26 DE ABRIL DE 2018

147

3 - Os registos cronológicos são utilizados exclusivamente para efeitos de verificação da licitude do

tratamento, autocontrolo, exercício do poder disciplinar, e garantia da integridade e segurança dos dados

pessoais, bem como no âmbito e para efeitos de processo penal.

4 - O responsável pelo tratamento e o subcontratante disponibilizam os registos cronológicos à autoridade

de controlo, a pedido desta.

5 - As leis específicas reguladoras das operações de tratamento dos dados para as finalidades previstas no

n.º 1 do artigo 1.º definem os períodos de conservação aplicáveis aos registos cronológicos.

6 - O responsável pelo tratamento e o subcontratante adotam medidas técnicas que garantam a integridade

dos registos cronológicos.

Artigo 28.º

Dever de colaboração

O responsável pelo tratamento e o subcontratante colaboram plenamente com a autoridade de controlo no

exercício das suas atribuições.

Artigo 29.º

Avaliação de impacto

1 - No caso de um certo tipo de tratamento ser suscetível de representar um elevado risco para os direitos,

liberdades e garantias das pessoas, o responsável pelo mesmo deve efetuar uma avaliação do impacto das

operações que o compõem antes de lhe dar início.

2 - A avaliação do impacto inclui:

a) Uma descrição geral das operações de tratamento previstas;

b) Uma avaliação dos riscos para os direitos, liberdades e garantias dos titulares dos dados;

c) As medidas previstas para fazer face aos riscos mencionados na alínea anterior;

d) As garantias, as medidas de segurança e os mecanismos para assegurar a proteção dos dados pessoais

e demonstrar a conformidade do tratamento com a presente lei.

Artigo 30.º

Consulta prévia da autoridade de controlo

1 - O responsável pelo tratamento ou o subcontratante consultam a autoridade de controlo antes de proceder

ao tratamento de dados pessoais a integrar em ficheiro a criar nos casos em que:

a) A avaliação de impacto prevista no artigo anterior indique que o tratamento resultaria num elevado risco,

na ausência de medidas adequadas para atenuar esse risco; ou

b) O tipo de tratamento envolva um elevado risco para os direitos, liberdades e garantias dos titulares dos

dados, designadamente se utilizar novas tecnologias.

2 - A autoridade de controlo é consultada durante a elaboração de instrumentos jurídicos em preparação da

União Europeia ou em instituições internacionais e durante a elaboração de acordos bilaterais ou multilaterais a

celebrar entre o Estado Português e outros estados, bem como de propostas legislativas e regulamentares

referentes ao tratamento de dados pessoais, podendo, igualmente, emitir por iniciativa própria emitir pareceres

sobre qualquer questão relacionada com a proteção de dados pessoais.

3 - A autoridade de controlo pode elaborar e publicitar uma lista das operações de tratamento sujeitas a

consulta prévia nos termos do n.º 1.

4 - O responsável pelo tratamento fornece à autoridade de controlo a avaliação de impacto prevista no artigo

anterior e, quando solicitado, qualquer outra informação que lhe permita avaliar a conformidade do tratamento

com a presente lei, os riscos para a proteção dos dados pessoais e as respetivas garantias.

5 - Caso considere que o tratamento previsto no n.º 1 viola o disposto na presente lei, especialmente se o

responsável pelo tratamento não tiver identificado ou atenuado suficientemente os riscos, a autoridade de

controlo dá orientações por escrito ao responsável pelo tratamento ou ao subcontratante no prazo de seis