Quando, para efeitos de verificação dos direitos e concessão das prestações previstas na presente Convenção, forem comunicados dados pessoais ao abrigo da mesma Convenção e nos termos da legislação interna, são aplicáveis as seguintes disposições e quaisquer outras a que as Partes se encontrem vinculadas:
- a)Para efeitos da aplicação da presente Convenção e da legislação na mesma referida, os dados pessoais podem ser comunicados aos organismos responsáveis da Parte destinatária, os quais não podem utilizar estes dados para quaisquer outros fins. A posterior transmissão de dados pessoais no território da Parte destinatária a outras instituições pode ser efetuada nos termos da respetiva legislação interna, na medida em que esta transmissão sirva para fins de segurança social incluindo procedimentos judiciais;
- b)Quaisquer dados pessoais transmitidos sob qualquer forma entre as autoridades responsáveis, instituições ou outros organismos envolvidos nos termos da presente Convenção ou de qualquer outro Acordo de aplicação da mesma são tratados como informação confidencial recebida da outra Parte tal como a informação obtida nos termos da legislação interna da Parte destinatária. Estas obrigações são extensíveis a todas as pessoas que desempenhem tarefas ao abrigo da presente Convenção assim como às pessoas vinculadas ao dever de sigilo;
- c)A instituição destinatária deve, em determinados casos e a pedido da instituição remetente, disponibilizar informação relativa ao uso dos dados recebidos e aos resultados alcançados com os mesmos;
- d)A instituição remetente deve assegurar que os dados pessoais comunicados são corretos e atualizados. Antes de efetuar a transmissão de dados pessoais, a instituição remetente deve apurar se a transmissão em causa é ou não necessária e proporcional às finalidades a que se destina. Esta avaliação deve ser efetuada tendo em conta as interdições relativas à comunicação de dados previstas na respetiva legislação interna. No caso de transmissão de dados incorretos ou de dados que não deveriam ter sido comunicados nos termos da lei interna da Parte remetente, a instituição destinatária deve ser informada de imediato desse facto e deve proceder sem demora à destruição ou correção dos dados em questão. Se a instituição destinatária tiver razões para presumir que os dados que lhe foram transmitidos podem estar incorretos ou devem ser destruídos, deve informar de imediato a instituição remetente deste facto;
- e)Qualquer interessado que comprove devidamente a sua identidade tem direito a que a instituição responsável pelo processamento de dados relativos a informação que lhe respeite e que tenham sido comunicados ou processados, o informe, de forma clara, sobre a sua origem, o destinatário ou categorias de destinatários das comunicações, o fim a que se destinam e a respetiva base legal. A informação deve ser facultada com a brevidade possível e, em princípio, gratuitamente. Além disso, o interessado tem direito a que sejam corrigidos dados incompletos ou incorretos e a que sejam destruídos dados que tenham sido processados ilegalmente. Outras informações sobre os procedimentos processuais relativos à aplicação destes direitos estão sujeitas à legislação interna;
- f)Em caso de violação dos direitos relativos à proteção de dados, os interessados têm direito a recursos legais, incluindo nos tribunais, nos termos da legislação interna das Partes;
- g)Devem ser destruídos dados pessoais comunicados se se verificar que são incorretos ou que foram obtidos ou comunicados ilegalmente ou se tiverem sido transmitidos legalmente mas a legislação interna da Parte que os transmitiu obrigue à sua destruição posterior; devem igualmente ser destruídos os dados que já não são necessários para os fins em vista e se não houver motivos para supor que a sua destruição possa afetar os interesses de uma pessoa com direito a proteção em matéria de segurança social;
- h)A instituição remetente e a instituição destinatária estão obrigadas a registar a finalidade, o assunto e a data de todas as transmissões de dados pessoais assim como o nome da instituição remetente e da destinatária;
- i)A instituição remetente e a instituição destinatária têm o dever de proteger eficazmente os dados pessoais que recebam da destruição acidental ou não autorizada, da perda acidental, acesso não autorizado, alteração acidental ou não autorizada e divulgação não autorizada.