26 DE ABRIL DE 2018

145

dos dados para o exercício dos seus direitos, sem prejuízo de a pretensão poder ser dirigida a qualquer deles.

Artigo 23.º

Tratamento dos dados por subcontratante

1 - O responsável pelo tratamento pode recorrer a subcontratantes que apresentem garantias suficientes de

adoção de medidas técnicas e organizativas adequadas de modo a que o tratamento satisfaça os requisitos

estabelecidos na presente lei e assegure a proteção dos direitos do titular dos dados.

2 - O subcontratante não pode recorrer a outro subcontratante sem a autorização prévia específica ou geral,

por escrito, do responsável pelo tratamento, com exceção dos casos em que a subcontratação esteja prevista

na lei.

3 - Em caso de autorização geral, o subcontratante informa o responsável pelo tratamento de todas as

alterações pretendidas quanto à contratação de outros subcontratantes, podendo o responsável pelo tratamento

opor-se a essas alterações.

4 - O tratamento de dados em subcontratação é regulado por contrato escrito ou por lei que estabeleça o

objeto, a duração, a natureza e a finalidade do tratamento, o tipo de dados pessoais e as categorias de titulares

de dados a tratar, bem como as obrigações e os direitos do responsável pelo tratamento.

5 - O contrato ou a lei referidos no número anterior preveem, designadamente, que o subcontratante:

a) Só aja de acordo com as instruções do responsável pelo tratamento;

b) Assegure que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de

confidencialidade ou se encontram sujeitas a obrigações legais de confidencialidade;

c) Preste assistência ao responsável pelo tratamento por todos os meios adequados de modo a assegurar

o cumprimento das disposições relativas aos direitos do titular dos dados;

d) Após concluir os serviços de tratamento, apague de forma definitiva ou devolva os dados ao responsável

pelo tratamento, consoante a escolha deste, e apague as cópias existentes, a menos que a sua conservação

seja exigida por lei;

e) Disponibilize ao responsável pelo tratamento as informações necessárias para demonstrar o cumprimento

do disposto no presente artigo;

f) Respeite as condições referidas nos n.os 2 e 3 no que respeita à contratação de outro subcontratante;

g) Adote as medidas técnicas e organizativas adequadas que assegurem a proteção dos dados pessoais,

em conformidade com o exigido na presente lei, devendo considerar o princípio da proteção de dados desde a

conceção e por defeito.

Artigo 24.º

Tratamento sob a autoridade do responsável pelo tratamento ou do subcontratante

O subcontratante, bem como qualquer pessoa que, agindo sob a autoridade deste ou do responsável pelo

tratamento, tenha acesso a dados pessoais, não pode efetuar o respetivo tratamento sem instruções do

responsável pelo tratamento.

Artigo 25.º

Dever de sigilo

Os responsáveis pelo tratamento, os subcontratantes, bem como qualquer outra pessoa que, no exercício

das suas funções, tenha acesso aos dados pessoais, ficam obrigados a sigilo profissional, mesmo após o termo

das suas funções.

Artigo 26.º

Registos das atividades de tratamento

1 - O responsável pelo tratamento conserva um registo de todas as categorias de atividades de tratamento

sob a sua responsabilidade.