigos 5?, 6?, 8?, 9?, 10?, 17?, 18? e 21? da presente 
directiva ao utilizador que consulte um ficheiro localizado 
num país terceiro a partir de um terminal localizado num 
território de um Estado-membro, a menos que esta 
utilização seja esporádica. 
3. Quando um ficheiro for temporariamente transferido 
de um Estado-membro para outro Estado-membro, este 
último não colocará qualquer obstáculo e não exigirá 
qualquer formalidade adicional às regras aplicáveis no 
Estado-membro de localização permanente do ficheiro. 
CAPÍTULO II 
LICITUDE DO TRATAMENTO NO SECTOR PÚBLICO 
Artigo 5? 
Princípios 
1. Sem prejuízo das disposições previstas no artigo 6?, os 
Estados-membros devem prever na sua legislação relativa 
aos ficheiros que relevam do sector público que: 
a) A criação de um ficheiro e qualquer outro tratamento de 
dados pessoais são lícitos na medida em que sejam 
necessários para a execução das tarefas da autoridade 
pública responsável por este ficheiro; 
b) O tratamento de dados para outra finalidade que não 
aquela para a qual o ficheiro foi criado é lícita se: 
— a pessoa em causa o consentir, ou 
— for efectuado com base no direito comunitário ou 
uma lei, ou num acto de execução de uma lei de um 
Estado-membro conforme à presente directiva que o 
permita e que fixe os seus limites, ou 
— um interesse legítimo da pessoa em causa não se 
opuser a essa alteração de finalidade, ou for necessária a fim de evitar uma ameaça iminente 
da ordem pública ou uma ameaça grave ao direito de 
outrem. 
Artigo 6° 
Tratamento no sector público que tenha por objectivo a 
comunicação de dados pessoais 
1. Os Estados-membros devem prever que a comunica­
ção de dados pessoais contidos em ficheiros de uma 
entidade do sector público só é lícita: 
a) Se for necessária para o exercício das tarefas da entidade 
do sector público que comunica ou que solicita a 
comunicação desses dados; ou 
b) A pedido de uma pessoa singular ou colectiva do sector 
privado que invoque um interesse legítimo desde que o 
interesse da pessoa em causa não prevaleça. 
2. Sem prejuízo do disposto no n? 1, os Estados-membros 
podem precisar os termos em que a comunicação de dados 
pessoais é lícita. 
3. Os Estados-membros devem prever na sua legislação 
que, no caso referido na alínea b) do n? 1, o responsável 
pelo ficheiro informe as pessoas em causa da comunicação 
dos dados pessoais. Os Estados-membros podem prever 
que esta informação seja substituída por uma autorização 
prévia da autoridade de controlo. 
Artigo 7? 
Obrigação de notificação à autoridade de controlo 
1. Os Estados-membros devem prever que a criação de 
um ficheiro do sector público, cujos dados pessoais são 
susceptíveis de serem comunicados, deva ser previamente 
notificada à autoridade de controlo para efeitos de registo. 
O registo pode ser consultado por qualquer pessoa. 
2. Os Estados-membros definirão as informações que 
devem ser notificadas à autoridade de controlo. Estas 
informações devem incluir, pelo menos, o nome e endereço 
do responsável pelo ficheiro, a finalidade do ficheiro, uma 
descrição do tipo de dados que este contém, os terceiros a 
quem os dados são susceptíveis de serem comunicados, 
bem como uma descrição das medidas tomadas nos termos 
do artigo 18?. 
3. Os Estados-membros podem prever que o disposto nos 
n?s 1 e 2 seja aplicável a outros ficheiros do sector público e 
que a consulta do registo possa ser limitada pelas razões 
referidas no n? 1 do artigo 15?. 
5. 11. 90 Jornal Oficial das Comunidades Europeias N? C 277/7 
CAPITULO III Artigo 109 
LICITUDE DO TRATAMENTO NO SECTOR PRIVADO 
Excepções especiais à obrigação 
Artigo 8° de informar a pessoa em causa 
Princípios 
1. Os Estados-membros devem prever que sem o 
consentimento da pessoa em causa, o registo num ficheiro 
ou qualquer outro tratamento de dados pessoais só são 
lícitos se estiverem de acordo com as disposições da 
presente directiva e se: 
a) O tratamento estiver incluído no âmbito de um contrato 
ou de uma relação de confiança quase-contratual com a 
pessoa em causa e se for necessário à sua realização; ou 
b) Os dados provierem de fontes geralmente acessíveis ao 
público e o seu tratamento se destinar unicamente à 
correspondência; ou 
c) O responsável do ficheiro prosseguir um interesse 
legítimo, desde que o interesse da pessoa em causa não 
pevaleça. 
2. Os Estados-membros devem prever que incumbe ao 
responsável pelo ficheiro assegurar que qualquer comuni­
cação não seja incompatível com a finalidade do ficheiro e 
que não prejudique a ordem pública. Em caso de consulta 
em linha, as mesmas obrigações incumbem ao utilizador. 
3. Sem prejuízo do disposto no n? 1, os Estados-membros 
podem precisar os termos em que o tratamento dos dados 
pessoais é lícito. 
Artigo 9? 
Obrigação de informação da pessoa em causa 
1. Os Estados-membros, relativamente ao sector privado, 
devem prever que, aquando da primeira comunicação ou 
aquando de uma possibilidade de consulta em linha, o 
responsável informará do facto a pessoa em causa, 
indicando igualmente a finalidade do ficheiro, os tipos de 
dados que nele figuram e o seu nome e endereço. 
2. A informação prevista no n? 1 não é obrigatória no 
caso previsto no n? 1, alínea b), do artigo 8?. A obrigação 
de informar não existe nos casos em que a comunicação 
seja imposta por lei. 
3. Se a pessoa em causa objectar à comunicação ou a 
qualquer outro tratamento, o responsável pelo ficheiro 
deve cessar o tratamento contestado, salvo se uma 
disposição legal a isso o autorizar. Se a informação da pessoa em causa, a que se refere o n? 1 
do artigo 9?, se revelar impossível ou implicar esforços 
desproporcionados, ou deparar com interesses legítimos 
predominantes do responsável pelo ficheiro ou com um 
interesse similar de um terceiro, os Estados-membros 
podem prever uma derrogação, mediante autorização da 
autoridade de controlo. 
Artigo 11°. 
Obrigação de notificação à autoridade de controlo 
1. Os Estados-membros devem prever que o responsável 
pelo ficheiro notifique a criação de um ficheiro de dados 
pessoais, desde que os dados se destinem a ser comunicados 
e não provenham de fontes geralmente acessíveis ao 
público. A notificação deve efectuar-se à autoridade de 
controlo do Estado-membro em que o ficheiro se encontra 
localizado ou, na ausência de localização num Estado-
-membro, à autoridade de controlo do Estado-membro em 
que o responsável residir. O responsável pelo ficheiro deve 
notificar às autoridades nacionais competentes quaisquer 
alterações de finalidade do ficheiro ou de endereço. 
2. Os Estados-membros definirão as informações que 
devem ser notificadas à autoridade de controlo. Estas 
informações devem incluir, pelo menos, o nome e o 
endereço do responsável pelo ficheiro, a finalidade do 
ficheiro, uma descrição dos tipos de dados que este contém, 
os terceiros a quem os dados são susceptíveis de serem 
comunicados e uma descrição das medidas tomadas nos 
termos do artigo 18?. 
3. Os Estados-membros podem prever que o disposto nos 
n?s 1 e 2 se aplique a outros ficheiros do sector privado e 
que as informações a que se refere o n? 2 sejam acessíveis ao 
público. 
CAPÍTULO IV 
DIREITOS DA PESSOA EM CAUSA 
Artigo 12°. 
O consentimento com conhecimento de causa 
Qualquer consentimento da pessoa em causa para um 
tratamento de dados pessoais que a ela digam respeito nos 
termos da presente directiva só é válido desde que: 
a) A pessoa disponha das seguintes informações: 
— as finalidades do ficheiro e os tipos de dados 
registados, 
N? C 277/8 Jornal Oficial das Comunidades Europeias 5. 11. 90 
— o tipo de utilização e, sendo caso disso, os 
destinatários dos dados pessoais contidos no 
ficheiro, 
— o nome e o endereço do responsável pelo ficheiro; 
b) Seja específico e expresso e precise os tipos de dados, as 
formas de tratamento e os eventuais destinatários que 
abrange; 
c) Possa ser retirado pela pessoa em causa a qualquer 
momento sem efeitos retroactivos. 
Artigo 13° 
A informação aquando da recolha 
1. Os Estados-membros devem garantir às pessoas junto 
das quais os dados pessoais são recolhidos o direito de 
serem informadas pelo menos sobre: 
a) As finalidades do ficheiro a que as informações se 
destinam; 
b) O carácter obrigatório ou não da sua resposta às 
questões que são objecto da recolha; 
c) As consequências que podem sofrer na ausência de 
resposta; 
d) Os destinatários das informações; 
e) A existência do direito de acesso e de rectificação dos 
dados que lhes dizem respeito; e 
f) O nome e o endereço do responsável pelo ficheiro. 
2. O disposto no n? 1 não é aplicável à recolha das 
informações no caso da informação da pessoa em causa 
impedir o exercício das funções de controlo e de verificação 
de uma autoridade pública ou a manutenção da ordem 
pública. 
Artigo 14° 
Direitos complementares da pessoa em causa 
Os Estados-membros reconhecerão à pessoa em causa os 
seguintes direitos: 
1. de se opor, por razões legítimas, a que dados pessoais 
que lhe digam respeito sejam objecto de um tratamento; 
2. de não estar sujeita a uma decisão administrativa ou 
privada que implique uma apreciação do seu comporta­
mento tendo por único fundamento um tratamento 
automatizado de dados pessoais que dêem uma 
definição do perfil ou da personalidade do interessado; 3. de conhecer a existência de um ficheiro, as suas 
finalidades principais, bem como a identidade e a 
residência habitual, a sede ou a localização do 
responsável pelo ficheiro; 
4. de obter, com uma periodicidade razoável e sem demora 
ou custos excessivos, a confirmação da existência ou 
não num ficheiro de dados pessoais que lhe diga 
respeito, bem como a comunicação desses dados numa 
forma inteligível. 
Os Estados-membros podem prever que o direito de 
acesso aos dados de natureza médica só possa ser 
exercido por intermédio de um médico; 
5. de obter, se for caso disso, a rectificação desses dados ou 
a sua limpeza ou o seu bloqueio quando o seu 
tratamento não estiver conforme com as disposições da 
presente directiva; 
6. de obter, mediante pedido, a limpeza sem custos dos 
dados que lhe dizem respeito registados nos ficheiros de 
prospecção comercial ou publicitária; 
7. de obter, em caso de aplicação do n? 5 do presente 
artigo e se os dados tiverem sido comunicados a 
terceiros, a notificação destes últimos, da rectificação, 
da limpeza ou do bloqueio; 
8. de dispor de um recurso jurisdicional em caso de 
violação dos direitos garantidos no presente artigo. 
Artigo 25? 
Derrogações ao direito de acesso da pessoa em causa 
aos ficheiros do sector público 
1. Os Estados-membros podem limitar, através de uma 
lei, os direitos previstos nos n?s 3 e 4 do artigo 14? por 
motivos relativos: 
a) À segurança do Estado; ou 
b) À defesa; ou 
c) A acções penais; ou 
d) À segurança pública; ou 
e) A um interesse económico e financeiro imperativo 
devidamente justificado de um Estado-membro ou da 
Comunidade Europeia; ou 
f) À necessidade do exercício das funções de controlo ou 
de inspecção da autoridade pública; ou 
g) A um direito equivalente de outra pessoa e dos direitos e 
liberdades de outrem. 
2. Nos casos referidos no n? 1, a autoridade de controlo 
deve poder proceder, a pedido da pessoa interessada, às 
verificações necessárias do ficheiro. 
5. 11. 90 Jornal Oficial das Comunidades Europeias N? C 277/9 
3. Os Estados-membros podem limitar o direito de acesso 
da pessoa interessada aos dados temporariamente coligi­
dos, a fim de deles extrair informações estatísticas. 
CAPÍTULO V 
QUALIDADE DOS DADOS 
Artigo 16? 
Princípios 
1. Os Estados-membros devem prever que: 
a) A recolha e o tratamento de dados pessoais sejam 
efectuados leal e licitamente; 
b) Os dados sejam registados para finalidades determina­
das, explícitas e legítimas e utilizados de forma 
compatível com estas finalidades; 
c) Os dados sejam adequados, pertinentes e não excessivos 
relativamente às finalidades para as quais são regista­
dos; 
d) Os dados sejam exactos e, se necessário, actualizados; 
os dados inexactos ou incompletos devem ser limpos ou 
rectificados; 
e) Os dados sejam conservados numa forma que permita a 
identificação das pessoas em causa apenas durante um 
período que não exceda o necessário para as finalidades 
relativamente às quais foram registados. 
2. Incumbe aos responsáveis pelo ficheiro assegurar o 
respeito do disposto no n? 1. 
Artigo 17? 
Categorias específicas de dados 
1. Os Estados-membros proibirão o tratamento automa­
tizado, salvo acordo facultativo, expresso e escrito da 
pessoa em causa, dos dados que revelem a origem racial e 
étnica, a opção política, as convicções religiosas ou 
filosóficas, as adesões a nível sindical, bem como as 
informações relativas à saúde e à vida sexual. 
2. Os Estados-membros podem prever, por motivos de 
interesse público importantes, derrogações ao disposto no 
n? 1 com base em lei que precise os tipos de dados 
registáveis, as pessoas que têm acesso ao ficheiro, bem 
como as garantias apropriadas contra as utilizações 
abusivas e os acessos não autorizados. 
3. Os dados relativos a condenações penais só podem ser 
conservados em ficheiros do sector público. Artigo 18? 
segurança dos dados 
1. Os Estados-membros devem prever que o responsável 
pelo ficheiro seja obrigado a tomar as medidas técnicas e 
organizativas apropriadas, necessárias à protecção do 
ficheiro contra a destruição, acidental ou não autorizada, a 
perda acidental, bem como contra a alteração ou o acesso e 
qualquer outro tratamento não autorizado de dados 
pessoais. 
Estas medidas devem assegurar, relativamente aos ficheiros 
automatizados, um nível de segurança apropriado, tendo 
em conta, por um lado, a evolução técnica na matéria e o 
custo da sua aplicação e, por outro, a natureza dos dados a 
proteger e a avaliação dos riscos potenciais. Para este 
efeito, o responsável pelo ficheiro deve tomar em 
consideração as recomendações em matéria de segurança 
informática e de interoperabilidade das redes elaboradas 
pela Comissão segundo as modalidades previstas no artigo 
29?. 
2. Devem ser escolhidos métodos que garantam uma 
segurança adequada para a transmissão de dados pessoais 
numa rede. 
3. Em caso de consulta em linha, as instalações técnicas e 
o suporte lógico devem ser concebidos de forma a que a 
consulta se realize dentro dos limites da autorização 
concedida pelo responsável pelo ficheiro. 
4. As obrigações a que se referem os n?s 1 a 3 incumbem 
igualmente às pessoas que, de facto ou por contrato, 
tenham o controlo das operações relativas a um ficheiro. 
5. Qualquer pessoa que no âmbito das suas actividades 
profissionais tenha acesso a informações contidas em 
ficheiros não deve comunicá-las a terceiros sem o acordo do 
responsável pelo ficheiro. 
CAPÍTULO VI 
DISPOSIÇÕES ESPECÍFICAS RELATIVAMENTE 
A CERTOS SECTORES 
Artigo 19? 
Os Estados-membros podem prever para os organismos de 
imprensa e do sector audiovisual derrogações às disposi­
ções da presente directiva, na medida em que sejam 
necessárias para conciliar o direito à vida privada com as 
regras que regem a liberdade de informação e de imprensa. 
Artigo 20? 
Os Estados-membros devem incentivar os meios profissio­
nais a participarem na elaboração de códigos europeus de 
N? C 277/10 Jornal Oficial das Comunidades Europeias 5. 11. 90 
deontologia ou de boa conduta em relação a certos sectores 
com base nos princípios contidos na presente directiva. 
CAPÍTULO VII 
RESPONSABILIDADE E SANÇÕES 
Artigo 21° 
Responsabilidade 
1. Os Estados-membros devem prever que qualquer 
pessoa, cujos dados pessoais sejam registados num ficheiro 
e que sofra um prejuízo devido ao tratamento ou a qualquer 
outra acção incompatíveis com as disposições da presente 
directiva, tenha direito a uma indemnização a cargo do 
responsável pelo ficheiro. 
2. Os Estados-membros podem prever que os danos 
resultantes de uma perda ou destruição de dados ou de um 
acesso não autorizado não sejam imputáveis ao responsá­
vel pelo ficheiro, se este provar que tomou as medidas 
apropriadas para respeitar as exigências enunciadas nos 
artigos 18? e 22?. 
Artigo 22° 
Tratamento por conta do responsável pelo ficheiro 
1. Os Estados-membros devem prever que o responsável 
pelo ficheiro deva, em caso de tratamento por sua conta, 
assegurar-se do respeito das medidas necessárias de 
segurança e de organização e escolher uma pessoa ou uma 
empresa que ofereça garantias suficientes a este respeito. 
2. Qualquer pessoa que recolha ou trate dados pessoais 
por conta do responsável pelo ficheiro deve respeitar as 
obrigações pevistas nos artigos 16? e 18? da presente 
directiva. 
3. O contrato deve ser escrito e especificar, em especial, 
que os dados pessoais só podem ser divulgados pelo 
prestador ou pelos seus empregados com o acordo do 
responsável pelo ficheiro. 
Artigo 23° 
Sanções 
Cada Estado-membro deve prever a aplicação de sanções 
dissuasivas a fim de assegurar o respeito das disposições de 
execução da presente directiva. CAPÍTULO VIII 
TRANSFERÊNCIA DE DADOS PESSOAIS 
PARA PAÍSES TERCEIROS 
Artigo 24° 
Princípios 
1. Os Estados-membros devem prever que a transferência 
para um país terceiro, com carácter temporário ou 
definitivo, de dados pessoais objecto de um tratamento ou 
recolhidos com o objectivo de os submeter a um tratamento 
desse tipo, só pode realizar-se se esse país assegurar um 
nível de protecção adequado. 
2. Os Estados-membros informarão a Comissão dos 
casos em que um país terceiro importador não assegure um 
nível de protecção adequado. 
3. Quando a Comissão verificar, quer com base em 
informações dos Estados-membros quer com base noutras 
informações, que um país terceiro não dispõe de um nível 
de protecção adequado e que a situação daí resultante se 
revela prejudicial para os interesses da Comunidade ou de 
um Estado-membro, pode encetar negociações tendo em 
vista sanar esta situação. 
4. A Comissão pode decidir, de acordo com o processo 
definido no n? 2 do artigo 30? da presente directiva, que um 
país terceiro assegura um nível de protecção adequado 
devido a compromissos internacionais por ele assumidos 
ou à sua legislação interna. 
5. As medidas tomadas nos termos do presente artigo são 
conformes às obrigações que incumbem à Comunidade por 
força de acordos internacionais, quer bilaterais quer 
multilaterais, que regulam a protecção das pessoas 
relativamente ao tratamento automatizado dos dados 
pessoais. 
Artigo 25° 
Derrogação 
1. Um Estado-membro pode derrogar ao disposto no n? 1 
do artigo 24?, relativamente a uma determinada exporta­
ção, mediante apresentação por parte do responsável pelo 
ficheiro de justificações suficientes que garantam o respeito 
de um nível de protecção adequado. O Estado-membro só 
pode conceder uma derrogação após ter informado a 
Comissão e os Estados-membros desse facto e na ausência 
de notificação de oposição expressa por um Estado-
-membro ou pela Comissão num prazo de dez dias. 
2. Em caso de notificação de oposição, a Comissão 
tomará as medidas apropriadas de acordo com o processo 
definido no n? 2 do artigo 30?. 
5. 11. 90 Jornal Oficial das Comunidades Europeias N? C 277/11 
CAPÍTULO IX 
AUTORIDADES DE CONTROLO E GRUPO DE 
PROTECÇÃO DOS DADOS PESSOAIS 
Artigo 26° 
A autoridade de controlo 
1. Os Estados-membros assegurarão que uma autoridade 
independente competente garantirá o controlo da protec­
ção dos dados pessoais. Esta autoridade será encarregada 
de vigiar a aplicação das disposições nacionais de execução 
da presente directiva e de preencher todas as atribuições 
que lhe são conferidas pela presente directiva. 
2. A autoridade referida disporá de meios de investigação 
e de poderes efectivos de intervenção contra a constituição 
e a exploração de ficheiros que não estejam conformes com 
as disposições da presente directiva. Para este efeito, 
disporá, nomeadamente, do direito de acesso aos ficheiros 
abrangidos pela presente directiva, devendo poder recolher 
quaisquer informações necessárias ao cumprimento das 
suas funções de controlo. 
3. À referida autoridade podem ser apresentadas por 
qualquer pessoa denúncias ou reclamações relativas à 
protecção das pessoas no que diz respeito a dados pessoais. 
Artigo 27? 
Grupo de protecção dos dados pessoais 
1. É criado um grupo de protecção dos dados pessoais. O 
grupo, de natureza consultiva e independente, será 
composto por representantes da autoridade de controlo, 
prevista no artigo 26°, de todos os Estados-membros e 
presidido por um representante da Comissão. 
2. O secretariado do grupo de protecção dos dados 
pessoais será assegurado pelos serviços da Comissão. 
3. O grupo de protecção dos dados pessoais elaborará o 
seu regulamento interno. 
4. O grupo de protecção dos dados pessoais apreciará as 
questões introduzidas na ordem de trabalhos pelo seu 
presidente, quer por iniciativa deste quer a pedido 
fundamentado de um representante das autoridades de 
controlo, e que digam respeito à aplicação das disposições 
de direito comunitário em matéria de protecção de dados 
pessoais. 
Artigo 28° 
Atribuições do grupo de protecção dos dados pessoais 
1. O grupo de protecção dos dados pessoais tem as 
seguintes atribuições: a) Contribuir para a aplicação homogénea das regras 
nacionais de execução da presente directiva; 
b) Emitir parecer sobre o nível de protecção na Comunida­
de e nos países terceiros; 
c) Aconselhar a Comissão sobre projectos de medidas 
adicionais ou específicas a tomar para salvaguardar a 
protecção da vida privada. 
2. Se o grupo de protecção dos dados pessoais verificar 
que surgem graves divergências entre a legislação ou a 
prática dos Estados-membros em matéria de protecção dos 
dados pessoais que ameacem prejudicar a equivalência da 
protecção na Comunidade, informará a Comissão desse 
facto. 
3. O grupo de protecção dos dados pessoais pode emitir 
recomendações sobre todas as questões relativas à 
protecção das pessoas no que diz respeito aos dados 
pessoais na Comunidade. As recomendações constarão da 
acta e podem ser transmitidas ao comité consultivo a que se 
refere o artigo 309. A Comissão informará o grupo de 
protecção dos dados pessoais do seguimento que deu às 
recomendações. 
4. O grupo de protecção dos dados elaborará um 
relatório anual sobre a situação da protecção das pessoas 
relativamente ao tratamento dos dados pessoais na 
Comunidade e nos países terceiros. 
CAPÍTULO X 
PODER REGULAMENTAR DA COMISSÃO 
Artigo 29° 
Exercício do poder regulamentar 
A Comissão adoptará, de acordo com o processo previsto 
no n? 2 do artigo 30?, as modalidades de carácter técnico 
necessárias para aplicar a presente directiva às especificida­
des de certos sectores, tendo em conta a situação nesta 
matéria e os códigos de boa conduta. 
Artigo 30? 
Comité consultivo 
1. A Comissão será assistida por um comité consultivo 
composto por representantes dos Estados-membros e 
presidido pelo representante da Comissão. 
2. O representante da Comissão apresentará ao comité 
um projecto de medidas a tomar. O comité emitirá um 
parecer sobre este projecto, num prazo que o presidente 
N? C 277/12 Jornal Oficial das Comunidades Europeias 5. 11. 90 
pode fixar em função da urgência da questão em causa, se 
necessário procedendo a uma votação. O parecer constará 
da acta; além disso, cada Estado-membro terá o direito de 
solicitar que a sua posição conste dessa mesma acta. A 
Comissão tomará na melhor conta o parecer emitido pelo 
comité. O comité será por ela informado do modo como 
tomou em consideração o seu parecer. 
DISPOSIÇÕES FINAIS 
Artigo 31? 
1. Os Estados-membros adoptarão as disposições legisla­
tivas, regulamentares e administrativas necessárias para 
darem cumprimento à presente directiva, o mais tardar até 
1 de Janeiro de 1993. 
As disposições adoptadas por força do n? 1 referir-se-ão 
explicitamente à presente directiva. 
O CONSELHO DAS COMUNIDADES EUROPEIAS, 
Tendo em conta o Tratado que institui a Comunidade 
Económica Europeia e, nomeadamente, o seu artigo 100?A, 
Tendo em conta a proposta da Comissão, 
Em cooperação com o Parlamento Europeu, 
Tendo em conta o parecer do Comité Económico e Social, 
(1) Considerando que a Directiva ... do Conselho relativa 
à protecção das pessoas no que diz respeito ao 
tratamento dos dados pessoais preconiza que os 
Estados-membros assegurem a protecção da vida 
privada das pessoas; 
(2) Considerando que estão a surgir actualmente na 
Comunidade Europeia novas redes públicas telefóni­
cas digitais avançadas que suscitam requisitos especí­
ficos relativos à protecção de dados pessoais e da vida 
privada do utilizador; 
(3) Considerando que esta questão está especialmente 
relacionada com a introdução da Rede Digital de 
Serviços Integrados (RDSI) e de redes públicas móveis 
digitais; 
(4) Considerando que o Conselho de Ministros, na sua 
resolução de 30 de Junho de 1988 relativa ao 2. Os Estados-membros comunicarão à Comissão o texto 
das disposições de direito interno que venham a adoptar no 
domínio regulado pela presente directiva. 
Artigo 32? 
A Comissão transmitirá periodicamente ao Conselho e ao 
Parlamento Europeu um relatório sobre a aplicação da 
presente directiva, nele incluindo, se for caso disso, 
propostas de alteração adequadas. 
Artigo 33? 
Os Estados-membros são os destinatários da presente 
directiva. 
desenvolvimento do mercado comum de serviços e 
equipamentos de telecomunicações até 1992 (*), 
apelava para a tomada de medidas destinadas à 
protecção de dados pessoais, a fim de ser criado um 
ambiente adequado para o futuro desenvolvimento as 
telecomunicações na Comunidade; que o Conselho 
voltou a sublinhar a importância da protecção de 
dados pessoais e da vida privada na sua resolução de 
18 de Julho de 1989 relativa ao reforço da coordena­
ção para a introdução da Rede Digital de Serviços 
Integrados (RDSI) na Comunidade Europeia (2); 
(5) Considerando que o Parlamento Europeu sublinhou a 
importância da protecção de dados pessoais e da vida 
privada nas redes de telecomunicações, nomeadamen­
te no que respeita à introdução da Rede Digital de 
Serviços Integrados (RDSI) (3) (4) (5); 
(6) Considerando que a Recomendação 81/679/CEE da 
Comissão faz apelo à adopção e ratificação pelos 
(!) JO n? C 257 de 4. 10. 1988, p. 1. 
(2) JO n? C 196 de 1. 8. 1989, p. 4. 
(3) JO n? C 7 de 12. 1. 1987, p. 334. 
(4) JO n? C 12 de 16. 1. 1989, p. 69. 
(5) JO n? C 12 de 16. 1. 1989, p. 66. Proposta de Directiva do Conselho relativa à protecção de dados pessoais e da vida privada no 
contexto das redes públicas digitais de telecomunicações, nomeadamente a rede digital de serviços 
integrados (RDSI) e as redes públicas móveis digitais 
COM(90) 314 final — SYN 288 
(Apresentada pela Comissão em 27 de Julho de 1990) 
(90/C 277/04)