Source: http://direitodainformatica.com/LPDPFI.html
Timestamp: 2019-02-16 03:24:40+00:00

Document:
Lei de Protecção de Dados Pessoais Face à informática
Lei da Protecção de Dados Pessoais Face à Informática
Lei n.º 10/91, de 29 de Abril
A Assembleia da República decreta, nos termos dos artigos 164º, alínea d), 168º, nº1, alíneas b), c) e d), e 169º, nº3, da Constituição, o seguinte:
Art. 1º Princípio geral
O uso da informática deve processar-se de forma transparente e no estrito respeito pela reserva da vida privada e familiar e pelos direitos, liberdades e garantias fundamentais do cidadão.
Art. 2º Definições
Para os fins da presente lei entende-se por:
a) «Dados pessoais» - quaisquer informações relativas a pessoa singular identificada ou indentificável, considerando-se identificável a pessoa cuja identificação não envolva custos ou prazos desproporcionados;
b) «Dados públicos» - os dados pessoais constantes de documento público oficial, exceptuados os elementos confidenciais, tais como a profissão e a morada, ou as incapacidades averbadas no assento de nascimento;
c) «Sistema informático» - o conjunto constituído por um ou mais computadores , equipamento periférico e suporte lógico que assegura o processamento de dados;
d) «Ficheiro automatizado» - o conjunto estruturado de informações objecto de tratamento automatizado, centralizado ou repartido por vários locais;
e) «Base de dados» - o conjunto de dados inter-relacionados, armazenados e estruturados com controlo de redundância, destinados a servir uma ou mais aplicações informáticas;
f) «Banco de dados» - o conjunto de dados relacionados ou relacionáveis com um determinado assunto;
g) «Tratamento automatizado» - as seguintes operações efectuadas, no todo ou em parte, com a ajuda de processos automatizados: registo de dados, aplicação de operações lógicas e ou aritméticas a esses dados, bem como a sua modificação, supressão e extracção ou difusão;
h) «Responsável pelos suportes informáticos» - a pessoa singular ou colectiva , a autoridade pública, o serviço ou qualquer organismo competentes para decidir da finalidade do ficheiro automatizado, bem como o responsável por base ou banco de dados, e pelas categorias de dados pessoais que devam ser registados e das operações que lhes sejam aplicáveis;
i) «Fluxos de dados transfronteiras» - a circulação de dados pessoais através de fronteiras nacionais.
Art. 3º Âmbito de aplicação
1-As disposições da presente lei aplicam-se obrigatoriamente:
a) À constituição e manutenção de ficheiros automatizados, de bases de dados e de bancos de dados pessoais;
b) Aos suportes informáticos relativos a pessoas colectivas e entidades equiparadas, sempre que contiverem dados pessoais;
2-Exceptuam-se da aplicação prevista no artigo anterior os ficheiros de dados pessoais que contenham exclusivamente informações destinadas:
a) A uso pessoal ou doméstico;
b) Ao processamento de remunerações de funcionários ou empregados, bem como a outros procedimentos administrativos atinentes à gestão dos serviços;
c) A facturação de fornecimentos efectuados ou de serviços prestados;
d) A cobrança de quotização de associados ou filiados.
3- A presente lei não se aplica igualmente aos ficheiros de dados pessoais constituídos e mantidos sob a responsabilidade do Sistema de Informação da República Portuguesa.
CAPÍTULO II - Da Comissão Nacional de Protecção de Dados Pessoais Informatizados
Art. 4º Criação e atribuições
1- É criada a Comissão Nacional de Protecção de Dados pessoais Informatizados (CNPDPI), com a atribuição genérica de controlar o processamento automatizado de dados pessoais, em rigoroso respeito pelos direitos do homem e pelas liberdades e garantias consagradas na Constituição e na lei.
2- A CNPDPI é uma entidade pública independente com poderes de autoridade, que funciona junto da Assembleia da República e dispõe de serviços próprios de apoio técnico e administrativo.
Art. 5º Composição
1- A CNPDPI é composta por sete membros de integridade e de mérito reconhecido, dos quais o presidente e dois dos vogais são eleitos pela Assembleia da República segundo o método da média mais alta de Hondt.
2- Os restantes vogais são:
b) Duas personalidades de reconhecida competência na matéria, designadas pelo Governo.
Art. 6º Deveres e incompatibilidades
1- Não podem ser membros da CNPDPI os cidadãos que nao se encontrem no pleno gozo dos seus direitos civis e políticos.
2- O exercício do mandato dos membros da CNPDPI rege-se, em matéria de deveres e incompatibilidades, pelos princípios gerais aplicáveis aos funcionários e agentes do Estado.
3- A qualidade de membros da CNPDPI é incompatível com o exercício de funções correspondentes a:
a) Titular de orgão de soberania ou de órgão de governo próprio de região autónoma;
b) Titular de orgão de autarquia local;
c) Titular de cargo dirigente em partido ou associação política ou em organização de classe, ou agente que tenha vínculo laboral com qualquer destas entidades.
Art. 7º Estatuto remuneratório
O estatuto remuneratório dos membros da CNPDPI é fixado pelo Governo.
Art. 8º Competências
1- Compete em especial a CNPDPI:
a) Dar parecer sobre a constituição, alteração ou manutenção, por serviãos públicos, de ficheiros automatizados, de bases e bancos de dados pessoais, nos casos previstos na presente lei;
b) Autorizar ou registar, consoante os caos, a constituição, alteração ou manutenção, por outras entidades, de ficheiros automatizados, de bases e bancos de dados pessoais, nos termos da presente lei;
c) Autorizar, nos casos excepcionais previstos na presente lei e sob rigoroso controlo, a utilização de dados pessoais para finalidades não determinantes da recolha;
d) Autorizar, nos casos excepcionais previstos na presente lei e sob rigoroso controlo, a interconexão de ficheiros automatizados, de bases e bancos de dados contendo dados pessoais;
e) Emitir directivas para garantir a segurança dos dados quer em arquivo , quer em circulação nas redes de telecomunicações;
f) Fixar genericamente as condições de acesso à informação, bem como do exercício do direito de rectificação e actualização;
g) Promover, junto da autoridade judiciária competente, os procedimentos necessários para interromper o processamento de dados, impedir o funcionamento de ficheiros e, se necessário, proceder è sua destruição, nos casos previstos na presente lei;
h) Apreciar as reclamações, queixas ou petições dos particulares, nos termos da presente lei;
i) Dar publicidade periódica à sua actividade, nomeadamente através da publicação de um relatório anual;
j) Denunciar ao Ministério Público as infracções à presente lei justificativas de procedimento judicial.
2- No exercício dos suas funções, a CNPDPI profere decisões com força obrigatória, passíveis de reclamação e de recurso para o Supremo Tribunal Administrativo.
3- A CNPDPI pode sugerir à Assembleia da República as providências que entender úteis à prossecução das suas atribuições e ao exercício das suas competências.
Art. 9º dever de colaboração
É dever de todas as entidades públicas e privadas dispensar colaboração à CNPDPI para o cabal exercício das suas funções.
Art. 10º Posse
1- Os membros da CNPDPI tomam posse perante o presidente da Assembleia da República nos 10 dias seguintes ao da publicação na 1ª Série da Dirário da República da lista dos membros eleitos.
2- A CNPDPI mantém-se em funções pelo prazo de cinco anos e até à posse dos novos membros desigmados.
3- Após a entrada em funções, a CNPDPI deve proceder de imediato à elaboração do seu regulamento e submetê-lo à aprovação da Assembleia da República.
CAPÍTULO III - Do processamento automatizado de dados pessoais
Art. 11º Restrição ao tratamento de dados (Redacção da Lei nº.28/94, de 28 de Agosto)
1- Não é admitido o tratamento automatizado de dados pessoais referentes a:
a) Convicções filosóficas ou políticas, filiação partidária ou sindical, fé religiosa, vida privada ou origem étnica;
b) Condenações em processo criminal, suspeitas de actividades ilícitas, estado de saúde e situação patrimonial e financeira.
2- A proibição do número anterior não obsta ao tratamento de dados para fins de investigação ou estatística, desde que não possam ser indentificáveis as pessoas a que respeitam.
3- O tratamento automatizado dos dados pessoais referidos na alínea b) do nº1 pode, no entanto, ser efectuado observadas as condições previstas no artigo 17º.
4- O disposto nos números anteriores não obsta ao tratamento automatizado de dados pessoais por instituição a que tenham voluntariamante sido fornecidos pelos respectivos titulares, com conhecimento do seu destino e utlização.
Art. 12º Requisitos da recolha
1- A recolha de dados pessoais para tratamento automatizado deve efectuar-se de forma lícita e não enganosa.
2- A recolha de dados pessoais deve processar-se em estrita adequação e pertinência à finalidade que a determinou.
3- A finalidade determinante da recolha de dados deve ser conhecida antes do seu início.
Art. 13º Direito à informação e acesso
1- Qualquer pessoa tem o direito de ser informada sobre a existência de ficheiro automático, base ou banco de dados pessoais que lhe respeitem, e respectiva finalidade, bem como sobre a identidade e o endereço do seu responsável.
2- O acesso aos ficheiros de dados eleitorais é facultado, em igualdade de circunstâncias e sob controlo da Comissão Nacional de Eleições, aos candidatos e aos partidos políticos.
Art. 14º Actualização dos dados
Os dados pessoais recolhidos e mantidos em ficheiros automatizados, em bases e bancos de dados devem ser exactos e actuais.
Art. 15º Utilização dos dados
Os dados pessoais só podem ser utilizados para a finalidade determinante da sua recolha, salvo autorização concedida por lei.
Art. 16º Limites da apreciação judicial
Nenhuma decisão jurisdicional, administrativa ou disciplinar que implique apreciação sobre um comportamento humano pode ter por único fundamento o resultado do tratamento automatizado da informação atinente ao perfil ou à personalidade do titular do registo.
CAPÍTULO IV - Dos ficheiros automatizados, de bases e bancos de dados pessoais
Art. 17º Condições do tratamento de dados pessoais
1- O tratamento automatizado de dados pessoais referidos na alínea b) do nº1 do artigo 11º pode ser efectuado por serviços públicos, com garantias de não discriminação, nos termos autorizados por lei especial, com prévio parecer da CNPDPI.
2- O tratamento automatizado de dados pessoais a que se refere o número anterior pode ser efectuado, dentro dos mesmos limites, por outras entidades, mediante autorização da CNPDPI, com o consentimento dos titulares dos dados e conhecimento do seu destino e utilização, ou para cumprimento do seu destino e utilização , ou para cumprimento de obrigações legais ou contratuais, bem como para a protecção legalmente autorizada de interesse vital do titular ou ainda quando, pela sua natureza, esse tratamento não possa implicar risco de intromissão na vida privada ou de discriminação.
3- O tratamento automatizado de outros dados pessoais pode ser efectuado, por entidades públicas e privadas, com observância das disposições da presente lei e prévia comunicação à CNPDPI dos elementos previstos no artigo 18º.
Art. 18º Instrução dos pedidos
Os pedidos de parecer ou autorização da CNPDPI para a constituição ou manutenção de ficheiros automatizados, de bases e bancos de dados pessoais, bem como a comunicação a que se refere a nº3 do artigo anterior, devem ser instruídos com os seguintes elementos:
a) Nome e endereço do responsável do ficheiro;
b) Características do ficheiro e sua finalidade;
c) Serviço ou serviços encarregados do processamento da informação;
d) Dados pessoais contidos em cada registo;
e) Forma da recolha e actualização dos dados;
f) Finalidade a que se destinam os dados, entidades a que podem ser transmitidos e em que condições;
g) Comparações, interconexões ou qualquer outra forma de inter-relacionar as informações registadas;
h) Medidas tomadas para garantir a segurança das informações;
i) Tempo de conservação dos dados pessoais;
j) Categoria de pessoas que têm directamente acesso às informações;
l) Forma e condições sob as quais as pessoas podem tomar conhecimento dos dados que lhe respeitem;
m) Forma como as pessoas podem fazer corrigir inexactidões dos dados que lhes respeitem;
Art. 19 Indicações obrigatórias
1- A lei, no caso especialmente previsto no nº1 do artigo 17º, bem como as autorizações da CNPDPI, a que se referem as alíneas c) e d) do nº1 do artigo 8º, devem indicar:
a) O responsável do ficheiro;
b) os dados pessoais a incluir no registo;
c) O modo de recolha ou actualização dos dados;
d) A finalidade a que se destinam os dados, as entidades a que podem ser transmitidos e em que condições;
e) O tempo de conservação dos dados pessoais;
f) A forma como o titular do registo pode ter conhecimento dos dados que lhe digam respeito e em que condições;
g) A forma como o titular do registo pode fazer corrigir eventuais inexactidões dos dados que lhe respeitem;
2- Qualquer alteração das indicações constantes no nº1 carece igualmente de ser prevista em lei especial, bem como de autorização da CNPDPI, ou apenas desta, consoante os casos.
Art. 20º Funcionamento dos ficheiros
1- Os responsáveis por ficheiros automatizdos, de bases e de bancos de dados pessoais devem interromper imediatamente o seu funcionamento quando actuem em desconfromidade com a presente lei e tenham recebido da entidade competente directriz nesse sentido;
2- Sem prejuízo da aplicação de outras sanções que a lei preveja, os ficheiros automatizados a que se refere o número anterior podem ser impedidos de funcionar e, se necessário, ser o seu conteúdo destruído.
Art. 21º equipamento de segurança
Os ficheiros automatizados, as bases e bancos de dados pessoais devem ser equiparados com sistemas de segurança que impeçam a consulta, modificação, destruição oiu acrescentamento dos dados por pessoa não autorizada a fazê-lo e permitam detectar desvios de informação intencionais ou não.
CAPÍTULO V - Da recolha e da interconexão de dados pessoais
Art. 22º Indicações constantes dos documentos base
1- Os documentos que sirvam de base à recolha de dados pessoais devem indicar:
a) O facto de tais dados ou parte deles serem processados automaticamente;
b) O carácter obrigatório ou facultativo do preenchimento dos documentos ou do fornecimento de dados;
c) As consequências da falta ou da inexactidão das respostas;
d) Os destinatários das informações;
e) A finalidade da recolha de dados;
f) O responsável pelo ficheiro e o respectivo endereço;
g) as condições de acesso referidas nos artigos 27º e 28º.
2- O disposto no número anterior não se aplica à recolha de informações destinadas à prevenção da criminalidade e à punição de infracções, bem como à recolha de informações destinadas a fins estatísticos, nos termos da legislação do Sistema Estatístico Nacional e do Instituto Nacional de Estatística.
Art. 23º Destruição de dados
Decorrido o prazo de conservação autorizado, os dados dvem ser destruídos, sem prejuízo da prorrogação desse prazo por lei especial ou autorização da CNPDPI , conforme os casos.
Art. 24º Interconexão de dados pessoais
1- É proíbida a interconexão de ficheiros automatizados, de bases e bancos de dados pessoais, ressalvadas as excepções previstas na lei.
2- Não é permitida a atribuição de um mesmo número de cidadão para efeitos de interconexão de ficheiros automatizados de dados pessoais que contenham informações de carácter policial, criminal ou médico.
Art. 25º Interconexão de dados públicos
A interconexão de ficheiros automatizados, de bases e bancos de dados que contenham exclusivamente dados públicos pode processar-se entre entidades que prossigam os mesmos fins específicos, na dependência do mesmo responsável a que se refere a alínea h) do artigo 2º.
Art. 26º Casos excepcionais
A lei que , em casos excepcionais, permitir a interconexão de ficheiros automatizados, de bancos e bases de dados deve definir expressamente os tipos de interconexão autorizados e a sua finalidade.
CAPÍTULO VI - Dos direitos e garantias individuais
Art. 27º Direito de acesso às informações
A todas as pessoas, desde que devidamente identificadas, é reconhecido o direito de acesso às informações sobre elas registadas em ficheiros automatizados, bancos e bases de dados, com ressalva do disposto na lei sobre segredo de Estado e segredo de justiça.
Art. 28º exercício do direito de acesso
1- O exercício do direito de acesso à informação não pode ser limitado, sem prejuízo de poder ser sujeito a regras destinadas a evitar abusos.
2- A informação deve ser transmitida em linguagem clara, isenta de codificações e rigorosamente correspondente ao conteúdo do registo.
3- A informação de carácter médico deve ser comunicada à pessoa a quem respeite, por intermédio do médico por ela designado.
Art. 29º Excesso ou omissão de dados
Quando se verifique que um ficheiro automatizado, uma base ou um banco de dados pessoais contém dados excessivos em relação à sua finalidade ou peca por omissão de alguns, deve o responsável proceder, de imediato, à supressão dos excedentes ou à inclusão dos omissos.
Art. 30º Informações inexactas
1- Qualquer pessoa tem, relativamente a dados pessoais que lhe respeitem, o direito de exigir a correcção de informações inexactas e o complemento das total ou parcialmente omissas, bem com a supressão das que tenham sido obtidas por meios ilícitos ou enganosos ou cujo registo ou conservação não sejam permitidos.
2- A prova da inexactidão cabe ao titular do registo quando a informação tiver sido fornecida por si ou com o seu consentimento, bem como se não tiver cumprido a obrigação legal de comunicar a alteração.
3- Qualquer pessoa tem o direito de exigir que o seu nome e endereço sejam eliminados de ficheiros de endereços utilizados para mala directa.
Art. 31º Intervenção do responsável
1- Nas situações previstas no artigo anterior deve o responsável do suporte informático dar satisfação à pessoa em causa ou comunicar-lhe o que tiver por conveniente na prazo máximo de 30 dias.
2- Da actuação do responsável do ficheiro pode o titular do registo apresentar queixa à CNPDPI.
Art. 32º Sigilo profissional
1- Os responsáveis dos ficheiros automatizados, de bases e bancos de dados, bem como as pessoas que, no exercício das suas funções, tenham conhecimento dos dados pessoais neles registados, ficam obrigados a sigilo profissional, mesmo após o termo das funções.
2- Igual obrigação recai sobre os membro da CNPDPI, mesmo após o termo do mandato.
3- O disposto nos números anteriores não exclui o dever do fornecimento das informações obrigatórias, nos termos legais, excepto quando constem de ficheiros organizados para fins estatísticos.
CAPÍTULO VII - Fluxos de dados transfronteiras
Art. 33º Regime aplicável
1- O disposto na presente lei aplica-se aos fluxos transfronteiras de dados pessoais, tratados automaticamente ou que se destinem a sê-lo, qualquer que seja o suporte utilizado.
2- Os fluxos transfronteiras de dados pessoais entre Partes Constantes da Convenção para a Protecção das Pessoas relativamente ao Tratamento Automatizado de Dados de carácter Pessoal são assegurados nos termos e com as garantias previstos naquela convenção.
3- Carecem de prévia autorização da CNPDPI os fluxos transfronteiras de dados pessoais que se destinem a Estados qua não sejam Parte da Convenção referida no número anterior, por forma a assegurar a adquada protecção.
4- É proibido, em qualquer caso, o fluxo transfronteiras de dados pessoais se houver fundadas razões para crer que a sua transferência para um outro estado tem por ogjectivo iludir as proibições ou os condicionalismos previstos na lei ou possibilitar a sua utilizaão ilícita.
CAPÍTULO VIII - Infracções e sanções
Art. 34º Utilização ilegal de dados
1- Quem, contra o disposto na lei, criar, mantiver ou modificar o conteúdo de ficheiro automatizado, base ou banco de dados pessoais ou fizer processar os mesmos dados é ounido com prisão até um ano ou multa até 120 dias.
2- A pena será agravada para o dobro dos seus limites tratando-se de dados pessoais referidos no artigo 11º , fora das condições em que o processamento é autorizado.
3- Nas mesmas penas incorre quem intencionalmente desviar dados pessoais da finalidade legalmente definida para a sua recolha e utilização.
Art. 35º Obstrução ao acesso
1- Quem, estando obrigado a garantir a outrem, nos termos da lei, o direito de acesso, de correcção ou de complemento de dados pessoais constantes de ficheiro automatizado, de base ou banco de dados, se recusar, sem justa causa, a fazê-lo, ou o fizer de modo intencionalmente erróneo ou incompleto, é punido com prisão até um ano ou multa até 120 dias.
2- Se o agente actuar com negligência, a pena será de prisão até três meses ou multa até 90 dias.
Art. 36º Interconexão ilegal
1- Quem, contra o disposto na lei, promover ou realizar a interconexão de ficheiros automatizados, de bases ou bancos de dados pessoais é punido com prisão até um ano ou multa até 120 dias.
2- A pena é agravada para o dobro nos seus limites tratando-se dos dados referidos no artigo 11º.
3- O disposto nos números anteriores é aplicável à violação da proibição constante do artigo 24º, nº2.
4- O tribunal decreta as medidas necessárias à cessação da interconexão de ficheiros, de bases ou bancos de dados ou à supressão do número a que se refere o artigo 24º, nº2, quando subsistam à data da sentença.
Art. 37º Falsas informações
1- Quem fornecer falsas informações no pedido de autorização para a constituição ou manutenção de ficheiro automatizado de base de dados pessoais ou nele proceder a modificações não consentidas pelo instrumento de autorização é punido com prisão até dois anos ou multa até 240 dias.
2- NA mesma pena incorre quem omitir intencionalmente a comunicação a que se refere o nº3 do artigo 17º.
3- Se o agente actuar com negligência, a pena é de prisão até 6 meses ou multa até 100 dias.
Art. 38º Acesso indevido
1- Quem, sem a devida autorização, por qualquer modo, aceder a um sistema informático de dados pessoais cujo o acesso está vedado é punido com prisão até um ano ou multa até 120 dias.
2- A pena é agravada para o dobro nos seus limites quando o acesso:
b) tiver possibilitado ao agente ou a terceiros o conhecimento de dados;
c) Tiver proporcionado ao agente ou a terceiros, com conhecimento daqueles, benefício ou vantegem patrimonial.
3- No caso do nº1, o procedimento criminal depende de queixa.
Art. 39º Viciação ou destruição de dados
1- Quem, sem para tanto estar devidamente autorizado, apagar, destruir, danificar, suprimir ou modificar, tornando-os inutilizáveis ou afectando a sua capacidade de uso, dados pessoais constantes de ficheiro automatizado, de base ou de banco de dados é punido com prisão até dois anos ou multa até 240 dias.
2- A pena é agravada para o dobro nos seus limites se o dano produzido for particularmente grave.
3- Se o agente actuar com negligência, a pena é, em ambos os casos, de prisão até um anos ou multa até 120 dias.
Art. 40º Desobediência qualificada
1- Quem, regularmente notificado para o efeiro, não interromper o funcionamento de ficheiro automatizado, de base ou banco de dados pessoais, nos termos do artigo 20º, é punido com a pena correspondente ao crime de desobediência qualificada.
2- Na mesma pena incorre quem:
a) Recusar, sem justa causa, a colaboração que concretamente lhe for exigida nos termos do artigo 9º, quando para tal for regularmente notificado;
b) Não proceder à destruição de dados pessoais, findo o prazo de conservação autorizado nos termos do artigo 23º.
Art. 41º Violação do dever de sigilo
1- Quem, obrigado a sigilo profissional, nos termos da lei,sem justa causa e sem o devido consentimento, revelar ou divulgar no todo ou em parte, dados pessoais contidos em ficheiro automatizado, base ou banco de dados, pondo em perigo a reputação, a honra e consideração ou intimidade da vida privada de outrem, é punido com prisão até dois anos ou multa até 240 dias.
2- A pena é agravada de metade dos seus limites se o agente for:
a) Funcionário público ou equiparado, nos termos da lei penal;
b) Determinado pela intenção de obter qualquer vantagem patrimonial ou outro benefício ilegítimo.
3- A negligência é punível com prisão até 6 meses ou multa até 120 dias.
4- Fora dos casos previstos no nº2, o procedimento criminal depende de queixa.
Art. 42º Punição de tentativa
Art. 43º Pena acessória
Conjuntamente com as penas principais aplicadas, o tribunal pode ordenar a pena acessória da publicidade da sentença condenatória, integralmente ou por extracto, a expensas do condenado, em uma ou mais publicações periódicas.
CAPÍTULO IX - Disposições transitórias e finais
Art. 44º Regulamentação
1- Os responsáveis pelos serviços públicos que mantenham ficheiros automatizados, bases ou bancos de dados pessoais devem elaborar e propor superiormente, no prazo de 6 meses, um projecto de regulamentação, tendo em conta as disposições da presente lei.
2- A manutenção do tratamento de dados pessoais referidos na alínea b) do nº1 do artigo 11º depende de autorização a conceder pelo Governo, com prévio parecer da CNPDPI, no prazo de 180 dias.
3- No mesmo prazo deve concluir-se a legalização dos suportes existentes, nos termos e demais condições previstos no artigo 45º.
Art. 45º Legalização dos suportes existentes
1- As entidades referidas no nº3 do artigo 17º responsáveis por ficheiros automatizados, bases ou bancos de dados pessoais que se encontrem já em funcionamento devem enviar à CNPDPI, no prazo de 90 dias após a sua instalação, a informação referente à sua existência e funcionamento, de acordo com as exigências do artigo 18.
2- A autorização para a manutenção dos suportes informáticos que dela careçam nos termos do presente diploma deve ser requerida à CNPDPI no prazo de um ano após a instalação desta.
3- A autorização da CNPDPI deve ser concedida no prazo de 60 dias a contar da data da recepção do pedido.
4- Ao incumprimento do disposto no nº1 é aplicável a medida prevista no nº2 do artigo 20º.

References: artigo 17
 artigo 11
 artigo 18
 artigo 17
 artigo 8
 artigo 2
 artigo 11
 artigo 11
 artigo 24
 artigo 24
 artigo 17
 artigo 20
 artigo 9
 artigo 23
 artigo 11
 artigo 45
 artigo 17
 artigo 18
 artigo 20