Saltar para o conteúdo principal

Artigo 26.º — Competências do Responsável pelo Tratamento dos Dados

Vigente desde: 08/03/2024
  1. 1 -Sem prejuízo das demais competências constantes no RGPD, o responsável pelo tratamento de dados deve determinar a aplicação, tanto no momento de definição dos meios de tratamento como no momento do próprio tratamento, das medidas técnicas e organizativas adequadas, destinadas a aplicar com eficácia os princípios da proteção de dados, e a incluir as garantias necessárias no tratamento, de uma forma que este cumpra os requisitos do RGPD e do presente Regulamento, protegendo os direitos dos titulares dos dados.
  2. 2 -Incumbe ao responsável pelo tratamento determinar a aplicação de medidas técnicas e organizativas para assegurar que, por defeito, só sejam tratados os dados pessoais que forem necessários para cada finalidade específica do tratamento, bem como não sejam disponibilizados sem intervenção humana a um número indeterminado de pessoas singulares.
  3. 3 -A obrigação referida no número anterior aplica-se:
    1. a)À quantidade de dados pessoais recolhidos;
    2. b)À extensão do seu tratamento;
    3. c)Ao seu prazo de conservação;
    4. d)À sua acessibilidade.
  4. 4 -O responsável pelo tratamento de dados deve conservar um registo de todas as atividades de tratamento sob a sua responsabilidade, do qual devem constar todas seguintes informações:
    1. a)O nome e os contactos do responsável pelo tratamento e do encarregado da proteção de dados;
    2. b)As finalidades do tratamento dos dados;
    3. c)A descrição das categorias de titulares de dados e das categorias de dados pessoais;
    4. d)As categorias de destinatários a quem os dados pessoais foram ou serão divulgados, incluindo os destinatários estabelecidos em países terceiros ou organizações internacionais;
    5. e)Se for aplicável, as transferências de dados pessoais para países terceiros ou organizações internacionais, incluindo a identificação desses países terceiros ou organizações internacionais;
    6. f)Se possível, os prazos previstos para o apagamento das diferentes categorias de dados;
    7. g)Se possível, uma descrição geral das medidas técnicas e organizativas no domínio da segurança.
  5. 5 -O responsável pelo tratamento deve efetuar os registos, descritos no número anterior, por escrito, incluindo em formato eletrónico, devendo disponibilizar os mesmos, a pedido, à autoridade de controlo, designadamente à CNPD.
  6. 6 -O responsável pelo tratamento de dados deve determinar, antes que seja iniciado o respetivo tratamento, uma avaliação de impacto quando o mesmo for suscetível de resultar num alto risco para os direitos liberdades e garantias das pessoas, devendo tal avaliação contar com o parecer obrigatório do encarregado de proteção de dados.
  7. 7 -Incumbe ao responsável pelo tratamento de dados consultar previamente ao tratamento a autoridade de controlo sempre que no âmbito de uma avaliação de impacto se concluir que o mesmo, na ausência de garantias e de medidas e procedimentos de segurança para atenuar os riscos, implica um elevado risco para os direitos e liberdades das pessoas singulares que não pode ser atenuado através de medidas razoáveis, atendendo à tecnologia disponível e aos custos de aplicação.
  8. 8 -Incumbe ao responsável pelo tratamento de dados, nos termos do RGPD, comunicar à autoridade de controlo, designadamente à CNPD, qualquer violação de dados que se verifique, devendo ter idêntico procedimento relativamente ao titular dos dados, sempre que essa violação seja suscetível de representar um alto risco para os direitos e liberdades do mesmo.
Comparar versões deste artigo