II SÉRIE-A — NÚMERO 89

36

a) Por cada área governativa, no caso do Estado, sendo designado pelo respetivo ministro, com faculdade

de delegação;

b) Por cada secretaria regional, no caso das regiões autónomas, sendo designado pelo respetivo secretário

regional, com faculdade de delegação.

c) Por cada município, sendo designado pela câmara municipal, com faculdade de delegação;

d) Nas freguesias em que tal se justifique, em função do volume de dados tratados, sendo designado pela

junta de freguesia, com faculdade de delegação;

e) Por cada pessoa coletiva pública, no caso das entidades mencionadas nas alíneas d) a h) do n.º 2, sendo

designado pelo respetivo órgão executivo, de administração ou gestão, com faculdade de delegação.

4 - Nos termos do n.º 3 do artigo 37.º do RGPD, pode ser designado o mesmo encarregado de proteção

de dados para várias áreas governativas, secretarias regionais, autarquias locais ou outras pessoas coletivas

públicas.

5 - O disposto no n.º 1 aplica-se aos órgãos de soberania exclusivamente no que respeita às suas

atividades materialmente administrativas.

Artigo 13.º

Encarregados de proteção de dados em entidades privadas

O responsável pelo tratamento e o subcontratante designam um encarregado de proteção de dados sempre

que a atividade privada desenvolvida, a título principal, implique:

a) Operações de tratamento que, devido à sua natureza, âmbito e/ou finalidade, exijam um controlo regular

e sistemático dos titulares dos dados em grande escala; ou

b) Operações de tratamento em grande escala das categoriais especiais de dados nos termos do artigo 9.º

do RGPD, ou de dados pessoais relacionados com condenações penais e contraordenacionais nos termos do

artigo 10.º do RGPD.

CAPITULO IV

Acreditação, certificação e códigos de conduta

Artigo 14.º

Acreditação e certificação

1 - Nos termos da alínea b) do n.º 1 do artigo 43.º do RGPD, a autoridade competentepara a acreditação

dos organismos de certificação em matéria de proteção de dados é o IPAC, I.P.

2 - O ato de acreditação emitido pelo IPAC, I.P., deve tomar em consideração os requisitos previstos no

RGPD, bem como os requisitos adicionais estabelecidos pela CNPD, quando existam.

3 - A certificação, bem como a emissão de selos e marcas de proteção de dados, é efetuada por organismos

de certificação acreditados nos termos do n.º 1, destinando-se a atestar que os procedimentos implementados

cumprem o disposto no RGPD e na presente lei.

Artigo 15.º

Códigos de conduta

1 - Compete à CNPD fomentar a elaboração de códigos de conduta que regulem atividades determinadas,

os quais devem tomar em atenção as necessidades específicas das micro, pequenas e médias empresas.

2 - O tratamento de dados pessoais pela administração direta e indireta do Estado é objeto de códigos de

conduta próprios.