|
Lei n.º 58/2019, de 08 de Agosto LEI DA PROTEÇÃO DE DADOS PESSOAIS(versão actualizada) O diploma ainda não sofreu alterações |
|
| SUMÁRIO Assegura a execução, na ordem jurídica nacional, do Regulamento (UE) 2016/679 do Parlamento e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados _____________________ |
|
Artigo 26.º
Acesso a documentos administrativos |
| O acesso a documentos administrativos que contenham dados pessoais rege-se pelo disposto na Lei n.º 26/2016, de 22 de agosto. |
| |
|
|
|
|
Artigo 27.º
Publicação de dados no âmbito da contratação pública |
| No âmbito da contratação pública, e caso seja necessária a publicação de dados pessoais, não devem ser publicados outros dados pessoais para além do nome, sempre que este seja suficiente para garantir a identificação do contraente público e do cocontratante. |
| |
|
|
|
|
Artigo 28.º
Relações laborais |
1 - O empregador pode tratar os dados pessoais dos seus trabalhadores para as finalidades e com os limites definidos no Código do Trabalho e respetiva legislação complementar ou noutros regimes setoriais, com as especificidades estabelecidas no presente artigo.
2 - O número anterior abrange igualmente o tratamento efetuado por subcontratante ou contabilista certificado em nome do empregador, para fins de gestão das relações laborais, desde que realizado ao abrigo de um contrato de prestação de serviços e sujeito a iguais garantias de sigilo.
3 - Salvo norma legal em contrário, o consentimento do trabalhador não constitui requisito de legitimidade do tratamento dos seus dados pessoais:
a) Se do tratamento resultar uma vantagem jurídica ou económica para o trabalhador; ou
b) Se esse tratamento estiver abrangido pelo disposto na alínea b) do n.º 1 do artigo 6.º do RGPD.
4 - As imagens gravadas e outros dados pessoais registados através da utilização de sistemas de vídeo ou outros meios tecnológicos de vigilância à distância, nos termos previstos no artigo 20.º do Código do Trabalho, só podem ser utilizados no âmbito do processo penal.
5 - Nos casos previstos no número anterior, as imagens gravadas e outros dados pessoais podem também ser utilizados para efeitos de apuramento de responsabilidade disciplinar, na medida em que o sejam no âmbito do processo penal.
6 - O tratamento de dados biométricos dos trabalhadores só é considerado legítimo para controlo de assiduidade e para controlo de acessos às instalações do empregador, devendo assegurar-se que apenas se utilizem representações dos dados biométricos e que o respetivo processo de recolha não permita a reversibilidade dos referidos dados. |
| |
|
|
|
|
Artigo 29.º
Tratamento de dados de saúde e dados genéticos |
1 - Nos tratamentos de dados de saúde e de dados genéticos, o acesso a dados pessoais rege-se pelo princípio da necessidade de conhecer a informação.
2 - Nos casos previstos nas alíneas h) e i) do n.º 2 do artigo 9.º do RGPD, o tratamento dos dados previstos no n.º 1 do mesmo artigo deve ser efetuado por um profissional obrigado a sigilo ou por outra pessoa sujeita a dever de confidencialidade, devendo ser garantidas medidas adequadas de segurança da informação.
3 - O acesso aos dados a que alude o número anterior é feito exclusivamente de forma eletrónica, salvo impossibilidade técnica ou expressa indicação em contrário do titular dos dados, sendo vedada a sua divulgação ou transmissão posterior.
4 - Os titulares de órgãos, trabalhadores e prestadores de serviços do responsável pelo tratamento de dados de saúde e de dados genéticos, o encarregado de proteção de dados, os estudantes e investigadores na área da saúde e da genética e todos os profissionais de saúde que tenham acesso a dados relativos à saúde estão obrigados a um dever de sigilo.
5 - O dever de sigilo referido no número anterior é também aplicável a todos os titulares de órgãos e trabalhadores que, no contexto do acompanhamento, financiamento ou fiscalização da atividade de prestação de cuidados de saúde, tenham acesso a dados relativos à saúde.
6 - O titular dos dados deve ser notificado de qualquer acesso realizado aos seus dados pessoais, cabendo ao responsável pelo tratamento assegurar a disponibilização desse mecanismo de rastreabilidade e notificação.
7 - As medidas e os requisitos técnicos mínimos de segurança inerentes ao tratamento de dados a que alude o n.º 1 são aprovados por portaria dos membros do Governo responsáveis pelas áreas da saúde e da justiça, que deve regulamentar, nomeadamente, as seguintes matérias:
a) Estabelecimento de permissões de acesso aos dados pessoais diferenciados, em razão da necessidade de conhecer e da segregação de funções;
b) Requisitos de autenticação prévia de quem acede;
c) Registo eletrónico dos acessos e dos dados acedidos. |
| |
|
|
|
|
Artigo 30.º
Bases de dados ou registos centralizados de saúde |
1 - Os dados relativos à saúde podem ser organizados em bases de dados ou registos centralizados assentes em plataformas únicas, quando tratados para efeitos das finalidades legalmente previstas no RGPD e na legislação nacional.
2 - As bases de dados de saúde ou registos centralizados assentes nas plataformas únicas referidas no número anterior devem preencher os requisitos de segurança e de inviolabilidade previstos no RGPD. |
| |
|
|
|
|
Artigo 31.º
Tratamentos para fins de arquivo de interesse público, fins de investigação científica ou histórica ou fins estatísticos |
1 - O tratamento para fins de arquivo de interesse público, fins de investigação científica ou histórica ou fins estatísticos deve respeitar o princípio da minimização dos dados e incluir a anonimização ou a pseudonimização dos mesmos sempre que os fins visados possam ser atingidos por uma destas vias.
2 - Quando os dados pessoais sejam tratados para fins de arquivo de interesse público, fins de investigação científica ou histórica ou fins estatísticos, ficam prejudicados os direitos de acesso, retificação, limitação do tratamento e de oposição previstos nos artigos 15.º, 16.º, 18.º e 21.º do RGPD, na medida do necessário, se esses direitos forem suscetíveis de tornar impossível ou prejudicar gravemente a realização desses fins.
3 - Ao tratamento de dados pessoais para fins de arquivo de interesse público é aplicável o Decreto-Lei n.º 16/93, de 23 de janeiro, na sua redação atual.
4 - O consentimento relativo ao tratamento de dados para fins de investigação científica pode abranger diversas áreas de investigação ou ser dado unicamente para determinados domínios ou projetos de investigação específicos, devendo em qualquer caso ser respeitados os padrões éticos reconhecidos pela comunidade científica.
5 - Sem prejuízo do disposto na Lei do Sistema Estatístico Nacional, os dados pessoais tratados para fins estatísticos devem ser anonimizados ou pseudonimizados, de modo a acautelar a tutela dos titulares dos dados, nomeadamente no que respeita à impossibilidade de reidentificação logo que concluída a operação estatística. |
| |
|
|
|
|
CAPÍTULO VII
Tutela administrativa e jurisdicional
SECÇÃO I
Disposições gerais
| Artigo 32.º
Tutela administrativa |
| Sem prejuízo do direito de apresentação de queixa à CNPD, qualquer pessoa pode recorrer a meios de tutela administrativa, designadamente de cariz petitório ou impugnatório, para garantir o cumprimento das disposições legais em matéria de proteção de dados pessoais, nos termos previstos no Código do Procedimento Administrativo. |
| |
|
|
|
|
Artigo 33.º
Responsabilidade civil |
1 - Qualquer pessoa que tenha sofrido um dano devido ao tratamento ilícito de dados ou a qualquer outro ato que viole disposições do RGPD ou da lei nacional em matéria de proteção de dados pessoais, tem o direito de obter do responsável ou subcontratante a reparação pelo dano sofrido.
2 - O responsável pelo tratamento e o subcontratante não incorrem em responsabilidade civil se provarem que o facto que causou o dano não lhes é imputável.
3 - À responsabilidade do Estado e demais pessoas coletivas públicas é aplicável o regime previsto na Lei n.º 67/2007, de 31 de dezembro, alterado pela Lei n.º 31/2008, de 17 de julho. |
| |
|
|
|
|
Artigo 34.º
Tutela jurisdicional |
1 - Qualquer pessoa, de acordo com as regras gerais de legitimidade processual, pode propor ações contra as decisões, nomeadamente de natureza contraordenacional, e omissões da CNPD, bem como ações de responsabilidade civil pelos danos que tais atos ou omissões possam ter causado.
2 - As ações propostas contra a CNPD são da competência dos tribunais administrativos.
3 - O titular dos dados pode propor ações contra o responsável pelo tratamento ou o subcontratante, incluindo ações de responsabilidade civil.
4 - As ações intentadas contra o responsável pelo tratamento ou um subcontratante são propostas nos tribunais nacionais se o responsável ou subcontratante tiver estabelecimento em território nacional ou se o titular dos dados aqui residir habitualmente. |
| |
|
|
|
|
Artigo 35.º
Representação dos titulares dos dados |
| Sem prejuízo da observância das regras relativas ao patrocínio judiciário, o titular dos dados tem o direito de mandatar um organismo, uma organização ou uma associação sem fins lucrativos constituída em conformidade com o direito nacional, cujos fins estatutários sejam de interesse público e cuja atividade abranja a defesa dos direitos, liberdades e garantias do titular dos dados quanto à proteção de dados pessoais para, em seu nome, exercer os direitos previstos nos artigos 77.º, 78.º, 79.º e 82.º do RGPD. |
| |
|
|
|
|
Artigo 36.º
Legitimidade da CNPD |
| A CNPD tem legitimidade para intervir em processos judiciais no caso de violação das disposições do RGPD e da presente lei, e deve denunciar ao Ministério Público as infrações penais de que tiver conhecimento, no exercício das suas funções e por causa delas, bem como praticar os atos cautelares necessários e urgentes para assegurar os meios de prova. |
| |
|
|
|
|
|