Os princípios que deverão nortear todas as operações de tratamento de dados pessoais são:
- a)Princípio do Tratamento Lícito: O tratamento dos dados pessoais é lícito se tiver como fundamento qualquer das situações elencadas no artigo 6.º ou artigo 9.º do RGPD:
- i)Se o titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas;
- ii)Se o tratamento for necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré-contratuais a pedido do titular dos dados;
- iii)Se o tratamento for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito;
- iv)Se o tratamento for necessário para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular;
- v)Se o tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento;
- vi)Se o tratamento for necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for uma criança;
- vii)Se o tratamento for necessário para efeitos do cumprimento de obrigações e do exercício de direitos específicos do responsável pelo tratamento ou do titular dos dados em matéria de legislação laboral, de segurança social e de proteção social, na medida em que esse tratamento seja permitido pelo direito da União ou dos Estados-Membros ou ainda por uma convenção coletiva nos termos do direito dos Estados-Membros que preveja garantias adequadas dos direitos fundamentais e dos interesses do titular dos dados;
- viii)Se o tratamento for necessário para proteger os interesses vitais do titular dos dados ou de outra pessoa singular, no caso de o titular dos dados estar física ou legalmente incapacitado de dar o seu consentimento;
- ix)Se o tratamento for efetuado, no âmbito das suas atividades legítimas e mediante garantias adequadas, por uma fundação, associação ou qualquer outro organismo sem fins lucrativos e que prossiga fins políticos, filosóficos, religiosos ou sindicais, e desde que esse tratamento se refira exclusivamente aos membros ou antigos membros desse organismo ou a pessoas que com ele tenham mantido contactos regulares relacionados com os seus objetivos, e que os dados pessoais não sejam divulgados a terceiros sem o consentimento dos seus titulares;
- x)Se o tratamento se referir a dados pessoais que tenham sido manifestamente tornados públicos pelo seu titular;
- xi)Se o tratamento for necessário à declaração, ao exercício ou à defesa de um direito num processo judicial ou sempre que os tribunais atuem no exercício da sua função jurisdicional;
- xii)Se o tratamento for necessário por motivos de interesse público importante, com base no direito da União ou de um Estado-Membro, que deve ser proporcional ao objetivo visado, respeitar a essência do direito à proteção dos dados pessoais e prever medidas adequadas e específicas que salvaguardem os direitos fundamentais e os interesses do titular dos dados;
- xiii)Se o tratamento for necessário para efeitos de medicina preventiva ou do trabalho, para a avaliação da capacidade de trabalho do empregado, o diagnóstico médico, a prestação de cuidados ou tratamentos de saúde ou de ação social ou a gestão de sistemas e serviços de saúde ou de ação social com base no direito da União ou dos Estados-Membros ou por força de um contrato com um profissional de saúde, nos termos da lei;
- xiv)Se o tratamento for necessário por motivos de interesse público no domínio da saúde pública, tais como a proteção contra ameaças transfronteiriças graves para a saúde ou para assegurar um elevado nível de qualidade e de segurança dos cuidados de saúde e dos medicamentos ou dispositivos médicos, com base no direito da União ou dos Estados-Membros que preveja medidas adequadas e específicas que salvaguardem os direitos e liberdades do titular dos dados, em particular o sigilo profissional;
- xv)Se o tratamento for necessário para fins de arquivo de interesse público, para fins de investigação científica ou histórica ou para fins estatísticos, em conformidade com o artigo 89.º, n.º 1, com base no direito da União ou de um Estado-Membro, que deve ser proporcional ao objetivo visado, respeitar a essência do direito à proteção dos dados pessoais e prever medidas adequadas e específicas para a defesa dos direitos fundamentais e dos interesses do titular dos dados;
- b)Princípio da Especificação e Limitação da Finalidade: Os dados pessoais apenas podem ser objeto de tratamento para as finalidades que estiveram na base da sua recolha, não podendo ser posteriormente tratados de forma incompatível com essas finalidades, sem consentimento do titular dos dados;
- c)Princípio do Tratamento Leal/Transparência: Os titulares dos dados devem ser informados de que os seus dados pessoais são objeto de um tratamento leal e transparente, para finalidades determinadas, explícitas e legítimas, de uma forma que garanta a sua segurança. No momento da recolha o titular dos dados deve conhecer ou deve ser informado, entre outros aspetos, da identidade do responsável pelo tratamento dos dados, da finalidade do tratamento, dos fundamentos do tratamento, dos terceiros a quem os dados podem ser transmitidos, ou comunicados, do prazo de conservação dos dados e da forma como poderá exercer os seus direitos;
- d)Princípio da Minimização dos Dados: Antes de se proceder ao tratamento dos dados, deve determinar-se quais os dados adequados e pertinentes relativamente às exclusivas finalidades para as quais são tratados. Os dados pessoais não devem ser recolhidos antecipadamente ou armazenados para uso futuro;
- e)Princípio da Exatidão dos Dados: Os dados pessoais contidos em ficheiros devem estar corretos, completos e atualizados. Devem ser tomadas medidas para assegurar que os dados que estejam desatualizados, incompletos ou incorretos são apagados, corrigidos ou atualizados;
- f)Princípio Relativo à Conservação dos Dados: Os dados pessoais devem ser conservados de uma forma que permita a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados, devendo ser apagados quando essas finalidades são atingidas.
Os dados poderão ser conservados por períodos mais longos, exclusivamente no cumprimento de obrigações legais, de arquivo ou de interesse público.
- g)Princípio da Segurança e da Confidencialidade: Atendendo à estrutura técnica, aos custos de implementação, à natureza, ao alcance, ao contexto e às finalidades do tratamento, bem como ao risco para os direitos dos titulares dos dados pessoais, devem ser implementadas as medidas técnicas e organizativas adequadas a garantir a sua segurança, incluindo a proteção contra o tratamento de dados não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidental.
Este princípio aplica-se à quantidade de dados recolhidos, à extensão do seu tratamento, ao seu período de armazenamento e à sua acessibilidade.
As medidas implementadas asseguram que, por defeito, os dados pessoais não são acessíveis sem intervenção humana.
O tratamento de dados pessoais encontra-se sujeito a deveres de confidencialidade e de sigilo. O acesso pelos Colaboradores aos dados pessoais tratados pela organização é limitado, sendo concedido acesso apenas na medida em que tal se revele necessário ao desempenho das respetivas funções.
São tomadas medidas de forma a assegurar que os Colaboradores a quem seja dado acesso aos dados pessoais se abstenham de os utilizar para fins diversos, em benefício próprio ou alheio, sob risco de responsabilização disciplinar e/ou criminal.