O presente Regulamento entra em vigor no dia seguinte à sua publicação.
ANEXO I
Procedimentos de notificação e comunicação
ANEXO I-A
Requerimento para o exercício de direito pelos titulares de dados pessoais
Ex.mo Sr.
Presidente da Câmara Municipal de Alcoutim
Titular dos dados:
Nome: ___
Morada: ___
E-mail: ___
Telemóvel n.º: ___
Documento de identificação: ___
N.º de documento de identificação: ___
Validade de documento de identificação: ___
Representante do titular dos dados (a ser aplicável):
Nome: ___
Morada: ___
E-mail: ___
Telemóvel n.º: ___
Documento de identificação: ___
N.º de documento de identificação: ___
Validade de documento de identificação: ___
Na qualidade de: ___
Vem, relativamente aos dados pessoais que são objeto de tratamento pela Câmara Municipal de Alcoutim, nos seguintes assuntos (indique qual o assunto, o número do processo e o que pretende):
Assunto: ___
N.º do processo: ___
Pretensão: ___
Direitos que pode exercer (assinalar):
__ Confirmação de que os dados pessoais são objeto de tratamento.
__ Direito de acesso aos dados pessoais.
__ Direito de retificação.
__ Direito à limitação do tratamento.
__ Direito ao apagamento dos dados (“direito a ser esquecido”).
__ Direito de portabilidade dos dados.
__ Direito de oposição.
Informações e direitos sobre o tratamento de dados pessoais neste procedimento:
Responsável pelo tratamento dos dados: Município de Alcoutim, com sede no edifício sito na Rua do Município, 12, em Alcoutim, contactável através do website: cm-alcoutim.pt ou e-mail: [email protected] ou telefone: +351 281 540 500 ou presencialmente no horário de atendimento.
Encarregado de proteção de dados: o encarregado da proteção de dados da Câmara Municipal de Alcoutim, melhor identificado supra, poderá ser contactado através do e-mail: [email protected], ou presencialmente através de marcação prévia utilizando para o efeito o email ou telefone: +351 281 540 500.
Finalidade do tratamento de dados: A tramitação nos serviços municipais, por exigência legal, de procedimentos administrativos ou a celebração de contratos, seja oficiosamente ou a requerimento dos titulares dos dados. O exercício pelo titular dos dados ou pelo responsável pelo tratamento de direitos ou obrigações legalmente previstas.
Licitude do tratamento: Cumprimento pelo Município de Alcoutim das suas obrigações legais, no exercício das suas funções de interesse público bem como dos poderes de autoridade pública, enquanto órgão da administração pública.
Dados pessoais e categorias: Os dados pessoais dos titulares e legais representantes constantes do presente requerimento/formulário/contrato.
Destinatários dos dados pessoais: Os serviços municipais.
Prazo de conservação dos dados pessoais: O prazo necessário para a tramitação do procedimento administrativo, acrescido do prazo previsto no Regulamento Arquivístico para as Autarquias Locais.
Direitos que pode exercer: Confirmação de que os dados pessoais são objeto de tratamento, direito de acesso aos dados pessoais, direito de retificação, direito à limitação do tratamento e direito de apresentar reclamação à autoridade de controlo.
Direitos que não pode exercer e sua justificação: Direito ao apagamento, direito de portabilidade dos dados e direito de oposição nos casos em que o respetivo tratamento se revelar necessário ao cumprimento de uma obrigação legal que exija o tratamento e a que o responsável está sujeito, ao exercício de funções de interesse público e ao exercício de poderes de autoridade pública do Município de Alcoutim.
Outras informações: A comunicação dos dados pessoais neste procedimento é necessária para cumprir uma obrigação legal ou contratual, pelo que caso não forneça os dados o presente pedido não poderá ser tramitado pelos serviços municipais. Informa-se também que não existem decisões automatizadas nem a definição de perfis. Para além do cumprimento da obrigação legal de tratamento para arquivo, não haverá tratamento posterior dos dados pessoais para finalidade distinta da presente recolha. Qualquer violação de dados pessoais será levada a conhecimento do interessado no prazo legal.
Como pretende apresentar este pedido (assinale e cumpra as indicações):
__ Verbalmente - Este requerimento deverá ser preenchido pelos serviços municipais de acordo com as informações e pedido do titular dos dados que deverá exibir o documento de identificação e assinar o requerimento.
__ Em papel - Este requerimento deverá ser preenchido e assinado pelo titular dos dados que no momento da entrega nos serviços municipais deverá exibir o documento de identificação para conferência da assinatura.
__ Eletronicamente - Este requerimento deverá ser preenchido e convertido em PDF e assinado mediante assinatura eletrónica qualificada do Cartão de Cidadão pelo titular dos dados e remetido através do email indicado.
Como pretende que seja prestada a informação (assinale e cumpra as indicações):
__ Verbalmente - O requerente deverá dirigir-se aos serviços municipais fazendo-se acompanhar do documento de identificação ou outro documento que ateste a representação, onde serão prestadas as informações de acordo com o seu pedido devendo assinar um documento que comprove que as informações foram prestadas.
__ Papel presencialmente - O requerente deverá dirigir-se aos serviços municipais fazendo-se acompanhar do documento de identificação ou outro documento que ateste a representação, onde será entregue documento com as informações de acordo com o seu pedido, devendo assinar um duplicado desse documento para comprovar que as informações foram prestadas.
__ Pelos correios - O requerente receberá na morada indicada documento com as informações de acordo com o seu pedido.
__ Eletronicamente - O requerente receberá no email indicado o documento com as informações de acordo com o seu pedido.
Pede deferimento,
Alcoutim, ___ de ___ de 20____
O(A) Requerente,
(Assinatura conforme documento de identificação verificada por conferência.)
ANEXO I-B
Resposta ao requerimento de exercício de direitos dos titulares
Ex.mo(a). Sr.(a)
Nome: ___
Morada: ___
Enquanto titular ou representante do titular dos dados pessoais, prestamos informações sobre o exercício dos seguintes direitos:
Confirmação de que os dados pessoais são objeto de tratamento:
___ SIM ou ___ NÃO
Se SIM, no exercício do direito de acesso aos dados pessoais, prestamos as seguintes informações:
Dados pessoais em tratamento: ___
Finalidades do tratamento dos dados: ___
Destinatários ou categorias de destinatários de dados pessoais: ___
Prazo previsto para conservação dos dados pessoais ou critérios usados para fixar esse prazo: o prazo necessário para a tramitação do procedimento acrescido do prazo legal de arquivo dos documentos onde os dados estão registados conforme estabelecido no Regulamento Arquivístico para as Autarquias Locais.
Os dados foram recolhidos junto do titular:
___ SIM ou ___ NÃO
Se NÃO, foram cedidos à Câmara Municipal de Alcoutim por:
___
Existem decisões automatizadas:
___ SIM ou ___ NÃO
Se SIM, prestamos informações úteis relativas à lógica subjacente, bem como a importância e as consequências previstas de tal tratamento para o titular dos dados: ___
Existe a definição de perfis:
___ SIM ou ___ NÃO
Se SIM, prestamos informações úteis relativas à lógica subjacente, bem como a importância e as consequências previstas de tal tratamento para o titular dos dados: ___
Tem o direito de solicitar ao responsável pelo tratamento, a retificação, o apagamento ou a limitação do tratamento dos dados pessoais ou o direito de se opor a esse tratamento nos termos previstos na lei.
Tem ainda o direito de apresentar reclamação à autoridade de controlo (CNPD).
Segue em anexo uma cópia dos dados pessoais em fase de tratamento.
Direito de retificação:
___ SIM ou ___ NÃO
Se SIM, foram retificados os seguintes dados: ___
Se NÃO, os fundamentos foram os seguintes: ___
Direito à limitação do tratamento:
___ SIM ou ___ NÃO
Se SIM, os fundamentos foram os seguintes: ___
Se NÃO, os fundamentos foram os seguintes: ___
Comunicação aos destinatários da retificação ou apagamento ou limitação do tratamento dos dados pessoais:
___ SIM ou ___ NÃO
Se SIM, quais os destinatários: ___
Alcoutim, ___ de ___ de 20____
O(A) Funcionário(a),
(Assinatura conforme documento de identificação)
ANEXO I-C
Informação sobre o tratamento de dados e direitos dos titulares
Responsável pelo tratamento dos dados: Câmara Municipal de Alcoutim, sita na Rua do Município, n.º 12, em Alcoutim, contactável através do website: cm-alcoutim.pt ou e-mail: [email protected] ou telefone: +351 281 540 500 ou presencialmente durante o horário de atendimento.
Encarregado de proteção de dados: Encarregado de Proteção de Dados da Câmara Municipal de Alcoutim, sita na Rua do Município, n.º 12, em Alcoutim, contactável através do e-mail: [email protected] ou presencialmente mediante marcação prévia por e-mail ou telefone: +351 281 540 500.
Finalidade do tratamento: A tramitação nos serviços municipais, por exigência legal, de procedimentos administrativos ou a celebração de contratos, seja oficiosamente ou a requerimento dos titulares dos dados. O exercício pelo titular dos dados ou pelo responsável pelo tratamento de direitos e ou obrigações previstas em legislação.
Licitude do tratamento: Cumprimento pela Câmara das suas obrigações legais, e das suas funções de interesse público e autoridade pública enquanto órgão da Administração Pública.
Dados pessoais e categorias: Os dados pessoais dos titulares e legais representantes constantes deste requerimento, não envolvendo a recolha de dados de categorias especiais.
Destinatários dos dados pessoais: Os serviços municipais.
Prazo de conservação dos dados pessoais: O prazo necessário para a tramitação do procedimento acrescido do prazo legal de arquivo dos documentos onde os dados estão registados conforme estabelecido no Regulamento Arquivístico para as Autarquias Locais.
Direitos que pode exercer: Confirmação de que os dados pessoais são objeto de tratamento, Direito de acesso aos dados pessoais, Direito de retificação, Direito à limitação do tratamento, Direito ao apagamento dos dados, Direito de oposição e Direito de apresentar reclamação à autoridade de controlo (CNPD).
Direitos que não pode exercer e sua justificação: Direito ao apagamento, direito de portabilidade dos dados e direito de oposição nos casos em que o respetivo tratamento se revelar necessário ao cumprimento de uma obrigação legal que exija o tratamento e a que o responsável está sujeito, ao exercício de funções de interesse público e ao exercício de poderes de autoridade pública do Município de Alcoutim.
Outras informações: A comunicação dos dados pessoais neste procedimento é necessária para cumprir uma obrigação legal ou contratual, caso não forneça os dados o seu pedido ou pretensão não poderá ser tratado pela Câmara Municipal. Não existem decisões automatizadas, nem a definição de perfis. Para além do cumprimento da obrigação legal de tratamento para arquivo, não haverá tratamento posterior dos dados pessoais para finalidade distinta das que presidiram à recolha. Qualquer violação de dados pessoais será levada a conhecimento do interessado no prazo legal.
Tomei conhecimento,
Alcoutim, ___ de ___ de 20____
O(A) Requerente,
(Assinatura conforme documento de identificação verificada por conferência)
ANEXO I-D
Formulário de comunicação da violação de dados pessoais à Autoridade de Controlo (CNPD)
O formulário de comunicação da violação de dados pessoais à autoridade de controlo é preenchido no website da Comissão Nacional de Proteção de Dados, através do link: cnpd.pt.
Este formulário é submetido pelo encarregado de proteção de dados da Câmara Municipal de Alcoutim, em representação da mesma.
Aquando do início do preenchimento do formulário, deve ser selecionada uma de duas opções, consoante a tipologia da pretensão:
- Notificar uma nova violação de dados pessoais
OU
- Alterar uma notificação anteriormente submetida
Caso selecione uma nova violação de dados pessoais, deve o encarregado de proteção de dados preencher os campos presentes nos seguintes separadores:
- Dados da entidade
- Dados de contacto
- Informação sobre a violação de dados
- Consequências da violação de dados
- Dados pessoais envolvidos
- Titulares dos dados
- Informação aos titulares
- Medidas preventivas/corretivas
- Tratamentos transfronteiriços
Caso selecione alterar uma notificação anteriormente submetida, deve o encarregado de proteção de dados indicar a referência da notificação anteriormente submetida (referência presente no documento que foi remetido por e-mail aquando da notificação). Depois deve alterar os campos que pretende nos respetivos separadores.
ANEXO I-E
Formulário de comunicação da violação de dados pessoais aos singulares
Ex.mo(a) Sr.(a)
Nome: ___
Morada: ___
Enquanto titular ou representante do titular dos dados pessoais, comunicamos a verificação da seguinte violação da segurança:
(descrever em linguagem clara e simples a natureza da violação dos dados pessoais)
___
Que provocou a:
__ Destruição
__ Perda
__ Alteração
__ Divulgação
__ Acesso, não autorizados
Dos seus dados pessoais:
(descrever)
___
Que estavam na nossa posse por:
__ Recolha
__ Transmissão
__ Conservação
__ Outro tipo de tratamento:
(descrever o “outro tipo de tratamento”)
___
De modo:
__ Acidental ou ___ ilícito
Que é suscetível de implicar um elevado risco para os seus direitos e liberdades. As consequências prováveis da violação de dados pessoais são:
(descrever)
___
As medidas adotadas ou propostas pelo responsável pelo tratamento para reparar a violação de dados pessoais, inclusive, se for caso disso, medidas para atenuar os seus eventuais efeitos negativos são:
(descrever)
___
Poderá contactar o Encarregado de Proteção de Dados da Câmara Municipal de Alcoutim através do e-mail: [email protected] para obter mais informações.
Alcoutim, ___ de ___ de 20____
O(A) Funcionário(a),
(Assinatura conforme documento de identificação)
ANEXO I-F
Informação sobre o tratamento de dados pessoais e direitos dos titulares (comunicações eletrónicas e contactos através de website)
Contactos eletrónicos com a Câmara: Os contactos eletrónicos com a Câmara Municipal devem ser utilizados para a prestação ou solicitação de informações, incluindo dados pessoais, necessários para a prossecução pelo Município das suas atribuições legais, enquanto órgão da Administração Pública e para o cumprimento de obrigações legais, o que poderá envolver pedidos de informação ou de esclarecimentos, procedimentos e atos administrativos, a realização de diligências pré-contratuais ou celebração de contratos ou outros atos relacionados com a atividade administrativa. Os demais contactos não serão tratados e serão eliminados.
Titulares dos dados: São as pessoas singulares cujos dados pessoais são tratados pelo Município, na prossecução das suas atribuições legais.
Responsável pelo tratamento: Câmara Municipal de Alcoutim, sita na Rua do Município, n.º 12, em Alcoutim, contactável através do website: cm-alcoutim.pt ou e-mail: [email protected] ou telefone: +351 281 540 500 ou presencialmente durante o horário de atendimento.
Encarregado de proteção de dados: Encarregado de Proteção de Dados da Câmara Municipal de Alcoutim, sita na Rua do Município, n.º 12, em Alcoutim, contactável através do e-mail: [email protected] ou telefone: +351 281 540 500 ou presencialmente mediante marcação prévia através de e-mail ou telefone.
Finalidades do tratamento: A tramitação nos serviços municipais, por exigência legal, de procedimentos administrativos ou a celebração de contratos, seja oficiosamente ou a requerimentos dos titulares dos dados. O cumprimento pela Câmara Municipal das suas atribuições ou obrigações legais e das suas funções de interesse público ou autoridade pública, enquanto órgão da Administração Pública. O exercício pelo titular dos dados ou pelo responsável pelo tratamento de direitos e ou obrigações previstas em legislação.
Licitude do tratamento: O tratamento necessário para execução de contrato no qual o titular dos dados é parte ou diligências pré-contratuais a pedido do titular dos dados. O tratamento necessário para cumprimento de obrigações jurídicas a que a Câmara Municipal, enquanto responsável pelo tratamento se encontra sujeito. O tratamento necessário ao exercício de funções de interesse público e exercício de autoridade pública em que está investida a Câmara Municipal, enquanto responsável pelo tratamento e órgão da Administração Pública.
Licitude do tratamento de categorias especiais de dados pessoais: A Câmara Municipal só trata dados de categorias especiais quando necessário para efeitos de cumprimento de obrigações e do exercício de direitos específicos, previstos na legislação, seja para o responsável pelo tratamento ou para o titular dos dados, em matéria de legislação laboral, de segurança social e de proteção social. Por motivos de interesse público importante previsto na legislação, que seja proporcional para o objetivo visado e respeite a essência do direito à proteção dos dados pessoais. Para efeitos de medicina preventiva ou do trabalho, para avaliação da capacidade de trabalho, diagnóstico médico, prestação de cuidados de saúde, ou ação social, gestão de sistemas e serviços de saúde ou de ação social com base na legislação e por força de contrato profissional de saúde sujeito a obrigação de sigilo profissional ou outra pessoa sujeita a obrigação de confidencialidade legalmente prevista.
Dados pessoais: De acordo com o princípio da minimização dos dados, são tratados dados pessoais que sejam adequados, pertinentes, necessários e previstos na legislação aplicável a cada procedimento. Os dados pessoais recolhidos constam de requerimentos, contratos ou documentos anexos aos procedimentos administrativos.
Destinatários dos dados pessoais: Os serviços municipais.
Transmissão dos dados pessoais: Quando prevista em disposição legal e/ou para cumprimento de direitos ou obrigações legalmente previstas e/ou se absolutamente necessária à prossecução do interesse público ou exercício da autoridade pública.
Prazo de conservação dos dados pessoais: O prazo necessário para a tramitação dos procedimentos, ou duração do contrato, acrescido do prazo legal de arquivo dos documentos onde os dados estão registados conforme estabelecido no Regulamento Arquivístico para as Autarquias Locais.
Direitos dos titulares dos dados: Confirmação de que os dados pessoais são objeto de tratamento, Direito de acesso aos dados pessoais, Direito de Retificação, Direito à limitação do tratamento e Direito de apresentar reclamação à autoridade de controlo (CNPD).
Outras informações: A comunicação dos dados pessoais neste procedimento é necessária para cumprir uma obrigação legal ou contratual. Caso não forneça os dados o seu pedido ou pretensão não poderá ser tratado pela Câmara Municipal. Não existem decisões automatizadas, nem a definição de perfis. Para além do cumprimento da obrigação legal de tratamento para arquivo, não haverá tratamento posterior dos dados pessoais para finalidades distintas das que presidiram à recolha. Qualquer violação de dados pessoais será levada a conhecimento do titular no prazo legal.
Tomei conhecimento,
Alcoutim, ___ de ___ de 20____
O(A) Titular,
(Assinatura conforme documento de identificação verificada por conferência)
ANEXO I-G
Informação sobre o tratamento e direitos dos titulares dos dados pessoais biométricos
Titulares dos dados: São as pessoas singulares cujos dados pessoais são tratados pelo Município, no caso da videovigilância todas as pessoas singulares cujas imagens sejam captadas.
Responsável pelo tratamento: Município de Alcoutim sito na Rua do Município, n.º 12, em Alcoutim, contactável através do website: cm-alcoutim.pt ou e-mail: [email protected] ou telefone: +351 281 540 500 ou presencialmente durante o horário de atendimento.
Encarregado de proteção de dados: Encarregado de Proteção de Dados do Município de Alcoutim sito na Rua do Município, n.º 12, em Alcoutim, contactável através do e-mail: [email protected] ou presencialmente mediante marcação prévia através de e-mail ou telefone.
Finalidades do tratamento: O cumprimento pelo Município das suas atribuições legais em matéria de controlo dos acessos e da assiduidade dos trabalhadores.
Licitude do tratamento: O tratamento necessário para efeitos de cumprimento de obrigações e exercício de direitos específicos do responsável pelo tratamento ou do titular dos dados em matéria de legislação laboral.
Dados pessoais: Nome, número do trabalhador, horário, cargo, categoria, função desempenhada, data e hora de entrada e saída, o template da impressão digital, resultante de interpretação algorítmica de pontos fisométricos.
Prazo de conservação dos dados pessoais: Período necessário para a prossecução das finalidades do tratamento.
Direitos dos titulares dos dados: Direito de acesso aos dados que lhe digam respeito, podendo exercer esse direito presencialmente junto do Município e Direito de apresentar reclamação à autoridade de controlo (CNPD).
Tomei conhecimento,
Alcoutim, ___ de ___ de 20____
O(A) Titular,
___
(Assinatura conforme documento de identificação verificada por conferência)
ANEXO II
Medidas Técnicas e Organizativas
A - Regras Gerais
1 - Cada utilizador encontra-se vinculado ao cumprimento das regras de proteção de dados pessoais, sendo proibido o seguinte:
a) O acesso aos dados pessoais sob o controlo da Câmara Municipal de Alcoutim a partir de dispositivos pessoais, sem a devida autorização prévia;
b) A utilização de dispositivos da Câmara Municipal de Alcoutim fora das respetivas instalações sem a devida autorização prévia;
c) A utilização do correio eletrónico da Câmara Municipal de Alcoutim para fins pessoais;
d) O acesso a áreas das instalações da Câmara Municipal de Alcoutim para as quais não tenha sido especificamente autorizado;
e) O acesso, utilização ou alteração de equipamentos informáticos, programas e dados da responsabilidade da Câmara Municipal de Alcoutim sem a devida autorização;
f) Prestação de informações sobre dados pessoais de terceiros através do atendimento telefónico, devendo certificar-se que o interlocutor é o titular dos dados, em causa, nomeadamente, mediante a indicação pelo mesmo do número de processo de que é requerente, data de nascimento, número de cartão de cidadão e de contribuinte fiscal, sem prejuízo do disposto na alínea seguinte;
g) Prestação de informações relativas a categorias especiais de dados pessoais do requerente ou de terceiros, através do atendimento telefónico ou por e-mail, devendo ser solicitado ao interlocutor que faça um requerimento para esse fim através de e-mail ou, presencialmente, junto do Centro de Atendimento;
h) A utilização de programas que não tenham sido instalados ou validados pelos serviços de informática.
2 - Os utilizadores encontram-se obrigados a:
a) Informar imediatamente o encarregado de proteção de dados e respetiva chefia de todas as situações em que se verifiquem indícios, de tratamento ilícito de dados pessoais;
b) Informar os serviços de informática sempre que for detetado código malicioso bem como qualquer alerta do sistema antivírus, parando, imediatamente, qualquer processamento e desconectando o sistema potencialmente infetado da rede;
c) A bloquear a respetiva sessão de trabalho sempre que se ausentem do posto de trabalho;
d) O impedir o acesso de terceiros não autorizados aos documentos em suporte de papel da Câmara Municipal de Alcoutim que contenham dados pessoais e que se encontrem na sua posse e/ou sob a sua responsabilidade.
3 - Cada unidade orgânica é responsável pela identificação dos locais onde se encontram arquivados documentos em papel bem como pela promoção da respetiva segurança de forma a garantir que apenas têm acesso aos mesmos locais pessoas devidamente autorizadas;
4 - Os locais referidos no número anterior são objeto de registo através da tabela que consta no anexo iii incumbindo a cada unidade orgânica a inserção dos dados e respetiva atualização;
5 - Cada unidade orgânica é responsável, em articulação com os serviços de informática, pela obtenção junto dos respetivos utilizadores, que tenham perfis de privilégios de escrita, leitura e eliminação de dados pessoais do formulário que consta no anexo iv, o qual, depois de assinado, deverá ser registado em MyDoc e remetido aos recursos humanos para inserção no respetivo processo individual;
6 - O formulário previsto no número anterior deverá ser assinado previamente ao exercício do início de funções do trabalhador e respetivo acesso ao sistema;
7 - O disposto no número anterior é aplicável aos casos em que se verifique a reafetação de utilizadores, o exercício de cargos de dirigentes ou chefias e demais situações que impliquem uma alteração das respetivas permissões;
8 - O serviço de recursos humanos deverá comunicar imediatamente aos serviços de informática e ao EPD todas as alterações que se verifiquem no que respeita aos utilizadores com impacto no funcionamento do sistema, designadamente, nos casos de reafetações, novas admissões, mobilidade, cedência de interesse público, ausências por período superior a 12 meses e cessação de funções;
9 - Nas admissões previstas no número anterior incluem-se, designadamente, os estagiários, voluntários, bolseiros e beneficiários de programas de emprego protegido;
10 - No caso do suporte de dados em papel, a impressão e/ou cópia de documentos contendo dados pessoais deve ser limitada ao estritamente necessário. A reprodução dos documentos deve ser efetuada em segurança, devendo os utilizadores garantir que nenhuma impressão e/ou cópia fica esquecida na impressora/fotocopiadora.
11 - Os suportes de dados devem ser eliminados de forma segura, designadamente no que respeita aos documentos em papel que contenham dados pessoais os quais deverão ser destruídos com recurso a máquinas trituradoras.
12 - Cada unidade orgânica deverá, em articulação com o EPD, identificar os processos administrativos que deverão ser classificados como confidenciais aquando do respetivo registo e subsequente comunicação aos trabalhadores que fazem esse registo;
13 - Apenas é permitido o tratamento de categorias especiais de dados pessoais por quem esteja expressamente autorizado para tal, devendo cada unidade orgânica em articulação com EPD identificar esses dados e garantir, em articulação com os serviços de informática, que o respetivo acesso fica vedado a pessoas não autorizadas através da respetiva proteção nos referidos programas;
14 - Os arquivos com documentos em suporte de papel que contenham categorias especiais de dados pessoais deverão ser objeto de registo mediante o preenchimento da tabela que consta no anexo iii.
B - Sistema informático
1 - Deverá ser mantido um registo atualizado de todos os ativos tecnológicos (hardware e software);
2 - Deverá ser garantido um nível de segurança forte dos dados pessoais e dos recursos utilizados para o seu tratamento;
3 - Os utilizadores deverão ser informados sobre a segurança do sistema e dos dados pessoais e alertados para as suas responsabilidades nesta matéria;
4 - Deverão ser garantidos diferentes tipos de mecanismos de segurança, criando diferentes camadas de proteção;
5 - Deverão ser prevenidas e eliminadas, sempre que possível, quaisquer deficiências na segurança do sistema;
6 - A segurança do sistema deverá ser assegurada através de alterações de hardware e software sempre que possível;
7 - O acesso ao sistema pelos utilizadores fica condicionado ao registo prévio, devendo para esse efeito ser utilizado o formulário que consta no anexo iv. Cada utilizador deve possuir somente os privilégios necessários para realizar a sua função na Câmara Municipal de Alcoutim os quais deverão ser previamente definidos em articulação com a respetiva chefia e autorizados superiormente. O ciclo de vida dos utilizadores do sistema deverá ser monitorizado em estreita articulação com o serviço de recursos humanos;
8 - Não são permitidas contas compartilhadas;
9 - As credenciais de autenticação de cada utilizador são únicas e intransmissíveis;
10 - A palavra-passe de autenticação deve ser alterada sempre que seja suscetível de vir a ser comprometida;
11 - A reutilização de palavras-passe anteriores deverá ser evitada, recomendando-se que não seja idêntica ou semelhante às últimas quatro palavras-passe daquele utilizador;
12 - As contas dos utilizadores são bloqueadas automaticamente após dez tentativas não sucedidas e deverão ser bloqueadas quando houver a suspeita de que estão a ser utilizadas incorretamente. Deverá igualmente ser garantido o bloqueio de contas desnecessárias;
13 - O encarregado de proteção de dados deve ser avisado das situações de bloqueio de contas;
14 - O bloqueio da sessão de trabalho deve ser automaticamente ativado após um período de inatividade de 15 minutos, devendo ser apenas desbloqueado com recurso às respetivas credenciais de acesso;
15 - Deverá ser assegurada a emissão de listagens atualizadas sobre os utilizadores do sistema com a identificação dos softwares autorizados bem como a extensão da autorização, as quais deverão ser disponibilizadas ao encarregado de proteção de dados sempre que este assim o solicite;
16 - Deverá ser garantida a assistência técnica a todos os utilizadores;
17 - Deverão ser criados registos que garantam o rastreamento das atividades com impacto na segurança dos dados pessoais. Estes registos deverão conter detalhes sobre as atividades dos utilizadores do sistema, que permitam a reconstrução do histórico, de forma a que seja possível verificar o autor e momento das ações com impacto no tratamento de dados, designadamente no que respeita à criação, alteração, eliminação e transmissão de dados a terceiros, bem como a respetiva consulta e pesquisa;
18 - O acesso ao registo de atividade dos utilizadores deve ser limitado a pessoas devidamente autorizadas e para os fins legalmente previstos, nomeadamente nos casos de auditoria;
19 - Deverá ser assegurada a capacidade de recuperação de informações relevantes para a reposição total do sistema, incluindo os dados pessoais (backups);
20 - Deverá ser garantida a proteção de dados contra código malicioso (malware);
21 - O software antivírus e antisspam a utilizar deverão ser licenciados e de atualização preferencialmente automática, em todas as estacões de trabalho e servidores;
22 - Deverá ser feita uma verificação regular da presença de código malicioso em dados, sistema operativo instalado, pacotes de software e aplicações, dispositivos de armazenamento removíveis, e-mails e anexos recebidos de fontes externas e internas. As configurações dos sistemas em produção devem cumprir com as regras de segurança para que possam ser aprovadas;
23 - As alterações ao sistema em produção devem ser, logo que possível, comunicadas ao EPD por meio de relatórios;
24 - Apenas os serviços de informática de rastreamento poderão proceder à instalação de novo hardware e/ou software e/ou componentes de hardware e software, devendo para esse efeito obter autorização prévia;
25 - A configuração local de hardware e software do sistema não deve ser alterada sem autorização prévia, devendo a mesma ser comunicada ao encarregado de proteção de dados, logo que possível;
26 - Os equipamentos devem ser instalados e protegidos de modo a se reduzir os riscos de ameaças, os perigos ambientais e as oportunidades para acesso não autorizado;
27 - A realização de cópias de segurança (backups) dos dados e do software é feita periodicamente para a proteção contra perdas e danos, bem como para garantir, quando necessário, uma rápida e correta recuperação do sistema;
28 - No que respeita à computação em nuvem deverão ser determinados os requisitos técnicos (flexível e escalável) e definidos os requisitos de segurança. No caso das redes e sistemas de informação que utilizem os serviços de computação em nuvem, públicos ou híbridos, devem ser avaliados o regime de responsabilidade e os níveis de serviço - Service Level Agreement (SLA), em especial no que respeita à disponibilidade do sistema, à segurança dos dados e à reposição de serviço. As políticas de segurança definidas devem ter em conta que a segurança na computação em nuvem também compreende a segurança da infraestrutura de rede, a segurança das aplicações em nuvem, a segurança das instalações físicas onde se encontram os dados e a possibilidade de realização de auditorias (periódicas e esporádicas) ao provedor de serviço. Os centros de dados devem ficar alojados em instalações com as condições de segurança adequadas à proteção dos dados pessoais e serviços contratados. Os prestadores destes serviços devem possuir referenciais internacionais de segurança, demonstrar a conformidade com o RGPD (subcontratantes), possuir servidores físicos dentro do território nacional e/ou da União Europeia e possuir a opção por nuvens controladas por entidades públicas. Deverão ser garantidas tecnologias de melhoria da privacidade, favorecendo a aplicação de tecnologias Privacy Enhancing Technologies (PET). Deverá ser garantido o reforço da segurança de dados pessoais de categoriais especiais através de controlos de acesso mais rígidos, do uso de técnicas de cifragem, da opção pelo sistema de gestão de identidades e acessos (Identity and Access Management) e da adoção de medidas tecnológicas para assegurar que dados específicos não são enviados (e recebidos) para a (e da) nuvem se não estiverem cifrados;
29 - A utilização de suportes de dados eletrónicos deverá ser monitorizada em todas as fases, designadamente no que respeita à sua aquisição, distribuição, utilização e destruição. Previamente à reutilização de equipamentos que contenham suportes de dados deverá ser garantida a eliminação ou remoção de todos os dados;
30 - Devem ser eliminados todos os dados armazenados nos equipamentos em fim de vida os quais deverão ser desmagnetizados e/ou fisicamente destruídos;
31 - Os equipamentos, nomeadamente os componentes críticos do sistema, devem ser protegidos contra eventuais interrupções no fornecimento de energia elétrica, devendo ser assegurada a continuidade do fornecimento de energia elétrica adequada a todos os componentes críticos do sistema. A redundância energética deverá permitir o fornecimento da energia elétrica aos componentes críticos, com base nos respetivos requisitos de disponibilidade.
32 - Os Servidores, sistemas de gestão de redes, controladores de rede e de comunicações, routers, firewalles referentes a redes e sistemas de informação que tratam dados pessoais devem ser acomodados em áreas seguras. Os terminais dos utilizadores devem estar localizados em áreas seguras, principalmente nos casos de categorias especiais de dados pessoais.
ANEXO III
Arquivos
Unidade orgânica responsável pelo arquivo
Localização
Tipo de processos
Responsável
Utilizadores autorizados
Categorias especiais de dados pessoais
ANEXO IV
Criação/Alteração de Conta de Utilizador
Criação
Nome do utilizador: ___
Serviço ao qual está afeto:___
Software a utilizar: ___
Nível de permissão, discriminado por tipo de software:___
Autorizado por despacho de ___/___/___, do ___
Data: ___/___/___
O(A) Utilizador (a)
___
Alteração
Nome do utilizador: ___
Serviço ao qual está afeto: ___
Nível de permissão a modificar: ___
Autorizado por despacho de ___/___/___, do ___
Data: ___/___/___
O(A) Utilizador (a)
___
ANEXO V
Minutas e cláusulas
ANEXO V-A
Cláusula genérica
Responsável pelo tratamento dos dados: Câmara Municipal de Alcoutim, sita na Rua do Município, n.º 12, em Alcoutim, contactável através do website: cm-alcoutim.pt ou e-mail: [email protected] ou telefone: +351 281 540 500 ou presencialmente durante o horário de atendimento.
Encarregado de proteção de dados: Encarregado de Proteção de Dados da Câmara Municipal de Alcoutim, sita na Rua do Município, n.º 12, em Alcoutim, contactável através do e-mail: [email protected] ou telefone: +351 281 540 500 ou presencialmente mediante marcação prévia através de email ou telefone.
Finalidade do tratamento dos dados: A tramitação nos serviços municipais, por exigência legal, de procedimentos administrativos ou a celebração de contratos, seja oficiosamente ou a requerimento dos titulares dos dados. O exercício pelo titular dos dados ou pelo responsável pelo tratamento de direitos e ou obrigações previstas em legislação.
Licitude do tratamento: Cumprimento pela Câmara Municipal Alcoutim das suas obrigações legais, e das suas funções de interesse público e autoridade pública enquanto órgão da Administração Pública.
Dados pessoais e categorias: Os dados pessoais dos titulares e legais representantes constantes deste requerimento, não envolvendo a recolha de dados de categorias especiais.
Destinatários dos dados pessoais: Os serviços municipais.
Prazo de conservação dos dados pessoais: O prazo necessário para a tramitação do procedimento acrescido do prazo legal de arquivo dos documentos onde os dados estão registados conforme estabelecido no Regulamento Arquivístico para as Autarquias Locais.
Direitos que pode exercer: Confirmação de que os dados pessoais são objeto de tratamento, Direito de acesso aos dados pessoais, Direito de retificação, Direito à limitação do tratamento, Direito ao apagamento dos dados, Direito de oposição e Direito de apresentar reclamação à autoridade de controlo (CNPD).
Outras informações: A comunicação dos dados pessoais neste procedimento é necessária para cumprir uma obrigação legal ou contratual, caso não forneça os dados o seu pedido ou pretensão não poderá ser tratado pela Câmara Municipal. Não existem decisões automatizadas, nem a definição de perfis. Para além do cumprimento da obrigação legal de tratamento para arquivo, não haverá tratamento posterior dos dados pessoais para finalidade distinta das que presidiram à recolha. Qualquer violação de dados pessoais será levada a conhecimento do interessado no prazo legal.
ANEXO V-B
Cláusula compras
Proteção de Dados Pessoais pela Entidade Adjudicante
Titular dos dados: O(s) adjudicatário(s), seus legais representantes e ou trabalhadores são os titulares dos dados pessoais.
Responsável pelo tratamento: A entidade adjudicante é o responsável pelo tratamento e destinatário dos dados pessoais.
Encarregado de proteção de dados: A entidade adjudicante designou um encarregado de proteção de dados que poderá ser contactado pelos titulares dos dados para esclarecimento de dúvidas e exercício de direitos sobre o tratamento dos seus dados pessoais.
Finalidades do tratamento dos dados: A entidade adjudicante vai tratar os dados pessoais para a tramitação nos serviços municipais, por exigência legal, de procedimentos administrativos, celebração e execução de contratos de contratação pública. O cumprimento das suas atribuições ou obrigações legais e das suas funções de interesse público ou autoridade pública, enquanto órgão da Administração Pública. E para exercício pelo titular dos dados ou pelo responsável pelo tratamento de direito e ou obrigações previstas na legislação.
Licitude do tratamento: O tratamento dos dados pessoais é necessário para execução de contrato no qual o titular dos dados é parte ou diligências pré-contratuais a pedido do titular dos dados. Para cumprimento de obrigações jurídicas a que a entidade adjudicante se encontra sujeita. E ainda necessário para o exercício de funções de interesse público e exercício de autoridade pública em que está investida a entidade adjudicante, enquanto órgão da Administração Pública.
Dados pessoais: De acordo com o princípio da minimização dos dados a entidade adjudicante efetua o tratamento dos dados pessoais que sejam adequados, pertinentes, necessários e previstos na legislação aplicável. Os dados pessoais recolhidos constam de requerimentos, contratos ou documentos anexos e procedimentos administrativos, podendo incluir: nome, data de nascimento, nacionalidade, morada, localidade, código postal, número do documento de identificação, data de emissão, número de identificação fiscal, número de inscrição na segurança social, telefone, telemóvel, endereço eletrónico, as habilitações académicas, experiência profissional, habilitações para condução de veículos ou máquinas.
Transmissão dos dados pessoais: A entidade adjudicante fará a transmissão para outras entidades dos dados pessoais se e quando prevista em disposição legal e ou para cumprimento de direitos ou obrigações legalmente previstas e ou se absolutamente necessária à prossecução do interesse público ou exercício de autoridade pública. Ocorrerá designadamente para instituições financeiras ou entidades bancárias para pagamento de valores estipulados nos contratos. Para outras entidades de que são exemplo, a Administração Tributária, o Tribunal de Contas, ou outras entidades nos termos previstos na legislação.
Prazo de conservação dos dados pessoais: Pelo prazo necessário para a tramitação do procedimento, ou duração e execução do contrato, acrescido do prazo legal de arquivo dos documentos onde os dados estão registados conforme estabelecido no Regulamento Arquivístico para as Autarquias Locais.
Direitos dos titulares dos dados: Confirmação de que os dados pessoais são objeto de tratamento, Direito de acesso aos dados pessoais, Direito de retificação, Direito à limitação do tratamento, Direito ao apagamento dos dados, Direito de oposição e Direito de apresentar reclamação à autoridade de controlo (CNPD).
Outras informações: A comunicação dos dados pessoais é necessária para cumprimento de obrigação legal ou contratual. Caso não sejam fornecidos os dados o pedido ou pretensão não poderá ser tratado, nem poderá celebrar contratos. Não existem decisões automatizadas, nem a definição de perfis. Para além do cumprimento da obrigação legal de tratamento para arquivo, não haverá tratamento posterior dos dados pessoais para finalidades distintas das que presidiram à recolha. Qualquer violação de dados pessoais será levada a conhecimento do titular no prazo legal.
Proteção de Dados Pessoais pelo Adjudicatário ou Subcontratante
Se o adjudicatário (aqui também designado por subcontratante) tiver contacto ou conhecimento de dados pessoais que estão sob a responsabilidade da entidade adjudicante (aqui também designada por responsável pelo tratamento) ou efetuar o tratamento de dados pessoais por conta da entidade adjudicante (responsável pelo tratamento) fica obrigado ao cumprimento das seguintes regras:
a) Efetuará o tratamento desses dados pessoais apenas mediante instruções documentadas do responsável pelo tratamento, incluindo no que respeita às transferências de dados para países terceiros ou organizações internacionais, a menos que seja obrigado a fazê-lo pelo direito da União ou do Estado-Membro a que está sujeito, informando nesse caso o responsável pelo tratamento desse requisito jurídico antes do tratamento, salvo se a lei proibir tal informação por motivos importantes de interesse público.
b) Assegura que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade.
c) Adota todas as medidas de segurança do tratamento de dados pessoais exigidas nos termos do artigo 32.º do RGPD.
d) Respeita as condições a que se referem os n.os 2 e 4 do artigo 28.º do RGPD para contratar outro subcontratante.
e) Toma em conta a natureza do tratamento, e na medida do possível, presta assistência ao responsável pelo tratamento através de medidas técnicas e organizativas adequadas, para permitir que este cumpra a sua obrigação de dar resposta aos pedidos dos titulares dos dados tendo em vista o exercício dos seus direitos previstos no capítulo iii do RGPD.
f) Presta assistência ao responsável pelo tratamento no sentido de assegurar o cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD, tendo em conta a natureza do tratamento e a informação ao dispor do subcontratante.
g) Consoante a escolha do responsável pelo tratamento, apaga ou devolve-lhe todos os dados pessoais depois de concluída a prestação de serviços relacionados com o tratamento, apagando as cópias existentes, a menos que a conservação dos dados seja exigida ao abrigo da legislação.
h) Disponibiliza ao responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações aqui previstas e facilita e contribui para as auditorias, inclusive as inspeções, conduzidas pelo responsável pelo tratamento ou por outro auditor por este mandatado.
i) Informa imediatamente o responsável pelo tratamento se, no seu entender, alguma instrução deste violar o RGPD ou outras disposições legais em matéria de proteção de dados.
j) Se o subcontratante contratar outro subcontratante para a realização de operações específicas de tratamento de dados por conta do responsável pelo tratamento, são impostas a esse outro subcontratante, por contrato, as mesmas obrigações em matéria de proteção de dados que as estabelecidas neste contrato, em particular a obrigação de apresentar garantias suficientes de execução de medidas técnicas e organizativas adequadas de uma forma que o tratamento seja conforme com os requisitos do RGPD. Se esse outro subcontratante não cumprir as suas obrigações em matéria de proteção de dados, o aqui subcontratante continua a ser plenamente responsável, perante o responsável pelo tratamento, pelo cumprimento das obrigações desse outro subcontratante.
k) O subcontratante que, em violação deste contrato ou do RGPD, determinar as finalidades e os meios de tratamento, é considerado responsável pelo tratamento no que respeita ao tratamento em questão.
l) O adjudicatário garante que implementou procedimentos internos e medidas técnicas e organizativas adequadas a efetuar o tratamento de dados pessoais e a proteger os direitos dos titulares de dados pessoais de acordo com as condições estabelecidas na legislação em vigor, designadamente, no Regulamento Geral de Proteção de Dados.
m) O adjudicatário obriga-se a durante a vigência do contrato e após a sua cessação a manter confidenciais os dados pessoais de que tenha tomado contacto ou conhecimento ou que lhe tenham sido transmitidos pela entidade adjudicante.
n) O adjudicatário compromete-se, designadamente, a não copiar, reproduzir, adaptar, modificar, alterar, apagar, destruir, difundir, transmitir, divulgar ou por qualquer outra forma colocar à disposição de terceiros os dados pessoais a que tenha acesso ou que lhe sejam transmitidos pela entidade adjudicante ao abrigo do contrato, sem que para tal tenha sido expressamente instruído, por escrito, pela entidade adjudicante.
o) O adjudicatário será responsável por qualquer prejuízo em que a entidade adjudicante venha a incorrer em consequência do tratamento, por parte do mesmo e/ou dos seus colaboradores, de dados pessoais em violação das normas legais aplicáveis e/ou do disposto no contrato.
p) Para efeitos do disposto na alínea (o) entende-se por “colaborador” toda e qualquer pessoa singular ou coletiva que preste serviços ao adjudicatário, incluindo, designadamente, representantes legais, trabalhadores, prestadores de serviços, procuradores e consultores, independentemente da natureza e validade do vínculo jurídico estabelecido entre o adjudicatário e o referido colaborador.
q) O adjudicatário enquanto subcontratante, que tenha 250 ou mais trabalhadores, ou que faça tratamento de dados suscetível de implicar risco para os direitos e liberdades dos titulares, ou que faça tratamentos de dados que não sejam ocasionais, ou que abranja categorias especiais de dados pessoais ou dados pessoais relativos a condenações penais e outras infrações tem de conservar um registo de todas as categorias de atividades de tratamento realizadas em nome da entidade adjudicante enquanto responsável pelo tratamento, do qual consta:
- O nome e contactos do subcontratante e do responsável pelo tratamento em nome do qual o subcontratante atua, bem como, sendo caso disso do representante do responsável pelo tratamento ou do subcontratante e do encarregado de proteção de dados;
- As categorias de tratamentos de dados pessoais efetuados em nome do responsável pelo tratamento;
- Se for aplicável, as transferências de dados pessoais para países terceiros ou organizações internacionais, incluindo a identificação desses países terceiros ou organizações internacionais e, no caso das transferências referidas no artigo 49.º, n.º 1, segundo parágrafo, a documentação que comprove a existência das garantias adequadas;
- Se possível, uma descrição geral das medidas técnicas e organizativas no domínio da segurança referidas no artigo 32.º, n.º 1 do RGPD.
318169349