RGPD

I. Introdução

A 20 de junho de 2018, Portugal adotou a Lei Portuguesa n.º 58/2019 sobre a proteção de dados pessoais, a fim de implementar o Regulamento Geral de Proteção de Dados (RGPD). Esta lei revê e consolida a Lei de Proteção de Dados de 1978. A Comissão Nacional de Proteção de Dados (CNPD), enquanto autoridade de controlo nacional, é responsável por supervisionar, orientar e fazer cumprir o RGPD e os seus regulamentos de aplicação em Portugal. Assim, Portugal estabeleceu um sistema de proteção de dados pessoais que cumpre os requisitos da União Europeia.

II. Âmbito de aplicação

Os regulamentos do RGPD aplicam-se em Portugal:

a qualquer responsável pelo tratamento ou subcontratante estabelecido em território português;
a qualquer organização localizada fora de Portugal que ofereça bens ou serviços a pessoas localizadas em Portugal, ou que monitorize o seu comportamento em território português.

Independentemente do local onde o tratamento ocorre, desde que diga respeito a dados pessoais de indivíduos localizados em Portugal, a lei aplica-se. Abrange tanto o tratamento automatizado como o não automatizado que faça parte de um sistema de ficheiros. As atividades de natureza exclusivamente pessoal ou doméstica não são abrangidas pelo seu âmbito.

III. Princípios de Tratamento de Dados

Licitude, lealdade e transparência: Todo o tratamento deve ter uma base legal clara e ser conduzido de forma transparente.
Limitação das finalidades: Os dados só podem ser utilizados para finalidades específicas e legítimas.
Minimização dos dados: Devem ser recolhidos apenas os dados estritamente necessários.
Exatidão: Os dados devem ser exatos e atualizados regularmente.
Limitação da conservação: Os dados devem ser conservados apenas durante o tempo estritamente necessário, sendo depois eliminados ou anonimizados.
Segurança e confidencialidade: Devem ser implementadas medidas técnicas e organizativas adequadas para prevenir qualquer violação, alteração ou perda de dados.

IV. Direitos dos titulares dos dados

De acordo com o RGPD e a lei portuguesa, as pessoas singulares têm os seguintes direitos:

Direito à informação e acesso;
Direito de retificação;
Direito ao apagamento (direito a ser esquecido);
Direito à limitação do tratamento;
Direito à portabilidade dos dados;
Direito de oposição.

Para menores de 15 anos, o tratamento dos seus dados requer o consentimento de um progenitor ou responsável legal, e a informação deve ser-lhes fornecida em linguagem clara e compreensível.

V. Obrigações dos subcontratantes

Os subcontratantes devem:

cumprir rigorosamente as instruções escritas do responsável pelo tratamento;
implementar medidas de segurança adequadas;
assistir o responsável pelo tratamento no desempenho das suas obrigações, em particular para responder a pedidos dos titulares dos dados;
notificar o responsável pelo tratamento sem demora de qualquer violação de dados, que deve informar a CNPD no prazo de 72 horas.

Os responsáveis pelo tratamento devem manter um registo das atividades de tratamento e realizar uma avaliação de impacto sobre a proteção de dados (DPIA) em casos de alto risco. Algumas organizações devem também nomear um encarregado de proteção de dados (DPO) e registar-se junto da CNPD (Autoridade Portuguesa de Proteção de Dados).

VI. Transferências Internacionais de Dados

Quando se prevê uma transferência para um país não pertencente à UE, o responsável pelo tratamento deve assegurar um nível de proteção adequado. Tal pode ser alcançado através de:

uma decisão de adequação da Comissão Europeia;
ou a assinatura das Cláusulas Contratuais-Tipo (SCC).

Desde a invalidação do "Privacy Shield" a 16 de julho de 2020, as empresas portuguesas devem utilizar as novas cláusulas contratuais-tipo adotadas a 4 de junho de 2021 ou qualquer outro mecanismo legal.

VII. Monitorização e Implementação

A CNPD possui amplos poderes, incluindo:

elaborar advertências ou notificações formais;
restringir ou proibir determinados tratamentos;
Impor multas de até 20 milhões de euros ou 4% do volume de negócios global, o que for superior.

A lei portuguesa permite também que os indivíduos forneçam instruções relativas à utilização dos seus dados após a sua morte. Caso contrário, o tratamento deve cumprir os regulamentos aplicáveis. O quadro do RGPD português visa garantir os direitos dos indivíduos, reforçar a conformidade das empresas e promover a confiança no ambiente digital.