P7_TA(2014)0219

Tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção da criminalidade ***I

Resolução legislativa do Parlamento Europeu, de 12 de março de 2014, sobre a proposta de diretiva do Parlamento Europeu e do Conselho relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e de repressão de infrações penais ou de execução de sanções penais, e à livre circulação desses dados (COM(2012)0010 — C7-0024/2012 — 2012/0010(COD))

(Processo legislativo ordinário: primeira leitura)

(2017/C 378/59)

O Parlamento Europeu,

Tendo em conta o artigo 294.o, n.o 2, e o artigo 16.o, n.o 2, alínea a), do Tratado sobre o Funcionamento da União Europeia, nos termos dos quais a proposta lhe foi apresentada pela Comissão (C7-0024/2012),

Tendo em conta o artigo 294.o, n.o 3, do Tratado sobre o Funcionamento da União Europeia,

Tendo em conta os pareceres fundamentados apresentado pelo Bundesrat alemão e pelo Parlamento sueco, no âmbito do Protocolo n.o 2 relativo à aplicação dos princípios da subsidiariedade e da proporcionalidade, segundo os quais o projeto de ato legislativo não respeita o princípio da subsidiariedade,

(1) JO C 192 de 30.6.2012, p. 7.

P7_TC1-COD(2012)0010

Posição do Parlamento Europeu, aprovada em primeira leitura em 12 de março de 2014, tendo em vista a adoção da Diretiva 2014/…/CE do Parlamento Europeu e do Conselho relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou de execução de sanções penais, e à livre circulação desses dados

O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 16.o, n.o 2,

Tendo em conta a proposta da Comissão Europeia,

Após transmissão do projeto de ato legislativo aos parlamentos nacionais,

Tendo em conta o parecer da Autoridade Europeia para a Proteção de Dados (1),

Deliberando de acordo com o processo legislativo ordinário (2),

Considerando o seguinte:

(1) A proteção das pessoas singulares relativamente ao tratamento de dados pessoais é um direito fundamental. O artigo 8.o, n.o 1, da Carta dos Direitos Fundamentais da União Europeia («Carta») e o artigo 16.o, n.o 1, do Tratado sobre o Funcionamento da União Europeia estabelecem que todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito. Nos termos do artigo 8.o, n.o 2, da Carta, esses dados devem ser objecto de um tratamento leal, para fins específicos e com o consentimento da pessoa interessada ou com outro fundamento legítimo previsto por lei . [Alt. 1]

(2) O tratamento dos dados pessoais é concebido para servir as pessoas; os princípios e as regras em matéria de proteção das pessoas singulares no que respeita ao tratamento dos seus dados pessoais devem respeitar, independentemente da nacionalidade ou do local de residência dessas pessoas, os seus direitos e liberdades fundamentais, particularmente o direito à proteção dos dados pessoais. O tratamento dos dados deve contribuir para a realização de um espaço de liberdade, segurança e justiça.

(3) A rápida evolução tecnológica e a globalização criaram novos desafios em matéria de proteção de dados pessoais. A partilha e a recolha de dados registaram um espetacular aumento. As novas tecnologias permitem às autoridades competentes utilizar dados pessoais numa escala sem precedentes no exercício das suas atividades.

(4) Esta evolução exige uma maior facilidade na livre circulação de dados , quando necessário e proporcionado, entre as autoridades competentes a nível da União e na sua transferência para países terceiros e organizações internacionais, assegurando paralelamente um elevado nível de proteção dos dados pessoais. Este contexto obriga ao estabelecimento na União de um quadro de proteção de dados sólido e mais coerente, apoiado por uma aplicação rigorosa das regras. [Alt. 2]

(5) A Diretiva 95/46/CE do Parlamento Europeu e do Conselho (3), é aplicável a todas as atividades de tratamento de dados pessoais realizadas nos Estados-Membros, nos setores público e privado. Não se aplica, porém, ao tratamento de dados pessoais «no exercício de atividades não sujeitas à aplicação do direito comunitário, como as atividades realizadas nos domínios da cooperação judiciária em matéria penal e da cooperação policial.

(6) A Decisão-Quadro 2008/977/JAI do Conselho (4), é aplicável no domínio da cooperação judiciária em matéria penal e da cooperação policial. O seu âmbito de aplicação limita-se ao tratamento de dados pessoais transmitidos ou disponibilizados entre os Estados-Membros.

(7) É crucial assegurar um nível elevado e coerente de proteção dos dados pessoais das pessoas singulares e facilitar o intercâmbio de dados pessoais entre as autoridades competentes dos Estados-Membros, a fim de assegurar a eficácia da cooperação judiciária em matéria penal e da cooperação policial. Para tal, há que garantir normas mínimas em todos os Estados-Membros no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou de execução de sanções penais Para tal, o nível de proteção dos direitos e liberdades das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou de execução de sanções penais, tem de ser equivalente em todos os Estados-Membros. É conveniente assegurar em toda a União a aplicação coerente e homogénea das regras de proteção dos direitos e das liberdades fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais. A proteção efetiva dos dados pessoais na União exige não só reforçar os direitos dos titulares de dados e as obrigações dos responsáveis pelo tratamento de dados pessoais, mas também poderes equivalentes para controlar e assegurar a conformidade com as regras de proteção dos dados pessoais nos Estados-Membros. [Alt. 3]

(8) O artigo 16.o, n.o 2, do Tratado sobre o Funcionamento da União Europeia prevê que o Parlamento Europeu e o Conselho estabeleçam as regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais, bem como as regras relativas à livre circulação desses dos seus dados pessoais . [Alt. 4]

(9) Com base nessa orientação, o Regulamento (UE) n.o …/2014 do Parlamento Europeu e do Conselho, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (regulamento geral de proteção de dados), estabelece regras gerais visando proteger as pessoas singulares relativamente ao tratamento de dados pessoais e assegurar a livre circulação de dados pessoais na União.

(10) Na Declaração 21 sobre a proteção de dados pessoais no domínio da cooperação judiciária em matéria penal e da cooperação policial, anexada à ata final da Conferência Intergovernamental que adotou o Tratado de Lisboa, a Conferência reconheceu que, atendendo à especificidade dos domínios em causa, poderão ser necessárias disposições específicas sobre proteção de dados pessoais e a livre circulação desses dados, nos domínios da cooperação judiciária em matéria penal e da cooperação policial, com base no artigo 16.o do Tratado sobre o Funcionamento da União Europeia.

(11) Por conseguinte, uma diretiva distinta específica deve permitir responder à natureza específica destes domínios e estabelecer as regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou de execução de sanções penais. [Alt. 5]

(12) A fim de assegurar o mesmo nível de proteção para as pessoas singulares através de direitos juridicamente protegidos no conjunto da União e evitar que as divergências constituam um obstáculo ao intercâmbio de dados pessoais entre as autoridades competentes, a presente diretiva prevê regras harmonizadas para a proteção e a livre circulação de dados pessoais nos domínios da cooperação judiciária em matéria penal e da cooperação policial.

(13) A presente diretiva permite tomar em consideração o princípio do direito de acesso público aos documentos oficiais aquando da aplicação das suas disposições.

(14) A proteção conferida pela presente diretiva diz respeito a pessoas singulares, independentemente da sua nacionalidade ou lugar de residência, relativamente ao tratamento de dados pessoais.

(15) A proteção das pessoas singulares deve ser neutra em termos tecnológicos e independente das técnicas utilizadas, sob pena de se correr um sério risco de ser contornada. Deve aplicar-se ao tratamento de dados pessoais por meios automatizados e manuais se os dados estiverem contidos ou forem destinados a serem conservados num sistema de ficheiros. As pastas ou conjuntos de pastas, bem como as suas capas, que não estejam estruturadas de acordo com critérios específicos, não se incluem no âmbito de aplicação da presente diretiva. A presente diretiva não se aplica ao tratamento de dados pessoais efetuado no exercício de atividades não sujeitas à aplicação do direito da União, nomeadamente as relativas à segurança nacional, nem aos dados tratados pelas instituições, organismos, serviços e agências da União, designadamente a Europol ou a Eurojust.. O Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho (5) e os instrumentos jurídicos específicos aplicáveis às agências, aos organismos ou aos serviços da União devem ser alinhados pela presente directiva e aplicados em conformidade com a presente directiva . [Alt. 6]

(16) Os princípios da proteção de dados devem aplicar-se a qualquer informação relativa a uma pessoa singular identificada ou identificável. Para determinar se uma pessoa é identificável, importa considerar o conjunto dos meios suscetíveis de serem razoavelmente utilizados, quer pelo responsável pelo tratamento dos dados quer por qualquer outra pessoa, para identificar , normalmente ou de forma seletiva, a referida pessoa. Os princípios da proteção de dados não se aplicam a dados tornados de tal forma anónimos que o titular dos dados já não possa ser identificado. A presente diretiva não deve aplicar-se a dados anónimos, ou seja, a todos os dados que não possam ser relacionados, direta ou indiretamente, isoladamente ou em combinação com dados conexos, com uma pessoa singular. Dada a importância dos desenvolvimentos em curso no âmbito da sociedade da informação, das técnicas usadas para captar, transmitir, manipular, registar, conservar ou comunicar dados de localização de pessoas singulares — que podem ser usadas para finalidades diferentes, incluindo a vigilância ou a definição de perfis — a diretiva deve ser aplicável ao tratamento destes dados pessoais . [Alt. 7]

(16-A) Qualquer tratamento de dados pessoais deve ser efetuado de forma lícita, leal e transparente para com as pessoas em causa. Em especial, as finalidades específicas do tratamento devem ser explícitas e legítimas e ser determinadas aquando da recolha dos dados pessoais. Os dados pessoais devem ser adequados, pertinentes e limitados ao mínimo necessário às finalidades de tratamento para as quais se destinam. Tal exige, em particular, que os dados recolhidos sejam em volume limitado e o período de conservação seja restringido rigorosamente ao mínimo. Os dados pessoais apenas devem ser tratados se a finalidade do tratamento não puder ser atingida por outros meios. Devem ser adotadas todas as medidas razoáveis para assegurar que os dados pessoais inexatos sejam retificados ou apagados. Para assegurar que os dados sejam conservados apenas durante o período considerado necessário, o responsável pelo tratamento deve fixar os prazos para o apagamento ou a revisão periódica. [Alt. 8]

(17) Os dados pessoais relativos à saúde devem incluir, em especial, todos os dados relativos ao estado de saúde de um titular de dados, informações sobre a inscrição da pessoa singular para a prestação de serviços de saúde, informações sobre pagamentos ou elegibilidade para cuidados de saúde; um número, símbolo ou sinal particular atribuído a uma pessoa singular para a identificar de forma inequívoca para fins de cuidados de saúde; quaisquer informações sobre a pessoa recolhidas no decurso de uma prestação de serviços de saúde; informações obtidas a partir de testes ou exames de uma parte do corpo ou de uma substância corporal, incluindo amostras biológicas; identificação de uma pessoa enquanto prestador de cuidados de saúde ao doente; ou quaisquer informações sobre, por exemplo, uma doença, deficiência, risco de doença, historial clínico, tratamento clínico ou estado físico ou biomédico atual do titular de dados, independentemente da sua fonte, por exemplo, um médico ou outro profissional de saúde, um hospital, um aparelho médico ou um teste de diagnóstico in vitro.

(18) Qualquer tratamento de dados pessoais deve ser efetuado de forma lícita, leal e transparente para com as pessoas em causa. Em especial, as finalidades específicas do tratamento devem ser explícitas. [Alt. 9]

(19) Para efeitos de prevenção, investigação e repressão de infrações penais, é necessário que as autoridades competentes conservem e tratem os dados pessoais, recolhidos no contexto da prevenção, investigação, deteção e repressão de infrações penais específicas, e para além desse contexto, a fim de obter uma melhor compreensão dos fenómenos criminais e das tendências que os caracterizam, recolher informação específica sobre as redes criminosas organizadas e estabelecer ligações entre as diferentes infrações detetadas. [Alt. 10]

(20) Os dados pessoais não devem ser tratados para fins incompatíveis com a finalidade para a qual foram recolhidos. Os dados pessoais tratados devem ser adequados, pertinentes e não excessivos para as finalidades do tratamento. Devem ser adotadas todas as medidas razoáveis para assegurar que os dados pessoais inexatos são retificados ou apagados. [Alt. 11]

(20-A) O simples facto de duas finalidades estarem relacionadas com a prevenção, investigação, deteção ou repressão de infrações penais ou de execução de sanções penais não significa necessariamente que as mesmas sejam compatíveis. No entanto, há casos em que o tratamento posterior para finalidades incompatíveis deve ser possível, caso seja necessário para o cumprimento de uma obrigação legal à qual o responsável pelo tratamento esteja sujeito, a fim de proteger os interesses vitais do titular dos dados ou de outra pessoa ou para a prevenção de uma ameaça grave e imediata para a segurança pública. Por conseguinte, os Estados-Membros devem poder adotar legislação nacional que preveja estas derrogações na medida do estritamente necessário. Essa legislação nacional deve conter salvaguardas adequadas. [Alt. 12]

(21) É conveniente aplicar o princípio da exatidão dos dados tendo em conta a natureza e a finalidade do tratamento em causa. Em especial no caso de processos judiciais, as declarações que contêm dados pessoais são baseadas em perceções pessoais subjetivas e nem sempre são verificáveis. Este princípio não deve, portanto aplicar-se à exatidão da própria declaração, mas simplesmente ao facto de tal declaração ter sido feita.

(22) Na interpretação e aplicação dos princípios gerais relacionados com o tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais, ou de execução de sanções penais, deve atender-se às especificidades do setor, incluindo os objetivos específicos prosseguidos. [Alt. 13]

(23) O tratamento de dados pessoais nos domínios da cooperação judiciária em matéria penal e da cooperação policial implica necessariamente o tratamento de dados pessoais relativos a categorias diferentes de titulares de dados. Importa, portanto, estabelecer uma distinção o mais clara possível entre dados pessoais de diferentes categorias de titulares de dados, tais como suspeitos, pessoas condenadas por um crime, vítimas e terceiros, designadamente testemunhas, pessoas que detenham informações ou contactos úteis, e os cúmplices de pessoas suspeitas ou condenadas. Os Estados-Membros devem prever regras específicas para as consequências desta distinção entre categorias, tendo em conta as diversas finalidades para as quais são recolhidos os dados e prevendo garantias específicas para as pessoas que não sejam suspeitas de terem cometido infrações penais ou que não tenham sido condenadas por terem cometido infrações penais . [Alt. 14]

(24) Na medida do possível, os dados pessoais devem ser distinguidos em função do seu grau de precisão e de fiabilidade. Os factos devem ser distinguidos de apreciações pessoais, a fim de assegurar simultaneamente a proteção das pessoas singulares e a qualidade e a fiabilidade da informação tratada pelas autoridades competentes.

(25) Para ser lícito, o tratamento de dados pessoais tem de ser autorizado apenas quando necessário para o respeito de uma obrigação legal à qual o responsável pelo tratamento esteja sujeito, bem como para a execução de uma missão de interesse público por uma autoridade competente prevista na lei, ou para a proteção dos interesses vitais do titular dos dados ou de outra pessoa, ou para a prevenção de uma ameaça grave e imediata para a segurança pública da União ou dos Estados-Membros, a qual deve conter disposições explícitas e pormenorizadas acerca, pelo menos, dos objetivos, dados pessoais, meios e finalidades específicas, nomear ou permitir a nomeação do responsável pelo tratamento, os procedimentos a seguir, a utilização e limitações do âmbito de qualquer poder discricionário conferido às autoridades competentes relativamente às atividades de tratamento . [Alt. 15]

(25-A) Os dados pessoais não devem ser tratados para fins incompatíveis com a finalidade para a qual foram recolhidos. O tratamento posterior pelas autoridades competentes para uma finalidade abrangida pelo âmbito da presente diretiva que não seja compatível com a finalidade original só deve ser autorizado em casos específicos, quando esse tratamento for necessário para o cumprimento de uma obrigação legal, com base na legislação da União ou ou do Estado-Membro à qual o responsável pelo tratamento esteja sujeito, ou a fim de proteger os interesses vitais do titular dos dados ou de outra pessoa, ou para a prevenção de uma ameaça grave e imediata para a segurança pública. O facto de os dados serem tratados para fins de aplicação da lei não implica necessariamente que esta finalidade seja compatível com a finalidade inicial. O conceito de utilização compatível deve ser interpretado de forma restritiva. [Alt. 16]

(25-B) Deve ser posto termo ao tratamento de dados pessoais em violação das disposições nacionais adotadas nos termos da presente diretiva. [Alt. 17]

(26) Os dados pessoais que sejam, devido à sua natureza, especialmente sensíveis e vulneráveis do ponto de vista dos direitos fundamentais ou da privacidade, designadamente os dados genéticos, merecem proteção específica. Estes dados não devem ser objeto de tratamento, salvo se essa operação for especificamente autorizada por uma lei necessária ao exercício de uma missão de interesse público, com base no direito da União ou na legislação do Estado-Membro que preveja medidas adequadas de proteção dos direitos fundamentais e dos interesses legítimos do titular dos dados, ou se for necessário para proteger os interesses vitais do titular dos dados ou de outra pessoa, ou se estiver relacionado com dados que tenham sido manifestamente tornados públicos pelo titular dos dados. Os dados pessoais sensíveis só devem ser tratados se complementarem outros dados pessoais já tratados para finalidades de aplicação da lei. As derrogações da proibição de tratamento de dados sensíveis devem ser interpretadas de forma restritiva e não devem levar a um tratamento frequente, massivo ou estrutural de dados pessoais sensíveis . [Alt. 18]

(26-A) O tratamento de dados genéticos deve ser autorizado apenas se existir uma ligação genética revelada durante uma investigação criminal ou um processo judicial. Os dados genéticos devem ser conservados apenas durante o tempo estritamente necessário no quadro dessas investigações e desses processos, se bem que os Estados-Membros possam estabelecer períodos de conservação mais prolongados, nas condições definidas na presente diretiva. [Alt. 19]

(27) Qualquer pessoa singular deve ter o direito a não estar sujeita a uma medida baseada exclusivamente no na definição parcial ou total de perfis através de tratamento automatizado, se este produzir . O tratamento que produza efeitos negativos na esfera jurídica dessa pessoa ou a afete de modo significativo deve ser proibido , salvo se autorizada autorizado por lei e subordinada subordinado a medidas adequadas que garantam os direitos fundamentais e os interesses legítimos do titular de dados , designadamente o direito de receber informação pertinente acerca da lógica utilizada na definição dos perfis . Este tratamento não deve, em circunstância alguma, incluir, produzir ou discriminar dados com base em categorias especiais . [Alt. 20]

(28) A fim de permitir aos titulares de dados exercer os seus direitos, quaisquer informações que lhe sejam dirigidas devem ser de fácil acesso e compreensão e, nomeadamente, formuladas em termos claros e simples. Estas informações devem ser adaptadas às necessidades do titular de dados, em particular quando as informações são dirigidas especificamente a uma criança . [Alt. 21]

(29) Devem ser previstas modalidades para facilitar o exercício pelo titular de dados dos direitos conferidos pela presente diretiva, incluindo mecanismos para solicitar, a título gratuito, em especial o acesso aos dados, a sua retificação e apagamento. O responsável pelo tratamento deve ser obrigado a responder aos pedidos do titular de dados sem demora injustificada e no prazo de um mês a contar da receção do pedido . Sempre que os dados pessoais sejam objeto de tratamento automatizado, o responsável pelo tratamento deve prever meios para a apresentação de pedidos por via eletrónica . [Alt. 22]

(30) Os princípios de tratamento leal e transparente exigem que o titular dos dados seja informado, em especial, da existência da operação de tratamento de dados e das suas finalidades, do seu fundamento jurídico, do período de conservação dos dados, da existência do direito de acesso, retificação ou apagamento, bem como do seu direito de apresentar uma queixa. Além disso, o titular dos dados deve ser informado de uma eventual definição de perfis e dos efeitos que a mesma visa produzir. Sempre que os dados forem recolhidos junto do titular dos dados, este deve ser também informado da obrigatoriedade de fornecer esses dados e das respetivas consequências, caso não os faculte. [Alt. 23]

(31) As informações sobre o tratamento de dados pessoais devem ser fornecidas ao titular dos dados no momento da sua recolha ou, se a recolha não foi obtida junto da pessoa em causa, no momento do seu registo ou num prazo razoável após a sua recolha, dependendo das circunstâncias do caso.

(32) Qualquer pessoa deve ter o direito de acesso aos dados recolhidos sobre si e de exercer facilmente este direito, a fim de conhecer e verificar a licitude do tratamento. Por conseguinte, cada titular de dados deve ter o direito de conhecer e ser informado, em especial, das finalidades a que se destinam os dados tratados, da base jurídica, da duração da sua conservação, bem como da identidade dos destinatários, incluindo em países terceiros , de informações compreensíveis sobre a lógica subjacente a qualquer tratamento automatizado dos dados e da importância e consequências previstas de tal tratamento, se aplicável, bem como do direito de apresentar queixa a uma autoridade de controlo e de obter os contactos desta. Os titulares de dados devem poder obter uma cópia dos seus dados pessoais objeto de tratamento. [Alt. 24]

(33) Os Estados-Membros devem ser autorizados a adotar medidas legislativas visando atrasar a informação dos titulares de dados ou o acesso aos dados pessoais que lhes digam respeito, ou a não fornecer essas informações ou esse acesso, desde que tal limitação, parcial ou total, represente uma medida necessária e proporcional numa sociedade democrática, tendo devidamente em conta os direitos fundamentais e os interesses legítimos do titular de dados, a fim de evitar que tal constitua um obstáculo para os inquéritos, investigações e procedimentos oficiais ou legais, para evitar prejudicar a prevenção, investigação, deteção e repressão de infrações penais ou a execução de sanções penais, para proteger a segurança pública ou a segurança nacional ou proteger o titular de dados ou os direitos e as liberdades de terceiros. O responsável pelo tratamento deve avaliar, através dum exame individual e concreto de cada caso específico, se as limitações parciais ou totais são aplicáveis ao direito de acesso . [Alt. 25]

(34) Qualquer recusa ou restrição do acesso deve ser comunicada por escrito ao titular dos dados, indicando simultaneamente os motivos factuais ou jurídicos que fundamentam a decisão adotada.

(34-A) Quaisquer restrições dos direitos do titular de dados devem respeitar a Carta e a Convenção Europeia dos Direitos do Homem, tal como clarificados pela jurisprudência do Tribunal de Justiça da União Europeia e do Tribunal Europeu dos Direitos do Homem, e devem, em particular, respeitar o conteúdo essencial dos direitos e liberdades. [Alt. 26]

(35) Sempre que os Estados-Membros tiverem adotado medidas legislativas para limitar total ou parcialmente o direito de acesso, o titular de dados deve ter o direito de solicitar à autoridade nacional de controlo competente que verifique a licitude do tratamento. O titular de dados deve ser informado desse direito. Quando o direito de acesso for exercido pela autoridade de controlo em nome do titular de dados, a autoridade de controlo deve pelo menos informar o interessado de que foram realizadas todas as verificações necessárias e do resultado relativamente à licitude do tratamento em questão. A autoridade de controlo deve também informar o titular de dados do seu direito de ação judicial . [Alt. 27]

(36) Qualquer pessoa deve ter o direito a que os dados incorretos ou tratados indevidamente que lhe digam respeito sejam retificados e o «direito a ser esquecido», quando o tratamento não for conforme com os princípios gerais enunciados na as disposições da presente diretiva. A retificação, o aditamento ou o apagamento devem ser comunicados aos destinatários a quem os dados tenham sido divulgados e aos terceiros na origem dos dados inexatos. Os responsáveis pelo tratamento devem igualmente abster-se de qualquer comunicação ulterior desses dados. Sempre que os dados pessoais forem tratados no âmbito de uma investigação criminal ou de um processo penal, o direito à informação, o direito de acesso, de retificação e de apagamento, bem como o direito de limitação do tratamento, podem ser exercidos em conformidade com as regras nacionais aplicáveis aos processos judiciais. [Alt. 28]

(37) Deve ser definida uma responsabilidade global do responsável pelo tratamento por qualquer tratamento de dados pessoais que ele próprio realize ou que seja realizado por sua conta. Em especial, o responsável pelo tratamento deve assegurar e ser obrigado a poder demonstrar a conformidade das operações de cada operação de tratamento de dados com o disposto na presente diretiva. [Alt. 29]

(38) A proteção dos direitos e liberdades dos titulares de dados relativamente ao tratamento dos seus dados pessoais exige a adotada de medidas técnicas e organizativas adequadas, a fim de assegurar o cumprimento dos requisitos da presente diretiva. A fim de assegurar a conformidade com a presente diretiva, o responsável pelo tratamento deve adotar regras internas e aplicar medidas apropriadas conformes, em especial, com os princípios de proteção de dados desde a conceção e de proteção de dados por defeito.

(39) A proteção dos direitos e liberdades dos titulares de dados, bem como a responsabilidade dos responsáveis pelo tratamento e dos subcontratantes, exige uma clara repartição das responsabilidades nos termos da presente diretiva, nomeadamente quando o responsável pelo tratamento determina as finalidades e os meios do tratamento conjuntamente com outros responsáveis, ou quando uma operação de tratamento de dados é efetuada por conta de um responsável pelo tratamento. O titular dos dados deve ter o direito de exercer os seus direitos nos termos da presente diretiva relativamente a cada um dos responsáveis conjuntos e contra eles . [Alt. 30]

(40) A fim de comprovar a observância da presente diretiva, o responsável pelo tratamento ou o subcontratante deve documentar cada operação de tratamento de dados. Cada responsável pelo tratamento e subcontratante deve ser obrigado a cooperar com a autoridade de controlo e a disponibilizar essa documentação, quando tal lhe for solicitado, para que possa servir ao controlo dessas operações de tratamento.

(40-A) Cada operação de tratamento de dados pessoais deve ser registada para permitir a verificação da licitude do tratamento e o acompanhamento, bem como garantir a integridade e segurança dos dados. Este registo deve ser disponibilizado à autoridade de controlo, quando tal lhe for solicitado, para controlar o respeito das normas estabelecidas na presente diretiva. [Alt. 31]

(40-B) Deve ser efetuada uma avaliação do impacto na proteção de dados pelo responsável pelo tratamento ou pelo subcontratante quando as operações de tratamento especificadas forem suscetíveis de apresentar riscos específicos para os direitos e liberdades dos titulares de dados devido à sua natureza, âmbito ou finalidades, a qual deve incluir, em particular, as medidas previstas, garantias e mecanismos para assegurar a proteção dos dados pessoais, e demonstrar a conformidade com a presente diretiva. As avaliações do impacto na proteção de dados devem ter como objeto os sistemas e processos pertinentes das operações de tratamento dos dados pessoais, mas não casos individuais. [Alt. 32]

(41) A fim de assegurar a proteção efetiva dos direitos e liberdades dos titulares de dados através de ações preventivas, o responsável pelo tratamento ou o subcontratante deve, em determinados casos, consultar a autoridade de controlo previamente à operação de tratamento. Além disso, sempre que uma avaliação de impacto sobre a proteção de dados indicar que as operações de tratamento de dados podem acarretar um elevado grau de riscos particulares para os direitos e liberdades dos titulares de dados, a autoridade de controlo deve estar em condições de impedir, antes de as operações terem início, um tratamento arriscado suscetível de não estar em conformidade com a presente diretiva, e de apresentar propostas para remediar essa situação. Essa consulta deve igualmente ser efetuada durante os trabalhos de elaboração de uma medida legislativa pelo parlamento nacional, ou de uma medida baseada nesta última que defina a natureza do tratamento e especifique as garantias adequadas . [Alt. 33]

(41-A) A fim de preservar a segurança e evitar o tratamento em violação da presente diretiva, o responsável pelo tratamento, ou o subcontratante, deve avaliar os riscos que o tratamento implica e aplicar medidas que os atenuem. Estas medidas devem assegurar um nível de segurança adequado, atendendo aos conhecimentos técnicos disponíveis e ao custo da sua aplicação em função dos riscos e da natureza dos dados a proteger. Aquando do estabelecimento de normas técnicas e de medidas organizativas destinadas a garantir a segurança do tratamento, deve ser promovida a neutralidade tecnológica. [Alt. 34]

(42) A violação dos dados pessoais pode, se não forem adotadas medidas adequadas e oportunas, causar danos prejuízos económicos e sociais substanciais , nomeadamente à reputaçãoatravés da usurpação de identidade, à pessoa singular em causa. Assim, logo que o responsável pelo tratamento tenha conhecimento da ocorrência de uma violação, deve comunicá-la à autoridade nacional competente. As pessoas singulares cujos dados pessoais possam ter sido afetados negativamente por tal violação, devem ser avisadas sem demora injustificada, para que possam adotar as precauções necessárias. Deve considerar-se que uma violação afeta negativamente os dados pessoais ou a privacidade de um titular de dados sempre que daí possa resultar, por exemplo, roubo ou usurpação de identidade, danos físicos, humilhações ou danos significativos contra a reputação, consecutivos ao tratamento de dados pessoais. A notificação deverá incluir informações sobre as medidas tomadas pelo fornecedor para dar resposta à violação da segurança, bem como recomendações para o assinante ou indivíduo afetado. As pessoas em causa devem ser notificadas o mais rapidamente possível, em estreita cooperação com a autoridade de controlo e em cumprimento das orientações por esta fornecidas . [Alt. 35]

(43) Ao estabelecer regras pormenorizadas relativamente ao formato e aos procedimentos aplicáveis à notificação das violações de dados pessoais, deve ter-se devidamente em conta as circunstâncias da violação, nomeadamente a existência ou não de proteção dos dados pessoais através de medidas técnicas de proteção adequadas para reduzir eficazmente a probabilidade de utilização abusiva. Além disso, tais regras e procedimentos devem ter em conta os legítimos interesses das autoridades de aplicação da lei nos casos em que uma divulgação precoce de informações possa dificultar desnecessariamente a investigação das circunstâncias de uma violação.

(44) O responsável pelo tratamento, ou o subcontratante, deve designar uma pessoa para o ajudar a controlar e demonstrar a conformidade das disposições adotadas por força da presente diretiva. Um delegado para a proteção de dados pode ser designado conjuntamente por diversas entidades da autoridade competente Sempre que várias autoridades competentes atuem sob o controlo de uma autoridade central, deve incumbir pelo menos a esta autoridade central designar o referido delegado . Os delegados para a proteção de dados devem estar em condições de desempenhar as suas funções e atribuições de forma efetiva e com total independência , em particular, criando normas com vista a impedir um conflito de interesses com as funções desempenhadas pelo delegado para a proteção de dados . [Alt. 36]

(45) Os Estados-Membros devem assegurar que uma transferência para um país terceiro só possa ser realizada se essa transferência específica for necessária para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou para a execução de sanções penais, e se o responsável pelo tratamento no país terceiro ou na organização internacional for uma autoridade pública competente na aceção da presente diretiva. Uma transferência pode realizar-se nos casos em que a Comissão tiver decidido que o país terceiro, ou a organização internacional em questão, garante um nível de proteção adequado, ou se tiverem sido apresentadas garantias adequadas , ou quando tiverem sido apresentadas garantias adequadas através de um instrumento vinculativo . Os dados que são transferidos para autoridades públicas competentes de países terceiros não devem ser alvo de um tratamento para outras finalidades que não a que motivou a referida transferência . [Alt. 37]

(45-A) As transferências ulteriores por parte de autoridades competentes de países terceiros ou organizações internacionais para as quais foram transferidos dados pessoais só devem ser autorizadas se a transferência ulterior em causa for necessária para a mesma finalidade específica da transferência original e se o segundo destinatário for também uma autoridade pública competente. As transferências ulteriores não devem ser autorizadas para fins gerais de aplicação da lei. A autoridade competente que realizou a transferência original deve autorizar a transferência ulterior. [Alt. 38]

(46) A Comissão pode decidir, com efeitos no conjunto da União, que determinados países terceiros, um território ou um setor de tratamento de dados de um país terceiro, ou uma organização internacional, asseguram um nível de proteção de dados adequado, garantindo assim a segurança jurídica e a uniformidade a nível da União relativamente a países terceiros ou organizações internacionais que sejam consideradas aptas a assegurar tal nível de proteção. Nestes casos, podem realizar-se transferências de dados pessoais para esses países sem que para tal seja necessário qualquer outra autorização.

(47) Em consonância com os valores fundamentais sobre os quais assenta a União, particularmente a proteção dos direitos humanos, a Comissão deve ter em consideração em que medida esse país respeita o primado do Estado de direito, garante o acesso à justiça e observa as regras e normas internacionais no domínio dos direitos humanos.

(48) A Comissão deve igualmente poder reconhecer que um país terceiro, ou um território ou um setor de tratamento de um país terceiro, ou uma organização internacional, não assegura um nível de proteção adequado de dados. Se for esse no caso, deve ser proibida a transferência de dados pessoais para esse país terceiro, salvo se tiver por base um acordo internacional, garantias adequadas ou uma derrogação. É conveniente prever procedimentos de consulta entre a Comissão e o país terceiro ou a organização internacional. Todavia, tal decisão da Comissão não prejudica a possibilidade de realizar transferências com base em garantias adequadas através de um instrumento vinculativo ou numa derrogação prevista na presente diretiva. [Alt. 39]

(49) As transferências que não se basearem numa decisão sobre o nível adequado da proteção só devem ser autorizadas se forem apresentadas garantias apropriadas num instrumento vinculativo que garanta a proteção dos dados pessoais, ou se o responsável pelo tratamento ou o subcontratante tiver avaliado todas as circunstâncias inerentes à transferência de dados ou ao conjunto de operações de transferências de dados e, com base nessa avaliação, considerar existirem garantias adequadas relativamente à proteção de dados pessoais. Caso não existam fundamentos para a autorização de transferência, devem ser permitidas derrogações se forem necessárias para proteger os interesses vitais do titular de dados ou de um terceiro, ou para assegurar os interesses legítimos dessa pessoa, desde que a legislação do Estado-Membro que efetua a transferência dos dados assim o preveja, ou se for essencial para a prevenção de uma ameaça imediata e grave para a segurança pública de um Estado-Membro ou de um país terceiro ou, em certos casos, para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou de execução de sanções penais, ou em casos especiais, tendo em vista a declaração, o exercício ou a defesa de um direito num processo judicial. [Alt. 40]

(49-A) Caso não existam fundamentos para a autorização de transferência, devem ser permitidas derrogações se forem necessárias para proteger os interesses vitais do titular de dados ou de um terceiro, ou para assegurar os interesses legítimos dessa pessoa, desde que a legislação do Estado-Membro que efetua a transferência dos dados assim o preveja, ou se for essencial para a prevenção de uma ameaça imediata e grave para a segurança pública de um Estado-Membro ou de um país terceiro ou, em certos casos, para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou de execução de sanções penais, ou em casos especiais, tendo em vista a declaração, o exercício ou a defesa de um direito num processo judicial. Essas derrogações devem ser interpretadas de forma restritiva e não permitir transferências frequentes, massivas e estruturais de dados pessoais nem transferências massivas de dados, que devem ser limitadas aos dados estritamente necessários. Além disso, a decisão de transferência deve ser adotada por uma pessoa devidamente autorizada e deve ser documentada e disponibilizada, a pedido, à autoridade de controlo para verificar a licitude da transferência. [Alt. 41]

(50) Sempre que os dados pessoais atravessam fronteiras há um risco acrescido de que as pessoas singulares não possam exercer o seu direito à proteção de dados, nomeadamente para se proteger da utilização ilícita ou da divulgação dessas informações. Paralelamente, as autoridades de controlo podem ser incapazes de apreciar as queixas ou conduzir investigações relacionadas com atividades exercidas fora das suas fronteiras. Os seus esforços para colaborar no contexto transfronteiriço podem ser também restringidos por competências insuficientes ou regimes jurídicos incoerentes. Por conseguinte, é necessário promover uma cooperação mais estreita entre as autoridades de controlo da proteção de dados a fim de que possam efetuar o intercâmbio de informações e realizar investigações com as suas homólogas internacionais.

(51) A criação de autoridades de controlo nos Estados-Membros, que exerçam as suas funções com total independência, constitui um elemento essencial da proteção das pessoas singulares no que respeita ao tratamento dos seus dados pessoais. As autoridades de controlo devem supervisionar a aplicação das disposições da presente diretiva e contribuir para a sua aplicação coerente no conjunto da União, a fim de proteger as pessoas singulares relativamente ao tratamento dos seus dados pessoais. Para esse efeito, as autoridades de controlo devem cooperar entre sie com a Comissão. [Alt. 42]

(52) Os Estados Membros podem confiar a uma autoridade de controlo já criada nos Estados-Membros nos termos do Regulamento (UE) …/2014 a responsabilidade pelas funções a desempenhar pelas autoridades nacionais de controlo a instituir por força da presente diretiva.

(53) Deve ser permitido aos Estados-Membros criarem várias autoridades de controlo de modo a refletir a sua estrutura constitucional, organizacional e administrativa. É conveniente que cada autoridade de controlo disponha dos recursos financeiros e humanos adequados, bem como de instalações e infraestruturas - incluindo capacidades técnicas, experiência e competências - necessários a um exercício eficaz das suas funções, incluindo as relacionadas com a assistência e a cooperação mútuas com outras autoridades de controlo a nível da União. [Alt. 43]

(54) As condições gerais aplicáveis aos membros da autoridade de controlo devem ser definidas por lei em cada Estado-Membro e devem prever, em especial, que esses membros são nomeados pelo parlamento ou pelo governo nacional, com base na consulta do parlamento, e incluir disposições sobre a qualificação e as funções desses membros. [Alt. 44]

(55) Embora a presente diretiva se aplique também às atividades dos tribunais nacionais, a competência das autoridades de controlo não abrange o tratamento de dados pessoais quando os tribunais atuam no âmbito dessas funções, a fim de assegurar a independência dos juízes no exercício das suas funções jurisdicionais. Todavia, esta exceção deve ser estritamente limitada às atividades meramente judiciais relativas a processos em tribunal e não ser aplicável a outras atividades a que os juízes possam estar associados por força do direito nacional.

(56) A fim de assegurar o controlo e a aplicação coerentes da presente diretiva no conjunto da União, as autoridades de controlo devem ter, em cada Estado-Membro, os mesmos deveres e poderes efetivos, incluindo os poderes de investigação efetivos, poderes de acesso aos dados pessoais e todas as informações necessárias à execução de todas as funções de controlo, poderes de acesso a todas as instalações do responsável pelo tratamento ou o subcontratante, incluindo o equipamento para o tratamento de dados, e de intervenção juridicamente vinculativa, de deliberação e de sanção, particularmente em caso de queixas apresentadas por pessoas singulares, bem como o poder de intervir em processos judiciais. [Alt. 45]

(57) Cada autoridade de controlo deve receber as queixas apresentadas por qualquer titular de dados e investigar a matéria. A investigação decorrente de uma queixa deve ser realizada, embora sujeita a revisão judicial, na medida adequada ao caso específico. A autoridade de controlo deve informar a pessoa em causa da evolução e do resultado da queixa num prazo razoável. Se o caso exigir uma investigação mais aprofundada ou a coordenação com outra autoridade de controlo, devem ser fornecidas informações intercalares ao titular dos dados.

(58) As autoridades de controlo devem prestar-se mutuamente assistência no desempenho das suas funções, por forma a assegurar a execução e aplicação coerentes das disposições adotadas em conformidade com a presente diretiva. Todas as autoridades de controlo devem estar prontas a participar em operações conjuntas. A autoridade de controlo requerida é obrigada a responder ao pedido dentro de um determinado prazo . [Alt. 46]

(59) O Comité Europeu para a Proteção de Dados, instituído pelo Regulamento (UE) …/2012 2014 , deve contribuir para a aplicação coerente da presente diretiva no conjunto da União, nomeadamente no aconselhamento da Comissão das instituições da União e na promoção da cooperação das autoridades de controlo na União , e dar o seu parecer à Comissão no quadro da elaboração de atos delegados e de atos de execução com base na presente diretiva . [Alt. 47]

(60) Qualquer titular de dados deve ter o direito de apresentar uma queixa à autoridade de controlo em qualquer Estado-Membro e dispor do direito de recurso aos tribunais se considerar que os direitos que lhe confere a presente diretiva não são respeitados, se a autoridade de controlo não responder à queixa, ou não agir conforme necessário para proteger os direitos da pessoa em causa.

(61) Qualquer organismo, organização ou associação vise proteger os direitos e interesses dos titulares de dados no que respeita à proteção dos dados que lhe digam respeito, que atue no interesse público e seja constituído(a) ao abrigo do direito de um Estado-Membro, deve ter o direito de apresentar aos tribunais queixa junto de uma autoridade de controlo ou de exercer o direito de recurso aos tribunais em nome das pessoas em causa, mediante mandato nesse sentido, ou de apresentar, independentemente da queixa apresentada pela pessoa em causa, uma queixa em seu próprio nome, sempre que considere ter ocorrido uma violação de dados pessoais. [Alt. 48]

(62) Qualquer pessoa, singular ou coletiva, deve ter o direito de ação judicial contra as decisões que lhes digam respeito emitidas por uma autoridade de controlo. As ações contra uma autoridade de controlo devem ser intentadas nos tribunais do Estado-Membro no território do qual se encontra estabelecida a autoridade de controlo.

(63) Os Estados-Membros devem assegurar que as ações judiciais, para serem eficazes, permitam a adoção rápida de medidas visando a reparação ou a prevenção de uma violação prevista na presente diretiva.

(64) Qualquer dano , inclusive não pecuniário, de que uma pessoa possa ser vítima em resultado de um tratamento ilícito deve ser ressarcido pelo responsável pelo tratamento, ou pelo subcontratante, que no entanto pode ser exonerado da sua responsabilidade se provar que o facto causador do dano não lhe é imputável, nomeadamente se provar que o dano é imputável à pessoa em causa ou em caso de força maior. [Alt. 49]

(65) Devem ser aplicadas sanções a qualquer pessoa singular ou coletiva, regida pelo direito privado ou público, que não respeite o disposto na presente diretiva. Os Estados-Membros devem assegurar que as sanções sejam efetivas, proporcionadas e dissuasivas, e tomar todas as medidas necessárias à sua aplicação.

(65-A) A transmissão de dados pessoais a outras autoridades ou a entidades privadas é proibida exceto se a transmissão estiver em conformidade com a legislação e o destinatário estiver estabelecido num Estado-Membro, não existirem interesses legítimos específicos do titular dos dados que impeçam a transmissão dos dados, a transmissão for necessária num caso específico para que o responsável pelo tratamento que efetua a transmissão dos dados pessoais possa assegurar o desempenho das funções que lhe incubem legitimamente ou para a prevenção de um perigo imediato e grave para a segurança pública ou de danos graves aos direitos dos indivíduos. O responsável pelo tratamento informa o destinatário sobre a finalidade do tratamento e a autoridade de controlo sobre a transmissão. O destinatário deve também ser informado sobre as restrições de tratamento e assegurar que estas sejam respeitadas. [Alt. 50]

(66) Por forma a cumprir os objetivos da presente diretiva, nomeadamente proteger os direitos e liberdades fundamentais das pessoas singulares e, em especial, o seu direito à proteção dos dados pessoais, e assegurar a livre circulação desses dados pelas autoridades competentes na União, o poder de adotar atos em conformidade com o artigo 290.o do Tratado sobre o Funcionamento da União Europeia deve ser delegado à Comissão. Em especial, devem ser adotados atos delegados em relação à notificação de a fim de especificar mais concretamente os critérios e as condições aplicáveis às operações de tratamento que requerem uma avaliação de impacto sobre a proteção de dados, e os critérios e requisitos aplicáveis às violações de dados pessoais à autoridade controlo e ao nível de proteção adequado assegurado por um país terceiro, um território ou um setor dentro desse país terceiro, ou uma organização internacional . É especialmente importante que a Comissão proceda a consultas adequadas ao longo dos seus trabalhos preparatórios, incluindo a nível de peritos e, em especial, com o Comité Europeu para a Proteção de Dados . Ao preparar e redigir atos delegados, a Comissão deverá assegurar a transmissão simultânea, atempada e adequada dos documentos relevantes ao Parlamento Europeu e ao Conselho. [Alt. 51]

(67) Por forma a assegurar condições uniformes para a execução da presente diretiva no que respeita à documentação mantida pelos responsáveis pelo tratamento e subcontratantes, à segurança do tratamento, designadamente em relação às normas de codificação, e à notificação de uma violação de dados pessoais à autoridade de controlo, e ao nível de proteção adequado assegurado por um país terceiro, um território ou um setor dentro desse país terceiro, ou uma organização internacional, devem ser conferidas competências de execução à Comissão. Essas competências devem ser exercidas em conformidade com o Regulamento (UE) n.o 182/2011 do Parlamento Europeu e do Conselho, de 16 de fevereiro de 2011, que estabelece as regras e os princípios gerais relativos aos mecanismos de controlo pelos Estados-Membros do exercício das competências de execução pela Comissão (6). [Alt. 52]

(68) O procedimento de exame deve ser utilizado para a adoção de medidas relativas à documentação mantida pelos responsáveis pelo tratamento e subcontratantes, à segurança do tratamento, e à notificação de uma violação de dados pessoais à autoridade de controlo, e ao nível de proteção adequado garantido por um país terceiro, um território ou um setor dentro desse país terceiro, ou uma organização internacional, uma vez que esses atos são de âmbito geral. [Alt. 53]

(69) A Comissão deve adotar atos de execução imediatamente aplicáveis quando, em casos devidamente fundamentados relacionados com um país terceiro, um território ou um setor de tratamento de dados nesse país terceiro, ou uma organização internacional, que não assegure um nível de proteção adequado, imperativos urgentes assim o exijam. [Alt. 54]

(70) Atendendo a que os objetivos da presente diretiva, nomeadamente proteger os direitos e liberdades fundamentais das pessoas singulares e, em especial, o seu direito à proteção de dos seus dados pessoais, e assegurar o livre intercâmbio desses dados pelas autoridades competentes na União Europeia, não podem ser suficientemente alcançados pelos Estados-Membros, mas podem, em razão da dimensão e dos efeitos da ação, ser mais bem alcançados ao nível da União, a União pode tomar medidas, em conformidade com o princípio da subsidiariedade consagrado no artigo 5.o do Tratado da União Europeia. Em conformidade com o princípio da proporcionalidade consagrado no mesmo artigo, a presente diretiva não excede o necessário para alcançar esses esse objetivo esses objectivos . Os Estados-Membros podem prever normas mais estritas do que as estabelecidas pela presente diretiva . [Alt. 55]

(71) A Decisão-Quadro 2008/977/JAI é revogada pela presente diretiva.

(72) As disposições específicas no que respeita ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção, repressão de infrações penais ou de execução de sanções penais, mencionadas nos atos da União adotados antes da data de adoção da presente diretiva, que regulem o tratamento de dados pessoais entre Estados-Membros ou o acesso das autoridades designadas dos Estados-Membros aos sistemas de informação criados nos termos de Tratados, mantêm-se inalteradas. Dado que o artigo 8.o da Carta e o artigo 16.o, n.o 2, do TFUE implicam que o direito fundamental à proteção de dados pessoais deve ser garantido de forma coerente e homogénea em toda a UE, a Comissão deverá , num prazo de dois anos após a entrada em vigor da presente diretiva, examinar a situação quanto à relação entre a presente diretiva e os atos adotados anteriormente à adoção da presente diretiva que regulem o tratamento de dados pessoais entre Estados-Membros ou o acesso de autoridades designadas dos Estados-Membros a sistemas de informação criados por força dos Tratados , a fim de avaliar a necessidade de harmonização dessas disposições específicas com a e apresentar propostas adequadas com vista a assegurar regras jurídicas coerentes e homogéneas relacionadas com o tratamento de dados pessoais pelas autoridades competentes ou o acesso das autoridades dos Estados-Membros designadas aos sistemas informáticos criados por força dos Tratados, bem como o tratamento de dados pessoais pelas instituições, pelos órgãos, pelos organismos e pelas agências da União, para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou de execução de sanções penais no âmbito da presente diretiva. [Alt. 56]

(73) A fim de assegurar uma proteção global e coerente dos dados pessoais na União, os acordos internacionais celebrados pela União ou pelos Estados-Membros anteriormente à entrada em vigor da presente diretiva devem ser alterados em conformidade com a presente diretiva. [Alt. 57]

(74) A presente diretiva não prejudica as disposições relativas à luta contra o abuso sexual e a exploração sexual de crianças, bem como a pornografia infantil, previstas na Diretiva 2011/93/UE do Parlamento Europeu e do Conselho (7).

(75) Nos termos do artigo 6.o-A do Protocolo n.o 21 relativo à posição do Reino Unido e da Irlanda em relação ao espaço de liberdade, segurança e justiça, anexo ao Tratado da União Europeia e ao Tratado sobre o Funcionamento da União Europeia, o Reino Unido e a Irlanda não ficam vinculados pelas regras estabelecidas na presente diretiva sempre que o Reino Unido e a Irlanda não estejam vinculados por regras que regulem formas de cooperação judiciária em matéria penal ou de cooperação policial no âmbito das quais devam ser observadas as disposições definidas com base no artigo 16.o do Tratado sobre o Funcionamento da União Europeia.

(76) Nos termos dos artigos 2.o e 2.o-A do Protocolo n.o 22 relativo à posição da Dinamarca, anexo ao Tratado da União Europeia e ao Tratado sobre o Funcionamento da União Europeia, a Dinamarca não fica vinculada nem sujeita à aplicação da pela presente diretiva. Uma vez que da presente diretiva desenvolve o acervo de Schengen, por força do disposto no Título V, Parte III, do Tratado sobre o Funcionamento da União Europeia, a Dinamarca decidirá, nos termos do artigo 4.o do referido Protocolo, no prazo de seis meses a contar da data de adoção da presente diretiva, se procederá à transposição da diretiva para o seu direito nacional. [Alt. 58]

(77) No que diz respeito à Islândia e à Noruega, a presente diretiva constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Acordo celebrado entre o Conselho da União Europeia e a República da Islândia e o Reino da Noruega, relativo à associação desses Estados à execução, à aplicação e ao desenvolvimento do acervo de Schengen (8).

(78) No que diz respeito à Suíça, a presente diretiva constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen (9).

(79) No que diz respeito ao Liechtenstein, o presente regulamento constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Protocolo entre a União Europeia, a Comunidade Europeia, a Confederação Suíça e o Principado do Liechtenstein relativo à adesão do Principado do Liechtenstein ao Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, aplicação e ao desenvolvimento do acervo de Schengen (10).

(80) A presente diretiva respeita os direitos fundamentais e observa os princípios reconhecidos na Carta, consagrados pelo Tratado, nomeadamente o direito ao respeito da vida privada e familiar, o direito à proteção dos dados pessoais, o direito à ação e a um tribunal imparcial. As restrições introduzidas a estes direitos são conformes com o artigo 52.o, n.o 1, da Carta, uma vez que são necessários para cumprir os objetivos de interesse geral reconhecidos pela União Europeia ou satisfazer a necessidade de proteger os direitos e as liberdades de outrem.

(81) Em conformidade com a Declaração Política Conjunta dos Estados-Membros e da Comissão sobre os documentos explicativos, de 28 de setembro de 2011 (11), os Estados-Membros assumiram o compromisso de fazer acompanhar, nos casos em que tal se justifique, a notificação das suas medidas de transposição de um ou mais documentos explicando a relação entre os componentes da diretiva e as partes correspondentes dos instrumentos de transposição nacional. Em relação à presente diretiva, o legislador considera que a transmissão desses documentos se justifica.

(82) A presente diretiva não obsta a que os Estados-Membros possam aplicar disposições respeitantes ao exercício dos direitos dos titulares de dados em matéria de informação, acesso, retificação, apagamento e limitação do tratamento dos seus dados pessoais no âmbito de procedimentos penais, bem como eventuais restrições desses direitos, na legislação processual penal nacional.

ADOTARAM A PRESENTE DIRETIVA:

CAPÍTULO I

DISPOSIÇÕES GERAIS

Artigo 1.o

Objeto e objetivos

1. A presente diretiva estabelece as regras relativas à proteção das pessoas quanto ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção, repressão de infrações penais ou de e execução de sanções penais , bem como as condições relativas à livre circulação desses dados .

2. Em conformidade com a presente diretiva, os Estados-Membros devem assegurar:

a) A proteção dos direitos e das liberdades fundamentais das pessoas singulares e, em especial, o seu direito à proteção dos seus dados pessoais e da sua privacidade ; e

b) Que o intercâmbio de dados pessoais pelas autoridades competentes da União não seja restringido nem proibido por razões relacionadas com a proteção das pessoas singulares no que respeita ao tratamento de dados pessoais.

2-A. A presente diretiva não impede os Estados-Membros de preverem garantias mais alargadas do que as que nela são estabelecidas. [Alt. 59]

Artigo 2.o

Âmbito de aplicação

1. A presente diretiva aplica-se ao tratamento de dados pessoais pelas autoridades competentes para os efeitos referidos no artigo 1.o, n.o 1.

2. A presente diretiva aplica-se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos num ficheiro ou a ele destinados.

3. A presente diretiva não se aplica ao tratamento de dados pessoais:

a) Efetuado no exercício de atividades não sujeitas à aplicação do direito da União, nomeadamente no que se refere à segurança nacional;

b) Efetuado pelas instituições, organismos, serviços e agências da União. [Alt. 60]

Artigo 3.o

Definições

Para efeitos da presente diretiva, entende-se por:

1) «Titular de dados», uma pessoa singular identificada ou identificável, direta ou indiretamente, por meios com razoável probabilidade de serem utilizados pelo responsável pelo tratamento ou por qualquer outra pessoa singular ou coletiva, nomeadamente por referência a um número de identificação, a dados de localização, a um identificador em linha ou a um ou mais elementos específicos próprios à sua identidade física, fisiológica, genética, psíquica, económica, cultural ou social;

2) «Dados pessoais», qualquer informação relativa a uma pessoa singular identificada ou identificável (« titular de dados»). É considerada identificável a pessoa que possa ser identificada, direta ou indiretamente, nomeadamente por referência a um identificador, tal como o nome, um número de identificação, dados de localização, um identificador único, ou a um ou mais elementos específicos da identidade física, fisiológica, genética, psíquica, económica, cultural, social ou de género dessa pessoa ;

2-A) «Dados sob pseudónimo», os dados pessoais que não possam ser atribuídos a um titular de dados específico sem recorrer a informações adicionais, enquanto essas informações adicionais forem mantidas separadamente e sujeitas a medidas técnicas e organizativas para garantir essa impossibilidade de atribuição;

3) «Tratamento de dados pessoais», qualquer operação ou conjunto de operações efetuadas sobre dados pessoais, com ou sem meios automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou a alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, o apagamento ou a destruição;

3-A) «Definição de perfis», qualquer forma de tratamento automatizado de dados pessoais destinado a avaliar determinados aspetos pessoais relativos a uma pessoa singular ou a analisar ou prever em particular o seu desempenho profissional, a sua situação económica, localização, saúde, preferências pessoais, fiabilidade ou comportamento ;

4) «Limitação do tratamento», a inserção de uma marca nos dados pessoais conservados com o objetivo de limitar o seu tratamento no futuro;

5) «Ficheiro», qualquer conjunto estruturado de dados pessoais, acessível segundo critérios específicos, quer seja centralizado, descentralizado ou repartido de modo funcional ou geográfico;

6) «Responsável pelo tratamento», a autoridade pública competente que, por si ou em conjunto, determina as finalidades, as condições e os meios de tratamento de dados pessoais; sempre que as finalidades, as condições e os meios de tratamento sejam determinados pelo direito da União ou pela legislação dos Estados Membros, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser indicados pelo direito da União ou pela legislação de um Estado-Membro;

7) «Subcontratante», a pessoa singular ou coletiva, a autoridade pública, serviço ou qualquer outro organismo que trata dados pessoais por conta do responsável pelo tratamento;

8) «Destinatário», a pessoa singular ou coletiva, a autoridade pública, o serviço ou qualquer outro organismo que receba comunicações de dados pessoais;

(9) «Violação de dados pessoais», uma violação da segurança que provoca, de modo acidental ou ilícito,a destruição, a perda, a alteração , de modo acidental ou ilícito, a divulgação, ou o acesso, não autorizados, de dados pessoais transmitidos, conservados ou tratados de outro modo;

10) «Dados genéticos», todos os dados, independentemente do tipo, relacionados com as características de uma pessoa singular que são hereditárias ou adquiridas numa fase precoce do seu desenvolvimento pré-natal;

11) «Dados biométricos», quaisquer dados pessoais relativos às características físicas, fisiológicas ou comportamentais de uma pessoa singular que permitam a sua identificação única, nomeadamente imagens faciais ou dados dactiloscópicos;

12) «Dados relativos à saúde», quaisquer informações relacionadas dados pessoais relacionados com a saúde física ou psíquica de uma pessoa singular, ou com a prestação de serviços de saúde a essa pessoa;

13) «Criança», qualquer pessoa com menos de 18 anos;

14) «Autoridades competentes», qualquer autoridade pública competente para efeitos de prevenção, investigação, deteção e repressão de infrações penais, ou de execução de sanções penais;

15) «Autoridade de controlo», a autoridade pública instituída por um Estado-Membro nos termos do artigo 39.o. [Alt. 61]

CAPÍTULO II

PRINCÍPIOS

Artigo 4.o

Princípios relativos ao tratamento de dados pessoais

Os Estados-Membros devem prever que os dados pessoais serão:

a) Objeto de um tratamento leal e lícito, leal, transparente e verificável em relação ao titular dos dados ;

b) Recolhidos para finalidades determinadas, explícitas e legítimas e não ser posteriormente tratados de forma incompatível com essas finalidades;

c) Adequados, pertinentes e limitados ao mínimo necessário relativamente às finalidades para que são tratados; apenas devem ser tratados se e desde que as finalidades não possam ser alcançadas através do tratamento de informações que não envolvam dados pessoais ;

d) Exatos e , se necessário,atualizados; devem ser adotadas todas as medidas razoáveis para que os dados inexatos, tendo em conta as finalidades para que são tratados, sejam apagados ou retificados sem demora;

e) Conservados de forma a permitir a identificação dos titulares de dados apenas durante o período necessário para a prossecução das finalidades para que são tratados;

f) Tratados sob a autoridade e responsabilidade do responsável pelo tratamento, que deve assegurar e estar em condições de demonstrar a conformidade com as disposições adotadas por força da presente diretiva;

f-A) Tratados de modo a permitir efetivamente ao titular dos dados o exercício dos seus direitos descritos nos artigos 10.o a 17.o;

f-B) Tratados de modo a proteger contra o seu tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidental, adotando medidas técnicas ou organizativas adequadas;

f-C) Tratados apenas por pessoal devidamente autorizado das autoridades competentes que deles necessitam para o exercício das suas funções. [Alt. 62]

Artigo 4.o-A

Acesso aos dados pessoais tratados inicialmente para efeitos que não os referidos no artigo 1.o, n.o 1

1. Os Estados-Membros determinam que as autoridades competentes só podem ter acesso a dados pessoais inicialmente tratados para finalidades que não as referidas no artigo 1.o, n.o 1, se elas forem especificamente autorizadas pelo direito da União ou dos Estados-Membros, que deve cumprir os requisitos previstos no artigo 7.o, n.o 1-A e determinar que:

a) Só é autorizado o acesso a pessoal devidamente autorizado das autoridades competentes no exercício das suas funções quando, num caso específico, houver motivos razoáveis para pensar que o tratamento de dados pessoais irá contribuir substancialmente para a prevenção, investigação, deteção e repressão de infrações penais ou de execução de sanções penais;

b) Os pedidos de acesso têm de ser feitos por escrito e mencionar o motivo legal para o pedido;

c) O pedido por escrito deve estar documentado; e

d) Forem estabelecidas garantias adequadas para assegurar a proteção dos direitos e liberdades fundamentais relativamente ao tratamento de dados pessoais. Essas garantias não prejudicam e complementam as condições específicas de acesso aos dados pessoais, como a autorização judicial em conformidade com a legislação do Estado-Membro.

2. Deverá aceder-se aos dados pessoais detidos por privados ou outras autoridades públicas apenas para fins de investigação ou sanção de infrações penais de acordo com os requisitos da necessidade e da proporcionalidade a definir pelo direito da União ou do Estado-Membro, no pleno respeito do artigo 7.o-A; [Alt. 63]

Artigo 4.o-B

Prazos para a conservação e revisão

1. Os Estados-Membros tomam providências para que os dados pessoais tratados nos termos da presente diretiva sejam apagados pelas autoridades competentes quando já não forem necessários para as finalidades para que foram tratados.

2. Os Estados-Membros tomam providências para que a autoridade competente crie mecanismos que assegurem a fixação de prazos, nos termos do artigo 4.o, para o apagamento de dados pessoais e para a revisão periódica da necessidade de conservação dos dados, incluindo períodos de conservação fixos para as diferentes categorias de dados pessoais. Serão adotadas medidas processuais para assegurar o respeito dos prazos estipulados e dos intervalos da revisão periódica. [Alt. 64]

Artigo 5.o

Distinção entre Diferentes categorias de titulares de dados

1. Os Estados-Membros devem prever que o responsável pelo tratamento estabeleça, na medida do possível, as autoridades competentes, para os fins referidos no artigo 1.o, n.o 1, possam proceder ao tratamento dos dados pessoais das seguintes diferentes categorias de titulares de dados e o responsável pelo tratamento deve estabelecer uma distinção clara entre os dados pessoais de diferentes categorias de titulares de dados, tais como entre essas categorias :

a) Pessoas relativamente às quais existam motivos fundados razoáveis fundados para crer que cometeram ou vão cometer uma infração penal;

b) Pessoas condenadas por uma infração penal um crime ;

c) Vítimas de uma infração penal ou pessoas relativamente às quais certos factos levam a crer que podem vir a ser vítimas de uma infração penal; e

d) Terceiros envolvidos numa infração penal, designadamente pessoas suscetíveis de serem chamadas a testemunhar em investigações penais relacionadas com a infrações penais, ou em processos penais subsequentes, ou uma pessoa que possa fornecer informações sobre infrações penais, ou um contacto ou associado de uma das pessoas mencionadas nas alíneas a) e b); e

e) Pessoas não abrangidas por qualquer das categorias acima referidas.

2. Os dados pessoais de outros titulares de dados que não os referidos no n.o 1 só podem ser objeto de tratamento:

a) Pelo período de tempo necessário à investigação ou ao processo judicial de uma infração penal específica, tendo em vista avaliar a relevância dos dados para uma das categorias indicadas no n.o 1; ou

b) Se esse tratamento for indispensável para fins específicos e preventivos ou para fins de análise criminal, caso e na medida em que esse propósito seja legítimo, bem definido e específico, e o tratamento se limite rigorosamente a avaliar a relevância dos dados para uma das categorias indicadas no n.o 1. Este aspeto é objeto de revisão periódica no mínimo de seis em seis meses É proibida qualquer outra utilização.

3. Os Estados-Membros devem prever que se apliquem ao tratamento de dados pessoais relativos aos titulares dos dados referidos no n.o 1, alíneas c) e d) limitações e garantias adicionais, de acordo com a legislação dos Estados-Membros. [Alt. 65]

Artigo 6.o

Níveis diferentes de exatidão e de fiabilidade de dados pessoais

1. Os Estados-Membros devem assegurar prever que seja estabelecida uma distinção, na medida do possível, entre as diferentes categorias de a exatidão e a fiabilidade dos dados pessoais objeto de tratamento , em função do seu nível de precisão e de fiabilidade sejam asseguradas .

2. Os Estados-Membros devem assegurar que os dados pessoais baseados em factos sejam, na medida do possível, distinguidos dos dados pessoais baseados em apreciações pessoais , em função do seu nível de exatidão e de fiabilidade .

2-A. Os Estados-Membros devem assegurar que os dados pessoais incorretos, incompletos ou desatualizados não sejam transmitidos nem disponibilizados. Para este efeito, as autoridades competentes devem avaliar a qualidade desses dados antes de os transmitirem ou disponibilizarem. Assim, em todas as transmissões de dados, devem ser fornecidas, na medida do possível, as informações disponíveis para que o Estado-Membro que as recebe possa apreciar até que ponto os dados são precisos, completos, atuais ou fiáveis. Os dados pessoais não devem ser transmitidos sem pedido prévio por parte de uma autoridade competente, em particular os dados originalmente detidos por privados.

2-B. Quando se verifique que foram transmitidos dados inexatos ou que foram transmitidos dados indevidamente, o destinatário deve ser imediatamente informado. O destinatário tem o dever de corrigir imediatamente os dados, nos termos do artigo 15.o, n.o 1, ou de os apagar, nos termos do artigo 16.o. [Alt. 66]

Artigo 7.o

Licitude do tratamento

1. Os Estados-Membros devem prever que o tratamento de dados pessoais só é lícito se e na medida em que se basear na legislação da União ou dos Estados-Membros tendo em vista as finalidades enunciadas no artigo 1.o, n.o 1, e for necessário para:

a) O exercício de uma função pela autoridade competente, por força da legislação, tendo em vista as finalidades enunciadas no artigo 1.o, n.o 1; ou

b) O respeito de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito; ou

c) A proteção dos interesses vitais do titular de dados ou de um terceiro; ou

d) A prevenção de uma ameaça grave e imediata para a segurança pública.

1-A. A legislação dos Estados-Membros que rege o tratamento de dados pessoais no âmbito da presente diretiva deve conter disposições explícitas e pormenorizadas que especifiquem, pelo menos:

a) Os objetivos do tratamento;

b) Os dados pessoais a tratar;

c) As finalidades e meios específicos de tratamento;

d) A nomeação do responsável pelo tratamento dos dados ou os critérios específicos para a sua nomeação;

e) As categorias do pessoal devidamente autorizado das autoridades competentes para o tratamento de dados pessoais;

f) O procedimento a seguir para o tratamento;

g) A utilização que pode ser dada aos dados pessoais recolhidos;

h) As limitações do âmbito de qualquer discrição atribuída às autoridades competentes relativamente às atividades de tratamento. [Alt. 67]

Artigo 7.o-A

Tratamento posterior para finalidades incompatíveis

1. Os Estados-Membros devem prever que os dados pessoais só podem ser tratados para outras finalidades referidas no artigo 1.o, n.o 1, que não sejam compatíveis com as finalidades para que foram recolhidos inicialmente se e na medida em que:

a) O tratamento seja estritamente necessário e proporcionado numa sociedade democrática e exigido pela legislação da União ou dos Estados-Membros, para um propósito legítimo, bem definido e específico;

b) O tratamento seja estritamente limitado a um período não superior ao tempo necessário à operação específica de tratamento de dados;

c) Seja proibida qualquer utilização adicional para outros fins.

Antes de qualquer tratamento, o Estado-Membro deve consultar a Autoridade Europeia para a Proteção de Dados e proceder a uma avaliação de impacto nesta matéria.

2. Além dos requisitos previstos no artigo 7.o, n.o 1-A, a legislação dos Estados-Membros que autoriza outro tratamento, como refere o n.o 1, deve conter disposições explícitas e pormenorizadas que especifiquem, pelo menos:

a) As finalidades e os meios específicos desse tratamento específico;

b) Que só é autorizado o acesso a pessoal devidamente autorizado das autoridades competentes no exercício das suas funções quando, num caso específico, houver motivos razoáveis para pensar que o tratamento de dados pessoais irá contribuir substancialmente para a prevenção, investigação, deteção e repressão de infrações penais ou a para a execução de sanções penais; e

c) Que são dadas garantias adequadas para assegurar a proteção dos direitos e das liberdades fundamentais relativamente ao tratamento de dados pessoais.

Os Estados-Membros podem exigir que o acesso aos dados pessoais seja subordinado a condições adicionais como, por exemplo, uma autorização judicial, em conformidade com a respetiva legislação nacional.

3. Os Estados-Membros também podem autorizar outro tratamento de dados pessoais para finalidades históricas, estatísticas ou científicas desde que criem garantias adequadas, como a anonimização dos dados. [Alt. 68]

Artigo 8.o

Tratamento de categorias especiais de dados pessoais

1. Os Estados-Membros devem proibir o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a orientação sexual ou a identidade de género, a filiação sindical ou as atividades sindicais , bem como o tratamento de dados genéticos biométricos ou dados relativos à saúde ou à situação médica ou à orientação sexual.

2. O n.o 1 não se aplica sempre que:

a) O tratamento for autorizado por uma legislação que preveja garantias adequadas estritamente necessário e proporcionado para o exercício de uma missão efetuada pelas autoridades competentes para as finalidades enunciadas no artigo 1.o, n.o 1, com base na legislação da União ou dos Estados-Membros que deve prever medidas adequadas e específicas que garantam os interesses legítimos do titular de dados, incluindo uma autorização judicial específica, se exigido pela legislação nacional ; ou

b) O tratamento for necessário para a proteção dos interesses vitais do titular de dados ou de um terceiro; ou

c) O tratamento estiver relacionado com dados manifestamente tornados públicos pelo seu titular , desde que os mesmos sejam pertinentes e estritamente necessários para a finalidade pretendida num caso específico . [Alt. 69]

Artigo 8.o-A

Tratamento de dados genéticos para uma investigação criminal ou um processo judicial

1. Os Estados-Membros devem assegurar que os dados genéticos só podem ser usados para estabelecer uma ligação genética no âmbito da obtenção de provas, para neutralizar uma ameaça à segurança pública ou impedir que seja cometida uma infração criminal específica. Os dados genéticos não podem ser usados para determinar outras características que possam ser objeto de uma ligação genética.

2. Os Estados-Membros devem assegurar que os dados genéticos ou as informações resultantes da sua análise só podem ser conservados durante o tempo necessário para os fins do seu tratamento e quando o individuo em questão tiver sido condenado por delitos graves contra a vida, integridade ou segurança de pessoas, sendo isto subordinado a períodos de conservação rigorosos a determinar pela legislação dos Estados-Membros.

3. Os Estados-Membros devem assegurar que os dados genéticos ou as informações resultantes da sua análise só podem ser conservados por períodos maiores quando os dados genéticos não puderem ser associados a um indivíduo, em particular, se forem recolhidos no local do crime. [Alt. 70]

Artigo 9.o

Medidas baseadas na definição de perfis e no tratamento automatizado

1. Os Estados-Membros devem prever a proibição de medidas que produzam efeitos adversos na esfera jurídica do titular de dados ou que o afetem de modo significativo e que se baseiem unicamente parcial ou totalmente no tratamento automatizado de dados pessoais destinado a avaliar determinados aspetos próprios dessa pessoa, salvo se forem autorizadas por uma lei que preveja igualmente medidas destinadas a assegurar os interesses legítimos do titular de dados.

2. O tratamento automatizado dos dados pessoais destinado a avaliar determinados aspetos pessoais próprios ao titular de dados não se deve basear exclusivamente nas categorias especiais de dados pessoais referidas no artigo 8.o.

2-A. O tratamento automatizado dos dados pessoais destinado a identificar um titular de dados sem uma suspeita inicial de que o titular de dados tenha cometido ou venha a cometer um crime apenas será legal se e na medida em que for estritamente necessário à investigação de um crime grave ou à prevenção de um perigo claro e iminente, estabelecido com base em indícios factuais, à segurança pública, à existência do Estado ou à vida de pessoas.

2-B. É proibida em todos os casos a definição de perfis que, de forma intencional ou não, tenha por efeito a discriminação contra pessoas singulares em função da origem racial ou étnica, de opiniões políticas, da religião ou de convicções, da filiação sindical ou da orientação sexual ou de género, ou que, de forma intencional ou não, conduza a medidas que tenham tais efeitos. [Alt. 71]

Artigo 9.o-A

Princípios gerais dos direitos do titular dos dados

1. Os Estados-Membros devem assegurar que a base da proteção de dados seja clara e preveja direitos claros para o titular de dados, que devem ser respeitados pelo responsável pelo tratamento. As disposições da presente diretiva visam reforçar, esclarecer, garantir e, quando adequado, codificar esses direitos.

2. Os Estados-membros devem assegurar que esses direitos incluam, entre outros, o fornecimento de informações claras e de fácil compreensão no tocante ao tratamento dos dados pessoais do titular, o direito de acesso, retificação e apagamento dos seus dados, o direito de obtenção de dados, o direito de apresentar queixa junto da autoridade competente para a proteção de dados e o direito de instaurar processos judiciais, bem como o direito a indemnização por danos em resultado de um tratamento ilícito. Esses direitos devem, em geral, ser exercidos a título gratuito. O responsável pelo tratamento deve responder aos pedidos do titular de dados num prazo razoável. [Alt. 72]

CAPÍTULO III

DIREITOS DO TITULAR DOS DADOS

Artigo 10.o

Modalidades de exercício dos direitos do titular dos dados

1. Os Estados-Membros devem prever que o responsável pelo tratamento aplique regras internas concisas, transparentes , claras e facilmente acessíveis no que diz respeito ao tratamento de dados pessoais, tendo em vista o exercício dos direitos pelos titulares pelo titular de dados.

2. Os Estados-Membros devem prever que o responsável pelo tratamento faculte todas as informações e comunicações relativas ao tratamento de dados pessoais ao titular de dados de uma forma inteligível e numa linguagem clara e simples , em particular, quando as informações são dirigidas especificamente a uma criança .

3. Os Estados-Membros devem prever que o responsável pelo tratamento adote todas as medidas razoáveis para estabelecer estabeleça os procedimentos de informação referidos no artigo 11.o e os procedimentos para o exercício dos direitos pelos titulares pelo titular de dados referidos nos artigos 12.o a 17.o. Sempre que os dados pessoais forem objeto de tratamento automatizado, o responsável pelo tratamento deve prever meios para a apresentação de pedidos por via eletrónica .

4. Os Estados-Membros devem prever que o responsável pelo tratamento informe, sem demora injustificada, o titular de dados do seguimento dado ao seu pedido e, em todo o caso, o mais tardar, no prazo de um mês a contar da data de receção do pedido . As informações devem revestir a forma escrita. Sempre que o titular dos direitos apresentar o pedido por via eletrónica, a informação deve ser fornecida por meios eletrónicos .

5. Os Estados-Membros devem prever que as informações e eventuais medidas adotadas pelo responsável pelo tratamento na sequência de um pedido previsto nos n.os 3 e 4 sejam gratuitas. Sempre que os pedidos sejam manifestamente excessivos , particularmente devido ao seu caráter repetitivo, ou à dimensão ou volume do pedido, o responsável pelo tratamento pode exigir o pagamento de uma taxa razoável, tendo em conta os custos administrativos pela prestação de informações ou adoção da medida solicitada, ou pode abster-se de a adotar. Nesse caso, incumbe ao responsável pelo tratamento provar o caráter abusivo manifestamente excessivo do pedido.

5-A. Os Estados-Membros devem prever que o titular dos dados possa invocar os seus direitos diretamente junto do responsável pelo tratamento ou através da autoridade nacional de controlo competente. Se atuar a pedido do titular de dados, a autoridade de controlo deve informar o mesmo das verificações efetuadas. [Alt. 73]

Artigo 11.o

Informação do titular dos dados

1. Sempre que os dados pessoais de uma pessoa forem recolhidos, os Estados-Membros devem assegurar que o responsável pelo tratamento adote todas as medidas adequadas para fornecer forneça ao titular dos dados pelo menos as seguintes informações:

a) Identidade e contactos do responsável pelo tratamento e do delegado para a proteção de dados;

b) Base jurídica e finalidades do tratamento a que os dados pessoais se destinam;

c) Período de conservação dos dados pessoais;

d) Existência do direito de solicitar ao responsável pelo tratamento o acesso aos dados pessoais que lhe digam respeito, e a sua retificação ou apagamento, ou a limitação do seu tratamento;

e) Direito de apresentar uma queixa à autoridade de controlo referida no artigo 39.o, e de obter os contactos desta autoridade;

f) Destinatários ou categorias de destinatáriosdos dados pessoais, incluindo nos países terceiros ou a nível das organizações internacionais , e que estão autorizados a ter acesso a esses dados ao abrigo da legislação do país terceiro ou da regulamentação da organização internacional, a existência ou ausência de uma decisão de adequação da Comissão ou, no caso das transferências referidas no artigo 35.o ou no artigo 36.o, os meios para a obtenção de uma cópia das garantias adequadas utilizadas para a transferência ;

f-A) Caso o responsável pelo tratamento processe os dados pessoais nos termos do artigo 9.o, n.o 1, informações sobre a existência de tratamento para uma medida do tipo a que se refere o artigo 9.o, n.o 1, e os efeitos esperados desse tratamento no titular dos dados, informações acerca da lógica utilizada na definição dos perfis e o direito de avaliação humana;

f-B) Informações relativas a medidas de segurança tomadas para proteger os dados pessoais;

g) Quaisquer outras informações, na medida em que sejam necessárias para assegurar à pessoa em causa um tratamento leal, tendo em conta as circunstâncias específicas em que os dados pessoais são tratados.

2. Sempre que os dados pessoais tiverem sido recolhidos junto do titular de dados, o responsável pelo tratamento deve informá-lo, para além da informação referida no n.o 1, do caráter obrigatório ou facultativo de fornecer os dados pessoais, bem como das eventuais consequências de não fornecer esses dados.

3. O responsável pelo tratamento deve comunicar as informações referidas no n.o 1:

a) No momento da recolha dos dados pessoais junto do titular de dados; ou

b) Sempre que os dados não forem recolhidos junto do titular de dados, no momento do seu registo ou num prazo razoável após a recolha dos dados, tendo em conta as circunstâncias específicas em que os dados foram tratados.

4. Os Estados-Membros podem adotar medidas legislativas prevendo o adiamento ou a limitação da prestação das informações, ou a sua não prestação, aos titulares de dados , num caso específico, na medida e enquanto tal limitação, parcial ou total, constitua uma medida necessária e proporcionada numa sociedade democrática, tendo devidamente em conta os direitos fundamentais e os interesses legítimos do titular de dados:

a) Para evitar que constituam um entrave a inquéritos, investigações, ou procedimentos oficiais ou judiciais;

b) Para evitar prejudicar a prevenção, deteção, investigação, repressão de infrações penais ou a execução de sanções penais;

c) Para proteger a segurança pública;

d) Para proteger a segurança nacional;

e) Para proteger os direitos e as liberdades de outrem.

5. Os Estados-Membros devem prever que o responsável pelo tratamento avalie, em cada caso específico e através de uma análise concreta e individual, se se aplicam as limitações parciais ou totais por um dos motivos previstos no n.o 4. Os Estados-Membros podem também determinar por via legislativa categorias de tratamento de dados suscetíveis de serem objeto, na sua integralidade ou em parte, das derrogações previstas no n.o 4 , alíneas a), b), c) e d) . [Alt. 74]

Artigo 12.o

Direito de acesso do titular dos dados

1. Os Estados-Membros devem prever o direito de o titular de dados poder obter do responsável pelo tratamento a confirmação de que os dados pessoais que lhe digam respeito são ou não objeto de tratamento. Sempre que esses dados forem objeto de tratamento, o responsável pelo tratamento deve fornecer as seguintes informações , se as mesmas não tiverem sido já fornecidas :

-a) Comunicação dos dados pessoais em fase de tratamento e quaisquer informações disponíveis sobre a origem desses dados e, se for o caso, informações compreensíveis sobre a lógica subjacente a qualquer tratamento automatizado dos dados;

-a-A) Importância e consequências previstas de tal tratamento, pelo menos no caso das medidas referidas no artigo 9.o;

a) Finalidades do tratamento , bem como a base jurídica do mesmo ;

b) Categorias de dados pessoais envolvidos;

c) Destinatários ou categorias de destinatários a quem os dados pessoais foram divulgados, em especial quando os destinatários estão estabelecidos em países terceiros;

d) Período de conservação dos dados pessoais;

e) A existência do direito de solicitar à autoridade de controlo a retificação, o apagamento ou a limitação do tratamento dos dados pessoais do titular de dados;

f) O direito de apresentar uma queixa à autoridade de controlo e de obter os contactos desta autoridade;

g) Comunicação dos dados pessoais em fase de tratamento e quaisquer informações disponíveis sobre a origem desses dados.

2. Os Estados-Membros devem prever o direito do titular de dados de obter do responsável pelo tratamento uma cópia dos dados pessoais em fase de tratamento. Sempre que o titular dos dados apresentar o pedido por via eletrónica, as informações devem ser fornecidas por meios eletrónicos, salvo se solicitado de outra forma pela pessoa em causa . [Alt. 75]

Artigo 13.o

Limitações do direito de acesso

1. Os Estados-Membros podem adotar medidas legislativas para limitar, total ou parcialmente conforme o caso específico , o direito de acesso do titular de dados, na medida e durante o prazo em que tal limitação total ou parcial constitua uma medida estritamente necessária e proporcionada numa sociedade democrática, tendo devidamente em conta os direitos fundamentais e os interesses legítimos do titular de dados:

a) Para evitar que constituam um entrave a inquéritos, investigações, ou procedimentos oficiais ou judiciais;

b) Para evitar prejudicar a prevenção, deteção, investigação, repressão de infrações penais ou a execução de sanções penais;

c) Para proteger a segurança pública;

d) Para proteger a segurança nacional;

e) Para proteger os direitos e as liberdades de outrem.

2. Os Estados-Membros devem prever que o responsável pelo tratamento avalie, em cada caso específico e através de um exame individual e concreto, se se aplicam as limitações parciais ou totais por um dos motivos previstos no n.o 1. Os Estados-Membros podem também , por via legislativa, determinar categorias de tratamento de dados suscetíveis de ser objeto, no todo ou em parte, das derrogações previstas no n.o 1 , alíneas a) a d) .

3. Nos casos previstos nos n.os 1 e 2, os Estados-Membros devem prever que em caso de recusa ou de limitação do acesso aos dados, o responsável pelo tratamento informe o titular de dados , sem demora injustificada , por escrito, dos motivos da justificação fundamentada da recusa e das possibilidades de apresentar uma queixa à autoridade de controlo e de intentar uma ação judicial. Os motivos de facto ou de direito em que se baseia a decisão podem ser omitidos sempre que a sua comunicação seja suscetível de prejudicar um dos objetivos enunciados no n.o 1.

4. Os Estados-Membros devem assegurar que o responsável pelo tratamento documente a avaliação referida no n.o 2 e os fundamentos para não comunicar de forma limitada os motivos de facto ou de direito em que baseou a decisão. Essa informação deve ser facultada às autoridades nacionais competentes . [Alt. 76]

Artigo 14.o

Modalidades de exercício do direito de acesso

1. Os Estados-Membros devem prever o direito de o titular de dados solicitar em qualquer altura à autoridade de controlo, em especial nos casos referidos nos artigos 12.o e 13.o, a verificação da licitude do tratamento.

2. O Estado-Membro deve Os Estados-Membros devem prever que o responsável pelo tratamento informe o titular de dados do seu direito de solicitar a intervenção da autoridade de controlo por força do n.o 1.

3. Sempre que o direito a que se refere o n.o 1 for exercido, a autoridade de controlo deve informar o titular de dados, pelo menos, de que foram realizadas todas as verificações necessárias que incumbem à referida autoridade e do resultado quanto à licitude do tratamento em causa. A autoridade de controlo deve informar o titular de dados acerca do seu direito de ação judicial .

3-A. Os Estados-Membros devem prever que o titular dos dados possa invocar esse direito diretamente junto do responsável pelo tratamento ou através da autoridade nacional de controlo competente.

3-B. Os Estados-Membros devem asssegurar que o responsável pelo tratamento disponha de um prazo razoável para responder aos pedidos do titular de dados no tocante ao exercício do seu direito de acesso. [Alt. 77]

Artigo 15.o

Direito de retificação e completamento

1. Os Estados-Membros devem prever o direito de o titular de dados obter do responsável pelo tratamento a retificação ou o completamento dos dados pessoais inexatos ou incompletos que lhe digam respeito. O titular de dados tem o direito de obter, nomeadamente através de uma declaração retificativa, que os seus dados pessoais incompletos sejam completados ou completiva .

2. Os Estados-Membros devem prever que, em caso de recusa de retificação ou completamento dos dados, o responsável pelo tratamento informe o titular de dados, por escrito, com uma justificação fundamentada, dos motivos da recusa e das possibilidades de apresentar uma queixa à autoridade de controlo e de intentar uma ação judicial.

2-A. Os Estados-Membros devem prever que o responsável pelo tratamento de dados notifique qualquer retificação efetuada a cada destinatário a quem foram divulgados os dados, a menos que tal se revele impossível ou implique um esforço desproporcionado.

2-B. Os Estados-Membros devem prever que o responsável pelo tratamento de dados notifique a retificação de dados pessoais inexatos ao terceiro que está na origem dos dados pessoais inexatos.

2-C. Os Estados-Membros devem prever que o titular dos dados possa invocar esse direito também através da autoridade nacional de controlo competente. [Alt. 78]

Artigo 16.o

Direito de apagamento

1. Os Estados-Membros devem prever o direito de o titular de dados obter do responsável pelo tratamento o apagamento dos dados pessoais que lhe digam respeito sempre que o tratamento não seja conforme com as disposições adotadas nos termos do artigo 4.o, alínea a) a e), edos artigos 4.o, 6.o, 7.o e 8.o da presente diretiva.

2. O responsável pelo tratamento deve efetuar esse apagamento sem demora. O responsável pelo tratamento deve igualmente abster-se de qualquer divulgação ulterior desses dados .

3. Em vez de proceder ao apagamento, o responsável pelo tratamento deve marcar restringir o tratamento de dados pessoais sempre que:

a) A sua exatidão for contestada pelo titular dos dados, durante um período que permita ao responsável pelo tratamento verificar a exatidão dos dados;

b) Os dados pessoais devam ser conservados para efeitos de prova ou de proteção dos interesses vitais do titular de dados ou de outrem ;

c) O titular dos dados se opuser ao seu apagamento e solicitar, em contrapartida, a limitação da sua utilização;

3-A. Sempre que o tratamento de dados pessoais for limitado nos termos do n.o 3, o responsável pelo tratamento informa o titular dos dados antes de anular a limitação ao tratamento.

4. Os Estados-Membros devem prever que o responsável pelo tratamento informe o titular de dados, por escrito, com uma justificação fundamentada, de qualquer recusa de apagamento ou de marcação limitação dos dados tratados, dos motivos de recusa e das possibilidades de apresentar uma queixa à autoridade de controlo e de intentar uma ação judicial.

4-A. Os Estados-Membros devem prever que o responsável pelo tratamento notifique os destinatários a quem os dados foram enviados de qualquer apagamento ou limitação nos termos do n.o 1, a menos que tal se revele impossível ou implique um esforço desproporcionado. O responsável pelo tratamento deve informar o titular dos dados acerca desses terceiros.

4-B. Os Estados-Membros devem prever que o titular dos dados possa invocar esse direito directamente junto do responsável pelo tratamento ou através da autoridade nacional de controlo competente. [Alt. 79]

Artigo 17.o

Direitos do titular dos dados no âmbito de investigações e ações penais

Os Estados-Membros podem prever, sempre que dados pessoais constem de uma decisão ou de um registo criminal objeto de tratamento no âmbito de uma investigação ou ação penal, que os direitos de informação, acesso, retificação, apagamento e limitação do tratamento, previstos nos artigos 11.o a 16.o, sejam exercidos em conformidade com as regras processuais penais nacionais.

CAPÍTULO IV

RESPONSÁVEL PELO TRATAMENTO E SUBCONTRATANTE

SECÇÃO 1

OBRIGAÇÕES GERAIS

Artigo 18.o

Obrigações do responsável pelo tratamento

1. Os Estados-Membros devem prever que o responsável pelo tratamento adote regras internas e execute as medidas adequadas para assegurar e estar em condições de demonstrar, de forma transparente, para cada operação de tratamento , que o tratamento dos dados pessoais é realizado no respeito das disposições adotadas em conformidade com a presente diretiva quer aquando da determinação dos meios de tratamento, quer aquando do próprio tratamento .

2. As medidas referidas no n.o 1 devem incluir, nomeadamente:

a) Conservar a documentação, nos termos do artigo 23.o;

a-A) Realizar uma avaliação de impacto sobre a proteção de dados, nos termos do artigo 25.o-A;

b) Respeitar a obrigação de consulta prévia, nos termos do artigo 26.o;

c) Aplicar os requisitos de segurança previstos no artigo 27.o;

d) Designar um delegado para a proteção de dados, nos termos do artigo 30.o;

d-A) Elaborar e executar as garantias específicas para o tratamento de dados pessoais relativos a crianças, se for adequado.

3. O responsável pelo tratamento deve aplicar mecanismos de verificação da adequação e da eficácia das medidas referidas no n.o 1. Sob reserva da sua proporcionalidade, essa verificação deve ser realizada por auditores independentes internos ou externos. [Alt. 80]

Artigo 19.o

Proteção de dados desde a conceção e por defeito

1. Os Estados-Membros devem prever que, tendo em conta as técnicas mais recentes e os custos associados à sua aplicação , o conhecimento tecnológico atual, as melhores práticas internacionais e os riscos representados pelo tratamento de dados, o r