Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (regulamento geral sobre a proteção de dados) /* COM/2012/011 final - 2012/0011 (COD) */





EXPOSIÇÃO DE MOTIVOS 1. CONTEXTO DA PROPOSTA A presente exposição de motivos apresenta mais em pormenor o novo quadro jurídico proposto para a proteção dos dados pessoais na União Europeia, como consagrado na Comunicação COM (2012) 9 final[1]. Este novo quadro jurídico consiste em duas propostas legislativas: – uma proposta de regulamento do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (regulamento geral sobre a proteção de dados), e – uma proposta de diretiva do Parlamento Europeu e do Conselho relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou de execução de sanções penais, e à livre circulação desses dados[2]. A presente exposição de motivos diz respeito à proposta de regulamento geral sobre a proteção de dados. A Diretiva 95/46/CE, o instrumento principal da atual legislação da UE em matéria de proteção de dados pessoais[3], foi adotada em 1995 com dois objetivos em vista: proteger o direito fundamental à proteção de dados e assegurar a livre circulação de dados pessoais entre os Estados-Membros. Foi completada pela Decisão-Quadro 2008/977/JAI, enquanto instrumento geral, a nível da UE, para a proteção de dados pessoais no âmbito da cooperação policial e judiciária em matéria penal[4]. A rápida evolução tecnológica criou novos desafios em matéria de proteção de dados pessoais. A partilha e a recolha de dados registaram um aumento espetacular. As novas tecnologias permitem às empresas privadas e às entidades públicas a utilização de dados pessoais numa escala sem precedentes no exercício das suas atividades. As pessoas disponibilizam cada vez mais as suas informações pessoais de uma forma pública e global. As novas tecnologias transformaram a economia e a vida social. Gerar confiança no ambiente em linha é fundamental para o desenvolvimento económico. A falta de confiança leva os consumidores a hesitar na compra em linha e no recurso a novos serviços. Isto pode conduzir a um atraso na inovação e na utilização das novas tecnologias. A proteção de dados pessoais tem, portanto, uma função central na Agenda Digital para a Europa[5] e, de um modo mais geral, na Estratégia Europa 2020[6]. O artigo 16.º, n.º 1, do Tratado sobre o Funcionamento da União Europeia (TFUE), introduzido pelo Tratado de Lisboa, estabelece o princípio de que todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito. Além disso, no artigo 16.º, n.º 2, do TFUE, o Tratado de Lisboa introduziu uma base jurídica específica para a adoção de normas em matéria de proteção de dados pessoais. O artigo 8.º da Carta dos Direitos Fundamentais da UE consagra a proteção dos dados pessoais como um direito fundamental. O Conselho Europeu convidou a Comissão a avaliar o funcionamento dos instrumentos da UE relativos à proteção de dados e a apresentar, se necessário, iniciativas adicionais, legislativas e não legislativas[7]. Na sua resolução sobre o Programa de Estocolmo, o Parlamento Europeu[8] acolheu favoravelmente a proposta de um regime global de proteção de dados na UE e, designadamente, solicitou a revisão da decisão-quadro. No seu Plano de Ação de aplicação do Programa de Estocolmo[9], a Comissão insistiu sobre a necessidade de assegurar a aplicação coerente do direito fundamental à proteção dos dados pessoais no âmbito de todas as políticas da União. Na sua Comunicação intitulada «Uma abordagem global da proteção de dados pessoais na União Europeia»[10], a Comissão concluiu que a UE carece de uma política mais ampla e coerente relativa ao direito fundamental à proteção dos dados pessoais. O atual quadro jurídico continua a ser válido quanto aos seus objetivos e princípios, mas não permitiu evitar uma fragmentação na execução da proteção dos dados pessoais na União Europeia, bem como a insegurança jurídica e o sentimento generalizado na opinião pública de que subsistem riscos significativos, particularmente nas atividades em linha[11]. É por isso altura de adotar um quadro jurídico de proteção dos dados mais sólido e coerente na UE, apoiado por uma aplicação rigorosa das regras, que permita à economia digital desenvolver-se em todo o mercado interno, às pessoas singulares controlar os seus próprios dados, bem como reforçar a segurança jurídica e prática para os operadores económicos e as entidades públicas. 2. RESULTADOS DAS CONSULTAS DAS PARTES INTERESSADAS E DA AVALIAÇÃO DE IMPACTO A presente iniciativa é o resultado de consultas exaustivas a todas as partes interessadas sobre a oportunidade de uma revisão do quadro jurídico atual da proteção de dados pessoais, que decorreram durante mais de dois anos e incluíram, nomeadamente, uma conferência de alto nível em maio de 2009[12] e duas fases de consulta pública: – de 9 de julho a 31 de dezembro de 2009, a «consulta sobre o quadro jurídico aplicável ao direito fundamental à proteção dos dados pessoais». A Comissão recebeu 168 respostas, 127 das quais de pessoas singulares, de organizações e de associações, e 12 de entidades públicas[13]. – de 4 de novembro de 2010 a 15 de janeiro de 2011, a «consulta sobre a abordagem global da Comissão em matéria de proteção dos dados pessoais na União Europeia». A Comissão obteve 305 respostas, 54 das quais de cidadãos, 31 de entidades públicas e 220 de organizações privadas, particularmente associações profissionais e organizações não‑governamentais[14]. Foram também conduzidas consultas específicas às principais partes interessadas. Organizaram-se eventos específicos, em junho e julho de 2010, com as autoridades dos Estados-Membros e partes interessadas do setor privado, bem como com organizações de proteção da privacidade e de dados e associações de consumidores[15]. Em novembro de 2010, a Vice-Presidente da Comissão Europeia, Viviane Reding, organizou uma mesa redonda sobre a reforma da proteção de dados. Em 28 de janeiro de 2011 (Dia Europeu da Proteção de Dados), a Comissão Europeia e o Conselho da Europa organizaram conjuntamente uma conferência de alto nível, com vista a debater as questões relacionadas com a reforma do quadro jurídico da UE e a necessidade de adotar regras comuns de proteção de dados a nível mundial[16]. Foram organizadas duas conferências sobre a proteção de dados pelas Presidências húngara e polaca do Conselho, entre respetivamente 16 e 17 de junho de 2011 e em 21 de setembro de 2011. No decurso de 2011 realizaram-se sessões de trabalho e seminários especializados sobre temas específicos. Em janeiro, a ENISA[17] organizou uma sessão de trabalho relativa à notificação de violações de dados na Europa[18]. Em fevereiro, a Comissão reuniu as autoridades dos Estados‑Membros num seminário com vista à discussão de questões no domínio da cooperação policial e judiciária em matéria penal, incluindo a execução da decisão-quadro, enquanto a Agência dos Direitos Fundamentais realizou uma reunião de consulta às partes interessadas relativa à «proteção dos dados e privacidade». Foi realizado um debate sobre os aspetos principais da reforma em 13 de julho de 2011 com as autoridades nacionais de proteção de dados. Os cidadãos da UE foram consultados através de um inquérito do Eurobarómetro realizado entre os meses de novembro e dezembro de 2010[19]. Foi igualmente lançado um conjunto de estudos[20]. O «Grupo de Trabalho do artigo 29.º»[21] emitiu vários pareceres e contributos úteis para a Comissão[22]. A Autoridade Europeia para a Proteção de Dados emitiu também um parecer exaustivo relativo às questões suscitadas na Comunicação da Comissão de novembro de 2010[23]. O Parlamento Europeu aprovou, através da sua resolução de 6 de julho de 2011, um relatório que apoiava a abordagem da Comissão quanto à reforma do quadro jurídico da proteção de dados[24]. O Conselho da União Europeia aprovou, em 24 de fevereiro de 2011, conclusões que apoiam em grande medida a intenção da Comissão de reformar o quadro da proteção de dados e aprovam muitos dos elementos da sua abordagem. O Comité Económico e Social Europeu defendeu igualmente o objetivo da Comissão no sentido de assegurar uma aplicação mais coerente das regras de proteção de dados da UE[25] em todos os Estados‑Membros e uma revisão adequada da Diretiva 95/46/CE[26]. Durante as consultas relativas à abordagem global, uma grande maioria dos interessados concordou que os princípios gerais se mantêm válidos, mas que existe a necessidade de adaptar o quadro jurídico atual a fim de responder melhor aos desafios colocados pelo rápido desenvolvimento das novas tecnologias (especialmente em linha) e pela crescente globalização, mantendo a neutralidade tecnológica do referido quadro. Tem havido duras críticas contra a atual fragmentação da proteção dos dados pessoais na União Europeia, em especial dos operadores económicos, que exigem uma maior segurança jurídica e harmonização das regras relativas à proteção de dados pessoais. A complexidade das regras relativas a transferências internacionais de dados pessoais é considerada um obstáculo importante para as suas operações, uma vez que necessitam frequentemente de transferir dados pessoais da UE para outras partes do mundo. Em conformidade com a sua política «Legislar melhor», a Comissão realizou uma avaliação de impacto das diferentes opções estratégicas. A avaliação de impacto baseou-se nos três objetivos políticos de melhorar a dimensão «mercado interno» da proteção de dados, tornar o exercício do direito à proteção de dados pelas pessoas singulares mais eficaz e criar um quadro global e coerente que abranja todos os domínios de competência da União Europeia, incluindo a cooperação policial e judiciária em matéria penal. Foram avaliadas três opções, com diferentes graus de intervenção: a primeira opção consistia em introduzir pequenas alterações legislativas e recorrer a comunicações interpretativas e a medidas de apoio, tais como programas de financiamento e ferramentas técnicas; a segunda opção consistia num conjunto de disposições legislativas, dedicadas a cada uma das questões identificadas na avaliação e, a terceira opção, consistia na centralização da proteção de dados a nível da UE, graças a regras precisas e pormenorizadas para todos os setores e à criação de uma agência da UE para acompanhar e controlar a aplicação das disposições. Em conformidade com a metodologia estabelecida pela Comissão, cada opção foi avaliada, com a ajuda de um grupo de direção interserviços, quanto à sua eficácia para atingir os objetivos fixados, ao seu impacto económico sobre as partes interessadas (incluindo sobre o orçamento das instituições da UE), ao seu impacto e efeitos sobre os direitos fundamentais. Não foi avaliado o impacto ambiental. Essa análise do impacto global conduziu ao desenvolvimento da opção preferida, que se baseia na segunda opção associando‑lhe alguns elementos das outras duas, e é parte integrante da presente proposta. Segundo a avaliação de impacto, a sua execução deve conduzir, inter alia, a melhorias consideráveis quanto à segurança jurídica para os responsáveis pelo tratamento dos dados e os cidadãos, à redução dos encargos administrativos, à coerência na aplicação da proteção de dados na União, ao reforço do exercício efetivo pelas pessoas singulares dos seus direitos em matéria de proteção de dados, à garantia da proteção de dados pessoais na UE e à eficácia do controlo e da aplicação das regras em matéria de proteção de dados. Prevê‑se que a execução da opção preferida contribua para o objetivo da Comissão de simplificação e redução dos encargos administrativos e os objetivos da Agenda Digital para a Europa, do Plano de Ação de aplicação do Programa de Estocolmo e da Estratégia Europa 2020. O Comité das avaliações de impacto emitiu um parecer relativo ao projeto de avaliação de impacto em 9 de setembro de 2011, na sequência do qual esta última foi alterada da seguinte forma: – foram clarificados os objetivos do quadro jurídico atual (em que medida foram ou não atingidos), bem como os objetivos da reforma prevista; – foram acrescentados elementos e explicações/esclarecimentos adicionais à secção sobre a definição dos problemas; – foi acrescentada uma secção sobre a proporcionalidade; – todos os cálculos e estimativas relacionados com os encargos administrativos no cenário de base e na opção preferida foram integralmente reexaminados e revistos, e a relação entre o custo das notificações e o custo total da fragmentação foram clarificados (incluindo o Anexo 10); – os impactos nas micro, pequenas e médias empresas, particularmente no que diz respeito à designação de um delegado para a proteção de dados e à realização de avaliações de impacto sobre a proteção de dados, foram melhor especificados. O relatório da avaliação de impacto e o seu resumo são publicados juntamente com as propostas. 3. ELEMENTOS JURÍDICOS DA PROPOSTA 3.1. Base jurídica A presente proposta baseia-se no artigo 16.º do TFUE, que constitui a nova base jurídica para a adoção das regras em matéria de proteção de dados introduzidas pelo Tratado de Lisboa. Esta disposição permite a adoção de regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelos Estados-Membros no exercício de atividades abrangidas pelo direito da União. Permite igualmente a adoção de regras relacionadas com a livre circulação de dados pessoais, incluindo os dados pessoais tratados pelos Estados‑Membros ou por entidades privadas. Um regulamento é considerado o instrumento jurídico mais adequado para definir o quadro da proteção de dados pessoais na União. A sua aplicabilidade direta, prevista no artigo 288.º do TFUE, permitirá reduzir a fragmentação jurídica e proporcionar maior segurança jurídica, introduzindo um conjunto harmonizado de regras de base, melhorando a proteção dos direitos fundamentais das pessoas singulares e contribuindo para o bom funcionamento do mercado interno. A referência ao artigo 114.º, n.º 1, do TFUE é necessária para efeitos da alteração da Diretiva 2002/58/CE, na medida em que a referida diretiva prevê igualmente a proteção dos interesses legítimos dos assinantes que são pessoas coletivas. 3.2. Subsidiariedade e proporcionalidade Segundo o princípio da subsidiariedade (artigo 5.º, n.º 3, do TUE), devem ser adotadas medidas a nível da União apenas se e na medida em que os objetivos previstos não possam ser suficientemente alcançados pelos Estados-Membros, podendo, contudo, ser melhor alcançados a nível da União, devido às dimensões ou aos efeitos da ação proposta. Atendendo aos problemas acima mencionados, a análise da subsidiariedade indica a necessidade de uma ação a nível da UE pelas seguintes razões: – o direito à proteção de dados pessoais, consagrado no artigo 8.º da Carta dos Direitos Fundamentais, exige o mesmo nível de proteção dos dados em toda a União. A ausência de regras comuns na UE criaria o risco de níveis diferentes de proteção nos Estados-Membros e, portanto, de restrições à circulação de dados pessoais entre Estados-Membros que aplicam regras divergentes; – os dados pessoais são transferidos para além das fronteiras nacionais, tanto internas como externas, a uma velocidade cada vez maior. Além disso, existem desafios práticos que se colocam à aplicação da legislação sobre a proteção de dados e a necessidade de cooperação entre os Estados-Membros e as suas autoridades competentes que deve ser organizada a nível da UE de forma a assegurar a uniformidade de aplicação do direito da União. A UE está também melhor posicionada para assegurar, de uma forma eficaz e coerente, o mesmo nível de proteção às pessoas singulares quando os seus dados pessoais são transferidos para países terceiros; – os Estados-Membros não podem, por si só, reduzir os problemas na situação atual, particularmente os que se devem à fragmentação a nível das legislações nacionais. Assim, existe necessidade especial de criação de um quadro harmonizado e coerente que permita uma transferência transfronteiriça fácil dos dados pessoais na UE, assegurando simultaneamente a proteção efetiva de todas as pessoas singulares no conjunto da UE; – as ações legislativas propostas a nível da UE serão mais eficazes do que as ações similares adotadas a nível dos Estados-Membros, devido à natureza e à dimensão dos problemas, que não se restringem a um ou vários Estados-Membros. O princípio da proporcionalidade exige que qualquer intervenção seja específica e não exceda o necessário para alcançar os objetivos definidos. Este princípio orientou a preparação da presente proposta legislativa, desde a identificação e a avaliação das diferentes opções, até à sua redação. 3.3. Resumo das questões relativas aos direitos fundamentais O direito à proteção de dados pessoais está consagrado no artigo 8.º da Carta dos Direitos Fundamentais da UE, no artigo 16.º do TFUE e no artigo 8.º da CEDH. Conforme salientado pelo Tribunal de Justiça da UE[27], o direito à proteção de dados pessoais não é absoluto, mas deve ser considerado em relação à sua função na sociedade[28]. A proteção de dados está profundamente relacionada com o respeito pela vida privada e familiar, protegido pelo artigo 7.º da Carta. Isto encontra-se refletido no artigo 1.º, n.º 1, da Diretiva 95/46/CE, que prevê que os Estados-Membros assegurarão a proteção das liberdades e dos direitos fundamentais das pessoas singulares, nomeadamente do direito à vida privada, no que diz respeito ao tratamento de dados pessoais. Os outros direitos fundamentais consagrados na Carta suscetíveis de serem afetados são os seguintes: a liberdade de expressão (artigo 11.º da Carta), a liberdade de empresa (artigo 16.º), o direito à propriedade e, em especial, a proteção da propriedade intelectual (artigo 17.º, n.º 2), a proibição de discriminação em razão da raça, origem étnica, características genéticas, religião ou convicções, opiniões políticas ou outras, deficiência ou orientação sexual (artigo 21.º), os direitos da criança (artigo 24.º), o direito a um elevado nível de proteção da saúde humana (artigo 35.º); o direito de acesso aos documentos (artigo 42.º); o direito à ação e a um tribunal imparcial (artigo 47.º). 3.4. Explicação pormenorizada da proposta 3.4.1. CAPÍTULO I – DISPOSIÇÕES GERAIS O artigo 1.º define o objeto do regulamento e, tal como no artigo 1.º da Diretiva 95/46/CE, estabelece os dois objetivos prosseguidos. O artigo 2.º estabelece o âmbito de aplicação material do regulamento. O artigo 3.º estabelece o âmbito de aplicação territorial do regulamento. O artigo 4.º contém as definições dos termos utilizados no regulamento. Algumas definições foram transpostas da Diretiva 95/46/CE, enquanto outras foram alteradas ou completadas por elementos suplementares ou novos (sobre «violação de dados pessoais», com base no artigo 2.º, alínea h), da Diretiva 2002/58/CE[29] sobre a Privacidade e comunicações eletrónicas, com a redação que lhe foi dada pela Diretiva 2009/136/CE[30], «dados genéticos», «dados biométricos», «dados relativos à saúde», «estabelecimento principal», «representante», «empresa», «grupo de empresas», «regras vinculativas para empresas» e «criança», cuja definição se baseia na Convenção das Nações Unidas relativa aos Direitos da Criança[31], e «autoridade de controlo»). Na definição de consentimento é acrescentado o termo «explícito», a fim de evitar qualquer paralelismo suscetível de confusão com o consentimento «inequívoco» e dispor de uma definição única e coerente de consentimento, garantindo que o titular de dados dá o seu consentimento com todo o conhecimento de causa. 3.4.2. CAPÍTULO II – PRINCÍPIOS O artigo 5.º enuncia os princípios relacionados com o tratamento de dados pessoais, que correspondem aos previstos no artigo 6.º da Diretiva 95/46/CE. Os novos elementos acrescentados são, em especial, o princípio da transparência, a clarificação do princípio da minimização de dados e a instauração das obrigações e da responsabilidade global do responsável pelo tratamento. O artigo 6.º define, com base no artigo 7.º da Diretiva 95/46/CE, os critérios para um tratamento de dados lícito, que são melhor especificados quanto ao critério do equilíbrio de interesses e ao respeito das obrigações legais e de interesse público. O artigo 7.º clarifica as condições para que o consentimento seja válido enquanto fundamento jurídico para o tratamento lícito. O artigo 8.º estabelece condições suplementares para a licitude do tratamento de dados pessoais de crianças em relação a serviços da sociedade da informação que lhes são diretamente propostos. O artigo 9.º, que se inspira no artigo 8.º da Diretiva 95/46/CE, prevê uma proibição geral de tratamento de categorias especiais de dados pessoais e as exceções a esta regra geral. O artigo 10.º clarifica que o responsável pelo tratamento não é obrigado a obter informações adicionais para identificar o titular dos dados para efeitos exclusivos do respeito de qualquer disposição do presente regulamento. 3.4.3. CAPÍTULO III - DIREITOS DO TITULAR DOS DADOS 3.4.3.1. Secção 1 – Transparência e modalidades O artigo 11.º introduz a obrigação de os responsáveis pelo tratamento fornecerem informações transparentes, de fácil acesso e compreensão, que se inspira especialmente na Resolução de Madrid sobre as normas internacionais em matéria de proteção de dados pessoais e da vida privada[32]. O artigo 12.º obriga o responsável pelo tratamento a prever procedimentos e mecanismos para o exercício dos direitos pelo titular dos dados, incluindo meios para pedidos por via eletrónica que requeiram resposta à pessoa em causa dentro de um prazo fixado e os motivos da recusa. O artigo 13.º prevê direitos em relação aos destinatários, com base no artigo 12.º, alínea c), da Diretiva 95/46/CE, e aplicáveis a todos os destinatários, incluindo os responsáveis conjuntos pelo tratamento e os subcontratantes. 3.4.3.2. Secção 2 – Informações e acesso aos dados O artigo 14.º descreve mais pormenorizadamente as obrigações de informação pelo responsável pelo tratamento para com o titular dos dados e acrescenta, em relação aos artigos 10.º e 11.º da Diretiva 95/46/CE, informações suplementares, incluindo sobre o período de conservação, o direito de apresentar queixa, as transferências internacionais e a fonte de origem dos dados. Retoma também as derrogações previstas na Diretiva 95/46/CE, por exemplo a inexistência de qualquer obrigação de informação caso o registo ou a comunicação de dados se encontre expressamente previsto por lei. Tal pode ser aplicado, por exemplo, em procedimentos das autoridades de concorrência, fiscais ou aduaneiras, ou serviços competentes em matéria de segurança social. O artigo 15.º prevê o direito de acesso do titular de dados aos seus dados pessoais, com base no artigo 12.º, alínea a), da Diretiva 95/46/CE, e acrescenta novos elementos, tais como prever a informação aos titulares dos dados sobre o período de conservação, os direitos de retificação, de apagamento e de apresentação de queixa. 3.4.3.3. Secção 3 – Retificação e apagamento O artigo 16.º estabelece o direito do titular dos dados à retificação, com base no artigo 12.º, alínea b), da Diretiva 95/46/CE. O artigo 17.º confere ao titular dos dados o direito a ser esquecido e ao apagamento. Desenvolve e especifica mais detalhadamente o direito de apagamento consagrado no artigo 12.º, alínea b), da Diretiva 95/46/CE, e prevê as condições do direito a ser esquecido, incluindo a obrigação do responsável pelo tratamento que tornou públicos os dados pessoais de informar os terceiros sobre o pedido da pessoa em causa de apagamento de quaisquer ligações para esses dados, ou cópias ou reproduções que tenham sido efetuadas. Este artigo integra igualmente o direito à limitação do tratamento em determinados casos, evitando o termo ambíguo de «bloqueio». O artigo 18.º introduz o direito do titular dos dados à portabilidade dos dados, ou seja, de transferir dados de um sistema de tratamento eletrónico para outro, sem que o responsável pelo tratamento se possa opor. Como condição prévia, e para melhorar o acesso das pessoas singulares aos dados pessoais que lhe dizem respeito, prevê o direito de obter esses dados do responsável pelo tratamento num formato eletrónico estruturado e de utilização corrente. 3.4.3.4. Secção 4 – Direito de oposição e de definição de perfis O artigo 19.º confere ao titular dos dados o direito de oposição. Tem como base o artigo 14.º da Diretiva 95/46/CE, com algumas alterações, designadamente quanto ao ónus da prova e da sua aplicação à comercialização direta. O artigo 20.º é relativo ao direito de o titular dos dados não ser objeto de uma medida com base na definição de perfis. Assenta, com as devidas alterações e garantias adicionais no artigo 15.º, n.º 1, da Diretiva 95/46/CE, relativo a decisões individuais automatizadas, e tem em consideração a recomendação do Conselho da Europa sobre a definição de perfis[33]. 3.4.3.5. Secção 5 - Restrições O artigo 21.º clarifica os poderes conferidos à União Europeia ou aos Estados-Membros para manter ou introduzir restrições aos princípios enunciados no artigo 5.º e aos direitos dos titulares de dados previstos nos artigos 11.º a 20.º e no artigo 32.º. Esta disposição tem por base o artigo 13.º da Diretiva 95/46/CE e os requisitos decorrentes da Carta dos Direitos Fundamentais e da Convenção Europeia para a Proteção dos Direitos do Homem e das Liberdades Fundamentais, conforme interpretado pelo Tribunal de Justiça da UE e o Tribunal Europeu dos Direitos do Homem. 3.4.4. CAPÍTULO IV – RESPONSÁVEL PELO TRATAMENTO E SUBCONTRATANTE 3.4.4.1. Secção 1 – Obrigações gerais O artigo 22.º, em resposta ao debate sobre um «princípio da responsabilidade», descreve pormenorizadamente as obrigações que incumbem ao responsável pelo tratamento para dar cumprimento ao presente regulamento e comprovar a sua observância, incluindo através da adoção de regras internas e mecanismos para este efeito. O artigo 23.º estabelece as obrigações do responsável pelo tratamento, decorrentes dos princípios de proteção de dados desde a conceção e de proteção dos dados por defeito. O artigo 24.º relativo aos responsáveis conjuntos pelo tratamento clarifica as responsabilidades destes últimos quanto às suas relações internas e face ao titular dos dados. O artigo 25.º obriga, sob determinadas condições, os responsáveis pelo tratamento não estabelecidos na União a designar um representante na União sempre que o regulamento for aplicável às suas atividades de tratamento. O artigo 26.º clarifica a posição e as obrigações dos subcontratantes, baseando-se parcialmente no artigo 17.º, n.º 2, da Diretiva 95/46/CE, e acrescentando novos elementos, designadamente que um subcontratante que efetue o tratamento de dados para além das instruções dadas pelo responsável pelo tratamento deve ser considerado como responsável conjunto pelo tratamento. O artigo 27.º, relativo ao tratamento efetuado sob a autoridade do responsável pelo tratamento ou do subcontratante, baseia-se no artigo 16.º da Diretiva 95/46/CE. O artigo 28.º introduz a obrigação, para os responsáveis pelo tratamento e os subcontratantes, de conservar a documentação das operações de tratamento sob a sua responsabilidade, em vez da notificação geral à autoridade de controlo exigida pelo artigo 18.º, n.º 1, e artigo 19.º da Diretiva 95/46/CE. O artigo 29.º clarifica as obrigações que incumbem ao responsável pelo tratamento e ao subcontratante no âmbito da sua cooperação com a autoridade de controlo. 3.4.4.2. Secção 2 – Segurança dos dados O artigo 30.º obriga o responsável pelo tratamento e o subcontratante a aplicar as medidas adequadas para assegurar a segurança de tratamento. Tem por base o artigo 17.º, n.º 1, da Diretiva 95/46/CE, e alarga essa obrigação aos subcontratantes, independentemente do contrato celebrado com o responsável pelo tratamento. Os artigos 31.º e 32.º introduzem uma obrigação de notificação de violações de dados pessoais, inspirada na notificação de violações de dados pessoais previstos no artigo 4.º, n.º 3, da Diretiva 2002/58/CE relativa à privacidade e comunicações eletrónicas. 3.4.4.3. Secção 3 - Avaliação de impacto da proteção de dados e autorização prévia O artigo 33.º introduz a obrigação, para os responsáveis pelo tratamento e os subcontratantes, de realizar uma avaliação de impacto sobre a proteção de dados previamente a operações de tratamento de dados de risco. O artigo 34.º diz respeito a casos em que é obrigatória a autorização e a consulta da autoridade de controlo previamente ao tratamento, com base no conceito de controlo prévio constante do artigo 20.º da Diretiva 95/46/CE. 3.4.4.4. Secção 4 – Delegado para a proteção de dados O artigo 35.º introduz a obrigação de designar um delegado para a proteção de dados para o setor público e, no setor privado, para as grandes empresas, ou sempre que as atividades de base do responsável pelo tratamento ou do subcontratante consistam em operações de tratamento de dados que exijam um controlo regular e sistemático. Esta disposição baseia-se no artigo 18.º, n.º 2, da Diretiva 95/46/CE, que prevê a possibilidade dos Estados-Membros introduzirem tal obrigação em vez da obrigação de notificação geral. O artigo 36.º estabelece a função do delegado para a proteção de dados. O artigo 37.º prevê as funções principais do delegado para a proteção de dados. 3.4.4.5. Secção 5 – Códigos de conduta e certificação O artigo 38.º diz respeito a códigos de conduta e, baseando-se no conceito do artigo 27.º, n.º 1, da Diretiva 95/46/CE, clarifica o conteúdo dos códigos de conduta e dos procedimentos, habilitando a Comissão a decidir sobre a aplicabilidade geral dos códigos de conduta. O artigo 39.º introduz a possibilidade de estabelecer mecanismos de certificação, bem como selos e marcas em matéria de proteção de dados. 3.4.5. CAPÍTULO V – TRANSFERÊNCIA DE DADOS PESSOAIS PARA PAÍSES TERCEIROS OU ORGANIZAÇÕES INTERNACIONAIS O artigo 40.º especifica, como princípio geral, que o respeito das obrigações constantes desse capítulo é obrigatório para qualquer transferência de dados pessoais para países terceiros ou organizações internacionais, incluindo as transferências ulteriores. O artigo 41.º estabelece os critérios, condições e procedimentos para a adoção de uma decisão da Comissão sobre a adequação do nível de proteção, tendo por base o artigo 25.º da Diretiva 95/46/CE. Os critérios considerados para a avaliação, pela Comissão, de um nível adequado ou inadequado de proteção incluem expressamente o primado do Estado de direito, a possibilidade de recorrer aos tribunais e um controlo independente. O artigo confirma agora explicitamente a possibilidade de a Comissão avaliar o nível de proteção assegurado por um território ou um setor de tratamento de dados num país terceiro. O artigo 42.º exige que, para transferências para países terceiros em que não tenha sido adotada pela Comissão uma decisão sobre a adequação do nível de proteção, sejam apresentadas garantias adequadas, em especial cláusulas-tipo de proteção de dados, regras vinculativas para empresas e cláusulas contratuais. A possibilidade de utilizar cláusulas‑tipo de proteção de dados da Comissão tem por base o artigo 26.º, n.º 4, da Diretiva 95/46/CE. Enquanto novidade, essas cláusulas-tipo de proteção de dados podem doravante ser também adotadas por uma autoridade de controlo e declaradas geralmente aplicáveis pela Comissão. As regras vinculativas para empresas são agora referidas especificamente no articulado. A opção das cláusulas contratuais permite alguma flexibilidade ao responsável pelo tratamento ou ao subcontratante, mas está sujeita à autorização prévia de uma autoridade de controlo. O artigo 43.º descreve mais em pormenor as condições aplicáveis às transferências graças às regras vinculativas para empresas, com base nas práticas e requisitos atuais das autoridades de controlo. O artigo 44.º define e clarifica as derrogações para as transferências de dados, com base nas disposições existentes do artigo 26.º da Diretiva 95/46/CE. Esta disposição é especialmente aplicável às transferências de dados exigidas e necessárias por razões de proteção de interesses públicos importantes, por exemplo em casos de transferências internacionais de dados entre autoridades da concorrência, fiscais ou aduaneiras, ou entre serviços competentes em matéria de segurança social ou de gestão das atividades de pesca. Além disso, uma transferência de dados pode, em circunstâncias restritas, justificar-se por um interesse legítimo do responsável pelo tratamento ou do subcontratante, mas apenas após ter avaliado e documentado as circunstâncias dessa operação de transferência. O artigo 45.º prevê expressamente a elaboração de mecanismos de cooperação internacionais para a proteção de dados pessoais entre a Comissão e as autoridades de controlo de países terceiros, particularmente os que se considera que asseguram um nível de proteção adequado, tendo em conta a recomendação da Organização para a Cooperação e Desenvolvimento (OCDE), de 12 de junho de 2007, sobre a cooperação transfronteiriça na aplicação das legislações de proteção da privacidade. 3.4.6. CAPÍTULO VI - AUTORIDADES DE CONTROLO INDEPENDENTES 3.4.6.1. Secção 1 – Estatuto Independente O artigo 46.º obriga os Estados-Membros a criar autoridades de controlo, com base no artigo 28.º, n.º 1, da Diretiva 95/46/CE, alargando a missão destas autoridades à cooperação mútua e com a Comissão. O artigo 47.º clarifica as condições para assegurar a independência das autoridades de controlo, em aplicação da jurisprudência do Tribunal de Justiça da União Europeia[34], e também com base no artigo 44.º do Regulamento (CE) n.º 45/2001[35]. O artigo 48.º prevê as condições gerais aplicáveis aos membros da autoridade de controlo, em aplicação da jurisprudência na matéria[36], também com base no artigo 42.º, n.os 2 a 6, do Regulamento (CE) 45/2001. O artigo 49.º estabelece as regras sobre a criação da autoridade de controlo, que os Estados‑Membros devem estabelecer por via legislativa. O artigo 50.º impõe o sigilo profissional aos membros e ao pessoal da autoridade de controlo tendo por base o artigo 28.º, n.º 7, da Diretiva 95/46/CE. 3.4.6.2. Secção 2 – Funções e poderes O artigo 51.º estabelece a competência das autoridades de controlo. A regra geral, baseada no artigo 28.º, n.º 6, da Diretiva 95/46/CE (competência no território do seu Estado-Membro), é completada por uma nova competência, a da autoridade principal, caso um responsável pelo tratamento ou um subcontratante esteja estabelecido em vários Estados-Membros, por forma a assegurar uma aplicação uniforme («balcão único»). Os tribunais, ao agirem enquanto autoridade judiciária, estão isentos de se submeterem à supervisão da autoridade de controlo, mas não de aplicar as regras materiais sobre a proteção de dados. O artigo 52.º prevê as funções da autoridade de controlo, incluindo receber e examinar queixas, e sensibilizar o público para os riscos, regras, garantias e direitos existentes. O artigo 53.º prevê os poderes da autoridade de controlo, baseando-se em parte no artigo 28.º, n.º 3, da Diretiva 95/46/CE, e no artigo 47.º do Regulamento (CE) 45/2001, acrescentando-lhe novos elementos, incluindo o poder de sancionar as infrações de natureza administrativa. O artigo 54.º obriga as autoridades de controlo a redigirem relatórios de atividade anuais, com base no artigo 28.º, n.º 5, da Diretiva 95/46/CE. 3.4.7. CAPÍTULO VII – COOPERAÇÃO E COERÊNCIA 3.4.7.1. Secção 1 - Cooperação O artigo 55.º introduz regras específicas sobre a assistência mútua obrigatória, incluindo as consequências pelo incumprimento de um pedido de outra autoridade de controlo, com base no artigo 28.º, n.º 6, segundo parágrafo, da Diretiva 95/46/CE. O artigo 56.º introduz regras aplicáveis às operações conjuntas, com base no artigo 17.º da Decisão 2008/615/JAI do Conselho[37], incluindo o direito de as autoridades de controlo participarem nessas operações. 3.4.7.2. Secção 2 – Coerência O artigo 57.º introduz um mecanismo de controlo da coerência, a fim de assegurar a aplicação uniforme no que respeita às operações de tratamento de dados que podem visar titulares de dados em diversos Estados-Membros. O artigo 58.º estabelece os procedimentos e as condições a respeitar para solicitar o parecer do Comité Europeu para a Proteção de Dados. O artigo 59.º refere-se aos pareceres da Comissão relativos a matérias que são examinadas no quadro do mecanismo de controlo da coerência e que podem quer confirmar o parecer do Comité Europeu para a Proteção de Dados, quer expressar uma divergência com o mesmo, e relativos ao projeto de medida transmitido pela autoridade de controlo. Sempre que a questão é suscitada pelo Comité Europeu para a Proteção de Dados por força do artigo 58.º, n.º 3, a Comissão poderá exercer o seu poder discricionário e, se necessário, emitir um parecer. O artigo 60.º refere-se às decisões da Comissão que exigem da autoridade competente a suspensão do seu projeto de medida sempre que tal seja necessário para assegurar a correta aplicação do presente regulamento. O artigo 61.º prevê a possibilidade de adoção de medidas provisórias, segundo um procedimento urgente. O artigo 62.º estabelece os requisitos para a adoção dos atos de execução da Comissão no âmbito do mecanismo de controlo da coerência. O artigo 63.º prevê a obrigação de executar a medida prevista por uma autoridade de controlo em todos os Estados-Membros em causa, e estabelece que a aplicação do mecanismo de controlo da coerência é um requisito prévio para a validade jurídica e a execução da medida em causa. 3.4.7.3. Secção 3 – Comité Europeu para a Proteção de Dados O artigo 64.º cria o Comité Europeu para a Proteção de Dados, composto pelos diretores das autoridades de controlo de cada Estado-Membro e da Autoridade Europeia para a Proteção de Dados. O Comité Europeu para a Proteção de Dados substitui o «Grupo de proteção das pessoas no que diz respeito ao tratamento de dados pessoais», criado nos termos do artigo 29.º da Diretiva 95/46/CE. O artigo clarifica que a Comissão não é membro desse Comité, assistindo-lhe, no entanto, o direito de participar nas suas atividades e de nele estar representada. O artigo 65.º sublinha e clarifica a independência do Comité Europeu para a Proteção de Dados. O artigo 66.º descreve as funções do Comité Europeu para a Proteção de Dados, com base no artigo 30.º, n.º 1, da Diretiva 95/46/CE, e prevê elementos adicionais, refletindo o âmbito cada vez maior de atividades deste comité, dentro e fora da União Europeia. Para poder reagir em situações urgentes, confere à Comissão a possibilidade de solicitar um parecer dentro de um determinado prazo. O artigo 67.º, com base no artigo 30.º, n.º 6, da Diretiva 95/46/CE, impõe ao Comité Europeu para a Proteção de Dados e apresentação de um relatório anual relativo às suas atividades. O artigo 68.º estabelece os processos de decisão do Comité Europeu para a Proteção de Dados, incluindo a obrigação de adotar um regulamento interno que deve igualmente determinar as suas modalidades de funcionamento. O artigo 69.º contém as disposições relativas ao presidente e aos vice-presidentes do Comité Europeu para a Proteção de Dados. O artigo 70.º estabelece as funções do presidente. O artigo 71.º prevê que o secretariado do Comité Europeu para a Proteção de Dados será assegurado pela Autoridade Europeia para a Proteção de Dados e especifica as funções desse secretariado. O artigo 72.º estabelece as regras relativas à confidencialidade. 3.4.8. CAPÍTULO VIII – VIAS DE RECURSO, RESPONSABILIDADE E SANÇÕES O artigo 73.º prevê o direito de qualquer titular de dados apresentar queixa a uma autoridade de controlo, com base no artigo 28.º, n.º 4, da Diretiva 95/46/CE. Especifica também os organismos, organizações ou associações que podem apresentar queixa em nome do titular dos dados ou, em caso de violação de dados pessoais, independentemente da queixa apresentada por um titular de dados. O artigo 74.º diz respeito ao direito de recorrer aos tribunais contra uma autoridade de controlo. Tem por base a disposição geral do artigo 28.º, n.º 3, da Diretiva 95/46/CE e prevê, especificamente, uma ação judicial a fim de obrigar a autoridade de controlo a dar seguimento a uma queixa, clarificando a competência dos tribunais do Estado-Membro em que esteja estabelecida a autoridade de controlo. Prevê também que a autoridade de controlo do Estado-Membro onde resida o titular dos dados possa intentar, em nome deste último, uma ação junto dos tribunais de outro Estado-Membro onde esteja estabelecida a autoridade de controlo competente. O artigo 75.º refere-se ao direito de ação judicial contra um responsável pelo tratamento ou um subcontratante, com base no artigo 22.º da Diretiva 95/46/CE, e permite escolher um tribunal no Estado-Membro em que o requerido está estabelecido ou onde reside o titular dos dados. Sempre que um processo relativo à mesma matéria esteja pendente no âmbito do mecanismo de controlo da coerência, o tribunal pode suspender a instância, exceto em caso de urgência. O artigo 76.º estabelece regras gerais para os processos judiciais, incluindo o direito de organismos, organizações ou associações representarem os titulares de dados junto dos tribunais, o direito das autoridades de controlo de intervirem em processos judiciais e de informar os tribunais sobre processos paralelos noutro Estado-Membro, bem como a possibilidade de os tribunais suspenderem, nesse caso, a instância[38]. Os Estados-Membros são obrigados a assegurar ações judiciais rápidas[39]. O artigo 77.º diz respeito ao direito de indemnização e à responsabilidade. Tem por base o artigo 23.º da Diretiva 95/46/CE, tornando este direito extensível aos danos causados pelos subcontratantes e clarifica a responsabilidade dos responsáveis conjuntos pelo tratamento e dos subcontratantes. O artigo 78.º obriga os Estados-Membros a estabelecerem regras sobre sanções aplicáveis às infrações ao regulamento e a assegurar a sua execução. O artigo 79.º obriga cada autoridade de controlo a sancionar as infrações administrativas enumeradas nesta disposição mediante multas até um determinado montante máximo, em função das circunstâncias específicas de cada caso. 3.4.9. CAPÍTULO IX – DISPOSIÇÕES RELATIVAS A SITUAÇÕES ESPECÍFICAS DE TRATAMENTO DE DADOS O artigo 80.º obriga os Estados-Membros a adotarem isenções e derrogações a disposições específicas do regulamento sempre que necessário para conciliar o direito à proteção de dados pessoais com o direito à liberdade de expressão. Tem por base o artigo 9.º da Diretiva 95/46/CE, tal como interpretado pelo Tribunal de Justiça da UE[40]. O artigo 81.º obriga os Estados-Membros, para além das condições aplicáveis a categorias especiais de dados, a assegurar garantias específicas para o tratamento de dados no domínio da saúde. O artigo 82.º autoriza os Estados-Membros a adotarem legislação específica para o tratamento de dados pessoais no domínio do emprego. O artigo 83.º estabelece condições específicas para o tratamento de dados pessoais para efeitos de investigação histórica, estatística e científica. O artigo 84.º autoriza os Estados-Membros a adotarem regras específicas sobre o acesso de autoridades de controlo a dados pessoais e a instalações, sempre que os responsáveis pelo tratamento dos dados estiverem sujeitos a obrigações de confidencialidade. O artigo 85.º autoriza as igrejas, por força do artigo 17.º do Tratado sobre o Funcionamento da União Europeia, a continuarem a aplicar um conjunto completo de regras de proteção de dados, se forem adaptadas ao presente regulamento. 3.4.10. CAPÍTULO X – ATOS DELEGADOS E ATOS DE EXECUÇÃO O artigo 86.º contém as disposições-tipo aplicáveis ao exercício da delegação nos termos do artigo 290.º do TFUE. Tal permite ao legislador delegar na Comissão o poder de adotar atos não legislativos de aplicação geral para completar ou alterar determinados elementos não essenciais de um ato legislativo (atos quase-legislativos). O artigo 87.º contém a disposição relativa ao procedimento de comité necessário para conferir competências de execução à Comissão nos casos em que, em conformidade com o artigo 291.º do TFUE, são necessárias condições uniformes para a execução de atos juridicamente vinculativos da União Europeia. Aplica-se o procedimento de exame. 3.4.11. CAPÍTULO XI – DISPOSIÇÕES FINAIS O artigo 88.º revoga a Diretiva 95/46/CE. O artigo 89.º clarifica a relação com a Diretiva 2002/58/CE (Diretiva sobre a privacidade e as comunicações eletrónicas). O artigo 90.º obriga a Comissão a avaliar o regulamento e a apresentar os relatórios correspondentes. O artigo 91.º fixa a data de entrada em vigor do regulamento e define um período transitório em relação à data da sua aplicação. 4. INCIDÊNCIA ORÇAMENTAL As incidências orçamentais específicas da proposta relacionam-se com as atribuições da Autoridade Europeia para a Proteção de Dados, tal como especificado na ficha financeira legislativa que acompanha a presente proposta. Essas incidências exigem uma reprogramação da rubrica 5 do quadro financeiro. A proposta não tem qualquer incidência sobre as despesas operacionais. A ficha financeira legislativa que acompanha a presente proposta de regulamento abrange os impactos orçamentais do presente regulamento e da diretiva relativa à proteção de dados no domínio da cooperação policial e judiciária. 2012/0011 (COD) Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (regulamento geral sobre a proteção de dados) (Texto relevante para efeitos do EEE) O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA, Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 16.º, n.º 2, e o artigo 114.º, n.º 1, Tendo em conta a proposta da Comissão Europeia, Após transmissão do projeto de ato legislativo aos parlamentos nacionais, Tendo em conta o parecer do Comité Económico e Social Europeu[41], Após consulta da Autoridade Europeia para a Proteção de Dados[42], Deliberando de acordo com o processo legislativo ordinário, Considerando o seguinte: (1) A proteção das pessoas singulares relativamente ao tratamento de dados pessoais é um direito fundamental. O artigo 8.º, n.º 1, da Carta dos Direitos Fundamentais da União Europeia e o artigo 16.º, n.º 1, do Tratado sobre o Funcionamento da União Europeia estabelecem que todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito. (2) O tratamento dos dados pessoais é concebido para servir as pessoas; os princípios e as regras em matéria de proteção das pessoas singulares relativamente ao tratamento dos seus dados pessoais devem respeitar, portanto, independentemente da nacionalidade ou do local de residência dessas pessoas, os seus direitos e liberdades fundamentais, particularmente o direito à proteção dos dados pessoais. O tratamento dos dados deve contribuir para a realização de um espaço de liberdade, segurança e justiça e de uma união económica, o progresso económico e social, a consolidação e a convergência das economias a nível do mercado interno e para o bem-estar das pessoas. (3) A Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados[43], visa harmonizar a proteção dos direitos e das liberdades fundamentais das pessoas singulares em relação às atividades de tratamento de dados e assegurar a livre circulação de dados pessoais entre os Estados-Membros. (4) A integração económica e social resultante do funcionamento do mercado interno provocou um aumento significativo dos fluxos transfronteiriços. O intercâmbio de dados entre os intervenientes económicos e sociais, públicos e privados, intensificou‑se na União Europeia. As autoridades nacionais dos Estados-Membros são chamadas, por força do direito da União, a colaborar e a trocar entre si dados pessoais, a fim de poderem desempenhar as suas missões ou executar funções por conta de uma autoridade de outro Estado-Membro. (5) A rápida evolução tecnológica e a globalização criaram novos desafios em matéria de proteção de dados pessoais. A partilha e a recolha de dados registaram um espetacular aumento. As novas tecnologias permitem às empresas privadas e às entidades públicas a utilização de dados pessoais numa escala sem precedentes no exercício das suas atividades. As pessoas disponibilizam cada vez mais as suas informações pessoais de uma forma pública e global. As novas tecnologias transformaram a economia e a vida social, e exigem maior facilidade na livre circulação de dados na União e na transferência para países terceiros e organizações internacionais, assegurando simultaneamente um elevado nível de proteção dos dados pessoais. (6) Esta evolução exige o estabelecimento de um quadro de proteção de dados sólido e mais coerente na União, apoiado por uma aplicação rigorosa das regras, pois é importante gerar confiança para permitir o desenvolvimento da economia digital no conjunto do mercado interno. As pessoas singulares devem poder controlar a utilização que é feita dos seus dados pessoais, e deve ser reforçada a segurança jurídica e prática para as pessoas singulares, os operadores económicos e as autoridades públicas. (7) Os objetivos e os princípios da Diretiva 95/46/CE continuam a ser válidos, mas não evitaram a fragmentação de execução da proteção dos dados a nível da UE, bem como a insegurança jurídica e o sentimento generalizado na opinião pública de que subsistem riscos significativos, particularmente nas atividades em linha. As diferenças entre os Estados-membros quanto ao nível de proteção dos direitos e das liberdades das pessoas, nomeadamente do direito à proteção dos dados pessoais, no que respeita ao tratamento desses dados, podem impedir a livre circulação de dados pessoais no conjunto da União. Estas diferenças podem, por conseguinte, constituir um obstáculo ao exercício das atividades económicas a nível da UE, falsear a concorrência e impedir as autoridades de cumprirem as obrigações que lhes incumbem por força do direito da União. Estas diferenças nos níveis de proteção devem-se à existência de disparidades na execução e aplicação da Diretiva 95/46/CE. (8) Para assegurar um nível de proteção coerente e elevado das pessoas singulares e eliminar os obstáculos à circulação de dados pessoais, o nível de proteção dos direitos e liberdades das pessoas singulares relativamente ao tratamento desses dados deve ser equivalente em todos os Estados-Membros. É conveniente assegurar no conjunto da União a aplicação coerente e homogénea das regras de proteção das liberdades e dos direitos fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais. (9) Uma proteção eficaz dos dados pessoais na União exige não só o reforço e a especificação dos direitos dos titulares de dados e das obrigações dos responsáveis pelo tratamento e definição do tratamento de dados pessoais, mas também poderes equivalentes para controlar e assegurar a conformidade das regras de proteção dos dados pessoais e sanções equivalentes para os infratores nos Estados‑Membros. (10) O artigo 16.º, n.º 2, do Tratado incumbe o Parlamento Europeu e o Conselho de estabelecerem as normas relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais, bem como as normas relativas à livre circulação desses dados. (11) A fim de assegurar um nível coerente de proteção das pessoas singulares no conjunto da União e evitar que as divergências constituam um obstáculo à livre circulação de dados no mercado interno, é necessário um regulamento que assegure a segurança jurídica e a transparência aos operadores económicos, incluindo as micro, pequenas e médias empresas, que assegure às pessoas singulares de todos os Estados-Membros um mesmo nível de direitos suscetíveis de proteção judicial e obrigações e responsabilidades iguais para os responsáveis pelo tratamento e subcontratantes, que assegure um controlo coerente do tratamento de dados pessoais, sanções equivalentes em todos os Estados-Membros, bem como uma cooperação efetiva entre as autoridades de controlo dos diferentes Estados-Membros. Para ter em conta a situação particular das micro, pequenas e médias empresas, o presente regulamento inclui um determinado número de derrogações. Além disso, as instituições e os órgãos da União, os Estados-Membros e as suas autoridades de controlo são incentivados a tomar em consideração as necessidades específicas das micro, pequenas e médias empresas no âmbito de aplicação do presente regulamento. Para definir a noção de micro, pequenas e médias empresas, é conveniente ter em conta a Recomendação 2003/361/CE da Comissão, de 6 de maio de 2003, relativa à definição de micro, pequenas e médias empresas. (12) A proteção conferida pelo presente regulamento diz respeito às pessoas singulares, independentemente da sua nacionalidade ou local de residência, relativamente ao tratamento de dados pessoais. No que respeita ao tratamento de dados relativos a pessoas coletivas e, em especial, empresas estabelecidas na qualidade de pessoas coletivas, incluindo a denominação, a forma jurídica e as coordenadas da pessoa coletiva, a proteção conferida pelo presente regulamento não pode ser invocada. Tal deve ser igualmente o caso sempre que a denominação da pessoa coletiva incluir os nomes de uma ou mais pessoas singulares. (13) A proteção de pessoas singulares deve ser neutra em termos tecnológicos e independente das técnicas utilizadas, sob a pena de se correr um sério risco de ser contornada. Deve aplicar-se ao tratamento de dados pessoais por meios automatizados e manuais se os dados estiverem contidos ou se forem destinados a um sistema de ficheiros. As pastas ou conjuntos de pastas, bem como as suas capas, que não estejam estruturadas de acordo com critérios específicos, não são abrangidos pelo âmbito de aplicação do presente regulamento. (14) O presente regulamento não cobre questões de proteção dos direitos e das liberdades fundamentais ou da livre circulação de dados relacionados com atividades que se encontrem fora do âmbito de aplicação do direito da União, nem abrange o tratamento de dados pessoais pelas instituições, órgãos, organismos ou agências da União, com base no Regulamento (CE) n.º 45/2001[44], ou o tratamento de dados pessoais pelos Estados-Membros no exercício de atividades relacionadas com a política externa e de segurança comum da União. (15) O presente regulamento não é aplicável ao tratamento de dados pessoais efetuado por uma pessoa singular no exercício de atividades exclusivamente pessoais ou domésticas como, por exemplo, trocar correspondência e manter listas de endereços, sem qualquer fim lucrativo e, portanto, sem qualquer ligação com uma atividade profissional ou comercial. Tal isenção também não deve ser aplicável aos responsáveis pelo tratamento de dados e a subcontratantes que forneçam os meios para o tratamento de dados pessoais dessas atividades pessoais ou domésticas. (16) A proteção das pessoas singulares em matéria de tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou de execução de sanções penais, e a livre circulação desses dados, são objeto de um instrumento jurídico específico a nível da União. Por essa razão, o presente regulamento não é aplicável às atividades de tratamento para esses efeitos. Todavia, o tratamento de dados pessoais pelas autoridades competentes ao abrigo do presente regulamento para os referidos efeitos deve ser regulado por esse instrumento jurídico mais específico a nível da União (Diretiva XX/YYY). (17) O presente regulamento não deve prejudicar a aplicação da Diretiva 2000/31/CE, nomeadamente as normas em matéria de responsabilidade dos prestadores intermediários de serviços previstas nos seus artigos 12.º a 15.º. (18) O presente regulamento permite tomar em consideração o princípio do direito de acesso público aos documentos oficiais aquando da aplicação das suas disposições. (19) Qualquer tratamento de dados pessoais efetuado no contexto das atividades de um estabelecimento de um responsável pelo tratamento, ou de um subcontratante, situado na União, deve ser conforme com o presente regulamento, independentemente de o tratamento em si ser realizado dentro ou fora da União. O estabelecimento pressupõe o exercício efetivo e real de uma atividade com base numa instalação estável. A forma jurídica de tal estabelecimento, quer se trate de uma sucursal ou filial com personalidade jurídica, não é um fator determinante a este respeito. (20) A fim de evitar que as pessoas singulares sejam privadas da proteção que lhes assiste por força do presente regulamento, o tratamento de dados pessoais de titulares de dados que residam na União por um responsável pelo tratamento não estabelecido na União deve ser sujeito ao presente regulamento se as atividades de tratamento estiverem relacionadas com a oferta de bens ou serviços a esses titulares de dados, ou com o controlo do seu comportamento. (21) A fim de determinar se uma atividade de tratamento pode ser considerada de «controlo do comportamento» de titulares de dados, deve ser apurado se essas pessoas são seguidas na Internet através de técnicas de tratamento de dados que consistem em aplicar um «perfil» a uma pessoa singular, especialmente para adotar decisões relativas a essa pessoa ou analisar ou prever as suas preferências, o seu comportamento e atitudes. (22) Sempre que o direito nacional de um Estado-Membro for aplicável por força do direito internacional público, o presente regulamento é aplicável igualmente a um responsável pelo tratamento não estabelecido na União, por exemplo numa missão diplomática ou num posto consular de um Estado-Membro. (23) Os princípios de proteção de dados devem aplicar-se a qualquer informação relativa a uma pessoa singular identificada ou identificável. Para determinar se uma pessoa é identificável, importa considerar o conjunto dos meios suscetíveis de serem razoavelmente utilizados, quer pelo responsável pelo tratamento quer por qualquer outra pessoa, para identificar a referida pessoa. Os princípios de proteção de dados não se aplicam a dados tornados de tal forma anónimos que o titular dos dados já não possa ser identificado. (24) Ao utilizarem os serviços em linha, as pessoas singulares podem ser associadas a identificadores em linha, fornecidos pelos respetivos aparelhos, aplicações, ferramentas e protocolos, tais como endereços IP (Protocolo Internet) ou testemunhos de conexão (cookie). Estes identificadores podem deixar vestígios que, em combinação com identificadores únicos e outras informações recebidas pelos servidores, podem ser utilizadas para a definição de perfis e a identificação das pessoas. Daí decorre que números de identificação, dados de localização, identificadores em linha ou outros elementos específicos não devem ser necessariamente considerados como dados pessoais em todas as circunstâncias. (25) O consentimento do titular dos dados deve ser dado explicitamente, por qualquer forma adequada que permita obter uma manifestação de vontade livre, específica e informada, sobre os seus desejos, que consista quer numa declaração quer numa ação positiva clara do titular dos dados garantindo que dá o seu consentimento com conhecimentos de causa ao tratamento de dados pessoais, incluindo ao validar uma opção por via informática, ao visitar um sítio na Internet, ou qualquer outra declaração ou conduta que indique claramente neste contexto que aceita o tratamento proposto dos seus dados pessoais. O silêncio ou a omissão não devem, por conseguinte, constituir um consentimento. O consentimento deve abranger todas as atividades de tratamento realizadas com a mesma finalidade. Se o consentimento tiver de ser dado no seguimento de um pedido por via eletrónica, esse pedido tem de ser claro, conciso e não desnecessariamente perturbador para a utilização do serviço para o qual é fornecido. (26) Os dados pessoais relativos à saúde devem incluir, em especial, todos os dados relativos ao estado de saúde de um titular de dados; informações sobre a inscrição da pessoa para a prestação de serviços de saúde; informações sobre pagamentos ou a elegibilidade para cuidados de saúde; um número, símbolo ou sinal particular atribuído a uma pessoa singular para a identificar de forma inequívoca para fins de cuidados de saúde; qualquer informação sobre a pessoa recolhida no decurso de uma prestação de serviços de saúde; informações obtidas a partir de testes ou exames de uma parte do corpo ou de uma substância corporal, incluindo amostras biológicas; identificação de uma pessoa enquanto prestador de cuidados de saúde à pessoa singular; ou quaisquer informações sobre, por exemplo, uma doença, deficiência, risco de doença, historial clínico, tratamento clínico ou estado físico ou biomédico atual do titular de dados, independentemente da sua fonte, por exemplo, um médico ou outro profissional de saúde, um hospital, um aparelho médico ou um teste de diagnóstico in vitro. (27) O estabelecimento principal de um responsável pelo tratamento na União deve ser determinado de acordo com critérios objetivos e deve pressupor o exercício efetivo e real de atividades de gestão que determinem as decisões principais quanto às finalidades, condições e meios de tratamento mediante instalações estáveis. Este critério não deve depender do facto de o tratamento ser efetivamente realizado nesse local. A existência e utilização de meios técnicos e de tecnologias para o tratamento de dados pessoais ou as atividades de tratamento não constituem, em si mesmas, o referido estabelecimento principal nem são, portanto, um critério definidor de estabelecimento principal. Entende‑se por estabelecimento principal do subcontratante, o lugar da sua administração central na União. (28) Um grupo de empresas deve ser constituído por uma empresa que exerce o controlo e as empresas controladas, a primeira devendo ser a que pode exercer uma influência dominante sobre as outras empresas, por exemplo, em virtude da propriedade, participação financeira ou das regras que a regem ou da faculdade de fazer aplicar as regras relativas à proteção de dados pessoais. (29) As crianças carecem de proteção especial quanto aos seus dados pessoais, uma vez que podem estar menos cientes dos riscos, consequências, garantias e direitos relacionados com o tratamento dos seus dados pessoais. Para determinar quando é que uma pessoa é considerada uma criança, o presente regulamento deve retomar a definição estabelecida na Convenção das Nações Unidas sobre os Direitos da Criança. (30) Qualquer tratamento de dados pessoais deve ser efetuado de forma lícita, leal e transparente para com as pessoas em causa. Em especial, as finalidades específicas do tratamento devem ser explícitas e legítimas e ser determinadas aquando da recolha dos dados. Os dados devem ser adequados, pertinentes e limitados ao mínimo necessário às finalidades de tratamento para as quais se destinam; para tal, os dados recolhidos não devem ser excessivos e o período de conservação deve ser limitado ao mínimo. Os dados pessoais apenas devem ser tratados se a finalidade do tratamento não puder ser atingida por outros meios. Devem ser adotadas todas as medidas razoáveis para que os dados pessoais inexatos sejam retificados ou apagados. De forma a assegurar que os dados são conservados apenas durante o período considerado necessário, o responsável pelo tratamento deve fixar os prazos para o apagamento ou a revisão periódica. (31) Para que o tratamento seja lícito, os dados pessoais devem ser tratados com base no consentimento da pessoa em causa ou noutro fundamento legítimo, previsto por lei, quer no presente regulamento quer noutro ato legislativo da União ou de um Estado‑Membro, conforme previsto no presente regulamento. (32) Sempre que o tratamento for realizado com base no consentimento do titular dos dados, recai sobre o responsável pelo tratamento o ónus de provar o consentimento da pessoa em causa. Em especial, no contexto de uma declaração escrita relativa a outra matéria, devem existir as devidas garantias de que o titular dos dados está ciente do consentimento dado com todo o conhecimento de causa. (33) De forma a assegurar o livre consentimento, deve ser clarificado que este não constitui um fundamento jurídico válido se a pessoa não tiver uma verdadeira liberdade de escolha e, consequentemente, não puder recusar ou retirar o consentimento sem ser prejudicada. (34) O consentimento não deve constituir um fundamento jurídico válido para o tratamento de dados pessoais se existir um desequilíbrio manifesto entre o titular dos dados e o responsável pelo tratamento, especialmente se o primeiro se encontrar numa situação de dependência em relação ao segundo, em especial quando os dados pessoais são tratados pelo seu empregador no contexto da relação laboral. Sempre que o responsável pelo tratamento é uma autoridade, só haveria desequilíbrio em caso de operações de tratamento específicas no âmbito das quais a autoridade possa, por força das suas prerrogativas de poder público, impor uma obrigação. Neste caso, o consentimento não seria considerado livremente consentido, tendo em conta o interesse do titular dos dados. (35) O tratamento deve ser lícito quando se revelar necessário no contexto de um contrato ou da intenção de celebrar de um contrato. (36) Sempre que o tratamento for realizado em cumprimento de uma obrigação jurídica à qual esteja sujeito o responsável pelo tratamento, ou se o tratamento for necessário para a execução de uma missão de interesse público ou exercício de prerrogativas de autoridade pública, o tratamento deve ter uma base jurídica no direito da União ou na legislação nacional de um Estado‑Membro que satisfaça as condições impostas pela Carta dos Direitos Fundamentais da União Europeia relativamente a qualquer restrição aos direitos e liberdades. Cabe também ao direito da União ou à legislação nacional determinar se o responsável pelo tratamento que executa uma missão de interesse público ou exerce prerrogativas de autoridade pública deve ser uma administração pública ou outra pessoa singular ou coletiva de direito público, ou de direito privado, por exemplo uma associação profissional. (37) O tratamento de dados pessoais deve ser igualmente considerado lícito quando for necessário à proteção de um interesse essencial à vida do titular dos dados. (38) Os interesses legítimos do responsável pelo tratamento podem constituir um fundamento jurídico para o tratamento, a menos que prevaleçam os interesses ou os direitos e liberdades fundamentais do titular dos dados. Este ponto requer uma avaliação cuidada, particularmente se o titular dos dados for uma criança, uma vez que estas carecem de proteção especial. O titular dos dados deve ter o direito de se opor ao tratamento por razões relacionadas com a sua situação específica e de forma gratuita. A fim de assegurar a transparência, o responsável pelo tratamento deve ser obrigado a informar explicitamente a pessoa em causa sobre os interesses legítimos prosseguidos e sobre o direito de se lhe opor, sendo igualmente obrigado a apresentar fundamentação documentada desses interesses legítimos. Dado que incumbe ao legislador prever por lei a base jurídica para autorizar as autoridades a procederem ao tratamento de dados, este fundamento jurídico não é aplicável aos tratamentos efetuados pelas autoridades públicas no exercício das suas funções. (39) O tratamento de dados relativos ao tráfego, na medida estritamente necessária para assegurar a segurança da rede e das informações, ou seja, a capacidade de uma rede ou de um sistema informático de resistir, com um dado nível de confiança, a eventos acidentais ou a ações maliciosas ou ilícitas que comprometam a disponibilidade, a autenticidade, a integridade e a confidencialidade de dados conservados ou transmitidos, bem como a segurança dos serviços conexos oferecidos ou acessíveis através destas redes e sistemas, pelas autoridades públicas, equipas de intervenção em caso de emergências informáticas (CERT), equipas de resposta a incidentes no domínio da segurança informática (CSIRT), fornecedores ou redes de serviços de comunicações eletrónicas e por fornecedores de tecnologias e serviços de segurança, constitui um interesse legítimo do responsável pelo tratamento dos dados. Tal pode incluir, por exemplo, impedir o acesso não autorizado a redes de comunicações eletrónicas e a distribuição de códigos malévolos e pôr termo a ataques de «negação de serviço» e a danos causados aos sistemas de comunicações informáticas e eletrónicas. (40) O tratamento de dados pessoais para outros fins apenas deve ser autorizado se for compatível com as finalidades para as quais os dados foram inicialmente recolhidos, particularmente para fins de investigação histórica, estatística ou científica. Sempre que essa outra finalidade não for compatível com a finalidade inicial para a qual os dados foram recolhidos, o responsável pelo tratamento deve obter o consentimento do titular dos dados para outra finalidade ou basear esse tratamento noutro fundamento legítimo para o tratamento lícito, nomeadamente se estabelecido pelo direito da União ou pela legislação do Estado-Membro a que o responsável pelo tratamento se encontre sujeito. Em qualquer caso, deve ser garantida a aplicação dos princípios enunciados pelo presente regulamento e, em particular, a obrigação de informar o titular dos dados sobre essas outras finalidades. (41) Os dados pessoais que sejam, devido à sua natureza, especialmente sensíveis e vulneráveis relativamente aos direitos fundamentais ou à privacidade, merecem uma proteção específica. Esses dados não devem ser objeto de tratamento, salvo se, para o efeito, o titular dos dados der o seu consentimento expresso. No entanto, devem ser expressamente previstas derrogações a esta proibição para ter em conta necessidades específicas, designadamente quando o tratamento for efetuado no exercício de atividades legítimas de certas associações ou fundações que tenham por finalidade permitir o exercício das liberdades fundamentais. (42) As derrogações à proibição de tratamento de categorias de dados sensíveis devem ser igualmente permitidas se efetuadas mediante ato legislativo e, sob reserva de garantias adequadas, de forma a proteger os dados pessoais e outros direitos fundamentais, quando motivos de interesse geral o justificarem e, em especial, motivos sanitários, incluindo de saúde pública, proteção social e de gestão de serviços de saúde, designadamente para assegurar a qualidade e a eficiência dos procedimentos utilizados para regularizar os pedidos de prestações sociais e de serviços no quadro do regime de seguro de doença, ou para fins de investigação histórica, estatística ou científica. (43) Além disso, o tratamento de dados pessoais pelas autoridades públicas tendo em vista realizar os objetivos, consagrados no direito constitucional ou no direito internacional público, de associações religiosas oficialmente reconhecidas, é efetuado por motivos de interesse público. (44) Sempre que, no âmbito do exercício de atividades eleitorais, o funcionamento do sistema democrático exigir, num Estado-Membro, que os partidos políticos recolham dados sobre a opinião política das pessoas, o tratamento desses dados pode ser autorizado por motivos de interesse público importante, desde que sejam estabelecidas garantias adequadas. (45) Se os dados tratados pelo responsável pelo tratamento não lhe permitirem identificar uma pessoa singular, aquele não deve ser obrigado a obter informações suplementares para identificar o titular dos dados com a única finalidade de respeitar uma disposição do presente regulamento. No caso de um pedido de acesso, o responsável pelo tratamento de dados deve ter a faculdade de solicitar ao titular dos dados informações adicionais que permitam localizar os dados pessoais procurados por essa pessoa. (46) O princípio de transparência exige que qualquer informação destinada ao público ou ao titular dos dados seja de fácil acesso e compreensão, e formulada numa linguagem clara e simples. Isto é especialmente relevante em situações, como a publicidade em linha, a proliferação de operadores e a complexidade tecnológica das práticas, que tornem difícil que a pessoa em causa saiba exatamente se estão a recolher os seus dados pessoais, por quem e para que fins. Uma vez que as crianças carecem de proteção especial, sempre que o tratamento lhes seja especialmente dirigido, qualquer informação e comunicação deve estar redigida numa linguagem clara e simples de forma a que uma criança a compreenda facilmente. (47) Devem ser previstas modalidades para facilitar o exercício, pelo titular de dados, dos direitos que lhe são conferidos nos termos do presente regulamento, incluindo mecanismos para solicitar, a título gratuito, em especial o acesso aos dados, a retificação, a supressão e o exercício do seu direito de oposição. O responsável pelo tratamento deve ser obrigado a responder ao titular dos dados dentro de um prazo estipulado e fundamentar qualquer recusa. (48) Os princípios de tratamento leal e transparente exigem que o titular de dados seja informado, em especial, da existência da operação de tratamento de dados e das suas finalidades, do período de conservação dos dados, da existência do direito de acesso, da retificação ou de apagamento, bem como do direito de apresentar uma queixa. Sempre que os dados forem recolhidos junto do titular dos dados, este deve ser também informado da obrigatoriedade de fornecer esses dados e das respetivas consequências caso não os faculte. (49) As informações sobre o tratamento de dados pessoais devem ser fornecidas ao titular dos dados no momento da sua recolha ou, se a recolha não foi obtida junto da pessoa em causa, dentro de um prazo, dependendo das circunstâncias do caso. Sempre que os dados forem suscetíveis de serem legitimamente comunicados a outro destinatário, o titular dos dados deve ser informado aquando da primeira comunicação a esse destinatário. (50) Todavia, não é necessário impor tal obrigação quando o titular dos dados já dispuser dessa informação, ou se o registo ou a comunicação dos dados for expressamente previsto por lei, ou se a informação ao titular dos dados se revelar impossível de concretizar ou se implicar esforços desproporcionados. Tal seria o caso de um tratamento efetuado para efeitos de investigação histórica, estatística ou científica; para este efeito, pode ser considerado o número de interessados, a antiguidade dos dados e as eventuais medidas compensatórias adotadas. (51) Qualquer pessoa deve ter o direito de acesso aos dados recolhidos sobre si e de exercer facilmente este direito, a fim de conhecer e verificar a licitude do tratamento. Por conseguinte, cada titular de dados deve ter o direito de conhecer e ser informado, em especial, das finalidades a que se destinam os dados tratados, da duração da sua conservação, da identidade dos destinatários, da lógica subjacente ao tratamento dos dados e das suas consequências eventuais, pelo menos quando tiver por base a definição de perfis. Este direito não deve prejudicar os direitos e as liberdades de terceiros, incluindo o segredo comercial ou a propriedade intelectual e, particularmente, o direito de autor que protege o suporte lógico. Todavia, estas considerações não devem resultar na recusa total de prestação de informações ao titular dos dados. (52) O responsável pelo tratamento deve adotar todas as medidas razoáveis para verificar a identidade do titular dos dados que solicite o acesso, em especial no contexto de serviços em linha e de identificadores em linha. Um responsável pelo tratamento não deve conservar dados pessoais com a finalidade exclusiva de estar em condições de reagir a possíveis pedidos. (53) Qualquer pessoa deve ter o direito a que os dados que lhe digam respeito sejam retificados e o «direito a ser esquecido» quando a conservação desses dados não cumprir o disposto no presente regulamento. Em especial, os titulares de dados devem ter o direito a que os seus dados pessoais sejam apagados e deixem de ser objeto de tratamento se deixarem de ser necessários para a finalidade para a qual foram recolhidos ou tratados, sempre que os titulares de dados retirem o seu consentimento ao tratamento, ou se oponham ao tratamento de dados pessoais que lhes digam respeito ou se o tratamento dos seus dados pessoais não respeitar o disposto no presente regulamento. Este direito assume particular importância quando o titular de dados que deu o consentimento era nesse momento uma criança, não estando totalmente ciente dos riscos inerentes ao tratamento, e mais tarde deseja suprimir esses dados pessoais, especialmente na internet. No entanto, deve ser permitido prolongar a conservação dos dados quando tal se revele necessário para efeitos de investigação histórica, estatística ou científica, bem como por motivos de interesse público no domínio da saúde pública, ou de exercício da liberdade de expressão, se esta for exigida por lei, ou se existir um motivo para limitar o tratamento dos dados em vez de os apagar. (54) Para reforçar o «direito a ser esquecido» no ambiente em linha, o âmbito do direito de apagamento deve também ser alargado de forma a que um responsável pelo tratamento que tenha tornado públicos os dados pessoais seja obrigado a informar os terceiros que tratem esses dados que um titular de dados lhes solicita a supressão de quaisquer ligações para esses dados pessoais, cópias ou reproduções dos mesmos. De forma a assegurar esta informação, o responsável pelo tratamento deve adotar todas as medidas razoáveis, incluindo medidas técnicas, no que respeita aos dados cuja publicação seja da sua responsabilidade. No que se refere à publicação de dados pessoais por terceiros, o responsável pelo tratamento é considerado responsável por essa publicação sempre que tiver autorizado a publicação por esse terceiro. (55) Para reforçar melhor o controlo sobre os seus próprios dados e o seu direito de acesso, os titulares de dados devem ter o direito, sempre que os dados pessoais sejam objeto de tratamento automatizado num formato estruturado e de uso corrente, de obter uma cópia dos dados que lhes digam respeito, igualmente num formato eletrónico de utilização comum. O titular de dados deve, além disso, ser autorizado a transmitir os dados que forneceu, de uma aplicação automatizada, como uma rede social, para outra. Isto aplica-se também se o titular de dados tiver fornecido os dados a um sistema de tratamento automatizado com base no seu consentimento ou em cumprimento de um contrato. (56) No caso de um tratamento de dados pessoais lícito para proteção dos interesses vitais do titular dos dados, ou por motivos de interesse público, de exercício da autoridade pública ou de interesse legítimo de um responsável pelo tratamento, o titular dos dados tem, não obstante, o direito de se opor ao tratamento de quaisquer dados que lhe digam respeito. Recai sobre o responsável pelo tratamento o ónus de provar que os seus interesses legítimos prevalecem sobre os interesses ou direitos e liberdades fundamentais do titular dos dados. (57) Sempre que os dados pessoais forem objeto de tratamento para efeitos de comercialização direta, o titular dos dados tem o direito de se opor a tal tratamento gratuitamente, e que possa ser invocado de forma simples e efetiva. (58) Qualquer pessoa singular tem o direito a não ser objeto de uma medida baseada na definição de perfis através de tratamento automatizado. No entanto, tais medidas devem ser permitidas se expressamente autorizadas por lei, se aplicadas no âmbito da celebração ou da execução de um contrato, ou mediante o consentimento da pessoa em causa. Em qualquer dos casos, tal tratamento deve ser acompanhado das garantias adequadas, incluindo uma informação específica do titular dos dados e o direito de obter a intervenção humana, e que tal medida não diga respeito a uma criança. (59) A União ou um Estado-Membro podem impor restrições aos direitos de informação, acesso, retificação, apagamento ou portabilidade dos dados, de oposição, medidas baseadas na definição de perfis, bem como à comunicação de uma violação de dados pessoais ao titular dos dados e a determinadas obrigações conexas dos responsáveis pelo tratamento, desde que necessárias e proporcionais numa sociedade democrática, para assegurar a segurança pública, incluindo a proteção da vida humana, especialmente em resposta a catástrofes naturais ou provocadas pelo homem, para efeitos de prevenção, investigação e repressão de infrações penais, ou de violação da deontologia de profissões regulamentadas para efeitos de outros interesses públicos, incluindo um interesse económico ou financeiro importante da União ou de um Estado‑Membro, ou para efeitos de proteção do titular de dados ou dos direitos e liberdades de terceiros. Essas restrições devem respeitar os requisitos estabelecidos na Carta dos Direitos Fundamentais da União Europeia e na Convenção Europeia para a Proteção dos Direitos do Homem e das Liberdades Fundamentais. (60) Deve ser definida a responsabilidade global do responsável por qualquer tratamento de dados pessoais realizado por este ou por sua conta. Em especial, o responsável pelo tratamento deve assegurar e ser obrigado a comprovar que cada operação de tratamento de dados é efetuada em conformidade com o presente regulamento. (61) A proteção dos direitos e liberdades dos titulares dos dados relativamente ao tratamento dos seus dados pessoais exige a tomada de medidas técnicas e organizacionais adequadas, tanto no momento da conceção como no momento da execução do tratamento, para assegurar o cumprimento dos requisitos do presente regulamento. A fim de assegurar e comprovar a conformidade com o presente regulamento, o responsável pelo tratamento deve adotar regras internas e aplicar medidas apropriadas que devem respeitar, em especial, os princípios da proteção de dados desde a conceção e da proteção de dados por defeito. (62) A proteção dos direitos e liberdades dos titulares de dados, bem como a responsabilidade dos responsáveis pelo tratamento e dos subcontratantes, incluindo no que diz respeito à supervisão e às medidas adotadas pelas autoridades de controlo, exige uma clara repartição das responsabilidades nos termos do presente regulamento, nomeadamente quando o responsável pelo tratamento determina as finalidades, as condições e os meios do tratamento conjuntamente com outros responsáveis, ou quando uma operação de tratamento de dados é efetuada por conta de um responsável pelo tratamento. (63) Sempre que um responsável pelo tratamento não estabelecido na União Europeia efetue o tratamento de dados pessoais de titulares de dados que residam na União, e cujas atividades de tratamento estejam relacionadas com a oferta de bens ou serviços a essas pessoas, ou com o controlo do seu comportamento, o responsável pelo tratamento deve designar um representante, salvo se tal responsável se encontrar estabelecido num país terceiro que garanta um nível de proteção adequado, ou se o responsável for uma pequena ou média empresa ou uma autoridade ou organismo público, ou se o responsável apenas oferecer a título esporádico bens ou serviços a esses titulares de dados. O representante deve agir por conta do responsável pelo tratamento e deve poder ser contactado por qualquer autoridade de controlo. (64) A fim de determinar se o responsável pelo tratamento oferece bens e serviços apenas a título esporádico aos titulares de dados que residam na União, deve ser verificado se resulta do conjunto das suas atividades que a oferta de bens e serviços a essas pessoas é acessória às suas atividades principais. (65) A fim de comprovar a observância do presente regulamento, o responsável pelo tratamento, ou o subcontratante, deve documentar cada operação de tratamento de dados. Cada responsável pelo tratamento e subcontratante devem ser obrigados a cooperar com a autoridade de controlo e a disponibilizar essa documentação, quando tal lhe for solicitado, para que possa servir ao controlo dessas operações de tratamento. (66) A fim de preservar a segurança e evitar o tratamento em violação do presente regulamento, o responsável pelo tratamento, ou o subcontratante, deve avaliar os riscos que o tratamento implica e aplicar medidas que os atenuem. Estas medidas devem assegurar um nível de segurança adequado, atendendo aos conhecimentos técnicos disponíveis e ao custo da sua aplicação em função dos riscos e da natureza dos dados a proteger. Aquando da adoção de normas técnicas e medidas organizacionais destinadas a assegurar a segurança do tratamento, a Comissão deve promover a neutralidade tecnológica, a interoperabilidade e a inovação e, se necessário, cooperar com os países terceiros. (67) A violação dos dados pessoais pode, se não forem adotadas medidas adequadas e oportunas, dar origem a prejuízos económicos e sociais substanciais, nomeadamente através da usurpação de identidade, para a pessoa em causa. Assim, logo que o responsável pelo tratamento tenha conhecimento de uma violação, deve comunicá-la à autoridade de controlo, sem demora injustificada e, sempre que possível, no prazo de 24 horas. Se não for possível efetuar essa comunicação no prazo de 24 horas, a notificação deve fazer-se acompanhar de uma explicação dos motivos da demora. As pessoas singulares cujos dados pessoais possam ter sido afetados negativamente por tal violação, devem ser avisadas sem demora injustificada, para que possam tomar as precauções necessárias. Deve considerar-se que uma violação afeta negativamente os dados pessoais ou a privacidade de um titular de dados sempre que daí possa resultar, por exemplo, roubo ou usurpação de identidade, danos físicos, humilhações ou danos significativos para a reputação. A notificação deve descrever a natureza da violação de dados pessoais, bem como recomendações ao titular dos dados para atenuar potenciais efeitos adversos. As pessoas em causa devem ser notificadas o mais rapidamente possível, em estreita cooperação com a autoridade de controlo, e em cumprimento das orientações por esta fornecidas ou por outras autoridades competentes (por exemplo, autoridades de aplicação da lei). Por exemplo, para que as pessoas em causa possam atenuar um risco imediato de dano, deve enviar‑se uma notificação rápida aos titulares de dados, enquanto a necessidade de aplicar medidas adequadas contra violações de dados recorrentes ou similares poderá justificar um prazo superior. (68) Para determinar se uma violação de dados pessoais é notificada à autoridade de controlo e ao titular dos dados sem demora injustificada, deve ser avaliado se o responsável pelo tratamento executou e aplicou medidas tecnológicas de proteção e organizativas para apurar imediatamente a ocorrência de uma violação de dados pessoais e para informar rapidamente a autoridade de controlo e a pessoa em causa, antes da ocorrência de danos aos interesses pessoais e económicos, tendo em consideração, em especial, a natureza e a gravidade da violação de dados pessoais e as respetivas consequências e efeitos adversos para o titular dos dados. (69) Ao estabelecer regras pormenorizadas relativamente ao formato e aos procedimentos aplicáveis à notificação das violações de dados pessoais, deve ter-se devidamente em conta as circunstâncias da violação, nomeadamente a existência ou não de proteção dos dados pessoais através de medidas técnicas de proteção adequadas para reduzir eficazmente a probabilidade de usurpação da identidade ou outras formas de utilização abusiva. Além disso, tais regras e procedimentos devem ter em conta os legítimos interesses das autoridades de aplicação da lei nos casos em que uma divulgação precoce de informações possa dificultar desnecessariamente a investigação das circunstâncias de uma violação. (70) A Diretiva 95/46/CE estabelece uma obrigação geral de notificação do tratamento de dados pessoais às autoridades de controlo. Além desta obrigação originar encargos administrativos e financeiros, nem sempre contribuiu para uma melhoria da proteção dos dados pessoais. Por essa razão, tal obrigação geral deve ser suprimida e substituída por procedimentos e mecanismos eficazes dirigidos, em alternativa, para as operações de tratamento suscetíveis de apresentar riscos específicos para os direitos e liberdades dos titulares de dados, devido à sua natureza, âmbito ou finalidade. Nesses casos, o responsável pelo tratamento ou o subcontratante deve proceder, previamente ao tratamento, a uma avaliação de impacto sobre a proteção de dados, que deve examinar, nomeadamente, as medidas, garantias e os mecanismos previstos para assegurar a proteção dos dados pessoais e comprovar a observância do presente regulamento. (71) Tal deve aplicar‑se, nomeadamente, aos sistemas de arquivo de grande escala recentemente estabelecidos, que visam o tratamento de uma grande quantidade de dados pessoais a nível regional, nacional ou supranacional e que podem afetar um número considerável de titulares de dados. (72) Em certas circunstâncias pode ser sensato e económico alargar a avaliação de impacto sobre a proteção de dados para além de um projeto único, por exemplo se as autoridades ou organismos públicos pretenderem instituir uma aplicação ou uma plataforma de tratamento comum, ou se vários responsáveis pelo tratamento planearem introduzir uma aplicação ou um ambiente de tratamento comum em todo um setor ou segmento profissional, ou uma atividade horizontal amplamente utilizada. (73) As avaliações de impacto sobre a proteção de dados devem ser realizadas por uma autoridade ou um organismo público se essa avaliação não tiver ainda sido realizada no contexto da adoção da legislação nacional que regula as atribuições da autoridade ou do organismo público, bem como a operação ou o conjunto de operações em questão. (74) Sempre que uma avaliação de impacto sobre a proteção de dados indicar que as operações de tratamento de dados acarretam um elevado grau de riscos particulares sobre os direitos e liberdades dos titulares de dados, como privar essas pessoas de um direito, ou devido à utilização de novas tecnologias específicas, a autoridade de controlo deve ser consultada, antes de as operações terem início, sobre um tratamento arriscado suscetível de não estar em conformidade com o presente regulamento, e de apresentar propostas para remediar essa situação. Essa consulta deve igualmente ser efetuada durante os trabalhos de elaboração de uma medida legislativa pelo parlamento nacional, ou de uma medida baseada nesta última medida que defina a natureza do tratamento e especifique as garantias adequadas. (75) Sempre que o tratamento for efetuado no setor público, ou se, no setor privado, for efetuado por uma empresa de grande dimensão, ou cujas atividades principais, independentemente da dimensão da empresa, impliquem operações de tratamento que exijam controlo regular e sistemático, o responsável pelo tratamento ou o subcontratante deve ser assistido por uma pessoa no controlo do respeito, a nível interno, do presente regulamento. Estes delegados para a proteção de dados, quer sejam ou não empregados do responsável pelo tratamento, devem estar em posição de desempenhar as suas funções e atribuições de forma independente. (76) As associações ou outras entidades que representem categorias de responsáveis pelo tratamento de dados devem ser incentivadas a elaborar códigos de conduta, no respeito do presente regulamento, com vista a facilitar a sua aplicação efetiva, tendo em conta as características específicas do tratamento efetuado em determinados setores. (77) A fim de aumentar a transparência e o respeito do presente regulamento, deve ser encorajada a criação de mecanismos de certificação, selos e marcas de proteção de dados, que permitam aos titulares de dados avaliar rapidamente o nível de proteção de dados proporcionado pelos produtos e serviços em causa. (78) A circulação transfronteiriça de dados pessoais é necessária ao desenvolvimento do comércio internacional e da cooperação internacional. Esse aumento criou novos desafios e novas preocupações em relação à proteção dos dados pessoais. Todavia, quando os dados pessoais são transferidos da União para países terceiros ou para organizações internacionais, o nível de proteção das pessoas singulares assegurado na União pelo presente regulamento deve continuar a ser garantido. Em todo o caso, as transferências para países terceiros só podem ser efetuadas no pleno respeito do presente regulamento. (79) O presente regulamento não prejudica os acordos internacionais concluídos entre a União Europeia e países terceiros que regulem a transferência de dados pessoais, incluindo as garantias adequadas em benefício dos titulares de dados. (80) A Comissão pode decidir, com efeitos no conjunto da União, que determinados países terceiros, um território ou um setor de tratamento de dados de um país terceiro, ou uma organização internacional, oferece um nível de proteção de dados adequado, garantindo assim a segurança jurídica e a homogeneidade a nível da União relativamente a países terceiros ou organizações internacionais que sejam consideradas aptas a assegurar tal nível de proteção. Nestes casos, podem realizar-se transferências de dados pessoais para esses países sem que para tal seja necessário qualquer outra autorização. (81) Em conformidade com os valores fundamentais sobre os quais assenta a União, particularmente a proteção dos direitos humanos, a Comissão deve, na sua avaliação do país terceiro, ter em consideração em que medida esse país respeita o primado do Estado de direito, o acesso à justiça e as regras e normas internacionais no domínio dos direitos humanos. (82) A Comissão pode igualmente reconhecer que um país terceiro, um território ou um setor de tratamento de dados de um país terceiro, ou uma organização internacional, não oferece um nível de proteção de dados adequado. Se for esse o caso, deve ser proibida a transferência de dados pessoais para esse país terceiro. Nesse caso, devem ser adotadas medidas tendo em vista uma consulta entre a Comissão e esse país terceiro ou organização internacional. (83) Na falta de uma decisão sobre o nível de proteção adequado, o responsável pelo tratamento ou o subcontratante deve adotar as medidas necessárias para colmatar a insuficiência da proteção de dados no país terceiro através de garantias adequadas a favor do titular de dados. Essas medidas adequadas podem consistir na utilização de regras vinculativas para empresas, cláusulas-tipo de proteção de dados adotadas pelas Comissão, cláusulas-tipo de proteção de dados adotadas por uma autoridade de controlo, ou cláusulas contratuais autorizadas por esta autoridade, ou outras medidas adequadas e proporcionais justificáveis pelas circunstâncias inerentes a uma operação ou a um conjunto de operações de transferência de dados, e sempre que autorizadas por uma autoridade de controlo. (84) A possibilidade de o responsável pelo tratamento ou o subcontratante utilizarem cláusulas‑tipo de proteção de dados adotadas pela Comissão ou por uma autoridade de controlo não os deve impedir de incluírem estas cláusulas num contrato mais abrangente, nem de acrescentarem outras cláusulas, desde que não sejam contraditórias, direta ou indiretamente, em relação às cláusulas contratuais‑tipo adotadas pela Comissão ou por uma autoridade de controlo, e sem prejuízo dos direitos ou liberdades fundamentais dos titulares de dados. (85) Um grupo empresarial deve poder utilizar as regras vinculativas para empresas aprovadas para as suas transferências internacionais da União para entidades pertencentes ao mesmo grupo empresarial, desde que essas regras incluam princípios essenciais e direitos oponíveis visando assegurar garantias adequadas às transferências ou categorias de transferências de dados pessoais. (86) É conveniente prever a possibilidade de transferências em determinadas circunstâncias se o titular dos dados deu o seu consentimento, se a transferência for necessária em relação a um contrato ou um processo judicial, se motivos importantes de interesse público previstos pela legislação União ou de um Estado-Membro o exigirem, ou se a transferência for efetuada a partir de um registo criado por lei e destinado à consulta do público ou de pessoas com um interesse legítimo. Neste último caso, a transferência não deve abranger a totalidade dos dados nem categorias completas de dados contidos nesse registo e, quando este último se destinar a ser consultado por pessoas com um interesse legítimo, a transferência apenas deve ser efetuada a pedido dessas pessoas ou caso sejam os seus destinatários. (87) Estas derrogações devem ser aplicáveis, em especial, às transferências de dados exigidas e necessárias à proteção de interesses públicos importantes, por exemplo em caso de transferências internacionais de dados entre autoridades de concorrência, fiscais ou aduaneiras, ou entre serviços competentes em matéria de segurança social, ou em caso de transferência para as autoridades competentes pela prevenção, investigação, deteção e repressão de infrações penais. (88) As transferências que não podem ser classificadas como frequentes ou maciças são igualmente possíveis para efeitos de prossecução dos interesses legítimos do responsável pelo tratamento ou do subcontratante, após terem sido avaliadas todas as circunstâncias associadas à operação de transferência. Para fins de tratamento com finalidade de investigação histórica, estatística ou científica, devem ser adotadas em consideração as expectativas legítimas da sociedade em matéria de progresso dos conhecimentos. (89) Em qualquer caso, se a Comissão não tiver tomado qualquer decisão relativamente ao nível de proteção adequado de dados num país terceiro, o responsável pelo tratamento ou o subcontratante deve adotar soluções que ofereçam aos titulares de dados a garantia de que continuarão a beneficiar dos direitos e garantias fundamentais quanto ao tratamento dos seus dados na União, após a transferência dos mesmos. (90) Alguns países terceiros aprovam leis, regulamentos e outros instrumentos legislativos destinados a regular diretamente as atividades de tratamento de dados pelas pessoas singulares e coletivas sob a jurisdição dos Estados-Membros. Em virtude da sua aplicabilidade extraterritorial, essas leis, regulamentos e outros instrumentos legislativos podem violar o direito internacional e obstar à realização do objetivo de proteção das pessoas singulares, assegurado na União Europeia pelo presente regulamento. As transferências só devem ser autorizadas quando as condições estabelecidas pelo presente regulamento para as transferências para os países terceiros estejam preenchidas. Pode ser o caso, nomeadamente, sempre que a divulgação for necessária por um motivo importante de interesse público, reconhecido pelo direito da União, ou pelo direito do Estado‑Membro ao qual o responsável pelos dados está sujeito. As condições para a existência de um motivo imp