26 DE MARÇO DE 2018

31

estão divididos entre poderes de investigação, poderes de correção e poderes consultivos, mantendo-se, no

essencial, o regime constante da diretiva.

Também seguindo o anteriormente previsto na diretiva, o RGPD estabelece normas sobre direito

sancionatório, agravando significativamente a moldura máxima das coimas.

Importa destacar, em todo o caso, as principais novidades que o regulamento europeu veio introduzir. Neste

âmbito, deve mencionar-se a aplicação extraterritorial do RGPD quando esteja em causa a oferta de bens ou

serviços sem necessidade de proceder a um pagamento ou ao controlo do comportamento dos titulares dos

dados nas redes sociais, desde que tenha lugar no espaço da União Europeia.

No domínio das definições, deve realçar-se a definição de perfis, de pseudonimização, de violação de dados

pessoais e, ainda, os conceitos de estabelecimento principal, representante e empresa.

A definição de consentimento passou a exigir um ato positivo inequívoco, afastando a possibilidade de

consentimentos tácitos.

O papel do subcontratante muda substancialmente no RGPD, na medida em que adquire responsabilidade

própria perante os titulares dos dados.

O RGPD admite que os Estados-Membros definam a idade com que as crianças podem ter acesso, sem

carecer de consentimento dos seus representantes legais, à oferta direta de serviços da sociedade da

informação, a qual pode variar entre 13 e 16 anos.

No capítulo dos novos direitos, o direito ao apagamento de dados (‘direito a ser esquecido’) e o direito à

portabilidade adquirem especial relevo.

A relação entre a tecnologia e o Direito manifesta-se, de modo especial, na proteção de dados desde a

conceção e por omissão, nas regras de segurança dos tratamentos, na notificação de violações de dados

pessoais às autoridades de controlo, na comunicação de violação de dados pessoais a titulares dos dados e na

avaliação de impacto sobre proteção de dados.

De significativo relevo no RGPD encontra-se a figura do encarregado de proteção de dados, obrigatório na

Administração Pública e nas entidades privadas que tratem informação sensível ou em grande escala.

O encarregado de proteção de dados disporá de um estatuto de independência dentro da organização e

deve ser designado de acordo com os seus conhecimentos de proteção de dados, contribuindo para substituir

o papel de controlo prévio das autoridades de controlo, que é eliminado e substituído por registos das atividades

de tratamento no âmbito de cada responsável pelo tratamento. Para além disso, através da figura da consulta

prévia, o responsável pelo tratamento deve dirigir-se à autoridade de controlo antes de proceder a um tratamento

de dados pessoais quando se tenha verificado, após uma avaliação de impacto, que se está perante um elevado

risco.

O RGPD determina a criação de procedimentos de certificação em matéria de proteção de dados, bem como

a criação de selos e marcas.

Outro dos aspetos relevantes do RGPD consiste no sistema do one stop shop ou de balcão único, de acordo

com o qual a autoridade de controlo do estabelecimento principal ou do estabelecimento único do responsável

pelo tratamento ou do subcontratante é competente para agir como autoridade de controlo principal para o

tratamento transfronteiriço.

Há ainda a destacar a criação do Comité Europeu para a Proteção de Dados, dotado de personalidade

jurídica e criado para a aplicação coerente do RGPD.

Apesar de se tratar de um regulamento da União Europeia, o RGPD apresenta um conjunto significativo de

normas que requerem ou permitem a intervenção do legislador nacional. Através da presente proposta de lei,

assegura-se a execução do RGPD na ordem jurídica interna, e adotam-se as soluções mais adequadas para a

proteção dos direitos dos titulares de dados pessoais no contexto da competitividade das empresas portuguesas

no quadro da União Europeia.

Relativamente à autoridade de controlo nacional, adaptam-se as competências da Comissão Nacional de

Proteção de Dados (CNPD) às atribuições e poderes previstos no RGPD, mantendo-se a respetiva composição

e regras de funcionamento.

Quanto à nova figura do encarregado de proteção de dados, esclarecem-se as condições exigidas para o

exercício de tal cargo e densificam-se as respetivas funções, instituindo-se um regime jurídico específico para a

Administração Pública.

No tocante à acreditação e certificação previstas no RGPD, atribui-se ao Instituto Português de Acreditação,