Artigo 1.º
Lei Habilitante
O Regulamento de Proteção de Dados do Município de Sintra é elaborado ao abrigo e nos termos do artigo 241.º da Constituição da República Portuguesa, do disposto no artigo 135.º e seguintes do Código do Procedimento Administrativo, do n.º 1 do artigo 23.º do Regime Jurídico aprovado pela Lei n.º 75/2013, de 12 de setembro, da alínea g) do n.º 1 do artigo 25.º, da alínea k) do n.º 1 do artigo 33.º do Regime Jurídico aprovado pela Lei n.º 75/2013, de 12 de setembro, do Regulamento (EU) 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de 2016 e do Regime Geral das Contraordenações, aprovado pelo Decreto-Lei n.º 433/82, de 27 de outubro, com as alterações vigentes.
Artigo 2.º
Objeto e Âmbito de Aplicação
1 -O presente Regulamento visa disciplinar e sistematizar a Proteção de Dados Pessoais das pessoas singulares no âmbito do Município de Sintra, bem como garantir, de forma complementar ao regime legal vigente, a proteção dos direitos dos titulares dos dados que interagem com as unidades orgânicas da Câmara Municipal de Sintra ou dos SMAS, independentemente da sua qualidade de munícipes.
2 -As regras constantes do presente regulamento abrangem todo o tratamento de dados pessoais e a livre circulação desses dados, em defesa dos direitos e das liberdades fundamentais dos seus titulares, quando a responsabilidade do tratamento seja do Município de Sintra.
3 -O presente regulamento aplica-se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados.
4 -O presente regulamento não se aplica ao tratamento de dados pessoais, quando efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública.
5 -O presente Regulamento aplica-se, em termos espaciais, a todo o âmbito territorial do Município de Sintra.
6 -São destinatários do presente Regulamento:
a)As unidades orgânicas da Câmara Municipal de Sintra e dos SMAS;
b)Os trabalhadores municipais e outros colaboradores;
c)Os contraentes de aquisições de bens e serviços, empreitadas ou detentores de concessão municipal;
d)Todas as pessoas singulares que, a qualquer título, se relacionem, com a Câmara Municipal de Sintra ou com SMAS.
Artigo 3.º
Deveres Gerais
É dever de todos os destinatários do presente regulamento concorrer para a proteção dos dados pessoais de acordo com o estatuído no RGPD.
Artigo 4.º
Deveres Especiais
Os destinatários do presente regulamento referidos nas alíneas a), b) e c) do n.º 6 do artigo 2.º, têm um dever especial, face à sua qualidade quanto à proteção de dados pessoais de que tomem conhecimento, quer no seu âmbito estrito da sua atividade, quer por forma eventual ou fortuita.
Artigo 5.º
Princípio da Licitude, lealdade e transparência
O tratamento dos dados pessoais deve ser objeto de tratamento lícito, leal e transparente em relação ao titular dos dados.
Artigo 6.º
Princípio da Limitação das finalidades
1 -Os dados pessoais devem ser recolhidos para finalidades determinadas, explícitas, claras e legítimas, não podendo ser objeto de ulterior tratamento de forma contraditória ou incompatível com as finalidades iniciais.
2 -O tratamento posterior de dados para fins de arquivo de interesse público, de investigação científica ou histórica, bem como para fins estatísticos não se considera incompatível com as finalidades iniciais e com o princípio referido no número anterior.
Artigo 7.º
Princípio da minimização dos dados
Os dados pessoais devem ser os adequados, pertinentes e restritos ao que seja necessário para o fim em vista, não podendo ser feito o seu tratamento quando a finalidade subjacente possa ser alcançada por outros meios.
Artigo 8.º
Princípio da exatidão
Os dados pessoais devem ser exatos e atualizados sempre que necessário, sendo que, caso se verifiquem inexatos, serão apagados ou retificados sem demora.
Artigo 9.º
Princípio da Limitação da Conservação
1 -Os dados pessoais devem ser conservados de molde a que a identificação do titular dos dados seja clara, inequívoca e somente durante o tempo necessário à prossecução da respetiva finalidade.
2 -Os dados pessoais podem ser conservados durante períodos mais longos do que os exclusivamente necessários à prossecução da respetiva finalidade, desde que sejam tratados exclusivamente para fins de arquivo de interesse público, ou para fins de investigação científica ou histórica bem como para fins estatísticos.
Artigo 10.º
Princípio da integridade e confidencialidade
Os dados pessoais devem ser tratados de forma segura, incluindo todas as medidas organizacionais ou tecnicamente adequadas, que os protejam de tratamento não autorizado ou ilícito, de destruição ou danificação acidental ou deliberada.
Artigo 11.º
Princípio da responsabilidade
Incumbe ao responsável pelo tratamento de dados o cumprimento dos princípios insertos na presente secção, bem como a respetiva comprovação.
Artigo 12.º
Licitude do tratamento
1 -A licitude do tratamento de dados, prevista no artigo 4.º, só se verifica quando esteja preenchida uma das seguintes condições:
a)Obtenção do consentimento do titular dos dados, o qual deve ser livre, específico, informado, explícito e prestado por ato inequívoco;
b)O tratamento seja necessário para a execução de um contrato ou para diligências pré-contratuais;
c)O tratamento seja necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito, ao exercício de funções de interesse público ou ao exercício da autoridade pública de que esteja investido o responsável pelo tratamento;
d)O tratamento seja necessário para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular;
e)O tratamento seja necessário para efeito de prossecução dos interesses legítimos do responsável pelo tratamento ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for uma criança.
2 -O consentimento previsto na alínea a) do n.º 1 não deve ser dado, via de regra, de forma oral e não podem, em qualquer caso, revestir a forma de consentimento tácito, porquanto não permite ao responsável pelo tratamento garantir e fazer prova de ter sido obtido de forma livre, específica, informada, explícita e através de um ato inequívoco.
SECÇÃO III
Definições
Artigo 13.º
Definições
1 -Sem prejuízo das demais definições insertas no RGPD que se dão por integralmente reproduzidas, para efeitos do presente regulamento, entende-se por:
a), informação relativa a uma pessoa singular identificada ou identificável («titular dos dados») sendo considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;
b), uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;
c), a inserção de uma marca nos dados pessoais conservados com o objetivo de limitar o seu tratamento no futuro;
d), qualquer forma de tratamento automatizado de dados pessoais que consista em utilizar esses dados pessoais para avaliar certos aspetos pessoais de uma pessoa singular, nomeadamente para analisar ou prever aspetos relacionados com o seu desempenho profissional, a sua situação económica, saúde, preferências pessoais, interesses, fiabilidade, comportamento, localização ou deslocações;
e), o tratamento de dados pessoais de forma que deixem de poder ser atribuídos a um titular de dados específico sem recorrer a informações suplementares, desde que essas informações suplementares sejam mantidas separadamente e sujeitas a medidas técnicas e organizativas para assegurar que os dados pessoais não possam ser atribuídos a uma pessoa singular identificada ou identificável;
f), qualquer conjunto estruturado de dados pessoais, acessível segundo critérios específicos, quer seja centralizado, descentralizado ou repartido de modo funcional ou geográfico;
g), a pessoa singular ou coletiva, no caso vertente o Município de Sintra através da Câmara Municipal de Sintra e dos SMAS, determina as finalidades e os meios de tratamento de dados pessoais;
h), uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que trate os dados pessoais por conta do responsável pelo tratamento destes;
j), a pessoa singular ou coletiva, a autoridade pública, o serviço ou organismo que não seja o titular dos dados, o responsável pelo tratamento, o subcontratante e as pessoas que, sob a autoridade direta do responsável pelo tratamento ou do subcontratante, estão autorizadas a tratar os dados pessoais;
k)do titular dos dados, uma manifestação de vontade, livre, específica, informada e explícita, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento;
l), uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento;
m), os dados pessoais relativos às características genéticas, hereditárias ou adquiridas, de uma pessoa singular que deem informações únicas sobre a fisiologia ou a saúde dessa pessoa singular e que resulta designadamente de uma análise de uma amostra biológica proveniente da pessoa singular em causa;
n), dados pessoais resultantes de um tratamento técnico específico relativo às características físicas, fisiológicas ou comportamentais de uma pessoa singular que permitam ou confirmem a identificação única dessa pessoa singular, nomeadamente imagens faciais ou dados dactiloscópicos;
o), dados pessoais relacionados com a saúde física ou mental de uma pessoa singular, incluindo a prestação de serviços de saúde, que revelem informações sobre o seu estado de saúde;
p), encarregado da proteção de dados, pessoa singular à qual é atribuída a tarefa e responsabilidade formal de assegurar que o Município está devidamente conforme com as regras do RGPD;
q), uma autoridade pública independente criada por um Estado-Membro nos termos do artigo 51.º do RGPD;
r), diligência e estudo prévio obrigatório no âmbito da proteção de dados, daqueles cujo tratamento seja suscetível de resultar num alto risco para os direitos e liberdades dos respetivos titulares, designadamente quando se esteja na presença de dados pessoais especiais;
s), verificação da conformidade da atuação do Município com o RGPD, designadamente quanto às suas regras, políticas, diretrizes e atividades, sem prejuízo da deteção de desvios e inconformidades e da sua resolução;
t), responsabilização ética do Município no sentido do serviço público e do cumprimento do RGPD, mediante a adoção de adequados procedimentos de controlo interno e de transparência na prestação de contas aos munícipes e aos demais que interagem com o Câmara Municipal de Sintra e com os SMAS.
2 -Até à definição pelo legislador da autoridade de controlo, a definição constante na alínea q) do n.º 1 reporta-se à Comissão Nacional de Proteção de Dados.
SECÇÃO IV
Competências de Gestão do Regulamento
Artigo 14.º
Gestão do Regulamento
Sem prejuízo da assunção das responsabilidades institucionais pela Câmara Municipal de Sintra e pelos SMAS a gestão corrente do disposto no presente regulamento incumbe especialmente aos dirigentes das respetivas unidades orgânicas.
Direitos e Deveres dos Titulares dos Dados
Artigo 15.º
Direito de informação
a)A identidade e contactos do responsável pelo tratamento e do seu representante;
b)A identificação e os contactos do DPO;
c)As finalidades do tratamento a que os dados pessoais se destinam, bem como o fundamento jurídico para o tratamento;
d)Os destinatários ou categorias de destinatários de dados pessoais, se os houver;
e)As categorias dos dados pessoais em questão;
f)Prazo de conservação dos dados, ou os critérios para definir esse prazo;
g)A existência do direito de solicitar ao responsável pelo tratamento o acesso aos dados pessoais que lhe digam respeito, bem como a sua retificação ou o seu apagamento e a limitação do tratamento no que disser respeito ao titular dos dados, ou do direito de se opor ao tratamento, bem como do direito à portabilidade dos dados;
h)A existência do direito de retirar o consentimento em qualquer altura;
i)O direito de apresentar reclamação a uma autoridade de controlo;
j)Se a comunicação de dados pessoais constitui, ou não, uma obrigação legal ou contratual, ou um requisito necessário para celebrar um contrato, bem como se o titular está obrigado a fornecer os dados pessoais e as eventuais consequências de não fornecer esses dados;
k)A existência de decisões automatizadas;
l)A origem dos dados pessoais e, eventualmente, se provêm de fontes acessíveis ao público, caso não sejam recolhidos diretamente junto do titular.
Artigo 16.º
Direito de Acesso
a)As finalidades a que se destina o tratamento;
b)As categorias dos dados pessoais em questão;
c)Os destinatários, ou categorias de destinatários a quem são comunicados os dados pessoais;
d)O prazo previsto para conservação dos dados pessoais, ou os critérios utilizados para fixar esses prazos;
e)A existência do direito de solicitar ao responsável pelo tratamento a retificação, o apagamento ou a limitação do tratamento dos dados pessoais no que diz respeito ao titular dos dados, ou o direito de se opor a esse tratamento;
f)O direito de apresentar reclamação a uma autoridade de controlo;
g)As informações disponíveis sobre as origens dos dados, caso não tenham sido recolhidos junto do titular;
h)A existência de decisões automatizadas.
Artigo 17.º
Direito de retirar o consentimento
1 -Nas situações em que o tratamento de dados se baseia no consentimento, o titular dos dados tem o direito de o retirar a qualquer momento.
2 -A retirada do consentimento não compromete a licitude do tratamento efetuado com base no consentimento previamente dado.
3 -O consentimento deverá ser retirado de forma simples, semelhante àquela como foi prestado.
Artigo 18.º
Direito de Retificação
1 -O titular dos dados tem o direito de obter, sem demora injustificada, a retificação dos dados pessoais inexatos que lhe digam respeito.
2 -Tendo em conta as finalidades do tratamento, o titular dos dados tem direito a que os seus dados pessoais incompletos sejam completados, mediante manifestação expressa e formal nesse sentido.
Artigo 19.º
Direito ao Apagamento (direito ao esquecimento)
1 -O titular dos dados tem o direito de solicitar ao responsável pelo tratamento o apagamento dos seus dados pessoais, sem demora injustificada, quando se verifique alguma das seguintes circunstâncias:
a)Os dados pessoais deixaram de ser necessários para a finalidade que sustentou a sua recolha ou tratamento;
b)O titular dos dados retira o consentimento em que se baseia o tratamento dos dados pessoais, e não existe outro fundamento jurídico, para o tratamento dos mesmos;
c)O titular dos dados opõe-se ao tratamento dos dados e o responsável pelo tratamento não demonstra que existem interesses legítimos prevalecentes que justifiquem o tratamento;
d)Os dados foram tratados ilicitamente;
e)O apagamento dos dados seja necessário para o cumprimento de uma obrigação legal a que o responsável pelo tratamento esteja sujeito.
2 -O responsável pelo tratamento tem obrigação de apagar os dados pessoais, sem demora injustificada.
3 -Quando o responsável pelo tratamento tenha tornado públicos os dados pessoais e for obrigado a apagá-los, por força do disposto nos números anteriores, deverá tomar as medidas que forem razoáveis, incluindo de caráter técnico, tendo em consideração a tecnologia disponível e os custos da sua aplicação, para informar os responsáveis pelo tratamento efetivo dos dados pessoais de que o titular dos dados solicitou o apagamento das ligações para esses dados pessoais, bem como das cópias ou reproduções dos mesmos.
Artigo 20.º
Direito à Limitação do Tratamento
a)Tenha contestado a exatidão dos dados pessoais, durante um período que permita ao responsável pelo tratamento verificar a sua exatidão;
b)O tratamento seja ilícito e se tenha oposto ao apagamento dos dados pessoais, solicitando, em contrapartida, a limitação da sua utilização;
c)O responsável pelo tratamento já não necessite dos dados pessoais para fins de tratamento, mas os mesmos sejam requeridos pelo titular para efeitos de declaração, exercício ou defesa de um direito num processo judicial;
d)Tenha exercido o direito de oposição, até se verificar que os motivos legítimos do responsável pelo tratamento prevalecem sobre os do titular dos dados.
Artigo 21.º
Direito de Portabilidade dos Dados
1 -O titular dos dados tem o direito de receber, do responsável pelo tratamento dos dados, os seus dados pessoais, num formato seguro, de uso corrente e de leitura automática, e transferi-los para outro responsável pelo tratamento.
2 -O direito referido no número anterior só pode ser exercido nas seguintes situações:
a)Em caso de tratamento automatizado de dados (estão excluídos os registos de papel);
b)Relativamente a dados fornecidos pelo titular ao responsável pelo tratamento;
c)Caso em que o tratamento seja baseado no consentimento, ou em que o tratamento seja necessário para a execução de um contrato ou para diligências pré-contratuais.
3 -O titular dos dados apenas poderá exigir que os seus dados sejam transmitidos diretamente entre os responsáveis pelo tratamento se tal for tecnicamente possível.
Artigo 22.º
Direito de Oposição
1 -O titular dos dados tem o direito de se opor, a qualquer momento, por motivos relacionados com a sua situação particular, ao tratamento dos dados pessoais que lhe digam respeito.
2 -O responsável pelo tratamento cessa o tratamento dos dados pessoais, a não ser que apresente razões imperiosas e legítimas para esse tratamento que prevaleçam sobre os interesses, direitos e liberdades do titular dos dados, ou para efeitos de declaração, exercício ou defesa de um direito num processo judicial.
Artigo 23.º
Decisões individuais automatizadas
O titular dos dados tem o direito de não ficar sujeito a nenhuma decisão tomada exclusivamente com base no tratamento automatizado, incluindo a definição de perfis, que produza efeitos na sua esfera jurídica ou que o afete, significativamente, de forma similar.
Artigo 24.º
Deveres Gerais dos Titulares dos Dados
1 -Os titulares dos dados devem exercer os seus direitos com respeito dos princípios da boa-fé, prestando informações adequadas, claras, corretas e precisas ao responsável pelo tratamento de dados, por forma a viabilizar um tratamento licito, leal e transparente dos dados pessoais.
2 -A prestação de dados falsos ao Município sem prejuízo da ponderação penal que possa ocorrer, é sancionável nos termos do presente regulamento.
CAPÍTULO III
Dos Normativos Aplicáveis ao Município
SECÇÃO I
Do Responsável pelo tratamento dos Dados Pessoais
Artigo 25.º
Responsável pelo Tratamento
1 -O responsável pelo tratamento de dados no Município de Sintra é o Presidente da Câmara Municipal o qual, nos termos da lei, representa o Município em juízo e fora dele.
2 -O responsável pelo tratamento determina a aplicação das medidas técnicas e organizativas que forem adequadas para assegurar e poder comprovar que o tratamento é realizado em conformidade com o RGPD e o presente regulamento.
3 -As medidas referidas no número anterior são revistas e atualizadas consoante as necessidades, tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento dos dados, bem como os riscos para os direitos e liberdades das pessoas singulares, cuja probabilidade e gravidade podem ser variáveis.
4 -As medidas devem incluir a adoção e o modo de aplicação das políticas adequadas em matéria de proteção de dados, códigos de conduta, políticas de privacidade e procedimentos de certificação os quais constituem evidências do cumprimento das obrigações por parte do responsável pelo tratamento.
Artigo 26.º
Competências
1 -Sem prejuízo das demais competências constantes no RGPD, o responsável pelo tratamento de dados deve determinar a aplicação, tanto no momento de definição dos meios de tratamento como no momento do próprio tratamento, das medidas técnicas e organizativas adequadas, destinadas a aplicar com eficácia os princípios da proteção de dados, e a incluir as garantias necessárias no tratamento, de uma forma que este cumpra os requisitos do RGPD e do presente regulamento, protegendo os direitos dos titulares dos dados.
2 -Incumbe ao responsável pelo tratamento determinar a aplicação de medidas técnicas e organizativas para assegurar que, por defeito, só sejam tratados os dados pessoais que forem necessários para cada finalidade específica do tratamento, bem como não sejam disponibilizados sem intervenção humana a um número indeterminado de pessoas singulares.
3 -A obrigação referida no número anterior aplica-se:
a)À quantidade de dados pessoais recolhidos,
b)À extensão do seu tratamento,
c)Ao seu prazo de conservação
4 -O responsável pelo tratamento de dados deve conservar um registo de todas as atividades de tratamento sob a sua responsabilidade, do qual devem constar todas seguintes informações:
a)O nome e os contactos do responsável pelo tratamento e do encarregado da proteção de dados;
b)As finalidades do tratamento dos dados;
c)A descrição das categorias de titulares de dados e das categorias de dados pessoais;
d)As categorias de destinatários a quem os dados pessoais foram ou serão divulgados, incluindo os destinatários estabelecidos em países terceiros ou organizações internacionais;
e)Se for aplicável, as transferências de dados pessoais para países terceiros ou organizações internacionais, incluindo a identificação desses países terceiros ou organizações internacionais;
f)Se possível, os prazos previstos para o apagamento das diferentes categorias de dados;
g)Se possível, uma descrição geral das medidas técnicas e organizativas no domínio da segurança.
5 -O responsável pelo tratamento de dados deve determinar, antes que seja iniciado o respetivo tratamento, uma avaliação de impacto (PIA) quando o mesmo for suscetível de resultar num alto risco para os direitos liberdades e garantias das pessoas, devendo tal avaliação contar com o parecer obrigatório DPO.
6 -Incumbe ao responsável pelo tratamento de dados consultar previamente ao tratamento a autoridade de controlo sempre que no âmbito de uma PIA se concluir que o mesmo, na ausência de garantias e de medidas e procedimentos de segurança para atenuar os riscos, implica um elevado risco para os direitos e liberdades das pessoas singulares que não pode ser atenuado através de medidas razoáveis, atendendo à tecnologia disponível e aos custos de aplicação.
7 -Incumbe ao responsável pelo tratamento de dados, nos termos do RGPD, comunicar à autoridade de controlo qualquer violação de dados que se verifique, devendo ter idêntico procedimento relativamente ao titular dos dados, sempre que essa violação seja suscetível de representar um alto risco para os direitos e liberdades do mesmo.
Artigo 27.º
Responsabilidade subsidiária pelo tratamento de dados
1 -Os Vereadores a quem tenha sido delegado e subdelegado competências nas áreas da respetiva atividade, bem como os dirigentes municipais, no âmbito das respetivas unidades orgânicas, respondem subsidiariamente ao responsável pelo tratamento de dados no Município de Sintra, face aos atos e omissões que, em concreto, ofendam os direitos e liberdades de pessoas singulares.
2 -O disposto no número anterior aplica-se, com as devidas adaptações, aos membros do Conselho de Administração dos SMAS, ao respetivo Diretor Delegado e aos respetivos dirigentes, no âmbito das unidades orgânicas daqueles serviços municipalizados.
Artigo 28.º
Dever de cooperação
O responsável pelo tratamento de dados e os demais responsáveis subsidiários cooperam com a autoridade de controlo, a pedido desta, na prossecução das suas atribuições.
Do Data Protection Officer (DPO)
Artigo 29.º
Data Protection Officer (DPO)
1 -A nomeação do DPO é obrigatória para todas as autoridades e organismos públicos.
2 -O DPO é uma pessoa singular à qual é atribuída a tarefa e responsabilidade formal de assegurar que o Município está devidamente conforme com as regras de proteção de dados.
3 -O DPO deve ser designado com base nas suas qualidades profissionais e, em especial, nos seus conhecimentos especializados no domínio do direito nacional e europeu de proteção de dados, conhecimento das operações de processamento realizadas, das tecnologias de informação, das práticas de segurança de dados, bem como na sua capacidade para desempenhar as suas funções de molde a promover uma cultura de proteção de dados dentro do Município.
4 -As funções de DPO são exercidas com total independência, autonomia em relação à estrutura dos serviços, isenção, distanciamento e não subordinação à hierarquia municipal, não podendo o seu titular ser prejudicado, penalizado pelo exercício das mesmas, ou do teor dos pareceres que emite ou das iniciativas que desenvolve no âmbito das suas competências.
5 -O interlocutor direto do DPO no Município de Sintra é o responsável pelo tratamento de dados.
6 -O DPO encontra-se sujeito ao dever de sigilo e confidencialidade no exercício das suas funções.
7 -O DPO, quando exerça outras funções ou atribuições, não deve estar sujeito a qualquer conflito de interesses e, na eventualidade de tal se verificar em momento superveniente à sua nomeação, deve optar entre as mesmas.
8 -O papel do DPO no Município de Sintra deve constar de uma Carta de Missão aprovada pelo Executivo Municipal sob proposta do responsável pelo tratamento de dados.
Artigo 30.º
Competências
1 -Incumbe ao DPO, na generalidade, informar, aconselhar e orientar o responsável pelo tratamento de dados, a Administração Municipal e os demais destinatários do presente regulamento referidos nas alíneas a), b) e c) do n.º 6 do artigo 2.º, sobre as suas obrigações constantes do RGPD, assim como das demais disposições legais de proteção de dados em vigor na União Europeia e no território nacional.
2 -O DPO deve ainda garantir que o Município cumpre com todas as obrigações legais do RGPD, sendo o ponto de contacto com a autoridade de controlo e funcionando como mediador junto dos titulares de dados.
3 -Sem prejuízo das demais competências insertas no RGPD e das atrás referidas, incumbe especialmente, ao DPO:
a)Controlar a conformidade com o RGPD, com o presente regulamento, com outras disposições de proteção de dados da União ou dos Estados-Membros e com as políticas do responsável pelo tratamento ou do subcontratante relativas à proteção de dados pessoais, incluindo a repartição de responsabilidades, a sensibilização e formação do pessoal implicado nas operações de tratamento de dados, e as auditorias correspondentes;
b)Prestar aconselhamento, quando tal lhe for solicitado, no que respeita à avaliação de impacto sobre a proteção de dados e controlar a sua realização nos termos do artigo 35.º do RGPD;
c)Cooperar com a autoridade de controlo;
d)Constituir o ponto de contacto para a autoridade de controlo sobre questões relacionadas com o tratamento, incluindo a consulta prévia a que se refere o artigo 36.º do RGPD, e consulta, sendo caso disso, a essa autoridade sobre qualquer outro assunto.
Artigo 31.º
Direitos
a)Dispor dos recursos necessários ao desempenho das suas funções;
b)Ter acesso a todas as informações existentes nos serviços que lhe permitam exercer a sua função de forma célere e independente;
c)Aceder a todos os servidores e computadores do Município para aferir dos dados existentes.
2 -O Município deve prever e providenciar os meios necessários de ordem logística e tecnológicos necessários ao desempenho das funções do DPO.
SECÇÃO III
Compliance e Política de Proteção de Dados
Artigo 32.º
Compliance
1 -Após a recolha de toda a informação pertinente quanto aos dados objeto de tratamento no Município de Sintra incumbe ao responsável pelo tratamento de dados determinar as medidas necessárias de validação, correção de procedimentos e implementação do RGPD.
2 -A prova do cumprimento do RGPD por parte do responsável pelo tratamento de dados deve assentar em evidências do cumprimento das obrigações previstas no Regulamento Europeu.
3 -A garantia de prestação de informação ao titular dos dados, designadamente nos documentos de suporte à recolha de dados, em suporte físico ou digital, constitui uma evidência do cumprimento das obrigações referidas no número anterior.
4 -A existência de um sistema de registo de todos os tratamentos que envolvam dados pessoais, deve documentar de forma detalhada e circunstanciada todas as atividades relacionadas com o tratamento de dados.
Artigo 33.º
Política de Proteção de Dados
O Município de Sintra deve elaborar e manter atualizado e disponível ao público na sua página oficial um documento sobre Política de Proteção de Dados.
Artigo 34.º
Accountability
a)Incrementar um sistema permanente e dinâmico de verificação da conformidade com o RGPD;
b)Provar mediante evidências o respeito pelo RGPD;
c)Promover auditorias no âmbito de um controlo contínuo e sistemático para aferir da efetividade e eficácia das medidas implementadas, modificando-as, sempre que necessário em conformidade com o RGPD.
SECÇÃO IV
Tratamento de Dados Pessoais Especiais
Artigo 35.º
Dados Sensíveis
1 -É interdito o tratamento de dados sensíveis que relevem:
a)A origem racial ou étnica;
c)As convicções religiosas ou filosóficas;
2 -Encontra-se ainda proibido, salvo as exceções consagradas no RGPD, o tratamento dos seguintes dados pessoais:
b)Dados biométricos adequados a identificar uma pessoa de forma inequívoca;
c)Dados relativos à saúde;
d)Dados relativos à vida sexual ou orientação sexual.
Artigo 36.º
Exceções
a)Exista um consentimento explícito do titular dos dados;
b)O tratamento seja necessário para efeitos do cumprimento de obrigações e do exercício de direitos específicos do responsável pelo tratamento ou do titular dos dados em matéria de legislação laboral, de segurança social e de proteção social;
c)Quando esteja em causa a proteção dos interesses vitais do titular;
d)O tratamento seja necessário à declaração, ao exercício ou à defesa de um direito num processo judicial;
e)O tratamento seja necessário por motivos de interesse público importante;
f)Os dados pessoais tenham sido manifestamente tornados públicos pelo seu titular;
g)O tratamento seja necessário por motivos de medicina preventiva ou do trabalho, para avaliação da capacidade de trabalho do trabalhador, o diagnóstico médico, a prestação de cuidados ou tratamentos de saúde ou de ação social ou a gestão de sistemas e serviços de saúde ou de ação social;
h)O tratamento seja necessário por motivos de interesse público no domínio da saúde pública;
i)O tratamento seja necessário para fins de arquivo de interesse público, para fins de investigação científica ou histórica ou para fins estatísticos.
Artigo 37.º
Tratamento dos dados especiais
1 -Qualquer tratamento de dados pessoais especiais deve ser precedido de medidas adicionais que visam verificar se estão reunidas as condições para a licitude de tal tratamento.
2 -O tratamento dos dados referidos na presente secção deve ser previamente objeto de um PIA e implica o parecer obrigatório do DPO.
CAPÍTULO IV
Dos Serviços Municipais
SECÇÃO I
Normas Gerais
Artigo 38.º
Natureza
O Município de Sintra é uma entidade pública que desenvolve a sua ação sobre uma parte definida do território, correspondente ao Concelho de Sintra, visando a prossecução de interesses próprios das populações aí residentes.
Artigo 39.º
Responsável pelo tratamento
O Presidente da Câmara é o responsável pelo tratamento dos dados pessoais no âmbito do exercício das atribuições municipais.
Da Conduta dos Trabalhadores
Artigo 40.º
Códigos de Conduta
1 -Sem prejuízo do disposto no Código de Conduta Ética da Câmara Municipal de Sintra, aprovado pela Assembleia Municipal de Sintra em 25 de outubro de 2016, esta pode elaborar e adotar Códigos de Conduta ao abrigo do artigo 40.º do RGPD.
2 -Todos os trabalhadores e demais colaboradores do Município estão sujeitos a elevados padrões éticos designadamente ao dever de sigilo e à proteção de dados pessoais.
3 -Assim, os trabalhadores e demais colaboradores do Município:
a)Não devem divulgar ou usar, por si ou por interposta pessoa, informações obtidas no desempenho das suas funções ou em virtude desse desempenho, com preponderância para a proteção dos dados pessoais, e que, pela sua efetiva importância, por legítima decisão dos órgão decisores da respetiva hierarquia ou por força da legislação em vigor, não devam ser do conhecimento geral;
b)Que tenham a seu cargo o tratamento de dados pessoais ou que, no exercício das suas funções, tomem conhecimento de dados pessoais, devem estrito respeito à reserva da vida privada dos respetivos titulares e às normas aplicáveis em matéria de proteção das pessoas singulares relativamente ao tratamento de dados pessoais pelas entidades públicas;
c)Não devem, por si ou por interposta pessoa, utilizar informação que não tenha sido tornada pública ou não seja acessível ao público para promover interesses próprios ou de terceiros;
d)Devem fundamentar e explicar com total transparência as suas decisões e comportamentos profissionais sempre que, garantidos os devidos deveres de sigilo, para tal sejam adequadamente solicitados.
4 -O dever de sigilo e de confidencialidade mantêm-se mesmo após o termo de funções, cessando tal dever nos termos legalmente previstos.
5 -Os Códigos de Conduta para efeitos do RGPD, referidos no n.º 1 do presente artigo, para além do referido nos n.os 2 e 3 devem consagrar, pelo menos, o seguinte:
a)O tratamento equitativo e transparente dos dados;
b)Os legítimos interesses dos responsáveis pelo tratamento em contextos específicos;
c)A recolha de dados pessoais;
d)A pseudonimização dos dados pessoais;
e)A informação prestada ao público e aos titulares dos dados;
f)O exercício dos direitos dos titulares dos dados;
g)As informações prestadas às crianças e a sua proteção, e o modo pelo qual o consentimento do titular das responsabilidades parentais da criança deve ser obtido;
h)As medidas e procedimentos a que se referem os artigos 24.º e 25.º do RGPD e as medidas destinadas a garantir a segurança do tratamento referidas no artigo 30.º do RGPD;
j)A transferência de dados pessoais para países terceiros ou organizações internacionais; ou
k)As ações extrajudiciais e outros procedimentos de resolução de litígios entre os responsáveis pelo tratamento e os titulares dos dados em relação ao tratamento, sem prejuízo dos direitos dos titulares dos dados nos termos dos artigos 77.º e 79.º do RGPD.
Artigo 41.º
Aprovação dos Códigos de Conduta
Os Códigos de Conduta são aprovados pelo Órgão Executivo Municipal sob proposta do respetivo Presidente.
Elaboração de Manuais Internos de Procedimentos
Artigo 42.º
Registo das Atividades
1 -A Câmara Municipal de Sintra procede ao registo das atividades de tratamento de dados pessoais, nos termos do artigo 30.º do Regulamento (EU) 2016/679 do Parlamento Europeu e do Conselho de 27 de abril de 2016.
2 -Os registos são aprovados pelo responsável pelo Tratamento na sequência de parecer do DPO.
Artigo 43.º
Manual Interno de Procedimentos
1 -O registo referido no artigo anterior é efetuado recorrendo ao disposto nos Manuais Internos de Procedimentos dos Serviços Municipais que contemplam as operações de tratamento de dados pessoais pelo responsável pelo tratamento de dados e por eventuais subcontratantes.
2 -Atenta a dimensão da Estrutura Nuclear da Câmara Municipal de Sintra deve perspetivar-se um Manual Interno de Procedimentos por Departamento Municipal, ou por conjuntos de serviços Municipais.
3 -Os Manuais Internos de Procedimentos dos Serviços Municipais são aprovados pelo responsável pelo tratamento de dados, na sequência de Parecer do DPO.
Artigo 44.º
Da autorregulação
1 -O Tratamento dos Dados por parte dos serviços municipais obedece ao princípio da autorregulação, em conformidade com o RGPD e Legislação Nacional superveniente.
2 -Os Manuais Internos de Procedimentos previstos no artigo anterior são da responsabilidade das respetivas unidades orgânicas da Câmara Municipal de Sintra, nos termos do referido no artigo 30.º do RGPD, que o devem manter atualizado e operativo nomeadamente para efeitos de conformidade com o Regulamento Europeu e para habilitar os titulares dos dados ao exercício dos seus direitos.
SECÇÃO IV
Procedimentos em caso de violação de Dados
Artigo 45.º
Notificação à autoridade de controlo
1 -Em caso de violação de dados pessoais, o responsável pelo tratamento de dados notifica desse facto a autoridade de controlo, sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento da mesma, a menos que a violação dos dados pessoais não seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares.
2 -Se a notificação à autoridade de controlo não for transmitida no prazo de 72 horas, é acompanhada dos motivos do atraso.
Artigo 46.º
Notificação ao titular dos dados
Quando a violação dos dados pessoais for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento de dados comunica a violação de dados pessoais ao titular dos dados sem demora injustificada.
Artigo 47.º
Inquérito
A constatação de uma violação dos dados pessoais, desde que comprovada em prova documental ou pericial, implica a imediata abertura de inquérito disciplinar a determinar pelo Presidente da Câmara Municipal.
Dos Serviços Municipalizados
Artigo 48.º
Natureza e Atribuições
1 -Os SMAS de Sintra são um serviço público de interesse local com autonomia administrativa, financeira e técnica, no Município de Sintra.
2 -Os SMAS de Sintra gerem os sistemas públicos municipais de distribuição de água, de drenagem e tratamento das águas residuais urbanas e de recolha de resíduos sólidos urbanos.
Artigo 49.º
Responsável pelo tratamento nos Serviços Municipalizados
O Presidente da Câmara é, enquanto representante máximo do Município, o responsável pelo tratamento dos dados dos SMAS, sem prejuízo da possibilidade de tal competência poder ser delegada e subdelegada, nos termos da lei.
Da Conduta dos Trabalhadores
Artigo 50.º
Do tratamento Equitativo e Transparente
1 -Os trabalhadores dos SMAS devem garantir que os dados pessoais são objeto de um tratamento equitativo não devendo ser objeto de discricionariedade.
2 -O tratamento deve ser transparente, de forma concisa, inteligível e de fácil acesso, utilizando uma linguagem clara e simples, em especial quando as informações são dirigidas especificamente a crianças, observando o RGPD e o estatuído nos manuais internos de procedimentos.
Artigo 51.º
Legítimos interesses dos titulares dos Dados
Os trabalhadores dos SMAS devem, no tratamento dos dados pessoais ter sempre em consideração os legítimos interesses dos titulares, em salvaguarda da sensibilidade dos mesmos e a garantia dos seus direitos e liberdades.
Artigo 52.º
A Recolha de dados
Os trabalhadores dos SMAS procedem à recolha dos dados pessoais, em função do estritamente necessário, não devendo ser recolhidos dados cuja licitude do seu tratamento não esteja contemplada, nos termos do artigo 6.º do RGPD e do previsto nos manuais Internos de procedimentos.
Artigo 53.º
Da informação a prestar ao titular dos dados pessoais
1 -Os trabalhadores dos SMAS no momento da recolha dos dados pessoais devem garantir que o titular dos dados é informado nos termos previstos, nos artigos 13.º e 14.º do RGPD.
2 -No caso de violação de dados pessoais o titular dos dados deve ser notificado do facto, nos termos previstos no RGPD, no presente regulamento e em conformidade com o definido nos manuais internos de procedimentos.
Artigo 54.º
Exercício dos direitos dos titulares dos dados
Os trabalhadores dos SMAS devem garantir que não é vedado ao Titular dos dados o exercício dos seus direitos, nomeadamente os previstos no capítulo ii do presente regulamento.
Artigo 55.º
Informações a terceiros e as prestadas às crianças e sua proteção
Os trabalhadores dos SMAS, devem garantir a licitude da recolha dos dados pessoais de terceiros e em especial das crianças.
Artigo 56.º
Código de Conduta
Os artigos 40.º e 41.º do presente regulamento são aplicáveis, com as devidas adaptações, ao código de conduta a elaborar no âmbito dos SMAS.
Elaboração de Manuais Internos de Procedimentos
Artigo 57.º
Registo das Atividades
Os SMAS procedem ao registo das atividades de tratamento de dados pessoais, nos termos do artigo 30.º do Regulamento (EU) 2016/679 do Parlamento Europeu e do Conselho de 27 de abril de 2016.
Artigo 58.º
Manual Interno de Procedimentos
O registo referido no artigo anterior é efetuado recorrendo ao disposto no Manual Interno de Procedimentos dos SMAS que contempla as operações de tratamento de dados pessoais pelo responsável pelo tratamento de dados e por eventuais subcontratantes.
Artigo 59.º
Da autorregulação
1 -O Tratamento dos Dados por parte dos SMAS obedece ao princípio da autorregulação, em conformidade com o RGPD e Legislação Nacional superveniente.
2 -O Manual Interno de Procedimentos previsto no artigo anterior é responsabilidade dos SMAS, nos termos do referido no artigo 30.º do RGPD, que o mantém atualizado e operativo nomeadamente para efeitos de conformidade com o Regulamento Europeu e para habilitar os titulares dos dados ao exercício dos seus direitos.
3 -O registo é efetuado por atividades nos termos previstos no artigo 30.º do Regulamento Europeu.
4 -Os registos são aprovados pelo responsável pelo Tratamento na sequência de parecer do DPO.
SECÇÃO IV
Procedimentos em caso de violação de Dados
Artigo 60.º
Notificação à autoridade de controlo
1 -Em caso de violação de dados pessoais, o responsável pelo tratamento dos SMAS notifica desse facto a autoridade de controlo, sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento da mesma, a menos que a violação dos dados pessoais não seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares.
2 -Se a notificação à autoridade de controlo não for transmitida no prazo de 72 horas, é acompanhada dos motivos do atraso.
Artigo 61.º
Notificação ao titular dos dados
Quando a violação dos dados pessoais for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento dos SMAS comunica a violação de dados pessoais ao titular dos dados sem demora injustificada.
Artigo 62.º
Inquérito
A constatação de uma violação dos dados pessoais, desde que comprovada em prova documental ou pericial, implica a imediata abertura de inquérito disciplinar a determinar pelo Presidente do Conselho de Administração dos SMAS.
Sanções de carácter regulamentar
Artigo 63.º
Fiscalização
1 -Sem prejuízo das competências atribuídas por lei a outras entidades, a fiscalização do cumprimento do disposto no presente regulamento compete ao DPO do Município de Sintra.
2 -Sem prejuízo do cumprimento do disposto nos artigos 33.º e 34.º do RGPD, as violações ao presente regulamento são comunicadas pelo DPO ao Presidente da Câmara Municipal de Sintra, o qual determinará a instauração de processo contraordenacional, criminal, cível, de inquérito ou disciplinar, consoante o que for aplicável ao caso.
Artigo 64.º
Contraordenações
1 -Sem prejuízo do especialmente disposto na lei geral, são puníveis como contraordenação as violações dos deveres gerais dos titulares dos dados, previstos no artigo 24.º do presente Regulamento.
2 -Quando a conduta respeite à apresentação de dados falsos com intenção dolosa o comportamento é punível com coima de 1/2 a 10 vezes da Retribuição Mínima Mensal Garantida.
Artigo 65.º
Reincidência
1 -É punido como reincidente quem cometer uma infração praticada com dolo, depois de ter sido condenado por outra infração, se entre as duas infrações não tiver decorrido um prazo superior ao da prescrição da primeira.
2 -Em caso de reincidência o limite mínimo constante da moldura contraordenacional é elevado para o dobro, não podendo a coima a aplicar em concreto ser inferior à anteriormente aplicada.
3 -Sem prejuízo do disposto no número anterior a reincidência implica a aplicação de uma sanção acessória que seja adequada, nos termos do Regime Geral de Contraordenações.
Artigo 66.º
Medida da coima
A determinação da medida da coima faz-se em função da gravidade da contraordenação, da culpa, da situação económica do agente e, quando aplicável, do benefício económico que este retirou da prática da contraordenação.
Artigo 67.º
Processo contraordenacional
1 -A decisão sobre a instauração, instrução do processo de contraordenação, aplicação das coimas e das sanções acessórias é da competência do Presidente da Câmara, sendo delegável e subdelegável, nos termos da lei.
2 -O produto das coimas previstas no presente regulamento, mesmo quando estas sejam fixadas em juízo, constitui receita do Município.
Artigo 68.º
Responsabilidade civil, criminal ou disciplinar
A aplicação das sanções supra referidas não isenta o infrator da eventual responsabilidade civil, criminal ou disciplinar emergente dos factos praticados.
Artigo 69.º
Cumprimento do dever omitido
Sempre que a contraordenação resulte de omissão de um dever, o pagamento da coima não dispensa o infrator de dar cumprimento ao dever omitido, se este ainda for possível.
Sanções consagradas no RGPD
Artigo 70.º
Aplicáveis aos responsáveis pelo tratamento
As sanções aplicáveis são as estabelecidas por legislação nacional nos termos previstos no artigo 84.º do RGPD.
Harmonização com os Normativos de Gestão da Qualidade, Códigos de Conduta e Plano de Gestão de Riscos de Corrupção e Infrações Conexas
Artigo 71.º
Normativos de Gestão e Códigos de Conduta
1 -O presente regulamento e os manuais Internos de procedimentos devem ter em consideração a harmonização com os normativos de gestão aplicados e certificados no âmbito da atividade do Município.
2 -A harmonização referida no número anterior não pressupõe a necessária integração do presente regulamento e dos manuais Internos de procedimentos nos normativos de gestão supra e na certificação existente.
3 -Os manuais de procedimentos internos, poderão ser objeto de certificação nos termos definidos nos artigos 42.º e 43.º do Regulamento Europeu.
4 -Sem prejuízo das regras de conduta previstas no presente código, da Lei Geral de Trabalho em Funções Públicas, aprovada pela Lei n.º 35/2014, de 20 de junho, com as alterações vigentes e do estatuído no artigo 40.º do Regulamento Europeu, aplica-se subsidiariamente o Código de Conduta Ética da Câmara Municipal de Sintra.
Artigo 72.º
Plano de Gestão de Riscos de Corrupção e Infrações Conexas
Da aplicação do Regulamento Europeu, da Legislação Nacional atinente à matéria em apreço, do presente regulamento e dos manuais de procedimentos internos, sempre que necessário e adequado deve decorrer uma interligação com o plano de gestão riscos de corrupção e infrações conexas da Câmara Municipal de Sintra, bem como com o dos SMAS.
Artigo 73.º
Legislação subsidiária
A tudo o que não esteja especialmente previsto no presente Regulamento aplica-se subsidiariamente o Regulamento (EU) 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de 2016 e da legislação nacional que seja aplicável em razão da matéria.
Artigo 74.º
Interpretação e casos omissos
1 -As lacunas e dúvidas interpretativas suscitadas na aplicação do presente Regulamento são preenchidas ou resolvidas, na linha do seu espírito, mediante despacho fundamentado do Presidente da Câmara Municipal de Sintra.
2 -As menções às unidades orgânicas constantes do presente regulamento, reportam-se, em caso de alteração da estrutura da Câmara Municipal e dos SMAS àquelas que sucederem nas respetivas atribuições.
Artigo 75.º
Entrada em vigor
O presente Regulamento entra em vigor 5 dias após a sua publicação em 2.ª série do Diário da República.