II SÉRIE-A — NÚMERO 131

92

seguintes circunstâncias:

i) Omissão de informação das finalidades a que se destina o tratamento;

ii) Omissão de informação acerca dos destinatários ou categorias de destinatários dos dados pessoais;

iii) Omissão de informação acerca do direito de retirar o consentimento nos casos previstos na alínea a)

do n.º 1 do artigo 6.º e na alínea a) do n.º 2 do artigo 9.º do RGPD;

i) Não permitir, não assegurar ou dificultar o exercício dos direitos previstos nos artigos 15.º a 22.º do

RGPD;

j) A transferência internacional de dados pessoais em violação do disposto nos artigos 44.º a 49.º do

RGPD;

k) O incumprimento das decisões da autoridade de controlo previstas no n.º 2 do artigo 58.º do RGPD, ou

recusa da colaboração que lhe seja exigida pela CNPD, no exercício dos seus poderes;

l) A violação das regras previstas no capítulo VI da presente lei.

2 - As contraordenações referidas no número anterior são punidas com coima:

a) De 5000 € a 20 000 000 € ou 4% do volume de negócios anual, a nível mundial, conforme o que for

mais elevado, tratando-se de grande empresa;

b) De 2000 € a 2 000 000 € ou 4% do volume de negócios anual, a nível mundial, conforme o que for mais

elevado, tratando-se de PME;

c) De 1000 € a 500 000 €, no caso de pessoas singulares.

Artigo 38.º

Contraordenações graves

1 - Constituem contraordenações graves:

a) A violação do disposto no artigo 8.º do RGPD;

b) A não prestação da restante informação prevista nos artigos 13.º e 14.º do RGPD;

c) A violação do disposto nos artigos 24.º e 25.º do RGPD;

d) A violação das obrigações previstas no artigo 26.º do RGPD;

e) A violação do disposto no artigo 27.º do RGPD;

f) A violação das obrigações previstas no artigo 28.º do RGPD;

g) A violação do disposto no artigo 29.º do RGPD;

h) A ausência de registo dos tratamentos de dados pessoais em violação do disposto no artigo 30.º do

RGPD;

i) A violação das regras de segurança previstas no artigo 32.º do RGPD;

j) O incumprimento dos deveres previstos no artigo 33.º do RGPD;

k) O incumprimento do dever de informar o titular dos dados pessoais nas situações previstas no artigo

34.º do RGPD;

l) O incumprimento da obrigação de realizar avaliações de impacto nos casos previstos no artigo 35.º do

RGPD;

m) O incumprimento da obrigação de consultar a autoridade de controlo previamente à realização de

operações de tratamento de dados nos casos previstos no artigo 36.º do RGPD;

n) O incumprimento dos deveres previstos no artigo 37.º do RGPD;

o) A violação do disposto no artigo 38.º do RGPD, nomeadamente no que respeita às garantias de

independência do encarregado de proteção de dados;

p) O incumprimento dos deveres previstos no artigo 39.º do RGPD;

q) A prática de atos de supervisão de códigos de conduta por organismos não acreditados pela autoridade

de controlo nos termos do artigo 41.º do RGPD;

r) O incumprimento, por parte dos organismos de supervisão de códigos de conduta, do previsto no n.º 4