Saltar para o conteúdo principal

Artigo 7.º — Competências do responsável pelo tratamento de dados pessoais

Vigente desde: 26/01/2024
  1. 1 -Sem prejuízo das demais competências constantes no RGPD, o responsável pelo tratamento de dados deve determinar a aplicação, tanto no momento de definição dos meios de tratamento como no momento do próprio tratamento, das medidas técnicas e organizativas adequadas, destinadas a aplicar com eficácia os princípios da proteção de dados, e a incluir as garantias necessárias no tratamento, de forma que este cumpra os requisitos do RGPD e do presente Regulamento, protegendo os direitos dos titulares dos dados.
  2. 2 -Incumbe ao responsável pelo tratamento determinar a aplicação de medidas técnicas e organizativas para assegurar que, por defeito, só sejam tratados os dados pessoais que forem necessários para cada finalidade específica do tratamento, bem como não sejam disponibilizados, sem intervenção humana, a um número indeterminado de pessoas singulares.
  3. 3 -A obrigação referida no número anterior aplica-se:
    1. a)À quantidade de dados pessoais recolhidos;
    2. b)À extensão do seu tratamento;
    3. c)Ao seu prazo de conservação;
    4. d)À sua acessibilidade.
  4. 4 -São competências do responsável pelo tratamento de dados pessoais, nomeadamente, as a seguir elencadas:
    1. a)Comunicar à autoridade de controlo as violações dos dados pessoais que lhe sejam comunicadas pelo encarregado da proteção de dados, sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento da mesma, a menos que a violação dos dados pessoais não seja suscetível de resultar risco para os direitos e liberdades das pessoas singulares;
    2. b)Comunicar ao titular dos dados pessoais, sem demora injustificada, a violação destes, se a mesma for suscetível de implicar um elevado risco para os seus direitos e liberdades, exceto quando se verifique um dos seguintes casos:
      1. i)O responsável pelo tratamento tiver aplicado medidas de proteção adequadas, tanto técnicas como organizativas, nomeadamente medidas que tornem os dados pessoais incompreensíveis para qualquer pessoa não autorizada a aceder a esses dados, tais como a cifragem;
      2. ii)O responsável pelo tratamento tiver tomado medidas subsequentes que assegurem que o elevado risco para os direitos e liberdades dos titulares dos dados já não é suscetível de se concretizar; ou
      3. iii)Implicar um esforço desproporcionado.
    3. c)Solicitar pareceres ao encarregado da proteção de dados, nos termos da alínea anterior;
    4. d)Apoiar o encarregado da proteção de dados no exercício das suas funções, fornecendo-lhe os recursos necessários ao desempenho dessas funções e à manutenção dos seus conhecimentos, bem como dando-lhe acesso aos dados pessoais e às operações de tratamento.
  5. 5 -Se a notificação à autoridade de controlo referida na alínea a) do número anterior não for transmitida no prazo de 72 horas, esta deve ser acompanhada dos motivos do atraso.
  6. 6 -O responsável pelo tratamento de dados deve conservar um registo de todas as atividades de tratamento sob a sua responsabilidade, do qual devem constar todas seguintes informações:
    1. a)O nome e os contactos do responsável pelo tratamento e do encarregado da proteção de dados;
    2. b)As finalidades do tratamento dos dados;
    3. c)A descrição das categorias de titulares de dados e das categorias de dados pessoais;
    4. d)As categorias de destinatários a quem os dados pessoais são divulgados, incluindo os destinatários estabelecidos em países terceiros ou organizações internacionais;
    5. e)Se for aplicável, as transferências de dados pessoais para países terceiros ou organizações internacionais, incluindo a identificação desses países terceiros ou organizações internacionais;
    6. f)Se possível, os prazos previstos para o apagamento das diferentes categorias de dados;
    7. g)Se possível, uma descrição geral das medidas técnicas e organizativas no domínio da segurança.
  7. 7 -O responsável pelo tratamento de dados deve determinar, antes que seja iniciado o respetivo tratamento, uma Avaliação de Impacto da Proteção de Dados (AIPD) quando o mesmo for suscetível de resultar num alto risco para os direitos, liberdades e garantias das pessoas, devendo tal avaliação contar com o parecer obrigatório do EPD.
  8. 8 -Previamente ao tratamento, ao responsável pelo tratamento de dados incumbe consultar a autoridade de controlo sempre que, no âmbito de uma AIPD, se concluir que o mesmo, na ausência de garantias e de medidas e procedimentos de segurança para atenuar os riscos, implica um elevado risco para os direitos e liberdades das pessoas singulares que não pode ser atenuado através de medidas razoáveis, atendendo à tecnologia disponível e aos custos de aplicação.
Comparar versões deste artigo