Regulamento

Regulamento n.º 472/2024

Aprova o Regulamento Municipal Relativo à Recolha, Tratamento e Livre Circulação de Dados Pessoais no Município do Entroncamento.

Capítulo I - DISPOSIÇÕES GERAIS

Artigo 1.º

Lei habilitante

O presente Regulamento tem por normas habilitantes as disposições conjugadas do n.º 7, do artigo 112.º e artigo 241.º, da Constituição da República Portuguesa, bem como o disposto nos n.os 1 e 2 do artigo 23.º, na alínea g), do n.º 1, do artigo 25.º e na alínea k), do n.º 1 do artigo 33.º, do Anexo I à Lei n.º 75/2013, de 12 de setembro, na redação em vigor, do n.º 2 do artigo 40.º do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE, de 24 de outubro de 1995 (Regulamento Geral sobre a Proteção de Dados) e a Lei n.º 58/2019, de 8 de agosto.

Artigo 2.º

Objeto

O presente Regulamento tem por objeto a elaboração de normas jurídicas destinadas a disciplinar a recolha e tratamento de dados pessoais e a livre circulação desses dados por parte do Município de Entroncamento, tendo em conta os direitos e os legítimos interesses dos titulares dos dados e de terceiros, em conformidade com o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, Regulamento Geral de Proteção de Dados, adiante designado por RGPD, bem como da legislação nacional aplicável e orientações das autoridades de controlo.

Artigo 3.º

Âmbito de aplicação

O presente Regulamento aplica-se ao tratamento de dados pessoais realizados pelo Município do Entroncamento, nos quais se inclui o tratamento de dados de munícipes do concelho, de cidadãos portugueses que residam no estrangeiro ou de estrangeiros que se encontrem em território português, que tenham fornecido os seus dados pessoais em virtude de qualquer procedimento efetuado junto deste Município.

Artigo 4.º

Definições

Para efeitos do presente Regulamento, e de acordo com o RPDP, entende-se por:

a)"Dados pessoais", informação relativa a uma pessoa singular identificada ou identificável (titular dos dados); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular.
b)"Tratamento", uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição.
c)"Responsável pelo tratamento", a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais; sempre que as finalidades e os meios desse tratamento sejam determinados pelo direito da União ou de um Estado-Membro, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser previstos pelo direito da União ou de um Estado-Membro.
d)"Consentimento do titular dos dados" uma manifestação de vontade, livre, específica, informada e explícita, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento.
e)"Avaliação de impacto sobre a proteção de dados", um processo concebido para descrever o tratamento, avaliar a necessidade e proporcionalidade desse tratamento e ajudar a gerir os riscos para os direitos e liberdades das pessoas singulares decorrentes do tratamento dos dados pessoais avaliando-os e determinando as medidas necessárias para fazer face a esses riscos.

Artigo 5.º

Princípios base

1 -Os princípios base do RGPD e do presente Regulamento, são o Princípio da Licitude, Lealdade e Transparência, o Princípio da Limitação das Finalidades, o Princípio da Minimização dos Dados, o Princípio da Exatidão, o Princípio da Limitação da Conservação, o Princípio da Integridade e Confidencialidade e o Princípio da Responsabilidade dos Operacionais do Tratamento de Dados Pessoais.
2 -No que se reporta aos princípios acima mencionados, entende-se o seguinte:
1. a)Por Princípio da Licitude, Lealdade e Transparência, o tratamento de dados pessoais deve ser objeto de tratamento lícito, leal e transparente, com respeito pelos direitos do titular dos direitos de personalidade;
2. b)Por Princípio da Limitação das Finalidades, a recolha de dados pessoais deve ser determinada a uma finalidade específica e essa, além de legítima deve ser explícita, clara e legitima, não podendo ser objeto de ulterior tratamento de forma contraditória ou incompatível com as finalidades iniciais;
  1. i)O tratamento posterior de dados para fins de arquivo de interesse público, de investigação científica ou histórica, bem como para fins estatísticos não se considera incompatível com as finalidades iniciais e com o princípio referido na alínea anterior;
3. c)Por Princípio da Minimização de Dados, os dados pessoais devem ser os adequados, pertinentes e restritos ao que seja necessário para o fim em vista, não podendo ser feito o seu tratamento quando a finalidade subjacente possa ser alcançada por outros meios;
4. d)Por Princípio da Exatidão, os dados pessoais devem ser exatos e atualizados sempre que necessário e quando estejam inexatos devem os mesmos ser eliminados ou corrigidos, utilizando para tal todas as medidas adequadas;
5. e)Por Princípio da Limitação da Conservação, os dados pessoais devem ser conservados de molde que a identificação do titular de dados seja clara, inequívoca e somente durante o tempo necessário para a concretização da finalidade para as quais os dados pessoais foram recolhidos;
  1. i)Os dados pessoais podem ser conservados durante períodos mais longos do que os exclusivamente necessários à prossecução da respetiva finalidade, desde que sejam tratados exclusivamente para fins de arquivo de interesse público, ou para fins de investigação científica ou histórica, bem como para fins estatísticos;
6. f)Por Princípio da Integridade e Confidencialidade, os dados pessoais devem ser tratados de forma segura, incluindo todas as medidas organizacionais ou tecnicamente adequadas, que os protejam de tratamento não autorizado ou ilícito, de destruição ou danificação acidental ou deliberada;
7. g)Por Princípio da Responsabilidade, incumbe ao responsável pelo tratamento de dados pessoais o cumprimento dos princípios insertos no presente artigo, bem como pelas normas constantes do RGPD, na legislação nacional, e no presente Regulamento.

Artigo 6.º

Direitos dos titulares dos dados pessoais

1 -De acordo com o disposto no RGPD os titulares dos dados pessoais têm direito a:
1. a)Direito à informação, quando os dados são recolhidos, ou caso a recolha dos dados não seja feita diretamente junto deste, logo que os dados sejam tratados o titular dos dados, tem o direito de ser informado sobre:
  1. i)A identidade e o contacto do responsável pelo tratamento dos dados, bem como do encarregado de proteção de dados.
  2. ii)A finalidade do tratamento e o prazo de conservação a que dados pessoais se destinam, bem como o fundamento jurídico para o tratamento dos seus dados;
  3. iii)A quem podem ser comunicados e/ou transmitidos os seus dados;
  4. iv)Quais as condições em que pode aceder e retificar os seus dados;
  5. v)Quais os dados que tem que fornecer obrigatoriamente e quais são opcionais;
2. b)Direito de acesso - o titular dos dados pessoais tem o direito de aceder aos dados que sejam registados sobre si, sem restrições e sem demoras, bem como saber quaisquer informações disponíveis sobre a origem desses dados.
  O exercício do direito de acesso deve ser feito pelo titular dos dados mediante, tendo o direito de obter uma cópia dos dados num formato acessível, desde que não prejudique os direitos e as liberdades de terceiro.
3. c)Direito à portabilidade e à interoperabilidade dos dados, quando o tratamento de dados pessoais se realize por meios automatizados e se basear no consentimento prévio do titular dos dados ou na necessidade de cumprimento de uma obrigação contratual, o titular dos dados pessoais tem o direito a:
  1. i)Receber os seus dados pessoais que foram objeto de tratamento de forma estruturada, em formato aberto ou através de interoperabilidade de sistemas, sempre que seja tecnicamente possível;
  2. ii)Transmitir esses dados a outro responsável por tratamento de dados, sem que o responsável pelo tratamento do Município se possa opor, e desde que o mesmo não prejudique os direitos e as liberdades de terceiros.
4. d)Direito de retificação - o titular dos dados pessoais tem o direito a solicitar ao responsável pelo tratamento dos dados a retificação dos dados pessoais inexatos que lhe digam respeito.
5. e)Direito à oposição, o titular dos dados pessoais tem o direito de se opor, a seu pedido e gratuitamente, ao tratamento dos seus dados pessoais, nos seguintes casos:
  1. i)Para efeitos de publicidade direta ou de qualquer outra forma de prospeção, sem o seu prévio consentimento;
  2. ii)Que sejam comunicados a terceiros, salvo disposição legal em contrário;
  3. iii)A que os seus dados, nalguns casos previstos na lei, não sejam objeto de tratamento, por razões ponderosas e legítimas relacionadas com a sua situação particular.
6. f)Direito ao apagamento e à eliminação (“direito a ser esquecido”), o titular dos dados pessoais tem o direito de exigir que os seus dados sejam eliminados, dos ficheiros de endereços utilizados para efeitos de publicidade.
7. g)Direito à limitação do tratamento, o titular dos dados pode exigir junto do responsável pelo tratamento que este seja limitado a determinados dados, nas seguintes situações:
  1. i)Contestar a exatidão dos dados pessoais, durante um período que permita ao responsável pelo tratamento verificar a sua exatidão;
  2. ii)O tratamento for ilícito e o titular dos dados se opuser ao apagamento dos dados pessoais e solicitar, em contrapartida, a limitação da sua utilização;
  3. iii)O responsável pelo tratamento já não precisar dos dados pessoais para fins de tratamento, mas esses dados sejam requeridos pelo titular para efeitos de declaração, exercício ou defesa de um direito num processo judicial;
  4. iv)Se tiver oposto ao tratamento nos termos do exercício do direito à oposição, até se verificar que os motivos legítimos do responsável pelo tratamento prevalecem sobre os do titular dos dados.
2 -O exercício dos direitos supramencionados é efetuado mediante requerimento, dirigido ao responsável pelo tratamento dos dados.
3 -Os direitos de informação e de acesso a dados pessoais não podem ser exercidos quando a lei imponha ao responsável pelo tratamento ou subcontratante um dever de segredo que seja oponível ao próprio titular dos dados, podendo o titular dos dados solicitar à Comissão Nacional de Proteção de Dados (CNPD) a emissão de parecer quanto à oponibilidade do dever de segredo.

Artigo 7.º

Deveres Gerais dos Titulares dos Dados

1 -Os titulares dos dados devem exercer os seus direitos com respeito dos princípios da boa-fé, prestando informações adequadas, claras, corretas e precisas ao responsável pelo tratamento de dados, por forma a viabilizar um tratamento lícito, leal e transparente dos dados pessoais.
2 -A prestação de dados falsos ao Município, sem prejuízo da ponderação penal que possa ocorrer, é sancionável nos termos do presente regulamento.

Artigo 8.º

Portabilidade e interoperabilidade dos dados

1 -O direito de portabilidade dos dados, previsto no artigo 20.º do RGPD, abrange apenas os dados fornecidos pelos respetivos titulares.
2 -A portabilidade dos dados deve, sempre que possível, ter lugar em formato aberto.
3 -No âmbito da Administração Pública, sempre que a interoperabilidade dos dados não seja tecnicamente possível, o titular dos dados tem o direito de exigir que os mesmos lhe sejam entregues num formato digital aberto, de acordo com o Regulamento Nacional de Interoperabilidade Digital em vigor.

Artigo 9.º

Consentimento

1 -O consentimento dado pelo titular dos dados deve ser sempre dado de forma escrita, expressa, livre, específica e informada e deve mencionar qual tratamento realizado sobre os dados, qual a finalidade, se existe partilha ou transferência dessa informação com outras entidades e qual o prazo de conservação.
2 -O consentimento deverá abranger todas as atividades de tratamento realizadas com a mesma finalidade.
3 -Quando o tratamento dos dados for realizado com base no consentimento, o responsável pelo tratamento tem de conseguir demonstrar que tem o consentimento do titular dos dados para o tratamento dos seus dados pessoais.
4 -O titular dos dados tem o direito de retirar o seu consentimento a qualquer momento, não comprometendo a licitude do tratamento efetuado com base no consentimento previamente dado.
5 -O consentimento dado tem de ser tão fácil de retirar quanto foi de o dar.

Capítulo II - RESPONSÁVEL PELO TRATAMENTO DE DADOS

Artigo 10.º

Responsável pelo tratamento de dados pessoais

No Município de Entroncamento, o Responsável pelo Tratamento dos Dados Pessoais é o Presidente da Câmara Municipal, o qual, nos termos da lei, representa o Município em juízo e fora dele, sem prejuízo do poder de delegação de competências.

Artigo 11.º

Competências do responsável pelo tratamento de dados pessoais

1 -Sem prejuízo das demais competências constantes no RGPD, ao responsável pelo tratamento de dados, compete:
1. a)Aplicar as medidas técnicas e organizativas que forem adequadas para assegurar que, por defeito, só sejam tratados os dados pessoais que forem necessários para cada finalidade especifica do tratamento, de forma a poder comprovar que o tratamento é realizado em conformidade com o RGPD, legislação nacional e o presente Regulamento. Essas medidas são revistas e atualizadas consoante as necessidades.
2. b)Comunicar à autoridade de controlo as violações dos dados pessoais que lhe sejam comunicadas pelo Encarregado de Proteção de Dados, nos termos do artigo 29.º do presente Regulamento.
3. c)Comunicar ao titular dos dados pessoais, sem demora injustificada, a violação destes, se a mesma for suscetível de implicar um elevado risco para os seus direitos e liberdades, nos termos do artigo 30.º deste Regulamento, exceto quando se verifique um dos seguintes casos:
  1. i)O responsável pelo tratamento tiver aplicado medidas de proteção adequadas, tanto técnicas como organizativas, nomeadamente medidas que tornem os dados pessoais incompreensíveis para qualquer pessoa não autorizada a aceder a esses dados, tais como a cifragem;
  2. i)O responsável pelo tratamento tiver tomado medidas subsequentes que assegurem que o elevado risco para os direitos e liberdades dos titulares dos dados a que se refere a alínea c) já não for suscetível de se concretizar;
  3. ii)Ou implicar um esforço desproporcionado. Nesse caso, é feita uma comunicação pública ou tomada uma medida semelhante através da qual os titulares dos dados são informados de forma igualmente eficaz.
4. d)Apoiar o Encarregado de Proteção de dados no exercício das suas funções, fornecendo-lhe os recursos necessários ao desempenho dessas funções e à manutenção dos seus conhecimentos, bem como dando-lhe acesso aos dados pessoais e às operações de tratamento.

Artigo 12.º

Responsabilidade dos dirigentes e/ou responsáveis das unidades orgânicas

1 -Todos os dirigentes da Câmara Municipal e/ou responsáveis por unidades orgânicas devem identificar as diferentes atividades que são desenvolvidas nas mesmas, bem como os dados pessoais que são recolhidos e o respetivo tratamento.
2 -Os dirigentes e/ou responsáveis pelas unidades orgânicas devem comunicar ao Encarregado de Proteção de Dados a informação recolhida no ponto anterior e mantê-la atualizada.

Capítulo III - ENCARREGADO DE PROTEÇÃO DE DADOS

Artigo 13.º

Encarregado de Proteção de dados

1 -Em cada Município existe pelo menos um Encarregado de Proteção de Dados (EPD).
2 -Compete à Câmara Municipal designar o Encarregado de Proteção de Dados, com possibilidade de delegação no Presidente da Câmara e subdelegação em qualquer Vereador.
3 -O Encarregado de Proteção de Dados exerce a sua função com autonomia técnica, não recebe instruções relativamente ao exercício das suas funções, assim como não pode ser destituído nem penalizado pelo responsável pelo tratamento dos dados pessoais, pelo facto de exercer as suas funções.
4 -O Encarregado de Proteção de Dados está obrigado ao dever de sigilo e de confidencialidade durante o exercício de funções, mantendo-se tal dever após o termo das mesmas.

Artigo 14.º

Funções do Encarregado de Proteção de Dados

1 -O Encarregado de Proteção de Dados serve como intermediário entre a autoridade de controlo, os titulares dos dados e o responsável pelo tratamento dos dados, exercendo as seguintes funções:
1. a)Informa e aconselha o responsável pelo tratamento dos dados, bem como os trabalhadores que tratem os dados pessoais, a respeito das suas obrigações nos termos do presente Regulamento;
2. b)Controla de forma contínua a conformidade com o RGPD, legislação nacional, bem como com o presente Regulamento relativo à proteção de dados pessoais, incluindo a repartição de responsabilidades, a sensibilização e formação do pessoal implicado nas operações de tratamento de dados;
3. c)Assegura a realização de auditorias, quer periódicas, quer não programadas;
4. d)Assegura a relação com os titulares dos dados pessoais nas matérias abrangidas pelo RGPD, legislação nacional e o presente Regulamento na proteção dos dados;
5. e)Presta aconselhamento e emite pareceres, quando tal lhe for solicitado pelo responsável pelo tratamento dos dados, no que respeita à avaliação de impacto sobre a proteção de dados, controlando a sua realização, nos termos do RGPD;
6. f)Coopera com a autoridade de controlo e assegura a manutenção do dossier de conformidade;
7. g)Ponto de contacto para a autoridade de controlo sobre questões relacionadas com o tratamento de dados, incluindo a consulta prévia antes de proceder ao tratamento quando a avaliação de impacto sobre a proteção de dados indicar que do mesmo resultaria um elevado risco;
8. h)Colabora com o responsável pelo tratamento dos dados pessoais no reporte de qualquer violação de dados pessoais no prazo máximo de 72 horas, nos termos do artigo 29.º do presente Regulamento;
9. i)Sensibiliza os utilizadores para a importância da deteção atempada de incidentes de segurança e para a necessidade de informar imediatamente o responsável pela segurança.
2 -No desempenho das suas funções, o Encarregado de Proteção de Dados tem em devida consideração os riscos associados às operações de tratamento, tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento.

Capítulo IV - TRATAMENTO DE DADOS

Artigo 15.º

Dados Sensíveis

1 -É interdito o tratamento de dados sensíveis que relevem:
1. a)A origem racial ou étnica;
2. b)As opiniões políticas;
3. c)As convicções religiosas ou filosóficas;
4. d)A filiação sindical.
2 -Encontra-se ainda proibido, salvo as exceções consagradas no RGPD, o tratamento dos seguintes dados pessoais:
1. a)Dados genéticos;
2. b)Dados biométricos adequados a identificar uma pessoa de forma inequívoca;
3. c)Dados relativos à saúde;
4. d)Dados relativos à vida sexual ou orientação sexual.

Artigo 16.º

Exceções

Sem prejuízo do disposto no RGPD, excecionam-se do artigo anterior, os casos em que:

a)Exista um consentimento explicito do titular dos dados;
b)O tratamento seja necessário para efeitos de cumprimento de obrigações e do exercício de direitos específicos do responsável pelo tratamento ou do titular dos dados em matéria de legislação laboral, de segurança social e de proteção social;
c)Quando esteja em causa a proteção dos interesses vitais do titular;
d)O tratamento seja necessário à declaração, ao exercício ou à defesa de um direito num processo judicial;
e)O tratamento seja necessário por motivos de interesse público importante;
f)Os dados pessoais tenham sido manifestamente tornados Públicos pelo seu titular;
g)O tratamento seja necessário por motivos de medicina preventiva ou do trabalho, para avaliação da capacidade de trabalho do trabalhador, o diagnóstico médico, a prestação de cuidados ou tratamentos de saúde ou de ação social ou a gestão de sistemas e serviços de saúde ou de ação social;
h)O tratamento seja necessário por motivos de interesse público no domínio da saúde pública;
i)O tratamento seja necessário para fins de arquivo de interesse público, para fins de investigação científica ou histórica ou para fins estatísticos.

Artigo 17.º

Consentimento de menores

1 -O tratamento dos dados pessoais de menores relativos à oferta direta de serviços da sociedade de informação disponibilizados pelo Município e especificamente definidos, é lícito, quando seja dado, de preferência com recurso a meios de autenticação segura:
1. a)Pelos pais ou encarregados de educação ou representantes legais, ou
2. b)Pelo menor quando este já completado 13 anos de idade.

Artigo 18.º

Recolha, tratamento e divulgação de imagens, fotografias e/ou vídeos

1 -Deverá o titular dos dados, dar o prévio consentimento para a recolha, tratamento e divulgação de imagens, fotografias e/ou vídeos por parte do Município, bem como deverá ser prestada toda a informação, em linguagem clara e simples, e qual o destino de arquivamento.
2 -Quando a recolha, tratamento e divulgação de imagens, fotografias e/ou vídeos por parte do Município, disser respeito a menores deverá ser obtido o prévio consentimento dos seus representantes legais, privilegiando-se, no entanto, os direitos dos menores optando por captação de imagem de longe e de ângulos em que os mesmos não sejam facilmente identificáveis.
3 -Sempre que existam eventos organizados pelo Município de Entroncamento, onde não seja proibida a recolha de imagens, som e vídeo, deverá o mesmo ser informado aos titulares dos dados pessoais.

Artigo 19.º

Reuniões de Câmara e Assembleia Municipal on-line

1 -Quando os membros da Câmara Municipal ou os eleitos da Assembleia Municipal, dirigentes e outros trabalhadores intervirem nas reuniões da Câmara Municipal e/ou nas sessões da Assembleia Municipal, deverá ser solicitado o prévio consentimento dos mesmos para recolha e tratamento de dados pessoais, quando esta situação se verificar, nomeadamente para a desgravação da ata e/ou para transmissão da sua imagem e o som da sua voz, que resultem das intervenções nestas reuniões e/ou sessões efetuadas para a transmissão on-line, sem prejuízo das referidas transmissões, poderem circular em rede, sem condições de segurança, correndo o risco de serem vistos e utilizados por terceiros não autorizados.
2 -Quando existirem intervenções por parte do público inscrito para participar nas reuniões da Câmara Municipal e/ou sessões da Assembleia Municipal, deverá ser solicitado o prévio consentimento dos mesmos, para recolha e tratamento de dados pessoais, quando esta situação se verificar, nomeadamente para a desgravação da ata e/ou para transmissão da sua imagem e o som da sua voz, que resultem das intervenções nestas reuniões e/ou sessões efetuadas para a transmissão on-line, sem prejuízo das referidas transmissões, poderem circular em rede, sem condições de segurança, correndo o risco de serem vistos e utilizados por terceiros não autorizados.
3 -A recolha e tratamento dos dados pessoais mencionados nos números anteriores, com ou sem meios automatizados, incluem a recolha, o registo, a organização, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a comunicação por transmissão, por difusão ou por qualquer outra forma de colocação à disposição, com comparação ou interconexão, bem como o bloqueio, apagamento ou destruição.

Artigo 20.º

Videovigilância

1 -Sem prejuízo das disposições legais específicas que imponham a sua utilização, nomeadamente por razões de segurança pública, os sistemas de videovigilância cuja finalidade seja a proteção de pessoas e bens asseguram os requisitos previstos no artigo 31.º da Lei n.º 34/2013, de 16 de maio, na sua versão atual, de onde se destaca o referido no ponto seguinte.
2 -As câmaras não podem incidir sobre:
1. a)Vias públicas, propriedades limítrofes ou outros locais que não sejam do domínio exclusivo do responsável, exceto no que seja estritamente necessário para cobrir os acessos ao imóvel;
2. b)A zona de digitação de códigos de caixas multibanco ou outros terminais de pagamento ATM;
3. c)O interior de áreas reservadas a clientes ou utentes onde deva ser respeitada a privacidade, designadamente instalações sanitárias, zonas de espera e provadores de vestuário;
4. d)O interior de áreas reservadas aos trabalhadores, designadamente zonas de refeição, vestiários, ginásios, instalações sanitárias e zonas exclusivamente afetas ao seu descanso.
3 -Nos estabelecimentos de ensino, as câmaras de videovigilância só podem incidir sobre os perímetros externos e locais de acesso, e ainda sobre espaços cujos bens e equipamentos requeiram especial proteção, como laboratórios ou salas de informática.
4 -Nos casos em que é admitida a videovigilância, é proibida a captação de som, exceto no período em que as instalações vigiadas estejam encerradas ou mediante autorização prévia da CNPD.

Artigo 21.º

Proteção de dados pessoais de pessoas falecidas

1 -Quando forem recolhidos ou tratados dados de pessoas falecidas, nomeadamente, quando a Câmara Municipal deliberar sobre votos de pesar, os dados pessoais que corresponderem aos de origem racial ou étnica, sobre opiniões políticas, convicções religiosas ou filosóficas, filiação sindical, dados genéticos, dados biométricos, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual, ou quando se reportem à intimidade da vida privada, à imagem ou aos dados relativos às comunicações, torna-se necessário solicitar o consentimento escrito à pessoa que haja sido designada para o efeito pelo titular dos dados em vida ou, na sua falta, aos respetivos herdeiros para divulgar esses mesmos dados pessoais, tendo em consideração as seguintes situações:
1. a)Se o titular dos dados, em vida, tiver manifestamente tornado público os dados acima mencionados, não é necessário o consentimento.
2. b)Caso contrário, tem de ser obtido o consentimento escrito e expresso.
2 -Todos os dados pessoais que não sejam identificados no número anterior, podem ser divulgados sem a necessidade de consentimento.
3 -A notificação da deliberação da Câmara Municipal sobre o voto de pesar para um determinado endereço postal ou eletrónico, depende sempre do consentimento escrito dos herdeiros do falecido, assim como em situações idênticas que envolva os dados pessoais de pessoas falecidas.
4 -Os direitos de acesso, retificação e apagamento, são exercidos por quem a pessoa falecida haja designado para o efeito ou, na sua falta, pelos respetivos herdeiros.
5 -Os titulares dos dados podem igualmente, nos termos legais aplicáveis, deixar determinada a impossibilidade de exercício dos direitos referidos no número anterior após a sua morte.

Artigo 22.º

Publicação de dados pessoais

1 -A publicação de dados pessoais em jornais oficiais e plataformas eletrónicas, que sejam da responsabilidade do Município, devem obedecer aos princípios base, mencionados no artigo 5.º do presente Regulamento.
2 -Sempre que o dado pessoal “nome” seja suficiente para garantir a identificação do titular dos dados e a eficácia do tratamento, não devem ser publicados outros dados pessoais.

Artigo 23.º

Dados biométricos

O tratamento de dados biométricos dos trabalhadores da Câmara Municipal do Entroncamento só pode ser considerado legítimo por razões de controlo de assiduidade e controlo de acessos às instalações do Município.

Artigo 24.º

Tratamento e prazo de conservação de dados pessoais

1 -O tratamento e o prazo de conservação de dados pessoais é o que estiver fixado por norma legal, regulamento municipal ou norma associada à finalidade para a recolha de dados.
2 -O tratamento para fins de arquivo de interesse público, fins de investigação científica ou histórica ou fins estatísticos deve respeitar o princípio da minimização dos dados e incluir a anonimização ou a pseudonimização dos mesmos sempre que os fins visados possam ser atingidos por uma destas vias.
3 -Quando os dados pessoais sejam tratados para fins de arquivo de interesse público, fins de investigação científica ou histórica ou fins estatísticos, ficam prejudicados os direitos de acesso, retificação limitação do tratamento e de oposição, na medida do necessário, se esses direitos forem suscetíveis de tornar impossível ou prejudicar gravemente a realização desses fins.

Artigo 25.º

Procedimentos administrativos

1 -Apenas podem ser recolhidos os dados pessoais para efeitos processuais que forem estritamente necessários previamente definido, por lei ou qualquer outro normativo.
2 -Caso existam necessidades por parte dos serviços de recolher dados pessoais adicionais que não se encontrem previstos na lei ou qualquer outro normativo, previamente definido, torna-se sempre necessário obter o consentimento do titular dos dados, nos termos do artigo 9.º do presente Regulamento.
3 -O exercício dos direitos dos titulares dos dados pessoais, referidos no artigo 6.º do presente Regulamento, deverá ser feito mediante o preenchimento de formulário, em suporte digital ou de papel.
4 -No exercício do direito ao apagamento e à eliminação (“direito a ser esquecido”) por parte do titular dos dados pessoais, referido no ponto f. do artigo 6.º do presente Regulamento, o responsável pelo tratamento dos dados da entidade a que tenha sido efetuado o pedido de exercício deste direito, deverá notificar todas as entidades para onde os respetivos dados tenham sido partilhados, para que estas procedam em conformidade com o pedido efetuado.
5 -A documentação rececionada no atendimento ao público deverá ser remetida para o backoffice, ou quando tal não seja possível não deverá estar visível a pessoas terceiras.
6 -Na receção de documentação via correio eletrónico, o consentimento para a recolha e tratamento dos dados pessoais, deve ser solicitado pelo dirigente e/ou responsável pela unidade orgânica a que o assunto se reportar, que deverá solicitar junto do titular a recolha do respetivo consentimento.
7 -O prazo de resposta relativo aos direitos dos titulares deve ser dado sem demora justificada e no prazo máximo de 30 dias.

Artigo 26.º

Atendimento

1 -A comunicação de informação que envolva dados pessoais por via telefone, serviços eletrónicos ou correio eletrónico só poderá ser realizada, se previamente o titular dos dados tiver dado o consentimento expresso nesse sentido.
2 -No atendimento presencial ao público deverá ser reservada e mantida a distância necessária para uma maior salvaguarda e proteção da privacidade no tratamento dos dados pessoais das pessoas singulares.

Capítulo V - MEDIDAS DE SEGURANÇA

Artigo 27.º

Acesso e arquivamento

1 -O acesso aos dados pessoais recolhidos deve estar devidamente acautelado, no sentido de apenas poderem aceder aos mesmos, os trabalhadores que em determinado momento processual estejam a desenvolver algum procedimento que os legitime, devendo ser criado um registo que confirme o acesso, e o mesmo seja informatizado, onde conste o nome do trabalhador, o motivo para a consulta, a data e a identificação do documento/processo.
2 -No caso dos dados pessoais se encontrarem disponíveis fisicamente, estes devem estar devidamente arquivados em locais fechados, sendo que as chaves devem igualmente estar na posse de trabalhadores determinados pelos respetivos dirigentes e/ou responsáveis das unidades orgânicas, devendo, neste caso, ser guardado um registo de acesso aos mesmos, onde conste o nome do trabalhador, o motivo para a consulta, a data e a identificação do documento/processo. No caso de os dados pessoais constarem de processos arquivados ou a decorrerem em plataformas eletrónicas, os dirigentes e/ou responsáveis pelas unidades orgânicas devem identificar quem tem permissões para aceder aos mesmos e os momentos em que o podem fazer.

Artigo 28.º

Segurança das redes e sistemas de informação

1 -A recolha, tratamento e salvaguarda dos dados pessoais, deve estar assente numa conceção que tenha no seu desenho, como principal objetivo, a segurança, que garanta, nomeadamente, o cumprimento em todas as aplicações e sistemas de informação do Município dos requisitos técnicos constantes na Resolução do Conselho de Ministros n.º 41/2018, de 28 de março, que define as orientações técnicas para a Administração Pública em matéria de arquitetura de segurança das redes e sistemas de informação relativos a dados pessoais.
2 -É da competência dos dirigentes e/ou responsáveis pelas unidades orgânicas determinar os requisitos gerais indicados no número anterior, nomeadamente, devem determinar quem tem permissões para recolher e tratar dados pessoais no âmbito dos processos que coordenam e o momento em que cada um o pode fazer, e solicitar ao dirigente e/ou responsável da Unidade de Sistemas de Informação e Comunicação a implementação das medidas necessárias.
3 -É da competência da Unidade de Sistemas de Informação e Comunicação definir os requisitos específicos necessários à implementação das medidas de segurança das redes e sistemas de informação.
4 -Adicionalmente poderão ser acauteladas e desenvolvidas medidas tecnológicas e procedimentais tendentes a aumentar e garantir os níveis e segurança de todos os dados pessoais e restante informação à sua guarda.

Capítulo VI - PROCEDIMENTOS EM CASO DE VIOLAÇÃO DE DADOS

Artigo 29.º

Notificação à autoridade de controlo

1 -Em caso de violação de dados pessoais, o responsável pelo tratamento de dados notifica desse facto a autoridade de controlo, sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento da mesma, a menos que a violação dos dados pessoais não seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares.
2 -Se a notificação à autoridade de controlo não for transmitida no prazo de 72 horas, é acompanhada dos motivos do atraso.

Artigo 30.º

Notificação ao titular dos dados

Quando a violação dos dados pessoais for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento de dados comunica a violação de dados pessoais ao titular dos dados sem demora injustificada.

Artigo 31.º

Inquérito

A constatação de uma violação dos dados pessoais, desde que comprovada em prova documental ou pericial, implica a imediata abertura de inquérito disciplinar a determinar pelo Presidente da Câmara Municipal sendo delegável e subdelegável, nos termos da lei.

Capítulo VII - FISCALIZAÇÃO E SANÇÕES

Artigo 32.º

Fiscalização

1 -Sem prejuízo das competências atribuídas por lei a outras entidades, a fiscalização do cumprimento do disposto no presente regulamento compete ao EPD do Município.
2 -Sem prejuízo do cumprimento do disposto nos artigos 33.º e 34.º do RGPD, as violações ao presente regulamento são comunicadas pelo EPD ao Presidente da Câmara Municipal do Entroncamento, o qual determinará a instauração de processo contraordenacional, criminal, cível, de inquérito ou disciplinar, consoante o que for aplicável ao caso.

Artigo 33.º

Contraordenações

São puníveis como contraordenação as violações do presente regulamento, aplicando-se o regime contraordenacional previsto no Regulamento Geral de Proteção de Dados, publicado no Regulamento (UE)2016/679 do Parlamento Europeu e do Conselho de 27/04/2016 e Lei n.º 58/2019 de 8/08.

Artigo 34.º

Medida da coima

A determinação da medida da coima faz-se em função da gravidade da contraordenação, da culpa, da situação económica do agente e, quando aplicável, do benefício económico que este retirou da prática da contraordenação.

Artigo 35.º

Processo contraordenacional

1 -A decisão sobre a instauração, instrução do processo de contraordenação, aplicação das coimas é da competência do Presidente da Câmara, sendo delegável e subdelegável, nos termos da lei.
2 -O produto das coimas previstas no presente regulamento, mesmo quando estas sejam fixadas em juízo, constitui receita do Município.

Artigo 36.º

Responsabilidade civil, criminal ou disciplinar

A aplicação das sanções suprarreferidas não isenta o infrator da eventual responsabilidade civil, criminal ou disciplinar emergente dos factos praticados.

Capítulo VIII - DISPOSIÇÕES FINAIS

Artigo 37.º

Legislação subsidiária

A tudo o que não esteja especialmente previsto no presente Regulamento aplica-se subsidiariamente o Regulamento (EU) 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de 2016 e a legislação nacional que seja aplicável em razão da matéria.

Artigo 38.º

Interpretação e casos omissos

1 -As lacunas e dúvidas interpretativas suscitadas na aplicação do presente Regulamento são preenchidas ou resolvidas, na linha do seu espírito, mediante despacho fundamentado do Presidente da Câmara Municipal.
2 -As menções às unidades orgânicas constantes do presente regulamento, reportam-se, em caso de alteração da estrutura da Câmara Municipal àquelas que sucederem nas respetivas atribuições.

Artigo 39.º

Entrada em vigor

O presente Regulamento entra em vigor no dia seguinte à sua publicação no Diário da República.

8 de abril de 2024. - O Presidente da Câmara Municipal, Jorge Manuel Alves de Faria.

317576915

Artigo 6.º

Direitos dos titulares dos dados pessoais

1 -De acordo com o disposto no RGPD os titulares dos dados pessoais têm direito a:
1. a)Direito à informação, quando os dados são recolhidos, ou caso a recolha dos dados não seja feita diretamente junto deste, logo que os dados sejam tratados o titular dos dados, tem o direito de ser informado sobre:
  1. i)A identidade e o contacto do responsável pelo tratamento dos dados, bem como do encarregado de proteção de dados.
  2. ii)A finalidade do tratamento e o prazo de conservação a que dados pessoais se destinam, bem como o fundamento jurídico para o tratamento dos seus dados;
  3. iii)A quem podem ser comunicados e/ou transmitidos os seus dados;
  4. iv)Quais as condições em que pode aceder e retificar os seus dados;
  5. v)Quais os dados que tem que fornecer obrigatoriamente e quais são opcionais;
2. b)Direito de acesso - o titular dos dados pessoais tem o direito de aceder aos dados que sejam registados sobre si, sem restrições e sem demoras, bem como saber quaisquer informações disponíveis sobre a origem desses dados.
  O exercício do direito de acesso deve ser feito pelo titular dos dados mediante, tendo o direito de obter uma cópia dos dados num formato acessível, desde que não prejudique os direitos e as liberdades de terceiro.
3. c)Direito à portabilidade e à interoperabilidade dos dados, quando o tratamento de dados pessoais se realize por meios automatizados e se basear no consentimento prévio do titular dos dados ou na necessidade de cumprimento de uma obrigação contratual, o titular dos dados pessoais tem o direito a:
  1. i)Receber os seus dados pessoais que foram objeto de tratamento de forma estruturada, em formato aberto ou através de interoperabilidade de sistemas, sempre que seja tecnicamente possível;
  2. ii)Transmitir esses dados a outro responsável por tratamento de dados, sem que o responsável pelo tratamento do Município se possa opor, e desde que o mesmo não prejudique os direitos e as liberdades de terceiros.
4. d)Direito de retificação - o titular dos dados pessoais tem o direito a solicitar ao responsável pelo tratamento dos dados a retificação dos dados pessoais inexatos que lhe digam respeito.
5. e)Direito à oposição, o titular dos dados pessoais tem o direito de se opor, a seu pedido e gratuitamente, ao tratamento dos seus dados pessoais, nos seguintes casos:
  1. i)Para efeitos de publicidade direta ou de qualquer outra forma de prospeção, sem o seu prévio consentimento;
  2. ii)Que sejam comunicados a terceiros, salvo disposição legal em contrário;
  3. iii)A que os seus dados, nalguns casos previstos na lei, não sejam objeto de tratamento, por razões ponderosas e legítimas relacionadas com a sua situação particular.
6. f)Direito ao apagamento e à eliminação (“direito a ser esquecido”), o titular dos dados pessoais tem o direito de exigir que os seus dados sejam eliminados, dos ficheiros de endereços utilizados para efeitos de publicidade.
7. g)Direito à limitação do tratamento, o titular dos dados pode exigir junto do responsável pelo tratamento que este seja limitado a determinados dados, nas seguintes situações:
  1. i)Contestar a exatidão dos dados pessoais, durante um período que permita ao responsável pelo tratamento verificar a sua exatidão;
  2. ii)O tratamento for ilícito e o titular dos dados se opuser ao apagamento dos dados pessoais e solicitar, em contrapartida, a limitação da sua utilização;
  3. iii)O responsável pelo tratamento já não precisar dos dados pessoais para fins de tratamento, mas esses dados sejam requeridos pelo titular para efeitos de declaração, exercício ou defesa de um direito num processo judicial;
  4. iv)Se tiver oposto ao tratamento nos termos do exercício do direito à oposição, até se verificar que os motivos legítimos do responsável pelo tratamento prevalecem sobre os do titular dos dados.
2 -O exercício dos direitos supramencionados é efetuado mediante requerimento, dirigido ao responsável pelo tratamento dos dados.
3 -Os direitos de informação e de acesso a dados pessoais não podem ser exercidos quando a lei imponha ao responsável pelo tratamento ou subcontratante um dever de segredo que seja oponível ao próprio titular dos dados, podendo o titular dos dados solicitar à Comissão Nacional de Proteção de Dados (CNPD) a emissão de parecer quanto à oponibilidade do dever de segredo.