RGPD

I. Introdução

Em 20 de junho de 2018, Portugal adotou a Lei Portuguesa n.º 58/2019 sobre a proteção de dados pessoais, a fim de implementar o Regulamento Geral de Proteção de Dados (RGPD). Esta lei revê e consolida a Lei de Proteção de Dados de 1978. A Comissão Nacional de Proteção de Dados (CNPD), enquanto autoridade nacional de controlo, é responsável por supervisionar, orientar e fazer cumprir o RGPD e os seus regulamentos de implementação em Portugal. Assim, Portugal estabeleceu um sistema de proteção de dados pessoais que cumpre os requisitos da União Europeia.

II. Âmbito de aplicação

Os regulamentos do RGPD aplicam-se em Portugal:

a qualquer responsável pelo tratamento ou subcontratante estabelecido em território português;
a qualquer organização localizada fora de Portugal que ofereça bens ou serviços a pessoas localizadas em Portugal, ou que monitorize o seu comportamento em território português.

Independentemente do local onde o tratamento ocorre, desde que diga respeito a dados pessoais de indivíduos localizados em Portugal, a lei aplica-se. Abrange tanto o tratamento automatizado como o não automatizado que faça parte de um sistema de ficheiros. As atividades de natureza exclusivamente pessoal ou doméstica não são abrangidas pelo seu âmbito de aplicação.

III. Princípios do Tratamento de Dados

Licitude, lealdade e transparência: Todo o tratamento deve ter uma base jurídica clara e ser conduzido de forma transparente.
Limitação das finalidades: Os dados só podem ser utilizados para finalidades específicas e legítimas.
Minimização dos dados: Devem ser recolhidos apenas os dados estritamente necessários.
Exatidão: Os dados devem ser exatos e atualizados regularmente.
Limitação da conservação: Os dados só devem ser conservados pelo tempo estritamente necessário, sendo posteriormente eliminados ou anonimizados.
Segurança e confidencialidade: Devem ser implementadas medidas técnicas e organizativas adequadas para evitar qualquer violação, alteração ou perda de dados.

IV. Direitos dos titulares dos dados

De acordo com o RGPD e a lei portuguesa, as pessoas singulares têm os seguintes direitos:

Direito à informação e acesso;
Direito de retificação;
Direito ao apagamento (direito a ser esquecido);
Direito à limitação do tratamento;
Direito à portabilidade dos dados;
Direito de oposição.

Para menores de 15 anos, o tratamento dos seus dados requer o consentimento de um progenitor ou responsável legal, e a informação deve ser-lhes fornecida em linguagem clara e compreensível.

V. Obrigações dos subcontratantes

Os subcontratantes devem:

cumprir rigorosamente as instruções escritas do responsável pelo tratamento;
implementar medidas de segurança adequadas;
auxiliar o responsável pelo tratamento no cumprimento das suas obrigações, em particular para responder aos pedidos dos titulares dos dados;
notificar o responsável pelo tratamento, sem demora, de qualquer violação de dados, que deve informar a CNPD no prazo de 72 horas.

Os responsáveis pelo tratamento devem manter um registo das atividades de tratamento e realizar uma avaliação de impacto sobre a proteção de dados (AIPD) em casos de alto risco. Algumas organizações devem também nomear um encarregado de proteção de dados (EPD) e registar-se junto da CNPD (Autoridade Portuguesa de Proteção de Dados).

VI. Transferências Internacionais de Dados

Quando se prevê uma transferência para um país não pertencente à UE, o responsável pelo tratamento deve assegurar um nível adequado de proteção. Isso pode ser conseguido através de:

uma decisão de adequação da Comissão Europeia;
ou a assinatura das Cláusulas Contratuais-Tipo (CCT).

Desde a invalidação do "Privacy Shield" em 16 de julho de 2020, as empresas portuguesas devem utilizar as novas cláusulas contratuais-tipo adotadas em 4 de junho de 2021 ou qualquer outro mecanismo legal.

VII. Monitorização e Implementação

A CNPD tem amplos poderes, incluindo:

elaborar advertências ou intimações;
restringir ou proibir determinados tratamentos;
Impor coimas até 20 milhões de euros ou 4% do volume de negócios global, o que for mais elevado.

A lei portuguesa permite também que os indivíduos forneçam instruções relativas à utilização dos seus dados após a sua morte. Caso contrário, o tratamento deve cumprir os regulamentos aplicáveis. O quadro do RGPD português visa garantir os direitos dos indivíduos, reforçar a conformidade das empresas e promover a confiança no ambiente digital.