II SÉRIE-A — NÚMERO 30

100

que transpõe para a ordem jurídica interna a Diretiva (UE) 2016/680, do Parlamento Europeu e do Conselho,

de 27 de abril de 2016, nomeadamente quanto ao direito de acesso, retificação, apagamento e limitação,

direito a indemnização e a recurso judicial, confidencialidade do tratamento e segurança dos dados.

2 – O disposto no número anterior não prejudica a aplicação do Regulamento (UE) 2016/679, do

Parlamento Europeu e do Conselho, de 27 de abril de 2016, ao tratamento de dados pessoais pelas

transportadoras aéreas, especialmente no que se refere às suas obrigações de tomarem as medidas técnicas

e organizativas adequadas para proteger a segurança e confidencialidade dos dados pessoais.

3 – É proibido o tratamento de dados PNR que revelem a raça ou origem étnica da pessoa, as suas

opiniões políticas, religião ou convicções filosóficas, filiação sindical, saúde, vida ou orientação sexual.

4 – Se receber dados PNR que revelem as informações a que se refere o número anterior, o GIP procede

ao seu apagamento imediato.

5 – Ao tratamento, pelas autoridades competentes, de dados PNR transferidos para essas entidades, a

que se refere o artigo 7.º, é aplicável o disposto na lei processual penal e no regime jurídico referido no n.º 1.

Artigo 13.º

Controlo do tratamento de dados PNR

1 – O GIP conserva a documentação relativa a todos os sistemas e procedimentos de tratamento de

dados sob a sua responsabilidade, incluindo, pelo menos:

a) O nome e os contactos da organização e do pessoal do GIP a quem é confiado o tratamento de dados

PNR e os diferentes níveis de autorização de acesso;

b) Os pedidos apresentados pelas autoridades competentes, pelas unidades de informações de

passageiros de outros Estados-Membros e pela Europol;

c) Todos os pedidos e transferências de dados PNR para um país terceiro.

2 – O PUC-CPI conserva cópia da documentação relativa às alíneas b) e c) do número anterior.

3 – O GIP conserva, pelo menos, registos da recolha, consulta, divulgação e apagamento dos dados.

4 – Os registos das operações de consulta e de divulgação indicam, em especial, a finalidade, a data e a

hora dessas operações, a identidade da pessoa que consultou ou divulgou os dados PNR e, se possível, o

destino da informação, incluindo a identidade dos seus destinatários.

5 – Os registos e os documentos a que se referem os números anteriores só podem ser utilizados para

efeitos de verificação e de autocontrolo, para garantir a integridade e a segurança dos dados e para efeitos de

auditoria.

6 – O GIP disponibiliza a documentação e os registos referidos nos números anteriores à autoridade de

controlo, a pedido desta.

7 – Os registos a que se referem os n.os 2 e 3 são conservados durante um prazo de cinco anos.

8 – O GIP adota e aplica as medidas técnicas e de organização e os procedimentos adequados para

garantir um elevado nível de segurança, adaptado aos riscos que o tratamento representa e à natureza dos

dados PNR.

9 – Em caso de violação de dados pessoais que seja suscetível de resultar num elevado risco para a

proteção dos dados ou de prejudicar a privacidade do seu titular, o GIP comunica tal facto ao titular dos dados

e à autoridade nacional a que se refere o artigo seguinte, sem demora injustificada.

Artigo 14.º

Autoridade de controlo

A fiscalização da aplicação da presente lei compete à Comissão Nacional de Proteção de Dados (CNPD),

enquanto autoridade de controlo a que se refere o regime jurídico relativo à proteção das pessoas singulares

no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de

prevenção, deteção, investigação ou repressão de infrações penais ou de execução de sanções penais,

incluindo a salvaguarda e a prevenção de ameaças à segurança pública, que transpõe para a ordem jurídica

interna a Diretiva (UE) 2016/680, do Parlamento Europeu e do Conselho, de 27 de abril de 2016.