14 DE MARÇO DE 1990

985

camente ou que se destinem a sê-lo, qualquer que seja o suporte utilizado.

2 — A CNPDP pode, todavia, autorizar os fluxos transfronteiras de dados pessoais se o Estado de destinação assegurar uma protecção equivalente à da presente lei.

3 — É proibido, em qualquer caso, o fluxo transfronteiras de dados pessoais, se houver fundadas razões para crer que a sua transferência para um outro Estado tem por objectivo tornear as proibições ou os condicionalismos previstos na presente lei ou possibilitar a sua utilização ilícita.

CAPÍTULO VIII Infracções e sanções

Artigo 35.°

1 — Quem, contra o disposto na presente lei, criar, mantiver ou modificar o conteúdo de um ficheiro automatizado, de um banco ou base de dados pessoais, ou fizer processar os mesmos dados, é punido com a prisão até um ano ou multa até 100 dias.

2 — A pena será agravada para o dobro, nos seus limites mínimo e máximo, tratando-se de dados pessoais referidos no artigo 11.°, fora das condições em que o processamento é autorizado.

3 — Nas mesmas penas incorre, conforme os casos, quem intencionalmente desviar dados pessoais da finalidade legalmente definida para a sua recolha e utilização.

Artigo 36.°

1 — Quem, estando obrigado a garantir a outrem, nos termos da presente lei, o direito de acesso, de correcção ou de completamento de dados pessoais constantes de ficheiro automatizado, de banco de dados ou base de dados, se recusar, sem justa causa, a fazê-lo ou o fizer de modo erróneo ou incompleto é punido com prisão até um ano ou multa até 100 dias.

2 — Se o agente actuar com negligência, a pena será de prisão até três meses ou multa até 100 dias.

3 — O procedimento criminal depende de queixa.

Artigo 37.°

1 — Quem, contra o disposto na presente lei, promover ou realizar a interconexão de ficheiros automatizados, de bancos de dados e de bases de dados pessoais é punido com prisão até um ano ou multa até 100 dias.

2 — A pena é agravada para o dobro, nos seus limites mínimo e máximo, tratando-se dos dados referidos no artigo 11.°

3 — O disposto nos números anteriores é aplicável à violação da proibição constante do artigo 25.°, n.° 2.

4 — O tribunal decreta as medidas necessárias à cessação da interconexão de ficheiros, de bancos ou bases de dados ou à supressão do número a que se refere o artigo 25.°, n.° 2, quando persistam à data da sentença.

Artigo 38.°

1 — Quem fornecer falsas informações no pedido de autorização para a constituição ou manutenção de um

ficheiro automatizado, de um banco de dados ou de uma base de dados pessoais ou nele proceder a modificações não consentidas pelo instrumento de autorização é punido com prisão até dois anos ou multa até 200 dias.

2 — Na mesma pena incorre quem omitir intencionalmente a comunicação a que se refere o n.° 3 do artigo 18.°

3 — Se o agente actuar com negligência, a pena é de prisão até seis meses ou multa até 100 dias.

Artigo 39.°

1 — Quem, sem autorização de quem de direito, por qualquer modo aceder a um sistema informático de dados pessoais cujo acesso lhe está vedado é punido com prisão até um ano ou multa até 100 dias.

2 — A pena é agravada para o dobro, nos seus limites mínimo e máximo, quando o acesso:

a) For conseguido através de violação de regras técnicas de segurança;

b) Tiver possibilitado ao agente ou a terceiros o conhecimento de dados;

c) Tiver proporcionado ao agente ou a terceiros, com conhecimento daqueles, um benefício ou vantagem patrimonial.

3 — No caso do n.° 1, o procedimento criminal depende de queixa.

Artigo 40.°

1 — Quem, sem para tanto estar autorizado, apagar, destruir, danificar, suprimir ou modificar, tornando--os inutilizáveis ou afectando a sua capacidade de uso, dados pessoais constantes de ficheiro automatizado, de banco de dados ou base de dados é punido com prisão até dois anos ou multa até 200 dias.

2 — A pena é agravada para o dobro, nos seus limites mínimo e máximo, quando o dano produzido for particularmente grave.

3 — Se o agente actuar com negligência, a pena é de prisão até um ano ou multa até 100 dias.

Artigo 41.°

1 — Quem, estando regularmente notificado para o efeito, não interromper o funcionamento de ficheiro automatizado, de banco de dados ou base de dados pessoais, nos termos do artigo 21.°, é punido com a pena de desobediência qualificada.

2 — Na mesma pena incorre quem:

a) Recusar, sem justa causa, a colaboração que concretamente lhe for exigida nos termos do artigo 9.°, quando para tal for regularmente notificado;

b) Não proceder à destruição de dados pessoais, findo o prazo de conservação autorizado, sem prorrogação, nos termos do artigo 24.°

Artigo 42.°

1 — Quem, obrigado a sigilo profissional, nos termos da presente lei, sem justa causa e sem consentimento de quem de direito, revelar ou divulgar, no todo ou em parte, dados pessoais contidos em ficheiro au-