A nomeação de um encarregado de proteção de dados é obrigatória nos três casos seguintes:

• a organização é uma autoridade pública;
• as atividades principais da organização consistem na monitorização regular e sistemática de indivíduos em grande escala, por exemplo, geolocalização através de uma aplicação móvel, ou vigilância de centros comerciais e espaços públicos através de CCTV;
• as atividades principais da organização consistem no tratamento em larga escala de dados sensíveis ou de dados pessoais relacionados com condenações penais e infrações.

Pode sempre nomear um encarregado da proteção de dados numa base voluntária, mesmo que tal não seja legalmente exigido. Tenha em atenção que, nesse caso, deve cumprir todas as disposições do RGPD relativas às funções e à posição do encarregado da proteção de dados.

Mais informações:

• Encarregado de proteção de dados

Não é possível armazenar dados pessoais para sempre.

Regra geral, os dados pessoais só podem ser conservados durante o tempo necessário, tendo em conta as finalidades para as quais os dados pessoais são tratados.

Em alguns casos, o período de armazenamento pode ser determinado por leis específicas, por exemplo, a regulamentação laboral determina um período de armazenamento para listas de salários.

As organizações devem implementar políticas de conservação de dados para garantir que os dados pessoais não são mantidos por mais tempo do que o necessário. Os dados pessoais das pessoas singulares devem ser apagados ou anonimizados, logo que estes dados deixem de ser necessários para a finalidade para a qual foram tratados.

Mais informações:

• Elementos básicos em matéria de proteção de dados

Não, o tratamento de dados sensíveis é geralmente proibido, exceto em circunstâncias muito específicas:

• A pessoa tiver dado o seu consentimento explícito para o tratamento dos seus dados sensíveis.
• O tratamento de dados sensíveis for necessário para que o responsável pelo tratamento cumpra as suas obrigações, nomeadamente no contexto do emprego, da segurança social e da proteção social. Por exemplo, o responsável pelo tratamento de dados pode ter de tratar os dados sensíveis de uma pessoa para poder determinar se tem direito a determinadas prestações de segurança social ou subsídios de emprego.
• O tratamento de dados sensíveis for necessário para proteger os interesses vitais de uma pessoa quando a pessoa seja física ou legalmente incapaz de dar o seu consentimento. Por exemplo, se um indivíduo ficar inconsciente em resultado de um acidente e necessitar de cuidados médicos imediatos, os seus dados de saúde podem ter de ser processados para que os cuidados médicos adequados sejam prestados.
• O tratamento de dados sensíveis é efetuado no contexto das atividades legítimas de uma fundação, associação ou outra organização sem fins lucrativos com um objetivo político, filosófico, religioso ou sindical, e apenas para o tratamento dos dados pessoais dos seus membros, antigos membros ou pessoas que com eles tenham contactos regulares.
• Os dados sensíveis foram manifestamente tornados públicos pelo titular.
• O tratamento de dados sensíveis for necessário no contexto de processos judiciais.
• O tratamento de dados sensíveis for necessário por motivos de interesse público importante.
• O tratamento de dados sensíveis for necessário no contexto da medicina preventiva ou do trabalho. Por exemplo, avaliar os dados sensíveis de uma pessoa, como os seus dados médicos, pode ser necessário para determinar a sua capacidade de trabalho como funcionário.
• O tratamento de dados sensíveis for necessário por questões de saúde pública com base na legislação da UE ou nacional. Por exemplo, o tratamento de dados sensíveis de indivíduos pode ser necessário para garantir uma elevada qualidade dos cuidados de saúde e uma elevada qualidade dos produtos médicos, ou para combater ameaças graves para a saúde, como vírus.
• O tratamento de dados sensíveis for necessário para fins de arquivo de interesse público, para fins de investigação científica ou histórica ou para fins estatísticos. Por exemplo, o tratamento de dados sensíveis pode ser necessário para fornecer estatísticas precisas sobre a situação de um país num determinado domínio.

Mais informações:

• Tratar legalmente os dados pessoais

Os EPD podem desempenhar outras tarefas dentro da organização, mas isso não pode resultar num conflito de interesses. Tal implica que o encarregado de proteção de dados não pode ter uma posição na qual determine as finalidades e os meios das atividades de tratamento. As funções conflituantes incluem principalmente cargos de gestão (chefe de administração, diretor operacional, diretor financeiro, chefe de recursos humanos, chefe de TI, diretor executivo), mas podem também envolver outras funções se conduzirem à determinação das finalidades e dos meios de tratamento.

O encarregado de proteção de dados deve poder desempenhar as suas funções e tarefas de forma independente. Isto significa que a sua organização:

• não pode dar instruções ao encarregado de proteção de dados sobre o desempenho das suas funções;
• não pode penalizar ou demitir o encarregado de proteção de dados pelo desempenho das suas funções.

Mais informações:

• Encarregado de proteção de dados

Deve responder sem demora injustificada e, o mais tardar, no prazo de um mês a contar da receção do pedido. Este prazo pode ser prorrogado por mais dois meses se o pedido for demasiado complexo e for necessário mais tempo para responder, desde que a pessoa seja informada desse facto no prazo de um mês a contar da receção do pedido.

Deve fazê-lo gratuitamente.

Mais informações:

• Respeitar os direitos dos indivíduos

O tratamento de dados pessoais é permitido se existir uma base legal para o efeito. Além do consentimento livre, específico, informado e inequívoco, podem ser utilizadas outras bases legais para o tratamento.

Por outras palavras, o consentimento é necessário quando nenhuma dos outros fundamentos de legitimidade se aplica.

 

Mais informações:

• Tratar legalmente os dados pessoais

As pessoas singulares podem perguntar-lhe se está a tratar os seus dados e, se for caso disso, tem o direito de aceder a esses dados. Assim, quando tal acontecer e se processar os seus dados, deverá, por exemplo, fornecer gratuitamente uma cópia dos seus dados pessoais, juntamente com quaisquer informações adicionais necessárias. Se um pedido for apresentado por via eletrónica, a sua organização deve fornecer as informações necessárias num formato eletrónico comummente utilizado, salvo pedido em contrário.

Mais informações:

• Respeitar os direitos dos indivíduos

Uma violação de dados pessoais é uma violação de segurança que conduz à destruição acidental ou ilícita, perda, alteração, divulgação ou acesso não autorizado de dados pessoais.

• Se a violação de dados representar um risco para as pessoas em causa, deve notificá-la à autoridade de proteção de dados relevante no prazo de 72 horas.
• Se a violação for suscetível de resultar num risco elevado para as pessoas, terá também de comunicar essa violação às pessoas em causa sem demora injustificada.

Em qualquer caso, para todas as violações — mesmo aquelas que não são notificadas a uma APD — deve registar pelo menos os detalhes básicos da violação, a sua avaliação, os seus efeitos e as medidas tomadas em resposta.

Mais informações:

• Violações de dados

Em caso de recolha direta de dados pessoais junto das pessoas em causa, as organizações devem fornecer informações sobre as operações de tratamento de forma concisa e transparente, utilizando uma linguagem compreensível, facilmente acessível e clara e simples. Tal pode ser feito por escrito (por exemplo, no verso de uma proposta) ou por meios eletrónicos (por exemplo, num sítio Web). Se a pessoa em causa o solicitar, pode também fornecer estas informações oralmente, mas deve poder fazê-lo posteriormente.

Mesmo quando os dados foram recolhidos indiretamente, ou seja, se não recolher diretamente os dados pessoais de uma pessoa, mas, por exemplo, através de um terceiro, deve fornecer as mesmas informações detalhadas aos indivíduos.