22 DE JANEIRO DE 2019

9

transpõe para a ordem jurídica interna a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27

de abril de 2016, nomeadamente quanto ao direito de acesso, retificação, apagamento e limitação, direito a

indemnização e a recurso judicial, confidencialidade do tratamento e segurança dos dados.

2 - O disposto no número anterior não prejudica a aplicação do Regulamento Geral sobre a Proteção de

Dados, aprovado pelo Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de

2016, ao tratamento de dados pessoais pelas transportadoras aéreas, especialmente no que se refere às suas

obrigações de tomarem as medidas técnicas e organizativas adequadas para proteger a segurança e

confidencialidade dos dados pessoais.

3 - É proibido o tratamento de dados PNR que revelem a raça ou origem étnica da pessoa, as suas opiniões

políticas, religião ou convicções filosóficas, filiação sindical, saúde, vida ou orientação sexual.

4 - Se receber dados PNR que revelem as informações a que se refere o número anterior, o GIP procede ao

seu apagamento imediato.

5 - Ao tratamento, pelas autoridades competentes, de dados PNR transferidos para essas entidades, a que

se refere o artigo 7.º, é aplicável o disposto na lei processual penal e no regime jurídico referido no n.º 1.

Artigo 13.º

Controlo do tratamento de dados PNR

1 - O GIP conserva a documentação relativa a todos os sistemas e procedimentos de tratamento de dados

sob a sua responsabilidade, incluindo, pelo menos:

a) O nome e os contactos da organização e do pessoal do GIP a quem é confiado o tratamento de dados

PNR e os diferentes níveis de autorização de acesso;

b) Os pedidos apresentados pelas autoridades competentes, pelas unidades de informações de passageiros

de outros Estados-Membros e pela Europol;

c) Todos os pedidos e transferências de dados PNR para um país terceiro.

2 - O PUC-CPI conserva cópia da documentação relativa às alíneas b) e c) do número anterior.

3 - O GIP conserva, pelo menos, registos da recolha, consulta, divulgação e apagamento dos dados.

4 - Os registos das operações de consulta e de divulgação indicam, em especial, a finalidade, a data e a hora

dessas operações, a identidade da pessoa que consultou ou divulgou os dados PNR e, se possível, o destino

da informação, incluindo a identidade dos seus destinatários.

5 - Os registos e os documentos a que se referem os números anteriores só podem ser utilizados para efeitos

de verificação e de autocontrolo, para garantir a integridade e a segurança dos dados e para efeitos de auditoria.

6 - O GIP disponibiliza a documentação e os registos referidos nos números anteriores à autoridade de

controlo, a pedido desta.

7 - Os registos a que se referem os n.os 2 e 3 são conservados durante um prazo de cinco anos.

8 - O GIP adota e aplica as medidas técnicas e de organização e os procedimentos adequados para garantir

um elevado nível de segurança, adaptado aos riscos que o tratamento representa e à natureza dos dados PNR.

9 - Em caso de violação de dados pessoais que seja suscetível de resultar num elevado risco para a proteção

dos dados ou de prejudicar a privacidade do seu titular, o GIP comunica tal facto ao titular dos dados e à

autoridade nacional a que se refere o artigo seguinte, sem demora injustificada.

Artigo 14.º

Autoridade de controlo

A fiscalização da aplicação da presente lei compete à CNPD, enquanto autoridade de controlo a que se refere

o regime jurídico relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais

pelas autoridades competentes para efeitos de prevenção, deteção, investigação ou repressão de infrações

penais ou de execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança

pública, que transpõe para a ordem jurídica interna a Diretiva (UE) 2016/680 do Parlamento Europeu e do

Conselho, de 27 de abril de 2016.