22 DE JULHO DE 2019

89

a) Se do tratamento resultar uma vantagem jurídica ou económica para o trabalhador; ou

b) Se esse tratamento estiver abrangido pelo disposto na alínea b) do n.º 1 do artigo 6.º do RGPD.

4 - As imagens gravadas e outros dados pessoais registados através da utilização de sistemas de vídeo ou

outros meios tecnológicos de vigilância à distância, nos termos previstos no artigo 20.º do Código do Trabalho,

só podem ser utilizados no âmbito do processo penal.

5 - Nos casos previstos no número anterior, as imagens gravadas e outros dados pessoais podem também

ser utilizados para efeitos de apuramento de responsabilidade disciplinar, na medida em que o sejam no

âmbito do processo penal.

6 - O tratamento de dados biométricos dos trabalhadores só é considerado legítimo para controlo de

assiduidade e para controlo de acessos às instalações do empregador, devendo assegurar-se que apenas se

utilizem representações dos dados biométricos e que o respetivo processo de recolha não permita a

reversibilidade dos referidos dados.

Artigo 29.º

Tratamento de dados de saúde e dados genéticos

1 – Nos tratamentos de dados de saúde e de dados genéticos, o acesso a dados pessoais rege-se pelo

princípio da necessidade de conhecer a informação.

2 – Nos casos previstos nas alíneas h) e i) do n.º 2 do artigo 9.º do RGPD, o tratamento dos dados

previstos no n.º 1 do mesmo artigo deve ser efetuado por um profissional obrigado a sigilo ou por outra pessoa

sujeita a dever de confidencialidade, devendo ser garantidas medidas adequadas de segurança da

informação.

3 – O acesso aos dados a que alude o número anterior é feito exclusivamente de forma eletrónica, salvo

impossibilidade técnica ou expressa indicação em contrário do titular dos dados, sendo vedada a sua

divulgação ou transmissão posterior.

4 – Os titulares de órgãos, trabalhadores e prestadores de serviços do responsável pelo tratamento de

dados de saúde e de dados genéticos, o encarregado de proteção de dados, os estudantes e investigadores

na área da saúde e da genética e todos os profissionais de saúde que tenham acesso a dados relativos à

saúde estão obrigados a um dever de sigilo.

5 – O dever de sigilo referido no número anterior é também aplicável a todos os titulares de órgãos e

trabalhadores que, no contexto do acompanhamento, financiamento ou fiscalização da atividade de prestação

de cuidados de saúde, tenham acesso a dados relativos à saúde.

6 – O titular dos dados deve ser notificado de qualquer acesso realizado aos seus dados pessoais,

cabendo ao responsável pelo tratamento assegurar a disponibilização desse mecanismo de rastreabilidade e

notificação.

7 – As medidas e os requisitos técnicos mínimos de segurança inerentes ao tratamento de dados a que

alude o n.º 1 são aprovados por portaria dos membros do Governo responsáveis pelas áreas da saúde e da

justiça, que deve regulamentar, nomeadamente, as seguintes matérias:

a) Estabelecimento de permissões de acesso aos dados pessoais diferenciados, em razão da necessidade

de conhecer e da segregação de funções;

b) Requisitos de autenticação prévia de quem acede;

c) Registo eletrónico dos acessos e dos dados acedidos.

Artigo 30.º

Bases de dados ou registos centralizados de saúde

1 - Os dados relativos à saúde podem ser organizados em bases de dados ou registos centralizados

assentes em plataformas únicas, quando tratados para efeitos das finalidades legalmente previstas no RGPD

e na legislação nacional.