Lei n.º 58/2019, de 08 de Agosto

::: Lei n.º 58/2019, de 08 de Agosto Procuradoria-Geral Distrital de Lisboa --> --> Área reservada SIMP Procuradoria-Geral Regional de Lisboa PGR Lisboa PGRL Legislação Jurisprudência Contactos Início // Índice // Contactos // Links | Login Actualidade | Jurisprudência | Legislação Fórum |--> Institucional | --> pesquisa:

Jurisp. Relação Lisboa Interv. do MP Legislação Peças processuais Docs. da PGD Textos Comarcas Actualidade Destaques Por razões técnicas, este site será interrompido hoje, a partir das 19,00h.

O serviço será reposto amanhã de manhã. Pedimos desculpa pelo incómodo causado. --> CIDADÃO Menores e Família Trabalho e cível Incapacidades Em situação de crime Em situação de morte Em defesa da comunidade INFORMAÇÃO JURÍDICA Legislação Jurisprudência Fórum --> ACTIVIDADE Docs. da PGDL Cláusulas contratuais nulas MP na Relação de Lisboa --> O MP NO DISTRITO Os magistrados A PGD de Lisboa Os círculos judiciais As comarcas --> Início legislação Exibe diploma Legislação Lei n.º 58/2019, de 08 de Agosto LEI DA PROTEÇÃO DE DADOS PESSOAIS (versão actualizada) O diploma ainda não sofreu alterações --> Procurar no presente diploma:

A expressão exacta Ir para o art.:

Artigo 1.ºObjeto

Artigo 2.ºÂmbito de aplicação

Artigo 3.ºAutoridade de controlo nacional

Artigo 4.ºNatureza e independência

Artigo 5.ºComposição e funcionamento

Artigo 6.ºAtribuições e competências

Artigo 7.ºAvaliações prévias de impacto

Artigo 8.ºDever de colaboração

Artigo 9.ºDisposição geral

Artigo 10.ºDever de sigilo e confidencialidade

Artigo 11.ºFunções do encarregado de proteção de dados

Artigo 12.ºEncarregados de proteção de dados em entidades públicas

Artigo 13.ºEncarregados de proteção de dados em entidades privadas

Artigo 14.ºAcreditação e certificação

Artigo 15.ºCódigos de conduta

Artigo 16.ºConsentimento de menores

Artigo 17.ºProteção de dados pessoais de pessoas falecidas

Artigo 18.ºPortabilidade e interoperabilidade dos dados

Artigo 19.ºVideovigilância

Artigo 20.ºDever de segredo

Artigo 21.ºPrazo de conservação de dados pessoais

Artigo 22.ºTransferências de dados

Artigo 23.ºTratamento de dados pessoais por entidades públicas para finalidades diferentes

Artigo 24.ºLiberdade de expressão e informação

Artigo 25.ºPublicação em jornal oficial

Artigo 26.ºAcesso a documentos administrativos

Artigo 27.ºPublicação de dados no âmbito da contratação pública

Artigo 28.ºRelações laborais

Artigo 29.ºTratamento de dados de saúde e dados genéticos

Artigo 30.ºBases de dados ou registos centralizados de saúde

Artigo 31.º

Tratamentos para fins de arquivo de interesse público, fins de investigação científica ou histórica ou fins estatísticos

Artigo 32.ºTutela administrativa

Artigo 33.ºResponsabilidade civil

Artigo 34.ºTutela jurisdicional

Artigo 35.ºRepresentação dos titulares dos dados

Artigo 36.ºLegitimidade da CNPD

Artigo 37.ºContraordenações muito graves

Artigo 38.ºContraordenações graves

Artigo 39.ºDeterminação da medida da coima

Artigo 40.ºPrescrição do procedimento por contraordenação

Artigo 41.ºPrazo de prescrição das coimas

Artigo 42.ºDestino das coimas

Artigo 43.ºCumprimento do dever omitido

Artigo 44.ºÂmbito de aplicação das contraordenações

Artigo 45.ºRegime subsidiário

Artigo 46.ºUtilização de dados de forma incompatível com a finalidade da recolha

Artigo 47.ºAcesso indevido

Artigo 48.ºDesvio de dados

Artigo 49.ºViciação ou destruição de dados

Artigo 50.ºInserção de dados falsos

Artigo 51.ºViolação do dever de sigilo

Artigo 52.ºDesobediência

Artigo 53.ºPunibilidade da tentativa

Artigo 54.ºResponsabilidade das pessoas colectivas

Artigo 55.ºConcurso de infracções

Artigo 56.ºSanções acessórias

Artigo 57.ºComissão Nacional de Proteção de Dados

Artigo 58.ºOrientações técnicas

Artigo 59.ºAplicabilidade das coimas às entidades públicas

Artigo 60.ºSituações de tratamentos de dados pessoais pré-existentes

Artigo 61.ºRenovação do consentimento

Artigo 62.ºRegimes de proteção de dados pessoais

Artigo 63.ºAlteração à Lei n.º 43/2004, de 18 de agosto

Artigo 64.ºAditamento à Lei n.º 43/2004, de 18 de agosto

Artigo 65.ºAlteração à Lei n.º 26/2016, de 22 de agosto

Artigo 66.ºNorma revogatória

Artigo 67.ºRepublicação

Artigo 68.ºEntrada em vigor e produção de efeitos

ANEXO Nº de artigos : 69 Ver índice sistemático do diploma Imprimir todo o diploma SUMÁRIO Assegura a execução, na ordem jurídica nacional, do Regulamento (UE) 2016/679 do Parlamento e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados _____________________ Lei n.º 58/2019, de 8 de agosto Assegura a execução, na ordem jurídica nacional, do Regulamento (UE) 2016/679 do Parlamento e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados A Assembleia da República decreta, nos termos da alínea c) do artigo 161.º da Constituição, o seguinte:

CAPÍTULO I

Disposições gerais

Artigo 1.ºObjeto

A presente lei assegura a execução, na ordem jurídica interna, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, doravante designado abreviadamente por Regulamento Geral de Proteção de Dados (RGPD).

Artigo 2.ºÂmbito de aplicação

1 - A presente lei aplica-se aos tratamentos de dados pessoais realizados no território nacional, independentemente da natureza pública ou privada do responsável pelo tratamento ou do subcontratante, mesmo que o tratamento de dados pessoais seja efetuado em cumprimento de obrigações legais ou no âmbito da prossecução de missões de interesse público, aplicando-se todas as exclusões previstas no artigo 2.º do RGPD.

2 - A presente lei aplica-se ainda aos tratamentos de dados pessoais realizados fora do território nacional quando:

3 - A presente lei não se aplica aos ficheiros de dados pessoais constituídos e mantidos sob a responsabilidade do Sistema de Informações da República Portuguesa, que se rege por disposições específicas, nos termos da lei.

CAPÍTULO II

Comissão Nacional de Proteção de Dados

Artigo 3.ºAutoridade de controlo nacional

A Comissão Nacional de Proteção de Dados (CNPD) é a autoridade de controlo nacional para efeitos do RGPD e da presente lei.

Artigo 4.ºNatureza e independência

1 - A CNPD é uma entidade administrativa independente, com personalidade jurídica de direito público e poderes de autoridade, dotada de autonomia administrativa e financeira, que funciona junto da Assembleia da República.

2 - A CNPD controla e fiscaliza o cumprimento do RGPD e da presente lei, bem como das demais disposições legais e regulamentares em matéria de proteção de dados pessoais, a fim de defender os direitos, liberdades e garantias das pessoas singulares no âmbito dos tratamentos de dados pessoais.

3 - A CNPD age com independência na prossecução das suas atribuições e no exercício dos poderes que lhe são atribuídos pela presente lei.

4 - Os membros da CNPD ficam sujeitos ao regime de incompatibilidades estabelecido para os titulares de altos cargos públicos, não podendo, durante o seu mandato, desempenhar outra atividade, remunerada ou não, com exceção da atividade de docência no ensino superior e de investigação.

Artigo 5.ºComposição e funcionamento

A composição, o modo de designação e o estatuto remuneratório dos membros da CNPD, bem como a respetiva orgânica e quadro de pessoal, são aprovados por lei da Assembleia da República.

Artigo 6.ºAtribuições e competências

1 - Para além do disposto no artigo 57.º do RGPD, a CNPD prossegue as seguintes atribuições:

2 - A CNPD exerce as competências previstas no artigo 58.º do RGPD.

Artigo 7.ºAvaliações prévias de impacto

1 - Nos termos do n.º 5 do artigo 35.º do RGPD, a CNPD difunde uma lista de tipos de tratamentos de dados cuja avaliação prévia de impacto não é obrigatória.

2 - O disposto no número anterior não impede os responsáveis pelo tratamento de efetuar uma avaliação prévia de impacto por iniciativa própria.

3 - As listas referidas nos n.os 4 e 5 do artigo 35.º do RGPD são publicitadas no sítio da CNPD na Internet.

Artigo 8.ºDever de colaboração

1 - As entidades públicas e privadas devem prestar a sua colaboração à CNPD, facultando-lhe todas as informações que por esta lhes sejam solicitadas, no exercício das suas atribuições e competências.

2 - O dever de colaboração é assegurado, designadamente, quando a CNPD tiver necessidade, para o cabal exercício das suas funções, de examinar o sistema informático e os ficheiros de dados pessoais, bem como toda a documentação relativa ao tratamento e transmissão de dados pessoais.

3 - Os membros da CNPD, bem como os seus trabalhadores, prestadores de serviços ou pessoas por si mandatadas, estão obrigados ao dever de sigilo profissional, nomeadamente quanto aos dados pessoais, segredo profissional, segredo industrial ou comercial ou informações confidenciais a que tenham acesso no exercício das suas funções.

4 - O dever de sigilo mantém-se após o termo das respetivas funções.

5 - O dever de colaboração previsto nos números anteriores, bem como os poderes de fiscalização da CNPD, não prejudicam o dever de segredo a que o responsável pelo tratamento esteja obrigado nos termos da lei ou de normas internacionais.

CAPÍTULO III

Encarregado de proteção de dados

Artigo 9.ºDisposição geral

1 - O encarregado de proteção de dados é designado com base nos requisitos previstos no n.º 5 do artigo 37.º do RGPD, não carecendo de certificação profissional para o efeito.

2 - Independentemente da natureza da sua relação jurídica, o encarregado de proteção de dados exerce a sua função com autonomia técnica perante a entidade responsável pelo tratamento ou subcontratante.

Artigo 10.ºDever de sigilo e confidencialidade

1 - De acordo com o disposto no n.º 5 do artigo 38.º do RGPD, o encarregado de proteção de dados está obrigado a um dever de sigilo profissional em tudo o que diga respeito ao exercício dessas funções, que se mantém após o termo das funções que lhes deram origem.

2 - O encarregado de proteção de dados, bem como os responsáveis pelo tratamento de dados, incluindo os subcontratantes, e todas as pessoas que intervenham em qualquer operação de tratamento de dados, estão obrigados a um dever de confidencialidade que acresce aos deveres de sigilo profissional previsto na lei.

Artigo 11.ºFunções do encarregado de proteção de dados

Para além do disposto nos artigos 37.º a 39.º do RGPD, são funções do encarregado de proteção de dados:

Artigo 12.ºEncarregados de proteção de dados em entidades públicas

1 - Nos termos da alínea a) do n.º 1 do artigo 37.º do RGPD, é obrigatória a designação de encarregados de proteção de dados nas entidades públicas, de acordo com o disposto nos números seguintes.

2 - Para efeitos do número anterior, entende-se por entidades públicas:

3 - Independentemente de quem seja responsável pelo tratamento, existe pelo menos um encarregado de proteção de dados:

4 - Nos termos do n.º 3 do artigo 37.º do RGPD, pode ser designado o mesmo encarregado de proteção de dados para vários ministérios ou áreas governativas, secretarias regionais, autarquias locais ou outras pessoas coletivas públicas.

5 - Cabe a cada entidade a designação do encarregado de proteção de dados, não sendo obrigatório o exercício de funções em regime de exclusividade.

6 - O encarregado de proteção de dados de uma entidade pública que tenha atribuições de regulação ou controlo não pode exercer essas funções simultaneamente em entidade sujeita ao controlo, ou inserida no perímetro regulatório daquela entidade.

Artigo 13.ºEncarregados de proteção de dados em entidades privadas

O responsável pelo tratamento e o subcontratante designam um encarregado de proteção de dados sempre que a atividade privada desenvolvida, a título principal, implique:

CAPÍTULO IV

Acreditação, certificação e códigos de conduta

Artigo 14.ºAcreditação e certificação

1 - Nos termos da alínea b) do n.º 1 do artigo 43.º do RGPD, a autoridade competente para a acreditação dos organismos de certificação em matéria de proteção de dados é o IPAC, I. P.

2 - O ato de acreditação emitido pelo IPAC, I. P., deve tomar em consideração os requisitos previstos no RGPD, bem como os requisitos adicionais estabelecidos pela CNPD.

3 - A certificação, bem como a emissão de selos e marcas de proteção de dados, é efetuada por organismos de certificação acreditados nos termos do n.º 1, destinando-se a atestar que os procedimentos implementados cumprem o disposto no RGPD e na presente lei.

Artigo 15.ºCódigos de conduta

1 - Compete à CNPD fomentar a elaboração de códigos de conduta que regulem atividades determinadas, os quais devem tomar em atenção as necessidades específicas das micro, pequenas e médias empresas.

2 - O tratamento de dados pessoais pela administração direta e indireta do Estado é objeto de códigos de conduta próprios.

CAPÍTULO V

Disposições especiais

Artigo 16.ºConsentimento de menores

1 - Nos termos do artigo 8.º do RGPD, os dados pessoais de crianças só podem ser objeto de tratamento com base no consentimento previsto na alínea a) do n.º 1 do artigo 6.º do RGPD e relativo à oferta direta de serviços da sociedade de informação quando as mesmas já tenham completado 13 anos de idade.

2 - Caso a criança tenha idade inferior a 13 anos, o tratamento só é lícito se o consentimento for dado pelos representantes legais desta, de preferência com recurso a meios de autenticação segura.

Artigo 17.ºProteção de dados pessoais de pessoas falecidas

1 - Os dados pessoais de pessoas falecidas são protegidos nos termos do RGPD e da presente lei quando se integrem nas categorias especiais de dados pessoais a que se refere o n.º 1 do artigo 9.º do RGPD, ou quando se reportem à intimidade da vida privada, à imagem ou aos dados relativos às comunicações, ressalvados os casos previstos no n.º 2 do mesmo artigo.

2 - Os direitos previstos no RGPD relativos a dados pessoais de pessoas falecidas, abrangidos pelo número anterior, nomeadamente os direitos de acesso, retificação e apagamento, são exercidos por quem a pessoa falecida haja designado para o efeito ou, na sua falta, pelos respetivos herdeiros.

3 - Os titulares dos dados podem igualmente, nos termos legais aplicáveis, deixar determinada a impossibilidade de exercício dos direitos referidos no número anterior após a sua morte.

Artigo 18.ºPortabilidade e interoperabilidade dos dados

1 - O direito de portabilidade dos dados, previsto no artigo 20.º do RGPD, abrange apenas os dados fornecidos pelos respetivos titulares.

2 - A portabilidade dos dados deve, sempre que possível, ter lugar em formato aberto.

3 - No âmbito da Administração Pública, sempre que a interoperabilidade dos dados não seja tecnicamente possível, o titular dos dados tem o direito de exigir que os mesmos lhe sejam entregues num formato digital aberto, de acordo com o Regulamento Nacional de Interoperabilidade Digital em vigor.

Artigo 19.ºVideovigilância

1 - Sem prejuízo das disposições legais específicas que imponham a sua utilização, nomeadamente por razões de segurança pública, os sistemas de videovigilância cuja finalidade seja a proteção de pessoas e bens asseguram os requisitos previstos no artigo 31.º da Lei n.º 34/2013, de 16 de maio, com os limites definidos no número seguinte.

2 - As câmaras não podem incidir sobre:

3 - Nos estabelecimentos de ensino, as câmaras de videovigilância só podem incidir sobre os perímetros externos e locais de acesso, e ainda sobre espaços cujos bens e equipamentos requeiram especial proteção, como laboratórios ou salas de informática.

4 - Nos casos em que é admitida a videovigilância, é proibida a captação de som, exceto no período em que as instalações vigiadas estejam encerradas ou mediante autorização prévia da CNPD.

Artigo 20.ºDever de segredo

1 - Os direitos de informação e de acesso a dados pessoais previstos nos artigos 13.º a 15.º do RGPD não podem ser exercidos quando a lei imponha ao responsável pelo tratamento ou ao subcontratante um dever de segredo que seja oponível ao próprio titular dos dados.

2 - O titular dos dados pode solicitar à CNPD a emissão de parecer quanto à oponibilidade do dever de segredo, sem prejuízo do disposto no Capítulo VII.

Artigo 21.ºPrazo de conservação de dados pessoais

1 - O prazo de conservação de dados pessoais é o que estiver fixado por norma legal ou regulamentar ou, na falta desta, o que se revele necessário para a prossecução da finalidade.

2 - Quando, pela natureza e finalidade do tratamento, designadamente para fins de arquivo de interesse público, fins de investigação científica ou histórica ou fins estatísticos, não seja possível determinar antecipadamente o momento em que o mesmo deixa de ser necessário, é lícita a conservação dos dados pessoais, desde que sejam adotadas medidas técnicas e organizativas adequadas a garantir os direitos do titular dos dados, designadamente a informação da sua conservação.

3 - Quando os dados pessoais sejam necessários para o responsável pelo tratamento, ou o subcontratante, comprovar o cumprimento de obrigações contratuais ou de outra natureza, os mesmos podem ser conservados enquanto não decorrer o prazo de prescrição dos direitos correspetivos.

4 - Quando cesse a finalidade que motivou o tratamento, inicial ou posterior, de dados pessoais, o responsável pelo tratamento deve proceder à sua destruição ou anonimização.

5 - Nos casos em que existe um prazo de conservação de dados imposto por lei, só pode ser exercido o direito ao apagamento previsto no artigo 17.º do RGPD findo esse prazo.

6 - Os dados relativos a declarações contributivas para efeitos de aposentação ou reforma podem ser conservados sem limite de prazo, a fim de auxiliar o titular na reconstituição das carreiras contributivas, desde que sejam adotadas medidas técnicas e organizativas adequadas a garantir os direitos do titular dos dados.

Artigo 22.ºTransferências de dados

As transferências de dados para países terceiros à União Europeia ou organizações internacionais, efetuadas no cumprimento de obrigações legais, por entidades públicas no exercício de poderes de autoridade, são consideradas de interesse público para efeitos do disposto no n.º 4 do artigo 49.º do RGPD.

Artigo 23.ºTratamento de dados pessoais por entidades públicas para finalidades diferentes

1 - O tratamento de dados pessoais por entidades públicas para finalidades diferentes das determinadas pela recolha tem natureza excecional e deve ser devidamente fundamentado com vista a assegurar a prossecução do interesse público que de outra forma não possa ser acautelado, nos termos da alínea e) do n.º 1, do n.º 4 do artigo 6.º e da alínea g) do n.º 2 do artigo 9.º do RGPD.

2 - A transmissão de dados pessoais entre entidades públicas para finalidades diferentes das determinadas pela recolha tem natureza excecional, deve ser devidamente fundamentada nos termos referidos no número anterior e deve ser objeto de protocolo que estabeleça as responsabilidades de cada entidade interveniente, quer no ato de transmissão, quer em outros tratamentos a efetuar.

CAPÍTULO VI

Situações específicas de tratamento de dados pessoais

Artigo 24.ºLiberdade de expressão e informação

1 - A proteção de dados pessoais, nos termos do RGPD e da presente lei, não prejudica o exercício da liberdade de expressão, informação e imprensa, incluindo o tratamento de dados para fins jornalísticos e para fins de expressão académica, artística ou literária.

2 - O exercício da liberdade de informação, especialmente quando revele dados pessoais previstos no n.º 1 do artigo 9.º do RGPD e no artigo 17.º da presente lei, deve respeitar o princípio da dignidade da pessoa humana previsto na Constituição da República Portuguesa, bem como os direitos de personalidade nela e na legislação nacional consagrados.

3 - O tratamento para fins jornalísticos deve respeitar a legislação nacional sobre acesso e exercício da profissão.

4 - O exercício da liberdade de expressão não legitima a divulgação de dados pessoais como moradas e contactos, à exceção daqueles que sejam de conhecimento generalizado.

Artigo 25.ºPublicação em jornal oficial

1 - A publicação de dados pessoais em jornais oficiais deve obedecer ao artigo 5.º do RGPD, nomeadamente aos princípios da finalidade e da minimização.

2 - Sempre que o dado pessoal «nome» seja suficiente para garantir a identificação do titular e a eficácia do tratamento, não devem ser publicados outros dados pessoais.

3 - Os dados pessoais publicados em jornal oficial não podem, em circunstância alguma, ser alterados, rasurados ou ocultados.

4 - O direito ao apagamento de dados pessoais publicados em jornal oficial tem natureza excecional e só se pode concretizar nas condições previstas no artigo 17.º do RGPD, nos casos em que essa seja a única forma de acautelar o direito ao esquecimento e ponderados os demais interesses em presença.

5 - O disposto no número anterior realiza-se através da desindexação dos dados pessoais em motores de busca, sempre sem eliminação da publicação que faz fé pública.

6 - Em caso de publicação de dados pessoais em jornais oficiais, considera-se responsável pelo tratamento a entidade que manda proceder à publicação, ou, no caso dos gabinetes dos membros do Governo, as respetivas secretarias-gerais.

Artigo 26.ºAcesso a documentos administrativos

O acesso a documentos administrativos que contenham dados pessoais rege-se pelo disposto na Lei n.º 26/2016, de 22 de agosto.

Artigo 27.ºPublicação de dados no âmbito da contratação pública

No âmbito da contratação pública, e caso seja necessária a publicação de dados pessoais, não devem ser publicados outros dados pessoais para além do nome, sempre que este seja suficiente para garantir a identificação do contraente público e do cocontratante.

Artigo 28.ºRelações laborais

1 - O empregador pode tratar os dados pessoais dos seus trabalhadores para as finalidades e com os limites definidos no Código do Trabalho e respetiva legislação complementar ou noutros regimes setoriais, com as especificidades estabelecidas no presente artigo.

2 - O número anterior abrange igualmente o tratamento efetuado por subcontratante ou contabilista certificado em nome do empregador, para fins de gestão das relações laborais, desde que realizado ao abrigo de um contrato de prestação de serviços e sujeito a iguais garantias de sigilo.

3 - Salvo norma legal em contrário, o consentimento do trabalhador não constitui requisito de legitimidade do tratamento dos seus dados pessoais:

4 - As imagens gravadas e outros dados pessoais registados através da utilização de sistemas de vídeo ou outros meios tecnológicos de vigilância à distância, nos termos previstos no artigo 20.º do Código do Trabalho, só podem ser utilizados no âmbito do processo penal.

5 - Nos casos previstos no número anterior, as imagens gravadas e outros dados pessoais podem também ser utilizados para efeitos de apuramento de responsabilidade disciplinar, na medida em que o sejam no âmbito do processo penal.

6 - O tratamento de dados biométricos dos trabalhadores só é considerado legítimo para controlo de assiduidade e para controlo de acessos às instalações do empregador, devendo assegurar-se que apenas se utilizem representações dos dados biométricos e que o respetivo processo de recolha não permita a reversibilidade dos referidos dados.

Artigo 29.ºTratamento de dados de saúde e dados genéticos

1 - Nos tratamentos de dados de saúde e de dados genéticos, o acesso a dados pessoais rege-se pelo princípio da necessidade de conhecer a informação.

2 - Nos casos previstos nas alíneas h) e i) do n.º 2 do artigo 9.º do RGPD, o tratamento dos dados previstos no n.º 1 do mesmo artigo deve ser efetuado por um profissional obrigado a sigilo ou por outra pessoa sujeita a dever de confidencialidade, devendo ser garantidas medidas adequadas de segurança da informação.

3 - O acesso aos dados a que alude o número anterior é feito exclusivamente de forma eletrónica, salvo impossibilidade técnica ou expressa indicação em contrário do titular dos dados, sendo vedada a sua divulgação ou transmissão posterior.

4 - Os titulares de órgãos, trabalhadores e prestadores de serviços do responsável pelo tratamento de dados de saúde e de dados genéticos, o encarregado de proteção de dados, os estudantes e investigadores na área da saúde e da genética e todos os profissionais de saúde que tenham acesso a dados relativos à saúde estão obrigados a um dever de sigilo.

5 - O dever de sigilo referido no número anterior é também aplicável a todos os titulares de órgãos e trabalhadores que, no contexto do acompanhamento, financiamento ou fiscalização da atividade de prestação de cuidados de saúde, tenham acesso a dados relativos à saúde.

6 - O titular dos dados deve ser notificado de qualquer acesso realizado aos seus dados pessoais, cabendo ao responsável pelo tratamento assegurar a disponibilização desse mecanismo de rastreabilidade e notificação.

7 - As medidas e os requisitos técnicos mínimos de segurança inerentes ao tratamento de dados a que alude o n.º 1 são aprovados por portaria dos membros do Governo responsáveis pelas áreas da saúde e da justiça, que deve regulamentar, nomeadamente, as seguintes matérias:

Artigo 30.ºBases de dados ou registos centralizados de saúde

1 - Os dados relativos à saúde podem ser organizados em bases de dados ou registos centralizados assentes em plataformas únicas, quando tratados para efeitos das finalidades legalmente previstas no RGPD e na legislação nacional.

2 - As bases de dados de saúde ou registos centralizados assentes nas plataformas únicas referidas no número anterior devem preencher os requisitos de segurança e de inviolabilidade previstos no RGPD.

Artigo 31.º

Tratamentos para fins de arquivo de interesse público, fins de investigação científica ou histórica ou fins estatísticos 1 - O tratamento para fins de arquivo de interesse público, fins de investigação científica ou histórica ou fins estatísticos deve respeitar o princípio da minimização dos dados e incluir a anonimização ou a pseudonimização dos mesmos sempre que os fins visados possam ser atingidos por uma destas vias.

2 - Quando os dados pessoais sejam tratados para fins de arquivo de interesse público, fins de investigação científica ou histórica ou fins estatísticos, ficam prejudicados os direitos de acesso, retificação, limitação do tratamento e de oposição previstos nos artigos 15.º, 16.º, 18.º e 21.º do RGPD, na medida do necessário, se esses direitos forem suscetíveis de tornar impossível ou prejudicar gravemente a realização desses fins.

3 - Ao tratamento de dados pessoais para fins de arquivo de interesse público é aplicável o Decreto-Lei n.º 16/93, de 23 de janeiro, na sua redação atual.

4 - O consentimento relativo ao tratamento de dados para fins de investigação científica pode abranger diversas áreas de investigação ou ser dado unicamente para determinados domínios ou projetos de investigação específicos, devendo em qualquer caso ser respeitados os padrões éticos reconhecidos pela comunidade científica.

5 - Sem prejuízo do disposto na Lei do Sistema Estatístico Nacional, os dados pessoais tratados para fins estatísticos devem ser anonimizados ou pseudonimizados, de modo a acautelar a tutela dos titulares dos dados, nomeadamente no que respeita à impossibilidade de reidentificação logo que concluída a operação estatística.

CAPÍTULO VII

Tutela administrativa e jurisdicional SECÇÃO I Disposições gerais

Artigo 32.ºTutela administrativa

Sem prejuízo do direito de apresentação de queixa à CNPD, qualquer pessoa pode recorrer a meios de tutela administrativa, designadamente de cariz petitório ou impugnatório, para garantir o cumprimento das disposições legais em matéria de proteção de dados pessoais, nos termos previstos no Código do Procedimento Administrativo.

Artigo 33.ºResponsabilidade civil

1 - Qualquer pessoa que tenha sofrido um dano devido ao tratamento ilícito de dados ou a qualquer outro ato que viole disposições do RGPD ou da lei nacional em matéria de proteção de dados pessoais, tem o direito de obter do responsável ou subcontratante a reparação pelo dano sofrido.

2 - O responsável pelo tratamento e o subcontratante não incorrem em responsabilidade civil se provarem que o facto que causou o dano não lhes é imputável.

3 - À responsabilidade do Estado e demais pessoas coletivas públicas é aplicável o regime previsto na Lei n.º 67/2007, de 31 de dezembro, alterado pela Lei n.º 31/2008, de 17 de julho.

Artigo 34.ºTutela jurisdicional

1 - Qualquer pessoa, de acordo com as regras gerais de legitimidade processual, pode propor ações contra as decisões, nomeadamente de natureza contraordenacional, e omissões da CNPD, bem como ações de responsabilidade civil pelos danos que tais atos ou omissões possam ter causado.

2 - As ações propostas contra a CNPD são da competência dos tribunais administrativos.

3 - O titular dos dados pode propor ações contra o responsável pelo tratamento ou o subcontratante, incluindo ações de responsabilidade civil.

4 - As ações intentadas contra o responsável pelo tratamento ou um subcontratante são propostas nos tribunais nacionais se o responsável ou subcontratante tiver estabelecimento em território nacional ou se o titular dos dados aqui residir habitualmente.

Artigo 35.ºRepresentação dos titulares dos dados

Sem prejuízo da observância das regras relativas ao patrocínio judiciário, o titular dos dados tem o direito de mandatar um organismo, uma organização ou uma associação sem fins lucrativos constituída em conformidade com o direito nacional, cujos fins estatutários sejam de interesse público e cuja atividade abranja a defesa dos direitos, liberdades e garantias do titular dos dados quanto à proteção de dados pessoais para, em seu nome, exercer os direitos previstos nos artigos 77.º, 78.º, 79.º e 82.º do RGPD.

Artigo 36.ºLegitimidade da CNPD

A CNPD tem legitimidade para intervir em processos judiciais no caso de violação das disposições do RGPD e da presente lei, e deve denunciar ao Ministério Público as infrações penais de que tiver conhecimento, no exercício das suas funções e por causa delas, bem como praticar os atos cautelares necessários e urgentes para assegurar os meios de prova.

SECÇÃO II Contraordenações

Artigo 37.ºContraordenações muito graves

1 - Constituem contraordenações muito graves:

2 - As contraordenações referidas no número anterior são punidas com coima:

Artigo 38.ºContraordenações graves

1 - Constituem contraordenações graves:

2 - As contraordenações referidas no número anterior são punidas com coima de:

Artigo 39.ºDeterminação da medida da coima

1 - Na determinação da medida da coima, a CNPD tem em conta, para além dos critérios estabelecidos no n.º 2 do artigo 83.º do RGPD:

2 - Para efeitos da aplicação do disposto nos artigos anteriores, os conceitos de pequenas e médias empresas (PME) e grande empresa são os definidos na Recomendação n.º 2003/361/CE, da Comissão Europeia, de 6 de maio de 2003.

3 - Exceto em caso de dolo, a instauração de processo de contraordenação depende de prévia advertência do agente, por parte da CNPD, para cumprimento da obrigação omitida ou reintegração da proibição violada em prazo razoável.

Artigo 40.ºPrescrição do procedimento por contraordenação

O procedimento por contraordenação extingue-se por efeito da prescrição logo que sobre a prática da contraordenação hajam decorrido os seguintes prazos:

Artigo 41.ºPrazo de prescrição das coimas

As coimas previstas na presente lei prescrevem nos seguintes prazos:

Artigo 42.ºDestino das coimas

O montante das coimas cobradas reverte em 60 /prct. para o Estado e em 40 /prct. para a CNPD.

Artigo 43.ºCumprimento do dever omitido

Sempre que a contraordenação resulte da omissão de um dever, a aplicação da sanção e o pagamento da coima não dispensam o infrator do seu cumprimento se este ainda for possível.

Artigo 44.ºÂmbito de aplicação das contraordenações

1 - As coimas previstas no RGPD e na presente lei aplicam-se de igual modo às entidades públicas e privadas.

2 - Nos termos do disposto no n.º 7 do artigo 83.º do RGPD, as entidades públicas, mediante pedido devidamente fundamentado, podem solicitar à CNPD a dispensa da aplicação de coimas durante o prazo de três anos a contar da entrada em vigor da presente lei.

3 - As entidades públicas estão sujeitas aos poderes de correção da CNPD, tal como previstos no RGPD e na presente lei, com exceção da aplicação de coimas nos termos definidos no número anterior.

Artigo 45.ºRegime subsidiário

Em tudo o que não esteja previsto na presente lei em matéria contraordenacional, aplica-se o disposto no regime geral do ilícito de mera ordenação social.

SECÇÃO III Crimes

Artigo 46.ºUtilização de dados de forma incompatível com a finalidade da recolha

1 - Quem utilizar dados pessoais de forma incompatível com a finalidade determinante da recolha é punido com pena de prisão até um ano ou com pena de multa até 120 dias.

2 - A pena é agravada para o dobro nos seus limites quando se tratar dos dados pessoais a que se referem os artigos 9.º e 10.º do RGPD.

Artigo 47.ºAcesso indevido

1 - Quem, sem a devida autorização ou justificação, aceder, por qualquer modo, a dados pessoais é punido com pena de prisão até 1 ano ou com pena de multa até 120 dias.

2 - A pena é agravada para o dobro nos seus limites quando se tratar dos dados pessoais a que se referem os artigos 9.º e 10.º do RGPD.

3 - A pena é também agravada para o dobro nos seus limites quando o acesso:

Artigo 48.ºDesvio de dados

1 - Quem copiar, subtrair, ceder ou transferir, a título oneroso ou gratuito, dados pessoais sem previsão legal ou consentimento, independentemente da finalidade prosseguida, é punido com pena de prisão até 1 ano ou com pena de multa até 120 dias.

2 - A pena é agravada para o dobro nos seus limites quando se tratar dos dados pessoais a que se referem os artigos 9.º e 10.º do RGPD.

3 - A pena é também agravada para o dobro nos seus limites quando o acesso:

Artigo 49.ºViciação ou destruição de dados

1 - Quem, sem a devida autorização ou justificação, apagar, destruir, danificar, ocultar, suprimir ou modificar dados pessoais, tornando-os inutilizáveis ou afetando o seu potencial de utilização, é punido com pena de prisão até 2 anos ou com pena de multa até 240 dias.

2 - A pena é agravada para o dobro nos seus limites se o dano produzido for particularmente grave.

3 - Nas situações previstas nos números anteriores, se o agente atuar com negligência é punido com pena de prisão:

Artigo 50.ºInserção de dados falsos

1 - Quem inserir ou facilitar a inserção de dados pessoais falsos, com a intenção de obter vantagem indevida para si ou para terceiro, ou para causar prejuízo, é punido com pena de prisão até 2 anos ou com pena de multa até 240 dias.

2 - A pena é agravada para o dobro nos seus limites se da inserção referida no número anterior resultar um prejuízo efetivo.

Artigo 51.ºViolação do dever de sigilo

1 - Quem, obrigado a sigilo profissional nos termos da lei, sem justa causa e sem o devido consentimento, revelar ou divulgar no todo ou em parte dados pessoais é punido com pena de prisão até 1 ano ou com pena de multa até 120 dias.

2 - A pena é agravada para o dobro nos seus limites se o agente:

3 - A negligência é punível com pena de prisão até 6 meses ou com pena de multa até 60 dias.

Artigo 52.ºDesobediência

1 - Quem não cumprir as obrigações previstas no RGPD e na presente lei, depois de ultrapassado o prazo que tiver sido fixado pela CNPD para o respetivo cumprimento, é punido com pena de prisão até 1 ano ou com pena de multa até 120 dias.

2 - A pena é agravada para o dobro nos seus limites se, depois de notificado para o efeito, o agente:

Artigo 53.ºPunibilidade da tentativa

Nos crimes previstos na presente secção, a tentativa é sempre punível.

Artigo 54.ºResponsabilidade das pessoas colectivas

As pessoas coletivas e entidades equiparadas, com exceção do Estado, de pessoas coletivas no exercício de prerrogativas de poder público e de organizações de direito internacional público, são responsáveis pelos crimes previstos na presente secção, nos termos do artigo 11.º do Código Penal.

SECÇÃO IV Disposições comuns

Artigo 55.ºConcurso de infracções

1 - Se o mesmo facto constituir simultaneamente crime e contraordenação, o agente é sempre punido a título de crime.

2 - Quando se verifique concurso de crime e contraordenação, ou quando, pelo mesmo facto, uma pessoa deva responder a título de crime e outra a título de contraordenação, o processamento da contraordenação cabe às autoridades competentes para o processo criminal, nos termos do regime geral do ilícito de mera ordenação social.

Artigo 56.ºSanções acessórias

1 - Conjuntamente com as sanções aplicadas pode ser ordenada, acessoriamente, a proibição temporária ou definitiva do tratamento, o bloqueio, o apagamento ou a destruição total ou parcial dos dados.

2 - Tratando-se de crimes, ou de coimas de montante superior a 100 000 (euro), pode acessoriamente ser determinada a publicidade da condenação, por meio de extrato contendo a identificação do agente, os elementos da infração e as sanções aplicadas, no Portal do Cidadão, por período não inferior a 90 dias.

CAPÍTULO VIII

Disposições finais e transitórias

Artigo 57.ºComissão Nacional de Proteção de Dados

Os membros da CNPD em exercício à data da entrada em vigor da presente lei mantêm-se em funções até ao fim dos respetivos mandatos.

Artigo 58.ºOrientações técnicas

As orientações técnicas para a aplicação do RGPD pela administração direta e indireta do Estado são aprovadas por resolução do Conselho de Ministros, a qual pode recomendar a sua aplicação também ao setor empresarial do Estado.

Artigo 59.ºAplicabilidade das coimas às entidades públicas

A possibilidade de não aplicabilidade de coimas às entidades públicas, nos termos previstos no n.º 2 do artigo 44.º da presente lei, deve ser objeto de reavaliação três anos após a entrada em vigor da presente lei.

Artigo 60.ºSituações de tratamentos de dados pessoais pré-existentes

1 - Os tratamentos de dados pessoais objeto de registo público, nos termos do artigo 31.º da Lei n.º 67/98, de 26 de outubro, permanecem conservados sob a responsabilidade da CNPD e disponíveis para consulta gratuita por qualquer pessoa.

2 - As notificações e pedidos de autorização já decididos pela CNPD no momento da entrada em vigor da presente lei, mas ainda não publicados, devem sê-lo nos termos da legislação prevista no número anterior.

3 - Os pedidos de registo e de autorização pendentes na CNPD na data da entrada em vigor da presente lei caducam com a sua entrada em vigor.

4 - Os responsáveis pelos tratamentos de dados pessoais realizados com base em autorizações emitidas nos termos da Lei n.º 67/98, de 26 de outubro, bem como os subcontratantes, estão vinculados a cumprir as obrigações impostas pelo RGPD, com exceção da avaliação de impacto sobre a proteção de dados a que se refere o artigo 35.º desse regulamento.

Artigo 61.ºRenovação do consentimento

1 - Quando o tratamento dos dados pessoais em curso à data da entrada em vigor da presente lei se basear no consentimento do respetivo titular, não é necessário obter novo consentimento se o anterior tiver observado as exigências constantes do RGPD.

2 - Caso a caducidade do consentimento seja motivo de cessação de contrato em que o titular de dados seja parte, o tratamento de dados é lícito até que esta ocorra.

Artigo 62.ºRegimes de proteção de dados pessoais

1 - As normas relativas à proteção de dados pessoais previstas em legislação especial mantêm-se em vigor, em tudo o que não contrarie o disposto no RGPD e na presente lei, sem prejuízo do disposto no número seguinte.

2 - Todas as normas que prevejam autorizações ou notificações de tratamento de dados pessoais à CNPD, fora dos casos previstos no RGPD e na presente lei, deixam de vigorar à data de entrada em vigor do RGPD.

CAPÍTULO IX

Alterações legislativas

Artigo 63.ºAlteração à Lei n.º 43/2004, de 18 de agosto

1 - Os artigos 2.º, 3.º, 8.º, 16.º a 22.º e 24.º a 31.º da Lei de Organização e Funcionamento da Comissão Nacional de Proteção de Dados, aprovada pela Lei n.º 43/2004, de 18 de agosto, alterada pela Lei n.º 55-A/2010, de 31 de dezembro, passam a ter a seguinte redação: «Artigo 2.º [...] 1 - A CNPD é uma entidade administrativa independente, com personalidade jurídica de direito público e poderes de autoridade, dotada de autonomia administrativa e financeira, que funciona junto da Assembleia da República.

2 - A CNPD é a autoridade de controlo nacional para efeitos do Regulamento Geral de Proteção de Dados (RGPD), aprovado pelo Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, e da lei que assegura a sua execução na ordem jurídica interna.

3 - A CNPD controla e fiscaliza o cumprimento do RGPD e da presente lei, bem como das demais disposições legais e regulamentares em matéria de proteção de dados pessoais, a fim de defender os direitos, liberdades e garantias das pessoas singulares no âmbito dos tratamentos de dados pessoais.

4 - A CNPD age com independência na prossecução das suas atribuições e no exercício dos poderes que lhe são atribuídos pela presente lei.

Artigo 3.ºComposição, designação e mandato dos membros

1 - A CNPD é composta por sete membros de integridade e mérito reconhecidos:

2 - O mandato dos membros da CNPD é de cinco anos, renovável duas vezes, e cessa com a posse dos novos membros.

3 - A designação dos membros da CNPD consta de lista publicada na 1.ª série do Diário da República.

4 - Os membros da CNPD tomam posse perante o Presidente da Assembleia da República nos 10 dias seguintes à publicação da lista referida no número anterior.

Artigo 8.º[...]

Constituem deveres dos membros da CNPD:

Artigo 16.ºPublicidade

1 - São publicadas no sítio da Internet da CNPD as deliberações relativas a:

2 - São ainda publicados naquele sítio os regulamentos e os pareceres sobre disposições legais e regulamentares e instrumentos jurídicos em preparação em instituições da União Europeia e internacionais, bem como as orientações e recomendações genéricas.

3 - São publicados na 2.ª série do Diário da República os regulamentos administrativos, incluindo os relativos à fixação de taxas e os emitidos ao abrigo do disposto no n.º 3 do artigo 22.º

Artigo 17.ºDenúncias e participações

1 - As denúncias e participações são apresentadas por escrito, em local específico para o efeito no sítio da CNPD, sem prejuízo de, excecionalmente, desde que devidamente fundamentado, se admitir a sua apresentação por correio eletrónico ou correio postal, podendo ser exigida a confirmação da identidade dos seus autores.

2 - (Revogado.) 3 - ...

4 - ...

Artigo 18.º[...]

1 - ...

2 - A CNPD pode aprovar modelos ou formulários, em suporte eletrónico, com vista a permitir melhor instrução dos processos.

3 - (Revogado.) 4 - Os pedidos de parecer sobre disposições legais e regulamentares em preparação devem ser remetidos à CNPD pelo titular do órgão com poder legiferante ou regulamentar, instruídos com o respetivo estudo de impacto sobre a proteção de dados pessoais.

5 - Os pedidos de parecer sobre quaisquer outros instrumentos jurídicos da União Europeia ou internacionais em preparação, relativos ao tratamento de dados pessoais, devem ser remetidos à CNPD pela entidade que representa o Estado português no processo de elaboração da iniciativa, devidamente instruídos.

Artigo 19.º[...]

1 - ...:

2 - ...

Artigo 20.º[...]

1 - As receitas e despesas da CNPD, que goza de autonomia administrativa e financeira, constam de orçamento anual.

2 - Além das dotações que lhe sejam atribuídas no orçamento da Assembleia da República, nos termos da Lei n.º 59/90, de 21 de novembro, constituem receitas da CNPD:

3 - ...

4 - ...

5 - ...

6 - A gestão do orçamento da CNPD, incluindo as dotações não integradas no orçamento da Assembleia da República, fica sujeita ao regime deste último, sendo igualmente aplicável o regime previsto no n.º 10 do artigo 60.º da Lei n.º 71/2018, de 31 de dezembro.

Artigo 21.º[...]

1 - ...

2 - O montante das taxas, que deve ser proporcional à complexidade do pedido e ao serviço prestado, é fixado em regulamento pela CNPD.

3 - ...

Artigo 22.º[...]

1 - A CNPD dispõe de serviços de apoio próprios que compreendem unidades e núcleos.

2 - Os serviços de apoio são constituídos pelas seguintes unidades:

3 - Compete à CNPD aprovar o regulamento de organização e funcionamento dos serviços de apoio, bem como o regulamento de avaliação dos trabalhadores.

4 - (Anterior n.º 3.) 5 - O secretário é nomeado por despacho do presidente, obtido parecer favorável da Comissão, com observância dos requisitos legais adequados ao desempenho das respetivas funções, escolhido preferencialmente de entre funcionários já pertencentes ao mapa da CNPD, habilitados com licenciatura e de reconhecida competência para o desempenho do lugar.

6 - (Anterior n.º 5.)

Artigo 24.ºUnidade de Direitos e Sanções

Compete à Unidade de Direitos e Sanções assegurar o apoio técnico-jurídico, designadamente:

Artigo 25.ºUnidade de Relações Públicas e Internacionais

Compete à Unidade de Relações Públicas e Internacionais assegurar o apoio em matéria de informação, documentação e relações públicas e na interação com autoridades europeias e internacionais, designadamente:

Artigo 26.ºUnidade de Informática

1 - Compete à Unidade de Informática garantir o normal funcionamento das infraestruturas de informação e comunicação da CNPD e o apoio técnico necessário na área das tecnologias de informação, nomeadamente:

Artigo 27.ºUnidade de Apoio Administrativo e Financeiro

Compete à Unidade de Apoio Administrativo e Financeiro apoiar a CNPD na gestão dos processos e dos recursos humanos, financeiros e materiais, designadamente:

Artigo 28.º[...]

1 - Aos trabalhadores da CNPD aplica-se o regime geral do trabalho em funções públicas.

2 - ...

Artigo 29.º[...]

Os trabalhadores da CNPD possuem cartão de identificação, dele constando o cargo desempenhado e os poderes inerentes à sua função.

Artigo 30.º[...]

1 - ...

2 - ...

3 - ...

4 - O prazo previsto no n.º 1 do artigo 97.º da Lei Geral do Trabalho em Funções Públicas, aprovada em anexo à Lei n.º 35/2014, de 20 de junho, não é aplicável ao regime de mobilidade para os serviços de apoio à CNPD, podendo, porém, a mobilidade ser dada por finda por decisão do presidente, ouvida a Comissão, ou a pedido do interessado.

5 - ...

6 - Para o desempenho de funções nos serviços de apoio da CNPD no âmbito dos mecanismos de mobilidade, e sempre que se opere por iniciativa do trabalhador, é dispensado o acordo do serviço de origem.

Artigo 31.ºTrabalhadores em funções públicas

A nomeação em comissão de serviço de trabalhadores em funções públicas para o cargo de consultor não determina a abertura de vaga no mapa de origem, ficando salvaguardados todos os direitos inerentes aos seus anteriores cargos ou funções, designadamente para efeitos de promoção ou progressão.»

Artigo 64.ºAditamento à Lei n.º 43/2004, de 18 de agosto

São aditados os artigos 19.º-A e 24.º-A à Lei n.º 43/2004, de 18 de agosto, com a seguinte redação: «Artigo 19.º-A Fiscal único 1 - O fiscal único é o órgão responsável pelo controlo da legalidade, da regularidade e da boa gestão financeira e patrimonial da CNPD, e de consulta por esta nesse domínio.

2 - O fiscal único é um revisor oficial de contas, designado pela Assembleia da República, por resolução, e que toma posse perante o Presidente da Assembleia da República.

3 - O mandato do fiscal único tem a duração de cinco anos, não renovável, permanecendo em exercício de funções até à efetiva substituição.

4 - O fiscal único é remunerado por valor correspondente a 25 /prct. da remuneração base auferida pelos membros da CNPD.

5 - Compete, designadamente, ao fiscal único:

Artigo 24.ºA

Unidade de Inspeção Compete à Unidade de Inspeção realizar inspeções e auditorias no âmbito dos processos em curso, com mandato da CNPD, em especial:

Artigo 65.ºAlteração à Lei n.º 26/2016, de 22 de agosto

O artigo 6.º do regime de acesso à informação administrativa e ambiental e de reutilização dos documentos administrativos aprovado pela Lei n.º 26/2016, de 22 de agosto , passa a ter a seguinte redação: «Artigo 6.º [...] 1 - ...

2 - ...

3 - ...

4 - ...

5 - ...

6 - ...

7 - ...

8 - ...

9 - Sem prejuízo das ponderações previstas nos números anteriores, nos pedidos de acesso a documentos nominativos que não contenham dados pessoais que revelem a origem étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a filiação sindical, dados genéticos, biométricos ou relativos à saúde, ou dados relativos à intimidade da vida privada, à vida sexual ou à orientação sexual de uma pessoa, presume-se, na falta de outro indicado pelo requerente, que o pedido se fundamenta no direito de acesso a documentos administrativos.»

Artigo 66.ºNorma revogatória

1 - É revogada a Lei n.º 67/98, de 26 de outubro , que transpõe para a ordem jurídica portuguesa a Diretiva 95/45/CE, do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção de pessoas singulares no que diz respeito ao tratamento dos dados pessoais e à livre circulação desses dados.

2 - São revogados o n.º 3 do artigo 15.º e o n.º 2 do artigo 17.º da Lei n.º 43/2004, de 18 de agosto, alterada pela Lei n.º 55-A/2010, de 31 de dezembro.

Artigo 67.ºRepublicação

É republicada em anexo à presente lei, da qual faz parte integrante, a Lei n.º 43/2004, de 18 de agosto, com a redação atual e com as necessárias correções formais.

Artigo 68.ºEntrada em vigor e produção de efeitos

1 - A presente lei entra em vigor no dia seguinte ao da sua publicação.

2 - O fiscal único a eleger nos termos do disposto no artigo 19.º-A da Lei n.º 43/2004, de 18 de agosto, só pode iniciar o seu mandato a partir de 1 de janeiro de 2020.

Aprovada em 14 de junho de 2019.

O Presidente da Assembleia da República, Eduardo Ferro Rodrigues.

Promulgada em 26 de julho de 2019.

Publique-se.

O Presidente da República, Marcelo Rebelo de Sousa.

Referendada em 30 de julho de 2019.

Pelo Primeiro-Ministro, Augusto Ernesto Santos Silva, Ministro dos Negócios Estrangeiros.

ANEXO (a que se refere o artigo 67.º) Republicação da Lei n.º 43/2004, de 18 de agosto

CAPÍTULO I

Disposições gerais

Artigo 1.ºÂmbito

A presente lei regula a organização e o funcionamento da Comissão Nacional de Proteção de Dados (CNPD), bem como o estatuto pessoal dos seus membros.

Artigo 2.ºNatureza, atribuições e competências

1 - A CNPD é uma entidade administrativa independente, com personalidade jurídica de direito público e poderes de autoridade, dotada de autonomia administrativa e financeira, que funciona junto da Assembleia da República.

2 - A CNPD é a autoridade de controlo nacional para efeitos do Regulamento Geral de Proteção de Dados (RGPD), aprovado pelo Regulamento (UE) 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de 2016, e da lei que assegura a sua execução na ordem jurídica interna.

3 - A CNPD controla e fiscaliza o cumprimento do RGPD e da presente lei, bem como das demais disposições legais e regulamentares em matéria de proteção de dados pessoais, a fim de defender os direitos, liberdades e garantias das pessoas singulares no âmbito dos tratamentos de dados pessoais.

4 - A CNPD age com independência na prossecução das suas atribuições e no exercício dos poderes que lhe são atribuídos pela presente lei.

CAPÍTULO II

Membros da CNPD

Artigo 3.ºComposição, designação e mandato dos membros

1 - A CNPD é composta por sete membros de integridade e mérito reconhecidos:

2 - O mandato dos membros da CNPD é de cinco anos, renovável duas vezes, e cessa com a posse dos novos membros.

3 - A designação dos membros da CNPD consta de lista publicada na 1.ª série do Diário da República.

4 - Os membros da CNPD tomam posse perante o Presidente da Assembleia da República nos 10 dias seguintes à publicação da lista referida no número anterior.

Artigo 4.ºIncapacidades e incompatibilidades

1 - Só podem ser membros da CNPD os cidadãos que se encontrem no pleno gozo dos seus direitos civis e políticos.

2 - Os membros da CNPD ficam sujeitos ao regime de incompatibilidades estabelecido para os titulares de altos cargos públicos.

Artigo 5.ºInamovibilidade

1 - Os membros da CNPD são inamovíveis, não podendo as suas funções cessar antes do termo do mandato, salvo nos seguintes casos:

2 - No caso de vacatura por um dos motivos previstos no número anterior, a vaga deve ser preenchida no prazo de 30 dias após a sua verificação, através da designação de novo membro pela entidade competente.

3 - O membro designado nos termos do número anterior completa o mandato do membro que substitui.

Artigo 6.ºRenúncia

1 - Os membros da CNPD podem renunciar ao mandato através de declaração escrita apresentada à Comissão.

2 - A renúncia torna-se efetiva com o seu anúncio e é publicada na 2.ª série do Diário da República.

Artigo 7.ºPerda do mandato

1 - Perdem o mandato os membros da CNPD que:

2 - A perda do mandato é objeto, conforme os casos, de deliberação ou declaração a publicar na 2.ª série do Diário da República.

Artigo 8.ºDeveres

Constituem deveres dos membros da CNPD:

Artigo 9.ºEstatuto remuneratório

1 - O presidente da CNPD é remunerado de acordo com a tabela indiciária e o regime fixados para o cargo de diretor-geral, cabendo aos restantes membros uma remuneração igual a 85 /prct. daquela, sem prejuízo da faculdade de opção pelas remunerações correspondentes ao lugar de origem.

2 - O presidente da CNPD tem direito a um abono mensal para despesas de representação de montante igual ao atribuído aos diretores-gerais.

3 - Os restantes membros da CNPD têm direito a um abono mensal para despesas de representação de montante igual ao atribuído aos subdiretores-gerais.

4 - Os membros da CNPD beneficiam do regime geral de segurança social, se não estiverem abrangidos por outro mais favorável.

Artigo 10.ºGarantias

Os membros da CNPD beneficiam das seguintes garantias:

Artigo 11.ºImpedimentos e suspeições

1 - Aos impedimentos e suspeições são aplicáveis, com as devidas adaptações, as disposições do Código do Procedimento Administrativo.

2 - Os impedimentos e suspeições são apreciados pela CNPD.

Artigo 12.ºCartão de identificação

1 - Os membros da CNPD possuem cartão de identificação, dele constando o cargo, as regalias e os direitos inerentes à sua função.

2 - O cartão de identificação é simultaneamente de livre trânsito e de acesso a todos os locais em que sejam tratados dados pessoais sujeitos ao controlo da CNPD.

CAPÍTULO III

Funcionamento da CNPD

Artigo 13.ºReuniões

1 - A CNPD funciona com carácter permanente.

2 - A CNPD tem reuniões ordinárias e extraordinárias.

3 - As reuniões extraordinárias têm lugar:

4 - As reuniões da CNPD não são públicas e realizam-se nas suas instalações ou, por sua deliberação, em qualquer outro local do território nacional, sendo a periodicidade estabelecida nos termos adequados ao desempenho das suas funções.

5 - O presidente, quando o entender conveniente, pode, com o acordo da Comissão, convidar a participar nas reuniões, salvo na fase decisória, qualquer pessoa cuja presença seja considerada útil.

6 - Das reuniões é lavrada ata, que, depois de aprovada pela CNPD, é assinada pelo presidente e pelo secretário.

Artigo 14.ºOrdem de trabalhos

1 - A ordem de trabalhos para cada reunião ordinária é fixada pelo presidente, devendo ser comunicada aos vogais com a antecedência mínima de dois dias úteis relativamente à data prevista para a sua realização.

2 - A ordem de trabalhos deve incluir os assuntos que para esse fim lhe forem indicados por qualquer vogal, desde que sejam da competência do órgão e o pedido seja apresentado por escrito com uma antecedência mínima de cinco dias sobre a data da reunião.

Artigo 15.ºDeliberações

1 - A CNPD só pode reunir e deliberar com a presença de pelo menos quatro membros.

2 - As deliberações da CNPD são tomadas por maioria dos membros presentes, tendo o presidente voto de qualidade.

3 - (Revogado.)

Artigo 16.ºPublicidade

1 - São publicados no sítio da Internet da CNPD as deliberações relativas a:

2 - São ainda publicados naquele sítio os regulamentos e os pareceres sobre disposições legais e regulamentares e instrumentos jurídicos em preparação em instituições da União Europeia e internacionais, bem como as orientações e recomendações genéricas.

3 - São publicados na 2.ª série do Diário da República os regulamentos administrativos, incluindo os relativos à fixação de taxas e os emitidos ao abrigo do disposto no n.º 3 do artigo 22.º

Artigo 17.ºDenúncias e participações

1 - As denúncias e participações são apresentadas por escrito, em local específico para o efeito no sítio da CNPD, sem prejuízo de, excecionalmente, desde que devidamente fundamentado, se admitir a sua apresentação por correio eletrónico ou correio postal, podendo ser exigida a confirmação da identidade dos seus autores.

2 - (Revogado.) 3 - Quando a questão suscitada não for da competência da CNPD, deve a mesma ser encaminhada para a entidade competente, com informação ao exponente.

4 - As reclamações, queixas e petições manifestamente infundadas podem ser arquivadas pelo membro da Comissão a quem o respetivo processo tenha sido distribuído.

Artigo 18.ºFormalidades

1 - Os documentos dirigidos à CNPD e o processado subsequente não estão sujeitos a formalidades especiais.

2 - A CNPD pode aprovar modelos ou formulários, em suporte eletrónico, com vista a permitir melhor instrução dos processos.

3 - (Revogado.) 4 - Os pedidos de parecer sobre disposições legais e regulamentares em preparação devem ser remetidos à CNPD pelo titular do órgão com poder legiferante ou regulamentar, instruídos com o respetivo estudo de impacto sobre a proteção de dados pessoais.

5 - Os pedidos de parecer sobre quaisquer outros instrumentos jurídicos da União Europeia ou internacionais em preparação, relativos ao tratamento de dados pessoais, devem ser remetidos à CNPD pela entidade que representa o Estado português no processo de elaboração da iniciativa, devidamente instruídos.

Artigo 19.ºCompetências e substituição do presidente

1 - Compete ao presidente:

2 - O presidente é substituído, nas suas faltas e impedimentos, pelo vogal que a Comissão designar.

Artigo 19.ºA

Fiscal único 1 - O fiscal único é o órgão responsável pelo controlo da legalidade, da regularidade e da boa gestão financeira e patrimonial da CNPD, e de consulta por esta nesse domínio.

2 - O fiscal único é um revisor oficial de contas, designado pela Assembleia da República, por resolução, e que toma posse perante o Presidente da Assembleia da República.

3 - O mandato do fiscal único tem a duração de cinco anos, não renovável, permanecendo em exercício de funções até à efetiva substituição.

4 - O fiscal único é remunerado por valor correspondente a 25 /prct. da remuneração base auferida pelos membros da CNPD.

5 - Compete, designadamente, ao fiscal único:

CAPÍTULO IV

Regime financeiro

Artigo 20.ºRegime de receitas e despesas

1 - As receitas e despesas da CNPD, que goza de autonomia administrativa e financeira, constam de orçamento anual.

2 - Além das dotações que lhe forem atribuídas no orçamento da Assembleia da República, nos termos da Lei n.º 59/90, de 21 de novembro, constituem receitas da CNPD:

3 - Constituem despesas da CNPD as que resultem dos encargos e responsabilidades decorrentes do seu funcionamento, bem como quaisquer outras relativas à prossecução das suas atribuições.

4 - O orçamento anual, as respetivas alterações bem como as contas são aprovados pela CNPD.

5 - As contas da CNPD ficam sujeitas, nos termos gerais, ao controlo do Tribunal de Contas.

6 - A gestão do orçamento da CNPD, incluindo as dotações não integradas no orçamento da Assembleia da República, fica sujeita ao regime deste último, sendo igualmente aplicável o regime previsto no n.º 10 do artigo 60.º da Lei n.º 71/2018, de 31 de dezembro.

Artigo 21.ºTaxas

1 - A CNPD pode cobrar taxas:

2 - O montante das taxas, que deve ser proporcional à complexidade do pedido e ao serviço prestado, é fixado em regulamento pela CNPD.

3 - Em caso de comprovada insuficiência económica, o interessado poderá ficar isento, total ou parcialmente, do pagamento das taxas referidas no n.º 1, mediante deliberação da CNPD.

CAPÍTULO V

Serviços de apoio

Artigo 22.ºOrganização dos serviços de apoio

1 - A CNPD dispõe de serviços de apoio próprios que compreendem unidades e núcleos.

2 - Os serviços de apoio são constituídos pelas seguintes unidades:

3 - Compete à CNPD aprovar o regulamento de organização e funcionamento dos serviços de apoio, bem como o regulamento de avaliação dos trabalhadores.

4 - Os serviços de apoio são dirigidos por um secretário, o qual tem direito à remuneração mais elevada de consultor-coordenador, bem como a um abono mensal para despesas de representação no valor de 8 /prct. da remuneração base.

5 - O secretário é nomeado por despacho do presidente, obtido parecer favorável da Comissão, com observância dos requisitos legais adequados ao desempenho das respetivas funções, escolhido preferencialmente de entre funcionários já pertencentes ao mapa da CNPD, habilitados com licenciatura e de reconhecida competência para o desempenho do lugar.

6 - A nomeação do secretário é feita em regime de comissão de serviço, por períodos de três anos.

Artigo 23.ºCompetências do secretário

1 - Compete ao secretário:

2 - O secretário é substituído, nas suas faltas e impedimentos, pelo técnico superior ou consultor designado pelo presidente, obtido parecer favorável da Comissão.

Artigo 24.ºUnidade de Direitos e Sanções

Compete à Unidade de Direitos e Sanções assegurar o apoio técnico-jurídico, designadamente:

Artigo 24.ºA

Unidade de Inspeção Compete à Unidade de Inspeção realizar inspeções e auditorias no âmbito dos processos em curso, com mandato do presidente da CNPD, em especial:

Artigo 25.ºUnidade de Relações Públicas e Internacionais

Compete à Unidade de Relações Públicas e Internacionais assegurar o apoio em matéria de informação, documentação e relações públicas e na interação com autoridades europeias e internacionais, designadamente:

Artigo 26.ºUnidade de Informática

1 - Compete à Unidade de Informática garantir o normal funcionamento das infraestruturas de informação e comunicação da CNPD e o apoio técnico necessário na área das tecnologias de informação, nomeadamente:

Artigo 27.ºUnidade de Apoio Administrativo e Financeiro

Compete à Unidade de Apoio Administrativo e Financeiro apoiar a CNPD na gestão dos processos e dos recursos humanos, financeiros e materiais, designadamente:

Artigo 28.ºRegime de pessoal

1 - Aos trabalhadores da CNPD aplica-se o regime geral do trabalho em funções públicas.

2 - O pessoal da CNPD está isento de horário de trabalho, não sendo por isso devida qualquer remuneração a título de horas extraordinárias, sem prejuízo do disposto no artigo 33.º

Artigo 29.ºCartão de identificação

Os trabalhadores da CNPD possuem cartão de identificação, dele constando o cargo desempenhado e os poderes inerentes à sua função.

CAPÍTULO VI

Disposições finais e transitórias

Artigo 30.ºQuadro de pessoal

1 - O quadro de pessoal, bem como o conteúdo funcional das respetivas carreiras, é fixado em resolução da Assembleia da República.

2 - Os lugares de consultor da CNPD serão providos em regime de comissão de serviço, por tempo indeterminado, requisição ou destacamento, no caso da nomeação recair em funcionário público, ou em regime de contrato individual de trabalho, quando não vinculados à Administração Pública.

3 - São condições indispensáveis ao recrutamento de consultor a elevada competência profissional e experiência válida para o exercício da função, a avaliar com base nos respetivos curricula.

4 - O prazo previsto no n.º 1 do artigo 97.º da Lei Geral do Trabalho em Funções Públicas, aprovada em anexo à Lei n.º 35/2014, de 20 de junho, não é aplicável ao regime de mobilidade para os serviços de apoio à CNPD, podendo, porém, a mobilidade ser dada por finda por decisão do presidente, ouvida a Comissão, ou a pedido do interessado.

5 - Quando a complexidade e ou especificidade dos assuntos o exigir pode o presidente autorizar a contratação de pessoal em regime de contrato de prestação de serviços.

6 - Para o desempenho de funções nos serviços de apoio da CNPD no âmbito dos mecanismos de mobilidade, e sempre que se opere por iniciativa do trabalhador, é dispensado o acordo do serviço de origem.

Artigo 31.ºTrabalhadores em funções públicas

A nomeação em comissão de serviço de trabalhadores em funções públicas para o cargo de consultor não determina a abertura de vaga no mapa de origem, ficando salvaguardados todos os direitos inerentes aos seus anteriores cargos ou funções, designadamente para efeitos de promoção ou progressão.

Artigo 32.ºRemuneração base, recrutamento, promoção e progressão dos consultores

1 - A remuneração base mensal dos consultores da CNPD consta do mapa i anexo a esta lei, de que faz parte integrante.

2 - A promoção e progressão nas categorias de consultor-coordenador e consultor rege-se pelos princípios aplicáveis à carreira técnica superior.

3 - Pode haver lugar a recrutamento direto para a categoria de consultor-coordenador, desde que os candidatos possuam adequada qualificação e experiência profissional para o efeito.

4 - Podem ser recrutados como consultores-adjuntos indivíduos licenciados com qualificações para o exercício da função, sempre que não se justifique o recrutamento na categoria de consultor.

Artigo 33.ºDisponibilidade permanente

1 - O pessoal da CNPD tem direito a um suplemento remuneratório, a título de disponibilidade permanente, de montante mensal correspondente a 12,5 /prct. da remuneração base.

2 - O suplemento é abonado em 12 mensalidades e releva para efeitos de aposentação, sendo considerado no cálculo da pensão pela fórmula prevista na alínea b) do n.º 1 do artigo 47.º do Estatuto da Aposentação.

3 - Ao pessoal da CNPD abrangido pelos n.os 1, 2, 7 e 9 do artigo 34.º não é atribuído o suplemento referido nos números anteriores.

Artigo 34.ºPessoal atualmente ao serviço da CNPD

1 - Os funcionários e agentes que prestam atualmente serviço na CNPD e que beneficiam do regime do n.º 3 do artigo 26.º da Lei n.º 67/98, de 26 de outubro, transitam para o novo quadro de acordo com as regras dos números seguintes, mantendo o seu atual estatuto remuneratório, que passa a ter a natureza de remuneração pessoal.

2 - Ao pessoal da CNPD, não vinculado à Administração Pública, que se encontre na situação do número anterior aplica-se idêntico regime remuneratório, sendo porém a sua relação jurídica de emprego a do contrato individual de trabalho, ao abrigo da lei geral aplicável à Administração Pública.

3 - Os lugares da carreira técnica superior e especialista de informática previstos no quadro de pessoal, para garantir a transição prevista nos n.os 1 e 2, são lugares a extinguir quando vagarem.

4 - Os funcionários vinculados à Administração Pública a prestar serviço na CNPD à data da entrada em vigor da presente lei transitam para o novo quadro, mediante deliberação daquela, para a carreira e categoria que integre as funções que o funcionário efetivamente desempenhe, sem prejuízo das habilitações e qualificações legalmente exigidas, em escalão a que corresponda o mesmo índice remuneratório, ou, quando não houver coincidência de índice, em escalão a que corresponda o índice superior mais aproximado na estrutura da carreira para que se processe a transição.

5 - A correspondência referida no número anterior fixa-se entre os índices remuneratórios definidos para o escalão 1 da categoria em que o funcionário se encontra e o escalão 1 da categoria da nova carreira.

6 - Aos funcionários que, nos termos do n.º 1, transitem para categoria diversa será contado, nesta última, para todos os efeitos legais, o tempo de serviço prestado na anterior, desde que no exercício de funções idênticas ou semelhantes às da nova carreira.

7 - O disposto no n.º 1 aplica-se igualmente ao atual secretário, com as necessárias adaptações decorrentes do regime de exercício de funções.

8 - A transição para os lugares do quadro da CNPD faz-se por despacho do presidente, independentemente de quaisquer outras formalidades, sem prejuízo do disposto no n.º 1.

9 - A CNPD pode deliberar manter as comissões, requisições ou destacamentos do pessoal ao seu serviço à data da entrada em vigor da presente lei, mantendo os funcionários que beneficiem do n.º 3 do artigo 26.º da Lei n.º 67/98 o seu atual estatuto remuneratório, que passa a ter natureza de remuneração pessoal.

Artigo 35.ºNorma transitória

1 - A suspensão da comissão de serviço do presidente da CNPD mantém-se até ao termo do seu mandato.

2 - A aplicação da presente lei no corrente ano faz-se no quadro orçamental aprovado para a CNPD em 2004.

Artigo 36.ºNorma revogatória

São revogados:

ANEXO MAPA I (a que se refere o n.º 1 do artigo 32.º) (ver documento original) Páginas: © Copyright 2026. Todos os direitos reservados Desenvolvido por Javali