DespachoSem vigência

Despacho n.º 12076/2020

Artigo 1.º

Objeto e âmbito

O Regulamento de Proteção de Dados Pessoais da NOVA estabelece um conjunto de princípios e orientações tendo em vista o cumprimento das regras estabelecidas no Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (RGPD), e respetiva lei de execução, a aplicar aos serviços e unidades orgânicas da NOVA, nomeadamente no âmbito das suas atribuições previstas no artigo 4.º dos Estatutos da NOVA homologados pelo Despacho Normativo n.º 3/2020.

Artigo 2.º

Definições relevantes

1 -"Dados pessoais" - qualquer tipo de informação, independentemente do seu suporte, que identifique ou permita identificar uma pessoa singular.

2 -"Tratamento" - operação ou conjunto de operações efetuadas sobre dados pessoais ou conjuntos de dados pessoais, por meios automatizados ou não automatizados.

3 -"Responsável pelo tratamento" - a entidade que, individualmente ou conjunto com outras ("responsáveis conjuntos"), determina(m) as finalidades (para quê?) e os meios (como?) de tratamento dos dados pessoais.

4 -"Subcontratante" - a entidade, juridicamente distinta do responsável pelo tratamento, que trata os dados pessoais por conta daquele.

5 -"Violação ou incidente de dados pessoais" - uma violação de segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento.

6 -"Pseudonimização" - o tratamento de dados pessoais de forma a que estes deixem de poder ser atribuídos a um titular de dados específico sem recorrer a informações suplementares, desde que essas informações suplementares sejam mantidas separadamente e sujeitas a medidas de proteção.

Artigo 3.º

Responsabilidade

1 -O responsável pelo tratamento dos dados pessoais é a NOVA.

2 -A NOVA é obrigada a garantir e a demonstrar o cumprimento das obrigações resultantes do RGPD, bem como das obrigações resultantes do presente regulamento.

Artigo 4.º

Princípios do tratamento de dados pessoais

1 -Através da adoção gradual de um conjunto de medidas técnicas e organizativas como, por exemplo, o controlo de acessos, a realização de avaliações de impacto, a elaboração de um registo das atividades de tratamento, a designação de um encarregado de proteção de dados, a aplicação de técnicas de anonimização e de pseudonimização, as recomendações da Resolução do Conselho de Ministros n.º 41/2018, de 28 de março de 2018, entre outras medidas, a NOVA garante que os tratamentos de dados pessoais que realiza respeitam os princípios enunciados no artigo 5.º do RGPD, nomeadamente, o princípio da licitude, lealdade e transparência, o princípio da limitação das finalidades, o princípio da minimização dos dados, o princípio da exatidão, o princípio da limitação da conservação, o princípio da integridade e confidencialidade e o princípio da responsabilidade.

2 -Em especial, em relação ao princípio da transparência, a NOVA garantirá a execução do mesmo, de várias formas, sobretudo publicitando políticas e notas de privacidade de dados, que disponibilizará a várias categorias de titulares dos dados pessoais.

Artigo 5.º

Exercício dos direitos do titular dos dados

1 -De modo a permitir o exercício, pelo titular dos dados, dos direitos que lhe são reconhecidos na legislação de proteção de dados pessoais, a NOVA criou procedimentos para solicitar o exercício dos mesmos e, sendo caso disso, obter a título gratuito, em especial, o acesso a dados pessoais, a sua retificação ou o seu apagamento e o exercício de direitos de oposição.

2 -Em particular, a NOVA criou procedimentos para que os pedidos dos titulares dos dados possam ser apresentados por via eletrónica, nomeadamente através do envio de e-mail e, nos termos do artigo 6.º do presente regulamento, a NOVA atribuiu e distribuiu responsabilidades para a resposta, acompanhamento e execução desses pedidos.

Artigo 6.º

Encarregado da Proteção de Dados e Comité de Privacidade de Dados

1 -A NOVA designa um Encarregado da Proteção de Dados ("EPD"), a quem incumbe, o exercício das competências previstas na lei, em especial as descritas nos artigos 37.º a 39.º do RGPD, bem como, entre outras, as seguintes tarefas:

a)Apoiar o Gestor da Privacidade de Dados na clarificação das questões colocadas pelos colaboradores, assegurando a sua confidencialidade sempre que tal for necessário;

b)Apoiar a conceção e a atualização do registo de atividades de tratamento da NOVA e das respetivas unidades orgânicas e serviços;

c)Aconselhar o Gestor de Privacidade de Dados no processo de aprovação de quaisquer situações de reutilização de dados, quando lhe sejam apresentadas pelo Gestor da Privacidade de Dados;

d)Zelar pelo cumprimento dos direitos dos titulares dos dados junto da NOVA e pela resposta dos respetivos pedidos em tempo útil;

e)Dar parecer sobre documentos e cláusulas contratuais relativos a operações de tratamento de dados pessoais;

f)Prestar aconselhamento, quando tal lhe for solicitado, no que respeita à avaliação de impacto sobre a proteção de dados pessoais e controlar a sua realização;

g)Nas novas operações de tratamento de dados fundadas no consentimento ou no(s) interesse(s) legítimo(s), avaliar os trâmites necessários para suportar a operação, incluindo o modelo de consentimento utilizado, o mecanismo da sua recolha e os meios da sua guarda e conservação;

h)Controlar as novas operações de tratamento de dados pessoais efetuadas em suportes digitais, bem como as respetivas notas de privacidade de dados, condições de licitude, informações sobre o uso de cookies, e eventuais avaliações de impacto sobre a proteção de dados que possa ser necessário realizar;

j)Controlar o desenho de medidas técnicas e organizativas em matéria de segurança dos dados pessoais;

k)Liderar e acompanhar processos de auditoria externa, executados por Auditor Externo, contratado pela NOVA especificamente para aquele efeito;

l)Funcionar como interlocutor com a CNPD quando a NOVA for contactada pela mesma;

m)Apoiar a NOVA nos contactos a realizar junto da CNPD.

2 -A NOVA cumpre e cumprirá as obrigações resultantes da lei, em especial do artigo 38.º do RGPD, no que diz respeito à posição do EPD.

3 -O EPD está vinculado à obrigação de sigilo ou de confidencialidade no exercício das suas funções.

4 -O EPD da NOVA pode ser contactado, para esclarecimentos e exercício dos direitos do titular dos dados, através do endereço de correio eletrónico: [email protected].

5 -Para efeitos do disposto no n.º 2 do artigo 38.º do RGPD, o EPD é coadjuvado, em permanência, por uma equipa de responsáveis pela privacidade de dados e por um Gestor da Privacidade de Dados que, juntamente, compõem o Comité de Privacidade de Dados da NOVA.

6 -O Responsável pela Privacidade de Dados é o supervisor da área de proteção de dados de cada unidade orgânica ou serviço da NOVA. Para esse efeito, são-lhe atribuídas, nomeadamente, as seguintes funções:

a)Clarificar, em coordenação com Gestor da Privacidade de Dados, as questões que lhe sejam colocadas pelos colaboradores;

b)Manter atualizada a documentação relevante da sua unidade orgânica ou serviço, nomeadamente as notas de privacidade de dados;

c)Manter atualizado o registo de atividades de tratamento da sua unidade orgânica ou serviço;

d)Comunicar ao Gestor da Privacidade de Dados novas operações de tratamento de dados pessoais da sua unidade orgânica ou serviço a incluir no registo de atividades de tratamento da NOVA;

e)Transmitir ao Gestor da Privacidade de Dados quaisquer situações identificadas nas quais haja reutilização de dados pessoais para além das finalidades para as quais aqueles dados foram recolhidos;

f)Recolher, isoladamente ou em coordenação com o Gestor da Privacidade de Dados, junto dos fornecedores, documentos e cláusulas contratuais relativos a operações de tratamento de dados pessoais e requerer parecer dos mesmos junto do EPD;

g)Garantir, em coordenação com o Gestor da Privacidade de Dados, que os titulares dos dados pessoais são informados sobre a forma como os seus dados pessoais são tratados;

h)Sinalizar novas operações de tratamento de dados pessoais que possam carecer de uma avaliação de impacto sobre a proteção de dados pessoais e comunicá-las ao Gestor da Privacidade de Dados;

j)Comunicar ao Gestor da Privacidade de Dados todas as novas operações de tratamento de dados pessoais efetuados em suportes digitais;

k)Sinalizar novos casos de transmissão de dados pessoais a uma parte terceira à NOVA, incluindo fora da União Europeia, e comunicá-los ao Gestor da Privacidade de Dados;

l)Controlar, em coordenação com o Gestor da Privacidade de Dados, o desenho de medidas técnicas e organizativas em matéria de segurança dos dados pessoais;

m)Zelar pelo cumprimento, na respetiva unidade orgânica ou serviço, do presente regulamento e da legislação aplicável em matéria de proteção de dados.

7 -O Gestor da Privacidade de Dados é o coordenador da proteção de dados de toda a NOVA, sendo responsável pela coordenação da equipa de Responsáveis pela Privacidade de Dados, e por garantir o cumprimento do presente regulamento em toda a NOVA. Para esse efeito, são-lhe atribuídas, entre outras, as seguintes funções:

a)Clarificar, em coordenação com o(s) Responsável(eis) pela Privacidade de Dados, as questões que lhe sejam colocadas pelos colaboradores;

b)Manter atualizada a documentação relevante, nomeadamente as notas de privacidade de dados da NOVA, bem como as políticas existentes;

c)Enquadrar, no registo das atividades de tratamento da NOVA, as operações de tratamento de dados das unidades orgânicas que lhe forem comunicadas pelo(s) Responsável(eis) pela Privacidade de Dados;

d)Analisar e aprovar, consultando o EPD sempre que necessário, quaisquer situações nas quais haja reutilização de dados pessoais para além das finalidades para as quais aqueles dados foram recolhidos, quando tal lhe seja transmitido pelo(s) Responsável(eis) pela Privacidade de Dados;

e)Recolher, junto dos fornecedores da respetiva unidade orgânica ou serviço, e em coordenação com o respetivo Responsável pela Privacidade de Dados, documentos e cláusulas contratuais relativas a operações de tratamento de dados pessoais e requerer parecer sobre os mesmos junto do EPD;

f)Garantir, isoladamente ou em coordenação com o(s) Responsável(eis) pela Privacidade de Dados, que os titulares dos dados são informados sobre a forma como os seus dados pessoais são tratados;

g)Avaliar a pertinência e coordenar a realização de avaliações de impacto sobre a proteção de dados, requerendo a colaboração do EPD sempre que a mesma for necessária;

h)Comunicar ao EPD quaisquer novas operações de tratamento de dados pessoais que sejam fundadas no consentimento e no(s) interesse(s) legítimo(s);

j)Solicitar ao EPD a avaliação da transmissão de dados pessoais a uma parte terceira à NOVA, incluindo a entidades fora da União Europeia;

k)Controlar, em coordenação com o EPD e com o(s) Responsável(eis) pela Privacidade de Dados, o desenho de medidas técnicas e organizativas em matéria de segurança dos dados pessoais;

l)Determinar a periodicidade de sessões de formação e da necessidade de divulgação de materiais informativos junto da comunidade da NOVA;

m)Zelar pelo cumprimento deste regulamento.

8 -O Comité de Privacidade de Dados da NOVA, bem como a sua composição, devem ser amplamente divulgados junto da comunidade da NOVA.

9 -Qualquer titular de dados pessoais deve ter fácil acesso, em especial por via eletrónica, ao EPD e ao Gestor da Privacidade de Dados, de forma a colocar dúvidas, pedidos de informação, ou fazer reclamações.

10 -Se o titular dos dados pessoais desejar manter o anonimato, deve informar o Gestor da Privacidade de Dados ou, preferencialmente, contactar o EPD.

11 -Sempre que o EPD ou o Gestor da Privacidade de Dados não puderem resolver uma reclamação ou dar resposta a uma violação do presente regulamento, o Reitor deve ser consultado.

12 -Qualquer comunicação feita à CNPD deve ser efetuada pelo Reitor, apoiado pelo Gestor de Privacidade de Dados e consultado o EPD.

Artigo 7.º

Categorias de dados pessoais

a)Dados pessoais de estudantes;

b)Dados pessoais do corpo docente e não docente;

c)Dados pessoais de bolseiros;

d)Dados pessoais de investigadores;

e)Dados pessoais de candidatos;

f)Dados pessoais de fornecedores da NOVA no âmbito dos serviços prestados;

g)Dados pessoais no âmbito de projetos de investigação da NOVA;

h)Contactos para partilha e divulgação de eventos no NOVA.

Artigo 8.º

Finalidades do tratamento de dados pessoais

1 -No pleno exercício da sua missão, a NOVA desenvolve e realiza atividades das quais resultam um conjunto de grupos de finalidades específicas, explícitas e legítimas para o tratamento de dados, tais como:

a)Gestão Académica;

b)Gestão administrativa, contabilística e fiscal;

c)Gestão de controlo de acessos;

d)Gestão de recursos humanos;

e)Gestão de comunicações eletrónicas;

f)Cumprimento de obrigações legais;

g)Divulgação de eventos da NOVA;

h)Gestão de prestação de serviços;

j)Prossecução das atribuições dos Serviços de Ação Social, nomeadamente, atribuições de bolsas de estudo e promoção do desenvolvimento, bem-estar e saúde.

2 -Integram-se nos grupos de finalidades referidos no número anterior, nomeadamente, os seguintes:

a)Preenchimento da ficha do aluno, registo de assiduidade, notas de exames e trabalhos;

b)Celebração e execução do vínculo laboral;

c)Processamento salarial, no qual se incluem pagamentos, descontos e retenções na fonte de impostos e contribuições a que a NOVA esteja obrigada por lei;

d)Cumprimento das obrigações de saúde e segurança no trabalho da NOVA;

e)Cumprimento dos deveres de comunicação no âmbito de acidentes de trabalho;

f)Formação profissional e avaliação de desempenho dos colaboradores;

g)Processos disciplinares dos colaboradores;

h)Controlo de assiduidade e pontualidade;

j)Cumprimento de outros normativos legais aplicáveis à NOVA ou de decisão judicial de que esta seja notificada.

Artigo 9.º

Prazo de conservação dos dados pessoais

1 -De modo a garantir a conservação dos dados pessoais apenas pelo período de tempo necessário, a NOVA fixa prazos para o apagamento ou anonimização ou para a revisão periódica.

2 -Os prazos de conservação dos dados pessoais são definidos de acordo com o artigo 21.º da Lei n.º 58/2019, de 8 de agosto.

3 -A NOVA poderá a conservar alguns dados pessoais por um período mais longo, de modo a respeitar, nomeadamente:

a)Obrigações legais, ao abrigo das leis em vigor, de conservação de dados por períodos predefinidos;

b)Prazos de prescrição, ao abrigo das leis em vigor;

c)A resolução definitiva de quaisquer eventuais litígios;

d)Orientações emitidas pelas autoridades de proteção de dados competentes.

4 -No âmbito da proteção de dados pessoais serão observados os procedimentos constantes do documento relativo à Política de Conservação de Dados.

Artigo 10.º

Partilha de dados pessoais

a)Consultores e prestadores de serviços relacionados com a gestão de contencioso;

b)Empresas prestadoras de serviços à NOVA exclusivamente para os fins especificamente estabelecidos;

c)A pedido do respetivo titular e/ou com o seu consentimento;

d)Autoridades judiciárias, administrativas e a outras entidades, nomeadamente:

i)Autoridade Tributária e Aduaneira;

ii)Instituições de Segurança Social;

iii)Caixa Geral de Aposentações;

iv)Autoridade para as Condições de Trabalho;

v)Órgãos de tutela, nomeadamente a Inspeção Geral da Educação e Ciência (IGEC).

Artigo 11.º

Partes terceiras à NOVA

1 -Por força do RGPD, a NOVA deverá identificar e verificar a maturidade de partes terceiras à NOVA - subcontratantes e responsáveis conjuntos - antes de recorrer à contratação dos respetivos serviços, se for esse o caso, ou antes de facilitar o acesso, realizar a transmissão ou outra operação de tratamento de dados pessoais a qualquer parte terceira à NOVA.

2 -Conforme referido no ponto 7.1., alínea f) do presente Regulamento, cabe ao Gestor da Privacidade de Dados, se necessário em coordenação com o Responsável pela Privacidade de Dados, recolher junto dos fornecedores da respetiva unidade orgânica ou serviço, documentos e cláusulas contratuais relativas a operações de tratamento de dados pessoais e requerer parecer sobre os mesmos junto do EPD.

Artigo 12.º

Confidencialidade e restrição de acessos

1 -O tratamento de dados pessoais está sujeito ao dever de sigilo.

2 -Os trabalhadores e colaboradores da NOVA podem ter acesso a dados pessoais, devendo esse acesso restringir-se, exclusivamente, às pessoas que tenham necessidade de os conhecer para cumprimento das suas funções ou tarefas.

3 -O tratamento de dados pessoais realizado por trabalhador ou colaborador que não tenha sido autorizado para tal é expressamente proibido, assim como o tratamento de dados pessoais para fins pessoais ou comerciais.

4 -O dever de sigilo sobre os dados pessoais mantém-se após a cessação de funções na NOVA.

Artigo 13.º

Segurança dos dados pessoais

1 -A NOVA está ciente do lugar que a segurança dos dados pessoais ocupa no RGPD e, por essa razão, adotou e continuará a adotar medidas técnicas e organizativas, nomeadamente, o controlo de acessos, ações de formação e materiais informativos, a aplicação de técnicas de anonimização e de pseudonimização, as recomendações da Resolução do Conselho de Ministros n.º 41/2018, de 28 de março de 2018, entre outras medidas.

2 -Assim que tomarem conhecimento, os colaboradores da NOVA devem informar imediatamente o Responsável pela Privacidade de Dados da respetiva unidade orgânica ou serviço ou serviço sobre as situações de incidentes com dados pessoais, violações do RGPD, e demais disposições legais e regulamentares aplicáveis.

3 -A determinação das medidas técnicas e organizativas para garantir a segurança dos dados pessoais é da competência do Reitor, do Gestor da Privacidade de Dados e do EPD que devem, continuamente, avaliar os ajustamentos necessários aos desenvolvimentos técnicos e mudanças organizativas.

Artigo 14.º

Supervisão dos mecanismos de proteção de dados pessoais

1 -A conformidade das operações de tratamento de dados pessoais com a legislação aplicável e com o presente regulamento interno deve ser verificada regularmente através de auditorias ou outros procedimentos de supervisão.

2 -A realização dessas auditorias é determinada pelo Reitor, segundo os requisitos que sejam definidos pelo EPD.

3 -Sempre que necessário, a NOVA pode recorrer a empresas de auditoria ou a consultores técnicos para a realização das auditorias previstas no presente artigo, quando estas não possam ser desempenhadas pela própria NOVA.

4 -O EPD acompanhará o processo de auditoria e os trabalhos desenvolvidos para o efeito, mesmo quando haja recurso a empresas de auditoria ou a consultores técnicos.

5 -Os resultados das auditorias ou outros procedimentos de supervisão devem ser transmitidos ao EPD.

Artigo 15.º

Formação e sensibilização

Ciente de que a sensibilização e formação dos colaboradores e, em geral de toda a comunidade académica, é fundamental para garantir o cumprimento da legislação aplicável, bem como do presente regulamento, a NOVA realizará sessões de formação e materiais informativos para esse efeito.

Artigo 16.º

Incumprimento

O colaborador da NOVA que violar o presente regulamento poderá ser sujeito a procedimento disciplinar ou mesmo a cessação do seu vínculo laboral.

Artigo 17.º

Disposições finais

1 -O presente regulamento entra em vigor no dia seguinte ao da sua publicação.

2 -Os casos omissos serão resolvidos por decisão do Reitor, ouvidos o Gestor de Privacidade de Dados e o Encarregado da Proteção de Dados. 11 de novembro de 2020. - O Reitor, Prof. Doutor João de Deus dos Santos Sàágua. 313762705