RGPD

I. Introdução

A 20 de junho de 2018, Portugal adotou a Lei Portuguesa n.º 58/2019 sobre a proteção de dados pessoais, a fim de implementar o Regulamento Geral sobre a Proteção de Dados (RGPD). Esta lei revê e consolida a Lei de Proteção de Dados de 1978. A Comissão Nacional de Informática e Liberdades (CNPD), enquanto autoridade nacional de controlo, é responsável por supervisionar, orientar e fazer cumprir o RGPD e os seus regulamentos de execução em Portugal. Assim, Portugal estabeleceu um sistema de proteção de dados pessoais que cumpre os requisitos da União Europeia.

II. Âmbito

Os regulamentos do RGPD aplicam-se em Portugal:

a qualquer responsável pelo tratamento ou subcontratante estabelecido em território português;
a qualquer organização localizada fora de Portugal que ofereça bens ou serviços a pessoas localizadas em Portugal, ou que monitorize o seu comportamento em território português.

Independentemente do local onde o tratamento ocorra, desde que diga respeito a dados pessoais de indivíduos localizados em Portugal, a lei aplica-se. Abrange tanto o tratamento automatizado como o não automatizado que faça parte de um sistema de ficheiros. Atividades de natureza exclusivamente pessoal ou doméstica não são abrangidas pelo seu âmbito.

III. Princípios do Tratamento de Dados

Licitude, lealdade e transparência: Todo o tratamento deve ter uma base legal clara e ser conduzido de forma transparente.
Limitação das finalidades: Os dados só podem ser utilizados para finalidades específicas e legítimas.
Minimização dos dados: Devem ser recolhidos apenas os dados estritamente necessários.
Exatidão: Os dados devem ser exatos e atualizados regularmente.
Limitação da conservação: Os dados devem ser conservados apenas durante o tempo estritamente necessário, sendo posteriormente eliminados ou anonimizados.
Segurança e confidencialidade: Devem ser implementadas medidas técnicas e organizativas adequadas para prevenir qualquer violação, alteração ou perda de dados.

IV. Direitos dos titulares dos dados

De acordo com o RGPD e a lei portuguesa, as pessoas singulares têm os seguintes direitos:

Direito à informação e acesso;
Direito de retificação;
Direito ao apagamento (direito a ser esquecido);
Direito à limitação do tratamento;
Direito à portabilidade dos dados;
Direito de oposição.

Para menores de 15 anos, o tratamento dos seus dados requer o consentimento de um progenitor ou encarregado de educação, e a informação deve ser-lhes fornecida em linguagem clara e compreensível.

V. Obrigações dos subcontratantes

Os subcontratantes devem:

cumprir rigorosamente as instruções escritas do responsável pelo tratamento;
implementar medidas de segurança adequadas;
auxiliar o responsável pelo tratamento no cumprimento das suas obrigações, em particular para responder a pedidos dos titulares dos dados;
notificar o responsável pelo tratamento sem demora de qualquer violação de dados, que deverá informar a CNPD no prazo de 72 horas.

Os responsáveis pelo tratamento devem manter um registo das atividades de tratamento e realizar uma avaliação de impacto sobre a proteção de dados (AIPD) em casos de alto risco. Algumas organizações devem também nomear um encarregado de proteção de dados (EPD) e registar-se na CNPD (Autoridade Portuguesa de Proteção de Dados).

VI. Transferências Internacionais de Dados

Quando se prevê uma transferência para um país não pertencente à UE, o responsável pelo tratamento deve garantir um nível adequado de proteção. Isso pode ser alcançado através de:

uma decisão de adequação da Comissão Europeia;
ou a assinatura das Cláusulas Contratuais-Tipo (CCT).

Desde a invalidação do "Privacy Shield" a 16 de julho de 2020, as empresas portuguesas devem utilizar as novas cláusulas contratuais-tipo adotadas a 4 de junho de 2021 ou qualquer outro mecanismo legal.

VII. Monitorização e Implementação

A CNPD tem amplos poderes, incluindo:

elaboração de avisos ou advertências formais;
restringir ou proibir certos tratamentos;
Impor multas de até 20 milhões de euros ou 4% do volume de negócios global, o que for mais elevado.

A lei portuguesa também permite que os indivíduos forneçam instruções relativas à utilização dos seus dados após a sua morte. Caso contrário, o tratamento deve cumprir as regulamentações aplicáveis. O quadro do RGPD português visa garantir os direitos dos indivíduos, fortalecer a conformidade empresarial e promover a confiança no ambiente digital.