II SÉRIE-A — NÚMERO 89

30

PROPOSTA DE LEI N.º 120/XIII (3.ª)

ASSEGURA A EXECUÇÃO, NA ORDEM JURÍDICA NACIONAL, DO REGULAMENTO (UE) 2016/679,

RELATIVO À PROTEÇÃO DAS PESSOAS SINGULARES NO QUE DIZ RESPEITO AO TRATAMENTO DE

DADOS PESSOAIS E À LIVRE CIRCULAÇÃO DESSES DADOS

Exposição de motivos

Em janeiro de 2012, a Comissão Europeia apresentou uma proposta de regulamento sobre a proteção de

dados pessoais. Após um longo processo negocial, que se desenrolou com especial intensidade durante os

anos de 2014 e 2015, aquela iniciativa legislativa veio a culminar na aprovação do Regulamento (UE) 2016/679,

do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no

que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.

Este instrumento normativo, conhecido como Regulamento Geral de Proteção de Dados e doravante

designado abreviadamente por RGPD, foi especialmente pensado para a proteção dos cidadãos face ao

tratamento de dados pessoais em larga escala, por grandes empresas e serviços da sociedade de informação.

O paradigma que esteve subjacente ao legislador europeu foi o das grandes multinacionais que gerem redes

sociais ou aplicações informáticas à escala global, envolvendo a recolha e utilização intensivas de dados

pessoais.

Por esse motivo, algumas das soluções jurídicas que foram plasmadas para esse universo revelam-se por

vezes desproporcionadas ou mesmo desadequadas para a generalidade do tecido empresarial nacional e para

a Administração Pública, aos quais o RGPD, todavia, também se aplica.

Assim, do trabalho de avaliação de impacto já realizado, conclui-se que a aplicação deste regulamento

resultará em encargos administrativos elevados, que em muitos casos não se encontram suficientemente

justificados pelos benefícios obtidos com o novo regime de proteção de dados pessoais relativamente ao regime

atual.

São justamente estes encargos que, sempre que possível, a presente proposta de lei visa mitigar – dentro

da estreita margem conferida pelo RGPD e com respeito pelos direitos, liberdades e garantias previstos na

Constituição –, garantindo um adequado equilíbrio entre a devida proteção dos titulares de dados pessoais, a

liberdade de iniciativa económica e a tarefa estadual de promoção do bem-estar social.

O RGPD revogou a Diretiva n.º 95/46/CE e é aplicável em todos os Estados-Membros da União Europeia a

partir de 25 de maio de 2018. No entanto, esta revogação não significa que tenha sido estabelecida uma rotura

absoluta entre o sistema de proteção de dados contido nessa diretiva e o sistema adotado pelo RGPD. De facto,

são muitas as situações de continuidade, e há definições fulcrais que não foram afetadas, como por exemplo as

de dados pessoais, tratamento ou responsável pelo tratamento.

No que tange à aplicação material do RGPD, a legislação europeia sobre a proteção de dados pessoais

continua sem se aplicar a tratamentos efetuados por pessoas singulares para finalidades pessoais e domésticas.

O RGPD estabelece, contudo, regras mais exigentes quanto ao tratamento de categorias especiais de dados

pessoais – por exemplo, origem racial ou étnica, opiniões políticas, convicções religiosas ou filosóficas, filiação

sindical, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual – mantendo como fontes

de legitimidade a lei e o consentimento.

Permanecem, expressamente referidos, os princípios da legitimidade, da lealdade, da transparência, da

finalidade e da exatidão. No plano dos direitos dos titulares dos dados, continuam vigentes os direitos de

informação, de acesso, de retificação, de oposição, estabelecendo-se o princípio geral da interdição das

decisões individuais automatizadas.

Sobre as transferências para países terceiros ou organizações internacionais, continua a valer o critério de

assegurar o nível de proteção adequado, apesar de se terem introduzido alterações sensíveis na matéria.

Relativamente às autoridades de proteção de dados, o RGPD, apesar de ter procedido a alterações

importantes nas competências relativas ao controlo prévio, mantém e inclusivamente reforça a independência

destas autoridades.

São muito amplas as atribuições das entidades de controlo, passando pelo controlo da execução e aplicação

do RGPD até à aprovação de cláusulas contratuais tipo ou à aprovação de códigos de conduta. Os seus poderes