RGPD

I. Introdução

A 20 de junho de 2018, Portugal adotou a Lei Portuguesa n.º 58/2019 sobre a proteção de dados pessoais, a fim de implementar o Regulamento Geral de Proteção de Dados (RGPD). Esta lei revê e consolida a Lei de Proteção de Dados de 1978. A Comissão Nacional de Proteção de Dados (CNPD), enquanto autoridade de controlo nacional, é responsável por supervisionar, orientar e fazer cumprir o RGPD e os seus regulamentos de aplicação em Portugal. Assim, Portugal estabeleceu um sistema de proteção de dados pessoais que cumpre os requisitos da União Europeia.

II. Âmbito de Aplicação

Os regulamentos do RGPD aplicam-se em Portugal:

a qualquer responsável pelo tratamento ou subcontratante estabelecido em território português;
a qualquer organização localizada fora de Portugal que ofereça bens ou serviços a pessoas localizadas em Portugal, ou que monitorize o seu comportamento em território português.

Independentemente do local onde o tratamento ocorre, desde que este diga respeito a dados pessoais de indivíduos localizados em Portugal, a lei aplica-se. Abrange tanto o tratamento automatizado como o não automatizado que faça parte de um sistema de ficheiros. As atividades de natureza exclusivamente pessoal ou doméstica não estão abrangidas pelo seu âmbito.

III. Princípios de Tratamento de Dados

Licitude, lealdade e transparência: Todo o tratamento deve ter uma base jurídica clara e ser conduzido de forma transparente.
Limitação das finalidades: Os dados só podem ser utilizados para finalidades específicas e legítimas.
Minimização dos dados: Devem ser recolhidos apenas os dados estritamente necessários.
Exatidão: Os dados devem ser exatos e atualizados regularmente.
Limitação da conservação: Os dados só devem ser conservados pelo tempo estritamente necessário, sendo depois eliminados ou anonimizados.
Segurança e confidencialidade: Devem ser implementadas medidas técnicas e organizativas adequadas para prevenir qualquer violação, alteração ou perda de dados.

IV. Direitos dos titulares dos dados

De acordo com o RGPD e a legislação portuguesa, as pessoas singulares têm os seguintes direitos:

Direito à informação e acesso;
Direito de retificação;
Direito ao apagamento (direito ao esquecimento);
Direito à restrição do tratamento;
Direito à portabilidade dos dados;
Direito de oposição.

Para menores de 15 anos, o tratamento dos seus dados requer o consentimento de um progenitor ou responsável legal, e a informação deve ser-lhes fornecida em linguagem clara e compreensível.

V. Obrigações dos subcontratantes

Os subcontratantes devem:

cumprir rigorosamente as instruções escritas do responsável pelo tratamento;
implementar medidas de segurança adequadas;
assistir o responsável pelo tratamento no desempenho das suas obrigações, em particular para responder a pedidos dos titulares dos dados;
notificar o responsável pelo tratamento sem demora de qualquer violação de dados, que deve informar a CNPD no prazo de 72 horas.

Os responsáveis pelo tratamento devem manter um registo das atividades de tratamento e realizar uma avaliação de impacto sobre a proteção de dados (AIPD) em casos de alto risco. Algumas organizações devem também nomear um encarregado de proteção de dados (EPD) e registar-se junto da CNPD (Autoridade Portuguesa de Proteção de Dados).

VI. Transferências Internacionais de Dados

Quando se prevê uma transferência para um país não pertencente à UE, o responsável pelo tratamento deve assegurar um nível de proteção adequado. Tal pode ser alcançado através de:

uma decisão de adequação da Comissão Europeia;
ou a assinatura das Cláusulas Contratuais-Tipo (CCT).

Desde a invalidação do "Privacy Shield" a 16 de julho de 2020, as empresas portuguesas devem utilizar as novas cláusulas contratuais-tipo adotadas a 4 de junho de 2021 ou qualquer outro mecanismo legal.

VII. Monitorização e Implementação

A CNPD tem amplos poderes, incluindo:

elaborar advertências ou intimações formais;
restringir ou proibir certos tratamentos;
Impor coimas de até 20 milhões de euros ou 4% do volume de negócios global, o que for mais elevado.

A legislação portuguesa permite também que os indivíduos forneçam instruções relativas à utilização dos seus dados após a sua morte. Caso contrário, o tratamento deve cumprir os regulamentos aplicáveis. O quadro do RGPD português visa garantir os direitos dos indivíduos, reforçar a conformidade das empresas e promover a confiança no ambiente digital.