RegulamentoSem vigência

Regulamento n.º 853/2018

Artigo 2.º

Âmbito

O Regulamento Interno de Proteção de Dados Pessoais do IPB estabelece o conjunto de medidas com vista ao cumprimento das regras de proteção, segurança e integridade de dados pessoais, estabelecidas no Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (RGPD), a aplicar aos Serviços Centrais do IPB, Unidades Orgânicas autónomas e Serviços de Ação Social.

Artigo 3.º

Definições

1 -, (doravante "dados") informação relativa a uma pessoa singular identificada ou identificável («titular dos dados»); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;

2 -, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;

3 -, o tratamento de dados pessoais de forma que deixem de poder ser atribuídos a um titular de dados específico sem recorrer a informações suplementares, desde que essas informações suplementares sejam mantidas separadamente e sujeitas a medidas técnicas e organizativas para assegurar que os dados pessoais não possam ser atribuídos a uma pessoa singular identificada ou identificável;

4 -, a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais; sempre que as finalidades e os meios desse tratamento sejam determinados pelo direito da União ou de um Estado-Membro, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser previstos pelo direito da União ou de um Estado-Membro;

5 -, uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que trate os dados pessoais por conta do responsável pelo tratamento destes;

6 -, a pessoa singular ou coletiva, a autoridade pública, o serviço ou organismo que não seja o titular dos dados pessoais, o responsável pelo tratamento, o subcontratante e as pessoas que, sob a autoridade direta do responsável pelo tratamento ou do subcontratante, estão autorizadas a tratar os dados pessoais;

7 -do titular dos dados pessoais, uma manifestação de vontade, livre, específica, informada e explícita, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento;

8 -, uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento;

9 -, dados pessoais resultantes de um tratamento técnico específico relativo às características físicas, fisiológicas ou comportamentais de uma pessoa singular que permitam ou confirmem a identificação única dessa pessoa singular, nomeadamente imagens faciais ou dados dactiloscópicos;

10 -, dados pessoais relacionados com a saúde física ou mental de uma pessoa singular, incluindo a prestação de serviços de saúde, que revelem informações sobre o seu estado de saúde;

11 -, inclui (mas não se limita a): estudantes, colaboradores e ex-colaboradores, trabalhadores, bolseiros, parceiros, candidatos a um emprego, fornecedores e prestadores de serviços, requerentes e reclamantes, e todas aquelas pessoas individuais que forneçam dados pessoais ao IPB e a quem os dados pessoais dizem respeito.

12 -, Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.

Artigo 4.º

Princípios Gerais

a)Objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados (princípio da licitude, lealdade e transparência);

b)Recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades; o tratamento posterior para fins de arquivo de interesse público, ou para fins de investigação científica ou histórica ou para fins estatísticos, não é considerado incompatível com as finalidades iniciais, em conformidade com o artigo 89.º n.º 1 do RGPD (princípio da limitação das finalidades);

c)Adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados (princípio da minimização dos dados);

d)Exatos e atualizados sempre que necessário; devem ser adotadas todas as medidas adequadas para que os dados inexatos, tendo em conta as finalidades para que são tratados, sejam apagados ou retificados sem demora (princípio da exatidão);

e)Conservados de uma forma que permita a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados; os dados pessoais podem ser conservados durante períodos mais longos, desde que sejam tratados exclusivamente para fins de arquivo de interesse público, ou para fins de investigação científica ou histórica ou para fins estatísticos, em conformidade com o artigo 89.º n.º 1 do RGPD, sujeitos à aplicação das medidas técnicas e organizativas adequadas exigidas pelo Regulamento, a fim de salvaguardar os direitos e liberdades do titular dos dados (princípio da limitação da conservação);

f)Tratados de uma forma que garanta a sua segurança, incluindo a proteção contra o seu tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidental, adotando as medidas técnicas ou organizativas adequadas (princípio da integridade e confidencialidade).

Artigo 5.º

Licitude do tratamento

a)Tiver obtido o consentimento livre, específico, informado e explícito do titular para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas;

b)O tratamento for necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré-contratuais a pedido do titular dos dados;

c)O tratamento for necessário para o cumprimento de uma obrigação jurídica a que o IPB esteja sujeito;

d)O tratamento for necessário para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular;

e)O tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o IPB;

f)O tratamento for necessário para efeito dos interesses legítimos prosseguidos pelo IPB ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for uma criança.

Artigo 6.º

Exercício dos Direitos conferidos pelo RGPD

1 -O titular dos dados tem o direito de obter informações claras, transparentes, inteligíveis e de fácil acesso, utilizando uma linguagem clara e simples, sobre como é que o IPB utiliza os seus dados e quais são os seus direitos. O IPB poderá, contudo, recusar a prestação da informação solicitada sempre que, para o fazer, tenha de revelar dados de outra pessoa ou se a informação solicitada prejudicar os direitos de outra pessoa.

2 -O titular dos dados tem o direito de obter do responsável pelo tratamento a confirmação de que os dados pessoais que lhe digam respeito são ou não objeto de tratamento e, se for esse o caso, o direito de aceder aos seus dados pessoais e às seguintes informações:

a)As finalidades do tratamento dos dados;

b)As categorias dos dados pessoais em questão;

c)Os destinatários ou categorias de destinatários a quem os dados pessoais foram ou serão divulgados, nomeadamente os destinatários estabelecidos em países terceiros ou pertencentes a organizações internacionais;

d)Se for possível, o prazo previsto de conservação dos dados pessoais, ou, se não for possível, os critérios usados para fixar esse prazo;

e)A existência do direito de solicitar ao responsável pelo tratamento a retificação, o apagamento ou a limitação do tratamento dos dados pessoais no que diz respeito ao titular dos dados, ou do direito de se opor a esse tratamento;

f)A possibilidade de apresentar reclamação a uma autoridade de controlo;

g)Se os dados não tiverem sido recolhidos junto do titular, as informações disponíveis sobre a origem desses dados;

h)A existência de decisões automatizadas.

3 -O titular pode solicitar:

a)O apagamento dos seus dados, desde que não existam fundamentos válidos para que o IPB os conserve ou continue a usá-los ou, quando, o seu uso seja ilícito;

b)A tomada de medidas razoáveis para corrigir os seus dados que estejam incorretos ou incompletos.

4 -O titular dos dados tem o direito de obter do responsável pelo tratamento a limitação do tratamento, se se aplicar uma das seguintes situações:

a)Pretende contestar a exatidão dos dados pessoais, durante um período que permita ao responsável pelo tratamento verificar a sua exatidão;

b)O tratamento for ilícito e o titular dos dados se opuser ao apagamento dos dados pessoais e solicitar, em contrapartida, a limitação da sua utilização;

c)O responsável pelo tratamento já não precisar dos dados pessoais para fins de tratamento, mas esses dados sejam requeridos pelo titular para efeitos de declaração, exercício ou defesa de um direito num processo judicial;

d)Se tiver oposto ao tratamento, até se verificar que os motivos legítimos do responsável pelo tratamento prevalecem sobre os do titular dos dados.

5 -O responsável pelo tratamento comunica a cada destinatário a quem os dados pessoais tenham sido transmitidos qualquer retificação ou apagamento dos dados pessoais ou limitação do tratamento a que se tenha procedido.

6 -O titular dos dados tem o direito de receber os dados pessoais que lhe digam respeito e que tenha fornecido a um responsável pelo tratamento, num formato estruturado, de uso corrente e de leitura automática, e o direito de transmitir esses dados a outro responsável pelo tratamento sem que o responsável a quem os dados pessoais foram fornecidos o possa impedir, se:

a)O tratamento se basear no consentimento; e

b)O tratamento for realizado por meios automatizados.

7 -O titular tem o direito de se opor a determinados tipos de tratamento, por motivos relacionados com a sua situação particular, a qualquer altura em que decorra esse tratamento, nos termos do artigo 21.º do RGPD.

8 -O titular dos dados tem direito a ser informado sobre qualquer violação de dados pessoais e apresentar queixa à autoridade de controlo, no caso, a Comissão Nacional de Proteção de Dados, cujos contactos se encontram disponíveis em www.cnpd.pt.

9 -O exercício dos direitos é efetuado mediante comunicação dirigida ao Encarregado de Proteção de Dados, nos termos do artigo 7.º

Artigo 7.º

Responsabilidade

O responsável pelo tratamento dos dados é o IPB.

Artigo 8.º

Encarregado de Proteção de Dados

1 -O IPB designa um Encarregado de Proteção de Dados, a quem compete:

a)Informar e aconselhar o IPB, bem como os trabalhadores que tratem os dados, a respeito das suas obrigações nos termos do RGPD e de outras disposições em matéria de proteção de dados;

b)Controlar a conformidade com o RGPD, com outras disposições de proteção de dados e com as políticas do IPB relativas à proteção de dados pessoais, incluindo a repartição de responsabilidades, a sensibilização e formação do pessoal implicado nas operações de tratamento de dados, e as auditorias correspondentes;

c)Prestar aconselhamento, quando tal lhe for solicitado, no que respeita à avaliação de impacto sobre a proteção de dados e controlar a sua realização;

d)Cooperar com a autoridade de controlo;

e)Ser um ponto de contacto para a autoridade de controlo sobre questões relacionadas com o tratamento, incluindo a consulta prévia, e consultar, sendo caso disso, esta autoridade sobre qualquer outro assunto.

2 -O IPB assegura que o Encarregado de Proteção de Dados seja envolvido, de forma adequada e em tempo útil, a todas as questões relacionadas com a proteção de dados pessoais, fornecendo-lhe os recursos necessários ao desempenho dessas funções e à manutenção dos seus conhecimentos, bem como dando-lhe acesso aos dados pessoais e às operações de tratamento.

3 -O Encarregado da Proteção de Dados está vinculado à obrigação de sigilo ou de confidencialidade no exercício das suas funções.

4 -O IPB garante que o Encarregado de Proteção de Dados desempenha as suas funções com independência, não lhe atribuindo funções que possam culminar num conflito de interesses.

5 -O Encarregado de Proteção de Dados do IPB pode ser contactado, para esclarecimentos e exercício dos direitos conferidos, através do endereço de e-mail: [email protected].

Artigo 9.º

Categorias de Dados

1 -Os dados que o IPB recolhe e trata dependem sempre da natureza da interação, mas podem incluir:

a)Dados pessoais de estudantes;

b)Dados pessoais de trabalhadores e bolseiros;

c)Dados pessoais de candidatos a concursos de recrutamento de pessoal docente e não docente;

d)Contactos para partilha de eventos no IPB;

e)Dados pessoais de clientes ou fornecedores do IPB no âmbito de prestação de serviços;

f)Dados pessoais no âmbito de estudos e projetos de I&D.

2 -Os dados concretos destas categorias de dados são identificados nos termos do artigo 14.º

Artigo 10.º

Finalidades do Tratamento de Dados

1 -O desenvolvimento e a realização das atividades por parte do IPB significam a existência de um conjunto de grupos de finalidades específicas, explícitas e legítimas para o Tratamento de Dados, tais como:

a)Gestão Académica;

b)Gestão Administrativa, Contabilística e Fiscal;

c)Gestão de controlo de acessos;

d)Gestão de Recursos Humanos;

e)Gestão de Comunicações Eletrónicas;

f)Cumprimento de Obrigações Legais;

g)Divulgação de eventos no IPB;

h)Gestão da prestação de serviços;

j)Prossecução das atribuições dos Serviços de Ação Social, nomeadamente, atribuições de bolsas de estudo e promoção do desenvolvimento, bem-estar e saúde.

2 -A título meramente exemplificativo e não exaustivo, identificam-se como integrantes nos grupos de finalidades referidos no número anterior:

a)Preenchimento da ficha do aluno, registo de assiduidade, notas de exames e trabalhos;

b)Celebração e execução do Contrato de Trabalho;

c)Processamento salarial, no qual se incluem pagamentos, descontos e retenções na fonte de impostos e contribuições a que o Empregador esteja obrigado ou que lhe sejam permitidos por lei;

d)Cumprimento das obrigações de saúde e segurança no trabalho do IPB;

e)Cumprimento dos deveres de comunicação no âmbito de acidentes de trabalho;

f)Formação profissional e avaliação de desempenho dos trabalhadores;

g)Processos disciplinares dos trabalhadores;

h)Controlo de assiduidade e pontualidade;

j)Cumprimento de outros normativos legais aplicáveis ao IPB ou de decisão judicial de que esta seja notificada.

3 -As finalidades especificas correspondentes a cada categoria de dados serão identificadas em concreto nos termos do artigo 14.º

Artigo 11.º

Prazo de conservação dos Dados

1 -O IPB conserva os dados apenas pelo intervalo de tempo necessário à execução das finalidades específicas para as quais foram recolhidos. No entanto, o IPB pode ser obrigado a conservar alguns dados por um período mais longo, de modo a respeitar, designadamente:

a)Obrigações legais, ao abrigo das leis em vigor, de conservação de dados por períodos predefinidos;

b)Prazos de prescrição, ao abrigo das leis em vigor;

c)Obrigações perante entidades terceiras financiadoras;

d)A resolução definitiva de quaisquer eventuais litígios;

e)Orientações emitidas pelas autoridades de proteção de dados competentes.

2 -Nas políticas de proteção de dados a aprovar para cada serviço com relevância nesta matéria, serão indicados os prazos de conservação para cada categoria de dados.

3 -Os prazos de conservação dos dados são definidos, com as garantias referidas, em concreto nos termos do artigo 14.º

Artigo 12.º

Partilha de Dados Pessoais

1 -O IPB, no âmbito da sua atividade, poderá partilhar os dados pessoais com entidades terceiras, designadamente:

a)Os dados podem ser partilhados para gestão de contencioso;

b)Os dados podem ser partilhados com empresas prestadoras de serviços ao IPB exclusivamente para os fins especificamente estabelecidos, estando estas contratualmente proibidas de tratar os Dados, direta ou indiretamente, para qualquer outra finalidade, em proveito próprio ou de terceiros. A título meramente exemplificativo, identificam-se as seguintes funções desempenhadas por entidades contratadas:

c)A pedido do respetivo titular e/ou com o seu consentimento, os dados poderão ser partilhados com outras entidades identificadas pelo titular;

d)Em cumprimento de obrigações legais e/ou contratuais, os dados poderão ser transmitidos a autoridades judiciais, administrativas e ainda a entidades que realizem, licitamente, ações de compilação de dados; a título meramente exemplificativo e não exaustivo, identificam-se as seguintes entidades:

e)Em cumprimento de obrigações legais e/ou contratuais, os dados poderão também ser transmitidos a entidades financiadoras de projetos nacionais, comunitárias ou internacionais; a título meramente exemplificativo e não exaustivo, identificam-se as seguintes entidades:

2 -De uma forma geral os dados podem ser transferidos para entidades reguladoras, autoridades administrativas e outras entidades terceiras, se tal for exigido por lei ou decorrer de decisão judicial.

Artigo 13.º

Subcontratantes

1 -O IPB recorre apenas a subcontratantes que apresentem garantias suficientes de execução de medidas técnicas e organizativas adequadas de forma a que o tratamento satisfaça os requisitos do RGPD e assegure a defesa dos direitos do titular dos dados.

2 -O tratamento em subcontratação é regulado por contrato ou outro ato normativo, que vincule o subcontratante ao IPB, estabeleça o objeto e a duração do tratamento, a natureza e finalidade do tratamento, o tipo de dados pessoais e as categorias dos titulares dos dados, e as obrigações e direitos do responsável pelo tratamento. Esse contrato ou outro ato normativo estipulam, designadamente, que o subcontratante:

a)Trata os dados pessoais apenas mediante instruções documentadas pelo IPB, incluindo no que respeita às transferências de dados para países terceiros ou organizações internacionais, a menos que seja obrigado a fazê-lo pelo direito da União ou do Estado-Membro a que está sujeito, informando nesse caso o IPB desse requisito jurídico antes do tratamento, salvo se a lei proibir tal informação por motivos importantes de interesse público;

b)Assegura que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade;

c)Adota todas as medidas exigidas nos termos do artigo 32.º do RGPD;

d)Respeita as condições do RGPD para contratar outro subcontratante;

e)Toma em conta a natureza do tratamento, e na medida do possível, presta assistência ao IPB através de medidas técnicas e organizativas adequadas, para permitir que este cumpra a sua obrigação de dar resposta aos pedidos dos titulares dos dados;

f)Presta assistência ao IPB no sentido de assegurar o cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD, tendo em conta a natureza do tratamento e a informação ao dispor do subcontratante;

g)Consoante a escolha do IPB, apaga ou devolve-lhe todos os dados pessoais depois de concluída a prestação de serviços relacionados com o tratamento, apagando as cópias existentes, a menos que a conservação dos dados seja exigida ao abrigo do direito da União ou dos Estados-Membros;

h)Disponibiliza ao responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no presente artigo e facilita e contribui para as auditorias, inclusive as inspeções, conduzidas pelo responsável pelo tratamento ou por outro auditor por este mandatado.

Artigo 14.º

Confidencialidade

No âmbito da sua atividade, o IPB não vende, aluga, distribui, nem disponibiliza comercialmente ou de outra forma os dados pessoais a nenhuma entidade terceira, exceto nos casos em que necessita de partilhar tal informação com entidades prestadoras de serviços para os fins estabelecidos no presente Regulamento ou com Terceiros para a finalidade de cumprimento das suas obrigações legais, assim com os órgãos de tutela no âmbito das suas atribuições.

Artigo 15.º

Aprovação de orientações práticas

O IPB compromete-se a aprovar orientações práticas necessárias a garantir a conformidade dos diferentes serviços com o RGPD, atendendo às especificidades respetivas, definindo em concreto para cada área quais as categorias de dados tratadas, as finalidades de tratamento, os prazos de conservação, assim como as medidas organizativas adequadas.

Artigo 16.º

Disposições finais

1 -O Regulamento entra em vigor no dia seguinte ao da sua publicação.

2 -Os casos omissos serão resolvidos por decisão do Presidente do IPB, ouvido o Encarregado de Proteção de Dados. 21 de novembro de 2018. - O Presidente do IPB, Prof. Doutor Orlando Isidoro Afonso Rodrigues. 311842438