P7_TA(2014)0212

Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais ***I

Resolução legislativa do Parlamento Europeu, de 12 de março de 2014, sobre a proposta de regulamento do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (regulamento geral de proteção de dados) (COM(2012)0011 — C7-0025/2012 — 2012/0011(COD))

(Processo legislativo ordinário: primeira leitura)

(2017/C 378/55)

O Parlamento Europeu,

Tendo em conta o n.o 2 do artigo 294.o, o n.o 2 do artigo 16.o e o n.o 1 do artigo 114.o do Tratado sobre o Funcionamento da União Europeia, nos termos dos quais a Comissão apresentou a proposta ao Parlamento (C7-0025/2012),

Tendo em conta o artigo 294.o, n.o 3, do Tratado sobre o Funcionamento da União Europeia,

Tendo em conta os pareceres fundamentados apresentados, no âmbito do Protocolo n.o 2 relativo à aplicação dos princípios da subsidiariedade e da proporcionalidade, pela Câmara dos Representantes belga, pelo Bundesrat alemão, pelo Senado francês, pela Câmara dos Deputados italiana e pelo Parlamento sueco, segundo os quais o projeto de ato legislativo não respeita o princípio da subsidiariedade,

Tendo em conta o relatório da Comissão das Liberdades Cívicas, da Justiça e dos Assuntos Internos e os pareceres da Comissão do Emprego e dos Assuntos Sociais, da Comissão da Indústria, da Investigação e da Energia, da Comissão do Mercado Interno e da Proteção dos Consumidores e da Comissão dos Assuntos Jurídicos (A7-0402/2013),

(1) JO C 229 de 31.7.2012, p. 90.

(2) JO C 192 de 30.6.2012, p. 7.

P7_TC1-COD(2012)0011

Posição do Parlamento Europeu aprovada em primeira leitura em 12 de março de 2014 tendo em vista a adoção do Regulamento (UE) n.o …/2014 do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (regulamento geral sobre a proteção de dados)

(Texto relevante para efeitos do EEE)

O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 16.o, n.o 2, e o artigo 114.o, n.o 1,

Tendo em conta a proposta da Comissão Europeia,

Após transmissão do projeto de ato legislativo aos parlamentos nacionais,

Tendo em conta o parecer do Comité Económico e Social Europeu (1),

Após consulta do Comité das Regiões,

Tendo em conta o parecer da Autoridade Europeia para a Proteção de Dados (2),

Deliberando de acordo com o processo legislativo ordinário (3),

Considerando o seguinte:

(1) A proteção das pessoas singulares relativamente ao tratamento de dados pessoais é um direito fundamental. O artigo 8.o, n.o 1, da Carta dos Direitos Fundamentais da União Europeia («Carta») e o artigo 16.o, n.o 1, do Tratado sobre o Funcionamento da União Europeia estabelecem que todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito.

(2) O tratamento dos dados pessoais é concebido para servir as pessoas; os princípios e as regras em matéria de proteção das pessoas singulares relativamente ao tratamento dos seus dados pessoais devem respeitar, portanto, independentemente da nacionalidade ou do local de residência dessas pessoas, os seus direitos e liberdades fundamentais, particularmente o direito à proteção dos dados pessoais. O tratamento dos dados deve contribuir para a realização de um espaço de liberdade, segurança e justiça e de uma união económica, o progresso económico e social, a consolidação e a convergência das economias a nível do mercado interno e para o bem-estar das pessoas.

(3) A Diretiva 95/46/CE do Parlamento Europeu e do Conselho (4), visa harmonizar a proteção dos direitos e das liberdades fundamentais das pessoas singulares em relação às atividades de tratamento de dados e assegurar a livre circulação de dados pessoais entre os Estados-Membros.

(4) A integração económica e social resultante do funcionamento do mercado interno provocou um aumento significativo dos fluxos transfronteiriços. O intercâmbio de dados entre os intervenientes económicos e sociais, públicos e privados, intensificou-se na União Europeia. As autoridades nacionais dos Estados-Membros são chamadas, por força do direito da União, a colaborar e a trocar entre si dados pessoais, a fim de poderem desempenhar as suas missões ou executar funções por conta de uma autoridade de outro Estado-Membro.

(5) A rápida evolução tecnológica e a globalização criaram novos desafios em matéria de proteção de dados pessoais. A partilha e a recolha de dados registaram um espetacular aumento. As novas tecnologias permitem às empresas privadas e às entidades públicas a utilização de dados pessoais numa escala sem precedentes no exercício das suas atividades. As pessoas disponibilizam cada vez mais as suas informações pessoais de uma forma pública e global. As novas tecnologias transformaram a economia e a vida social, e exigem maior facilidade na livre circulação de dados na União e na transferência para países terceiros e organizações internacionais, assegurando simultaneamente um elevado nível de proteção dos dados pessoais.

(6) Esta evolução exige o estabelecimento de um quadro de proteção de dados sólido e mais coerente na União, apoiado por uma aplicação rigorosa das regras, pois é importante gerar confiança para permitir o desenvolvimento da economia digital no conjunto do mercado interno. As pessoas singulares devem poder controlar a utilização que é feita dos seus dados pessoais, e deve ser reforçada a segurança jurídica e prática para as pessoas singulares, os operadores económicos e as autoridades públicas.

(7) Os objetivos e os princípios da Diretiva 95/46/CE continuam a ser válidos, mas não evitaram a fragmentação de execução da proteção dos dados a nível da UE, bem como a insegurança jurídica e o sentimento generalizado na opinião pública de que subsistem riscos significativos, particularmente nas atividades em linha. As diferenças entre os Estados-membros quanto ao nível de proteção dos direitos e das liberdades das pessoas, nomeadamente do direito à proteção dos dados pessoais, no que respeita ao tratamento desses dados, podem impedir a livre circulação de dados pessoais no conjunto da União. Estas diferenças podem, por conseguinte, constituir um obstáculo ao exercício das atividades económicas a nível da UE, falsear a concorrência e impedir as autoridades de cumprirem as obrigações que lhes incumbem por força do direito da União. Estas diferenças nos níveis de proteção devem-se à existência de disparidades na execução e aplicação da Diretiva 95/46/CE.

(8) Para assegurar um nível de proteção coerente e elevado das pessoas singulares e eliminar os obstáculos à circulação de dados pessoais, o nível de proteção dos direitos e liberdades das pessoas singulares relativamente ao tratamento desses dados deve ser equivalente em todos os Estados-Membros. É conveniente assegurar no conjunto da União a aplicação coerente e homogénea das regras de proteção das liberdades e dos direitos fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais.

(9) Uma proteção eficaz dos dados pessoais na União exige não só o reforço e a especificação dos direitos dos titulares de dados e das obrigações dos responsáveis pelo tratamento e definição do tratamento de dados pessoais, mas também poderes equivalentes para controlar e assegurar a conformidade das regras de proteção dos dados pessoais e sanções equivalentes para os infratores nos Estados-Membros.

(10) O artigo 16.o, n.o 2, do Tratado incumbe o Parlamento Europeu e o Conselho de estabelecerem as normas relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais, bem como as normas relativas à livre circulação desses dados.

(11) A fim de assegurar um nível coerente de proteção das pessoas singulares no conjunto da União e evitar que as divergências constituam um obstáculo à livre circulação de dados no mercado interno, é necessário um regulamento que assegure a segurança jurídica e a transparência aos operadores económicos, incluindo as micro, pequenas e médias empresas, que assegure às pessoas singulares de todos os Estados-Membros um mesmo nível de direitos suscetíveis de proteção judicial e obrigações e responsabilidades iguais para os responsáveis pelo tratamento e subcontratantes, que assegure um controlo coerente do tratamento de dados pessoais, sanções equivalentes em todos os Estados-Membros, bem como uma cooperação efetiva entre as autoridades de controlo dos diferentes Estados-Membros. Para ter em conta a situação particular das micro, pequenas e médias empresas, o presente regulamento inclui um determinado número de derrogações. Além disso, as instituições e os órgãos da União, os Estados-Membros e as suas autoridades de controlo são incentivados a tomar em consideração as necessidades específicas das micro, pequenas e médias empresas no âmbito de aplicação do presente regulamento. Para definir a noção de micro, pequenas e médias empresas, é conveniente ter em conta a Recomendação 2003/361/CE da Comissão (5).

(12) A proteção conferida pelo presente regulamento diz respeito às pessoas singulares, independentemente da sua nacionalidade ou local de residência, relativamente ao tratamento de dados pessoais. No que respeita ao tratamento de dados relativos a pessoas coletivas e, em especial, empresas estabelecidas na qualidade de pessoas coletivas, incluindo a denominação, a forma jurídica e as coordenadas da pessoa coletiva, a proteção conferida pelo presente regulamento não pode ser invocada. Tal deve ser igualmente o caso sempre que a denominação da pessoa coletiva incluir os nomes de uma ou mais pessoas singulares.

(13) A proteção de pessoas singulares deve ser neutra em termos tecnológicos e independente das técnicas utilizadas, sob a pena de se correr um sério risco de ser contornada. Deve aplicar-se ao tratamento de dados pessoais por meios automatizados e manuais se os dados estiverem contidos ou se forem destinados a um sistema de ficheiros. As pastas ou conjuntos de pastas, bem como as suas capas, que não estejam estruturadas de acordo com critérios específicos, não são abrangidos pelo âmbito de aplicação do presente regulamento.

(14) O presente regulamento não cobre questões de proteção dos direitos e das liberdades fundamentais ou da livre circulação de dados relacionados com atividades que se encontrem fora do âmbito de aplicação do direito da União., nem abrange o tratamento de dados pessoais pelas instituições, órgãos, organismos ou agências da União, com base no O Regulamento (CE) n.o 45/2001, ou o tratamento de dados pessoais pelos Estados-Membros no exercício de atividades relacionadas com a política externa e de segurança comum da União do Parlamento Europeu e do Conselho (6) deve ser alinhado com o presente regulamento e aplicado em conformidade com o mesmo . [Alt. 1]

(15) O presente regulamento não é aplicável ao tratamento de dados pessoais efetuado por uma pessoa singular no exercício de atividades exclusivamente pessoais , familares , ou domésticas como, por exemplo, trocar correspondência e manter listas de endereços , ou uma venda privada , sem qualquer fim lucrativo e, portanto, sem qualquer ligação com uma atividade profissional ou comercial. Tal isenção também não deve ser aplicável aos responsáveis pelo tratamento de dados e a subcontratantes que forneçam os meios para o tratamento de dados pessoais dessas atividades pessoais ou domésticas. Todavia, o presente regulamento deve ser aplicável aos responsáveis pelo tratamento de dados e aos subcontratantes que forneçam os meios para o tratamento de dados pessoais dessas atividades pessoais ou domésticas. [Alt. 2]

(16) A proteção das pessoas singulares em matéria de tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou de execução de sanções penais, e a livre circulação desses dados, são objeto de um instrumento jurídico específico a nível da União. Por essa razão, o presente regulamento não é aplicável às atividades de tratamento para esses efeitos. Todavia, o tratamento de dados pessoais pelas autoridades competentes ao abrigo do presente regulamento para os referidos efeitos deve ser regulado por esse instrumento jurídico mais específico a nível da União (Diretiva 2014/…/UE do Parlamento Europeu e do Conselho relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou de execução de sanções penais, e à livre circulação desses dados).

(17) O presente regulamento não deve prejudicar a aplicação da Diretiva 2000/31/CE do Parlamento Europeu e do Conselho (7), nomeadamente as normas em matéria de responsabilidade dos prestadores intermediários de serviços previstas nos seus artigos 12.o a 15.o.

(18) O presente regulamento permite tomar em consideração o princípio do direito de acesso público aos documentos oficiais aquando da aplicação das suas disposições. Os dados pessoais contidos em documentos que estejam na posse de uma autoridade ou entidade pública podem ser divulgados por essa autoridade ou entidade, de acordo com a legislação da União ou do Estado - Membro relativa ao acesso do público aos documentos oficias, o que concilia o direito à proteção de dados com o princípio do acesso do público aos documentos oficiais e representa um equilíbrio justo dos vários interesses envolvidos . [Alt. 3]

(19) Qualquer tratamento de dados pessoais efetuado no contexto das atividades de um estabelecimento de um responsável pelo tratamento, ou de um subcontratante, situado na União, deve ser conforme com o presente regulamento, independentemente de o tratamento em si ser realizado dentro ou fora da União. O estabelecimento pressupõe o exercício efetivo e real de uma atividade com base numa instalação estável. A forma jurídica de tal estabelecimento, quer se trate de uma sucursal ou filial com personalidade jurídica, não é um fator determinante a este respeito.

(20) A fim de evitar que as pessoas singulares sejam privadas da proteção que lhes assiste por força do presente regulamento, o tratamento de dados pessoais de titulares de dados que residam na União por um responsável pelo tratamento não estabelecido na União deve ser sujeito ao presente regulamento se as atividades de tratamento estiverem relacionadas com a oferta de bens ou serviços a esses titulares de dados, independentemente de serem pagos ou não, ou com o controlo do seu comportamento. A fim de determinar se o responsável pelo tratamento dos dados oferece ou não bens ou serviços aos titulares dos dados na União, há que determinar em que medida é evidente a sua intenção de oferecer serviços aos titulares de dados num ou mais Estados-Membros da União . [Alt. 4]

(21) A fim de determinar se uma atividade de tratamento pode ser considerada de «controlo do comportamento» de titulares de dados, deve ser apurado se essas pessoas são seguidas, independentemente da origem dos dados, ou se são recolhidos outros dados sobre eles, inclusive a partir de registos públicos e anúncios na União que sejam acessíveis a partir do exterior da União, nomeadamente com a intenção de utilizar ou, potencialmente, vir, em seguida, a utilizar técnicas de tratamento de dados que consistem em aplicar um «perfil»a uma pessoa singular, especialmente para adotar decisões relativas a essa pessoa ou analisar ou prever as suas preferências, o seu comportamento e atitudes. [Alt. 5]

(22) Sempre que o direito nacional de um Estado-Membro for aplicável por força do direito internacional público, o presente regulamento é aplicável igualmente a um responsável pelo tratamento não estabelecido na União, por exemplo numa missão diplomática ou num posto consular de um Estado-Membro.

(23) Os princípios de da proteção de dados devem aplicar-se a qualquer informação relativa a uma pessoa singular identificada ou identificável. Para determinar se uma pessoa é identificável, importa considerar o conjunto dos todos os meios suscetíveis de serem ser razoavelmente utilizados, quer pelo responsável pelo tratamento quer por qualquer outra pessoa, para identificar direta ou indiretamente a referida pessoa. Para determinar os meios com razoável probabilidade de serem utilizados para identificar a pessoa, importa considerar todos os fatores objetivos, como os custos e o tempo necessários para a identificação, tendo em conta tanto a tecnologia disponível à data do tratamento dos dados como o desenvolvimento tecnológico. Os princípios de proteção de dados não se aplicam devem por isso ser aplicáveis a dados tornados de tal forma anónimos que o titular dos dados já não possa ser identificado , que correspondem às informações não respeitantes a uma pessoa singular identificada ou identificável . O presente regulamento não diz por isso respeito ao tratamento de tais dados anónimos, incluindo para fins estatísticos ou de investigação . [Alt. 6]

(24) O presente regulamento deve ser aplicável ao utilizarem os serviços em linha, as pessoas singulares podem ser associadas a ao tratamento envolvendo identificadores em linha, fornecidos pelos respetivos por aparelhos, aplicações, ferramentas e protocolos, tais como endereços IP (Protocolo Internet) ou, testemunhos de conexão (cookie) e etiquetas . Estes identificadores podem deixar vestígios que, em combinação com identificadores únicos e outras informações recebidas pelos servidores, podem ser utilizadas para a definição de perfis e a de identificação por radiofrequências (RFID) , salvo se esses das pessoas. Daí decorre que números de identificação, dados de localização, identificadores em linha ou outros elementos específicos não devem ser necessariamente considerados como dados pessoais em todas as circunstâncias não estiverem associados a uma pessoa singular identificada ou identificável . [Alt. 7]

(25) O consentimento do titular dos dados deve ser dado explicitamente, por qualquer forma adequada que permita obter uma manifestação de vontade livre, específica e informada, sobre os seus desejos, que consista quer numa declaração quer numa ação positiva clara do resultante da opção efetuada pelo titular dos dados garantindo que dá o seu consentimento com conhecimentos de causa ao tratamento de dados pessoais, incluindo ao validar . Uma ação positiva clara deve incluir a validação de uma opção por via informática, ao visitar um sítio na Internet, ou qualquer outra declaração ou conduta que indique claramente neste contexto que aceita o , a aceitação, por parte do titular dos direitos, do tratamento proposto dos seus dados pessoais. O silêncio , a mera utilização de um serviço ou a omissão não devem, por conseguinte, constituir um consentimento. O consentimento deve abranger todas as atividades de tratamento realizadas com a mesma finalidade. Se o consentimento tiver de ser dado no seguimento de um pedido por via eletrónica, esse pedido tem de ser claro, conciso e não desnecessariamente perturbador para a utilização do serviço para o qual é fornecido. [Alt. 8]

(26) Os dados pessoais relativos à saúde devem incluir, em especial, todos os dados relativos ao estado de saúde de um titular de dados; informações sobre a inscrição da pessoa para a prestação de serviços de saúde; informações sobre pagamentos ou a elegibilidade para cuidados de saúde; um número, símbolo ou sinal particular atribuído a uma pessoa singular para a identificar de forma inequívoca para fins de cuidados de saúde; qualquer informação sobre a pessoa recolhida no decurso de uma prestação de serviços de saúde; informações obtidas a partir de testes ou exames de uma parte do corpo ou de uma substância corporal, incluindo amostras biológicas; identificação de uma pessoa enquanto prestador de cuidados de saúde à pessoa singular; ou quaisquer informações sobre, por exemplo, uma doença, deficiência, risco de doença, historial clínico, tratamento clínico ou estado físico ou biomédico atual do titular de dados, independentemente da sua fonte, por exemplo, um médico ou outro profissional de saúde, um hospital, um aparelho médico ou um teste de diagnóstico in vitro.

(27) O estabelecimento principal de um responsável pelo tratamento na União deve ser determinado de acordo com critérios objetivos e deve pressupor o exercício efetivo e real de atividades de gestão que determinem as decisões principais quanto às finalidades, condições e meios de tratamento mediante instalações estáveis. Este critério não deve depender do facto de o tratamento ser efetivamente realizado nesse local. A existência e utilização de meios técnicos e de tecnologias para o tratamento de dados pessoais ou as atividades de tratamento não constituem, em si mesmas, o referido estabelecimento principal nem são, portanto, um critério definidor de estabelecimento principal. Entende-se por estabelecimento principal do subcontratante, o lugar da sua administração central na União.

(28) Um grupo de empresas deve ser constituído por uma empresa que exerce o controlo e as empresas controladas, a primeira devendo ser a que pode exercer uma influência dominante sobre as outras empresas, por exemplo, em virtude da propriedade, participação financeira ou das regras que a regem ou da faculdade de fazer aplicar as regras relativas à proteção de dados pessoais.

(29) As crianças carecem de proteção especial quanto aos seus dados pessoais, uma vez que podem estar menos cientes dos riscos, consequências, garantias e direitos relacionados com o tratamento dos seus dados pessoais. Para determinar quando é que uma pessoa é considerada uma criança, o presente regulamento deve retomar a definição estabelecida na Convenção das Nações Unidas sobre os Direitos da Criança Sempre que o tratamento for realizado com base no consentimento do titular dos dados no que diz respeito à oferta de bens ou serviços diretamente a uma criança, o consentimento deve ser dado ou autorizado pelo progenitor ou pelo tutor legal dessa criança, se esta tiver menos de 13 anos de idade. Deve ser utilizada uma linguagem apropriada à idade quando o público-alvo são crianças. Devem continuar a ser aplicáveis outros motivos de tratamento de dados lícito, como o interesse público, designadamente para efeitos do tratamento de dados no contexto de serviços preventivos ou de aconselhamento oferecidos diretamente às crianças . [Alt. 9]

(30) Qualquer tratamento de dados pessoais deve ser efetuado de forma lícita, leal e transparente para com as pessoas em causa. Em especial, as finalidades específicas do tratamento devem ser explícitas e legítimas e ser determinadas aquando da recolha dos dados. Os dados devem ser adequados, pertinentes e limitados ao mínimo necessário às finalidades de tratamento para as quais se destinam; para tal, os dados recolhidos não devem ser excessivos e o período de conservação deve ser limitado ao mínimo. Os dados pessoais apenas devem ser tratados se a finalidade do tratamento não puder ser atingida por outros meios. Devem ser adotadas todas as medidas razoáveis para que os dados pessoais inexatos sejam retificados ou apagados. De forma a assegurar que os dados são conservados apenas durante o período considerado necessário, o responsável pelo tratamento deve fixar os prazos para o apagamento ou a revisão periódica.

(31) Para que o tratamento seja lícito, os dados pessoais devem ser tratados com base no consentimento da pessoa em causa ou noutro fundamento legítimo, previsto por lei, quer no presente regulamento quer noutro ato legislativo da União ou de um Estado-Membro, conforme previsto no presente regulamento. No caso de crianças ou de pessoas que não disponham de capacidade jurídica, cabe à legislação pertinente da União ou do Estado-Membro determinar em que condições o consentimento é dado ou autorizado pela pessoa em causa. [Alt. 10]

(32) Sempre que o tratamento for realizado com base no consentimento do titular dos dados, recai sobre o responsável pelo tratamento o ónus de provar o consentimento da pessoa em causa. Em especial, no contexto de uma declaração escrita relativa a outra matéria, devem existir as devidas garantias de que o titular dos dados está ciente do consentimento dado com todo o conhecimento de causa. Para cumprir com o princípio da minimização dos dados, o ónus da prova não deve implicar a identificação positiva dos titulares dos dados, a menos que tal seja necessário. À semelhança das cláusulas do direito civil (Diretiva 93/13/CEE (8) ), as políticas de proteção de dados devem ser o mais claras e transparentes possível. Não devem conter cláusulas ocultas ou desfavoráveis. Não pode ser dado consentimento para efeitos do tratamento de dados pessoais de terceiros. [Alt. 11]

(33) De forma a assegurar o livre consentimento, deve ser clarificado que este não constitui um fundamento jurídico válido se a pessoa não tiver uma verdadeira liberdade de escolha e, consequentemente, não puder recusar ou retirar o consentimento sem ser prejudicada. Este é particularmente o caso em que o responsável pelo tratamento é uma autoridade dotada de poderes para impor uma obrigação por força das suas prerrogativas de poder público, não podendo o consentimento ser considerado livre. O recurso a opções predefinidas que o titular de dados tem de modificar para se opor ao processamento, como, por exemplo, caixas previamente assinaladas, não é sinónimo de livre consentimento. Para a utilização de um serviço, não deve ser exigido o consentimento para efeitos do tratamento de dados pessoais suplementares que não sejam necessários. A retirada do consentimento pode viabilizar a cessação ou a não execução de um serviço que dependa dos dados em causa. Se a conclusão da finalidade pretendida não puder ser claramente determinada, o responsável pelo tratamento deve informar o titular dos dados, a intervalos regulares, sobre o tratamento e solicitar a revalidação do seu consentimento. [Alt. 12]

(34) O consentimento não deve constituir um fundamento jurídico válido para o tratamento de dados pessoais se existir um desequilíbrio manifesto entre o titular dos dados e o responsável pelo tratamento, especialmente se o primeiro se encontrar numa situação de dependência em relação ao segundo, em especial quando os dados pessoais são tratados pelo seu empregador no contexto da relação laboral. Sempre que o responsável pelo tratamento é uma autoridade, só haveria desequilíbrio em caso de operações de tratamento específicas no âmbito das quais a autoridade possa, por força das suas prerrogativas de poder público, impor uma obrigação. Neste caso, o consentimento não seria considerado livremente consentido, tendo em conta o interesse do titular dos dados. [Alt. 13]

(35) O tratamento deve ser lícito quando se revelar necessário no contexto de um contrato ou da intenção de celebrar de um contrato.

(36) Sempre que o tratamento for realizado em cumprimento de uma obrigação jurídica à qual esteja sujeito o responsável pelo tratamento, ou se o tratamento for necessário para a execução de uma missão de interesse público ou exercício de prerrogativas de autoridade pública, o tratamento deve ter uma base jurídica no direito da União ou na legislação nacional de um Estado-Membro que satisfaça as condições impostas pela Carta relativamente a qualquer restrição aos direitos e liberdades. Isto também deve incluir convenções coletivas reconhecidas ao abrigo da legislação nacional como sendo de aplicabilidade geral. Cabe também ao direito da União ou à legislação nacional determinar se o responsável pelo tratamento que executa uma missão de interesse público ou exerce prerrogativas de autoridade pública deve ser uma administração pública ou outra pessoa singular ou coletiva de direito público, ou de direito privado, por exemplo uma associação profissional. [Alt. 14]

(37) O tratamento de dados pessoais deve ser igualmente considerado lícito quando for necessário à proteção de um interesse essencial à vida do titular dos dados.

(38) Os interesses legítimos do responsável pelo tratamento dos dados, ou, em caso de divulgação, de terceiros a quem os dados sejam comunicados , podem constituir um fundamento jurídico para o tratamento , a menos que desde que satisfaçam as expectativas legítimas do titular dos dados decorrentes da sua relação com o responsável pelo tratamento e que não prevaleçam os interesses ou os direitos e liberdades fundamentais do titular dos dados. Este ponto requer uma avaliação cuidada, particularmente se o titular dos dados for uma criança, uma vez que estas carecem de proteção especial. Desde que não prevaleçam os interesses ou os direitos e liberdades fundamentais do titular dos direitos, deve-se considerar que o tratamento limitado a dados sob pseudónimo satisfaz as expectativas legítimas do titular dos dados decorrentes da sua relação com o responsável pelo tratamento. O titular dos dados deverá poder opor-se ao tratamento a título gratuito. A fim de assegurar a transparência, o responsável pelo tratamento deve ser obrigado a informar explicitamente a pessoa em causa sobre os interesses legítimos prosseguidos e sobre o direito de se lhe opor, sendo igualmente obrigado a apresentar fundamentação documentada desses interesses legítimos. Os interesses e os direitos fundamentais do titular dos dados podem, em particular, sobrepor-se ao interesse do responsável pelo tratamento de dados, sempre que os dados pessoais sejam tratados em circunstâncias em que os titulares dos dados já não esperam um tratamento adicional. Dado que incumbe ao legislador prever por lei a base jurídica para autorizar as autoridades a procederem ao tratamento de dados, este fundamento jurídico não é aplicável aos tratamentos efetuados pelas autoridades públicas no exercício das suas funções. [Alt. 15]

(39) O tratamento de dados relativos ao tráfego, na medida estritamente necessária e proporcionada para assegurar a segurança da rede e das informações, ou seja, a capacidade de uma rede ou de um sistema informático de resistir, com um dado nível de confiança, a eventos acidentais ou a ações maliciosas ou ilícitas que comprometam a disponibilidade, a autenticidade, a integridade e a confidencialidade de dados conservados ou transmitidos, bem como a segurança dos serviços conexos oferecidos ou acessíveis através destas redes e sistemas, pelas autoridades públicas, equipas de intervenção em caso de emergências informáticas (CERT), equipas de resposta a incidentes no domínio da segurança informática (CSIRT), fornecedores ou redes de serviços de comunicações eletrónicas e por fornecedores de tecnologias e serviços de segurança, constitui um interesse legítimo do responsável pelo tratamento dos dados. Tal pode incluir, por exemplo, impedir o acesso não autorizado a redes de comunicações eletrónicas e a distribuição de códigos malévolos e pôr termo a ataques de «negação de serviço» e a danos causados aos sistemas de comunicações informáticas e eletrónicas. Este princípio também se aplica ao tratamento de dados pessoais, a fim de restringir o acesso abusivo e o recurso a sistemas de rede ou de informação publicamente disponíveis, como a lista negra de endereços eletrónicos. [Alt. 16]

(39-A) Desde que não prevaleçam os interesses ou os direitos e liberdades fundamentais do titular dos direitos, deve-se considerar a prevenção ou limitação dos danos sofridos pelo responsável pelo tratamento realizada no legítimo interesse deste último, ou, em caso de divulgação, do terceiro a quem os dados sejam comunicados, e que satisfaz as expectativas legítimas do titular dos dados decorrentes da sua relação com o responsável pelo tratamento. O mesmo princípio aplica-se também à execução de ações judiciais contra o titular dos dados, como em caso de cobrança judicial ou de indemnização por perdas e danos. [Alt. 17]

(39-B) Desde que não prevaleçam os interesses ou os direitos e liberdades fundamentais do titular dos direitos, deve-se considerar o tratamento de dados pessoais para fins de comercialização direta dos seus próprios produtos e serviços similares, ou com o propósito de comercialização postal direta, realizado no legítimo interesse do responsável pelo tratamento dos dados, ou, em caso de divulgação, do terceiro a quem os dados sejam comunicados, e que satisfaz as expectativas legítimas do titular dos dados decorrentes da sua relação com o responsável pelo tratamento, se forem fornecidas informações altamente visíveis sobre o direito de oposição e sobre a origem dos dados pessoais. O tratamento de dados de contacto de empresas deve ser genericamente considerado como realizado no legítimo interesse do responsável pelo tratamento dos dados, ou, em caso de divulgação, do terceiro a quem os dados sejam comunicados, e que satisfaz as expectativas legítimas do titular dos dados decorrentes da sua relação com o responsável pelo tratamento. O mesmo se aplica também ao tratamento de dados pessoais tornados manifestamente públicos pelo titular dos dados. [Alt. 18]

(40) O tratamento de dados pessoais para outros fins apenas deve ser autorizado se for compatível com as finalidades para as quais os dados foram inicialmente recolhidos, particularmente para fins de investigação histórica, estatística ou científica. Sempre que essa outra finalidade não for compatível com a finalidade inicial para a qual os dados foram recolhidos, o responsável pelo tratamento deve obter o consentimento do titular dos dados para outra finalidade ou basear esse tratamento noutro fundamento legítimo para o tratamento lícito, nomeadamente se estabelecido pelo direito da União ou pela legislação do Estado-Membro a que o responsável pelo tratamento se encontre sujeito. Em qualquer caso, deve ser garantida a aplicação dos princípios enunciados pelo presente regulamento e, em particular, a obrigação de informar o titular dos dados sobre essas outras finalidades. [Alt. 19]

(41) Os dados pessoais que sejam, devido à sua natureza, especialmente sensíveis e vulneráveis relativamente aos direitos fundamentais ou à privacidade, merecem uma proteção específica. Esses dados não devem ser objeto de tratamento, salvo se, para o efeito, o titular dos dados der o seu consentimento expresso. No entanto, devem ser expressamente previstas derrogações a esta proibição para ter em conta necessidades específicas, designadamente quando o tratamento for efetuado no exercício de atividades legítimas de certas associações ou fundações que tenham por finalidade permitir o exercício das liberdades fundamentais. [Alt. 20]

(42) As derrogações à proibição de tratamento de categorias de dados sensíveis devem ser igualmente permitidas se efetuadas mediante ato legislativo e, sob reserva de garantias adequadas, de forma a proteger os dados pessoais e outros direitos fundamentais, quando motivos de interesse geral o justificarem e, em especial, motivos sanitários, incluindo de saúde pública, proteção social e de gestão de serviços de saúde, designadamente para assegurar a qualidade e a eficiência dos procedimentos utilizados para regularizar os pedidos de prestações sociais e de serviços no quadro do regime de seguro de doença, para fins de investigação histórica, estatística ou científica , ou ainda para serviços de arquivo . [Alt. 21]

(43) Além disso, o tratamento de dados pessoais pelas autoridades públicas tendo em vista realizar os objetivos, consagrados no direito constitucional ou no direito internacional público, de associações religiosas oficialmente reconhecidas, é efetuado por motivos de interesse público.

(44) Sempre que, no âmbito do exercício de atividades eleitorais, o funcionamento do sistema democrático exigir, num Estado-Membro, que os partidos políticos recolham dados sobre a opinião política das pessoas, o tratamento desses dados pode ser autorizado por motivos de interesse público importante, desde que sejam estabelecidas garantias adequadas.

(45) Se os dados tratados pelo responsável pelo tratamento não lhe permitirem identificar uma pessoa singular, aquele não deve ser obrigado a obter informações suplementares para identificar o titular dos dados com a única finalidade de respeitar uma disposição do presente regulamento. No caso de um pedido de acesso, o responsável pelo tratamento de dados deve ter a faculdade de solicitar ao titular dos dados informações adicionais que permitam localizar os dados pessoais procurados por essa pessoa. Se for possível ao titular dos dados facultar esses dados, os responsáveis pelo tratamento não devem poder invocar falta de informação para recusar um pedido de acesso. [Alt. 22]

(46) O princípio de transparência exige que qualquer informação destinada ao público ou ao titular dos dados seja de fácil acesso e compreensão, e formulada numa linguagem clara e simples. Isto é especialmente relevante em situações, como a publicidade em linha, a proliferação de operadores e a complexidade tecnológica das práticas, que tornem difícil que a pessoa em causa saiba exatamente se estão a recolher os seus dados pessoais, por quem e para que fins. Uma vez que as crianças carecem de proteção especial, sempre que o tratamento lhes seja especialmente dirigido, qualquer informação e comunicação deve estar redigida numa linguagem clara e simples de forma a que uma criança a compreenda facilmente.

(47) Devem ser previstas modalidades para facilitar o exercício, pelo titular de dados, dos direitos que lhe são conferidos nos termos do presente regulamento, incluindo mecanismos para solicitar obter , a título gratuito, em especial o acesso aos dados, a retificação, a supressão e o exercício do seu direito de oposição. O responsável pelo tratamento deve ser obrigado a responder ao titular dos dados dentro de um prazo estipulado razoável e fundamentar qualquer recusa. [Alt. 23]

(48) Os princípios de tratamento leal e transparente exigem que o titular de dados seja informado, em especial, da existência da operação de tratamento de dados e das suas finalidades, do período de conservação dos dados ou — se tal não for possível — dos critérios usados para definir esse período , da existência do direito de acesso, da retificação ou de apagamento, bem como do direito de apresentar uma queixa. Sempre que os dados forem recolhidos junto do titular dos dados, este deve ser também informado da obrigatoriedade de fornecer esses dados e das respetivas consequências caso não os faculte. Esta informação deve ser facultada ao interessado, ou fazer com que seja facilmente acessível para este, uma vez proporcionada informação simplificada em forma de ícones normalizados. Isto deve também significar que o tratamento dos dados pessoais se processa de forma a permitir que o titular dos dados exerça efetivamente os seus direitos. [Alt. 24]

(49) As informações sobre o tratamento de dados pessoais devem ser fornecidas ao titular dos dados no momento da sua recolha ou, se a recolha não foi obtida junto da pessoa em causa, dentro de um prazo, dependendo das circunstâncias do caso. Sempre que os dados forem suscetíveis de serem legitimamente comunicados a outro destinatário, o titular dos dados deve ser informado aquando da primeira comunicação a esse destinatário.

(50) Todavia, não é necessário impor tal obrigação quando o titular dos dados já dispuser dessa conhecer essa informação, ou se o registo ou a comunicação dos dados for expressamente previsto por lei, ou se a informação ao titular dos dados se revelar impossível de concretizar ou se implicar esforços desproporcionados. Tal seria o caso de um tratamento efetuado para efeitos de investigação histórica, estatística ou científica; para este efeito, pode ser considerado o número de interessados, a antiguidade dos dados e as eventuais medidas compensatórias adotadas. [Alt. 25]

(51) Qualquer pessoa deve ter o direito de acesso aos dados recolhidos sobre si e de exercer facilmente este direito, a fim de conhecer e verificar a licitude do tratamento. Por conseguinte, cada titular de dados deve ter o direito de conhecer e ser informado, em especial, das finalidades a que se destinam os dados pessoais tratados, da duração estimada da sua conservação, da identidade dos destinatários, da lógica genérica subjacente ao tratamento dos dados pessoais e das suas consequências eventuais. Este direito não deve prejudicar os direitos e as liberdades de terceiros, incluindo o segredo comercial ou a propriedade intelectual e, particularmente, o como, por exemplo, em relação ao direito de autor que protege o suporte lógico. Todavia, estas considerações não devem resultar na recusa total de prestação de informações ao titular dos dados. [Alt. 26]

(52) O responsável pelo tratamento deve adotar todas as medidas razoáveis para verificar a identidade do titular dos dados que solicite o acesso, em especial no contexto de serviços em linha e de identificadores em linha. Um responsável pelo tratamento não deve conservar dados pessoais com a finalidade exclusiva de estar em condições de reagir a possíveis pedidos.

(53) Qualquer pessoa deve ter o direito a que os dados que lhe digam respeito sejam retificados e o «direito a ser esquecido ao apagamento de dados » quando a conservação desses dados não cumprir o disposto no presente regulamento. Em especial, os titulares de dados devem ter o direito a que os seus dados pessoais sejam apagados e deixem de ser objeto de tratamento se deixarem de ser necessários para a finalidade para a qual foram recolhidos ou tratados, sempre que os titulares de dados retirem o seu consentimento ao tratamento, ou se oponham ao tratamento de dados pessoais que lhes digam respeito ou se o tratamento dos seus dados pessoais não respeitar o disposto no presente regulamento. Este direito assume particular importância quando o titular de dados que deu o consentimento era nesse momento uma criança, não estando totalmente ciente dos riscos inerentes ao tratamento, e mais tarde deseja suprimir esses dados pessoais, especialmente na internet. No entanto, deve ser permitido prolongar a conservação dos dados quando tal se revele necessário para efeitos de investigação histórica, estatística ou científica, bem como por motivos de interesse público no domínio da saúde pública, ou de exercício da liberdade de expressão, se esta for exigida por lei, ou se existir um motivo para limitar o tratamento dos dados em vez de os apagar. Além disso, o direito ao apagamento não deve ser aplicável sempre que a conservação dos dados pessoais for necessária para a execução de um contrato com o titular dos dados ou sempre que a conservação for feita em virtude de uma obrigação legal. [Alt. 27]

(54) Para reforçar o «direito a ser esquecido de apagamento dos dados do titular » no ambiente em linha, o âmbito do direito de apagamento deve também ser alargado de forma a que um responsável pelo tratamento que tenha tornado públicos os dados pessoais sem qualquer justificação jurídica seja obrigado a informar os terceiros que tratem esses dados que um titular de dados lhes solicita a supressão de quaisquer ligações para esses dados pessoais, cópias ou reproduções dos mesmos. De forma a assegurar esta informação, o responsável pelo tratamento deve adotar todas as medidas razoáveis, incluindo medidas técnicas, no que respeita aos dados cuja publicação seja da sua responsabilidade. No que se refere à publicação de dados pessoais por terceiros, o responsável pelo tratamento é considerado responsável por essa publicação sempre que tiver autorizado a publicação por esse terceiro a tomar todas as medidas necessárias para que os dados sejam apagados, embora sem prejuízo do direito do titular dos dados a pedir uma indemnização. [Alt. 28]

(54-A) Dados contestados pelo titular dos mesmos cuja exatidão ou inexatidão não possa ser determinada devem ser bloqueados até que o assunto seja esclarecido. [Alt. 29]

(55) Para reforçar melhor o controlo sobre os seus próprios dados e o seu direito de acesso, os titulares de dados devem ter o direito, sempre que os dados pessoais sejam objeto de tratamento automatizado num formato estruturado e de uso corrente, de obter uma cópia dos dados que lhes digam respeito, igualmente num formato eletrónico de utilização comum. O titular de dados deve, além disso, ser autorizado a transmitir os dados que forneceu, de uma aplicação automatizada, como uma rede social, para outra. Os responsáveis pelo tratamento de dados devem ser encorajados a desenvolver formatos interoperáveis que permitam a portabilidade dos dados. Isto aplica-se também se o titular de dados tiver fornecido os dados a um sistema de tratamento automatizado com base no seu consentimento ou em cumprimento de um contrato. Os prestadores de serviços da sociedade da informação não devem tornar a transferência desses dados obrigatória para efeitos da prestação dos seus serviços. [Alt. 30]

(56) No caso de um tratamento de dados pessoais lícito para proteção dos interesses vitais do titular dos dados, ou por motivos de interesse público, de exercício da autoridade pública ou de interesse legítimo de um responsável pelo tratamento, o titular dos dados tem, não obstante, o direito de se opor ao tratamento de quaisquer dados que lhe digam respeito , sem encargos e de um modo que possa ser invocado de forma simples e efetiva . Recai sobre o responsável pelo tratamento o ónus de provar que os seus interesses legítimos prevalecem sobre os interesses ou direitos e liberdades fundamentais do titular dos dados.os interesses ou direitos e liberdades fundamentais do titular dos dados. [Alt. 31]

(57) Sempre que os dados pessoais forem objeto de tratamento para efeitos de comercialização direta, o titular dos dados tem pessoais tenha o direito de se opor a tal tratamento gratuitamente, ao tratamento , o responsável pelo tratamento deve oferecer-lhe explicitamente essa possibilidade de modo e forma inteligíveis, utilizando uma linguagem clara e que possa ser invocado de forma simples e efetiva distinguir isso de outra informação . [Alt. 32]

(58) Sem prejuízo da legalidade do tratamento dos dados, qualquer pessoa singular tem o direito a não ser objeto de uma medida baseada na de se opor à definição de perfis. através de tratamento automatizado. No entanto, tais medidas devem ser permitidas A elaboração de perfis que dê lugar a medidas que produzam efeitos jurídicos que afetem o titular de dados ou que afectem significativamente de modo similar os seus interesses, direitos ou liberdades apenas deve ser permitida se expressamente autorizadas autorizada por lei, se aplicadas aplicada no âmbito da celebração ou da execução de um contrato, ou mediante o consentimento da pessoa em causa. Em qualquer dos casos, tal tratamento deve ser acompanhado das garantias adequadas, incluindo uma informação específica do titular dos dados e o direito de obter a intervenção avaliação humana, e que tal medida não diga respeito a uma criança. Tais medidas não devem conduzir à discriminação de indivíduos em razão da origem racial ou étnica, das opiniões políticas, da religião ou das convicções, da filiação sindical, da orientação sexual ou da identidiade de género. [Alt. 33]

(58-A) A elaboração de perfis exclusivamente baseada no tratamento de dados pseudónimos não deve afetar significativamente os interesses, direitos ou as liberdades da pessoa em causa. Quando a elaboração de perfis, quer baseada numa única fonte de dados pseudónimos, quer realizada a partir da agregação de dados pseudónimos provenientes de diferentes fontes, permita ao responsável pelo tratamento atribuir os dados pseudónimos a uma pessoa em concreto, os dados tratados devem deixar de ser considerados pseudónimos. [Alt. 34]

(59) A União ou um Estado-Membro podem impor restrições aos direitos de informação, acesso, retificação, apagamento ou portabilidade dos ou ao direito de acesso e à obtenção de dados, de oposição, medidas baseadas na definição de perfis, bem como à comunicação de uma violação de dados pessoais ao titular dos dados e a determinadas obrigações conexas impostas aos responsáveis pelo tratamento, desde que necessárias e proporcionais numa sociedade democrática, para assegurar a segurança pública, incluindo a proteção da vida humana, especialmente em resposta a catástrofes naturais ou provocadas pelo homem, para efeitos de prevenção, investigação e repressão de infrações penais, ou de violação da deontologia de profissões regulamentadas para efeitos de outros interesses públicos , específicos e bem definidos , incluindo um interesse económico ou financeiro importante da União ou de um Estado-Membro, ou para efeitos de proteção do titular dos dados ou dos direitos e liberdades de terceiros. Essas restrições devem respeitar os requisitos estabelecidos na Carta e na Convenção Europeia para a Proteção dos Direitos do Homem e das Liberdades Fundamentais. [Alt. 35]

(60) Deve ser definida a responsabilidade global do responsável por qualquer tratamento de dados pessoais realizado por este ou por sua conta , em particular no que se refere à documentação, segurança dos dados, avaliações de impacto, ao delegado para a proteção de dados e à supervisão das autoridades responsáveis pela proteção dos dados . Em especial, o responsável pelo tratamento deve assegurar e ser capaz de comprovar que cada operação de tratamento de dados é efetuada em conformidade com o presente regulamento. Tal deve ser verificado por auditores independentes internos ou externos. [Alt. 36]

(61) A proteção dos direitos e liberdades dos titulares dos dados relativamente ao tratamento dos seus dados pessoais exige a tomada de medidas técnicas e organizacionais adequadas, tanto no momento da conceção como no momento da execução do tratamento, para assegurar o cumprimento dos requisitos do presente regulamento. A fim de assegurar e comprovar a conformidade com o presente regulamento, o responsável pelo tratamento deve adotar regras internas e aplicar medidas apropriadas que devem respeitar, em especial, os princípios da proteção de dados desde a conceção e da proteção de dados por defeito. O princípio da proteção de dados desde a conceção obriga a que a proteção de dados seja inserida em todo o ciclo de vida da tecnologia, desde a fase inicial de conceção, até à sua instalação, utilização e eliminação finais. Isto deve abarcar também a responsabilidade pelos produtos e serviços utilizados pelo responsável ou pelo subcontratante. O princípio da proteção de dados por defeito obriga a que as definições de privacidade aplicáveis a serviços e a produtos cumpram, por defeito, os princípios gerais da proteção de dados, tais como a minimização dos dados e a limitação das finalidades. [Alt. 37]

(62) A proteção dos direitos e liberdades dos titulares de dados, bem como a responsabilidade dos responsáveis pelo tratamento e dos subcontratantes, incluindo no que diz respeito à supervisão e às medidas adotadas pelas autoridades de controlo, exige uma clara repartição das responsabilidades nos termos do presente regulamento, nomeadamente quando o responsável pelo tratamento determina as finalidades, as condições e os meios do tratamento conjuntamente com outros responsáveis, ou quando uma operação de tratamento de dados é efetuada por conta de um responsável pelo tratamento. O acordo entre os responsáveis conjuntos pelo tratamento deve reflectir devidamente as funções dos responsáveis conjuntos pelo tratamento e as suas relações com os titulares dos dados. O tratamento de dados pessoais nos termos do presente Regulamento deve incluir que um responsável pelo tratamento seja autorizado a transmitir os dados a um responsável conjunto pelo tratamento ou a um subcontratante, para efeitos do tratamento de dados em seu nome. [Alt. 38]

(63) Sempre que um responsável pelo tratamento não estabelecido na União Europeia efetue o tratamento de dados pessoais de titulares de dados que residam na da União, e cujas atividades de tratamento estejam relacionadas com a oferta de bens ou serviços a essas pessoas, ou com o controlo do seu comportamento, o responsável pelo tratamento deve designar um representante, salvo se tal responsável se encontrar estabelecido num país terceiro que garanta um nível de proteção adequado, ou se o responsável for uma pequena ou média empresa tratamento de dados pessoais disser respeito a menos que 5 000 titulares de dados durante um período de 12 meses consecutivos e não for efetuado em relação a categorias especiais de dados pessoais, ou se for ou uma autoridade ou organismo público, ou se o responsável que apenas oferecer oferece a título esporádico bens ou serviços a esses titulares de dados. O representante deve agir por conta do responsável pelo tratamento e deve poder ser contactado por qualquer autoridade de controlo. [Alt. 39]

(64) A fim de determinar se o responsável pelo tratamento oferece bens e serviços apenas a título esporádico aos titulares de dados que residam na da União, deve ser verificado se resulta do conjunto das suas atividades que a oferta de bens e serviços a essas pessoas é acessória às suas atividades principais. [Alt. 40]

(65) A fim de poder comprovar a observância do presente regulamento, o responsável pelo tratamento, ou o subcontratante, deve documentar cada operação de tratamento de dados conservar a documentação necessária, de molde a cumprir os requisitos previstos no presente regulamento . Cada responsável pelo tratamento e subcontratante devem ser obrigados a cooperar com a autoridade de controlo e a disponibilizar essa documentação, quando tal lhe for solicitado, para que possa servir ao controlo dessas operações de tratamento à avaliação do cumprimento do presente regulamento . No entanto, deve dar-se igual ênfase e importância às boas práticas e ao cumprimento, e não apenas à conclusão da documentação . [Alt. 41]

(66) A fim de preservar a segurança e evitar o tratamento em violação do presente regulamento, o responsável pelo tratamento, ou o subcontratante, deve avaliar os riscos que o tratamento implica e aplicar medidas que os atenuem. Estas medidas devem assegurar um nível de segurança adequado, atendendo aos conhecimentos técnicos disponíveis e ao custo da sua aplicação em função dos riscos e da natureza dos dados a proteger. Aquando da adoção de normas técnicas e medidas organizacionais destinadas a assegurar a segurança do tratamento, a Comissão deve promover há que promover a neutralidade tecnológica, a interoperabilidade e a inovação e, se necessário, cooperar encorajar a cooperação com os países terceiros. [Alt. 42]

(67) A violação dos dados pessoais pode, se não forem adotadas medidas adequadas e oportunas, dar origem a prejuízos económicos e sociais substanciais, nomeadamente através da usurpação de identidade, para a pessoa em causa. Assim, logo que o responsável pelo tratamento tenha conhecimento de uma violação, deve comunicá-la comunicar a violação à autoridade de controlo, sem demora injustificada e, sempre que possível, no devendo presumir-se para o efeito um prazo de 24 não superior a 72 horas. Se aplicável não for possível efetuar essa comunicação no prazo de 24 horas, a notificação deve fazer-se acompanhar de uma explicação dos motivos da demora. As pessoas singulares cujos dados pessoais possam ter sido afetados negativamente por tal violação, devem ser avisadas sem demora injustificada, para que possam tomar as precauções necessárias. Deve considerar-se que uma violação afeta negativamente os dados pessoais ou a privacidade de um titular de dados sempre que daí possa resultar, por exemplo, roubo ou usurpação de identidade, danos físicos, humilhações ou danos significativos para a reputação. A notificação deve descrever a natureza da violação de dados pessoais, bem como formular recomendações ao titular dos dados para atenuar potenciais efeitos adversos. As pessoas em causa devem ser notificadas o mais rapidamente possível, em estreita cooperação com a autoridade de controlo, e em cumprimento das orientações por esta fornecidas ou por outras autoridades competentes (por exemplo, autoridades de aplicação da lei). Por exemplo, para que as pessoas em causa possam atenuar um risco imediato de dano, deve enviar-se uma notificação rápida aos titulares de dados, enquanto a necessidade de aplicar medidas adequadas contra violações de dados recorrentes ou similares poderá justificar um prazo superior. [Alt. 43]

(68) Para determinar se uma violação de dados pessoais é notificada à autoridade de controlo e ao titular dos dados sem demora injustificada, deve ser avaliado se o responsável pelo tratamento executou e aplicou medidas tecnológicas de proteção e organizativas para apurar imediatamente a ocorrência de uma violação de dados pessoais e para informar rapidamente a autoridade de controlo e a pessoa em causa, antes da ocorrência de danos aos interesses pessoais e económicos, tendo em consideração, em especial, a natureza e a gravidade da violação de dados pessoais e as respetivas consequências e efeitos adversos para o titular dos dados.

(69) Ao estabelecer regras pormenorizadas relativamente ao formato e aos procedimentos aplicáveis à notificação das violações de dados pessoais, deve ter-se devidamente em conta as circunstâncias da violação, nomeadamente a existência ou não de proteção dos dados pessoais através de medidas técnicas de proteção adequadas para reduzir eficazmente a probabilidade de usurpação da identidade ou outras formas de utilização abusiva. Além disso, tais regras e procedimentos devem ter em conta os legítimos interesses das autoridades de aplicação da lei nos casos em que uma divulgação precoce de informações possa dificultar desnecessariamente a investigação das circunstâncias de uma violação.

(70) A Diretiva 95/46/CE estabelece uma obrigação geral de notificação do tratamento de dados pessoais às autoridades de controlo. Além desta obrigação originar encargos administrativos e financeiros, nem sempre contribuiu para uma melhoria da proteção dos dados pessoais. Por essa razão, tal obrigação geral deve ser suprimida e substituída por procedimentos e mecanismos eficazes dirigidos, em alternativa, para as operações de tratamento suscetíveis de apresentar riscos específicos para os direitos e liberdades dos titulares de dados, devido à sua natureza, âmbito ou finalidade. Nesses casos, o responsável pelo tratamento ou o subcontratante deve proceder, previamente ao tratamento, a uma avaliação de impacto sobre a proteção de dados, que deve examinar, nomeadamente, as medidas, garantias e os mecanismos previstos para assegurar a proteção dos dados pessoais e comprovar a observância do presente regulamento.

(71) Tal deve aplicar-se, nomeadamente, aos sistemas de arquivo de grande escala recentemente estabelecidos, que visam o tratamento de uma grande quantidade de dados pessoais a nível regional, nacional ou supranacional e que podem afetar um número considerável de titulares de dados.

(71-A) As avaliações de impacto constituem um elemento essencial de qualquer quadro sustentável em matéria de proteção de dados, pois garantem que as empresas tenham conhecimento, à partida, de todas as eventuais consequências das suas operações de tratamento de dados. Se as avaliações de impacto forem rigorosas, a possibilidade de uma violação de dados ou de uma operação de atentado à privacidade pode ser fundamentalmente limitada. As avaliações do impacto na proteção dos dados devem, por conseguinte, ter em conta a gestão dos dados pessoais ao longo de todo o seu ciclo de vida, ou seja, desde a recolha até ao tratamento e eliminação dos mesmos, descrevendo detalhadamente as operações de tratamento de dados previstas, os riscos para os direitos e as liberdades dos titulares de dados, as medidas previstas para fazer face aos riscos, as garantias, as medidas de segurança e os mecanismos para assegurar o respeito do presente regulamento. [Alt. 44]

(71-B) Os responsáveis pelo tratamento devem centrar-se na proteção dos dados pessoais ao longo de todo o seu ciclo de vida, ou seja, desde a recolha até ao tratamento e eliminação dos mesmos, investindo, desde o início, num quadro de gestão sustentável dos dados e assegurando o seu acompanhamento através de um mecanismo global de controlo de conformidade. [Alt. 45]

(72) Em certas circunstâncias pode ser sensato e económico alargar a avaliação de impacto sobre a proteção de dados para além de um projeto único, por exemplo se as autoridades ou organismos públicos pretenderem instituir uma aplicação ou uma plataforma de tratamento comum, ou se vários responsáveis pelo tratamento planearem introduzir uma aplicação ou um ambiente de tratamento comum em todo um setor ou segmento profissional, ou uma atividade horizontal amplamente utilizada.

(73) As avaliações de impacto sobre a proteção de dados devem ser realizadas por uma autoridade ou um organismo público se essa avaliação não tiver ainda sido realizada no contexto da adoção da legislação nacional que regula as atribuições da autoridade ou do organismo público, bem como a operação ou o conjunto de operações em questão. [Alt. 46]

(74) Sempre que uma avaliação de impacto sobre a proteção de dados indicar que as operações de tratamento de dados acarretam um elevado grau de riscos particulares sobre os direitos e liberdades dos titulares de dados, como privar essas pessoas de um direito, ou devido à utilização de novas tecnologias específicas, o delegado para a proteção de dados ou a autoridade de controlo deve ser consultada, antes de as operações terem início, sobre um tratamento arriscado suscetível de não estar em conformidade com o presente regulamento, e de apresentar propostas para remediar essa situação. Essa A consulta da autoridade de controlo deve igualmente ser efetuada durante os trabalhos de elaboração de uma medida legislativa pelo parlamento nacional, ou de uma medida baseada nesta última medida que defina a natureza do tratamento e especifique as garantias adequadas. [Alt. 47]

(74-A) As avaliações de impacto só podem ser úteis se os responsáveis pelo tratamento de dados se assegurarem de que respeitam os compromissos inicialmente estabelecidos nessas avaliações. Os responsáveis pelo tratamento devem, por conseguinte, efetuar análises regulares do cumprimento das disposições relativas à proteção dos dados que demonstrem que os mecanismos de tratamento de dados existentes respeitam os compromissos assumidos na avaliação do impacto na proteção dos dados. Estas análises devem igualmente demonstrar a capacidade do responsável pelo tratamento para respeitar as escolhas autónomas dos titulares de dados. Além disso, se, no âmbito destas análises, forem encontradas incoerências quanto à conformidade, estas devem ser sublinhadas e apresentadas recomendações sobre o modo de assegurar o pleno respeito. [Alt. 48]

(75) Sempre que o tratamento for efetuado no setor público, ou se, no setor privado, for efetuado por uma empresa de grande dimensão disser respeito a mais de 5 000 titulares de dados por ano , ou cujas atividades principais, independentemente da dimensão da empresa, impliquem operações de tratamento de dados sensíveis ou operações de tratamento que exijam controlo regular e sistemático, o responsável pelo tratamento ou o subcontratante deve ser assistido por uma pessoa no controlo do respeito, a nível interno, do presente regulamento. Ao determinar se os dados sobre um grande número de titulares de dados são ou não objeto de tratamento, não devem ser tidos em conta os dados arquivados de acesso restrito, no sentido de que não estão sujeitos ao acesso normal nem às operações de processamento do responsável pelo tratamento e que já não podem ser alterados. Estes delegados para a proteção de dados, quer sejam ou não empregados do responsável pelo tratamento e quer desempenhem ou não essa tarefa a tempo inteiro , devem estar em posição de desempenhar as suas funções e atribuições de forma independente e beneficiar de uma proteção especial contra o despedimento . A responsabilidade final deve incumbir à direção do organismo. O delegado para a proteção de dados deve, nomeadamente, ser consultado antes da conceção, da adjudicação, do desenvolvimento e da criação de sistemas de tratamento automatizado de dados pessoais, para garantir os princípios da privacidade desde a conceção e por defeito. [Alt. 49]

(75-A) O delegado para a proteção de dados deve ter, no mínimo, as seguintes qualificações: amplo conhecimento do conteúdo e da aplicação da legislação em matéria de proteção de dados, inclusive medidas técnicas, de organização e procedimentos; domínio dos requisitos técnicos em matéria de privacidade, desde a conceção, privacidade por defeito e segurança de dados; conhecimentos específicos do setor, de acordo com a dimensão do responsável pelo tratamento e do subcontratante e com a sensibilidade dos dados a tratar; capacidade de efetuar inspeções, consultas, elaborar documentação e proceder à análise de arquivos; capacidade para trabalhar com os representantes dos trabalhadores. O responsável pelo tratamento deve permitir a participação do delegado de proteção de dados em ações de formação avançadas, de molde a manter atualizados os conhecimentos especializados necessários ao desempenho das suas funções. A nomeação do delegado para a proteção de dados não requer necessariamente a ocupação desse assalariado a tempo inteiro. [Alt. 50]

(76) As associações ou outras entidades que representem categorias de responsáveis pelo tratamento de dados devem ser incentivadas , após a consulta dos representantes dos trabalhadores, a elaborar códigos de conduta, no respeito do presente regulamento, com vista a facilitar a sua aplicação efetiva, tendo em conta as características específicas do tratamento efetuado em determinados setores. Tais códigos devem facilitar o respeito do presente regulamento por parte do setor. [Alt. 51]

(77) A fim de aumentar a transparência e o respeito do presente regulamento, deve ser encorajada a criação de mecanismos de certificação, selos e marcas normalizadas de proteção de dados, que permitam aos titulares de dados avaliar rapidamente , de forma fiável e verificável, o nível de proteção de dados proporcionado pelos produtos e serviços em causa. O «Selo Europeu para a Proteção de Dados» deve ser criado à escala europeia para gerar confiança junto dos titulares de dados, certeza jurídica junto dos responsáveis pelo tratamento e, ao mesmo tempo, para exportar as normas europeias de proteção de dados, permitindo que empresas não europeias entrem mais facilmente nos mercados europeus se estiverem certificadas. [Alt. 52]

(78) A circulação transfronteiriça de dados pessoais é necessária ao desenvolvimento do comércio internacional e da cooperação internacional. Esse aumento criou novos desafios e novas preocupações em relação à proteção dos dados pessoais. Todavia, quando os dados pessoais são transferidos da União para países terceiros ou para organizações internacionais, o nível de proteção das pessoas singulares assegurado na União pelo presente regulamento deve continuar a ser garantido. Em todo o caso, as transferências para países terceiros só podem ser efetuadas no pleno respeito do presente regulamento.

(79) O presente regulamento não prejudica os acordos internacionais concluídos entre a União Europeia e países terceiros que regulem a transferência de dados pessoais, incluindo as garantias adequadas em benefício dos titulares de dados , assegurando um nível de proteção equivalente para os direitos fundamentais dos cidadãos . [Alt. 53]

(80) A Comissão pode decidir, com efeitos no conjunto da União, que determinados países terceiros, um território ou um setor de tratamento de dados de um país terceiro, ou uma organização internacional, oferece um nível de proteção de dados adequado, garantindo assim a segurança jurídica e a homogeneidade a nível da União relativamente a países terceiros ou organizações internacionais que sejam consideradas aptas a assegurar tal nível de proteção. Nestes casos, podem realizar-se transferências de dados pessoais para esses países sem que para tal seja necessário qualquer outra autorização. A Comissão pode igualmente decidir, após notificação e apresentação de justificação exaustiva ao país terceiro, revogar essa decisão. [Alt. 54]

(81) Em conformidade com os valores fundamentais sobre os quais assenta a União, particularmente a proteção dos direitos humanos, a Comissão deve, na sua avaliação do país terceiro, ter em consideração em que medida esse país respeita o primado do Estado de direito, o acesso à justiça e as regras e normas internacionais no domínio dos direitos humanos.

(82) A Comissão pode igualmente reconhecer que um país terceiro, um território ou um setor de tratamento de dados de um país terceiro, ou uma organização internacional, não oferece um nível de proteção de dados adequado. Qualquer legislação que permita um acesso extraterritorial aos dados pessoais tratados na União, sem autorização nos termos da legislação da União ou dos Estados-Membros, deve considerar tal possibilidade como indicativa de falta de adequação. Se for esse o caso, deve ser proibida a transferência de dados pessoais para esse país terceiro. Nesse caso, devem ser adotadas medidas tendo em vista uma consulta entre a Comissão e esse país terceiro ou organização internacional. [Alt. 55]

(83) Na falta de uma decisão sobre o nível de proteção adequado, o responsável pelo tratamento ou o subcontratante deve adotar as medidas necessárias para colmatar a insuficiência da proteção de dados no país terceiro através de garantias adequadas a favor do titular de dados. Essas medidas adequadas podem consistir na utilização de regras vinculativas para empresas, cláusulas-tipo de proteção de dados adotadas pelas Comissão, cláusulas-tipo de proteção de dados adotadas por uma autoridade de controlo, ou cláusulas contratuais autorizadas por esta autoridade. Essas garantias adequadas devem assegurar o mesmo respeito pelos direitos dos titulares de dados como no âmbito do tratamento no interior da UE, em particular no que diz respeito à limitação da finalidade, ao direito de acesso, à retificação, ao apagamento e à indemnização. Estas garantias devem, em particular, assegurar a observância dos princípios do tratamento de dados pessoais, a salvaguarda dos direitos do respetivo titular e estabelecer mecanismos de recurso eficazes, garantir a observância dos princípios da proteção de dados desde a conceção e por defeito, e assegurar a existência de um delegado para a proteção de dados. [Alt. 56]

(84) A possibilidade de o responsável pelo tratamento ou o subcontratante utilizarem cláusulas-tipo de proteção de dados adotadas pela Comissão ou por uma autoridade de controlo não os deve impedir de incluírem estas cláusulas num contrato mais abrangente, nem de acrescentarem outras cláusulas, ou garantias adicionais, desde que não sejam contraditórias, direta ou indiretamente, em relação às cláusulas contratuais-tipo adotadas pela Comissão ou por uma autoridade de controlo, e sem prejuízo dos direitos ou liberdades fundamentais dos titulares de dados. As cláusulas-tipo de proteção de dados adotadas pela Comissão podem abranger diferentes situações, designadamente, transferências de responsáveis pelo tratamento estabelecidos na União para responsáveis pelo tratamento estabelecidos fora dela, e de responsáveis pelo tratamento estabelecidos na União para subcontratantes, incluindo subcontratantes ulteriores, estabelecidos fora da União. Os responsáveis pelo tratamento e os subcontratantes devem ser encorajados a apresentar garantias ainda mais sólidas, através de compromissos contratuais adicionais que complementem as cláusulas-tipo de proteção. [Alt. 57]

(85) Um grupo empresarial deve poder utilizar as regras vinculativas para empresas aprovadas para as suas transferências internacionais da União para entidades pertencentes ao mesmo grupo empresarial, desde que essas regras incluam todos os princípios essenciais e direitos oponíveis visando assegurar garantias adequadas às transferências ou categorias de transferências de dados pessoais. [Alt. 58]

(86) É conveniente prever a possibilidade de transferências em determinadas circunstâncias se o titular dos dados deu o seu consentimento, se a transferência for necessária em relação a um contrato ou um processo judicial, se motivos importantes de interesse público previstos pela legislação União ou de um Estado-Membro o exigirem, ou se a transferência for efetuada a partir de um registo criado por lei e destinado à consulta do público ou de pessoas com um interesse legítimo. Neste último caso, a transferência não deve abranger a totalidade dos dados nem categorias completas de dados contidos nesse registo e, quando este último se destinar a ser consultado por pessoas com um interesse legítimo, a transferência apenas deve ser efetuada a pedido dessas pessoas ou caso sejam os seus destinatários , tendo plenamente em conta os interesses e os direitos fundamentais do titular de dados . [Alt. 59]

(87) Estas derrogações devem ser aplicáveis, em especial, às transferências de dados exigidas e necessárias à proteção de interesses públicos importantes, por exemplo em caso de transferências internacionais de dados entre autoridades de concorrência, fiscais ou aduaneiras, ou entre serviços competentes em matéria de segurança social ou saúde pública , ou em caso de transferência para as autoridades públicas competentes , responsáveis pela prevenção, investigação, deteção e repressão de infrações penais , incluindo a prevenção do branqueamento de capitais e o combate ao financiamento do terrorismo . Deve igualmente ser considerada legal a transferência de dados pessoais que seja necessária para a proteção de um interesse essencial da vida do titular dos dados ou de outra pessoa, se o titular estiver impossibilitado de dar o seu consentimento. A transferência de dados pessoais por motivos de interesse público tão importantes só deve ocorrer ocasionalmente. Em cada caso, convém proceder a uma avaliação cuidadosa de todas as circunstâncias da transferência. [Alt. 60]

(88) As transferências que não podem ser classificadas como frequentes ou maciças são igualmente possíveis para efeitos de prossecução dos interesses legítimos do responsável pelo tratamento ou do subcontratante, após terem sido avaliadas todas as circunstâncias associadas à operação de transferência. Para fins de tratamento com finalidade de investigação histórica, estatística ou científica, devem ser adotadas em consideração as expectativas legítimas da sociedade em matéria de progresso dos conhecimentos. [Alt. 61]

(89) Em qualquer caso, se a Comissão não tiver tomado qualquer decisão relativamente ao nível de proteção adequado de dados num país terceiro, o responsável pelo tratamento ou o subcontratante deve adotar soluções que ofereçam aos titulares de dados a garantia vinculativa de que continuarão a beneficiar dos direitos e garantias fundamentais quanto ao tratamento dos seus dados na União, após a transferência dos mesmos , na medida em que não se trata de um tratamento em grande escala, repetitivo e estrutural . Essa garantia deve incluir o ressarcimento financeiro em casos de perda ou de acesso ou tratamento não autorizados dos dados, e a obrigação, independentemente da legislação nacional, de fornecer detalhes completos sobre todo o acesso aos dados por parte das autoridades públicas no país terceiro. [Alt. 62]

(90) Alguns países terceiros aprovam leis, regulamentos e outros instrumentos legislativos destinados a regular diretamente as atividades de tratamento de dados pelas pessoas singulares e coletivas sob a jurisdição dos Estados-Membros. Em virtude da sua aplicabilidade extraterritorial, essas leis, regulamentos e outros instrumentos legislativos podem violar o direito internacional e obstar à realização do objetivo de proteção das pessoas singulares, assegurado na União Europeia pelo presente regulamento. As transferências só devem ser autorizadas quando as condições estabelecidas pelo presente regulamento para as transferências para os países terceiros estejam preenchidas. Pode ser o caso, nomeadamente, sempre que a divulgação for necessária por um motivo importante de interesse público, reconhecido pelo direito da União, ou pelo direito do Estado-Membro ao qual o responsável pelos dados está sujeito. As condições para a existência de um motivo importante de interesse público devem ser precisadas pela Comissão mediante um ato delegado. Nos casos em que os responsáveis pelo tratamento ou os subcontratantes se vejam confrontados com exigências de conformidade contraditórias entre a jurisdição da UE, por um lado, e a de um país terceiro, por outro, a Comissão deve velar por que a legislação da UE prevaleça em todas as circunstâncias. A Comissão deve fornecer orientações e assistência ao responsável pelo tratamento e ao subcontratante, bem como procurar resolver os conflitos de jurisdição com o país terceiro em questão . [Alt. 63]

(91) Sempre que os dados pessoais atravessam fronteiras, há um risco acrescido de que as pessoas singulares não possam exercer os seus direitos à proteção de dados, nomeadamente para se proteger da utilização ilícita ou da divulgação dessas informações. Paralelamente, as autoridades de controlo podem ser incapazes de dar seguimento a queixas ou conduzir investigações relacionadas com atividades exercidas fora das suas fronteiras. Os seus esforços para colaborar no contexto transfronteiriço podem ser também restringidos por poderes preventivos ou medidas de reparação insuficientes, regimes jurídicos incoerentes e obstáculos práticos, tais como a limitação de recursos. Por conseguinte, revela-se necessário promover uma cooperação mais estreita entre as autoridades de controlo da proteção de dados, a fim de que possam efetuar o intercâmbio de informações e realizar investigações com as suas homólogas internacionais.

(92) A criação de autoridades de controlo nos Estados-Membros, que exerçam as suas funções com total independência, constitui um elemento essencial da proteção das pessoas singulares no que respeita ao tratamento dos seus dados pessoais. Os Estados-Membros podem criar mais do que uma autoridade de controlo que traduza a sua estrutura constitucional, organizacional e administrativa. Uma autoridade deve dispor dos recursos financeiros e do pessoal adequados para desempenhar plenamente o seu papel, tendo em conta o número de habitantes e a quantidade de dados pessoais objeto de tratamento. [Alt. 64]

(93) Sempre que um Estado-Membro crie várias autoridades de controlo, deve prever, na sua legislação, mecanismos que garantam a participação efetiva dessas autoridades de controlo no mecanismo de controlo da coerência. Esse Estado-Membro deve, em particular, designar a autoridade de controlo que servirá de ponto de contacto único, para permitir a participação efetiva dessas autoridades nesse mecanismo, a fim de assegurar uma cooperação rápida e fácil com outras autoridades de controlo, com o Comité Europeu para a Proteção de Dados e com a Comissão.

(94) Cada autoridade de controlo deve receber os recursos financeiros e humanos e, em particular, garantir as competências técnicas e jurídicas adequadas do seu pessoal , as instalações e infraestruturas adequadas que são necessários ao desempenho eficaz das suas funções, incluindo as relacionadas com a assistência e a cooperação mútuas com outras autoridades de controlo da União. [Alt. 65]

(95) As condições gerais aplicáveis aos membros da autoridade de controlo devem ser definidas por lei em cada Estado-Membro e devem prever, em especial, que esses membros são nomeados pelo parlamento ou pelo governo nacional, tomando as medidas necessárias para minimizar a possibilidade de interferência política, e incluir disposições sobre a qualificação , a ausência de conflitos de interesses e funções desses membros. [Alt. 66]

(96) As autoridades de controlo devem controlar a aplicação das disposições do presente regulamento e contribuir para a sua aplicação coerente em toda a União, a fim de proteger as pessoas singulares relativamente ao tratamento dos seus dados pessoais e facilitar a livre circulação desses dados a nível do mercado interno. Para esse efeito, as autoridades de controlo devem cooperar entre si e com a Comissão.

(97) Sempre que, na União, o tratamento de dados pessoais no contexto das atividades de um estabelecimento de um responsável pelo tratamento ou de um subcontratante ocorre em vários Estados-Membros, é conveniente que uma única autoridade de controlo tenha a competência para supervisionar as atividades sirva de ponto de contacto e constitua a principal autoridade responsável em matéria de controlo do responsável pelo tratamento ou do subcontratante em toda a União e adotar que adote as decisões correspondentes, a fim de favorecer a aplicação coerente, assegurar segurança jurídica e reduzir os encargos administrativos para esses responsáveis pelo tratamento e subcontratantes. [Alt. 67]

(98) A autoridade competente principal , que atua portanto na qualidade de balcão único, deve ser a autoridade de controlo do Estado-Membro no qual o responsável pelo tratamento ou o subcontratante tem o seu estabelecimento principal ou esteja representado . O Comité Europeu da Proteção de Dados pode designar a autoridade principal através do mecanismo de controlo da coerência, em certos casos, a pedido de uma autoridade competente . [Alt. 68]

(98-A) As pessoas cujos dados pessoais são tratados por um responsável ou um subcontratante noutro Estado Membro devem poder apresentar queixa à autoridade de controlo da sua escolha. A autoridade principal de proteção de dados deve coordenar o seu trabalho com o das demais autoridades implicadas. [Alt. 69]

(99) Embora o presente regulamento se aplique também às atividades dos tribunais nacionais, a competência das autoridades de controlo não abrange o tratamento de dados pessoais quando os tribunais atuarem no âmbito das suas funções jurisdicionais, a fim de assegurar a independência dos juízes no exercício das suas funções jurisdicionais. Todavia, esta exceção deve ser estritamente limitada às atividades meramente judiciais relativas a processos em tribunal e não ser aplicável a outras atividades a que os juízes possam estar associados por força do direito nacional.

(100) A fim de assegurar o controlo e aplicação coerentes do presente regulamento no conjunto da União, as autoridades de controlo devem ter, em cada Estado-Membro, as mesmas funções e poderes efetivos, incluindo os poderes de investigação, de intervenção vinculativa, de deliberação e de sanção, particularmente em caso de queixas apresentadas por pessoas singulares, bem como o poder de intervir em processos judiciais. Os poderes de investigação das autoridades de controlo em matéria de acesso às instalações devem ser exercidos em conformidade com o direito da União e o direito nacional. Tal diz especialmente respeito à obrigação de obter previamente uma autorização judicial.

(101) Cada autoridade de controlo deve receber as queixas apresentadas por qualquer titular de dados ou associação que age no interesse público e investigar a matéria. A investigação decorrente de uma queixa deve ser realizada, sujeita a revisão judicial, na medida adequada ao caso específico. A autoridade de controlo deve informar a pessoa ou a associação em causa da evolução e do resultado da queixa num prazo razoável. Se o caso exigir maior investigação ou a coordenação com outra autoridade de controlo, devem ser comunicadas informações intermédias ao titular dos dados. [Alt. 70]

(102) As atividades de sensibilização das autoridades de controlo dirigidas ao público devem incluir medidas específicas a favor dos responsáveis pelo tratamento e subcontratantes, incluindo as micro, pequenas e médias empresas, bem como os titulares de dados.

(103) As autoridades de controlo devem prestar-se mutuamente assistência no desempenho das suas funções por forma a assegurar a execução e aplicação coerentes do presente regulamento no mercado interno.

(104) Cada autoridade de controlo pode participar em operações conjuntas entre autoridades de controlo. A autoridade de controlo requerida é obrigada a responder ao pedido dentro de um determinado prazo.

(105) A fim de assegurar a aplicação coerente do presente regulamento em toda a União, deve ser criado um mecanismo de controlo da coerência para enquadrar a cooperação entre as próprias autoridades de controlo e a Comissão. Este mecanismo deve ser aplicável, nomeadamente, sempre que uma autoridade de controlo previr adotar uma medida em relação a operações de tratamento que estão relacionadas com a oferta de bens ou serviços aos titulares de dados em diversos Estados-Membros, ou com o controlo dessas pessoas, ou suscetíveis de afetar substancialmente a livre circulação de dados pessoais. Aplica-se igualmente sempre que uma autoridade de controlo ou a Comissão solicitar que essa matéria seja tratada no âmbito do mecanismo de controlo da coerência. Além disso, os titulares dos dados devem ter o direito de obter coerência, se considerarem que uma medida tomada por uma autoridade de proteção de dados de um Estado-Membro não cumpriu este critério. Este mecanismo não deve prejudicar medidas eventualmente adotadas pela Comissão no exercício das suas competências nos termos dos Tratados. [Alt. 71]

(106) Em aplicação do mecanismo de controlo da coerência, o Comité Europeu para a Proteção de Dados deve emitir um parecer, dentro de um determinado prazo, se a maioria simples dos seus membros assim o decidir ou se for para tal solicitado por qualquer autoridade de controlo ou pela Comissão.

(106-A) A fim de assegurar a aplicação coerente do presente regulamento, o Comité Europeu para a Proteção de Dados pode, em casos isolados, adotar uma decisão vinculativa para as autoridades de controlo competentes. [Alt. 72]

(107) A fim de assegurar o respeito do presente regulamento, a Comissão pode emitir um parecer sobre esta matéria, ou uma decisão que solicite à autoridade de controlo a suspensão do seu projeto de medida. [Alt. 73]

(108) Pode ser urgente agir, a fim de proteger os interesses dos titulares de dados, em especial quando existir perigo de impedimento considerável do exercício de um direito da pessoa em causa. Por essa razão, a autoridade de controlo deve poder adotar medidas provisórias, válidas por um período específico, aquando da aplicação do mecanismo de controlo da coerência.

(109) A aplicação deste mecanismo deve condicionar a validade jurídica e execução da decisão correspondente por uma autoridade de controlo. Noutros casos com dimensão transfronteiriça, a assistência mútua e as investigações conjuntas podem ser realizadas entre as autoridades de controlo em causa, bilateral ou multilateralmente, sem para o efeito ser necessário ativar o mecanismo de controlo da coerência.

(110) A nível da União, deve ser criado um Comité Europeu para a Proteção de Dados. Este Comité deve substituir o Grupo de Trabalho sobre a proteção das pessoas no que diz respeito ao tratamento de dados pessoais instituído pelo artigo 29.o da Diretiva 95/46/CE. Deve ser composto por um diretor da autoridade de controlo de cada Estado-Membro e da Autoridade Europeia para a Proteção de Dados. A Comissão deve participar nas suas atividades. O Comité Europeu para a Proteção de Dados deve contribuir para a aplicação coerente do presente regulamento em toda a União, nomeadamente no aconselhamento das instituições da União Europeia e na promoção da cooperação das autoridades de controlo no conjunto da União , incluindo a coordenação de operações conjuntas . O Comité Europeu para a Proteção de Dados deve ser independente no exercício das suas funções. O Comité Europeu para a Proteção de Dados deve reforçar o diálogo com as partes interessadas em causa, tais como as associações de titulares de dados, as associações de consumidores e outras partes interessadas e peritos relevantes. [Alt. 74]

(111) Qualquer O titular de dados deve ter o direito de apresentar uma queixa à autoridade de controlo em qualquer Estado-Membro e dispor do direito de ação judicial efetiva, em conformidade com o artigo 47.o da Carta, se considerar que os direitos que lhe confere o presente regulamento foram violados, se a autoridade de controlo não responder à queixa ou não agir conforme necessário para proteger os seus direitos. [Alt. 75]

(112) Qualquer organismo, organização ou associação que vise proteger os direitos e interesses dos titulares de dados no que respeita à proteção dos seus dados , age no interesse público e que seja constituído ao abrigo do direito de um Estado-Membro, deve poder apresentar uma queixa junto de uma autoridade de controlo ,em nome dos interessados e com o consentimento destes, ou exercer o direito de ação judicial em nome das pessoas em causa, se foi autorizado pelos titulares de dados , ou apresentar, independentemente da queixa apresentada pela pessoa em causa, uma queixa em seu próprio nome, sempre que considere ter ocorrido uma violação de dados pessoais do presente regulamento. [Alt. 76]

(113) Qualquer pessoa, singular ou coletiva, deve ter o direito a ação judicial contra as decisões que lhes digam respeito emitidas por uma autoridade de controlo. As ações contra uma autoridade de controlo devem ser intentadas nos tribunais do Estado-Membro no território do qual se encontra estabelecida a autoridade de controlo.

(114) A fim de reforçar a proteção judicial do titular dos dados em situações em que a autoridade de controlo competente se encontra estabelecida noutro Estado-Membro diferente do de residência da pessoa em causa, esta última pode solicitar mandatar a qualquer organismo, organização ou associação que vise proteger os direitos e interesses dos titulares de dados relativamente à proteção dos seus dados, que age no interesse público a que intente uma ação por sua conta contra essa autoridade de controlo no tribunal competente do outro Estado-Membro. [Alt. 77]

(115) Quando a autoridade de controlo competente estabelecida noutro Estado-Membro não adotar as medidas necessárias ou o fizer de forma insuficiente em relação a uma queixa, o titular dos dados pode solicitar à autoridade de controlo do Estado-Membro da sua residência habitual que intente uma ação contra a autoridade de controlo em falta no tribunal competente do outro Estado-Membro. Isto não se aplica aos residentes em países terceiros. A autoridade de controlo requerida pode decidir, sem prejuízo de ação judicial, se é ou não adequado responder a esse pedido. [Alt. 78]

(116) No que diz respeito a ações intentadas contra o responsável pelo tratamento ou o subcontratante, o requerente pode optar entre intentar a ação nos tribunais do Estado-Membro em que está estabelecido o responsável pelo tratamento ou o subcontratante, ou , em caso de residência no território da UE, nos tribunais do Estado-Membro de residência da pessoa em causa, salvo se o responsável pelo tratamento for uma autoridade da União Europeia ou de um Estado-Membro atuando no exercício dos seus poderes públicos. [Alt. 79]

(117) Se existirem indicações de que correm processos paralelos em tribunais de diferentes Estados-Membros, esses tribunais têm a obrigação de se contactarem mutuamente. Os tribunais têm a possibilidade de suspender um processo quando um processo paralelo estiver pendente noutro Estado-Membro. Os Estados-Membros devem assegurar que as ações judiciais, para que sejam eficazes, permitam a adoção rápida de medidas visando a reparação ou a prevenção de uma violação prevista no presente regulamento.

(118) Qualquer dano , pecuniário ou não, de que uma pessoa possa ser vítima em virtude de um tratamento ilícito deve ser ressarcido pelo responsável pelo tratamento, ou pelo subcontratante, que no entanto pode ser exonerado da sua responsabilidade apenas se provar que o facto que causou o causador do dano não lhe é imputável, nomeadamente se provar que o dano é imputável à pessoa em causa ou em caso de força maior. [Alt. 80]

(119) Devem ser aplicadas sanções a qualquer pessoa, de direito privado ou de direito público, que não respeite o disposto no presente regulamento. Os Estados-Membros devem assegurar que as sanções sejam efetivas, proporcionadas e dissuasivas, e adotar todas as medidas necessárias à sua aplicação. As regras em matéria de sanções devem estar sujeitas a salvaguardas processuais adequadas, em conformidade com os princípios gerais da legislação da União e da Carta, incluindo as relativas ao direito a um efectivo recurso judicial, a um processo adequado e ao princípio ne bis in idem. [Alt. 81]

(119-A) Ao aplicarem as sanções, os Estados-Membros devem respeitar plenamente as garantias processuais adequadas, incluindo o direito a uma ação judicial eficaz, o direito a um processo justo e o princípio «ne bis in idem». [Alt. 82]

(120) A fim de reforçar e harmonizar as sanções administrativas aplicáveis em caso de infração ao presente regulamento, cada autoridade de controlo deve ter competência para sancionar as infrações administrativas. O presente regulamento deve definir essas infrações e o montante máximo das multas administrativas daí decorrentes, que deve ser fixado, para cada caso, proporcionalmente à situação específica, e tendo em devida conta, em particular, a natureza, a gravidade e a duração da violação. O mecanismo de controlo da coerência pode ser utilizado para resolver as divergências de aplicação das sanções administrativas.

(121) O tratamento de dados pessoais para fins unicamente jornalísticos ou de expressão artística ou literária deve beneficiar de uma derrogação Sempre que necessário, devem ser previstas isenções ou derrogações a determinadas disposições do presente regulamento para o tratamento de dados pessoais , desde que tal seja necessário para conciliar o direito à proteção dos dados pessoais com o direito à liberdade de expressão, nomeadamente o direito à liberdade de receber e transmitir informações, tal como garantido, em especial, pelo artigo 11.o da Carta. Tal é aplicável, em especial, ao tratamento de dados pessoais no domínio do audiovisual e em arquivos de notícias e bibliotecas de imprensa escrita. Por conseguinte, os Estados-Membros devem adotar medidas legislativas que prevejam as isenções e derrogações necessárias para efeitos de equilíbrio destes direitos fundamentais. Tais isenções e derrogações devem ser adotadas pelos Estados-Membros em relação aos princípios gerais, aos direitos do titular de dados, ao responsável pelo tratamento e ao subcontratante, à transferência de dados para países terceiros ou para organizações internacionais, às autoridades de controlo independentes e à cooperação e à coerência e a situações específicas de tratamento de dados . Tal não deve levar, no entanto, os Estados-Membros a prever isenções às outras disposições do presente regulamento. Para ter em conta a importância do direito à liberdade de expressão em qualquer sociedade democrática, há que interpretar de forma ampla as noções associadas a esta liberdade, como por exemplo o jornalismo. Por conseguinte, para efeitos das isenções e derrogações a estabelecer por força do presente regulamento, os Estados-Membros deveriam qualificar como «jornalísticas» , a fim de cobrir todas as atividades que tenham por objeto comunicar ao público informações, opiniões ou ideias, qualquer que seja o suporte utilizado para as transmitir, tendo em conta também o desenvolvimento tecnológico . É conveniente não limitar essa categoria unicamente às atividades das empresas de comunicação social e incluir tanto as empresas que prosseguem fins lucrativos como as que os não prosseguem. [Alt. 83]

(122) O tratamento de dados pessoais relativos à saúde, enquanto categoria especial de dados que merece uma proteção mais elevada, pode ser frequentemente justificado por diversos motivos legítimos, no interesse das pessoas e da sociedade como um todo, nomeadamente quando se trata de assegurar a continuidade dos cuidados de saúde além-fronteiras. Por conseguinte, o presente regulamento deve prever condições harmonizadas para o tratamento de dados pessoais relativos à saúde, sujeito a garantias específicas e adequadas com vista à proteção dos direitos fundamentais e dos dados pessoais das pessoas singulares. Aqui se inclui o seu direito de acederem aos dados pessoais sobre a sua saúde, por exemplo os dados dos registos médicos com informações como diagnósticos, resultados de exames, avaliações dos médicos e quaisquer intervenções ou tratamentos realizados.

(122-A) Um profissional que efetue o tratamento de dados pessoais relativos à saúde deve receber, se possível, dados anónimos ou sob pseudónimo, deixando o conhecimento da identidade apenas ao médico de clínica geral ou ao especialista que solicitou o tratamento dos dados . [Alt. 84]

(123) O tratamento de dados pessoais relativos à saúde pode ser necessário por razões de interesse público nos domínios da saúde pública, sem o consentimento do titular dos dados. Neste contexto, a noção de «saúde pública» é interpretada segundo a definição prevista no Regulamento (CE) n.o 1338/2008 do Parlamento Europeu e do Conselho (9) , de 16 de dezembro de 2008, relativo às estatísticas da União sobre saúde pública e saúde e segurança no trabalho, e designa todos os elementos relacionados com a saúde, a saber, o estado de saúde, incluindo a morbilidade e a incapacidade, as determinantes desse estado de saúde, as necessidades de cuidados de saúde, os recursos atribuídos aos cuidados de saúde, a prestação de cuidados de saúde e o acesso universal aos mesmos, assim como as despesas e o financiamento dos cuidados de saúde, e as causas de mortalidade. Esses tratamentos de dados pessoais sobre a saúde autorizados por motivos de interesse público não devem ter por resultado serem tratados para outros fins por terceiros, nomeadamente empregadores, companhias de seguros e entidades bancárias. [Alt. 85]

(123-A) O tratamento de dados pessoais relativos à saúde, enquanto categoria especial de dados, pode ser necessário para fins de investigação histórica, estatística ou científica. Por isso, o presente regulamento prevê uma isenção à disposição de consentimento nos casos de investigação que satisfazem um interesse público excecional. [Alt. 86]

(124) Os princípios gerais de proteção das pessoas singulares no que respeita ao tratamento de dados pessoais também devem ser aplicáveis no domínio do emprego. Por conseguinte, a fim de e da segurança social . Os Estados-Membros devem poder regulamentar o tratamento de dados pessoais dos trabalhadores neste no contexto, os Estados-Membros devem poder adotar, nos limites do emprego e o tratamento de dados pessoais no contexto da segurança social, de acordo com as normas e os padrões mínimos definidos no âmbito do presente regulamento . Na medida em que exista, no Estado-Membro em causa, uma base legal que permita regulamentar os aspetos que relevam das relações laborais através de um acordo entre os representantes dos trabalhadores e a direção da empresa ou da empresa dominante de um grupo de empresas (acordo coletivo) ou nos termos da Diretiva 2009/38/CE do Parlamento Europeu e do Conselho (10) , disposições legislativas específicas relativas ao o tratamento de dados pessoais no setor num contexto laboral deve também poder ser regulamentado através de um acordo dessa natureza . [Alt. 87]

(125) O tratamento de dados pessoais para fins de investigação histórica, estatística ou científica deve, para que seja lícito, igualmente respeitar outras legislações relevantes, tal como a relativa aos testes clínicos.

(125-A) Os dados pessoais podem igualmente ser submetidos a tratamento posterior por