23 DE JUNHO DE 2023

63

que tal se revele necessário para salvaguardar os interesses a que se referem as alíneas d) ou e) do n.º 1 do

artigo 23.º do mesmo regulamento.

2 – A Autoridade Tributária e Aduaneira, as instituições financeiras reportantes, os intermediários e os

operadores de plataformas reportantes são considerados responsáveis pelo tratamento de dados nos casos em

que, agindo individualmente ou em conjunto, determinem as finalidades e os meios de tratamento de dados

pessoais na aceção do RGPD.

3 – Compete às instituições financeiras reportantes, aos intermediários ou aos operadores de plataformas

reportantes, consoante o caso:

a) Informar cada pessoa singular em causa de que as informações que lhe dizem respeito são recolhidas e

transmitidas em conformidade com o disposto no presente decreto-lei e na Diretiva 2011/16/UE, do Conselho,

de 15 de fevereiro de 2011, relativa à cooperação administrativa no domínio da fiscalidade; e

b) Fornecer a cada pessoa singular em causa todas as informações provenientes do responsável pelo

tratamento de dados a que tenha direito, com a antecedência suficiente para que essa pessoa possa exercer os

seus direitos em matéria de proteção de dados e, em qualquer caso, antes de as informações serem

comunicadas.

4 – Sem prejuízo do disposto no número anterior, os operadores de plataformas reportantes devem informar

os vendedores sujeitos a comunicação da contrapartida comunicada.

5 – As instituições financeiras reportantes estão dispensadas das obrigações previstas no n.º 3 quando:

a) O consentimento prévio dos titulares das contas sujeitas a comunicação já tenha sido obtido pelas

instituições financeiras reportantes ao abrigo de outras obrigações legais de comunicação da mesma natureza

e fins, desde que aplicáveis relativamente à mesma conta sujeita a comunicação;

b) A informação já tenha sido prestada aos titulares das contas sujeitas a comunicação antes de ser efetuada

a primeira comunicação e não tenha havido alterações à conta sujeita a comunicação nos anos subsequentes.

6 – O titular dos dados exerce o seu direito de acesso aos dados transmitidos ao abrigo do presente decreto-

lei junto da Autoridade Tributária e Aduaneira, em conformidade com o disposto no artigo 15.º do RGPD.

7 – As informações sobre as contas financeiras e seus titulares que são objeto de comunicação, bem como

os documentos que justificam as declarações prestadas e as informações recolhidas em cumprimento das

obrigações de diligência devida e comunicação impostas às instituições financeiras reportantes ao abrigo do

presente decreto-lei devem ser por estas conservadas, em boa ordem, pelo período de seis anos contados a

partir do final do ano em que os procedimentos tenham sido efetuados.

8 – As informações transmitidas e recebidas nos termos do presente decreto-lei são conservadas pela

Autoridade Tributária e Aduaneira apenas durante o tempo necessário para a prossecução das finalidades para

que foram recolhidas ou são tratadas, não podendo ultrapassar o máximo de 12 anos, suspendendo-se a

contagem desse prazo nas situações e termos previstos no artigo 46.º da Lei Geral Tributária.

Artigo 16.º-A

Segurança e confidencialidade do tratamento dos dados

1 – A Autoridade Tributária e Aduaneira deve:

a) Adaptar os seus sistemas para permitir a troca das informações através da Rede Comum de

Comunicações (rede CCN) ou de outra rede que garanta segurança equivalente;

b) Implementar as medidas técnicas e organizativas adequadas para garantir um nível de segurança dos

dados pessoais adequado ao risco, em conformidade com o disposto no artigo 32.º do RGPD;

c) (Revogada.)

2 – A Autoridade Tributária e Aduaneira deve notificar as pessoas singulares sujeitas a comunicação da

ocorrência de qualquer violação da segurança dos dados que lhes dizem respeito, quando tal for suscetível de