Source: https://protecao-dados.pt/a-lei-de-execucao-do-rgpd-em-portugal/?utm_source=rss&utm_medium=rss&utm_campaign=a-lei-de-execucao-do-rgpd-em-portugal
Timestamp: 2019-09-16 20:18:43+00:00

Document:
A lei de execução do RGPD em Portugal - O que foi aprovado
A lei de execução do RGPD em Portugal !
Passou-se um ano sobre o início da aplicação do RGPD e chegou finalmente a tão discutida lei de execução. Esta lei vem ajudar a clarificar questões e vem também tentar regulamentar quem faz o quê e como. Pela nossa parte, é a primeira publicação que fazemos em 2019, não porque não exista uma vasta temática, mas essencialmente porque temos assistido a várias ‘guerras’ de palavras entre diferentes setores, e cada um fazendo a sua interpretação do regulamento e defendendo os seus interesses. Como consequência disto, para além da grande maioria das empresas não estar preparada ou pensar que está erradamente, também temos assistido à implementação de asneiras atrás de asneiras e a uma diabolização de consultores de RGPD. Por outro lado, quando se esperaria que os responsáveis políticos tivessem uma atitude responsável e educativa para com o tecido empresarial português , temos assistido continuamente a demonstrações públicas de ignorância nesta matéria que em nada dignificam o nome de Portugal além-fronteiras. Parafraseando João Miguel Tavares; “Aquilo que se pede aos políticos (…) é que nos deem alguma coisa em que acreditar”.
Dito isto, iremos aproveitar este marco referente à nova lei de execução do RGPD para retomar a publicação de artigos com conteúdos que sejam informativos e educativos para todos os que acedem ao nosso sítio web. E finalmente, segue-se a transcrição dos artigos da nova lei no que diz respeito especificamente ao RGPD . Para uma consulta mais completa que inclua por exemplo a organização da CNPD, sugere-se a leitura dos documentos originais.
A presente lei assegura a execução, na ordem jurídica interna, do Regulamento (UE) 2016/679, do Parlamento Europeu e do Conselho de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, doravante designado abreviadamente por RGPD.
1 – A presente lei aplica-se aos tratamentos de dados pessoais realizados no território nacional, independentemente da natureza pública ou privada do responsável pelo tratamento ou do subcontratante, mesmo que o tratamento de dados pessoais seja efetuado em cumprimento de obrigações legais ou no âmbito da prossecução de missões de interesse público, aplicando-se todas as exclusões previstas no artigo 2.º do RGPD.
2 – A presente lei aplica-se ainda aos tratamentos de dados pessoais realizados fora do território nacional quando:
3 – A presente lei não se aplica aos ficheiros de dados pessoais constituídos e mantidos sob a responsabilidade do Sistema de Informações da República Portuguesa, que se rege por disposições específicas, nos termos da lei.
1 – A CNPD é uma entidade administrativa independente, com personalidade jurídica de direito público e poderes de autoridade, dotada de autonomia administrativa e financeira, que funciona junto da Assembleia da República.
2 – A CNPD controla e fiscaliza o cumprimento do RGPD e da presente lei, bem como das demais disposições legais e regulamentares em matéria de proteção de dados pessoais, a fim de defender os direitos, liberdades e garantias das pessoas singulares no âmbito dos tratamentos de dados pessoais.
3 – A CNPD age com independência na prossecução das suas atribuições e no exercício dos poderes que lhe são atribuídos pela presente lei.
4 – Os membros da CNPD ficam sujeitos ao regime de incompatibilidades estabelecido para os titulares de altos cargos públicos, não podendo, durante o seu mandato, desempenhar outra atividade, remunerada ou não, com exceção da atividade de docência no ensino superior e de investigação.
1 – Para além do disposto no artigo 57.º do RGPD, a CNPD prossegue as seguintes atribuições:
e) Cooperar com o Instituto Português de Acreditação, I.P. (IPAC, I.P.), relativamente à aplicação do disposto no artigo 14.º da presente lei, bem como na definição de requisitos adicionais de acreditação, tendo em vista a salvaguarda da coerência de aplicação do RGPD;
2 – A CNPD exerce as competências previstas no artigo 58.º do RGPD.
1 – Nos termos do n.º 5 do artigo 35.º do RGPD, a CNPD difunde uma lista de tipos de tratamentos de dados cuja avaliação prévia de impacto não é obrigatória.
2 – O disposto no número anterior não impede os responsáveis pelo tratamento de efetuar uma avaliação prévia de impacto por iniciativa própria.
3 – As listas referidas nos n.os 4 e 5 do artigo 35.º do RGPD são publicitadas no sítio da CNPD na Internet.
1 – As entidades públicas e privadas devem prestar a sua colaboração à CNPD, facultando-lhe todas as informações que por esta, no exercício das suas atribuições e competências, lhes sejam solicitadas.
2 – O dever de colaboração é assegurado, designadamente, quando a CNPD tiver necessidade, para o cabal exercício das suas funções, de examinar o sistema informático e os ficheiros de dados pessoais, bem como toda a documentação relativa ao tratamento e transmissão de dados pessoais.
3 – Os membros da CNPD, bem como os seus trabalhadores, prestadores de serviços ou pessoas por si mandatadas, estão obrigados ao dever de sigilo profissional, nomeadamente quanto aos dados pessoais, segredo profissional, segredo industrial ou comercial ou informações confidenciais a que tenham acesso no exercício das suas funções.
4 – O dever de sigilo mantém-se após o termo das respetivas funções.
5 – O dever de colaboração previsto nos números anteriores, bem como os poderes de fiscalização da CNPD, não prejudicam o dever de segredo a que o responsável pelo tratamento esteja obrigado nos termos da lei ou de normas internacionais.
1- O encarregado de proteção de dados é designado com base nos requisitos previstos no n.º 5 do artigo 37.º do RGPD, não carecendo de certificação profissional para o efeito.
2- Independentemente da natureza da sua relação jurídica, o encarregado de proteção de dados exerce a sua função com autonomia técnica perante a entidade responsável pelo tratamento ou subcontratante.
1- De acordo com o disposto no n.º 5 do artigo 38.º do RGPD, o encarregado de proteção de dados está obrigado a um dever de sigilo profissional em tudo o que diga respeito ao exercício dessas funções, que se mantém após o termo das funções que lhes deram origem.
2 – O encarregado de proteção de dados, bem como os responsáveis pelo tratamento de dados, incluindo os subcontratantes, e todas as pessoas que intervenham em qualquer operação de tratamento de dados, estão obrigadas a um dever de confidencialidade que acresce aos deveres de sigilo profissional previsto na lei.
b) Sensibilizar os utilizadores para importância da deteção atempada de incidentes de segurança e para a necessidade de informar imediatamente o responsável pela segurança;
1 – Nos termos da alínea a) do n.º 1 do artigo 37.º do RGPD, é obrigatória a designação de encarregados de proteção de dados nas entidades públicas, de acordo com o disposto nos números seguintes.
2 – Para efeitos do número anterior, entende-se por entidades públicas:
3 – Independentemente de quem seja responsável pelo tratamento, existe pelo menos um encarregado de proteção de dados:
4 – Nos termos do n.º 3 do artigo 37.º do RGPD, pode ser designado o mesmo encarregado de proteção de dados para vários ministérios ou áreas governativas, secretarias regionais, autarquias locais ou outras pessoas coletivas públicas.
5 – Cabe a cada entidade a designação do encarregado de proteção de dados, não sendo obrigatório o exercício de funções em regime de exclusividade.
6 – O encarregado de proteção de dados de uma entidade pública que tenha atribuições de regulação ou controlo não pode exercer essas funções simultaneamente em entidade sujeita ao controlo, ou inserida no perímetro regulatório daquela entidade.
a) Operações de tratamento que, devido à sua natureza, âmbito e/ou finalidade, exijam um controlo regular e sistemático dos titulares dos dados em grande escala; ou
b) Operações de tratamento em grande escala das categoriais especiais de dados nos termos do artigo 9.º do RGPD, ou de dados pessoais relacionados com condenações penais e contraordenacionais nos termos do artigo 10.º do RGPD.
1 – Nos termos da alínea b) do n.º 1 do artigo 43.º do RGPD, a autoridade competente para a acreditação dos organismos de certificação em matéria de proteção de dados é o IPAC, I.P.
2 – O ato de acreditação emitido pelo IPAC, I.P., deve tomar em consideração os requisitos previstos no RGPD, bem como os requisitos adicionais estabelecidos pela CNPD.
3 – A certificação, bem como a emissão de selos e marcas de proteção de dados, é efetuada por organismos de certificação acreditados nos termos do n.º 1, destinando-se a atestar que os procedimentos implementados cumprem o disposto no RGPD e na presente lei.
1 – Compete à CNPD fomentar a elaboração de códigos de conduta que regulem atividades determinadas, os quais devem tomar em atenção as necessidades específicas das micro, pequenas e médias empresas.
2 – O tratamento de dados pessoais pela administração direta e indireta do Estado é objeto de códigos de conduta próprios.
1 – Nos termos do artigo 8.º do RGPD, os dados pessoais de crianças só podem ser objeto de tratamento com base no consentimento previsto na alínea a) do n.º 1 do artigo 6.º do RGPD e relativo à oferta direta de serviços da sociedade de informação quando as mesmas já tenham completado treze anos de idade.
2 – Caso a criança tenha idade inferior a treze anos, o tratamento só é lícito se o consentimento for dado pelos representantes legais desta, de preferência com recurso a meios de autenticação segura.
1 – Os dados pessoais de pessoas falecidas são protegidos nos termos do RGPD e da presente lei quando se integrem nas categorias especiais de dados pessoais a que se refere o n.º 1 do artigo 9.º do RGPD, ou quando se reportem à intimidade da vida privada, à imagem ou aos dados relativos às comunicações, ressalvados os casos previstos no n.º 2 do mesmo artigo.
2 – Os direitos previstos no RGPD relativos a dados pessoais de pessoas falecidas, abrangidos pelo número anterior, nomeadamente os direitos de acesso, retificação e apagamento, são exercidos por quem a pessoa falecida haja designado para o efeito ou, na sua falta, pelos respetivos herdeiros.
3 – Os titulares dos dados podem igualmente, nos termos legais aplicáveis, deixar determinada a impossibilidade de exercício dos direitos referidos no número anterior após a sua morte.
1 – O direito de portabilidade dos dados previsto no artigo 20.º do RGPD abrange apenas os dados fornecidos pelos respetivos titulares.
2 – A portabilidade dos dados deve, sempre que possível, ter lugar em formato aberto.
3 – No âmbito da Administração Pública, sempre que a interoperabilidade dos dados não seja tecnicamente possível, o titular dos dados tem o direito de exigir que os mesmos lhe sejam entregues num formato digital aberto, de acordo com o Regulamento Nacional de Interoperabilidade Digital em vigor.
1 – Sem prejuízo das disposições legais específicas que imponham a sua utilização, nomeadamente por razões de segurança pública, os sistemas de videovigilância cuja finalidade seja a proteção de pessoas e bens asseguram os requisitos previstos no artigo 31.º da Lei n.º 34/2013, de 16 de maio, com os limites definidos no número seguinte.
2 – As câmaras não podem incidir sobre:
3- Nos estabelecimentos de ensino, as câmaras de videovigilância só podem incidir sobre os perímetros externos e locais de acesso, e ainda sobre espaços cujos bens e equipamentos requeiram especial proteção, como laboratórios ou salas de informática.
4- Nos casos em que é admitida a videovigilância, é proibida a captação de som, exceto no período em que as instalações vigiadas estejam encerradas ou mediante autorização prévia da CNPD.
1 – Os direitos de informação e de acesso a dados pessoais previstos nos artigos 13.º a 15.º do RGPD não podem ser exercidos quando a lei imponha ao responsável pelo tratamento ou ao subcontratante um dever de segredo que seja oponível ao próprio titular dos dados.
2 – O titular dos dados pode solicitar à CNPD a emissão de parecer quanto à oponibilidade do dever de segredo, sem prejuízo do disposto no Capítulo VII.
1 – O prazo de conservação de dados pessoais é o que estiver fixado por norma legal ou regulamentar ou, na falta desta, o que se revele necessário para a prossecução da finalidade<
2 – Quando, pela natureza e finalidade do tratamento, designadamente para fins de arquivo de interesse público, fins de investigação científica ou histórica ou fins estatísticos,não seja possível determinar antecipadamente o momento em que o mesmo deixa de ser necessário, é lícita a conservação dos dados pessoais, desde que sejam adotadas medidas técnicas e organizativas adequadas a garantir os direitos do titular dos dados, designadamente a informação da sua conservação.
3 – Quando os dados pessoais sejam necessários para o responsável pelo tratamento, ou o subcontratante, comprovar o cumprimento de obrigações contratuais ou de outra natureza, os mesmos podem ser conservados enquanto não decorrer o prazo de prescrição dos direitos correspetivos.
4 – Quando cesse a finalidade que motivou o tratamento, inicial ou posterior, de dados pessoais, o responsável pelo tratamento deve proceder à sua destruição ou anonimização.
5 – Nos casos em que existe um prazo de conservação de dados imposto por lei, só pode ser exercido o direito ao apagamento previsto no artigo 17.º do RGPD findo esse prazo.
6 – Os dados relativos a declarações contributivas para efeitos de aposentação ou reforma podem ser conservados sem limite de prazo, a fim de auxiliar o titular na reconstituição das carreiras contributivas, desde que sejam adotadas medidas técnicas e organizativas adequadas a garantir os direitos do titular dos dados.
1 – O tratamento de dados pessoais por entidades públicas para finalidades diferentes das determinadas pela recolha tem natureza excecional e deve ser devidamente fundamentado com vista a assegurar a prossecução do interesse público que de outra forma não possa ser acautelado, nos termos da alínea e) do n.º 1, do n.º 4 do artigo 6.º e da alínea g) do n.º2 do artigo 9.º do RGPD.
2 – A transmissão de dados pessoais entre entidades públicas para finalidades diferentes das determinadas pela recolha tem natureza excecional e deve ser devidamente fundamentado nos termos referidos no número anterior e deve ser objeto de protocolo, que estabeleça as responsabilidades de cada entidade interveniente, quer no ato de transmissão, quer em outros tratamentos a efetuar.
1 – A proteção de dados pessoais, nos termos do RGPD e da presente lei, não prejudica o exercício da liberdade de expressão, informação e imprensa, incluindo o tratamento de dados para fins jornalísticos e para fins de expressão académica, artística ou literária.
2 – O exercício da liberdade de informação, especialmente quando revele dados pessoais previstos no n.º 1 do artigo 9.º do RGPD e no artigo 17.º da presente lei, deve respeitar o princípio da dignidade da pessoa humana previsto na Constituição da RepúblicaPortuguesa, bem como os direitos de personalidade nela e na legislação nacional consagrados.
3 – O tratamento para fins jornalísticos deve respeitar a legislação nacional sobre acesso e exercício da profissão.
4 – O exercício da liberdade de expressão não legitima a divulgação de dados pessoais como moradas e contactos, à exceção daqueles que sejam de conhecimento generalizado.
1 – A publicação de dados pessoais em jornais oficiais deve obedecer ao artigo 5.º do RGPD, nomeadamente aos princípios da finalidade e da minimização.
2 – Sempre que o dado pessoal nome seja suficiente para garantir a identificação do titular e a eficácia do tratamento, não devem ser publicados outros dados pessoais.
3 – Os dados pessoais publicados em jornal oficial não podem, em circunstância alguma, ser alterados, rasurados ou ocultados.
4 – O direito ao apagamento quanto a dados pessoais publicados em jornal oficial tem natureza excecional e só se pode concretizar nas condições previstas no artigo 17.º do RGPD, nos casos em que essa seja a única forma de acautelar o direito ao esquecimento e ponderados os demais interesses em presença.
5 – O disposto no número anterior realiza-se através da desindexação dos dados pessoais em motores de busca, sempre sem eliminação da publicação que faz fé pública.
6 – Em caso de publicação de dados pessoais em jornais oficiais, considera-se responsável pelo tratamento a entidade que manda proceder à publicação, ou, no caso dos gabinetes dos membros do Governo, as respetivas secretarias-gerais.
1 – O empregador pode tratar os dados pessoais dos seus trabalhadores para as finalidades e com os limites definidos no Código do Trabalho e respetiva legislação complementar ou noutros regimes setoriais, com as especificidades estabelecidas no presente artigo.
2 – O número anterior abrange igualmente o tratamento efetuado por subcontratante ou contabilista certificado em nome do empregador, para fins de gestão das relações laborais, desde que realizado ao abrigo de um contrato de prestação de serviços e sujeito a iguais garantias de sigilo.
3 – Salvo norma legal em contrário, o consentimento do trabalhador não constitui requisito de legitimidade do tratamento dos seus dados pessoais:
4 – As imagens gravadas e outros dados pessoais registados através da utilização de sistemas de vídeo ou outros meios tecnológicos de vigilância à distância, nos termos previstos no artigo 20.º do Código do Trabalho, só podem ser utilizadas no âmbito doprocesso penal.
5 – Nos casos previstos no número anterior, as imagens gravadas e outros dados pessoais podem também ser utilizados para efeitos de apuramento de responsabilidade disciplinar, na medida em que o sejam no âmbito do processo penal.
6 – O tratamento de dados biométricos dos trabalhadores só é considerado legítimo para controlo de assiduidade e para controlo de acessos às instalações do empregador, devendo assegurar-se que apenas se utilizem representações dos dados biométricos e que o respetivo processo de recolha não permita a reversibilidade dos referidos dados.
1 – Nos tratamentos de dados de saúde e de dados genéticos, o acesso a dados pessoais rege-se pelo princípio da necessidade de conhecer a informação.
2 – Nos casos previstos nas alíneas h) e i) do n.º 2 do artigo 9.º do RGPD, o tratamento dos dados previstos no n.º 1 do mesmo artigo deve ser efetuado por um profissional obrigado a sigilo, ou por outra pessoa sujeita a dever de confidencialidade, devendo ser garantidas medidas adequadas de segurança da informação.
3 – O acesso aos dados a que alude o número anterior é feito exclusivamente de forma eletrónica, salvo impossibilidade técnica ou expressa indicação em contrário do titular dos dados, sendo vedada a sua divulgação ou transmissão posterior.
4 – Os titulares de órgãos, trabalhadores e prestadores de serviços do responsável pelo tratamento de dados de saúde e de dados genéticos, o encarregado de proteção de dados, os estudantes e investigadores na área da saúde e da genética e todos os profissionais de saúde que tenham acesso a dados relativos à saúde estão obrigados a um dever de sigilo.
5 – O dever de sigilo referido no número anterior é também aplicável a todos os titulares de órgãos e trabalhadores que, no contexto do acompanhamento, financiamento ou fiscalização da atividade de prestação de cuidados de saúde, tenham acesso a dados relativos à saúde.
6 – O titular dos dados deve ser notificado de qualquer acesso realizado aos seus dados pessoais, cabendo ao responsável pelo tratamento assegurar a disponibilização desse mecanismo de rastreabilidade e notificação.
7 – As medidas e os requisitos técnicos mínimos de segurança inerentes ao tratamento de dados a que alude o n.º 1 são aprovados por portaria dos membros do Governo responsáveis pelas áreas da saúde e da justiça, que deve regulamentar, nomeadamente, as seguintes matérias:
1 – Os dados relativos à saúde podem ser organizados em bases de dados ou registos centralizados assentes em plataformas únicas, quando tratados para efeitos das finalidades legalmente previstas no RGPD e na legislação nacional.
2 – As bases de dados de saúde ou registos centralizados assentes nas plataformas únicas referidas no número anterior devem preencher os requisitos de segurança e de inviolabilidade previstos no RGPD.
Tratamentos para fins de arquivo de interesse público, fins de investigação
científica ou histórica ou fins estatísticos
1 – O tratamento para fins de arquivo de interesse público, fins de investigação científica ou histórica ou fins estatísticos deve respeitar o princípio da minimização dos dados e incluir a anonimização ou a pseudonimização dos mesmos sempre que os fins visados possam ser atingidos por uma destas vias.
2 – Quando os dados pessoais sejam tratados para fins de arquivo de interesse público, fins de investigação científica ou histórica ou fins estatísticos, ficam prejudicados os direitos de acesso, retificação, limitação do tratamento e de oposição previstos nos artigos 15.º, 16.º, 18.º e 21.º do RGPD, na medida do necessário, se esses direitos forem suscetíveis de tornar impossível ou prejudicar gravemente a realização desses fins.
3 – Ao tratamento de dados pessoais para fins de arquivo de interesse público é aplicável o Decreto-Lei n.º 16/93, de 23 de janeiro, na sua redação atual.
4 – O consentimento relativo ao tratamento de dados para fins de investigação científica pode abranger diversas áreas de investigação ou ser dado unicamente para determinados domínios ou projetos de investigação específicos, devendo em qualquer caso ser respeitados os padrões éticos reconhecidos pela comunidade científica.
5 – Sem prejuízo do disposto na Lei do Sistema Estatístico Nacional, os dados pessoais tratados para fins estatísticos devem ser anonimizados ou pseudonimizados, de modo a acautelar a tutela dos titulares dos dados, nomeadamente no que respeita à impossibilidade de reidentificação logo que concluída a operação estatística.
1 – Qualquer pessoa que tenha sofrido um dano devido ao tratamento ilícito de dados ou a qualquer outro ato que viole disposições do RGPD ou da lei nacional em matéria de proteção de dados pessoais, tem o direito de obter do responsável ou subcontratante a reparação pelo dano sofrido.
2 – O responsável pelo tratamento e o subcontratante não incorrem em responsabilidade civil se provarem que o facto que causou o dano lhes não é imputável.
3 – À responsabilidade do Estado e demais pessoas coletivas públicas é aplicável o regime previsto na Lei n.º 67/2007, de 31 de dezembro, na sua redação atual.
1 – Qualquer pessoa, de acordo com as regras gerais de legitimidade processual, pode propor ações contra as decisões, nomeadamente de natureza contraordenacional, e omissões da CNPD, bem como ações de responsabilidade civil pelos danos que tais atos ou omissões possam ter causado.
2 – As ações propostas contra a CNPD são da competência dos tribunais administrativos.
3 – O titular dos dados pode propor ações contra o responsável pelo tratamento ou o subcontratante, incluindo ações de responsabilidade civil.
4 – As ações intentadas contra o responsável pelo tratamento ou um subcontratante são propostas nos tribunais nacionais se o responsável ou subcontratante tiver estabelecimento em território nacional ou se o titular dos dados aqui residir habitualmente.
1 – Constituem contraordenações muito graves:
iii)Omissão de informação acerca do direito de retirar o consentimento nos casos previstos na alínea a) do n.º 1 do artigo 6.º e na alínea a) do n.º 2 do artigo 9.º do RGPD;
i) Não permitir, não assegurar ou dificultar o exercício dos direitos previstos nos artigos 15.º a 18.º e 19.º a 22.º do RGPD;
2 – As contraordenações referidas no número anterior são punidas com coima:
a) De € 5000 a € 20 000 000 ou 4% do volume de negócios anual, a nível mundial, conforme o que for mais elevado, tratando-se de grande empresa;
b) De € 2000 a € 2 000 000 ou 4% do volume de negócios anual, a nível mundial, conforme o que for mais elevado, tratando-se de PME;
c) De € 1000 a € 500 000, no caso de pessoas singulares.
1 – Constituem contraordenações graves:
2 – As contraordenações referidas no número anterior são punidas com coima de:
a) De € 2500 a € 10 000 000 ou 2% do volume de negócios anual, a nível mundial, conforme o que for mais elevado, tratando-se de grande empresa;
b) De € 1000 a € 1 000 000 ou 2% do volume de negócios anual, a nível mundial, conforme o que for mais elevado, tratando-se de PME;
c) De € 500 a € 250 000, no caso de pessoas singulares.
1 – Na determinação da medida da coima, a CNPD tem em conta, para além dos critérios estabelecidos no n.º 2 do artigo 83.º do RGPD:
2 – Para efeitos da aplicação do disposto nos artigos anteriores, os conceitos de PME e grande empresa são os definidos na Recomendação n.º 2003/361/CE, da Comissão Europeia, de 6 de maio de 2003.
3 – Exceto em caso de dolo, a instauração de processo de contraordenação depende de prévia advertência do agente, por parte da CNPD, para cumprimento da obrigação omitida ou reintegração da proibição violada em prazo razoável.
a) Três anos, no caso de coimas de montante superior a € 100 000;
b) Dois anos, no caso de coimas de montante igual ou inferior a € 100 000.
O montante das coimas cobradas reverte em 60% para o Estado e 40% para a CNPD.
1 – As coimas previstas no RGPD e na presente lei aplicam-se de igual modo às entidades públicas e privadas.
2 – Nos termos do disposto no n.º 7 do artigo 83.º do RGPD, as entidades públicas, mediante pedido devidamente fundamentado, podem solicitar à Comissão Nacional de Proteção de Dados a dispensa da aplicação de coimas durante o prazo de três anos a contar da entrada em vigor da presente lei.
3 – As entidades públicas estão sujeitas aos poderes de correção da CNPD, tal como previstos no RGPD e na presente lei, com exceção da aplicação de coimas nos termos definidos no número anterior.
1 – Quem utilizar dados pessoais de forma incompatível com a finalidade determinante da recolha é punido com pena de prisão até um ano ou com pena de multa até 120 dias.
2 – A pena é agravada para o dobro nos seus limites quando se tratar dos dados pessoais a que se referem os artigos 9.º e 10.º do RGPD.
1 – Quem, sem a devida autorização ou justificação, aceder, por qualquer modo, a dados pessoais é punido com pena de prisão até um ano ou com pena de multa até 120 dias.
3 – A pena é também agravada para o dobro nos seus limites quando o acesso:
1 – Quem copiar, subtrair, ceder ou transferir, a título oneroso ou gratuito, dados pessoais sem previsão legal ou consentimento, independentemente da finalidade prosseguida, é punido com pena de prisão até um ano ou com pena de multa até 120 dias.
1 – Quem, sem a devida autorização ou justificação, apagar, destruir, danificar, ocultar, suprimir ou modificar dados pessoais, tornando-os inutilizáveis ou afetando o seu potencial de utilização, é punido com pena de prisão até dois anos ou com pena de multa até 240 dias.
2 – A pena é agravada para o dobro nos seus limites se o dano produzido for particularmente grave.
3 – Nas situações previstas nos números anteriores, se o agente atuar com negligência é punido com pena de prisão:
a) Até um ano ou multa até 120 dias, no caso previsto no n.º 1;
b) Até dois anos ou multa até 240 dias, no caso previsto no n.º 2.
1 – Quem inserir ou facilitar a inserção de dados pessoais falsos, com a intenção de obter vantagem indevida para si ou para terceiro, ou para causar prejuízo, é punido com pena de prisão até dois anos ou com pena de multa até 240 dias.
2 – A pena é agravada para o dobro nos seus limites se da inserção referida no número anterior resultar um prejuízo efetivo.
1 – Quem, obrigado a sigilo profissional nos termos da lei, sem justa causa e sem o devido consentimento, revelar ou divulgar no todo ou em parte dados pessoais é punido com pena de prisão até um ano ou com pena de multa até 120 dias.
2 – A pena é agravada para o dobro nos seus limites se o agente:
3 – A negligência é punível com pena de prisão até seis meses ou com pena de multa até 60 dias.
1 – Quem não cumprir as obrigações previstas no RGPD e na presente lei, depois de ultrapassado o prazo que tiver sido fixado pela CNPD para o respetivo cumprimento, é punido com pena de prisão até um ano ou com pena de multa até 120 dias.
2 – A pena é agravada para o dobro nos seus limites se, depois de notificado para o efeito, o agente:
1 – Se o mesmo facto constituir simultaneamente crime e contraordenação, o agente é sempre punido a título de crime.
2 – Quando se verifique concurso de crime e contraordenação, ou quando, pelo mesmo facto, uma pessoa deva responder a título de crime e outra a título de contraordenação, o processamento da contraordenação cabe às autoridades competentes para o processo criminal, nos termos do regime geral do ilícito de mera ordenação social.
1 – Conjuntamente com as sanções aplicadas pode, acessoriamente, ser ordenada a proibição temporária ou definitiva do tratamento, o bloqueio, o apagamento ou a destruição total ou parcial dos dados.
2 – Tratando-se de crimes, ou de coimas de montante superior a € 100 000, pode acessoriamente ser determinada a publicidade da condenação, por meio de extrato contendo a identificação do agente, os elementos da infração e as sanções aplicadas, no Portal do Cidadão, por período não inferior a 90 dias.
1 – Os tratamentos de dados pessoais objeto de registo público nos termos do artigo 31.º da Lei n.º 67/98, de 26 de outubro, permanecem conservados sob a responsabilidade da CNPD e disponíveis para consulta gratuita por qualquer pessoa.
2 – As notificações e pedidos de autorização já decididos pela CNPD no momento da entrada em vigor da presente lei, mas ainda não publicados, devem sê-lo nos termos da legislação prevista no número anterior.
3 – Os pedidos de registo e de autorização pendentes na CNPD na data da entrada em vigor da presente lei caducam com a sua entrada em vigor.
4 – Os responsáveis pelos tratamentos de dados pessoais realizados com base em autorizações emitidas nos termos da Lei n.º 67/98, de 26 de outubro, bem como os subcontratantes, estão vinculados a cumprir as obrigações impostas pelo RGPD, com exceção da avaliação de impacto sobre a proteção de dados a que se refere o artigo 35.º desse regulamento.
1 – Quando o tratamento dos dados pessoais em curso à data da entrada em vigor da presente lei se basear no consentimento do respetivo titular, não é necessário obter novo consentimento se o anterior tiver observado as exigências constantes do RGPD.
2 – Caso a caducidade do consentimento seja motivo de cessação de contrato em que o titular de dados seja parte, o tratamento de dados é lícito até que esta ocorra.
1 – As normas relativas à proteção de dados pessoais previstas em legislação especial mantêm-se em vigor, em tudo o que não contrarie o disposto no RGPD e na presente lei, sem prejuízo do disposto no número seguinte.
2 – Todas as normas que prevejam autorizações ou notificações de tratamento de dados pessoais à CNPD, fora dos casos previstos no RGPD e na presente lei, deixam de vigorar à data de entrada em vigor do RGPD.
Alteração da Lei n.º 43/2004, de 18 de agosto
1- A CNPD é uma entidade administrativa independente, com personalidade jurídica de direito público e poderes de autoridade, dotada de autonomia administrativa e financeira, que funciona junto da Assembleia da República.
2 – A CNPD é a autoridade de controlo nacional para efeitos do Regulamento Geral de Proteção de Dados (RGPD), aprovado pelo Regulamento (UE) 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de 2016, e da lei que assegura a sua execução na ordem jurídica interna.
3 – A CNPD controla e fiscaliza o cumprimento do RGPD e da presente lei, bem como das demais disposições legais e regulamentares em matéria de proteção de dados pessoais, a fim de defender os direitos, liberdades e garantias das pessoas singulares no âmbito dos tratamentos de dados pessoais.
4 – A CNPD age com independência na prossecução das suas atribuições e no exercício dos poderes que lhe são atribuídos pela presente lei.
Compete à Unidade de Inspeção realizar inspeções e auditorias no âmbito dos processos em curso, com mandato do presidente do conselho regulador, em especial:
a) Fiscalizar a conformidade dos tratamentos de dados pessoais, podendo para tal aceder às instalações do responsável e do subcontratante, aos equipamentos, aos meios de tratamento de dados, bem como a toda a documentação que se revele necessária;
b) Investigar, no âmbito da assistência mútua e das operações conjuntasprevistas nos artigos 61.º e 62.º do Regulamento (UE) 2016/679, os tratamentos de dados pessoais, nas condições previstas na alínea anterior;
Alteração da Lei n.º 26/2016, de 22 de agosto
A “Proteção de Dados” tem estado a desenvolver um profundo conhecimento desta matéria e presta serviços de consultoria e implementação do RGPD à medida de cada empresa.

References: artigo 2
 artigo 57
 artigo 14
 artigo 58
 artigo 35
 artigo 35
 artigo 37
 artigo 38
 artigo 37
 artigo 37
 artigo 9
 artigo 10
 artigo 43
 artigo 8
 artigo 6
 artigo 9
 artigo 20
 artigo 31
 artigo 17
 artigo 6
 artigo 9
 artigo 9
 artigo 17
 artigo 5
 artigo 17
 artigo 20
 artigo 9
 artigo 6
 artigo 9
 artigo 83
 artigo 83
 artigo 31
 artigo 35