II SÉRIE-A — NÚMERO 131

62

confidencialidade ou se encontram sujeitas a obrigações legais de confidencialidade;

c) Preste assistência ao responsável pelo tratamento por todos os meios adequados de modo a assegurar

o cumprimento das disposições relativas aos direitos do titular dos dados;

d) Após concluir os serviços de tratamento, apague de forma definitiva ou devolva os dados ao

responsável pelo tratamento, consoante a escolha deste, e apague as cópias existentes, a menos que a sua

conservação seja exigida por lei;

e) Disponibilize ao responsável pelo tratamento as informações necessárias para demonstrar o

cumprimento do disposto no presente artigo;

f) Respeite as condições referidas nos n.os 2 e 3 no que respeita à contratação de outro subcontratante;

g) Adote as medidas técnicas e organizativas adequadas que assegurem a proteção dos dados pessoais,

em conformidade com o exigido na presente lei, devendo considerar o princípio da proteção de dados desde a

conceção e por defeito.

Artigo 24.º

Tratamento sob a autoridade do responsável pelo tratamento ou do subcontratante

O subcontratante, bem como qualquer pessoa que, agindo sob a autoridade deste ou do responsável pelo

tratamento, tenha acesso a dados pessoais, não pode efetuar o respetivo tratamento sem instruções do

responsável pelo tratamento.

Artigo 25.º

Dever de sigilo

Os responsáveis pelo tratamento, os subcontratantes, bem como qualquer outra pessoa que, no exercício

das suas funções, tenha acesso aos dados pessoais, ficam obrigados a sigilo profissional, mesmo após o

termo das suas funções.

Artigo 26.º

Registos das atividades de tratamento

1 - O responsável pelo tratamento conserva um registo de todas as categorias de atividades de tratamento

sob a sua responsabilidade.

2 - O registo deve conter:

a) O nome e os contactos do responsável pelo tratamento e, se for o caso, dos responsáveis conjuntos

pelo tratamento e do encarregado da proteção de dados;

b) As finalidades do tratamento;

c) As categorias de destinatários aos quais os dados pessoais são divulgados ou facultados, incluindo os

destinatários estabelecidos em países terceiros ou organizações internacionais;

d) A descrição das categorias de titulares de dados e das categorias de dados pessoais;

e) A utilização da definição de perfis, se for caso disso;

f) As categorias de transferências de dados pessoais para um país terceiro ou para uma organização

internacional, se for caso disso;

g) A indicação do fundamento jurídico do tratamento, incluindo das transferências, a que os dados

pessoais se destinam;

h) Se possível, os prazos de conservação das diferentes categorias de dados pessoais ou os

procedimentos previstos para revisão periódica da necessidade de conservação;

i) Uma descrição geral das medidas técnicas e organizativas em matéria de segurança referidas no artigo

31.º;

j) Os pedidos apresentados pelos titulares dos dados e a respetiva tramitação, bem como as decisões do

responsável pelo tratamento com a correspondente fundamentação.