Despacho n.º 14377/2024

O presente Código consagra os princípios de atuação e as normas de ética e conduta profissional que devem ser observadas por todos os trabalhadores dos Serviços de Ação Social da Universidade de Évora, no exercício das suas funções, cuja atividade envolva a recolha, consulta, utilização e qualquer outra forma de tratamento, incluída no n.º 2 do artigo 4.º do Regulamento Geral de Proteção de Dados (Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, doravante designado por RGPD, bem como de toda a legislação aprovada neste âmbito.

O presente Código aplica-se:

As palavras e expressões utilizadas no presente Código têm o seguinte significado:

O presente Código de Conduta tem por objetivos:

Os trabalhadores dos SASUE estão sujeitos aos seguintes deveres, no exercício das suas funções:

Os SASUE devem garantir que todas as reclamações recebidas, referentes a qualquer operação de recolha, tratamento e arquivo de dados pessoais, efetuado pelos seus trabalhadores são imediatamente encaminhadas para o Encarregado de Proteção de Dados para apreciação e proposta de decisão, que aceite, será comunicada ao reclamante.

O tratamento dos dados pessoais deve obedecer aos seguintes princípios:

Para que o tratamento de dados seja lícito deve obedecer a uma das seguintes condições:

Define a obrigatoriedade de determinar de raiz (logo no momento da sua conceção), tanto no momento da definição dos meios de tratamento como no momento do próprio tratamento, as medidas técnicas e organizativas adequadas destinadas a aplicar aos princípios da proteção de dados e a incluir nas garantias necessárias ao tratamento, garantindo a finalidade do tratamento dos dados e o respeito pelos direitos do titular dos dados. A avaliação do risco de privacidade é tida em conta em todo o processo de conceção de um novo produto, serviço ou operação através de medidas e procedimentos técnicos e organizacionais adequados para garantir, desde o início, que o tratamento está em conformidade com o RGPD e protege os direitos dos titulares dos dados em causa.

Define a obrigatoriedade de encontrar medidas técnicas e organizativas adequadas que “por defeito”, assegurem que apenas sejam tratados os dados pessoais que forem estritamente necessários a cada finalidade específica de tratamento dos dados. Significa assegurar que são colocados em prática, dentro de uma organização, mecanismos para garantir que, por defeito, apenas será recolhida, utilizada e conservada para cada atividade de tratamento, a quantidade necessária de dados pessoais face à respetiva finalidade. Esta obrigação aplica-se, nomeadamente, em termos de extensão do seu tratamento, ao prazo de conservação e à sua acessibilidade em consonância com o definido pelo RGPD.

Sempre que solicitado (sujeito a certificação pelo Responsável Concreto) pelo titular dos dados, os SASUE comprometem-se a retificar, atualizar e disponibilizar, eventualmente minimizar, os dados constantes dos seus ficheiros, bases de dados e plataformas, quando legalmente permitido e sem demora injustificada.

O titular dos dados tem o direito de obter dos SASUE o apagamento dos dados pessoais (“ser esquecido”), sem demora injustificada, quando ocorra um dos seguintes motivos:

O titular dos dados tem o direito de, salvo disposição legal em contrário, se opor em qualquer altura, a que os dados que lhe digam respeito sejam objeto de tratamento, devendo, em caso de oposição justificada, o tratamento efetuado pelo Responsável deixar de poder incidir sobre esses dados.

O titular dos dados tem direito a apresentar uma reclamação à Comissão Nacional de Proteção de Dados (CNPD) ou a outra autoridade de controlo competente nos termos da lei, caso considere que os seus dados não estão a ser objeto de tratamento legítimo por parte dos SASUE, nos termos da legislação aplicável e da presente Política.

Sempre que o tratamento de dados pessoais deva ser realizado por um subcontratante em nome dos SASUE este tem de garantir o recurso apenas a empresas que ofereçam suficientes garantias quanto à implementação das medidas técnicas e organizativas adequadas, de modo a assegurar o cumprimento da legislação e a garantir a proteção dos direitos dos titulares.

Os SASUE têm de garantir que o recurso a subcontratantes ocorrerá apenas por contrato, estabelecendo, nomeadamente:

A transferência de dados para fora da União Europeia só é lícita mediante o cumprimento de requisitos admissíveis legalmente ou o recurso à utilização de diferentes instrumentos legais:

No exercício das suas atividades os SASUE observam um conjunto de procedimentos de segurança adequados à proteção de dados pessoais no intuito de preservar o acesso ou divulgação não autorizados mercê de um conjunto de medidas e tecnologias partilhadas, com os Serviços de Informação e Proteção de Dados da Universidade de Évora, das quais se destacam:

Uma Violação de Dados Pessoais é definida como uma violação/incidente de segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento.

Quando a Violação dos Dados Pessoais for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares, o Encarregado de Proteção de Dados deve ser alertado e monitorizar a comunicação da Violação de Dados Pessoais ao titular dos dados sem demora injustificada de acordo com a informação descrita anteriormente.

Para além dos Princípios definidos no Capítulo IV, o modelo de governo que conforma o Código de Conduta assenta nos seguintes princípios que visam garantir o exercício dos direitos dos titulares dos dados e o cumprimento das regras associadas ao seu tratamento:

O incumprimento das regras estabelecidas no RGPD, vertidas no presente Código de Conduta, pode implicar para os SASUE:

Os pedidos de esclarecimento, dúvidas de interpretação ou de aplicação do presente Código de Conduta deverão ser dirigidos ao Encarregado de Proteção de Dados, através das vias identificadas no n.º 4 do artigo 38.º do presente, que responderá diretamente ou após consulta à Unidade Orgânica visada.

A todas as omissões, ao previsto no presente Código de Conduta, será aplicado o estipulado no RGPD, bem como a legislação nacional em vigor sobre este assunto.