22 DE JULHO DE 2019

83

e) Cooperar com o Instituto Português de Acreditação, I.P. (IPAC, I.P.), relativamente à aplicação do

disposto no artigo 14.º da presente lei, bem como na definição de requisitos adicionais de acreditação, tendo

em vista a salvaguarda da coerência de aplicação do RGPD.

2 - A CNPD exerce as competências previstas no artigo 58.º do RGPD.

Artigo 7.º

Avaliações prévias de impacto

1 - Nos termos do n.º 5 do artigo 35.º do RGPD, a CNPD difunde uma lista de tipos de tratamentos de

dados cuja avaliação prévia de impacto não é obrigatória.

2 - O disposto no número anterior não impede os responsáveis pelo tratamento de efetuar uma avaliação

prévia de impacto por iniciativa própria.

3 - As listas referidas nos n.os 4 e 5 do artigo 35.º do RGPD são publicitadas no sítio da CNPD na Internet.

Artigo 8.º

Dever de colaboração

1 - As entidades públicas e privadas devem prestar a sua colaboração à CNPD, facultando-lhe todas as

informações que por esta lhes sejam solicitadas, no exercício das suas atribuições e competências.

2 - O dever de colaboração é assegurado, designadamente, quando a CNPD tiver necessidade, para o

cabal exercício das suas funções, de examinar o sistema informático e os ficheiros de dados pessoais, bem

como toda a documentação relativa ao tratamento e transmissão de dados pessoais.

3 - Os membros da CNPD, bem como os seus trabalhadores, prestadores de serviços ou pessoas por si

mandatadas, estão obrigados ao dever de sigilo profissional, nomeadamente quanto aos dados pessoais,

segredo profissional, segredo industrial ou comercial ou informações confidenciais a que tenham acesso no

exercício das suas funções.

4 - O dever de sigilo mantém-se após o termo das respetivas funções.

5 - O dever de colaboração previsto nos números anteriores, bem como os poderes de fiscalização da

CNPD, não prejudicam o dever de segredo a que o responsável pelo tratamento esteja obrigado nos termos

da lei ou de normas internacionais.

CAPÍTULO III

Encarregado de proteção de dados

Artigo 9.º

Disposição geral

1- O encarregado de proteção de dados é designado com base nos requisitos previstos no n.º 5 do artigo

37.º do RGPD, não carecendo de certificação profissional para o efeito.

2- Independentemente da natureza da sua relação jurídica, o encarregado de proteção de dados exerce a

sua função com autonomia técnica perante a entidade responsável pelo tratamento ou subcontratante.

Artigo 10.º

Dever de sigilo e confidencialidade

1 – De acordo com o disposto no n.º 5 do artigo 38.º do RGPD, o encarregado de proteção de dados está

obrigado a um dever de sigilo profissional em tudo o que diga respeito ao exercício dessas funções, que se

mantém após o termo das funções que lhes deram origem.

2 – O encarregado de proteção de dados, bem como os responsáveis pelo tratamento de dados, incluindo

os subcontratantes, e todas as pessoas que intervenham em qualquer operação de tratamento de dados,