II SÉRIE-A — NÚMERO 131

82

responsabilidade do Sistema de Informações da República Portuguesa, que se rege por disposições

específicas, nos termos da lei.

CAPÍTULO II

Comissão Nacional de Proteção de Dados

Artigo 3.º

Autoridade de controlo nacional

AComissão Nacional de Proteção de Dados (CNPD) é a autoridade de controlo nacional para efeitos do

RGPD e da presente lei.

Artigo 4.º

Natureza e independência

1 - A CNPD é uma entidade administrativa independente, com personalidade jurídica de direito público e

poderes de autoridade, dotada de autonomia administrativa e financeira, que funciona junto da Assembleia da

República.

2 - A CNPD controla e fiscaliza o cumprimento do RGPD e da presente lei, bem como das demais

disposições legais e regulamentares em matéria de proteção de dados pessoais,a fim de defender os direitos,

liberdades e garantias das pessoas singulares no âmbito dos tratamentos de dados pessoais.

3 - A CNPD age com independência na prossecução das suas atribuições e no exercício dos poderes que

lhe são atribuídos pela presente lei.

4 - Os membros da CNPD ficam sujeitos ao regime de incompatibilidades estabelecido para os titulares de

altos cargos públicos, não podendo, durante o seu mandato, desempenhar outra atividade, remunerada ou

não, com exceção da atividade de docência no ensino superior e de investigação.

Artigo 5.º

Composição e funcionamento

A composição, o modo de designação e o estatuto remuneratório dos membros da CNPD, bem como a

respetiva orgânica e quadro de pessoal, são aprovados por lei da Assembleia da República.

Artigo 6.º

Atribuições e competências

1 - Para além do disposto no artigo 57.º do RGPD, a CNPD prossegue as seguintes atribuições:

a) Pronunciar-se, a título não vinculativo, sobre as medidas legislativas e regulamentares relativas à

proteção de dados pessoais, bem como sobre instrumentos jurídicos em preparação, em instituições

europeias ou internacionais, relativos à mesma matéria;

b) Fiscalizar o cumprimento das disposições do RGPD e das demais disposições legais e regulamentares

relativas à proteção de dados pessoais e dos direitos, liberdades e garantias dos titulares dos dados, e corrigir

e sancionar o seu incumprimento;

c) Disponibilizar uma lista de tratamentos sujeitos à avaliação do impacto sobre a proteção de dados, nos

termos do n.º 4 do artigo 35.º do RGPD, definindo igualmente critérios que permitam densificar a noção de

elevado risco prevista nesse artigo;

d) Elaborar e apresentar ao Comité Europeu para a Proteção de Dados, previsto no RGPD, os projetos de

critérios para a acreditação dos organismos de monitorização de códigos de conduta e dos organismos de

certificação, nos termos dos artigos 41.º e 43.º do RGPD, e assegurar a posterior publicação dos critérios,

caso sejam aprovados;