Lei 58/2019
Proteção de Dados em Portugal

A Lei n.º 58/2019, de 8 de agosto, assegura a execução na ordem jurídica nacional do Regulamento (UE) 2016/679 (RGPD). Foi publicada no Diário da República e entrou em vigor no mesmo dia da sua publicação. Esta lei não substitui o RGPD — complementa-o, adaptando-o à realidade jurídica portuguesa e definindo as especificidades nacionais onde o RGPD permite margem de manobra aos Estados-Membros.

A Comissão Nacional de Proteção de Dados (CNPD) é designada pela Lei 58/2019 como a autoridade de controlo responsável por supervisionar a aplicação do RGPD em Portugal. A CNPD tem competências para: • Fiscalizar e aplicar o RGPD e a Lei 58/2019 • Receber e investigar reclamações de titulares de dados • Realizar auditorias e inspeções a organizações • Emitir pareceres e orientações • Aplicar coimas e sanções • Cooperar com outras autoridades europeias de proteção de dados As organizações podem consultar o site da CNPD (www.cnpd.pt) para orientações e notificações obrigatórias.

A Lei 58/2019 introduz ou clarifica várias matérias específicas para Portugal: Menores de idade: em Portugal, o consentimento para serviços da sociedade de informação pode ser dado por menores a partir dos 13 anos (o RGPD permite fixar entre 13 e 16 anos). Dados de saúde: regulamentação específica para o tratamento de dados de saúde, incluindo no contexto da investigação científica e da medicina do trabalho. Dados laborais: clarificação das regras aplicáveis ao tratamento de dados no contexto laboral, incluindo videovigilância no local de trabalho. Investigação científica e estatística: flexibilizações permitidas pelo RGPD são detalhadas para o contexto nacional.

A Lei 58/2019 mantém a obrigação de designar um Encarregado de Proteção de Dados (DPO) nas situações previstas no RGPD: • Autoridades e organismos públicos • Organizações que realizem tratamentos que exijam monitorização regular e sistemática dos titulares em grande escala • Organizações que tratem em grande escala categorias especiais de dados ou dados de condenações penais O DPO pode ser um trabalhador interno ou um prestador de serviços externo. A CNPD deve ser notificada da designação do DPO. A Blindata oferece serviços de DPO externo para organizações que necessitem.

Em Portugal, a CNPD tem competência para aplicar as coimas previstas no RGPD: • Coimas até 10 milhões de euros ou 2% do volume de negócios mundial anual para violações dos artigos 8.º, 11.º, 25.º-39.º, 42.º e 43.º • Coimas até 20 milhões de euros ou 4% do volume de negócios mundial anual para violações dos princípios fundamentais, bases legais, direitos dos titulares e transferências internacionais A Lei 58/2019 prevê ainda que as coimas aplicadas a entidades do setor público têm limites específicos, geralmente inferiores. Para pessoas singulares, os limites são reduzidos: até 500.000 euros ou 1% e até 1.000.000 euros ou 2%, respetivamente.

Com o RGPD e a Lei 58/2019, o sistema de notificação prévia à CNPD foi abolido. Em vez disso, as organizações devem: • Manter internamente o Registo de Atividades de Tratamento (RoPA) • Notificar a CNPD de violações de dados pessoais no prazo de 72 horas • Notificar os titulares afetados quando a violação for suscetível de resultar num risco elevado • Designar e comunicar à CNPD o DPO, quando obrigatório A CNPD disponibiliza no seu portal ferramentas e formulários para as notificações obrigatórias.