Artigo 1.º
Lei Habilitante, Objeto e âmbito de aplicação
1 -O Regulamento Interno de Segurança na Utilização dos Sistemas de Informação e do Tratamento de Dados Pessoais do Município do Corvo é elaborado ao abrigo do artigo 241.º da Constituição da República Portuguesa e da alínea k) do n.º 1 do artigo 33.º da Lei n.º 75/2013, de 12 de setembro.
2 -O presente Regulamento visa assegurar, no contexto das atividades do Município do Corvo, a execução das normas referentes ao tratamento de dados pessoais constantes no RGPD e estabelecer um conjunto de normas de utilização e regras de segurança da informação com o intuito de possibilitar o processamento, a partilha e o armazenamento de informação, através do recurso à sua infraestrutura tecnológica.
3 -As regras constantes do presente regulamento abrangem todo o tratamento de dados pessoais e a livre circulação desses dados, em defesa dos direitos e das liberdades fundamentais dos seus titulares, quando a responsabilidade do tratamento seja do Município do Corvo.
4 -O presente regulamento aplica-se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados.
5 -São destinatários do presente Regulamento os trabalhadores municipais das unidades orgânicas da Câmara Municipal do Corvo.
Artigo 2.º
Definições
1 -Dados pessoais: informação relativa a uma pessoa singular identificada ou identificável («titular dos dados»); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;
2 -Tratamento: uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;
3 -Dados biométricos: dados pessoais resultantes de um tratamento técnico específico relativo às características físicas, fisiológicas ou comportamentais de uma pessoa singular que permitam ou confirmem a identificação única dessa pessoa singular, nomeadamente imagens faciais ou dados dactiloscópicos;
4 -Dados relativos à saúde: dados pessoais relacionados com a saúde física ou mental de uma pessoa singular, incluindo a prestação de serviços de saúde, que revelem informações sobre o seu estado de saúde;
5 -Pseudonimização: o tratamento de dados pessoais de forma que deixem de poder ser atribuídos a um titular de dados específico sem recorrer a informações suplementares, desde que essas informações suplementares sejam mantidas separadamente e sujeitas a medidas técnicas e organizativas para assegurar que os dados pessoais não possam ser atribuídos a uma pessoa singular identificada ou identificável;
6 -Definição de perfis: qualquer forma de tratamento automatizado de dados pessoais que consista em utilizar esses dados pessoais para avaliar certos aspetos pessoais de uma pessoa singular, nomeadamente para analisar ou prever aspetos relacionados com o seu desempenho profissional, a sua situação económica, saúde, preferências pessoais, interesses, fiabilidade, comportamento, localização ou deslocações;
7 -Informação: informação digital que pode ser de carácter estratégico, técnico, financeiro, legal, de recursos humanos, ou de qualquer outra natureza, não importando se protegida ou não por normas de confidencialidade, desde que se encontre armazenada e/ou manuseada na infraestrutura tecnológica do Município e que se constitui como património do mesmo;
8 -Ficheiro: qualquer conjunto estruturado de dados pessoais, acessível segundo critérios específicos, quer seja centralizado, descentralizado ou repartido de modo funcional ou geográfico;
9 -Responsável pelo tratamento de dados: a pessoa designada pelo Presidente de Câmara que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais;
10 -Subcontratante: uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que trate os dados pessoais por conta do responsável pelo tratamento destes;
11 -Terceiro: a pessoa singular ou coletiva, a autoridade pública, o serviço ou organismo que não seja o titular dos dados, o responsável pelo tratamento, o subcontratante e as pessoas que, sob a autoridade direta do responsável pelo tratamento ou do subcontratante, estão autorizadas a tratar os dados pessoais;
12 -Registos LOG: Processo de registo de eventos relevantes num sistema de informação, geralmente num arquivo de LOG, o qual pode ser utilizado para auditoria e diagnóstico. Esse registo pode ser utilizado para restabelecer o estado original de um sistema ou para que um administrador conheça comportamentos dos sistemas no passado.
13 -Limitação do tratamento: a inserção de uma marca nos dados pessoais conservados com o objetivo de limitar o seu tratamento no futuro;
14 -Destinatário: uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que recebem comunicações de dados pessoais, independentemente de se tratar ou não de um terceiro.
15 -Consentimento do titular dos dados: uma manifestação de vontade, livre, específica, informada e explícita, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento;
16 -Violação de dados pessoais: uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento;
17 -Utilizador: Qualquer pessoa com vínculo contratual ao Município, ou posto à disposição do Município por órgãos ou entidades da administração central ou em regime de colaboração, independentemente do regime jurídico a que estejam submetidos, incluindo prestadores de serviços que, direta ou indiretamente, utilizem os sistemas de informação do Município para o desenvolvimento das suas atividades profissionais;
Capítulo II
Funcionamento e utilização dos sistemas de informação
Artigo 3.º
Atribuições dos serviços de informática
1 -Os Serviços de informática funcionam na dependência da Divisão Administrativa e Financeira e têm por função a gestão e manutenção dos meios informáticos existentes, a sua ligação ao exterior e o apoio aos Utilizadores na utilização dos meios informáticos disponíveis.
a)Aceder a informação nos sistemas informáticos pertencentes ao Município, executando serviços de manutenção, backups, gestão de emails, softwares e sistemas, mantendo e protegendo a confidencialidade de qualquer informação;
b)Aceder remotamente aos sistemas de informação de qualquer local externo ao local de trabalho, a qualquer hora, desde que seja para funções de manutenção e apoio técnico aos utilizadores;
c)Supervisionar o cumprimento pelos utilizadores das regras do Regulamento.
2 -O Serviço de Informática é ainda responsável pela adoção de medidas técnicas que garantam a criação do ambiente tecnológico indispensável para a implementação das normas de segurança, bem como pela análise de todas as infrações cometidas pelos utilizadores ao presente regulamento, devendo adotar as medidas técnicas necessárias para eliminar focos de não conformidade, designadamente os previstos no Plano de Prevenção de Riscos de Gestão Incluindo os de Corrupção e Infrações Conexas do Município do Corvo, alertando superiormente para procedimentos irregulares e voluntários dos utilizadores com vista à tomada de medidas corretivas apropriadas.
3 -O responsável pelo tratamento dos dados pessoais nos termos do presente regulamento é o Chefe de Divisão Administrativa e Financeira, ou, na sua ausência quem o Presidente de Câmara designar.
Artigo 4.º
Utilização do hardware e do software
1 -O Município do Corvo coloca à disposição dos seus trabalhadores recursos tecnológicos, nomeadamente equipamentos (hardware) e programas informáticos licenciados (software).
2 -O Utilizador não poderá instalar e/ou executar outro software distinto daquele facultado ou autorizado pela Câmara Municipal.
3 -A utilização de software não licenciado é uma conduta ilícita que pode implicar graves responsabilidades de tipo penal e civil, para além de colocar em risco evidente os equipamentos informáticos e a informação contida nos mesmos.
4 -Caso o Utilizador necessite de um software adicional para o desempenho das suas tarefas, deverá solicitá-lo fundamentadamente ao seu responsável imediato que, após apreciação, o submeterá à consideração do responsável dos Serviços de Informática.
5 -O Utilizador deve utilizar os equipamentos e sistemas informáticos colocados à sua disposição sem incorrer em atividades que possam ser consideradas ilícitas ou ilegais, que infrinjam ou possam infringir os direitos do Município do Corvo, de terceiros ou ponham em risco a segurança e estabilidade dos equipamentos e sistemas, assim como da informação neles contidos.
6 -São expressamente proibidas as atividades que constituam infração prevista na legislação em vigor, nomeadamente:
a)Aceder, ler, apagar, copiar ou modificar as mensagens de correio eletrónico ou arquivos de outros Utilizadores, exceto com o consentimento do titular, em função de circunstâncias concretas;
b)Aceder a áreas restritas dos sistemas informáticos da Câmara Municipal, de outros Utilizadores ou terceiros;
c)Destruir, alterar, inutilizar ou de qualquer forma danificar os dados, programas ou documentos eletrónicos da Câmara Municipal, dos seus Utilizadores, ou de eventuais terceiros.
d)Distorcer ou falsear registos LOG do sistema;
e)Aumentar o nível de privilégios de um Utilizador no sistema;
f)Decifrar as chaves, sistemas ou algoritmos de codificação e qualquer outro elemento de segurança que intervenha nos processos da Câmara Municipal;
g)Obstaculizar voluntária ou involuntariamente os acessos de outros Utilizadores aos equipamentos e sistemas da Câmara Municipal pelo consumo massivo de recursos informáticos, assim como realizar ações que danifiquem, interrompam ou gerem erros;
h)Introduzir ou propagar programas, vírus, applets, controlos Active X ou qualquer outro dispositivo lógico ou sequência de carateres que causem ou sejam suscetíveis de causar qualquer tipo de alteração nos sistemas informáticos da entidade ou de terceiros.
j)Instalar cópias ilegais de qualquer programa, incluindo os estandardizados de facto e apagar, eliminar, modificar ou alterar qualquer dos programas instalados legalmente;
k)Instalar software ou aplicativos de qualquer espécie cuja licença tenha sido adquirida pelo Município do Corvo, em equipamentos diversos daqueles fornecidos para tal efeito (o que inclui a título enunciativo, equipamentos ou dispositivos privados do Utilizador).
7 -O Utilizador responsabiliza-se por qualquer alteração ou instalação realizada nos equipamentos fornecidos com acesso aberto que pela sua natureza carecem de privilégios de administração.
8 -O Utilizador não tem permissão para executar aplicações cujo objetivo seja o acesso remoto por parte de terceiros à infraestrutura da Câmara Municipal.
9 -O Utilizador que pretenda aceder remotamente à infraestrutura do município terá de solicitar o acesso correspondente aos Serviços de Informática.
10 -O Utilizador não tem permissão para copiar, alterar ou eliminar arquivos que tenham sido criados por terceiros, sem prévio consentimento do seu autor e/ou da Câmara Municipal.
11 -Os equipamentos e sistemas da Câmara Municipal não podem utilizar-se para transmitir ou armazenar conteúdos estranhos ao desenvolvimento das atribuições do município.
12 -O Utilizador deve informar ou alertar o serviço de informática sempre que detetar qualquer tipo de atividade ou comportamento anormal dos recursos disponibilizados pela Câmara Municipal, nomeadamente questões de segurança e/ou sistemas desatualizados, quer seja pelo aproveitamento de falhas de segurança, quer pela simples tentativa e erro de acerto de palavra-passe.
Artigo 5.º
Palavras-passe e chaves de acesso
1 -As palavras-passe e chaves de acesso são meios utilizados pelos Utilizadores e administradores para salvaguardar a confidencialidade da informação disponível nos equipamentos e sistemas da Câmara Municipal.
2 -O responsável pelo Serviço de Informática e o Responsável pelo Tratamento de Dados deterão as palavras-passe e chaves de administração.
3 -O Utilizador compromete-se a fazer um uso diligente das palavras-passe e chaves de acesso atribuídas e a manter as mesmas confidenciais, responsabilizando-se por qualquer atividade que se realize ou tenha lugar mediante a utilização das mesmas.
4 -Após qualquer perda ou suspeita de acesso não autorizado por parte de terceiros às palavras-passe e chaves de acesso o Utilizador deverá informar o Responsável pelos Serviços de Informática de forma imediata, - o qual dará também imediatamente conhecimento ao Responsável pelo Tratamento de Dados.
5 -Se o Utilizador suspeitar que outra pessoa conhece os seus dados de identificação e de acesso deve proceder à alteração imediata da mesma ou comunicar o facto aos Serviços de Informática, com o fim de que estes lhe permitam gerar de imediato nova (s) chave (s).
6 -Nos casos baixa ou ausência temporal do Utilizador ou perante a inacessibilidade por parte do mesmo aos equipamentos e sistemas atribuídos, este pode, por escrito e indicando a finalidade, solicitar aos Serviços de Informática, a alteração da palavra-passe e chaves.
7 -É proibida a utilização de técnicas de encriptação ou codificação de informação não autorizadas e/ou não facultadas pela Câmara Municipal.
Artigo 6.º
Correio Eletrónico
1 -A Câmara Municipal disponibilizará ao Utilizador, sempre que se revele necessário em função das suas responsabilidades laborais, uma conta de correio eletrónico do Município.
2 -O Utilizador deve utilizar o correio eletrónico em nome da Câmara Municipal para fins exclusivamente laborais.
3 -Sempre que um correio eletrónico pelo seu conteúdo ou pelos anexos, seja relevante para efeitos de um processo que decorra no Município ou contiver informação relevante para o Município, o Utilizador deve gravar o correio eletrónico recebido, enviando para a pasta de trabalho definida para o efeito ou tramitando para o serviço de gestão documental.
4 -O Utilizador deve respeitar a predefinição do aspeto gráfico do correio eletrónico da autarquia.
5 -O Utilizador não deve enviar, distribuir, dar a conhecer e comunicar informação confidencial ou classificada do Município.
6 -É proibida a transmissão de correio cujo conteúdo seja ilegal, difamatório, obsceno, ofensivo, denegatório ou imoral.
7 -Cessada a colaboração de um Utilizador com o Município, e após comunicação dos serviços competentes, será desativada ou encerrada a conta de correio eletrónico do mesmo, podendo ser gerada uma mensagem automática.
8 -A Câmara Municipal pode manter, se o entender, uma cópia de segurança do correio eletrónico de contas encerradas.
9 -O Utilizador, em caso de ausência, deve ativar o mecanismo de mensagem automática out-of-office (fora-do-escritório) ou reencaminhar o correio eletrónico para outra conta ativa do Município, de forma a assegurar o normal funcionamento dos serviços.
Artigo 7.º
Acesso e utilização da Internet
1 -A Câmara Municipal disponibiliza ao Utilizador o acesso à Internet, em função das responsabilidades laborais ou tarefas que lhe sejam atribuídas.
2 -A Internet é uma ferramenta de trabalho para uso estritamente profissional.
3 -O Município não é responsável pelo conteúdo que os seus Utilizadores visualizam e/ou descarregam da Internet, presumindo-se que o Utilizador tem consciência que a Internet é uma rede a nível mundial com conteúdos que podem resultar ilícitos, ofensivos ou em geral inapropriados.
4 -Sem prejuízo do disposto no parágrafo anterior, e estando todo o tráfego sujeito a monitorização e filtragem automática, está bloqueada, a navegação nos sites com a seguinte categorização, excetuando-se os de, ou para, as funções desempenhadas pelo utilizador em questão:
b)Partilha de ficheiros (exemplo: peer to peer);
e)Hackers e qualquer tipo de pirataria informática;
g)Violência e agressividade (racismo, xenofobia, etc.);
j)Outros, que se considerem desadequados para as funções do utilizador.
5 -A Câmara Municipal monitoriza e controla, de forma automática, os sistemas e tecnologias de informação, e demais meios, validando se cumprem em todo o momento as medidas de segurança necessárias.
6 -O Município não é responsável pelos conteúdos de natureza não profissional que os Utilizadores enviem a outrem, reservando a faculdade de executar as medidas de controlo e disciplinares adequadas.
7 -Nenhum software, ficheiro executável ou base de dados que se descarregue da Internet ou que se receba por correio eletrónico ou através de qualquer suporte material (CD, Pen USB...) necessário para o desempenho das tarefas profissionais pode ser instalado no terminal ou dispositivo propriedade do Município sem comprovar previamente, com os Serviços de Informática, que está devidamente licenciado e limpo de vírus.
8 -A Câmara Municipal pode limitar a utilização de dispositivos removíveis de armazenamento, tais como Pens USB, CDs, entre outros.
Artigo 8.º
Utilização da Informação
1 -Sempre que o Utilizador aceda a dados pessoais incorporados nos ficheiros, por motivos diretamente relacionados com a função desempenhada, deve este tratá-los, única e exclusivamente em conformidade com o âmbito de autorização expressamente comunicada pela Câmara Municipal.
2 -O Utilizador não deve usar dados pessoais com fins ou efeitos ilícitos, proibidos ou lesivos de direitos ou interesses de terceiros, ou contrários às finalidades para os quais foram recolhidos.
3 -Ao Utilizador é expressamente proibido aceder ou tratar de dados pessoais, para os quais não tenha obtido expressa autorização por parte do Responsável pelo Tratamento de Dados dos dados do Município.
4 -O Utilizador não pode criar qualquer base de dados com dados pessoais, sem que esta seja previamente autorizada e enquadrada pelo Responsável pelo Tratamento de Dados do Município.
5 -Quaisquer questões sobre proteção de dados pessoais e o exercício de quaisquer direitos relativos aos mesmos devem ser colocadas ao Responsável pelo Tratamento de Dados.
Capítulo III
Normas e procedimentos internos a observar pelos serviços relativamente ao tratamento dos dados pessoais
Secção I
Princípios
Artigo 9.º
Princípios relativos ao tratamento de dados pessoais
1 -Os dados pessoais são:
a)Objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados;
b)Recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades;
c)Adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados;
d)Exatos e atualizados sempre que necessário, devendo ser adotadas todas as medidas adequadas para que os dados inexatos, sejam apagados ou retificados sem demora;
e)Conservados de uma forma que permita a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados;
f)Tratados de uma forma que garanta a sua segurança, incluindo a proteção contra o seu tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidental, adotando as medidas técnicas ou organizativas adequadas;
2 -O Responsável pelo Tratamento de Dados é responsável pelo cumprimento do disposto no n.º 1 e tem de poder comprová-lo.
Artigo 10.º
Licitude do tratamento
1 -O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:
a)O titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas;
b)O tratamento for necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré-contratuais a pedido do titular dos dados;
c)O tratamento for necessário para o cumprimento de uma obrigação jurídica a que o Responsável pelo Tratamento de Dados esteja sujeito;
d)O tratamento for necessário para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular;
e)O tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o Responsável pelo Tratamento de Dados;
f)O tratamento for necessário para efeito dos interesses legítimos prosseguidos pelo Responsável pelo Tratamento de Dados ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for uma criança.
Artigo 11.º
Condições aplicáveis ao consentimento
1 -Quando o tratamento for realizado com base no consentimento, o Responsável pelo Tratamento de Dados deve poder demonstrar que o titular dos dados deu o seu consentimento para o tratamento dos seus dados pessoais.
2 -Se o consentimento do titular dos dados for dado no contexto de uma declaração escrita que diga também respeito a outros assuntos, o pedido de consentimento deve ser apresentado de uma forma que o distinga claramente desses outros assuntos de modo inteligível e de fácil acesso e numa linguagem clara e simples. Não é vinculativa qualquer parte dessa declaração que constitua violação do presente regulamento.
3 -O titular dos dados tem o direito de retirar o seu consentimento a qualquer momento. Antes de dar o seu consentimento, o titular dos dados é informado desse facto. O consentimento deve ser tão fácil de retirar quanto de dar.
4 -Ao avaliar se o consentimento é dado livremente, há que verificar com a máxima atenção se, designadamente, a execução de um contrato, inclusive a prestação de um serviço, está subordinada ao consentimento para o tratamento de dados pessoais que não é necessário para a execução desse contrato.
Artigo 12.º
Consentimento de menores
1 -Nos termos do artigo 8.º do RGPD, os dados pessoais de crianças só podem ser objeto de tratamento com base no consentimento previsto na alínea a) do n.º 1 do artigo 6.º do RGPD e relativo à oferta direta de serviços da sociedade de informação quando as mesmas já tenham completado treze anos de idade.
2 -Caso a criança tenha idade inferior a treze anos, o tratamento só é lícito se o consentimento for dado pelos representantes legais desta, preferencialmente com recurso a meios de autenticação segura, como o Cartão de Cidadão ou a Chave Móvel Digital.
Artigo 13.º
Tratamento de categorias especiais de dados pessoais
1 -É proibido o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, bem como o tratamento de dados genéticos, dados biométricos para identificar uma pessoa de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa.
2 -O disposto no n.º 1 não se aplica se se verificar um dos seguintes casos:
a)Se o titular dos dados tiver dado o seu consentimento explícito para o tratamento desses dados pessoais para uma ou mais finalidades específicas, exceto se existir norma legal que previna que a proibição a que se refere o n.º 1 não pode ser anulada pelo titular dos dados;
b)Se o tratamento for necessário para efeitos do cumprimento de obrigações e do exercício de direitos específicos do responsável pelo tratamento ou do titular dos dados em matéria de legislação laboral, de segurança social e de proteção social, na medida em que esse tratamento seja permitido por norma legal ou ainda por uma convenção coletiva;
c)Se o tratamento for necessário para proteger os interesses vitais do titular dos dados ou de outra pessoa singular, no caso de o titular dos dados estar física ou legalmente incapacitado de dar o seu consentimento;
d)Se o tratamento se referir a dados pessoais que tenham sido manifestamente tornados públicos pelo seu titular;
e)Se o tratamento for necessário à declaração, ao exercício ou à defesa de um direito num processo judicial ou sempre que os tribunais atuem no exercício da sua função jurisdicional;
f)Se o tratamento for necessário por motivos de interesse público importante, com base em norma legal, que deve ser proporcional ao objetivo visado, respeitar a essência do direito à proteção dos dados pessoais e prever medidas adequadas e específicas que salvaguardem os direitos fundamentais e os interesses do titular dos dados;
g)Se o tratamento for necessário para efeitos de medicina preventiva ou do trabalho, para a avaliação da capacidade de trabalho do empregado, o diagnóstico médico, a prestação de cuidados ou tratamentos de saúde ou de ação social ou a gestão de sistemas e serviços de saúde ou de ação social com base em norma legal ou por força de um contrato com um profissional de saúde, sob reserva das condições e garantias previstas no n.º 3;
h)Se o tratamento for necessário por motivos de interesse público no domínio da saúde pública, tais como a proteção contra ameaças transfronteiriças graves para a saúde ou para assegurar um elevado nível de qualidade e de segurança dos cuidados de saúde e dos medicamentos ou dispositivos médicos, com base em norma legal que preveja medidas adequadas e específicas que salvaguardem os direitos e liberdades do titular dos dados, em particular o sigilo profissional;
3 -Os dados pessoais referidos no n.º 1 podem ser tratados para os fins referidos no n.º 2, alínea h), se os dados forem tratados por ou sob a responsabilidade de um profissional sujeito à obrigação de sigilo profissional, nos termos legais ou de regulamentação estabelecida pelas autoridades nacionais competentes, ou por outra pessoa igualmente sujeita a uma obrigação de confidencialidade nos termos legais ou de regulamentação estabelecida pelas autoridades nacionais competentes.
Artigo 14.º
Proteção de dados pessoais de pessoas falecidas
1 -Os dados pessoais de pessoas falecidas são protegidos nos termos do RGPD quando se integrem nas categorias especiais de dados pessoais a que se refere o n.º 1 do artigo 9.º do RGPD, ressalvados os casos previstos no n.º 2 do mesmo artigo.
2 -Os direitos previstos no RGPD relativos a dados pessoais de pessoas falecidas, abrangidos pelo número anterior, nomeadamente os direitos de acesso, retificação e apagamento, são exercidos por quem a pessoa falecida haja designado para o efeito ou, na sua falta, pelos respetivos herdeiros.
Secção II
Responsável pelo tratamento e subcontratante
Artigo 15.º
Responsabilidade do responsável pelo tratamento
1 -O Responsável pelo Tratamento de Dados é o Chefe da Divisão Administrativa e Financeira ou, na sua ausência, quem o Presidente de Câmara designar.
2 -O Responsável pelo Tratamento de Dados aplica as medidas técnicas e organizativas que forem adequadas para assegurar e poder comprovar que o tratamento é realizado em conformidade com o presente regulamento.
3 -As medidas devem incluir a adoção e o modo de aplicação das políticas adequadas em matéria de proteção de dados, códigos de conduta, políticas de privacidade e procedimentos de certificação, os quais constituem evidências do cumprimento das obrigações por parte do Responsável pelo Tratamento de Dados.
4 -As medidas referidas no número anterior são revistas e atualizadas consoante as necessidades, tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento dos dados, bem como os riscos para os direitos e liberdades das pessoas singulares, cuja probabilidade e gravidade podem ser variáveis.
Artigo 16.º
Proteção de dados desde a conceção e por defeito
1 -Incumbe ao Responsável pelo Tratamento de Dados determinar a aplicação de medidas técnicas e organizativas para assegurar que, por defeito, só sejam tratados os dados pessoais que forem necessários para cada finalidade específica do tratamento, bem como não sejam disponibilizados sem intervenção humana a um número indeterminado de pessoas singulares.
2 -A obrigação referida no número anterior aplica-se:
a)à quantidade de dados pessoais recolhidos;
b)à extensão do seu tratamento;
c)ao seu prazo de conservação;
Artigo 17.º
Responsáveis conjuntos pelo tratamento
1 -Quando dois ou mais responsáveis pelo tratamento determinem conjuntamente as finalidades e os meios desse tratamento, ambos são responsáveis conjuntos pelo tratamento e determinam, por acordo entre si e de modo transparente, as respetivas responsabilidades pelo cumprimento do presente regulamento e do RGPD.
Artigo 18.º
Subcontratante
1 -Quando o tratamento dos dados for efetuado por sua conta, o Responsável pelo Tratamento de Dados recorre apenas a subcontratantes que apresentem garantias suficientes de execução de medidas técnicas e organizativas adequadas de uma forma que o tratamento satisfaça os requisitos do presente regulamento e assegure a defesa dos direitos do titular dos dados.
2 -O tratamento em subcontratação é regulado por contrato que vincule o subcontratante ao Responsável pelo Tratamento de Dados, estabeleça o objeto e a duração do tratamento, a natureza e finalidade do tratamento, o tipo de dados pessoais e as categorias dos titulares dos dados, e as obrigações e direitos do Responsável pelo Tratamento de Dados.
Artigo 19.º
Tratamento sob a autoridade do Responsável pelo Tratamento de Dados ou do subcontratante
O subcontratante ou qualquer pessoa que, agindo sob a autoridade do Responsável pelo Tratamento de Dados ou do subcontratante, tenha acesso a dados pessoais, não procede ao tratamento desses dados, exceto por instrução do Responsável pelo Tratamento de Dados, e salvo se a tal for legalmente obrigado.
Artigo 20.º
Registos das atividades de tratamento
1 -No Município do Corvo cada Responsável pelo Tratamento de Dados conserva um registo de todas as atividades de tratamento sob a sua responsabilidade. Desse registo constam todas as seguintes informações:
a)O nome e os contactos do Responsável pelo Tratamento de Dados e, sendo caso disso, de qualquer responsável conjunto pelo tratamento e do encarregado da proteção de dados;
b)As finalidades do tratamento dos dados;
c)A descrição das categorias de titulares de dados e das categorias de dados pessoais;
d)As categorias de destinatários a quem os dados pessoais foram ou serão divulgados, incluindo os destinatários estabelecidos em países terceiros ou organizações internacionais;
e)Se possível, os prazos previstos para o apagamento das diferentes categorias de dados;
f)Se possível, uma descrição geral das medidas técnicas e organizativas no domínio da segurança.
Secção III
Segurança dos dados pessoais
Artigo 21.º
Segurança do tratamento
1 -Tendo em conta as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos, de probabilidade e gravidade variável, para os direitos e liberdades das pessoas singulares, o Responsável pelo Tratamento de Dados e o subcontratante aplicam as medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado ao risco, incluindo, consoante o que for adequado:
a)A pseudonimização e a cifragem dos dados pessoais;
b)A capacidade de assegurar a confidencialidade, integridade, disponibilidade e resiliência permanentes dos sistemas e dos serviços de tratamento;
c)A capacidade de restabelecer a disponibilidade e o acesso aos dados pessoais de forma atempada no caso de um incidente físico ou técnico;
d)Um processo para testar, apreciar e avaliar regularmente a eficácia das medidas técnicas e organizativas para garantir a segurança do tratamento.
2 -O Responsável pelo Tratamento de Dados e o subcontratante tomam medidas para assegurar que qualquer pessoa singular que, agindo sob a autoridade do Responsável pelo Tratamento de Dados ou do subcontratante, tenha acesso a dados pessoais, só procede ao seu tratamento mediante instruções do Responsável pelo Tratamento de Dados.
Artigo 22.º
Notificação de uma violação de dados pessoais à autoridade de controlo
1 -Em caso de violação de dados pessoais, a Câmara Municipal, mediante a informação do Responsável pelo Tratamento de Dados, notifica desse facto a Comissão Nacional de Proteção de Dados, sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento da mesma, a menos que a violação dos dados pessoais não seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares. Se a notificação à autoridade de controlo não for transmitida no prazo de 72 horas, é acompanhada dos motivos do atraso.
2 -O subcontratante notifica o Responsável pelo Tratamento de Dados sem demora injustificada após ter conhecimento de uma violação de dados pessoais.
3 -A notificação referida no n.º 1 deve, pelo menos:
a)Descrever a natureza da violação dos dados pessoais incluindo, se possível, as categorias e o número aproximado de titulares de dados afetados, bem como as categorias e o número aproximado de registos de dados pessoais em causa;
b)Comunicar o nome e os contactos do encarregado da proteção de dados ou de outro ponto de contacto onde possam ser obtidas mais informações;
c)Descrever as consequências prováveis da violação de dados pessoais;
d)Descrever as medidas adotadas ou propostas pelo Responsável pelo Tratamento de Dados para reparar a violação de dados pessoais, inclusive, se for caso disso, medidas para atenuar os seus eventuais efeitos negativos;
4 -Caso, e na medida em que não seja possível fornecer todas as informações ao mesmo tempo, estas podem ser fornecidas por fases, sem demora injustificada.
5 -O Responsável pelo Tratamento de Dados documenta quaisquer violações de dados pessoais, compreendendo os factos relacionados com as mesmas, os respetivos efeitos e a medida de reparação adotada. Essa documentação deve permitir à Comissão Nacional de Proteção de Dados verificar o cumprimento do disposto no presente artigo.
Artigo 23.º
Comunicação de uma violação de dados pessoais ao titular dos dados
1 -Quando a violação dos dados pessoais for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares, a Câmara Municipal, mediante a informação do Responsável pelo Tratamento de Dados, comunica a violação de dados pessoais ao titular dos dados sem demora injustificada.
2 -A comunicação ao titular dos dados a que se refere o n.º 1 do presente artigo descreve em linguagem clara e simples a natureza da violação dos dados pessoais e fornece, pelo menos, as informações e medidas previstas no artigo 22.º, n.º 3, alíneas b), c) e d).
3 -A comunicação ao titular dos dados a que se refere o n.º 1 não é exigida se for preenchida uma das seguintes condições:
a)O Responsável pelo Tratamento de Dados tiver aplicado medidas de proteção adequadas, tanto técnicas como organizativas, e essas medidas tiverem sido aplicadas aos dados pessoais afetados pela violação de dados pessoais, especialmente medidas que tornem os dados pessoais incompreensíveis para qualquer pessoa não autorizada a aceder a esses dados, tais como a cifragem;
b)O Responsável pelo Tratamento de Dados tiver tomado medidas subsequentes que assegurem que o elevado risco para os direitos e liberdades dos titulares dos dados a que se refere o n.º 1 já não é suscetível de se concretizar; ou
c)Implicar um esforço desproporcionado. Nesse caso, é feita uma comunicação pública ou tomada uma medida semelhante através da qual os titulares dos dados são informados de forma igualmente eficaz.
4 -Se a Câmara Municipal não tiver já comunicado a violação de dados pessoais ao titular dos dados, a Comissão Nacional de Proteção de Dados, tendo considerado a probabilidade de a violação de dados pessoais resultar num elevado risco, pode exigir-lhe que proceda a essa notificação ou pode constatar que se encontram preenchidas as condições referidas no n.º 3.
Secção IV
Direitos do titular dos dados
Artigo 24.º
Transparência das informações, das comunicações e das regras para exercício dos direitos dos titulares dos dados
1 -O Responsável pelo Tratamento de Dados toma as medidas adequadas para que a Câmara Municipal possa fornecer ao titular as informações a que se referem os artigos 25.º e 26.º e qualquer comunicação prevista nos artigos 23.º, 27.º, 29.º e 30.º a 3.º a respeito do tratamento, de forma concisa, transparente, inteligível e de fácil acesso, utilizando uma linguagem clara e simples, em especial quando as informações são dirigidas especificamente a crianças. As informações são prestadas por escrito ou por outros meios, incluindo, se for caso disso, por meios eletrónicos. Se o titular dos dados o solicitar, a informação pode ser prestada oralmente, desde que a identidade do titular seja comprovada por outros meios.
2 -A Câmara Municipal facilita o exercício dos direitos do titular dos dados nos termos dos artigos 27.º, 29.º e 30.º a 35.º, exceto se demonstrar que não está em condições de identificar o titular dos dados.
3 -A Câmara Municipal mediante informação do Responsável pelo Tratamento de Dados fornece ao titular as informações sobre as medidas tomadas, mediante pedido apresentado nos termos dos artigos 27.º e 30.º a 34.º sem demora injustificada e no prazo de um mês a contar da data de receção do pedido. Esse prazo pode ser prorrogado até dois meses, quando for necessário, tendo em conta a complexidade do pedido e o número de pedidos.
4 -A Câmara Municipal mediante informação do Responsável pelo Tratamento de Dados informa o titular dos dados de alguma prorrogação e dos motivos da demora no prazo de um mês a contar da data de receção do pedido. Se o titular dos dados apresentar o pedido por meios eletrónicos, a informação é, sempre que possível, fornecida por meios eletrónicos, salvo pedido em contrário do titular.
5 -Se a Câmara Municipal não der seguimento ao pedido apresentado pelo titular dos dados, informa-o sem demora e, o mais tardar, no prazo de um mês a contar da data de receção do pedido, das razões que levaram o Responsável pelo Tratamento de Dados a não tomar medidas e da possibilidade de apresentar reclamação a uma autoridade de controlo e intentar ação judicial.
6 -As informações fornecidas nos termos dos artigos 25.º e 26.º e quaisquer comunicações e medidas tomadas nos termos dos artigos 23.º, 27.º, 29.º e 30.º a 35.º são fornecidas a título gratuito.
7 -Se os pedidos apresentados por um titular de dados forem manifestamente infundados ou excessivos, nomeadamente devido ao seu caráter repetitivo, a Câmara Municipal pode:
a)Exigir o pagamento de uma taxa a fixar pela Assembleia Municipal do Corvo;
b)Recusar-se a dar seguimento ao pedido demonstrando o caráter manifestamente infundado ou excessivo do pedido.
8 -Quando a Câmara Municipal mediante informação do Responsável pelo Tratamento de Dados tiver dúvidas razoáveis quanto à identidade da pessoa singular que apresenta o pedido a que se refere o n.º 1 pode solicitar que lhe sejam fornecidas as informações adicionais que forem necessárias para confirmar a identidade do titular dos dados.
Secção V
Informação e acesso aos dados pessoais
Artigo 25.º
Informações a facultar quando os dados pessoais são recolhidos junto do titular
1 -Quando os dados pessoais forem recolhidos junto do titular, a Câmara Municipal, mediante informação do Responsável pelo Tratamento de Dados faculta-lhe, aquando da recolha desses dados pessoais, as seguintes informações:
a)A identidade e os contactos do Responsável pelo Tratamento de Dados;
b)Os contactos do encarregado da proteção de dados, se for caso disso;
c)As finalidades do tratamento a que os dados pessoais se destinam, bem como o fundamento jurídico para o tratamento;
d)Se o tratamento dos dados se basear no artigo 10.º, n.º 1, alínea f), os interesses legítimos do responsável pelo tratamento ou de um terceiro;
e)Os destinatários ou categorias de destinatários dos dados pessoais, se os houver.
2 -Para além das informações referidas no n.º 1, aquando da recolha dos dados pessoais, a Câmara Municipal, mediante informação do Responsável pelo Tratamento de Dados fornece ao titular as seguintes informações adicionais, necessárias para garantir um tratamento equitativo e transparente:
a)Prazo de conservação dos dados pessoais ou, se não for possível, os critérios usados para definir esse prazo;
b)A existência do direito de solicitar o acesso aos dados pessoais que lhe digam respeito, bem como a sua retificação ou o seu apagamento, e a limitação do tratamento no que disser respeito ao titular dos dados, ou do direito de se opor ao tratamento, bem como do direito à portabilidade dos dados;
c)Se o tratamento dos dados se basear no artigo 10.º n.º 1, alínea a), ou no artigo 13.º n.º 2, alínea a), a existência do direito de retirar consentimento em qualquer altura, sem comprometer a licitude do tratamento efetuado com base no consentimento previamente dado;
d)O direito de apresentar reclamação à Comissão Nacional de Proteção de Dados;
e)Se a comunicação de dados pessoais constitui ou não uma obrigação legal ou contratual, ou um requisito necessário para celebrar um contrato, bem como se o titular está obrigado a fornecer os dados pessoais e as eventuais consequências de não fornecer esses dados;
f)A existência de decisões automatizadas, incluindo a definição de perfis, e, pelo menos nesses casos, informações úteis relativas à lógica subjacente, bem como a importância e as consequências previstas de tal tratamento para o titular dos dados.
3 -Quando a Câmara Municipal, através do Responsável pelo Tratamento de Dados, tiver a intenção de proceder ao tratamento posterior dos dados pessoais para um fim que não seja aquele para o qual os dados tenham sido recolhidos, antes desse tratamento a Câmara Municipal, fornece ao titular dos dados informações sobre esse fim e quaisquer outras informações pertinentes, nos termos do n.º 2.
4 -Os n.os 1, 2 e 3 não se aplicam quando e na medida em que o titular dos dados já tiver conhecimento das informações.
Artigo 26.º
Informações a facultar quando os dados pessoais não são recolhidos junto do titular
1 -Quando os dados pessoais não forem recolhidos junto do titular, a Câmara Municipal, mediante informação do Responsável pelo Tratamento de Dados fornece-lhe as seguintes informações:
a)A identidade e os contactos do responsável pelo tratamento;
b)Os contactos do encarregado da proteção de dados, se for caso disso;
c)As finalidades do tratamento a que os dados pessoais se destinam, bem como o fundamento jurídico para o tratamento;
d)As categorias dos dados pessoais em questão;
e)Os destinatários ou categorias de destinatários dos dados pessoais, se os houver.
2 -Para além das informações referidas no n.º 1, a Câmara Municipal fornece ao titular as seguintes informações, necessárias para lhe garantir um tratamento equitativo e transparente:
a)Prazo de conservação dos dados pessoais ou, se não for possível, os critérios usados para fixar esse prazo;
b)Se o tratamento dos dados se basear no artigo 10.º, n.º 1, alínea f), os interesses legítimos do responsável pelo tratamento ou de um terceiro;
c)A existência do direito de solicitar o acesso aos dados pessoais que lhe digam respeito, e a retificação ou o apagamento, ou a limitação do tratamento no que disser respeito ao titular dos dados, e do direito de se opor ao tratamento, bem como do direito à portabilidade dos dados;
d)Se o tratamento dos dados se basear no artigo 10.º, n.º 1, alínea a) ou no artigo 13.º, n.º 2, alínea a), a existência do direito de retirar consentimento em qualquer altura, sem comprometer a licitude do tratamento efetuado com base no consentimento previamente dado;
e)O direito de apresentar reclamação à Comissão Nacional de Proteção de Dados;
f)A origem dos dados pessoais e, eventualmente, se provêm de fontes acessíveis ao público;
g)A existência de decisões automatizadas, incluindo a definição de perfis e, pelo menos nesses casos, informações úteis relativas à lógica subjacente, bem como a importância e as consequências previstas de tal tratamento para o titular dos dados.
3 -A Câmara Municipal, mediante informação do Responsável pelo Tratamento de Dados comunica as informações referidas nos n.os 1 e 2:
a)Num prazo razoável após a obtenção dos dados pessoais, mas o mais tardar no prazo de um mês, tendo em conta as circunstâncias específicas em que estes forem tratados;
b)Se os dados pessoais se destinarem a ser utilizados para fins de comunicação com o titular dos dados, o mais tardar no momento da primeira comunicação ao titular dos dados; ou
c)Se estiver prevista a divulgação dos dados pessoais a outro destinatário, o mais tardar aquando da primeira divulgação desses dados.
4 -Quando a Câmara Municipal, através do Responsável pelo Tratamento de Dados tiver a intenção de proceder ao tratamento posterior dos dados pessoais para um fim que não seja aquele para o qual os dados pessoais tenham sido obtidos, antes desse tratamento a Câmara Municipal, mediante informação do Responsável pelo Tratamento de Dados, fornece ao titular dos dados informações sobre esse fim e quaisquer outras informações pertinentes referidas no n.º 2.
5 -Os n.os 1 a 4 não se aplicam quando e na medida em que:
a)O titular dos dados já tenha conhecimento das informações;
b)Se comprove a impossibilidade de disponibilizar a informação ou que o esforço envolvido seja desproporcionado, nomeadamente para o tratamento para fins de arquivo de interesse público, para fins de investigação científica ou histórica ou para fins estatísticos, sob reserva das condições e garantias previstas no artigo 89.º, n.º 1 do RGPD, e na medida em que a obrigação referida no n.º 1 do presente artigo seja suscetível de tornar impossível ou prejudicar gravemente a obtenção dos objetivos desse tratamento. Nesses casos, o Responsável pelo Tratamento de Dados toma as medidas adequadas para defender os direitos, liberdades e interesses legítimos do titular dos dados, inclusive através da divulgação da informação ao público;
c)A obtenção ou divulgação dos dados esteja expressamente prevista em normativos legais ao qual o Município estiver sujeito, prevendo medidas adequadas para proteger os legítimos interesses do titular dos dados; ou
d)Os dados pessoais devam permanecer confidenciais em virtude de uma obrigação de sigilo profissional regulamentada por norma legal, inclusive uma obrigação legal de confidencialidade.
Artigo 27.º
Direito de acesso do titular dos dados
1 -O titular dos dados tem o direito de obter do Município a confirmação de que os dados pessoais que lhe digam respeito são ou não objeto de tratamento e, se for esse o caso, o direito de aceder aos seus dados pessoais e às seguintes informações:
a)As finalidades do tratamento dos dados;
b)As categorias dos dados pessoais em questão;
c)Os destinatários ou categorias de destinatários a quem os dados pessoais foram ou serão divulgados, nomeadamente os destinatários estabelecidos em países terceiros ou pertencentes a organizações internacionais;
d)Se for possível, o prazo previsto de conservação dos dados pessoais, ou, se não for possível, os critérios usados para fixar esse prazo;
e)A existência do direito de solicitar ao Município a retificação, o apagamento ou a limitação do tratamento dos dados pessoais no que diz respeito ao titular dos dados, ou do direito de se opor a esse tratamento;
f)O direito de apresentar reclamação à Comissão Nacional de Proteção de Dados;
g)Se os dados não tiverem sido recolhidos junto do titular, as informações disponíveis sobre a origem desses dados;
h)A existência de decisões automatizadas, incluindo a definição de perfis, e, pelo menos nesses casos, informações úteis relativas à lógica subjacente, bem como a importância e as consequências previstas de tal tratamento para o titular dos dados.
2 -A Câmara Municipal, mediante informação do Responsável pelo Tratamento de Dados, fornece uma cópia dos dados pessoais em fase de tratamento. Para fornecer outras cópias solicitadas pelo titular dos dados, a Câmara Municipal pode exigir o pagamento de uma taxa tendo em conta os custos administrativos. Se o titular dos dados apresentar o pedido por meios eletrónicos, e salvo pedido em contrário do titular dos dados, a informação é fornecida num formato eletrónico de uso corrente.
Artigo 28.º
Prazo de conservação de dados pessoais
1 -O prazo de conservação de dados pessoais é o que estiver fixado por norma legal ou regulamentar ou, na falta desta, o que se revele necessário para a prossecução da finalidade.
2 -Quando, pela natureza e finalidade do tratamento, designadamente para fins de arquivo de interesse público, fins de investigação científica ou histórica ou fins estatísticos, não seja possível determinar antecipadamente o momento em que o mesmo deixa de ser necessário, é lícita a conservação dos dados pessoais.
3 -Quando os dados pessoais sejam necessários para o Responsável pelo Tratamento de Dados, ou o subcontratante, comprovar o cumprimento de obrigações, os mesmos podem ser conservados enquanto não decorrer o prazo de prescrição dos direitos correspetivos.
4 -Quando cesse a finalidade que motivou o tratamento, inicial ou posterior, de dados pessoais, o Responsável pelo Tratamento de Dados deve proceder à sua destruição ou anonimização.
5 -Nos casos em que existe um prazo de conservação de dados imposto por lei, só pode ser exercido o direito ao apagamento previsto no artigo 31.º findo esse prazo.
Secção VI
Oposição, Retificação e apagamento
Artigo 29.º
Direito de oposição
1 -O titular dos dados tem o direito de se opor a qualquer momento, por motivos relacionados com a sua situação particular, ao tratamento dos dados pessoais que lhe digam respeito com base no artigo 10.º, n.º 1, alínea e) ou f), ou no artigo 10.º, n.º 4, incluindo a definição de perfis com base nessas disposições.
2 -A Câmara Municipal, através do Responsável pelo Tratamento de Dados cessa o tratamento dos dados pessoais, a não ser que apresente razões imperiosas e legítimas para esse tratamento que prevaleçam sobre os interesses, direitos e liberdades do titular dos dados, ou para efeitos de declaração, exercício ou defesa de um direito num processo judicial.
Artigo 30.º
Direito de retificação
O titular tem o direito de obter, sem demora injustificada, da Câmara Municipal a retificação dos dados pessoais inexatos que lhe digam respeito. Tendo em conta as finalidades do tratamento, o titular dos dados tem direito a que os seus dados pessoais incompletos sejam completados, incluindo por meio de uma declaração adicional.
Artigo 31.º
Direito ao apagamento dos dados
1 -O titular tem o direito de obter da Câmara Municipal o apagamento dos seus dados pessoais, sem demora injustificada, e esta tem a obrigação de apagar os dados pessoais, sem demora injustificada, quando se aplique um dos seguintes motivos:
a)Os dados pessoais deixaram de ser necessários para a finalidade que motivou a sua recolha ou tratamento;
b)O titular retira o consentimento em que se baseia o tratamento dos dados nos termos do artigo 10.º, n.º 1, alínea a) ou do artigo 13.º, n.º 2, alínea a) e se não existir outro fundamento jurídico para o referido tratamento;
c)O titular opõe-se ao tratamento nos termos do artigo 29.º e não existem interesses legítimos prevalecentes que justifiquem o tratamento;
d)Os dados pessoais foram tratados ilicitamente;
e)Os dados pessoais têm de ser apagados para o cumprimento de uma obrigação legal a que o Responsável pelo Tratamento de Dados esteja sujeito;
2 -Quando a Câmara Municipal tiver tornado públicos os dados pessoais e for obrigado a apagá-los nos termos do n.º 1, toma as medidas que forem razoáveis, incluindo de caráter técnico, tendo em consideração a tecnologia disponível e os custos da sua aplicação, para informar os responsáveis pelo tratamento efetivo dos dados pessoais de que o titular dos dados lhes solicitou o apagamento das ligações para esses dados pessoais, bem como das cópias ou reproduções dos mesmos.
3 -Os n.os 1 e 2 não se aplicam na medida em que o tratamento se revele necessário:
a)Ao exercício da liberdade de expressão e de informação;
b)Ao cumprimento de uma obrigação legal que exija o tratamento a que o responsável esteja sujeito, ao exercício de funções de interesse público ou ao exercício da autoridade pública de que esteja investido o Município;
c)Por motivos de interesse público no domínio da saúde pública, nos termos do artigo 13.º, n.º 2, alíneas h) e i), bem como do artigo 13.º, n.º 3;
d)Para fins de arquivo de interesse público, para fins de investigação científica ou histórica ou para fins estatísticos, nos termos do artigo 89.º, n.º 1 do RGPD na medida em que o direito referido no n.º 1 seja suscetível de tornar impossível ou prejudicar gravemente a obtenção dos objetivos desse tratamento; ou
e)Para efeitos de declaração, exercício ou defesa de um direito num processo judicial.
Artigo 32.º
Direito à limitação do tratamento
1 -O titular dos dados tem o direito de obter do Município a limitação do tratamento, se se aplicar uma das seguintes situações:
a)Contestar a exatidão dos dados pessoais, durante um período que permita ao Município verificar a sua exatidão;
b)O tratamento for ilícito e o titular dos dados se opuser ao apagamento dos dados pessoais e solicitar, em contrapartida, a limitação da sua utilização;
c)O Município já não precisar dos dados pessoais para fins de tratamento, mas esses dados sejam requeridos pelo titular para efeitos de declaração, exercício ou defesa de um direito num processo judicial;
d)Se tiver oposto ao tratamento nos termos do artigo 29.º, até se verificar que os motivos legítimos do Responsável pelo Tratamento de Dados prevalecem sobre os do titular dos dados.
2 -Quando o tratamento tiver sido limitado nos termos do n.º 1, os dados pessoais só podem, à exceção da conservação, ser objeto de tratamento com o consentimento do titular, ou para efeitos de declaração, exercício ou defesa de um direito num processo judicial, de defesa dos direitos de outra pessoa singular ou coletiva, ou por motivos ponderosos de interesse público.
3 -O titular que tiver obtido a limitação do tratamento nos termos do n.º 1 é informado pelo Município antes de ser anulada a limitação ao referido tratamento.
Artigo 33.º
Obrigação de notificação da retificação ou apagamento dos dados pessoais ou limitação do tratamento
O Município, mediante informação do Responsável pelo Tratamento de Dados, comunica a cada destinatário a quem os dados pessoais tenham sido transmitidos qualquer retificação ou apagamento dos dados pessoais ou limitação do tratamento a que se tenha procedido em conformidade com o artigo 30.º, o artigo 31.º, n.º 1 e o artigo 32.º, salvo se tal comunicação se revelar impossível ou implicar um esforço desproporcionado. Se o titular dos dados o solicitar, o Município fornece-lhe informações sobre os referidos destinatários.
Artigo 34.º
Direito de portabilidade dos dados
1 -O titular dos dados tem o direito de receber os dados pessoais que lhe digam respeito e que tenha fornecido a um responsável pelo tratamento de dados, num formato estruturado, de uso corrente e de leitura automática, e o direito de transmitir esses dados a outro responsável pelo tratamento de dados sem que o responsável a quem os dados pessoais foram fornecidos o possa impedir, se:
a)O tratamento se basear no consentimento dado nos termos do artigo 10.º, n.º 1, alínea a) ou do artigo 13.º, n.º 2, alínea a) ou num contrato referido no artigo 10.º, n.º 1, alínea b); e
b)O tratamento for realizado por meios automatizados.
2 -Ao exercer o seu direito de portabilidade dos dados nos termos do n.º 1, o titular dos dados tem o direito a que os dados pessoais sejam transmitidos diretamente entre os responsáveis pelo tratamento, sempre que tal seja tecnicamente possível.
3 -O exercício do direito a que se refere o n.º 1 do presente artigo aplica-se sem prejuízo do artigo 31.º Esse direito não se aplica ao tratamento necessário para o exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o Município.
4 -O direito a que se refere o n.º 1 não prejudica os direitos e as liberdades de terceiros.
Artigo 35.º
Decisões individuais automatizadas, incluindo definição de perfis
1 -O titular dos dados tem o direito de não ficar sujeito a nenhuma decisão tomada exclusivamente com base no tratamento automatizado, incluindo a definição de perfis, que produza efeitos na sua esfera jurídica ou que o afete significativamente de forma similar.
2 -O n.º 1 não se aplica se a decisão:
a)For necessária para a celebração ou a execução de um contrato entre o titular dos dados e um responsável pelo tratamento;
b)For autorizada por norma legal a que o Responsável pelo Tratamento de Dados estiver sujeito, e na qual estejam igualmente previstas medidas adequadas para salvaguardar os direitos e liberdades e os legítimos interesses do titular dos dados; ou
c)For baseada no consentimento explícito do titular dos dados.
3 -Nos casos a que se referem o n.º 2, alíneas a) e c), o Responsável pelo Tratamento de Dados aplica medidas adequadas para salvaguardar os direitos e liberdades e legítimos interesses do titular dos dados, designadamente o direito de, pelo menos, obter intervenção humana por parte do responsável, manifestar o seu ponto de vista e contestar a decisão.
4 -As decisões a que se refere o n.º 2 não se baseiam nas categorias especiais de dados pessoais a que se refere o artigo 9.º, n.º 1, a não ser que o n.º 2, alínea a) ou g) do mesmo artigo sejam aplicáveis e sejam aplicadas medidas adequadas para salvaguardar os direitos e liberdades e os legítimos interesses do titular.
CAPÍTULO IV
Disposições Finais
Artigo 36.º
Política de Proteção de Dados
O Município do Corvo deve elaborar e manter atualizado e disponível ao público na sua página oficial um documento sobre Política de Proteção de Dados.
Artigo 37.º
Responsabilidade
a)Incrementar um sistema permanente e dinâmico de verificação da conformidade com o RGPD;
b)Provar mediante evidências o respeito pelo RGPD;
c)Promover auditorias no âmbito de um controlo contínuo e sistemático para aferir da efetividade e eficácia das medidas implementadas, modificando-as, sempre que necessário em conformidade com o RGPD.
Artigo 38.º
Encarregado da Proteção de dados
1 -Nos termos da alínea a) do n.º 1 do artigo 37.º do RGPD a nomeação do Encarregado da Proteção de Dados é obrigatória para todos os organismos públicos.
2 -O Encarregado da Proteção de Dados é uma pessoa singular à qual é atribuída a tarefa e responsabilidade formal de assegurar que o Município está devidamente conforme com as regras de proteção de dados.
3 -As funções de DPO são exercidas com total independência, autonomia em relação à estrutura dos serviços, isenção, distanciamento e não subordinação à hierarquia municipal, não podendo o seu titular ser prejudicado, penalizado pelo exercício das mesmas, ou do teor dos pareceres que emite ou das iniciativas que desenvolve no âmbito das suas competências.
4 -O interlocutor direto do Encarregado da Proteção de Dados no Município do Corvo é o Responsável pelo Tratamento de Dados.
Artigo 39.º
Visita à página oficial do Município do Corvo
1 -A visita ao sítio web institucional da Câmara Municipal do Corvo é feita anonimamente.
2 -Quem acede apenas deve fornecer os dados pessoais necessários para a prestação do serviço solicitado, nomeadamente para ser capaz de aceder a qualquer um dos serviços no sítio que possuam gestão de processos específicos dependentes do utilizador.
3 -Os dados referidos no número anterior serão incorporados nos arquivos correspondentes na Câmara Municipal do Corvo, serão tratados em conformidade com o regulamento e apenas serão objeto de transferência, sempre que apropriado, com o consentimento da pessoa em questão ou em conformidade com a referida ao RGPD.
4 -As pessoas cujos dados pessoais estejam contidos nos ficheiros da Câmara Municipal do Corvo, podem exercer os seus direitos de acesso, retificação, cancelamento e oposição, na forma prevista pela lei, antes do envio para o arquivo.
Artigo 40.º
Controlo e supervisão
1 -No respeito pelos limites legais, o Município reserva-se o direito de controlar e supervisionar, sem prévio aviso, o correto e lícito uso dos recursos e dispositivos do Município por parte dos Utilizadores e, em concreto, o cumprimento do presente regulamento, prevenindo atividades que possam afetar o Município.
2 -Qualquer infração às normas previstas no presente regulamento, será punida nos termos legais.
Artigo 41.º
Responsabilidades
1 -Caso o Município se veja obrigado a ressarcir um terceiro pelos danos causados por um utilizador, ou pelo Responsável pelo Tratamento de Dados, o Município terá direito de regresso sobre o mesmo.
2 -O disposto no número anterior não prejudica a aplicação de sanções disciplinares.
Artigo 42.º
Entrada em Vigor
O presente regulamento interno entra em vigor no primeiro dia útil a seguir à aprovação pela Câmara Municipal.