Artigo 1.º
Objeto
O presente regulamento estabelece o conjunto de medidas com vista ao cumprimento nos serviços da Câmara Municipal de Alcoutim das regras de privacidade, proteção, segurança e integridade de dados pessoais, previstas no Regulamento Geral de Proteção de Dados (RGPD) da União Europeia, aprovado pelo Regulamento da União Europeia n.º 2016/679 do Parlamento Europeu e do Conselho, de 27 de Abril de 2016, cuja execução na ordem jurídica nacional se encontra assegurada pela Lei n.º 58/2019, de 8 de Agosto.
Artigo 2.º
Definições
1 -"Dados pessoais ou dados": informação relativa a uma pessoa singular identificada ou identificável, sendo esta o “titular dos dados”; é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como, por exemplo, um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;
2 -"Dados biométricos", dados pessoais resultantes de um tratamento técnico específico relativo às características físicas, fisiológicas ou comportamentais de uma pessoa singular que permitam ou confirmem a identificação única dessa pessoa singular, nomeadamente imagens faciais ou dados dactiloscópicos;
3 -"Dados relativos à saúde", dados pessoais relacionados com a saúde física ou mental de uma pessoa singular, incluindo a prestação de serviços de saúde, que revelem informações sobre o seu estado de saúde;
4 -"Tratamento", uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;
5 -"Limitação do tratamento", a inserção de uma marca nos dados pessoais conservados com o objetivo de limitar o seu tratamento no futuro;
6 -"Ficheiro", qualquer conjunto estruturado de dados pessoais, quer seja centralizado, descentralizado ou repartido de modo funcional ou geográfico;
7 -"Responsável pelo tratamento" a pessoa singular ou coletiva, a autoridade publica, a agencia ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais, sempre que as finalidades e os meios desse tratamento sejam determinadas pela legislação da União Europeia ou de um Estado-Membro, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser previstos pelo direito da União ou de um Estado-Membro;
8 -"Subcontratante", uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que trate os dados por conta do responsável pelo seu tratamento;
9 -"Destinatário", uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que recebem comunicações de dados pessoais, independentemente de se tratar ou não de um terceiro. Contudo, as autoridades públicas que possam receber dados pessoais no âmbito de inquéritos específicos nos termos do direito da União ou dos Estados-Membros não são consideradas destinatários; o tratamento desses dados por essas autoridades públicas deve cumprir as regras de proteção de dados aplicáveis em função das finalidades do tratamento;
10 -"Terceiro", a pessoa singular ou coletiva, a autoridade pública, o serviço ou organismo que não seja o titular dos dados, o responsável pelo tratamento, o subcontratante e as pessoas que, sob a autoridade direta do responsável pelo tratamento ou do subcontratante, estão autorizadas a tratar os dados pessoais;
11 -"Consentimento" do titular dos dados, uma manifestação de vontade, livre, específica, informada e explícita, pela qual o mesmo aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento;
12 -"Violação de dados pessoais", violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento;
13 -"Documento administrativo" qualquer conteúdo, ou parte desse conteúdo, que esteja na posse ou seja detido em nome da Câmara Municipal de Alcoutim, seja o suporte de informação sob forma escrita, visual, sonora, eletrónica ou outra forma material;
14 -"Utilizadores" os que têm acesso e utilizam o sistema informático da Câmara Municipal de Alcoutim bem como os ficheiros, e arquivos da Câmara Municipal de Alcoutim;
15 -"Sistema informático ou sistema", inclui todas as infraestruturas e equipamentos informáticos pertencentes ao Município e utilizadas pelos serviços municipais;
16 -"Avaliação de impacto" sobre a proteção de dados, é um processo concebido para descrever o tratamento, avaliar a necessidade e proporcionalidade desse tratamento e ajudar a gerir os riscos para os direitos e liberdades das pessoas singulares decorrentes do tratamento dos dados pessoais, avaliando-os e determinando as medidas necessárias para fazer face a esses riscos.
Artigo 3.º
Princípios Relativos ao Tratamento de Dados Pessoais
a)Princípio da licitude, lealdade e transparência - o tratamento dos dados pessoais só poderá ser realizado ao abrigo das condições previstas na legislação em vigor e as demais disposições legais e regulamentares em matéria de proteção de dados, devendo esse tratamento ser realizado sempre de forma leal e transparente em relação ao seu titular;
b)Princípio da limitação das finalidades - os dados pessoais são recolhidos para finalidades determinadas, explícitas e legítimas, não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades. O tratamento posterior para fins de arquivo de interesse público, ou para fins de investigação científica ou histórica ou para fins estatísticos, não é considerado incompatível com as finalidades iniciais;
c)Princípio da minimização dos dados - só devem ser recolhidos dados pessoais que sejam adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados;
d)Princípio da exatidão - os dados devem ser exatos e atualizados sempre que necessário, devendo os dados inexatos devem ser apagados ou retificados sem demora;
e)Princípio da limitação da conservação - os dados pessoais devem ser conservados de forma a permitir a identificação dos titulares dos dados, apenas durante o período estritamente necessário, para as finalidades para as quais são tratados;
f)Princípio da integridade e confidencialidade - os dados pessoais devem ser tratados de uma forma que garanta a sua segurança, incluindo a proteção contra o seu tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidental, mediante adoção de medidas técnicas ou organizativas adequadas;
g)Princípio da responsabilidade - o responsável pelo tratamento tem de cumprir todos os princípios indicados nas alíneas anteriores e conseguir comprovar esse cumprimento.
Artigo 4.º
Licitude do Tratamento de Dados Pessoais em Geral
1 -Nos termos do artigo 6.º do RGPD, o tratamento de dados pessoais em geral, por parte da Câmara Municipal de Alcoutim, é lícito sempre que se verifique uma das seguintes situações:
a)Consentimento: O titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas. Porém, de acordo com o disposto no considerando 43 do RGPD, este afirma que o consentimento não pode ser utilizado como fundamento de licitude do tratamento de dados pessoais pela Câmara Municipal de Alcoutim, isto porque, a fim de assegurar que o consentimento é dado de livre vontade, este não deverá constituir fundamento jurídico válido para o tratamento de dados pessoais em casos específicos em que exista um desequilíbrio manifesto entre o titular dos dados e o responsável pelo seu tratamento, nomeadamente quando o responsável pelo tratamento é uma autoridade pública, sendo considerado improvável que o consentimento tenha sido dado de livre vontade em todas as circunstâncias associadas à situação específica em causa;
b)Contratos: O tratamento for necessário para a execução de um contrato no qual o titular dos dados é parte ou para diligências pré-contratuais a pedido do titular dos dados;
c)Obrigação jurídica: O tratamento for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito, entenda-se competências e atribuições legais da Câmara Municipal de Alcoutim;
d)Interesse vital: O tratamento for necessário para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular;
e)Interesse público e autoridade pública: O tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento;
f)Interesse legítimo: O tratamento for necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for uma criança.
Artigo 5.º
Licitude do Tratamento de Categorias Especiais de Dados Especiais e/ou de Dados Pessoais Sensíveis
1 -As categorias especiais de dados pessoais e/ou dados pessoais sensíveis englobam os dados ou informações que implicam maiores riscos para os direitos e liberdades fundamentais da pessoa humana, como: origem racial ou étnica, opiniões políticas, convicções religiosas ou filosóficas, filiação sindical, dados genéticos, dados biométricos que permitam identificar uma pessoa de forma inequívoca, dados relativos à saúde, dados relativos à vida sexual ou orientação sexual.
2 -Nos termos do n.º 1 do artigo 9.º do RGPD, é proibido o tratamento destes dados pessoais, exceto nos casos previstos nos termos do n.º 2 e do n.º 3 do artigo 9.º do RGPD, a saber:
a)Consentimento: Se o titular dos dados tiver dado o seu consentimento explícito para o tratamento desses dados pessoais para uma ou mais finalidades específicas, exceto se a legislação europeia e nacional previr que a proibição não pode ser anulada pelo titular dos dados;
b)Tratamento necessário para cumprimento de obrigações e do exercício de direitos específicos do responsável pelo tratamento ou do titular dos dados em matéria de legislação laboral, de segurança social e de proteção social;
c)Tratamento necessário para medicina preventiva ou do trabalho, para avaliação da capacidade de trabalho do empregado, o diagnóstico médico, a prestação de cuidados ou tratamentos de saúde ou de ação social ou a gestão de sistemas e serviços de saúde ou de ação social;
d)Tratamento que se refira a dados pessoais que tenham sido manifestamente tornados públicos pelo seu titular;
e)Tratamento necessário para interesse público importante, legalmente previsto, que deve ser proporcional ao objetivo visado, respeitar a essência do direito à proteção dos dados pessoais e prever medidas adequadas e específicas que salvaguardem os direitos fundamentais e os interesses do titular dos dados;
f)Tratamento for necessário para arquivo de interesse público, para fins de investigação científica ou histórica ou para fins estatísticos, previsto na lei, que deve ser proporcional ao objetivo visado, respeitar a essência do direito à proteção dos dados pessoais e prever medidas adequadas e específicas para a defesa dos direitos fundamentais e dos interesses do titular dos dados, respeitando o disposto no artigo 31.º da Lei n.º 58/2019, de 8 de agosto.
Artigo 6.º
Encarregado da proteção de dados
1 -Nos termos do artigo 37.º do RGPD e dos artigos 9.º e 12.º da Lei n.º 58/2019, de 8 agosto, a Câmara Municipal de Alcoutim designou um encarregado de proteção de dados, o qual pode ser contactado através do e-mail: [email protected]. 2 -Nos termos dos artigos 37.º e 39.º do RGPD (Regulamento Geral de Proteção de Dados) e do artigo 11.º da Lei n.º 58/2019, de 8 agosto, são funções do encarregado da proteção:
a)Informar e aconselhar o responsável pelo tratamento ou o subcontratante, bem como os trabalhadores que tratem os dados, a respeito das suas obrigações nos termos da legislação em vigor;
b)Controlar a conformidade com a legislação em vigor e com as políticas do responsável pelo tratamento ou do subcontratante relativas à proteção de dados pessoais, incluindo a repartição de responsabilidades, a sensibilização e formação do pessoal implicado nas operações de tratamento de dados e as auditorias correspondentes;
c)Prestar aconselhamento, quando tal lhe for solicitado, no que respeita à avaliação de impacto sobre a proteção de dados, controlando a sua realização nos termos do artigo 35.º do RGPD e artigo 7.º da Lei n.º 58/2019, de 8 agosto;
d)Cooperar com a CNPD, sendo o seu ponto de contacto quanto a questões relacionadas com o tratamento, incluindo a consulta prévia a que se refere o artigo 36.º do RGPD, consultando ainda esta entidade, quando achar necessário;
e)Assegurar a realização de auditorias, quer periódicas, quer não programadas;
f)Sensibilizar os utilizadores para a importância da deteção atempada de incidentes de segurança e para a necessidade de informar imediatamente o responsável pela segurança;
g)Assegurar as relações com os titulares de dados nas matérias abrangidas pelo RGPD, pela legislação nacional e pelo presente Regulamento, em matéria de proteção de dados.
3 -Nos termos do n.º 2 do artigo 39.º do RGPD, no desempenho das suas funções, o encarregado de proteção de dados tem em devida consideração os riscos associados às operações de tratamento, tendo em conta a natureza, o âmbito, o contexto e as finalidades de tratamento.
4 -Nos termos do n.º 5 do artigo 38.º do RGPD e do artigo 10.º da Lei n.º 58/2019, de 8 agosto, o encarregado de proteção de dados, bem como os responsáveis pelo tratamento de dados, incluindo os subcontratantes, e todas as pessoas que intervenham em qualquer operação de tratamento de dados, estão obrigados a um dever de confidencialidade, que se mantém após o termo das funções que lhe deram origem, que acresce aos deveres de sigilo profissional legalmente previstos.
5 -As funções do encarregado de proteção de dados são exercidas com total independência e autonomia em relação à estrutura dos serviços, isenção, distanciamento e não subordinação à hierarquia municipal, não podendo ser prejudicado nem penalizado pelo exercício das mesmas ou pelo teor dos pareceres que emite ou pelas iniciativas que desenvolve no âmbito das suas funções e competências.
6 -No âmbito e na prossecução das suas funções, de forma célere e independente, o encarregado de proteção de dados da Câmara Municipal de Alcoutim tem acesso ilimitado ao sistema, à documentação e à informação da organização.
7 -A Câmara Municipal de Alcoutim deve providenciar ao encarregado de proteção de dados os meios necessários de ordem logística e tecnológica necessários ao desempenho da sua função e das suas competências.
Artigo 7.º
Tratamento de dados no website Oficial do Município
1 -O acesso, registo e/ou a utilização do website do Município https://cm-alcoutim.pt/, não implica, em geral, a recolha de dados pessoais, o que sucederá apenas através de funcionalidades pontuais, nomeadamente da utilização de formulários que contenham dados pessoais sendo que, nestes casos, considera-se que os respetivos titulares, ao preencherem os seus dados e ao submeterem os respetivos formulários para cada finalidade em concreto.
2 -Os dados pessoais submetidos no formulário de contacto destinam-se a esclarecer dúvidas, pedidos de informação ou esclarecimentos.
3 -A comunicação de dados pessoais não constitui uma obrigação legal nem contratual, sendo que o titular não está obrigado a fornecer os dados pessoais, mas não os fornecendo, não poderá usufruir das respetivas funcionalidades.
Artigo 8.º
Acesso a documentos administrativos
1 -O acesso a documentos administrativos que contenham dados pessoais por terceiro externo à Câmara Municipal de Alcoutim apenas poderá ser autorizado nas seguintes situações:
a)Se estiver munido de autorização escrita do titular dos dados que seja explícita e específica quanto à sua finalidade e quanto ao tipo de dados a que quer aceder;
b)Se demonstrar fundamentadamente ser titular de um interesse direto, pessoal, legítimo e constitucionalmente protegido suficientemente relevante, após ponderação, no quadro do princípio da proporcionalidade, de todos os direitos fundamentais em presença e do princípio da administração aberta, que justifique o acesso à informação.
2 -Os documentos administrativos que contenham dados pessoais deverão ser analisados pelo encarregado de proteção de dados previamente à respetiva disponibilização a terceiros tendo em vista a aplicação do previsto no presente artigo.
Artigo 9.º
Publicação de dados em Jornal Oficial
1 -A publicação de dados pessoais em jornais oficiais deve obedecer aos princípios previstos no artigo 3.º, nomeadamente, aos princípios da finalidade e da minimização.
2 -Sempre que o dado pessoal "nome" seja suficiente para garantir a identificação do titular e a eficácia do tratamento, não devem ser publicados outros dados pessoais.
3 -Os dados pessoais publicados em jornal oficial não podem, em circunstância alguma, ser alterados, rasurados ou ocultados.
Artigo 10.º
Publicação de dados no âmbito da contratação pública
No âmbito da contratação pública, e caso seja necessária a publicação de dados pessoais, não devem ser publicados outros dados pessoais para além do nome, sempre que este seja suficiente para garantir a identificação do Município e do cocontratante.
Artigo 11.º
Finalidades do Tratamento de Dados Pessoais
a)A tramitação nos serviços municipais, por exigência legal, de procedimentos administrativos ou a celebração de contratos, seja oficiosamente ou a requerimento dos titulares dos dados;
b)O cumprimento pela Câmara Municipal de Alcoutim das suas atribuições ou obrigações legais e das suas funções de interesse público ou autoridade pública enquanto órgão da Administração Pública;
c)O exercício pelos titulares dos dados da Câmara Municipal de Alcoutim de direitos e obrigações previstos na legislação.
Artigo 12.º
Transmissão de dados pessoais
No âmbito da sua atividade a Câmara Municipal de Alcoutim não vende, aluga, distribui, nem disponibiliza os dados a nenhuma entidade terceira externa, exceto nos casos legalmente previstos ou em que a transmissão dos dados seja necessária ao cumprimento de obrigações ou ao exercício de direitos legalmente previstos, bem como à prossecução do interesse público ou exercício dos poderes de autoridade pública.
Artigo 13.º
Prazo de conservação de dados pessoais
A Câmara Municipal de Alcoutim conserva os dados pessoais apenas pelo prazo necessário à execução das finalidades específicas para as quais foram recolhidos, acrescido do prazo legal de arquivo dos documentos onde os dados estão registados, conforme estabelecido no Regulamento Arquivístico para as Autarquias Locais, aprovado pela PoPortaria n.º 412/2001de 17 de abril, alterado e republicado pela Portaria n.º 1253/2009, de 14 de outubro.
Artigo 14.º
Direitos do titular dos dados pessoais
1 -O titular tem o direito de confirmação de que os dados pessoais são objeto de tratamento, ao acesso, retificação, limitação, portabilidade, ao apagamento bem como o direito de se opor ao tratamento de dados, e ainda de apresentar reclamação à entidade de controlo.
2 -Relativamente ao consentimento dos titulares dos dados pessoais no website oficial da Câmara Municipal de Alcoutim, está associado o direito de retirar consentimento em qualquer altura, sem comprometer a licitude do tratamento efetuado com base no consentimento previamente dado.
3 -O titular tem o direito de obter informações claras, transparentes e facilmente compreensíveis sobre como é que a Câmara Municipal de Alcoutim utiliza os seus dados e quais são os seus direitos, não obstante, a Câmara Municipal de Alcoutim poderá, recusar a prestação da informação solicitada sempre que, para o fazer, tenha de revelar dados de terceiros ou se a informação solicitada prejudicar direitos de terceiros.
4 -O titular tem o direito de solicitar à Câmara Municipal de Alcoutim a tomada de medidas razoáveis para corrigir os seus dados que estejam incorretos ou incompletos.
5 -O direito ao apagamento, o direito de portabilidade e o direito de oposição ao tratamento não podem ser exercidos quando o tratamento dos dados pessoais em causa se revelar necessário ao cumprimento de obrigações legais e ao exercício de funções de interesse público e de poderes de autoridade pública do Município.
6 -Os direitos do titular dos dados poderão ser exercidos através de comunicação eletrónica.
7 -Em cumprimento das obrigações de transparência e para facilitar o exercício dos direitos pelos titulares, a Câmara Municipal de Alcoutim disponibiliza um formulário de requerimento de exercício de direitos para ser utilizado pelo titular dos dados, presente no Anexo I-A.
8 -O previsto no número anterior é aplicável no âmbito de todos os procedimentos administrativos tramitados pelos serviços municipais, em que se incluem, nomeadamente, todos os sejam iniciados mediante a entrega de requerimentos presencialmente, junto do Centro de Atendimento, bem como que os que sejam iniciados através do portal e, ainda, os procedimentos de contratação pública e os relativos à gestão de recursos humanos.
Artigo 15.º
Segurança e Integridade no Tratamento de Dados Pessoais
1 -Os dados serão tratados pela Câmara Municipal de Alcoutim exclusivamente no contexto das finalidades identificadas no presente Regulamento e, enquanto responsável pelo Tratamento, aplica medidas técnicas e organizativas para garantir um nível de segurança adequado ao risco, incluindo, manter a capacidade de assegurar a confidencialidade, integridade, disponibilidade e resiliência permanentes dos sistemas e dos serviços de tratamento e a capacidade de restabelecer a disponibilidade e o acesso aos dados pessoais de forma atempada, no caso de um incidente físico ou técnico; bem como, adotar procedimentos para testar, apreciar e avaliar regularmente a eficácia das medidas técnicas e organizativas para garantir a segurança do tratamento, e que constam do Anexo II.
2 -As medidas técnicas e organizativas previstas no número anterior deverão assegurar, em tudo o que estiver ao alcance da Câmara Municipal de Alcoutim, a segurança e integridade dos dados, nomeadamente no que respeita à adoção de medidas impeditivas do tratamento ilícito dos dados bem como à respetiva perda, destruição ou danificação acidental.
Artigo 16.º
Notificação da Violação de Dados Pessoais à Autoridade de Controlo (CNPD)
Nos termos do artigo 33.º do RGPD, caso se verifique uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento, a Câmara Municipal de Alcoutim, enquanto responsável pelo tratamento, notifica desse facto a autoridade de controlo (CNPD).
Artigo 17.º
Comunicação da Violação de Dados Pessoais aos seus Titulares
Nos termos do artigo 34.º do RGPD, caso se verifique uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento, suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares, a Câmara Municipal de Alcoutim, enquanto responsável pelo tratamento, comunica a violação de dados pessoais ao titular dos dados sem demora injustificada.
Artigo 18.º
Sigilo Profissional
Os responsáveis pelo tratamento, os subcontratantes, bem como qualquer outra pessoa que, no exercício das suas funções, tenha acesso a dados pessoais, ficam obrigados a sigilo profissional, mesmo após o termo das suas funções.
Artigo 19.º
Tratamento de Dados Pessoais no Contexto Laboral
Nos termos do artigo 88.º do RGPD e do artigo 28.º da LeLei n.º 58/2019de 8 de agosto, a Câmara Municipal de Alcoutim pode tratar os dados pessoais dos seus trabalhadores para as finalidades e com os limites definidos no Código do Trabalho e respetiva legislação complementar ou noutros regimes setoriais.
Artigo 20.º
Legislação Aplicável
A tudo o que não esteja especialmente previsto no presente Regulamento aplica-se subsidiariamente o Regulamento (UE) 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de 2016, a LeLei n.º 58/2019de 8 de agosto, e as demais disposições legais que sejam aplicáveis em razão da matéria.
Artigo 21.º
Interpretação e casos omissos
1 -As lacunas, as dúvidas interpretativas e os casos omissos suscitados na aplicação do presente Regulamento são preenchidos ou resolvidos, na linha do seu espírito, mediante despacho fundamentado do Presidente da Câmara Municipal de Alcoutim.
2 -As menções referentes aos serviços municipais, nomeadamente departamentos, divisões, unidades orgânicas e gabinetes, constantes do presente Regulamento reportam-se, em caso de alteração da estrutura orgânica da Câmara Municipal de Alcoutim, àquelas que as sucederem nas respetivas funções.
Artigo 22.º
Entrada em vigor
1 -Cada utilizador encontra-se vinculado ao cumprimento das regras de proteção de dados pessoais, sendo proibido o seguinte:
a)O acesso aos dados pessoais sob o controlo da Câmara Municipal de Alcoutim a partir de dispositivos pessoais, sem a devida autorização prévia;
b)A utilização de dispositivos da Câmara Municipal de Alcoutim fora das respetivas instalações sem a devida autorização prévia;
c)A utilização do correio eletrónico da Câmara Municipal de Alcoutim para fins pessoais;
d)O acesso a áreas das instalações da Câmara Municipal de Alcoutim para as quais não tenha sido especificamente autorizado;
e)O acesso, utilização ou alteração de equipamentos informáticos, programas e dados da responsabilidade da Câmara Municipal de Alcoutim sem a devida autorização;
f)Prestação de informações sobre dados pessoais de terceiros através do atendimento telefónico, devendo certificar-se que o interlocutor é o titular dos dados, em causa, nomeadamente, mediante a indicação pelo mesmo do número de processo de que é requerente, data de nascimento, número de cartão de cidadão e de contribuinte fiscal, sem prejuízo do disposto na alínea seguinte;
g)Prestação de informações relativas a categorias especiais de dados pessoais do requerente ou de terceiros, através do atendimento telefónico ou por e-mail, devendo ser solicitado ao interlocutor que faça um requerimento para esse fim através de e-mail ou, presencialmente, junto do Centro de Atendimento;
h)A utilização de programas que não tenham sido instalados ou validados pelos serviços de informática.
2 -Os utilizadores encontram-se obrigados a:
3 -Cada unidade orgânica é responsável pela identificação dos locais onde se encontram arquivados documentos em papel bem como pela promoção da respetiva segurança de forma a garantir que apenas têm acesso aos mesmos locais pessoas devidamente autorizadas;
4 -Os locais referidos no número anterior são objeto de registo através da tabela que consta no anexo iii incumbindo a cada unidade orgânica a inserção dos dados e respetiva atualização;
5 -Cada unidade orgânica é responsável, em articulação com os serviços de informática, pela obtenção junto dos respetivos utilizadores, que tenham perfis de privilégios de escrita, leitura e eliminação de dados pessoais do formulário que consta no anexo iv, o qual, depois de assinado, deverá ser registado em MyDoc e remetido aos recursos humanos para inserção no respetivo processo individual;
6 -O formulário previsto no número anterior deverá ser assinado previamente ao exercício do início de funções do trabalhador e respetivo acesso ao sistema;
7 -O disposto no número anterior é aplicável aos casos em que se verifique a reafetação de utilizadores, o exercício de cargos de dirigentes ou chefias e demais situações que impliquem uma alteração das respetivas permissões;
8 -O serviço de recursos humanos deverá comunicar imediatamente aos serviços de informática e ao EPD todas as alterações que se verifiquem no que respeita aos utilizadores com impacto no funcionamento do sistema, designadamente, nos casos de reafetações, novas admissões, mobilidade, cedência de interesse público, ausências por período superior a 12 meses e cessação de funções;
9 -Nas admissões previstas no número anterior incluem-se, designadamente, os estagiários, voluntários, bolseiros e beneficiários de programas de emprego protegido;
10 -No caso do suporte de dados em papel, a impressão e/ou cópia de documentos contendo dados pessoais deve ser limitada ao estritamente necessário. A reprodução dos documentos deve ser efetuada em segurança, devendo os utilizadores garantir que nenhuma impressão e/ou cópia fica esquecida na impressora/fotocopiadora.
11 -Os suportes de dados devem ser eliminados de forma segura, designadamente no que respeita aos documentos em papel que contenham dados pessoais os quais deverão ser destruídos com recurso a máquinas trituradoras.
12 -Cada unidade orgânica deverá, em articulação com o EPD, identificar os processos administrativos que deverão ser classificados como confidenciais aquando do respetivo registo e subsequente comunicação aos trabalhadores que fazem esse registo;
13 -Apenas é permitido o tratamento de categorias especiais de dados pessoais por quem esteja expressamente autorizado para tal, devendo cada unidade orgânica em articulação com EPD identificar esses dados e garantir, em articulação com os serviços de informática, que o respetivo acesso fica vedado a pessoas não autorizadas através da respetiva proteção nos referidos programas;
14 -Os arquivos com documentos em suporte de papel que contenham categorias especiais de dados pessoais deverão ser objeto de registo mediante o preenchimento da tabela que consta no anexo iii.
B - Sistema informático
15 -Deverá ser assegurada a emissão de listagens atualizadas sobre os utilizadores do sistema com a identificação dos softwares autorizados bem como a extensão da autorização, as quais deverão ser disponibilizadas ao encarregado de proteção de dados sempre que este assim o solicite;
16 -Deverá ser garantida a assistência técnica a todos os utilizadores;
17 -Deverão ser criados registos que garantam o rastreamento das atividades com impacto na segurança dos dados pessoais. Estes registos deverão conter detalhes sobre as atividades dos utilizadores do sistema, que permitam a reconstrução do histórico, de forma a que seja possível verificar o autor e momento das ações com impacto no tratamento de dados, designadamente no que respeita à criação, alteração, eliminação e transmissão de dados a terceiros, bem como a respetiva consulta e pesquisa;
18 -O acesso ao registo de atividade dos utilizadores deve ser limitado a pessoas devidamente autorizadas e para os fins legalmente previstos, nomeadamente nos casos de auditoria;
19 -Deverá ser assegurada a capacidade de recuperação de informações relevantes para a reposição total do sistema, incluindo os dados pessoais (backups);
20 -Deverá ser garantida a proteção de dados contra código malicioso (malware);
21 -O software antivírus e antisspam a utilizar deverão ser licenciados e de atualização preferencialmente automática, em todas as estacões de trabalho e servidores;
22 -Deverá ser feita uma verificação regular da presença de código malicioso em dados, sistema operativo instalado, pacotes de software e aplicações, dispositivos de armazenamento removíveis, e-mails e anexos recebidos de fontes externas e internas. As configurações dos sistemas em produção devem cumprir com as regras de segurança para que possam ser aprovadas;
23 -As alterações ao sistema em produção devem ser, logo que possível, comunicadas ao EPD por meio de relatórios;
24 -Apenas os serviços de informática de rastreamento poderão proceder à instalação de novo hardware e/ou software e/ou componentes de hardware e software, devendo para esse efeito obter autorização prévia;
25 -A configuração local de hardware e software do sistema não deve ser alterada sem autorização prévia, devendo a mesma ser comunicada ao encarregado de proteção de dados, logo que possível;
26 -Os equipamentos devem ser instalados e protegidos de modo a se reduzir os riscos de ameaças, os perigos ambientais e as oportunidades para acesso não autorizado;
27 -A realização de cópias de segurança (backups) dos dados e do software é feita periodicamente para a proteção contra perdas e danos, bem como para garantir, quando necessário, uma rápida e correta recuperação do sistema;
28 -No que respeita à computação em nuvem deverão ser determinados os requisitos técnicos (flexível e escalável) e definidos os requisitos de segurança. No caso das redes e sistemas de informação que utilizem os serviços de computação em nuvem, públicos ou híbridos, devem ser avaliados o regime de responsabilidade e os níveis de serviço - Service Level Agreement (SLA), em especial no que respeita à disponibilidade do sistema, à segurança dos dados e à reposição de serviço. As políticas de segurança definidas devem ter em conta que a segurança na computação em nuvem também compreende a segurança da infraestrutura de rede, a segurança das aplicações em nuvem, a segurança das instalações físicas onde se encontram os dados e a possibilidade de realização de auditorias (periódicas e esporádicas) ao provedor de serviço. Os centros de dados devem ficar alojados em instalações com as condições de segurança adequadas à proteção dos dados pessoais e serviços contratados. Os prestadores destes serviços devem possuir referenciais internacionais de segurança, demonstrar a conformidade com o RGPD (subcontratantes), possuir servidores físicos dentro do território nacional e/ou da União Europeia e possuir a opção por nuvens controladas por entidades públicas. Deverão ser garantidas tecnologias de melhoria da privacidade, favorecendo a aplicação de tecnologias Privacy Enhancing Technologies (PET). Deverá ser garantido o reforço da segurança de dados pessoais de categoriais especiais através de controlos de acesso mais rígidos, do uso de técnicas de cifragem, da opção pelo sistema de gestão de identidades e acessos (Identity and Access Management) e da adoção de medidas tecnológicas para assegurar que dados específicos não são enviados (e recebidos) para a (e da) nuvem se não estiverem cifrados;
29 -A utilização de suportes de dados eletrónicos deverá ser monitorizada em todas as fases, designadamente no que respeita à sua aquisição, distribuição, utilização e destruição. Previamente à reutilização de equipamentos que contenham suportes de dados deverá ser garantida a eliminação ou remoção de todos os dados;
30 -Devem ser eliminados todos os dados armazenados nos equipamentos em fim de vida os quais deverão ser desmagnetizados e/ou fisicamente destruídos;
31 -Os equipamentos, nomeadamente os componentes críticos do sistema, devem ser protegidos contra eventuais interrupções no fornecimento de energia elétrica, devendo ser assegurada a continuidade do fornecimento de energia elétrica adequada a todos os componentes críticos do sistema. A redundância energética deverá permitir o fornecimento da energia elétrica aos componentes críticos, com base nos respetivos requisitos de disponibilidade.
32 -Os Servidores, sistemas de gestão de redes, controladores de rede e de comunicações, routers, firewalles referentes a redes e sistemas de informação que tratam dados pessoais devem ser acomodados em áreas seguras. Os terminais dos utilizadores devem estar localizados em áreas seguras, principalmente nos casos de categorias especiais de dados pessoais.
ANEXO III
Arquivos
Unidade orgânica responsável pelo arquivo
Localização
Tipo de processos
Responsável
Utilizadores autorizados
Categorias especiais de dados pessoais
ANEXO IV
Criação/Alteração de Conta de Utilizador
Criação
Nome do utilizador: ___
Serviço ao qual está afeto:___
Software a utilizar: ___
Nível de permissão, discriminado por tipo de software:___
Autorizado por despacho de ___/___/___, do ___
Data: ___/___/___
O(A) Utilizador (a)
___
Alteração
Nome do utilizador: ___
Serviço ao qual está afeto: ___
Nível de permissão a modificar: ___
Autorizado por despacho de ___/___/___, do ___
Data: ___/___/___
O(A) Utilizador (a)
___
ANEXO V
Minutas e cláusulas
ANEXO V-A
Cláusula genérica
Responsável pelo tratamento dos dados: Câmara Municipal de Alcoutim, sita na Rua do Município, n.º 12, em Alcoutim, contactável através do website: https://www.cm-alcoutim.pt/ ou e-mail: [email protected] ou telefone: +351 281 540 500 ou presencialmente durante o horário de atendimento.
Encarregado de proteção de dados: Encarregado de Proteção de Dados da Câmara Municipal de Alcoutim, sita na Rua do Município, n.º 12, em Alcoutim, contactável através do e-mail: [email protected] ou telefone: +351 281 540 500 ou presencialmente mediante marcação prévia através de email ou telefone.
Finalidade do tratamento dos dados: A tramitação nos serviços municipais, por exigência legal, de procedimentos administrativos ou a celebração de contratos, seja oficiosamente ou a requerimento dos titulares dos dados. O exercício pelo titular dos dados ou pelo responsável pelo tratamento de direitos e ou obrigações previstas em legislação.
Licitude do tratamento: Cumprimento pela Câmara Municipal Alcoutim das suas obrigações legais, e das suas funções de interesse público e autoridade pública enquanto órgão da Administração Pública.
Dados pessoais e categorias: Os dados pessoais dos titulares e legais representantes constantes deste requerimento, não envolvendo a recolha de dados de categorias especiais.
Destinatários dos dados pessoais: Os serviços municipais.
Prazo de conservação dos dados pessoais: O prazo necessário para a tramitação do procedimento acrescido do prazo legal de arquivo dos documentos onde os dados estão registados conforme estabelecido no Regulamento Arquivístico para as Autarquias Locais.
Direitos que pode exercer: Confirmação de que os dados pessoais são objeto de tratamento, Direito de acesso aos dados pessoais, Direito de retificação, Direito à limitação do tratamento, Direito ao apagamento dos dados, Direito de oposição e Direito de apresentar reclamação à autoridade de controlo (CNPD).
Outras informações: A comunicação dos dados pessoais neste procedimento é necessária para cumprir uma obrigação legal ou contratual, caso não forneça os dados o seu pedido ou pretensão não poderá ser tratado pela Câmara Municipal. Não existem decisões automatizadas, nem a definição de perfis. Para além do cumprimento da obrigação legal de tratamento para arquivo, não haverá tratamento posterior dos dados pessoais para finalidade distinta das que presidiram à recolha. Qualquer violação de dados pessoais será levada a conhecimento do interessado no prazo legal.
ANEXO V-B
Cláusula compras
Proteção de Dados Pessoais pela Entidade Adjudicante
Titular dos dados: O(s) adjudicatário(s), seus legais representantes e ou trabalhadores são os titulares dos dados pessoais.
Responsável pelo tratamento: A entidade adjudicante é o responsável pelo tratamento e destinatário dos dados pessoais.
Encarregado de proteção de dados: A entidade adjudicante designou um encarregado de proteção de dados que poderá ser contactado pelos titulares dos dados para esclarecimento de dúvidas e exercício de direitos sobre o tratamento dos seus dados pessoais.
Finalidades do tratamento dos dados: A entidade adjudicante vai tratar os dados pessoais para a tramitação nos serviços municipais, por exigência legal, de procedimentos administrativos, celebração e execução de contratos de contratação pública. O cumprimento das suas atribuições ou obrigações legais e das suas funções de interesse público ou autoridade pública, enquanto órgão da Administração Pública. E para exercício pelo titular dos dados ou pelo responsável pelo tratamento de direito e ou obrigações previstas na legislação.
Licitude do tratamento: O tratamento dos dados pessoais é necessário para execução de contrato no qual o titular dos dados é parte ou diligências pré-contratuais a pedido do titular dos dados. Para cumprimento de obrigações jurídicas a que a entidade adjudicante se encontra sujeita. E ainda necessário para o exercício de funções de interesse público e exercício de autoridade pública em que está investida a entidade adjudicante, enquanto órgão da Administração Pública.
Dados pessoais: De acordo com o princípio da minimização dos dados a entidade adjudicante efetua o tratamento dos dados pessoais que sejam adequados, pertinentes, necessários e previstos na legislação aplicável. Os dados pessoais recolhidos constam de requerimentos, contratos ou documentos anexos e procedimentos administrativos, podendo incluir: nome, data de nascimento, nacionalidade, morada, localidade, código postal, número do documento de identificação, data de emissão, número de identificação fiscal, número de inscrição na segurança social, telefone, telemóvel, endereço eletrónico, as habilitações académicas, experiência profissional, habilitações para condução de veículos ou máquinas.
Transmissão dos dados pessoais: A entidade adjudicante fará a transmissão para outras entidades dos dados pessoais se e quando prevista em disposição legal e ou para cumprimento de direitos ou obrigações legalmente previstas e ou se absolutamente necessária à prossecução do interesse público ou exercício de autoridade pública. Ocorrerá designadamente para instituições financeiras ou entidades bancárias para pagamento de valores estipulados nos contratos. Para outras entidades de que são exemplo, a Administração Tributária, o Tribunal de Contas, ou outras entidades nos termos previstos na legislação.
Prazo de conservação dos dados pessoais: Pelo prazo necessário para a tramitação do procedimento, ou duração e execução do contrato, acrescido do prazo legal de arquivo dos documentos onde os dados estão registados conforme estabelecido no Regulamento Arquivístico para as Autarquias Locais.
Direitos dos titulares dos dados: Confirmação de que os dados pessoais são objeto de tratamento, Direito de acesso aos dados pessoais, Direito de retificação, Direito à limitação do tratamento, Direito ao apagamento dos dados, Direito de oposição e Direito de apresentar reclamação à autoridade de controlo (CNPD).
Outras informações: A comunicação dos dados pessoais é necessária para cumprimento de obrigação legal ou contratual. Caso não sejam fornecidos os dados o pedido ou pretensão não poderá ser tratado, nem poderá celebrar contratos. Não existem decisões automatizadas, nem a definição de perfis. Para além do cumprimento da obrigação legal de tratamento para arquivo, não haverá tratamento posterior dos dados pessoais para finalidades distintas das que presidiram à recolha. Qualquer violação de dados pessoais será levada a conhecimento do titular no prazo legal.
Proteção de Dados Pessoais pelo Adjudicatário ou Subcontratante
Se o adjudicatário (aqui também designado por subcontratante) tiver contacto ou conhecimento de dados pessoais que estão sob a responsabilidade da entidade adjudicante (aqui também designada por responsável pelo tratamento) ou efetuar o tratamento de dados pessoais por conta da entidade adjudicante (responsável pelo tratamento) fica obrigado ao cumprimento das seguintes regras: j)Se o subcontratante contratar outro subcontratante para a realização de operações específicas de tratamento de dados por conta do responsável pelo tratamento, são impostas a esse outro subcontratante, por contrato, as mesmas obrigações em matéria de proteção de dados que as estabelecidas neste contrato, em particular a obrigação de apresentar garantias suficientes de execução de medidas técnicas e organizativas adequadas de uma forma que o tratamento seja conforme com os requisitos do RGPD. Se esse outro subcontratante não cumprir as suas obrigações em matéria de proteção de dados, o aqui subcontratante continua a ser plenamente responsável, perante o responsável pelo tratamento, pelo cumprimento das obrigações desse outro subcontratante.
k)O subcontratante que, em violação deste contrato ou do RGPD, determinar as finalidades e os meios de tratamento, é considerado responsável pelo tratamento no que respeita ao tratamento em questão.
l)O adjudicatário garante que implementou procedimentos internos e medidas técnicas e organizativas adequadas a efetuar o tratamento de dados pessoais e a proteger os direitos dos titulares de dados pessoais de acordo com as condições estabelecidas na legislação em vigor, designadamente, no Regulamento Geral de Proteção de Dados.
m)O adjudicatário obriga-se a durante a vigência do contrato e após a sua cessação a manter confidenciais os dados pessoais de que tenha tomado contacto ou conhecimento ou que lhe tenham sido transmitidos pela entidade adjudicante.
n)O adjudicatário compromete-se, designadamente, a não copiar, reproduzir, adaptar, modificar, alterar, apagar, destruir, difundir, transmitir, divulgar ou por qualquer outra forma colocar à disposição de terceiros os dados pessoais a que tenha acesso ou que lhe sejam transmitidos pela entidade adjudicante ao abrigo do contrato, sem que para tal tenha sido expressamente instruído, por escrito, pela entidade adjudicante.
o)O adjudicatário será responsável por qualquer prejuízo em que a entidade adjudicante venha a incorrer em consequência do tratamento, por parte do mesmo e/ou dos seus colaboradores, de dados pessoais em violação das normas legais aplicáveis e/ou do disposto no contrato.
p)Para efeitos do disposto na alínea (o) entende-se por “colaborador” toda e qualquer pessoa singular ou coletiva que preste serviços ao adjudicatário, incluindo, designadamente, representantes legais, trabalhadores, prestadores de serviços, procuradores e consultores, independentemente da natureza e validade do vínculo jurídico estabelecido entre o adjudicatário e o referido colaborador.
q)O adjudicatário enquanto subcontratante, que tenha 250 ou mais trabalhadores, ou que faça tratamento de dados suscetível de implicar risco para os direitos e liberdades dos titulares, ou que faça tratamentos de dados que não sejam ocasionais, ou que abranja categorias especiais de dados pessoais ou dados pessoais relativos a condenações penais e outras infrações tem de conservar um registo de todas as categorias de atividades de tratamento realizadas em nome da entidade adjudicante enquanto responsável pelo tratamento, do qual consta:
- O nome e contactos do subcontratante e do responsável pelo tratamento em nome do qual o subcontratante atua, bem como, sendo caso disso do representante do responsável pelo tratamento ou do subcontratante e do encarregado de proteção de dados;
- As categorias de tratamentos de dados pessoais efetuados em nome do responsável pelo tratamento;
- Se for aplicável, as transferências de dados pessoais para países terceiros ou organizações internacionais, incluindo a identificação desses países terceiros ou organizações internacionais e, no caso das transferências referidas no artigo 49.º, n.º 1, segundo parágrafo, a documentação que comprove a existência das garantias adequadas;
- Se possível, uma descrição geral das medidas técnicas e organizativas no domínio da segurança referidas no artigo 32.º, n.º 1 do RGPD.
318169349