26 DE ABRIL DE 2018

135

PROPOSTA DE LEI N.º 125/XIII (3.ª)

APROVA AS REGRAS RELATIVAS AO TRATAMENTO DE DADOS PESSOAIS PARA EFEITOS DE

PREVENÇÃO, DETEÇÃO, INVESTIGAÇÃO OU REPRESSÃO DE INFRAÇÕES PENAIS OU DE

EXECUÇÃO DE SANÇÕES PENAIS, TRANSPONDO A DIRETIVA (UE) 2016/680

Exposição de motivos

A Diretiva (UE) 2016/680, do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção

das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes

para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções

penais, e à livre circulação desses dados, assume como objetivo a tutela do direito à proteção de dados

pessoais, consagrado no n.º 1 do artigo 8.º da Carta dos Direitos Fundamentais da União Europeia e no n.º 1

do artigo 16.º do Tratado sobre o Funcionamento da União Europeia. Trata-se da reafirmação de um direito

fundamental, com acolhimento no direito constitucional da União e também na Constituição da República

Portuguesa, cujo exercício deve ser equilibrado com o de outros direitos basilares, em conformidade com o

princípio da proporcionalidade.

A presente iniciativa legislativa visa transpor para a ordem jurídica interna a referida diretiva, aplicando-se ao

tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção

ou repressão de infrações penais ou de execução de sanções penais, incluindo as ameaças à segurança pública,

mas com exclusão do tratamento relacionado com a segurança nacional.

Espelhando o Regulamento (UE) n.º 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de

2016 (Regulamento Geral da Proteção de Dados), a diretiva em apreço acolhe como princípios do tratamento

de dados pessoais os princípios da licitude, da finalidade, da minimização e da conservação apenas durante o

período necessário à finalidade que legitima o tratamento. Por outro lado, dado que o tratamento dos dados

pessoais nos domínios da cooperação judiciária em matéria penal e da cooperação policial implica

necessariamente o tratamento de dados relativos a diferentes categorias de titulares e para efeitos distintos,

estabelece-se agora a obrigatoriedade do responsável pelo tratamento distinguir claramente os dados de acordo

com determinadas categorias de titulares, nomeadamente, suspeitos, pessoas condenadas por um crime,

vítimas e terceiros. Estabelece-se, igualmente, a obrigatoriedade de distinguir os dados pessoais consoante se

baseiem em factos ou em apreciações pessoais.

Relativamente aos direitos do titular dos dados, a presente proposta de lei concretiza o direito à informação,

com as limitações necessárias, dada a matéria em apreço. São assegurados, igualmente, os direitos de acesso,

de retificação, de apagamento e de limitação do tratamento dos dados, os quais podem ser exercidos

pessoalmente ou através das autoridades nacionais de proteção de dados.

No que respeita às obrigações das autoridades competentes e dos subcontratados, é imposta a adoção de

medidas técnicas e organizativas apropriadas, especialmente de segurança da informação. Assim, o

responsável pelo tratamento fica sempre obrigado a implementar e a utilizar tecnologias de proteção dos dados

que assegurem, desde a sua criação, que qualquer tratamento que venha a ser realizado cumprirá o disposto

no presente regime e, em particular, que os dados tratados se restringem àqueles que são especificamente

necessários à finalidade prosseguida – trata-se do designado princípio da «proteção de dados desde a conceção

e por defeito». Impõe-se, ainda, a conservação de registos das atividades de tratamento e dos tratamentos

automáticos. A par da obrigação de cooperação com as autoridades de controlo, incluindo a obrigação de

consultar previamente essas autoridades em determinados casos, é imposta a realização de avaliações de

impacto, bem como a notificação à autoridade de controlo e a comunicação ao titular de eventuais falhas na

segurança, agora definidas como violações de dados pessoais. Por seu turno, é também obrigatória a

designação do encarregado da proteção de dados, figura que terá como funções, entre outras, a de informar e

aconselhar a autoridade competente, de monitorizar o cumprimento das normas aplicáveis e de cooperar e

contactar com a autoridade de controlo.

No que tange às transferências de dados pessoais para países terceiros (não membros da União Europeia)

ou para organizações internacionais, estas poderão agora ter por base uma decisão de adequação, isto é, uma

decisão da Comissão Europeia nos termos da qual se atesta que o estado ou organização em causa asseguram