Artigo 3.º — Aditamento à Lei n.º 41/2004, de 18 de agosto

São aditados à Lei n.º 41/2004, de 18 de agosto, os artigos 3.º-A, 13.º-A, 13.º-B, 13.º-C, 13.º-D, 13.º-E, 13.º-F, 13.º-G, 15.º-A, 15.º-B e 15.º-C, com a seguinte redação:

Artigo 3.º-A

Notificação de violação de dados pessoais

1. 1 -As empresas que oferecem serviços de comunicações eletrónicas acessíveis ao público devem, sem demora injustificada, notificar a CNPD da ocorrência de violação de dados pessoais.
2. 2 -Quando a violação de dados pessoais referida no número anterior possa afetar negativamente os dados pessoais do assinante ou utilizador, as empresas que oferecem serviços de comunicações eletrónicas acessíveis ao público devem ainda, sem demora injustificada, notificar a violação ao assinante ou ao utilizador, para que estes possam tomar as precauções necessárias.
3. 3 -Uma violação de dados pessoais afeta negativamente os dados ou a privacidade do assinante ou utilizador sempre que possa resultar, designadamente, em usurpação ou fraude de identidade, danos físicos, humilhação significativa ou danos para a reputação, quando associados à prestação e utilização de serviços de comunicações eletrónicas acessíveis ao público.
4. 4 -O regime previsto no n.º 2 não se aplica nos casos em que as empresas que oferecem serviços de comunicações eletrónicas acessíveis ao público comprovem perante a CNPD, e esta reconheça, que adotaram as medidas tecnológicas de proteção adequadas e que essas medidas foram aplicadas aos dados a que a violação diz respeito.
5. 5 -As medidas a que se refere o número anterior devem tornar os dados incompreensíveis para todas as pessoas não autorizadas a aceder-lhes.
6. 6 -Sem prejuízo da obrigação de notificação a que se refere o n.º 2, quando a empresa que oferece serviços de comunicações eletrónicas acessíveis ao público não tiver ainda notificado a violação de dados pessoais ao assinante ou ao utilizador, a CNPD pode exigir a realização da mesma notificação, tendo em conta a probabilidade de efeitos adversos decorrentes da violação.
7. 7 -Constituem elementos mínimos da notificação a que se refere o n.º 2 a identificação da natureza da violação dos dados pessoais e dos pontos de contato onde possam ser obtidas informações complementares, bem como a recomendação de medidas destinadas a limitar eventuais efeitos adversos da referida violação.
8. 8 -Na notificação à CNPD prevista no n.º 1, a empresa que oferece serviços de comunicações eletrónicas acessíveis ao público deve, além dos elementos constantes do número anterior, indicar as consequências da violação de dados pessoais e as medidas por si propostas ou tomadas para fazer face à violação.
9. 9 -A CNPD pode, em conformidade com as decisões da Comissão Europeia, emitir orientações ou instruções sobre as circunstâncias em que as empresas que oferecem serviços de comunicações eletrónicas acessíveis ao público estão obrigadas a notificar a violação de dados pessoais, bem como sobre a forma e o procedimento aplicáveis a essas notificações.
10. 10 -Para a verificação, pela CNPD, do cumprimento das obrigações estabelecidas no presente artigo, as empresas que oferecem serviços de comunicações eletrónicas acessíveis ao público devem constituir e manter um registo das situações de violação de dados pessoais, com indicação dos factos que lhes dizem respeito, dos seus efeitos e das medidas adotadas, incluindo as notificações efetuadas e as medidas de reparação tomadas.

    Artigo 13.º-A

    Comunicações não solicitadas

11. 1 -Está sujeito a consentimento prévio expresso do assinante que seja pessoa singular, ou do utilizador, o envio de comunicações não solicitadas para fins de marketing direto, designadamente através da utilização de sistemas automatizados de chamada e comunicação que não dependam da intervenção humana (aparelhos de chamada automática), de aparelhos de telecópia ou de correio eletrónico, incluindo SMS (serviços de mensagens curtas), EMS (serviços de mensagens melhoradas) MMS (serviços de mensagem multimédia) e outros tipos de aplicações similares.
12. 2 -O disposto no número anterior não se aplica aos assinantes que sejam pessoas coletivas, sendo permitidas as comunicações não solicitadas para fins de marketing direto até que os assinantes recusem futuras comunicações e se inscrevam na lista prevista no n.º 2 do artigo 13.º-B.
13. 3 -O disposto nos números anteriores não impede que o fornecedor de determinado produto ou serviço que tenha obtido dos seus clientes, nos termos da Lei de Proteção de Dados Pessoais, no contexto da venda de um produto ou serviço, as respetivas coordenadas eletrónicas de contacto, possa utilizá-las para fins de marketing direto dos seus próprios produtos ou serviços análogos aos transacionados, desde que garanta aos clientes em causa, clara e explicitamente, a possibilidade de recusarem, de forma gratuita e fácil, a utilização de tais coordenadas:
    1. a)No momento da respetiva recolha; e
    2. b)Por ocasião de cada mensagem, quando o cliente não tenha recusado inicialmente essa utilização.
14. 4 -É proibido o envio de correio eletrónico para fins de marketing direto, ocultando ou dissimulando a identidade da pessoa em nome de quem é efetuada a comunicação, em violação do artigo 21.º do Decreto-Lei n.º 7/2004, de 7 de janeiro, sem a indicação de um meio de contacto válido para o qual o destinatário possa enviar um pedido para pôr termo a essas comunicações, ou que incentive os destinatários a visitar sítios na Internet que violem o disposto no referido artigo.
15. 5 -Para tutela dos interesses dos seus clientes, como parte dos respetivos interesses comerciais, os prestadores de serviços de comunicações eletrónicas acessíveis ao público têm legitimidade para propor ações judiciais contra o autor do incumprimento de qualquer das disposições constantes do presente artigo, bem como do artigo 13.º-B.

    Artigo 13.º-B

    Listas para efeitos de comunicações não solicitadas

16. 1 -Às entidades que promovam o envio de comunicações para fins de marketing direto, designadamente através da utilização de sistemas automatizados de chamada e comunicação que não dependam da intervenção humana (aparelhos de chamada automática), de aparelhos de telecópia ou de correio eletrónico, incluindo SMS (serviços de mensagens curtas), EMS (serviços de mensagens melhoradas) MMS (serviços de mensagem multimédia) e outros tipos de aplicações similares, cabe manter, por si ou por organismos que as representem, uma lista atualizada de pessoas que manifestaram expressamente e de forma gratuita o consentimento para a receção deste tipo de comunicações, bem como dos clientes que não se opuseram à sua receção ao abrigo do n.º 3 do artigo 13.º-A.
17. 2 -Compete à Direção-Geral do Consumidor (DGC) manter atualizada uma lista de âmbito nacional de pessoas coletivas que manifestem expressamente opor-se à receção de comunicações não solicitadas para fins de marketing direto.
18. 3 -Pela inclusão nas listas referidas nos números anteriores não pode ser cobrada qualquer quantia.
19. 4 -A inserção na lista referida no n.º 2 depende do preenchimento de formulário eletrónico disponibilizado através da página eletrónica da DGC.
20. 5 -As entidades que promovam o envio de comunicações para fins de marketing direto são obrigadas a consultar a lista, atualizada mensalmente pela DGC, que a disponibiliza a seu pedido.

    Artigo 13.º-C

    Cooperação transfronteiriça

21. 1 -Sem prejuízo das competências atribuídas a outras entidades, a CNPD e o ICP-ANACOM podem, nas respetivas áreas de competência, aprovar medidas para assegurar uma cooperação transfronteiriça eficaz na execução da presente lei.
22. 2 -Sempre que pretendam proceder nos termos previstos no número anterior, a CNPD e o ICP-ANACOM apresentam à Comissão Europeia, em tempo útil e antes da aprovação das medidas em causa, um resumo dos motivos para a ação, os requisitos previstos e as ações propostas.

    Artigo 13.º-D

    Competências da CNPD e do ICP-ANACOM

    No âmbito das competências que lhes são atribuídas pela presente lei, a CNPD e o ICP-ANACOM podem, nas respetivas áreas de competência:

    1. a)Elaborar regulamentos relativamente às práticas a adotar para cumprimento da presente lei;
    2. b)Dar ordens e formular recomendações;
    3. c)Publicitar, nos respetivos sítios na Internet, os códigos de conduta de que tenha conhecimento;
    4. d)Publicitar, nos respetivos sítios na Internet, outras informações que considerem relevantes.

       Artigo 13.º-E

       Prestação de informações

23. 1 -As entidades sujeitas a obrigações nos termos da presente lei devem, quando solicitadas, prestar ao ICP-ANACOM, na sua respetiva área de competência, todas as informações relacionadas com a sua atividade, para que estas autoridades possam exercer todas as competências naquela previstas.
24. 2 -Os pedidos de informação a que se refere o número anterior devem obedecer a princípios de adequação ao fim a que se destinam e de proporcionalidade e devem ser devidamente fundamentados.
25. 3 -As informações solicitadas devem ser prestadas dentro dos prazos, na forma e com o grau de pormenor exigidos pelo ICP-ANACOM, que pode também estabelecer as circunstâncias e a periodicidade do seu envio.
26. 4 -Para efeitos do n.º 1, as entidades devem identificar, de forma fundamentada, as informações que consideram confidenciais e devem juntar, caso se justifique, uma cópia não confidencial dos documentos em que se contenham tais informações.

    Artigo 13.º-F

    Incumprimento

27. 1 -Sem prejuízo de outros mecanismos sancionatórios aplicáveis, sempre que a CNPD ou o ICP-ANACOM, nas respetivas áreas de competência, verificarem a infração de qualquer obrigação decorrente da presente lei, devem notificar o infrator desse facto e dar-lhe a possibilidade de num prazo não inferior a 10 dias se pronunciar e, se for caso disso, pôr fim ao incumprimento.
28. 2 -Após ter procedido à audiência, nos termos do número anterior, a CNPD ou o ICP-ANACOM, nas respetivas áreas de competência, podem exigir ao infrator que cesse o incumprimento imediatamente ou no prazo razoável fixado para o efeito.
29. 3 -Se o infrator não puser fim ao incumprimento no prazo referido nos números anteriores, compete à CNPD ou ao ICP-ANACOM, nas respetivas áreas de competência, tomar as medidas adequadas e proporcionais para garantir a observância das obrigações referidas no n.º 1 do presente artigo, nomeadamente a aplicação de sanções pecuniárias compulsórias nos termos previstos na presente lei.

    Artigo 13.º-G

    Fiscalização

    Compete à CNPD e ao ICP-ANACOM, nas respetivas áreas de competência estabelecidas nos termos do disposto no artigo 15.º, a fiscalização do cumprimento da presente lei, através, respetivamente, dos vogais e técnicos devidamente mandatados pela CNPD, nos termos da Lei de Proteção de Dados Pessoais e dos agentes de fiscalização ou de mandatários devidamente credenciados pelo ICP-ANACOM, nos termos do artigo 112.º da Lei das Comunicações Eletrónicas.

    Artigo 15.º-A

    Sanções acessórias

30. 1 -No âmbito das contraordenações previstas no n.º 2 do artigo 15.º, sempre que a gravidade da infração e a culpa do agente o justifique, o ICP-ANACOM pode aplicar uma sanção acessória de perda a favor do Estado de objetos, equipamentos e dispositivos ilícitos, incluindo o produto do benefício obtido pelo infrator através da prática da contraordenação.
31. 2 -Quem desrespeitar uma sanção acessória que lhe tenha sido aplicada, incorre em crime de desobediência qualificada.

    Artigo 15.º-B

    Perda a favor do Estado

32. 1 -Sem prejuízo do disposto no n.º 1 do artigo anterior, consideram-se perdidos a favor do Estado os objetos, equipamentos e dispositivos ilícitos que tenham sido cautelar ou provisoriamente apreendidos pelo ICP-ANACOM e que, após notificação aos interessados para que os recolham, não tenham sido reclamados no prazo de 60 dias.
33. 2 -Os objetos, equipamentos e dispositivos ilícitos perdidos a favor do Estado revertem para o ICP-ANACOM, que lhes dará o destino que julgar adequado.

    Artigo 15.º-C

    Sanções pecuniárias compulsórias

34. 1 -Sem prejuízo de outras sanções aplicáveis, em caso de incumprimento de decisões da CNPD ou do ICP-ANACOM que imponham sanções administrativas ou ordenem, no exercício dos poderes que legalmente lhes assistem, a adoção de comportamentos ou de medidas determinadas aos destinatários da presente lei, podem aquelas autoridades, fundamentadamente, impor uma sanção pecuniária compulsória, nos casos referidos nos n.os 1, 3, 4 e 5 do artigo 10.º, nos n.os 1, 3, e 4 do artigo 13.º e nas alíneas a) a i), j) e l) a m) do n.º 1 e a), b), c), d) e e) do n.º 2 do artigo 14.º
35. 2 -A sanção pecuniária compulsória consiste na imposição ao seu destinatário do pagamento de uma quantia pecuniária por cada dia de atraso no cumprimento para além do prazo nela fixado.
36. 3 -A sanção compulsória é fixada segundo critérios de razoabilidade e proporcionalidade, atendendo à situação económica do infrator, designadamente ao seu volume de negócios no ano civil anterior, e ao impacto negativo do incumprimento no mercado e nos utilizadores, podendo o montante diário situar-se entre (euro) 500 e (euro) 100 000.
37. 4 -Os montantes fixados nos termos do número anterior podem ser variáveis para cada dia de incumprimento, num sentido crescente, não podendo ultrapassar o montante máximo de (euro) 3 000 000 nem a duração máxima de 30 dias.
38. 5 -O montante da sanção aplicada reverte para o Estado em 60 % e para a CNPD ou para o ICP-ANACOM em 40 %.
39. 6 -Dos atos da CNPD e do ICP-ANACOM, praticados ao abrigo do presente artigo, cabe recurso, consoante sejam praticados no âmbito de um processo de contraordenação ou administrativo, nos termos da legislação aplicável a cada tipo de processo em causa.