22 DE JULHO DE 2019

61

em conformidade com a presente lei.

2 - As medidas adotadas nos termos do número anterior são regularmente avaliadas e atualizadas.

Artigo 21.º

Requisitos mínimos da proteção de dados

1 - O responsável pelo tratamento adota as medidas técnicas e organizativas que assegurem de forma

eficaz o respeito pelos princípios da proteção de dados, bem como as garantias necessárias para satisfazer os

requisitos estabelecidos na presente lei e para proteger os direitos dos titulares dos dados.

2 - O responsável pelo tratamento aplica as medidas técnicas e organizativas adequadas que assegurem

que apenas são tratados os dados pessoais necessários para cada finalidade específica do tratamento.

3 - Para os efeitos do número anterior, o responsável pelo tratamento avalia o volume de dados pessoais

recolhidos, a extensão do tratamento, o prazo de conservação e a acessibilidade, devendo assegurar que, por

defeito, os dados pessoais não são disponibilizados a um número indeterminado de pessoas sem o

consentimento do respetivo titular dos dados.

4 - As medidas referidas no n.º 1 são asseguradas tanto nos momentos da conceção, do desenvolvimento

e da aplicação dos meios de tratamento como no momento do próprio tratamento, de modo a permitir,

designadamente, a pseudonimização e a minimização dos dados.

Artigo 22.º

Responsáveis conjuntos pelo tratamento

1 - Para os efeitos da presente lei, quando dois ou mais responsáveis pelo tratamento de dados

determinam conjuntamente as finalidades e os meios do tratamento, ambos são responsáveis conjuntos pelo

tratamento.

2 - Os responsáveis conjuntos determinam as respetivas responsabilidades por mútuo acordo, de forma

transparente e devidamente documentada a fim de garantir o cumprimento da presente lei, nomeadamente no

que diz respeito ao exercício dos direitos do titular dos dados e aos deveres de facultar a informação a que se

refere o artigo 14.º, salvo nos casos em que a responsabilidade seja determinada por lei.

3 - O acordo previsto no número anterior identifica qual dos responsáveis é o ponto de contacto dos

titulares dos dados para o exercício dos seus direitos, sem prejuízo de a pretensão poder ser dirigida a

qualquer deles.

Artigo 23.º

Tratamento dos dados por subcontratante

1 - O responsável pelo tratamento pode recorrer a subcontratantes que apresentem garantias suficientes de

adoção de medidas técnicas e organizativas adequadas de modo a que o tratamento satisfaça os requisitos

estabelecidos na presente lei e assegure a proteção dos direitos do titular dos dados.

2 - O subcontratante não pode recorrer a outro subcontratante sem a autorização prévia específica ou

geral, por escrito, do responsável pelo tratamento, com exceção dos casos em que a subcontratação esteja

prevista na lei.

3 - Em caso de autorização geral, o subcontratante informa o responsável pelo tratamento de todas as

alterações pretendidas quanto à contratação de outros subcontratantes, podendo o responsável pelo

tratamento opor-se a essas alterações.

4 - O tratamento de dados em subcontratação é regulado por contrato escrito ou por lei que estabeleça o

objeto, a duração, a natureza e a finalidade do tratamento, o tipo de dados pessoais e as categorias de

titulares de dados a tratar, bem como as obrigações e os direitos do responsável pelo tratamento.

5 - O contrato ou a lei referidos no número anterior preveem, designadamente, que o subcontratante:

a) Só aja de acordo com as instruções do responsável pelo tratamento;

b) Assegure que as pessoas autorizadas a tratar os dados pessoais assumem um compromisso de