Source: https://mmt.pt/content/legislacao/Projeto_regulamento.php
Timestamp: 2020-02-27 07:07:08+00:00

Document:
Projeto de Regulamento n.º 1/2018 - Miguel Matos Torres SAI - Administrador Judicial
A Comissão Nacional de Proteção de Dados (CNPD) é a entidade administrativa independente com poderes de autoridade para o controlo dos tratamentos de dados pessoais, nos termos do n.º 1 do artigo 21.º e n.º 1 do artigo 22.º da Lei n.º 67/98, de 26 de outubro, alterada pela Lei n.º 103/2015, de 24 de agosto. De acordo com a alínea k) do n.º 1 do artigo 57.º e do n.º 4 do artigo 35.º do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE – Regulamento Geral sobre a Proteção de Dados (RGPD) –, compete-lhe elaborar e publicitar a lista de tratamentos de dados pessoais sujeitos a Avaliação de Impacto sobre a Proteção de Dados (AIPD). Nos termos do n.º 1 do artigo 35.º do RGPD, os tratamentos de dados pessoais suscetíveis de implicar um elevado risco para os direitos e liberdades das pessoas singulares têm de ser precedidos de uma AIPD. O legislador europeu define, a título exemplificativo, três tipos de situações que preenchem os pressupostos desta obrigação do responsável pelo tratamento de dados, e que estão concretizados no n.º 3 do artigo 35.º do RGPD. Para além destes, cada autoridade de controlo nacional tem de elencar outros tratamentos suscetíveis de implicar aquele risco, correspondendo assim a lista que agora se apresenta a tratamentos que também preenchem os pressupostos do n.º 1 do artigo 35.º. Sublinha-se o facto de a presente lista não ser exaustiva, podendo ainda surgir, designadamente em função do desenvolvimento tecnológico, outras situações em que se justifique, nos termos do n.º 1 do artigo 35.º, realizar obrigatoriamente a AIPD. Esta é uma lista dinâmica, sendo atualizada sempre que se entender necessário. Os responsáveis pelo tratamento devem ter em devida atenção que a realização da referida avaliação de impacto não os dispensa do cumprimento das restantes obrigações previstas no RGPD ou em legislação especial.
Tratamento dos dados previstos no n.º 1 do artigo 9.º ou no artigo 10.º do RGPD para finalidade ou finalidades distintas da que justificou originariamente a sua recolha (designadamente, com a finalidade de arquivo de interesse público, investigação científica ou fins estatísticos), com exceção dos tratamentos previstos e regulados por lei que apresente garantias adequadas dos direitos dos titulares e seja precedida de uma avaliação de impacto sobre a proteção de dados;
Tratamento de informação decorrente da utilização de sensores ou outros dispositivos eletrónicos que transmitam, por redes de comunicação, dados pessoais, com efeitos jurídicos sobre a esfera dos respetivos titulares ou os afete significativamente de forma similar, designadamente que permitam analisar ou prever a localização e movimentos, gostos ou interesses pessoais, consumos ou outros comportamentos e saúde (v.g., dispositivos médicos implantados ou aplicados em pessoas);
Interconexão de dados pessoais ou tratamento que relacione dados pessoais previstos no n.º 1 do artigo 9.º do RGPD;
Tratamento de dados pessoais com base em recolha indireta dos mesmos quando não seja possível ou exequível assegurar o direito de informação nos termos do artigo 14.º do RGPD;
Tratamento de dados pessoais que implique ou consista na criação de perfis em larga escala;
Tratamento de dados pessoais que permita rastrear a localização ou os comportamentos dos respetivos titulares (por exemplo, trabalhadores, clientes ou apenas transeuntes), exceto quando o tratamento seja indispensável para a prestação de serviços requeridos especificamente pelos clientes;
Tratamento de dados biométricos para identificação inequívoca dos seus titulares, com exceção de tratamentos previstos e regulados por lei que tenha sido precedida de uma avaliação de impacto sobre a proteção de dados;
Tratamento de dados pessoais com utilização de novas tecnologias ou nova utilização de tecnologias já existentes;
Alteração significativa da arquitetura do sistema de informação em que assenta o tratamento de dados pessoais.

References: artigo 21
 artigo 22
 artigo 57
 artigo 35
 artigo 35
 artigo 35
 artigo 35
 artigo 35
 artigo 9
 artigo 10
 artigo 9
 artigo 14