II SÉRIE-E — NÚMERO 21

10

CAPÍTULO IV

Reporte à autoridade de controlo

Artigo 22.º

Contactos com autoridades de controlo

1 – Os contactos com autoridades de controlo são feitos através do encarregado, nos termos da alínea e) do

n.º 1 do artigo 39.º do RGPD, salvo se, nos termos da alínea b) do n.º 3 do artigo 33.º, outro contacto for escolhido

pelo Secretário-Geral da Assembleia da República.

2 – Assim que tenha conhecimento de uma violação de dados pessoais, a Assembleia da República deve

notificá-la à autoridade de controlo, sem demora injustificada e, sempre que possível, no prazo de 72 horas após

ter tido conhecimento do ocorrido, a menos que seja capaz de demonstrar, em conformidade com o princípio da

responsabilidade, que essa violação não é suscetível de implicar um risco para os direitos e liberdades das

pessoas singulares.

3 – Caso a violação de dados pessoais possa afetar negativamente a privacidade do titular dos dados (i.e.,

seja suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares), a Assembleia

da República deve também notificar os titulares dos dados.

4 – Se não for possível efetuar a notificação referida no número anterior no prazo de 72 horas, a notificação

deve ser acompanhada dos motivos do atraso.

5 – Todas as violações ocorridas, os efeitos e as medidas de reparação devem ser documentados, de forma

a permitir, à autoridade de controlo, verificar o cumprimento das regras previstas no RGPD.

Artigo 23.º

Normas sobre reporte

Quando as unidades orgânicas proponham normas que impõem o envio de informação à Assembleia da

República devem indicar:

a) A finalidade do tratamento;

b) Os instrumentos de análise dos dados a exigir, especificando a periodicidade da análise e a sua natureza,

automática ou não;

c) A conexão que será feita com dados já exigidos.

d) A definição de responsabilidades e procedimentos operacionais de resposta a incidentes com dados

pessoais.

Artigo 24.º

Norma final

O EPD, em conjunto com as unidades competentes, com as interessadas e com o administrador de

segurança da Assembleia da República, propõe soluções para os registos de atividades de tratamento de dados

e medidas de segurança dos mesmos.

Artigo 25.º

Entrada em vigor

O presente regulamento entra em vigor no dia seguinte ao da sua publicação.

———