1.   O presente regulamento estabelece as regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados. 2.   O presente regulamento defende os direitos e as liberdades fundamentais das pessoas singulares, nomeadamente o seu direito à proteção dos dados pessoais. 3.   A livre circulação de dados pessoais no interior da União não é restringida nem proibida por motivos relacionados com a proteção das pessoas singulares no que respeita ao tratamento de dados pessoais. Considerandos adequados Considerando 1 - Proteção De Dados Como Um Direito FundamentalConsiderando 2 - Respeito Dos Direitos E Liberdades FundamentaisConsiderando 3 - Diretiva 95/46/Ce HarmonizaçãoConsiderando 4 - Proteção De Dados Em Equilíbrio Com Outros Direitos FundamentaisConsiderando 5 - Cooperação Entre Os Estados-Membros Para Troca De Dados PessoaisConsiderando 6 - Garantir Um Alto Nível De Proteção De Dados Apesar Do Aumento Na Troca De DadosConsiderando 7 - A Estrutura É Baseada No Controle E Na CertezaConsiderando 8 - Adoção Na Legislação NacionalConsiderando 9 - Diferentes Níveis De Proteção Pela Diretiva 95/46/CeConsiderando 10 - Nível Harmonizado De Proteção De Dados Apesar Do Âmbito NacionalConsiderando 11 - Harmonização Dos Poderes E SançõesConsiderando 12 - Autorização Do Parlamento Europeu E Do Conselho Principais questões relacionadas GDPR Dados Pessoais RGPD Processamento GDPR Privacidade desde a Conceção

1.   O presente regulamento aplica-se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados. 2.   O presente regulamento não se aplica ao tratamento de dados pessoais: a) Efetuado no exercício de atividades não sujeitas à aplicação do direito da União: b) Efetuado pelos Estados-Membros no exercício de atividades abrangidas pelo âmbito de aplicação do título V, capítulo 2, do TUE; c) Efetuado por uma pessoa singular no exercício de atividades exclusivamente pessoais ou domésticas; d) Efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública. Considerandos adequados Considerando 13 - Tendo Em Conta As Micro, Pequenas E Médias EmpresasConsiderando 14 - Não Aplicável A Pessoas JurídicasConsiderando 15 - Neutralidade TecnológicaConsiderando 16 - Não Aplicável A Atividades Relacionadas À Segurança Nacional E ComumConsiderando 17 - Adaptação Do Regulamento (Ce) Nº 45/2001Considerando 18 - Não Aplicável A Atividades Pessoais Ou DomésticasConsiderando 19 - Não Aplicável À Perseguição CriminalConsiderando 20 - Respeitando A Independência Do Poder JudiciárioConsiderando 21 - As Regras De Responsabilidade Dos Prestadores De Serviços Intermediários Não Serão AfetadasConsiderando 27 - Não Aplicável A Dados De Pessoas Falecidas Principais questões relacionadas GDPR Dados Pessoais RGPD Países Terceiros

1.   O presente regulamento aplica-se ao tratamento de dados pessoais efetuado no contexto das atividades de um estabelecimento de um responsável pelo tratamento ou de um subcontratante situado no território da União, independentemente de o tratamento ocorrer dentro ou fora da União. 2.   O presente regulamento aplica-se ao tratamento de dados pessoais de titulares residentes no território da União, efetuado por um responsável pelo tratamento ou subcontratante não estabelecido na União, quando as atividades de tratamento estejam relacionadas com: a) A oferta de bens ou serviços a esses titulares de dados na União, independentemente da exigência de os titulares dos dados procederem a um pagamento; b) O controlo do seu comportamento, desde que esse comportamento tenha lugar na União. 3.   O presente regulamento aplica-se ao tratamento de dados pessoais por um responsável pelo tratamento estabelecido não na União, mas num lugar em que se aplique o direito de um Estado-Membro por força do direito internacional público. Considerandos adequados Considerando 22 - Tratamento Por Um EstabelecimentoConsiderando 23 - Aplicável A Controladores/Processadores Não Estabelecidos Na União Se Titulares De Dados Dentro Da União Forem AlvoConsiderando 24 - Aplicável A Controladores/Processadores Não Estabelecidos Na União Se Sujeitos De Dados Dentro Da União Forem PerfiladosConsiderando 25 - Aplicável A Controladores Devido Ao Direito Internacional Principais questões relacionadas RGPD Processamento GDPR Encarregado de Proteção de Dados

Para efeitos do presente regulamento, entende-se por: 1) «Dados pessoais», informação relativa a uma pessoa singular identificada ou identificável («titular dos dados»); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular; 2) «Tratamento», uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição; 3) «Limitação do tratamento», a inserção de uma marca nos dados pessoais conservados com o objetivo de limitar o seu tratamento no futuro; 4) «Definição de perfis», qualquer forma de tratamento automatizado de dados pessoais que consista em utilizar esses dados pessoais para avaliar certos aspetos pessoais de uma pessoa singular, nomeadamente para analisar ou prever aspetos relacionados com o seu desempenho profissional, a sua situação económica, saúde, preferências pessoais, interesses, fiabilidade, comportamento, localização ou deslocações; 5) «Pseudonimização», o tratamento de dados pessoais de forma que deixem de poder ser atribuídos a um titular de dados específico sem recorrer a informações suplementares, desde que essas informações suplementares sejam mantidas separadamente e sujeitas a medidas técnicas e organizativas para assegurar que os dados pessoais não possam ser atribuídos a uma pessoa singular identificada ou identificável; 6) «Ficheiro», qualquer conjunto estruturado de dados pessoais, acessível segundo critérios específicos, quer seja centralizado, descentralizado ou repartido de modo funcional ou geográfico; 7) «Responsável pelo tratamento», a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais; sempre que as finalidades e os meios desse tratamento sejam determinados pelo direito da União ou de um Estado-Membro, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser previstos pelo direito da União ou de um Estado-Membro; 8) «Subcontratante», uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que trate os dados pessoais por conta do responsável pelo tratamento destes; 9) «Destinatário», uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que recebem comunicações de dados pessoais, independentemente de se tratar ou não de um terceiro. Contudo, as autoridades públicas que possam receber dados pessoais no âmbito de inquéritos específicos nos termos do direito da União ou dos Estados-Membros não são consideradas destinatários; o tratamento desses dados por essas autoridades públicas deve cumprir as regras de proteção de dados aplicáveis em função das finalidades do tratamento; 10) «Terceiro», a pessoa singular ou coletiva, a autoridade pública, o serviço ou organismo que não seja o titular dos dados, o responsável pelo tratamento, o subcontratante e as pessoas que, sob a autoridade direta do responsável pelo tratamento ou do subcontratante, estão autorizadas a tratar os dados pessoais; 11) «Consentimento» do titular dos dados, uma manifestação de vontade, livre, específica, informada e explícita, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento; 12) «Violação de dados pessoais», uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento; 13) «Dados genéticos», os dados pessoais relativos às características genéticas, hereditárias ou adquiridas, de uma pessoa singular que deem informações únicas sobre a fisiologia ou a saúde dessa pessoa singular e que resulta designadamente de uma análise de uma amostra biológica proveniente da pessoa singular em causa; 14) «Dados biométricos», dados pessoais resultantes de um tratamento técnico específico relativo às características físicas, fisiológicas ou comportamentais de uma pessoa singular que permitam ou confirmem a identificação única dessa pessoa singular, nomeadamente imagens faciais ou dados dactiloscópicos; 15) «Dados relativos à saúde», dados pessoais relacionados com a saúde física ou mental de uma pessoa singular, incluindo a prestação de serviços de saúde, que revelem informações sobre o seu estado de saúde; 16) «Estabelecimento principal»: a) No que se refere a um responsável pelo tratamento com estabelecimentos em vários Estados-Membros, o local onde se encontra a sua administração central na União, a menos que as decisões sobre as finalidades e os meios de tratamento dos dados pessoais sejam tomadas noutro estabelecimento do responsável pelo tratamento na União e este último estabelecimento tenha competência para mandar executar tais decisões, sendo neste caso o estabelecimento que tiver tomado as referidas decisões considerado estabelecimento principal; b) No que se refere a um subcontratante com estabelecimentos em vários Estados-Membros, o local onde se encontra a sua administração central na União ou, caso o subcontratante não tenha administração central na União, o estabelecimento do subcontratante na União onde são exercidas as principais atividades de tratamento no contexto das atividades de um estabelecimento do subcontratante, na medida em que se encontre sujeito a obrigações específicas nos termos do presente regulamento; 18) «Empresa», uma pessoa singular ou coletiva que, independentemente da sua forma jurídica, exerce uma atividade económica, incluindo as sociedades ou associações que exercem regularmente uma atividade económica; 19) «Grupo empresarial», um grupo composto pela empresa que exerce o controlo e pelas empresas controladas; 20) «Regras vinculativas aplicáveis às empresas», as regras internas de proteção de dados pessoais aplicadas por um responsável pelo tratamento ou um subcontratante estabelecido no território de um Estado-Membro para as transferências ou conjuntos de transferências de dados pessoais para um responsável ou subcontratante num ou mais países terceiros, dentro de um grupo empresarial ou de um grupo de empresas envolvidas numa atividade económica conjunta; 22) «Autoridade de controlo interessada», uma autoridade de controlo afetada pelo tratamento de dados pessoais pelo facto de: a) O responsável pelo tratamento ou o subcontratante estar estabelecido no território do Estado-Membro dessa autoridade de controlo; b) Os titulares de dados que residem no Estado-Membro dessa autoridade de controlo serem substancialmente afetados, ou suscetíveis de o ser, pelo tratamento dos dados; ou c) Ter sido apresentada uma reclamação junto dessa autoridade de controlo; 23) «Tratamento transfronteiriço»: a) O tratamento de dados pessoais que ocorre no contexto das atividades de estabelecimentos em mais do que um Estado-Membro de um responsável pelo tratamento ou um subcontratante na União, caso o responsável pelo tratamento ou o subcontratante esteja estabelecido em mais do que um Estado-Membro; ou b) O tratamento de dados pessoais que ocorre no contexto das atividades de um único estabelecimento de um responsável pelo tratamento ou de um subcontratante, mas que afeta substancialmente, ou é suscetível de afetar substancialmente, titulares de dados em mais do que um Estados-Membro; 24) «Objeção pertinente e fundamentada», uma objeção a um projeto de decisão que visa determinar se há violação do presente regulamento ou se a ação prevista relativamente ao responsável pelo tratamento ou ao subcontratante está em conformidade com o presente regulamento, demonstrando claramente a gravidade dos riscos que advêm do projeto de decisão para os direitos e liberdades fundamentais dos titulares dos dados e, eventualmente, para a livre circulação de dados pessoais no território da União; 26) «Organização internacional», uma organização e os organismos de direito internacional público por ela tutelados, ou outro organismo criado por um acordo celebrado entre dois ou mais países ou com base num acordo dessa natureza. Considerandos adequados Considerando 15 - Neutralidade TecnológicaConsiderando 24 - Aplicável A Controladores/Processadores Não Estabelecidos Na União Se Sujeitos De Dados Dentro Da União Forem PerfiladosConsiderando 26 - Não Aplicável A Dados AnônimosConsiderando 28 - Introdução Da PseudonimizaçãoConsiderando 29 - Pseudonimização No Mesmo ControladorConsiderando 30 - Identificadores Online Para Perfilação E IdentificaçãoConsiderando 31 - Não Aplicável Às Autoridades Públicas Em Conexão Com Suas Tarefas OficiaisConsiderando 34 - Dados GenéticosConsiderando 35 - Dados De SaúdeConsiderando 36 - Determinação Do Estabelecimento PrincipalConsiderando 37 - Grupo De Empresas Principais questões relacionadas GDPR Criptografia GDPR Registros das Atividades de Tratamento

1.   Os dados pessoais são: a) Objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados («licitude, lealdade e transparência»); c) Adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados («minimização dos dados»); d) Exatos e atualizados sempre que necessário; devem ser adotadas todas as medidas adequadas para que os dados inexatos, tendo em conta as finalidades para que são tratados, sejam apagados ou retificados sem demora («exatidão»); f) Tratados de uma forma que garanta a sua segurança, incluindo a proteção contra o seu tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidental, adotando as medidas técnicas ou organizativas adequadas («integridade e confidencialidade»); Considerandos adequados Considerando 39 - Princípios Do Tratamento De DadosConsiderando 74 - Responsabilidade E Obrigação Do Controlador Principais questões relacionadas GDPR Direito à Informação GDPR Privacidade desde a Conceção GDPR Criptografia

1.   O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações: a) O titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas; b) O tratamento for necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré-contratuais a pedido do titular dos dados; c) O tratamento for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito; d) O tratamento for necessário para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular; e) O tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento; f) O tratamento for necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for uma criança. O primeiro parágrafo, alínea f), não se aplica ao tratamento de dados efetuado por autoridades públicas na prossecução das suas atribuições por via eletrónica. a) Pelo direito da União; ou b) Pelo direito do Estado-Membro ao qual o responsável pelo tratamento está sujeito. a) Qualquer ligação entre a finalidade para a qual os dados pessoais foram recolhidos e a finalidade do tratamento posterior; b) O contexto em que os dados pessoais foram recolhidos, em particular no que respeita à relação entre os titulares dos dados e o responsável pelo seu tratamento; d) As eventuais consequências do tratamento posterior pretendido para os titulares dos dados; e) A existência de salvaguardas adequadas, que podem ser a cifragem ou a pseudonimização. Considerandos adequados Considerando 39 - Princípios Do Tratamento De DadosConsiderando 40 - Licitude Do Tratamento De DadosConsiderando 41 - Base Legal Ou Medidas LegislativasConsiderando 42 - Ônus Da Prova E Requisitos Para ConsentimentoConsiderando 43 - Consentimento Livremente DadoConsiderando 44 - Execução De Um ContratoConsiderando 45 - Cumprimento De Obrigações LegaisConsiderando 46 - Interesses Vitais Do Titular Dos DadosConsiderando 47 - Prevalência De Interesse LegítimoConsiderando 48 - Interesses Legítimos Prevalentes Dentro De Grupo De EmpresasConsiderando 49 - Segurança De Redes E Informação Como Interesse Legítimo PrevalenteConsiderando 50 - Tratamento Adicional De Dados PessoaisConsiderando 171 - Revogação Da Diretiva 95/46/Ce E Disposições Transitórias Principais questões relacionadas RGPD Consentimento RGPD Processamento

1.   Quando o tratamento for realizado com base no consentimento, o responsável pelo tratamento deve poder demonstrar que o titular dos dados deu o seu consentimento para o tratamento dos seus dados pessoais. 2.   Se o consentimento do titular dos dados for dado no contexto de uma declaração escrita que diga também respeito a outros assuntos, o pedido de consentimento deve ser apresentado de uma forma que o distinga claramente desses outros assuntos de modo inteligível e de fácil acesso e numa linguagem clara e simples. Não é vinculativa qualquer parte dessa declaração que constitua violação do presente regulamento. 3.   O titular dos dados tem o direito de retirar o seu consentimento a qualquer momento. A retirada do consentimento não compromete a licitude do tratamento efetuado com base no consentimento previamente dado. Antes de dar o seu consentimento, o titular dos dados é informado desse facto. O consentimento deve ser tão fácil de retirar quanto de dar. 4.   Ao avaliar se o consentimento é dado livremente, há que verificar com a máxima atenção se, designadamente, a execução de um contrato, inclusive a prestação de um serviço, está subordinada ao consentimento para o tratamento de dados pessoais que não é necessário para a execução desse contrato. Considerandos adequados Considerando 32 - Condições Para ConsentimentoConsiderando 33 - Consentimento Para Certas Áreas De Pesquisa CientíficaConsiderando 42 - Ônus Da Prova E Requisitos Para ConsentimentoConsiderando 43 - Consentimento Livremente Dado Principais questões relacionadas GDPR Email Marketing GDPR Direito à Informação

Os Estados-Membros podem dispor no seu direito uma idade inferior para os efeitos referidos, desde que essa idade não seja inferior a 13 anos. 2.   Nesses casos, o responsável pelo tratamento envida todos os esforços adequados para verificar que o consentimento foi dado ou autorizado pelo titular das responsabilidades parentais da criança, tendo em conta a tecnologia disponível. Considerandos adequados Considerando 38 - Proteção Especial Dos Dados Pessoais Das Crianças Principais questões relacionadas GDPR Direito à Informação GDPR Privacidade desde a Conceção

1.   É proibido o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, bem como o tratamento de dados genéticos, dados biométricos para identificar uma pessoa de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa. b) Se o tratamento for necessário para efeitos do cumprimento de obrigações e do exercício de direitos específicos do responsável pelo tratamento ou do titular dos dados em matéria de legislação laboral, de segurança social e de proteção social, na medida em que esse tratamento seja permitido pelo direito da União ou dos Estados-Membros ou ainda por uma convenção coletiva nos termos do direito dos Estados-Membros que preveja garantias adequadas dos direitos fundamentais e dos interesses do titular dos dados; c) Se o tratamento for necessário para proteger os interesses vitais do titular dos dados ou de outra pessoa singular, no caso de o titular dos dados estar física ou legalmente incapacitado de dar o seu consentimento; d) Se o tratamento for efetuado, no âmbito das suas atividades legítimas e mediante garantias adequadas, por uma fundação, associação ou qualquer outro organismo sem fins lucrativos e que prossiga fins políticos, filosóficos, religiosos ou sindicais, e desde que esse tratamento se refira exclusivamente aos membros ou antigos membros desse organismo ou a pessoas que com ele tenham mantido contactos regulares relacionados com os seus objetivos, e que os dados pessoais não sejam divulgados a terceiros sem o consentimento dos seus titulares; e) Se o tratamento se referir a dados pessoais que tenham sido manifestamente tornados públicos pelo seu titular; f) Se o tratamento for necessário à declaração, ao exercício ou à defesa de um direito num processo judicial ou sempre que os tribunais atuem no exercício da suas função jurisdicional; g) Se o tratamento for necessário por motivos de interesse público importante, com base no direito da União ou de um Estado-Membro, que deve ser proporcional ao objetivo visado, respeitar a essência do direito à proteção dos dados pessoais e prever medidas adequadas e específicas que salvaguardem os direitos fundamentais e os interesses do titular dos dados; i) Se o tratamento for necessário por motivos de interesse público no domínio da saúde pública, tais como a proteção contra ameaças transfronteiriças graves para a saúde ou para assegurar um elevado nível de qualidade e de segurança dos cuidados de saúde e dos medicamentos ou dispositivos médicos, com base no direito da União ou dos Estados-Membros que preveja medidas adequadas e específicas que salvaguardem os direitos e liberdades do titular dos dados, em particular o sigilo profissional; 4.   Os Estados-Membros podem manter ou impor novas condições, incluindo limitações, no que respeita ao tratamento de dados genéticos, dados biométricos ou dados relativos à saúde. Considerandos adequados Considerando 46 - Interesses Vitais Do Titular Dos DadosConsiderando 51 - Protegendo Dados Pessoais SensíveisConsiderando 52 - Exceções À Proibição De Processamento De Categorias Especiais De Dados PessoaisConsiderando 53 - Tratamento De Dados Sensíveis No Setor Da Saúde E SocialConsiderando 54 - Tratamento De Dados Sensíveis No Setor De Saúde PúblicaConsiderando 55 - Interesse Público No Tratamento Por Autoridades Oficiais Para Objetivos De Comunidades Religiosas ReconhecidasConsiderando 56 - Processamento De Dados Pessoais Sobre Opiniões Políticas Das Pessoas Por Partidos Principais questões relacionadas GDPR Encarregado de Proteção de Dados GDPR Criptografia

Considerandos adequados Considerando 50 - Tratamento Adicional De Dados Pessoais Principais questões relacionadas RGPD Avaliação de Impacto sobre a Proteção de Dados GDPR Registros das Atividades de Tratamento

1.   Se as finalidades para as quais se proceder ao tratamento de dados pessoais não exigirem ou tiverem deixado de exigir a identificação do titular dos dados por parte do responsável pelo seu tratamento, este último não é obrigado a manter, obter ou tratar informações suplementares para identificar o titular dos dados com o único objetivo de dar cumprimento ao presente regulamento. Considerandos adequados Considerando 57 - Dados Adicionais Para Fins De Identificação

4.   Se o responsável pelo tratamento não der seguimento ao pedido apresentado pelo titular dos dados, informa-o sem demora e, o mais tardar, no prazo de um mês a contar da data de receção do pedido, das razões que o levaram a não tomar medidas e da possibilidade de apresentar reclamação a uma autoridade de controlo e intentar ação judicial. a) Exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos do fornecimento das informações ou da comunicação, ou de tomada das medidas solicitadas; ou b) Recusar-se a dar seguimento ao pedido. Cabe ao responsável pelo tratamento demonstrar o caráter manifestamente infundado ou excessivo do pedido. Considerandos adequados Considerando 38 - Proteção Especial Dos Dados Pessoais Das CriançasConsiderando 58 - O Princípio Da TransparênciaConsiderando 59 - Procedimentos Para O Exercício Dos Direitos Dos Titulares De DadosConsiderando 60 - Obrigação De InformaçãoConsiderando 73 - Restrições De Direitos E Princípios Principais questões relacionadas GDPR Direito à Informação GDPR Direito de Acesso GDPR Direito ao Esquecimento

1.   Quando os dados pessoais forem recolhidos junto do titular, o responsável pelo tratamento faculta-lhe, aquando da recolha desses dados pessoais, as seguintes informações: a) A identidade e os contactos do responsável pelo tratamento e, se for caso disso, do seu representante; b) Os contactos do encarregado da proteção de dados, se for caso disso; c) As finalidades do tratamento a que os dados pessoais se destinam, bem como o fundamento jurídico para o tratamento; e) Os destinatários ou categorias de destinatários dos dados pessoais, se os houver; a) Prazo de conservação dos dados pessoais ou, se não for possível, os critérios usados para definir esse prazo; b) A existência do direito de solicitar ao responsável pelo tratamento acesso aos dados pessoais que lhe digam respeito, bem como a sua retificação ou o seu apagamento, e a limitação do tratamento no que disser respeito ao titular dos dados, ou do direito de se opor ao tratamento, bem como do direito à portabilidade dos dados; d) O direito de apresentar reclamação a uma autoridade de controlo; e) Se a comunicação de dados pessoais constitui ou não uma obrigação legal ou contratual, ou um requisito necessário para celebrar um contrato, bem como se o titular está obrigado a fornecer os dados pessoais e as eventuais consequências de não fornecer esses dados; 4.   Os n.os 1, 2 e 3 não se aplicam quando e na medida em que o titular dos dados já tiver conhecimento das informações. Considerandos adequados Considerando 60 - Obrigação De InformaçãoConsiderando 61 - Momento Da InformaçãoConsiderando 62 - Exceções À Obrigação De Fornecer Informação Principais questões relacionadas GDPR Direito de Acesso RGPD Países Terceiros

1.   Quando os dados pessoais não forem recolhidos junto do titular, o responsável pelo tratamento fornece-lhe as seguintes informações: a) A identidade e os contactos do responsável pelo tratamento e, se for caso disso, do seu representante; b) Os contactos do encarregado da proteção de dados, se for caso disso; c) As finalidades do tratamento a que os dados pessoais se destinam, bem como o fundamento jurídico para o tratamento; d) As categorias dos dados pessoais em questão; e) Os destinatários ou categorias de destinatários dos dados pessoais, se os houver; a) Prazo de conservação dos dados pessoais ou, se não for possível, os critérios usados para fixar esse prazo; c) A existência do direito de solicitar ao responsável pelo tratamento o acesso aos dados pessoais que lhe digam respeito, e a retificação ou o apagamento, ou a limitação do tratamentor no que disser respeito ao titular dos dados, e do direito de se opor ao tratamento, bem como do direito à portabilidade dos dados; e) O direito de apresentar reclamação a uma autoridade de controlo; f) A origem dos dados pessoais e, eventualmente, se provêm de fontes acessíveis ao público; 3.   O responsável pelo tratamento comunica as informações referidas nos n.os 1 e 2: a) Num prazo razoável após a obtenção dos dados pessoais, mas o mais tardar no prazo de um mês, tendo em conta as circunstâncias específicas em que estes forem tratados; b) Se os dados pessoais se destinarem a ser utilizados para fins de comunicação com o titular dos dados, o mais tardar no momento da primeira comunicação ao titular dos dados; ou c) Se estiver prevista a divulgação dos dados pessoais a outro destinatário, o mais tardar aquando da primeira divulgação desses dados. 5.   Os n.os 1 a 4 não se aplicam quando e na medida em que: a) O titular dos dados já tenha conhecimento das informações; c) A obtenção ou divulgação dos dados esteja expressamente prevista no direito da União ou do Estado-Membro ao qual o responsável pelo tratamento estiver sujeito, prevendo medidas adequadas para proteger os legítimos interesses do titular dos dados; ou d) Os dados pessoais devam permanecer confidenciais em virtude de uma obrigação de sigilo profissional regulamentada pelo direito da União ou de um Estado-Membro, inclusive uma obrigação legal de confidencialidade. Considerandos adequados Considerando 60 - Obrigação De InformaçãoConsiderando 61 - Momento Da InformaçãoConsiderando 62 - Exceções À Obrigação De Fornecer Informação Principais questões relacionadas RGPD Consentimento RGPD Países Terceiros

1.   O titular dos dados tem o direito de obter do responsável pelo tratamento a confirmação de que os dados pessoais que lhe digam respeito são ou não objeto de tratamento e, se for esse o caso, o direito de aceder aos seus dados pessoais e às seguintes informações: a) As finalidades do tratamento dos dados; b) As categorias dos dados pessoais em questão; c) Os destinatários ou categorias de destinatários a quem os dados pessoais foram ou serão divulgados, nomeadamente os destinatários estabelecidos em países terceiros ou pertencentes a organizações internacionais; d) Se for possível, o prazo previsto de conservação dos dados pessoais, ou, se não for possível, os critérios usados para fixar esse prazo; e) A existência do direito de solicitar ao responsável pelo tratamento a retificação, o apagamento ou a limitação do tratamento dos dados pessoais no que diz respeito ao titular dos dados, ou do direito de se opor a esse tratamento; f) O direito de apresentar reclamação a uma autoridade de controlo; g) Se os dados não tiverem sido recolhidos junto do titular, as informações disponíveis sobre a origem desses dados; 3.   O responsável pelo tratamento fornece uma cópia dos dados pessoais em fase de tratamento. Para fornecer outras cópias solicitadas pelo titular dos dados, o responsável pelo tratamento pode exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos. Se o titular dos dados apresentar o pedido por meios eletrónicos, e salvo pedido em contrário do titular dos dados, a informação é fornecida num formato eletrónico de uso corrente. Considerandos adequados Considerando 63 - Direito De AcessoConsiderando 64 - Verificação De Identidade Principais questões relacionadas GDPR Direito de Acesso GDPR Registros das Atividades de Tratamento

O titular tem o direito de obter, sem demora injustificada, do responsável pelo tratamento a retificação dos dados pessoais inexatos que lhe digam respeito. Tendo em conta as finalidades do tratamento, o titular dos dados tem direito a que os seus dados pessoais incompletos sejam completados, incluindo por meio de uma declaração adicional. Considerandos adequados Considerando 65 - Direito De Retificação E Apagamento Principais questões relacionadas GDPR Registros das Atividades de Tratamento GDPR Privacidade desde a Conceção

1.   O titular tem o direito de obter do responsável pelo tratamento o apagamento dos seus dados pessoais, sem demora injustificada, e este tem a obrigação de apagar os dados pessoais, sem demora injustificada, quando se aplique um dos seguintes motivos: a) Os dados pessoais deixaram de ser necessários para a finalidade que motivou a sua recolha ou tratamento; d) Os dados pessoais foram tratados ilicitamente; e) Os dados pessoais têm de ser apagados para o cumprimento de uma obrigação jurídica decorrente do direito da União ou de um Estado-Membro a que o responsável pelo tratamento esteja sujeito; 3.   Os n.os 1 e 2 não se aplicam na medida em que o tratamento se revele necessário: a) Ao exercício da liberdade de expressão e de informação; b) Ao cumprimento de uma obrigação legal que exija o tratamento prevista pelo direito da União ou de um Estado-Membro a que o responsável esteja sujeito, ao exercício de funções de interesse público ou ao exercício da autoridade pública de que esteja investido o responsável pelo tratamento; e) Para efeitos de declaração, exercício ou defesa de um direito num processo judicial. Considerandos adequados Considerando 65 - Direito De Retificação E ApagamentoConsiderando 66 - Direito Ao Esquecimento Principais questões relacionadas GDPR Direito ao Esquecimento RGPD Consentimento GDPR Email Marketing

1.   O titular dos dados tem o direito de obter do responsável pelo tratamento a limitação do tratamento, se se aplicar uma das seguintes situações: a) Contestar a exatidão dos dados pessoais, durante um período que permita ao responsável pelo tratamento verificar a sua exatidão; b) O tratamento for ilícito e o titular dos dados se opuser ao apagamento dos dados pessoais e solicitar, em contrapartida, a limitação da sua utilização; c) O responsável pelo tratamento já não precisar dos dados pessoais para fins de tratamento, mas esses dados sejam requeridos pelo titular para efeitos de declaração, exercício ou defesa de um direito num processo judicial; Considerandos adequados Considerando 67 - Restrição De Tratamento Principais questões relacionadas GDPR Registros das Atividades de Tratamento GDPR Direito de Acesso

O responsável pelo tratamento deve comunicar qualquer rectificação ou apagamento de dados pessoais ou limitação do tratamento efectuados em conformidade com o artigo 16.º, o artigo 17.º, n.º 1, e o artigo 18.º a cada destinatário a quem os dados pessoais tenham sido comunicados, salvo se tal se revelar impossível ou implicar um esforço desproporcionado. O responsável pelo tratamento deve informar o titular dos dados sobre esses destinatários, caso o titular dos dados o solicite. Considerandos adequados Considerando 66 - Direito Ao Esquecimento Principais questões relacionadas GDPR Registros das Atividades de Tratamento GDPR Direito à Informação

1.   O titular dos dados tem o direito de receber os dados pessoais que lhe digam respeito e que tenha fornecido a um responsável pelo tratamento, num formato estruturado, de uso corrente e de leitura automática, e o direito de transmitir esses dados a outro responsável pelo tratamento sem que o responsável a quem os dados pessoais foram fornecidos o possa impedir, se: b) O tratamento for realizado por meios automatizados. Considerandos adequados Considerando 68 - Direito À Portabilidade Dos Dados Principais questões relacionadas GDPR Privacidade desde a Conceção GDPR Direito à Informação

2.   Quando os dados pessoais forem tratados para efeitos de comercialização direta, o titular dos dados tem o direito de se opor a qualquer momento ao tratamento dos dados pessoais que lhe digam respeito para os efeitos da referida comercialização, o que abrange a definição de perfis na medida em que esteja relacionada com a comercialização direta. 3.   Caso o titular dos dados se oponha ao tratamento para efeitos de comercialização direta, os dados pessoais deixam de ser tratados para esse fim. 4.   O mais tardar no momento da primeira comunicação ao titular dos dados, o direito a que se referem os n.os 1 e 2 é explicitamente levado à atenção do titular dos dados e é apresentado de modo claro e distinto de quaisquer outras informações. 5.   No contexto da utilização dos serviços da sociedade da informação, e sem prejuízo da Diretiva 2002/58/CE, o titular dos dados pode exercer o seu direito de oposição por meios automatizados, utilizando especificações técnicas. Considerandos adequados Considerando 69 - Direito De OposiçãoConsiderando 70 - Direito De Oposição Ao Marketing Direto Principais questões relacionadas GDPR Multas / Penalidades RGPD – Avaliação de Impacto sobre a Proteção de Dados

1.   O titular dos dados tem o direito de não ficar sujeito a nenhuma decisão tomada exclusivamente com base no tratamento automatizado, incluindo a definição de perfis, que produza efeitos na sua esfera jurídica ou que o afete significativamente de forma similar. a) For necessária para a celebração ou a execução de um contrato entre o titular dos dados e um responsável pelo tratamento; b) For autorizada pelo direito da União ou do Estado-Membro a que o responsável pelo tratamento estiver sujeito, e na qual estejam igualmente previstas medidas adequadas para salvaguardar os direitos e liberdades e os legítimos interesses do titular dos dados; ou c) For baseada no consentimento explícito do titular dos dados. Considerandos adequados Considerando 71 - Elaboração De PerfisConsiderando 72 - Orientação Do Comitê Europeu Para A Proteção De Dados Sobre A Elaboração De PerfisConsiderando 91 - Necessidade De Uma Avaliação De Impacto Sobre A Proteção De Dados Principais questões relacionadas GDPR Privacidade desde a Conceção RGPD – Avaliação de Impacto sobre a Proteção de Dados

a) A segurança do Estado; b) A defesa; c) A segurança pública; d) A prevenção, investigação, deteção ou repressão de infrações penais, ou a execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública; e) Outros objetivos importantes do interesse público geral da União ou de um Estado-Membro, nomeadamente um interesse económico ou financeiro importante da União ou de um Estado-Membro, incluindo nos domínios monetário, orçamental ou fiscal, da saúde pública e da segurança social; f) A defesa da independência judiciária e dos processos judiciais; g) A prevenção, investigação, deteção e repressão de violações da deontologia de profissões regulamentadas; h) Uma missão de controlo, de inspeção ou de regulamentação associada, ainda que ocasionalmente, ao exercício da autoridade pública, nos casos referidos nas alíneas a) a e) e g); i) A defesa do titular dos dados ou dos direitos e liberdades de outrem; j) A execução de ações cíveis. a) Às finalidades do tratamento ou às diferentes categorias de tratamento; b) Às categorias de dados pessoais; c) Ao alcance das limitações impostas; d) Às garantias para evitar o abuso ou o acesso ou transferência ilícitos; e) À especificação do responsável pelo tratamento ou às categorias de responsáveis pelo tratamento; f) Aos prazos de conservação e às garantias aplicáveis, tendo em conta a natureza, o âmbito e os objetivos do tratamento ou das categorias de tratamento; g) Aos riscos específicos para os direitos e liberdades dos titulares dos dados; e h) Ao direito dos titulares dos dados a serem informados da limitação, a menos que tal possa prejudicar o objetivo da limitação. Considerandos adequados Considerando 73 - Restrições De Direitos E Princípios Principais questões relacionadas RGPD – Países Terceiros GDPR Multas / Penalidades

1.   Tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento dos dados, bem como os riscos para os direitos e liberdades das pessoas singulares, cuja probabilidade e gravidade podem ser variáveis, o responsável pelo tratamento aplica as medidas técnicas e organizativas que forem adequadas para assegurar e poder comprovar que o tratamento é realizado em conformidade com o presente regulamento. Essas medidas são revistas e atualizadas consoante as necessidades. Considerandos adequados Considerando 74 - Responsabilidade E Obrigação Do ControladorConsiderando 75 - Riscos Para Os Direitos E Liberdades Das Pessoas NaturaisConsiderando 76 - Avaliação De RiscoConsiderando 77 - Diretrizes De Avaliação De Risco Principais questões relacionadas GDPR Encarregado de Proteção de Dados GDPR Privacidade desde a Conceção

1.   Tendo em conta as técnicas mais avançadas, os custos da sua aplicação, e a natureza, o âmbito, o contexto e as finalidades do tratamento dos dados, bem como os riscos decorrentes do tratamento para os direitos e liberdades das pessoas singulares, cuja probabilidade e gravidade podem ser variáveis, o responsável pelo tratamento aplica, tanto no momento de definição dos meios de tratamento como no momento do próprio tratamento, as medidas técnicas e organizativas adequadas, como a pseudonimização, destinadas a aplicar com eficácia os princípios da proteção de dados, tais como a minimização, e a incluir as garantias necessárias no tratamento, de uma forma que este cumpra os requisitos do presente regulamento e proteja os direitos dos titulares dos dados. 2.   O responsável pelo tratamento aplica medidas técnicas e organizativas para assegurar que, por defeito, só sejam tratados os dados pessoais que forem necessários para cada finalidade específica do tratamento. Essa obrigação aplica-se à quantidade de dados pessoais recolhidos, à extensão do seu tratamento, ao seu prazo de conservação e à sua acessibilidade. Em especial, essas medidas asseguram que, por defeito, os dados pessoais não sejam disponibilizados sem intervenção humana a um número indeterminado de pessoas singulares. Considerandos adequados Considerando 78 - Medidas Técnicas E Organizacionais Apropriadas Principais questões relacionadas GDPR Criptografia RGPD Avaliação de Impacto sobre a Proteção de Dados

1. Quando dois ou mais controladores determinarem conjuntamente as finalidades e os meios do tratamento, serão controladores conjuntos. Determinarão, de forma transparente, as respetivas responsabilidades pelo cumprimento das obrigações decorrentes do presente Regulamento, nomeadamente no que respeita ao exercício dos direitos do titular dos dados e às respetivas obrigações de prestação das informações referidas nos artigos 13.º e 14.º, mediante um acordo entre si, exceto e na medida em que as respetivas responsabilidades dos responsáveis ​​pelo tratamento sejam determinadas pelo direito da União ou de um Estado-Membro a que os responsáveis ​​pelo tratamento estejam sujeitos. O acordo poderá especificar um ponto de contacto para os titulares dos dados. 2. O acordo referido no n.º 1 deve refletir devidamente as respetivas funções e relações dos responsáveis ​​conjuntos pelo tratamento em relação aos titulares dos dados. Os aspetos essenciais do acordo devem ser acessíveis ao titular dos dados. 3. Independentemente dos termos do acordo referido no n.º 1, o titular dos dados pode exercer os direitos que lhe assistem ao abrigo do presente Regulamento em relação a qualquer um dos responsáveis ​​pelo tratamento e contra qualquer um deles. Considerandos adequados Considerando 58 - O Princípio Da TransparênciaConsiderando 79 - Alocação Das Responsabilidades Principais questões relacionadas GDPR Encarregado de Proteção de Dados RGPD Avaliação de Impacto sobre a Proteção de Dados GDPR Registros das Atividades de Tratamento

b) Às autoridades ou organismos públicos; 3.   O representante deve estar estabelecido num dos Estados-Membros onde se encontram os titulares dos dados cujos dados pessoais são objeto do tratamento no contexto da oferta que lhes é feita de bens ou serviços ou cujo comportamento é controlado. 4.   Para efeitos do cumprimento do presente regulamento, o representante é mandatado pelo responsável pelo tratamento ou pelo subcontratante para ser contactado em complemento ou em substituição do responsável pelo tratamento ou do subcontratante, em especial por autoridades de controlo e por titulares, relativamente a todas as questões relacionadas com o tratamento. 5.   A designação de um representante pelo responsável pelo tratamento ou pelo subcontratante não prejudica as ações judiciais que possam vir a ser intentadas contra o próprio responsável pelo tratamento ou o próprio subcontratante. Considerandos adequados Considerando 80 - Designação De Um Representante Principais questões relacionadas GDPR Registros das Atividades de Tratamento RGPD Países Terceiros

1.   Quando o tratamento dos dados for efetuado por sua conta, o responsável pelo tratamento recorre apenas a subcontratantes que apresentem garantias suficientes de execução de medidas técnicas e organizativas adequadas de uma forma que o tratamento satisfaça os requisitos do presente regulamento e assegure a defesa dos direitos do titular dos dados. 2.   O subcontratante não contrata outro subcontratante sem que o responsável pelo tratamento tenha dado, previamente e por escrito, autorização específica ou geral. Em caso de autorização geral por escrito, o subcontratante informa o responsável pelo tratamento de quaisquer alterações pretendidas quanto ao aumento do número ou à substituição de outros subcontratantes, dando assim ao responsável pelo tratamento a oportunidade de se opor a tais alterações. 3.   O tratamento em subcontratação é regulado por contrato ou outro ato normativo ao abrigo do direito da União ou dos Estados-Membros, que vincule o subcontratante ao responsável pelo tratamento, estabeleça o objeto e a duração do tratamento, a natureza e finalidade do tratamento, o tipo de dados pessoais e as categorias dos titulares dos dados, e as obrigações e direitos do responsável pelo tratamento. Esse contrato ou outro ato normativo estipulam, designadamente, que o subcontratante: a) Trata os dados pessoais apenas mediante instruções documentadas do responsável pelo tratamento, incluindo no que respeita às transferências de dados para países terceiros ou organizações internacionais, a menos que seja obrigado a fazê-lo pelo direito da União ou do Estado-Membro a que está sujeito, informando nesse caso o responsável pelo tratamento desse requisito jurídico antes do tratamento, salvo se a lei proibir tal informação por motivos importantes de interesse público; b) Assegura que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade; d) Respeita as condições a que se referem os n.os 2 e 4 para contratar outro subcontratante; e) Toma em conta a natureza do tratamento, e na medida do possível, presta assistência ao responsável pelo tratamento através de medidas técnicas e organizativas adequadas, para permitir que este cumpra a sua obrigação de dar resposta aos pedidos dos titulares dos dados tendo em vista o exercício dos seus direitos previstos no capítulo III; g) Consoante a escolha do responsável pelo tratamento, apaga ou devolve-lhe todos os dados pessoais depois de concluída a prestação de serviços relacionados com o tratamento, apagando as cópias existentes, a menos que a conservação dos dados seja exigida ao abrigo do direito da União ou dos Estados-Membros; e h) Disponibiliza ao responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no presente artigo e facilita e contribui para as auditorias, inclusive as inspeções, conduzidas pelo responsável pelo tratamento ou por outro auditor por este mandatado. No que diz respeito ao primeiro parágrafo, alínea h), o subcontratante informa imediatamente o responsável pelo tratamento se, no seu entender, alguma instrução violar o presente regulamento ou outras disposições do direito da União ou dos Estados-Membros em matéria de proteção de dados. 9.   O contrato ou outro ato normativo a que se referem os n.os 3 e 4 devem ser feitos por escrito, incluindo em formato eletrónico. Considerandos adequados Considerando 81 - A Utilização De Subcontratantes Principais questões relacionadas GDPR Criptografia GDPR Registros das Atividades de Tratamento

O subcontratante ou qualquer pessoa que, agindo sob a autoridade do responsável pelo tratamento ou do subcontratante, tenha acesso a dados pessoais, não procede ao tratamento desses dados exceto por instrução do responsável pelo tratamento, salvo se a tal for obrigado por força do direito da União ou dos Estados-Membros. Considerandos adequados Considerando 39 – Princípios Do Tratamento De Dados Considerando 40 – Licitude Do Tratamento De Dados Considerando 74 – Responsabilidade E Obrigação Do Controlador Principais questões relacionadas GDPR Criptografia GDPR Encarregado de Proteção de Dados GDPR Privacidade desde a Conceção

1.   Cada responsável pelo tratamento e, sendo caso disso, o seu representante conserva um registo de todas as atividades de tratamento sob a sua responsabilidade. Desse registo constam todas seguintes informações: a) O nome e os contactos do responsável pelo tratamento e, sendo caso disso, de qualquer responsável conjunto pelo tratamento, do representante do responsável pelo tratamento e do encarregado da proteção de dados; b) As finalidades do tratamento dos dados; c) A descrição das categorias de titulares de dados e das categorias de dados pessoais; d) As categorias de destinatários a quem os dados pessoais foram ou serão divulgados, incluindo os destinatários estabelecidos em países terceiros ou organizações internacionais; f) Se possível, os prazos previstos para o apagamento das diferentes categorias de dados; 2.   Cada subcontratante e, sendo caso disso, o representante deste, conserva um registo de todas as categorias de atividades de tratamento realizadas em nome de um responsável pelo tratamento, do qual constará: a) O nome e contactos do subcontratante ou subcontratantes e de cada responsável pelo tratamento em nome do qual o subcontratante atua, bem como, sendo caso disso do representante do responsável pelo tratamento ou do subcontratante e do encarregado da proteção de dados; b) As categorias de tratamentos de dados pessoais efetuados em nome de cada responsável pelo tratamento; 3.   Os registos a que se referem os n.os 1 e 2 são efetuados por escrito, incluindo em formato eletrónico. 4.   O responsável pelo tratamento e, sendo caso disso, o subcontratante, o representante do responsável pelo tratamento ou do subcontratante, disponibilizam, a pedido, o registo à autoridade de controlo. Considerandos adequados Considerando 13 - Tendo Em Conta As Micro, Pequenas E Médias EmpresasConsiderando 82 - Registro Das Atividades De Tratamento Principais questões relacionadas RGPD Avaliação de Impacto sobre a Proteção de Dados RGPD Países Terceiros

O responsável pelo tratamento e o subcontratante e, sendo caso disso, os seus representantes cooperam com a autoridade de controlo, a pedido desta, na prossecução das suas atribuições. Considerandos adequados Considerando 82 - Registro Das Atividades De Tratamento Principais questões relacionadas GDPR Multas / Penalidades RGPD Avaliação de Impacto sobre a Proteção de Dados

1.   Tendo em conta as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos, de probabilidade e gravidade variável, para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento e o subcontratante aplicam as medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado ao risco, incluindo, consoante o que for adequado: a) A pseudonimização e a cifragem dos dados pessoais; b) A capacidade de assegurar a confidencialidade, integridade, disponibilidade e resiliência permanentes dos sistemas e dos serviços de tratamento; c) A capacidade de restabelecer a disponibilidade e o acesso aos dados pessoais de forma atempada no caso de um incidente físico ou técnico; d) Um processo para testar, apreciar e avaliar regularmente a eficácia das medidas técnicas e organizativas para garantir a segurança do tratamento. 2.   Ao avaliar o nível de segurança adequado, devem ser tidos em conta, designadamente, os riscos apresentados pelo tratamento, em particular devido à destruição, perda e alteração acidentais ou ilícitas, e à divulgação ou ao acesso não autorizados, de dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento. 4.   O responsável pelo tratamento e o subcontratante tomam medidas para assegurar que qualquer pessoa singular que, agindo sob a autoridade do responsável pelo tratamento ou do subcontratante, tenha acesso a dados pessoais, só procede ao seu tratamento mediante instruções do responsável pelo tratamento, exceto se tal lhe for exigido pelo direito da União ou de um Estado-Membro. Considerandos adequados Considerando 75 - Riscos Para Os Direitos E Liberdades Das Pessoas NaturaisConsiderando 76 - Avaliação De RiscoConsiderando 77 - Diretrizes De Avaliação De RiscoConsiderando 78 - Medidas Técnicas E Organizacionais ApropriadasConsiderando 79 - Alocação Das ResponsabilidadesConsiderando 83 - Segurança Do Tratamento Principais questões relacionadas GDPR Encarregado de Proteção de Dados GDPR Privacidade desde a Conceção

2.   O subcontratante notifica o responsável pelo tratamento sem demora injustificada após ter conhecimento de uma violação de dados pessoais. a) Descrever a natureza da violação dos dados pessoais incluindo, se possível, as categorias e o número aproximado de titulares de dados afetados, bem como as categorias e o número aproximado de registos de dados pessoais em causa; b) Comunicar o nome e os contactos do encarregado da proteção de dados ou de outro ponto de contacto onde possam ser obtidas mais informações; c) Descrever as consequências prováveis da violação de dados pessoais; d) Descrever as medidas adotadas ou propostas pelo responsável pelo tratamento para reparar a violação de dados pessoais, inclusive, se for caso disso, medidas para atenuar os seus eventuais efeitos negativos; 4.   Caso, e na medida em que não seja possível fornecer todas as informações ao mesmo tempo, estas podem ser fornecidas por fases, sem demora injustificada. 5.   O responsável pelo tratamento documenta quaisquer violações de dados pessoais, compreendendo os factos relacionados com as mesmas, os respetivos efeitos e a medida de reparação adotada. Essa documentação deve permitir à autoridade de controlo verificar o cumprimento do disposto no presente artigo. Considerandos adequados Considerando 85 - Obrigação De Notificação De Violações À Autoridade De SupervisãoConsiderando 87 - Rapidez Na Comunicação / NotificaçãoConsiderando 88 - Formato E Procedimentos Da Notificação Principais questões relacionadas GDPR Encarregado de Proteção de Dados GDPR Multas / Penalidades

1.   Quando a violação dos dados pessoais for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento comunica a violação de dados pessoais ao titular dos dados sem demora injustificada. a) O responsável pelo tratamento tiver aplicado medidas de proteção adequadas, tanto técnicas como organizativas, e essas medidas tiverem sido aplicadas aos dados pessoais afetados pela violação de dados pessoais, especialmente medidas que tornem os dados pessoais incompreensíveis para qualquer pessoa não autorizada a aceder a esses dados, tais como a cifragem; c) Implicar um esforço desproporcionado. Nesse caso, é feita uma comunicação pública ou tomada uma medida semelhante através da qual os titulares dos dados são informados de forma igualmente eficaz. Considerandos adequados Considerando 86 - Notificação Dos Titulares De Dados Em Caso De Violação De DadosConsiderando 87 - Rapidez Na Comunicação / NotificaçãoConsiderando 88 - Formato E Procedimentos Da Notificação Principais questões relacionadas GDPR Encarregado de Proteção de Dados GDPR Direito à Informação

1.   Quando um certo tipo de tratamento, em particular que utilize novas tecnologias e tendo em conta a sua natureza, âmbito, contexto e finalidades, for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento procede, antes de iniciar o tratamento, a uma avaliação de impacto das operações de tratamento previstas sobre a proteção de dados pessoais. Se um conjunto de operações de tratamento que apresentar riscos elevados semelhantes, pode ser analisado numa única avaliação. 2.   Ao efetuar uma avaliação de impacto sobre a proteção de dados, o responsável pelo tratamento solicita o parecer do encarregado da proteção de dados, nos casos em que este tenha sido designado. a) Avaliação sistemática e completa dos aspetos pessoais relacionados com pessoas singulares, baseada no tratamento automatizado, incluindo a definição de perfis, sendo com base nela adotadas decisões que produzem efeitos jurídicos relativamente à pessoa singular ou que a afetem significativamente de forma similar; c) Controlo sistemático de zonas acessíveis ao público em grande escala. 5.   A autoridade de controlo pode também elaborar e tornar pública uma lista dos tipos de operações de tratamento em relação aos quais não é obrigatória uma análise de impacto sobre a proteção de dados. A autoridade de controlo comunica essas listas ao Comité. 7.   A avaliação inclui, pelo menos: a) Uma descrição sistemática das operações de tratamento previstas e a finalidade do tratamento, inclusive, se for caso disso, os interesses legítimos do responsável pelo tratamento; b) Uma avaliação da necessidade e proporcionalidade das operações de tratamento em relação aos objetivos; d) As medidas previstas para fazer face aos riscos, incluindo as garantias, medidas de segurança e procedimentos destinados a assegurar a proteção dos dados pessoais e a demonstrar a conformidade com o presente regulamento, tendo em conta os direitos e os legítimos interesses dos titulares dos dados e de outras pessoas em causa. 9.   Se for adequado, o responsável pelo tratamento solicita a opinião dos titulares de dados ou dos seus representantes sobre o tratamento previsto, sem prejuízo da defesa dos interesses comerciais ou públicos ou da segurança das operações de tratamento. 11.   Se necessário, o responsável pelo tratamento procede a um controlo para avaliar se o tratamento é realizado em conformidade com a avaliação de impacto sobre a proteção de dados, pelo menos quando haja uma alteração dos riscos que as operações de tratamento representam. Considerandos adequados Considerando 75 - Riscos Para Os Direitos E Liberdades Das Pessoas NaturaisConsiderando 84 - Avaliação De Risco E ImpactoConsiderando 89 - Eliminação Da Obrigação Geral De RelatoConsiderando 90 - Avaliação De Impacto Sobre A Proteção De DadosConsiderando 91 - Necessidade De Uma Avaliação De Impacto Sobre A Proteção De DadosConsiderando 92 - Avaliação De Impacto Sobre A Proteção De Dados AmpliadaConsiderando 93 - Avaliação De Impacto Sobre A Proteção De Dados Em Autoridades Principais questões relacionadas GDPR Encarregado de Proteção de Dados GDPR Privacidade desde a Conceção

a) Se for aplicável, a repartição de responsabilidades entre o responsável pelo tratamento, os responsáveis conjuntos pelo tratamento e os subcontratantes envolvidos no tratamento, nomeadamente no caso de um tratamento dentro de um grupo empresarial; b) As finalidades e os meios do tratamento previsto; c) As medidas e garantias previstas para defesa dos direitos e liberdades dos titulares dos dados nos termos do presente regulamento; d) Se for aplicável, os contactos do encarregado da proteção de dados; f) Quaisquer outras informações solicitadas pela autoridade de controlo. 4.   Os Estados-Membros consultam a autoridade de controlo durante a preparação de uma proposta de medida legislativa a adotar por um parlamento nacional ou de uma medida regulamentar baseada nessa medida legislativa, que esteja relacionada com o tratamento de dados. Considerandos adequados Considerando 94 - Consulta Da Autoridade De ControloConsiderando 95 - Assistência Pelo ProcessadorConsiderando 96 - Consulta Da Autoridade De Supervisão No Decorrer De Um Processo Legislativo Principais questões relacionadas RGPD Avaliação de Impacto sobre a Proteção de Dados GDPR Direito à Informação

1.   O responsável pelo tratamento e o subcontratante designam um encarregado da proteção de dados sempre que: a) O tratamento for efetuado por uma autoridade ou um organismo público, excetuando os tribunais no exercício da sua função jurisdicional; b) As atividades principais do responsável pelo tratamento ou do subcontratante consistam em operações de tratamento que, devido à sua natureza, âmbito e/ou finalidade, exijam um controlo regular e sistemático dos titulares dos dados em grande escala; ou 2.   Um grupo empresarial pode também designar um único encarregado da proteção de dados desde que haja um encarregado da proteção de dados que seja facilmente acessível a partir de cada estabelecimento. 3.   Quando o responsável pelo tratamento ou o subcontratante for uma autoridade ou um organismo público, pode ser designado um único encarregado da proteção de dados para várias dessas autoridades ou organismos, tendo em conta a respetiva estrutura organizacional e dimensão. 6.   O encarregado da proteção de dados pode ser um elemento do pessoal da entidade responsável pelo tratamento ou do subcontratante, ou exercer as suas funções com base num contrato de prestação de serviços. 7.   O responsável pelo tratamento ou o subcontratante publica os contactos do encarregado da proteção de dados e comunica-os à autoridade de controlo. Considerandos adequados Considerando 97 - Encarregado De Proteção De Dados Principais questões relacionadas GDPR Encarregado de Proteção de Dados RGPD Avaliação de Impacto sobre a Proteção de Dados

1.   O responsável pelo tratamento e o subcontratante asseguram que o encarregado da proteção de dados seja envolvido, de forma adequada e em tempo útil, a todas as questões relacionadas com a proteção de dados pessoais. 3.   O responsável pelo tratamento e o subcontratante asseguram que da proteção de dados não recebe instruções relativamente ao exercício das suas funções. O encarregado não pode ser destituído nem penalizado pelo responsável pelo tratamento ou pelo subcontratante pelo facto de exercer as suas funções. O encarregado da proteção de dados informa diretamente a direção ao mais alto nível do responsável pelo tratamento ou do subcontratante. 4.   Os titulares dos dados podem contactar o encarregado da proteção de dados sobre todas questões relacionadas com o tratamento dos seus dados pessoais e com o exercício dos direitos que lhe são conferidos pelo presente regulamento. 5.   O encarregado da proteção de dados está vinculado à obrigação de sigilo ou de confidencialidade no exercício das suas funções, em conformidade com o direito da União ou dos Estados-Membros. 6.   O encarregado da proteção de dados pode exercer outras funções e atribuições. O responsável pelo tratamento ou o subcontratante assegura que essas funções e atribuições não resultam num conflito de interesses. Considerandos adequados Considerando 97 - Encarregado De Proteção De Dados Principais questões relacionadas RGPD Avaliação de Impacto sobre a Proteção de Dados GDPR Registros das Atividades de Tratamento

1.   O encarregado da proteção de dados tem, pelo menos, as seguintes funções: a) Informa e aconselha o responsável pelo tratamento ou o subcontratante, bem como os trabalhadores que tratem os dados, a respeito das suas obrigações nos termos do presente regulamento e de outras disposições de proteção de dados da União ou dos Estados-Membros; b) Controla a conformidade com o presente regulamento, com outras disposições de proteção de dados da União ou dos Estados-Membros e com as políticas do responsável pelo tratamento ou do subcontratante relativas à proteção de dados pessoais, incluindo a repartição de responsabilidades, a sensibilização e formação do pessoal implicado nas operações de tratamento de dados, e as auditorias correspondentes; d) Coopera com a autoridade de controlo; 2.   No desempenho das suas funções, o encarregado da proteção de dados tem em devida consideração os riscos associados às operações de tratamento, tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento. Considerandos adequados Considerando 97 - Encarregado De Proteção De Dados Principais questões relacionadas GDPR Multas / Penalidades GDPR Registros das Atividades de Tratamento

1.   Os Estados-Membros, as autoridades de controlo, o Comité e a Comissão promovem a elaboração de códigos de conduta destinados a contribuir para a correta aplicação do presente regulamento, tendo em conta as características dos diferentes setores de tratamento e as necessidades específicas das micro, pequenas e médias empresas. 2.   As associações e outros organismos representantes de categorias de responsáveis pelo tratamento ou de subcontratantes podem elaborar códigos de conduta, alterar ou aditar a esses códigos, a fim de especificar a aplicação do presente regulamento, como por exemplo: a) O tratamento equitativo e transparente; b) Os legítimos interesses dos responsáveis pelo tratamento em contextos específicos; c) A recolha de dados pessoais; d) A pseudonimização dos dados pessoais; e) A informação prestada ao público e aos titulares dos dados; f) O exercício dos direitos dos titulares dos dados; g) As informações prestadas às crianças e a sua proteção, e o modo pelo qual o consentimento do titular das responsabilidades parentais da criança deve ser obtido; i) A notificação de violações de dados pessoais às autoridades de controlo e a comunicação dessas violações de dados pessoais aos titulares dos dados; j) A transferência de dados pessoais para países terceiros ou organizações internacionais; ou 11.   O Comité recolhe todos os códigos de conduta aprovados, respetivas alterações e respetivos aditamentos num registo e disponibiliza-os ao público pelos meios adequados. Considerandos adequados Considerando 98 - Elaboração De Códigos De Conduta Por Organizações E AssociaçõesConsiderando 99 - Consulta De Partes Interessadas E Titulares De Dados No Desenvolvimento De Códigos De Conduta Principais questões relacionadas GDPR Privacidade desde a Conceção RGPD Países Terceiros

a) Tiver demonstrado que goza de independência e dispõe dos conhecimentos necessários em relação ao objeto do código, de forma satisfatória para a autoridade de controlo competente; b) Tiver estabelecido procedimentos que lhe permitam avaliar a elegibilidade dos responsáveis pelo tratamento e dos subcontratantes em questão para aplicar o código, verificar se estes respeitam as disposições do mesmo e rever periodicamente o seu funcionamento; c) Tiver estabelecido procedimentos e estruturas para tratar reclamações relativas a violações do código ou à forma como o código tenha sido ou esteja a ser aplicado pelo responsável pelo tratamento ou subcontratante, e para tornar estes procedimentos e estruturas transparentes para os titulares dos dados e o público; e d) Demonstrar, de forma satisfatória para a autoridade de controlo competente, que as suas funções e atribuições não implicam um conflito de interesses. 6.   O presente artigo não se aplica ao tratamento realizado por autoridades e organismos públicos. Considerandos adequados Considerando 77 – Diretrizes De Avaliação De Risco Considerando 81 – A Utilização De Subcontratantes Considerando 98 – Elaboração De Códigos De Conduta Por Organizações E Associações Considerando 99 – Consulta De Partes Interessadas E Titulares De Dados No Desenvolvimento De Códigos De Conduta Principais questões relacionadas RGPD Avaliação de Impacto sobre a Proteção de Dados GDPR Registros das Atividades de Tratamento

1.   Os Estados-Membros, as autoridades de controlo, o Comité e a Comissão promovem, em especial ao nível da União, a criação de procedimentos de certificação em matéria de proteção de dados, bem como selos e marcas de proteção de dados, para efeitos de comprovação da conformidade das operações de tratamento de responsáveis pelo tratamento e subcontratantes com o presente regulamento. Serão tidas em conta as necessidades específicas das micro, pequenas e médias empresas. 3.   A certificação é voluntária e está disponível através de um processo transparente. 8.   O Comité recolhe todos os procedimentos de certificação e todos os selos e marcas de proteção de dados aprovados num registo e disponibiliza-os ao público por todos os meios adequados. Considerandos adequados Considerando 100 - Certificação Principais questões relacionadas GDPR Criptografia RGPD Avaliação de Impacto sobre a Proteção de Dados

a) Tiverem demonstrado que gozam de independência e dispõem dos conhecimentos necessários em relação ao objeto da certificação, de forma satisfatória para a autoridade de controlo competente; c) Tiverem estabelecido procedimentos para a emissão, revisão periódica e retirada de procedimentos de certificação, selos e marcas de proteção de dados; d) Tiverem estabelecido procedimentos e estruturas para tratar reclamações relativas a violações da certificação ou à forma como a certificação tenha sido ou esteja a ser implementada pelo responsável pelo tratamento ou subcontratante, e para tornar estes procedimentos e estruturas transparentes para os titulares dos dados e o público; e e) Demonstrarem, de forma satisfatória para a autoridade de controlo competente, que as suas funções e atribuições não implicam um conflito de interesses. Considerandos adequados Considerando 77 – Diretrizes De Avaliação De Risco Considerando 81 – A Utilização De Subcontratantes Considerando 98 – Elaboração De Códigos De Conduta Por Organizações E Associações Considerando 99 – Consulta De Partes Interessadas E Titulares De Dados No Desenvolvimento De Códigos De Conduta Considerando 100 – Certificação Considerando 148 – Penalidades Principais questões relacionadas GDPR Encarregado de Proteção de Dados GDPR Registros das Atividades de Tratamento

Qualquer transferência de dados pessoais que sejam ou venham a ser objeto de tratamento após transferência para um país terceiro ou uma organização internacional só é realizada se, sem prejuízo das outras disposições do presente regulamento, as condições estabelecidas no presente capítulo forem respeitadas pelo responsável pelo tratamento e pelo subcontratante, inclusivamente no que diz respeito às transferências ulteriores de dados pessoais do país terceiro ou da organização internacional para outro país terceiro ou outra organização internacional. Todas as disposições do presente capítulo são aplicadas de forma a assegurar que não é comprometido o nível de proteção das pessoas singulares garantido pelo presente regulamento. Considerandos adequados Considerando 101 - Princípios Gerais Para Transferências Internacionais De DadosConsiderando 102 - Acordos Internacionais Para Um Nível Adequado De Proteção De Dados Principais questões relacionadas RGPD Avaliação de Impacto sobre a Proteção de Dados GDPR Registros das Atividades de Tratamento RGPD Países Terceiros

1.   Pode ser realizada uma transferência de dados pessoais para um país terceiro ou uma organização internacional se a Comissão tiver decidido que o país terceiro, um território ou um ou mais setores específicos desse país terceiro, ou a organização internacional em causa, assegura um nível de proteção adequado. Esta transferência não exige autorização específica. 2.   Ao avaliar a adequação do nível de proteção, a Comissão tem nomeadamente em conta os seguintes elementos: a) O primado do Estado de direito, o respeito pelos direitos humanos e liberdades fundamentais, a legislação pertinente em vigor, tanto a geral como a setorial, nomeadamente em matéria de segurança pública, defesa, segurança nacional e direito penal, e respeitante ao acesso das autoridades públicas a dados pessoais, bem como a aplicação dessa legislação e das regras de proteção de dados, das regras profissionais e das medidas de segurança, incluindo as regras para a transferência ulterior de dados pessoais para outro país terceiro ou organização internacional, que são cumpridas nesse país ou por essa organização internacional, e a jurisprudência, bem como os direitos dos titulares dos dados efetivos e oponíveis, e vias de recurso administrativo e judicial para os titulares de dados cujos dados pessoais sejam objeto de transferência; b) A existência e o efetivo funcionamento de uma ou mais autoridades de controlo independentes no país terceiro ou às quais esteja sujeita uma organização internacional, responsáveis por assegurar e impor o cumprimento das regras de proteção de dados, e dotadas de poderes coercitivos adequados para assistir e aconselhar os titulares dos dados no exercício dos seus direitos, e cooperar com as autoridades de controlo dos Estados-Membros; e c) Os compromissos internacionais assumidos pelo país terceiro ou pela organização internacional em causa, ou outras obrigações decorrentes de convenções ou instrumentos juridicamente vinculativos, bem como da sua participação em sistemas multilaterais ou regionais, em especial em relação à proteção de dados pessoais. 8.   A Comissão publica no Jornal Oficial da União Europeia e no seu sítio web uma lista dos países terceiros, territórios e setores específicos de um país terceiro e de organizações internacionais relativamente aos quais tenha declarado, mediante decisão, se asseguram ou não um nível de proteção adequado. Considerandos adequados Considerando 103 - Nível Adequado De Proteção De Dados Com Base Em Uma Decisão De AdequaçãoConsiderando 104 - Critérios Para Uma Decisão De AdequaçãoConsiderando 105 - Consideração De Acordos Internacionais Para Uma Decisão De AdequaçãoConsiderando 106 - Monitoramento E Revisão Periódica Do Nível De Proteção De DadosConsiderando 107 - Alteração, Revogação E Suspensão De Decisões De Adequação Principais questões relacionadas GDPR Encarregado de Proteção de Dados GDPR Registros das Atividades de Tratamento

a) Um instrumento juridicamente vinculativo e com força executiva entre autoridades ou organismos públicos; a) Cláusulas contratuais entre os responsáveis pelo tratamento ou subcontratantes e os responsáveis pelo tratamento, subcontratantes ou destinatários dos dados pessoais no país terceiro ou organização internacional; ou b) Disposições a inserir nos acordos administrativos entre as autoridades ou organismos públicos que contemplem os direitos efetivos e oponíveis dos titulares dos dados. Considerandos adequados Considerando 108 - Garantias ApropriadasConsiderando 109 - Cláusulas Padrão De Proteção De Dados Principais questões relacionadas GDPR Registros das Atividades de Tratamento RGPD Países Terceiros

a) Ser juridicamente vinculativas e aplicáveis a todas as entidades em causa do grupo empresarial ou do grupo de empresas envolvidas numa atividade económica conjunta, incluindo os seus funcionários, as quais deverão assegurar o seu cumprimento; b) Conferir expressamente aos titulares dos dados direitos oponíveis relativamente ao tratamento dos seus dados pessoais; e a) A estrutura e os contactos do grupo empresarial ou do grupo de empresas envolvidas numa atividade económica conjunta e de cada uma das entidades que o compõe; b) As transferências ou conjunto de transferências de dados, incluindo as categorias de dados pessoais, o tipo de tratamento e suas finalidades, o tipo de titulares de dados afetados e a identificação do país ou países terceiros em questão; c) O seu caráter juridicamente vinculativo, a nível interno e externo; d) A aplicação dos princípios gerais de proteção de dados, nomeadamente a limitação das finalidades, a minimização dos dados, a limitação dos prazos de conservação, a qualidade dos dados, a proteção dos dados desde a conceção e por defeito, o fundamento jurídico para o tratamento, o tratamento de categorias especiais de dados pessoais, as medidas de garantia da segurança dos dados e os requisitos aplicáveis a transferências posteriores para organismos não abrangidos pelas regras vinculativas aplicáveis às empresas; f) A aceitação, por parte do responsável pelo tratamento ou subcontratante estabelecido no território de um Estado-Membro, da responsabilidade por toda e qualquer violação das regras vinculativas aplicáveis às empresas cometida por uma entidade envolvida que não se encontre estabelecida na União; o responsável pelo tratamento ou o subcontratante só pode ser exonerado dessa responsabilidade, no todo ou em parte, mediante prova de que o facto que causou o dano não é imputável à referida entidade; i) Os procedimentos de reclamação; j) Os procedimentos existentes no grupo empresarial ou no grupo de empresas envolvidas numa atividade económica conjunta para assegurar a verificação do cumprimento das regras vinculativas aplicáveis às empresas. Esses procedimentos incluem a realização de auditorias sobre a proteção de dados e o recurso a métodos que garantam a adoção de medidas corretivas capazes de preservar os direitos dos respetivos titulares. Os resultados dessa verificação devem ser comunicados à pessoa ou entidade referida na alínea h) e ao Conselho de Administração da empresa ou grupo empresarial que exerce o controlo ou do grupo de empresas envolvidas numa atividade económica conjunta, devendo também ser facultados à autoridade de controlo competente, a pedido desta; k) Os procedimentos de elaboração de relatórios e de registo de alterações às regras, bem como de comunicação dessas alterações à autoridade de controlo; l) O procedimento de cooperação com a autoridade de controlo para assegurar o cumprimento, por qualquer entidade do grupo empresarial ou do grupo de empresas envolvidas numa atividade económica conjunta, em especial facultando à autoridade de controlo os resultados de verificações das medidas referidas na alínea j); m) Os procedimentos de comunicação, à autoridade de controlo competente, de todos os requisitos legais a que uma entidade do grupo empresarial ou do grupo de empresas envolvidas numa atividade económica conjunta esteja sujeita num país terceiro que sejam passíveis de ter forte impacto negativo nas garantias dadas pelas regras vinculativas aplicáveis às empresas; e n) Ações de formação especificamente dirigidas a pessoas que tenham, em permanência ou regularmente, acesso a dados de natureza pessoal. Considerandos adequados Considerando 110 - Regras Corporativas Vinculativas Principais questões relacionadas GDPR Encarregado de Proteção de Dados GDPR Direito à Informação

As decisões judiciais e as decisões de autoridades administrativas de um país terceiro que exijam que o responsável pelo tratamento ou o subcontratante transfiram ou divulguem dados pessoais só são reconhecidas ou executadas se tiverem como base um acordo internacional, como um acordo de assistência judiciária mútua, em vigor entre o país terceiro em causa e a União ou um dos Estados-Membros, sem prejuízo de outros motivos de transferência nos termos do presente capítulo. Considerandos adequados Considerando 115 - Regras Em Países Terceiros Contrárias Ao Regulamento Principais questões relacionadas GDPR Multas / Penalidades RGPD Países Terceiros

a) O titular dos dados tiver explicitamente dado o seu consentimento à transferência prevista, após ter sido informado dos possíveis riscos de tais transferências para si próprio devido à falta de uma decisão de adequação e das garantias adequadas; b) A transferência for necessária para a execução de um contrato entre o titular dos dados e o responsável pelo tratamento ou de diligências prévias à formação do contrato decididas a pedido do titular dos dados; c) A transferência for necessária para a celebração ou execução de um contrato, celebrado no interesse do titular dos dados, entre o responsável pelo seu tratamento e outra pessoa singular ou coletiva; d) A transferência for necessária por importantes razões de interesse público; e) A transferência for necessária à declaração, ao exercício ou à defesa de um direito num processo judicial; f) A transferência for necessária para proteger interesses vitais do titular dos dados ou de outras pessoas, se esse titular estiver física ou legalmente incapaz de dar o seu consentimento; g) A transferência for realizada a partir de um registo que, nos termos do direito da União ou do Estado-Membro, se destine a informar o público e se encontre aberto à consulta do público em geral ou de qualquer pessoa que possa provar nela ter um interesse legítimo, mas apenas na medida em que as condições de consulta estabelecidas no direito da União ou de um Estado-Membro se encontrem preenchidas nesse caso concreto. 5   Na falta de uma decisão de adequação, o direito da União ou de um Estado-Membro podem, por razões importantes de interesse público, estabelecer expressamente limites à transferência de categorias específicas de dados para países terceiros ou organizações internacionais. Os Estados-Membros notificam a Comissão dessas disposições. Considerandos adequados Considerando 111 - Exceções Para Certos Casos De Transferências InternacionaisConsiderando 112 - Transferências De Dados Por Motivos Importantes De Interesse PúblicoConsiderando 113 - Transferências Qualificadas Como Não Repetitivas E Que Apenas Dizem Respeito A Um Número Limitado De Titulares De DadosConsiderando 114 - Salvaguarda Da Exequibilidade De Direitos E Obrigações Na Ausência De Uma Decisão De AdequaçãoConsiderando 115 - Regras Em Países Terceiros Contrárias Ao Regulamento Principais questões relacionadas RGPD Consentimento GDPR Registros das Atividades de Tratamento

Em relação a países terceiros e a organizações internacionais, a Comissão e as autoridades de controlo tomam as medidas necessárias para: a) Estabelecer regras internacionais de cooperação destinadas a facilitar a aplicação efetiva da legislação em matéria de proteção de dados pessoais; b) Prestar assistência mútua a nível internacional no domínio da aplicação da legislação relativa à proteção de dados pessoais, nomeadamente através da notificação, comunicação de reclamações, e assistência na investigação e intercâmbio de informações, sob reserva das garantias adequadas de proteção dos dados pessoais e de outros direitos e liberdades fundamentais; c) Associar as partes interessadas aos debates e atividades que visem intensificar a cooperação internacional no âmbito da aplicação da legislação relativa à proteção de dados pessoais; d) Promover o intercâmbio e a documentação da legislação e das práticas em matéria de proteção de dados pessoais, nomeadamente no que diz respeito a conflitos jurisdicionais com países terceiros. Considerandos adequados Considerando 116 - Cooperação Entre Autoridades De Supervisão Principais questões relacionadas GDPR Multas / Penalidades GDPR Registros das Atividades de Tratamento

1.   Os Estados-Membros estabelecem que cabe a uma ou mais autoridades públicas independentes a responsabilidade pela fiscalização da aplicação do presente regulamento, a fim de defender os direitos e liberdades fundamentais das pessoas singulares relativamente ao tratamento e facilitar a livre circulação desses dados na União («autoridade de controlo»). 2.   As autoridades de controlo contribuem para a aplicação coerente do presente regulamento em toda a União. Para esse efeito, as autoridades de controlo cooperam entre si e com a Comissão, nos termos do capítulo VII. 4.   Os Estados-Membros notificam a Comissão das disposições do direito nacional que adotarem nos termos do presente capítulo, até 25 de maio de 2018 e, sem demora, de qualquer alteração posterior a essas mesmas disposições. Considerandos adequados Considerando 117 - Estabelecimento De Autoridades De SupervisãoConsiderando 118 - Monitoramento Das Autoridades De SupervisãoConsiderando 119 - Organização De Várias Autoridades De Supervisão De Um Estado MembroConsiderando 120 - Características Das Autoridades De Supervisão Principais questões relacionadas RGPD Avaliação de Impacto sobre a Proteção de Dados GDPR Registros das Atividades de Tratamento

1.   As autoridades de controlo agem com total independência no na prossecução das suas atribuições e no exercício dos poderes que lhe são atribuídos nos termos do presente regulamento. 2.   Os membros das autoridades de controlo não estão sujeitos a influências externas, diretas ou indiretas no desempenho das suas funções e no exercício dos seus poderes nos termos do presente regulamento, e não solicitam nem recebem instruções de outrem. 3.   Os membros da autoridade de controlo abstêm-se de qualquer ato incompatível com as suas funções e, durante o seu mandato, não podem desempenhar nenhuma atividade, remunerada ou não, que com elas seja incompatível. 4.   Os Estados-Membros asseguram que cada autoridade de controlo disponha dos recursos humanos, técnicos e financeiros, instalações e infraestruturas necessários à prossecução eficaz das suas atribuições e ao exercício dos seus poderes, incluindo as executadas no contexto da assistência mútua, da cooperação e da participação no Comité. 5.   Os Estados-Membros asseguram que cada autoridade de controlo selecione e disponha do seu próprio pessoal, que ficará sob a direção exclusiva dos membros da autoridade de controlo interessada. 6.   Os Estados-Membros asseguram que cada autoridade de controlo fique sujeita a um controlo financeiro que não afeta a sua independência e que disponha de orçamentos anuais separados e públicos, que poderão estar integrados no orçamento geral do Estado ou nacional. Considerandos adequados Considerando 117 - Estabelecimento De Autoridades De SupervisãoConsiderando 118 - Monitoramento Das Autoridades De SupervisãoConsiderando 120 - Características Das Autoridades De SupervisãoConsiderando 121 - Independência Das Autoridades De Controlo Principais questões relacionadas GDPR Encarregado de Proteção de Dados GDPR Direito ao Esquecimento

1.   Os Estados-Membros estabelecem que cada membro das respetivas autoridades de controlo seja nomeado por procedimento transparente: — pelo Parlamento, — pelo Governo, — pelo Chefe de Estado, ou — por um organismo independente incumbido da nomeação nos termos do direito do Estado-Membro. 2.   Cada membro possui as habilitações, a experiência e os conhecimentos técnicos necessários, nomeadamente no domínio da proteção de dados pessoais, ao desempenho das suas funções e ao exercício dos seus poderes. 3.   As funções dos membros da autoridade de controlo cessam findo o seu mandato, com a sua exoneração ou aposentação compulsiva, nos termos do direito do Estado-Membro em causa. 4.   Os membros da autoridade de controlo só são exonerados se tiverem cometido uma falta grave ou se tiverem deixado de cumprir as condições exigidas para o exercício das suas funções. Considerandos adequados Considerando 121 - Independência Das Autoridades De Controlo Principais questões relacionadas GDPR Multas / Penalidades GDPR Privacidade desde a Conceção

1.   Os Estados-Membros estabelecem, por via legislativa: a) A constituição de cada autoridade de controlo; b) As qualificações e as condições de elegibilidade necessárias para a nomeação dos membros de cada autoridade de controlo; c) As regras e os procedimentos de nomeação dos membros de cada autoridade de controlo; d) A duração do mandato dos membros de cada autoridade de controlo, que não será inferior a quatro anos, salvo no caso do primeiro mandato após 24 de maio de 2016, e ser mais curta quando for necessário proteger a independência da autoridade de controlo através de um procedimento de nomeações escalonadas; e) Se, e em caso afirmativo, por quantos mandatos os membros de cada autoridade de controlo podem ser renomeados; f) As condições que regem as obrigações dos membros e do pessoal de cada autoridade de controlo, a proibição das ações, funções e benefícios que com elas são incompatíveis durante o mandato e após o seu termo e as regras que regem a cessação da relação de trabalho. 2.   Os membros e o pessoal de cada autoridade de controlo ficam sujeitos, nos termos do direito da União ou dos Estados-Membros, à obrigação de sigilo profissional, tanto durante o mandato como após o seu termo, quanto a quaisquer informações confidenciais a que tenham tido acesso no desempenho das suas funções ou exercício dos seus poderes. Durante o seu mandato, essa obrigação de sigilo profissional aplica-se, em especial, à comunicação por pessoas singulares de violações do presente regulamento. Considerandos adequados Considerando 117 - Estabelecimento De Autoridades De SupervisãoConsiderando 121 - Independência Das Autoridades De Controlo Principais questões relacionadas GDPR Encarregado de Proteção de Dados RGPD Países Terceiros

1.   As autoridades de controlo são competentes para prosseguir as atribuições e exercer os poderes que lhes são conferidos pelo presente regulamento no território do seu próprio Estado-Membro. 3.   As autoridades de controlo não têm competência para controlar operações de tratamento efetuadas por tribunais que atuem no exercício da sua função jurisdicional. Considerandos adequados Considerando 122 - Responsabilidade Das Autoridades De Controlo Principais questões relacionadas GDPR Registros das Atividades de Tratamento RGPD Países Terceiros

6.   A autoridade de controlo principal é o único interlocutor do responsável pelo tratamento ou do subcontratante no tratamento transfronteiriço efetuado pelo referido responsável pelo tratamento ou subcontratante. Considerandos adequados Considerando 124 - Autoridade Principal Relativamente Ao Tratamento Em Vários Estados-MembrosConsiderando 127 - Informações Da Autoridade De Supervisão Sobre O Processamento LocalConsiderando 128 - Responsabilidade Em Relação Ao Tratamento No Interesse Público Principais questões relacionadas GDPR Criptografia GDPR Multas / Penalidades

1.   Sem prejuízo de outras atribuições previstas nos termos do presente regulamento, cada autoridade de controlo, no território respetivo: a) Controla e executa a aplicação do presente regulamento; b) Promove a sensibilização e a compreensão do público relativamente aos riscos, às regras, às garantias e aos direitos associados ao tratamento. As atividades especificamente dirigidas às crianças devem ser alvo de uma atenção especial; c) Aconselha, em conformidade com o direito do Estado-Membro, o Parlamento nacional, o Governo e outras instituições e organismos a respeito das medidas legislativas e administrativas relacionadas com a defesa dos direitos e liberdades das pessoas singulares no que diz respeito ao tratamento; d) Promove a sensibilização dos responsáveis pelo tratamento e dos subcontratantes para as suas obrigações nos termos do presente regulamento; e) Se lhe for solicitado, presta informações a qualquer titular de dados sobre o exercício dos seus direitos nos termos do presente regulamento e, se necessário, coopera com as autoridades de controlo de outros Estados-Membros para esse efeito; g) Coopera, incluindo partilhando informações e prestando assistência mútua a outras autoridades de controlo, tendo em vista assegurar a coerência da aplicação e da execução do presente regulamento; h) Conduz investigações sobre a aplicação do presente regulamento, incluindo com base em informações recebidas de outra autoridade de controlo ou outra autoridade pública; i) Acompanha factos novos relevantes, na medida em que tenham incidência na proteção de dados pessoais, nomeadamente a evolução a nível das tecnologias da informação e das comunicações e das práticas comerciais; t) Contribui para as atividades do Comité; v) Desempenha quaisquer outras tarefas relacionadas com a proteção de dados pessoais. 3.   A prossecução das atribuições de cada autoridade de controlo é gratuita para o titular dos dados e, sendo caso disso, para o encarregado da proteção de dados. 4.   Quando os pedidos forem manifestamente infundados ou excessivos, particularmente devido ao seu caráter recorrente, a autoridade de controlo pode exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos ou pode indeferi-los. Cabe à autoridade de controlo demonstrar o caráter manifestamente infundado ou excessivo dos pedidos. Considerandos adequados Considerando 122 - Responsabilidade Das Autoridades De ControloConsiderando 123 - Cooperação Das Autoridades De Supervisão Entre Si E Com A ComissãoConsiderando 132 - Atividades De Sensibilização E Medidas EspecíficasConsiderando 133 - Assistência Mútua E Medidas ProvisóriasConsiderando 137 - Medidas Provisórias Principais questões relacionadas GDPR Encarregado de Proteção de Dados GDPR Direito à Informação

1.   Cada autoridade de controlo dispõe dos seguintes poderes de investigação: a) Ordenar que o responsável pelo tratamento e o subcontratante e, se existir, o seu representante, lhe forneçam as informações de que necessite para o desempenho das suas funções; b) Realizar investigações sob a forma de auditorias sobre a proteção de dados; d) Notificar o responsável pelo tratamento ou o subcontratante de alegadas violações do presente regulamento; e) Obter, da parte do responsável pelo tratamento e do subcontratante, acesso a todos os dados pessoais e a todas as informações necessárias ao exercício das suas funções; f) Obter acesso a todas as instalações do responsável pelo tratamento e do subcontratante, incluindo os equipamentos e meios de tratamento de dados, em conformidade com o direito processual da União ou dos Estados-Membros. 2.   Cada autoridade de controlo dispõe dos seguintes poderes de correção: a) Fazer advertências ao responsável pelo tratamento ou ao subcontratante no sentido de que as operações de tratamento previstas são suscetíveis de violar as disposições do presente regulamento; b) Fazer repreensões ao responsável pelo tratamento ou ao subcontratante sempre que as operações de tratamento tiverem violado as disposições do presente regulamento; c) Ordenar ao responsável pelo tratamento ou ao subcontratante que satisfaça os pedidos de exercício de direitos apresentados pelo titular dos dados nos termos do presente regulamento; d) Ordenar ao responsável pelo tratamento ou ao subcontratante que tome medidas para que as operações de tratamento cumpram as disposições do presente regulamento e, se necessário, de uma forma específica e dentro de um prazo determinado; e) Ordenar ao responsável pelo tratamento que comunique ao titular dos dados uma violação de dados pessoais; f) Impor uma limitação temporária ou definitiva ao tratamento de dados, ou mesmo a sua proibição; j) Ordenar a suspensão do envio de dados para destinatários em países terceiros ou para organizações internacionais. 3.   Cada autoridade de controlo dispõe dos seguintes poderes consultivos e de autorização: b) Emitir, por iniciativa própria ou se lhe for solicitado, pareceres dirigidos ao Parlamento nacional, ao Governo do Estado-Membro ou, nos termos do direito do Estado-Membro, a outras instituições e organismos, bem como ao público, sobre qualquer assunto relacionado com a proteção de dados pessoais; 4.   O exercício dos poderes conferidos à autoridade de controlo nos termos do presente artigo está sujeito a garantias adequadas, que incluem o direito à ação judicial efetiva e a um processo equitativo, previstas no direito da União e dos Estados-Membros, em conformidade com a Carta. 5.   Os Estados-Membros estabelecem por lei que as suas autoridades de controlo estão habilitadas a levar as violações do presente regulamento ao conhecimento das autoridades judiciais e, se necessário, a intentar ou de outro modo intervir em processos judiciais, a fim de fazer aplicar as disposições do presente regulamento. 6.   Os Estados-Membros podem estabelecer por lei que as suas autoridades de controlo terão outros poderes para além dos previstos nos n.os 1, 2 e 3. O exercício desses poderes não deve prejudicar o efetivo funcionamento do capítulo VII. Considerandos adequados Considerando 122 - Responsabilidade Das Autoridades De ControloConsiderando 129 - Funções E Poderes Das Autoridades De ControloConsiderando 131 - Tentativa De Acordo Amigável Principais questões relacionadas GDPR Direito de Acesso RGPD Países Terceiros

Cada autoridade de controlo elaborará um relatório anual sobre as suas atividades, o qual poderá incluir uma lista dos tipos de infrações das quais foi notificada e dos tipos de medidas tomadas em conformidade com o artigo 58.º, n.º 2. Esses relatórios serão disponibilizados ao parlamento nacional, ao governo e a outras autoridades designadas pela legislação do Estado-Membro. Serão disponibilizados ao público, à Comissão e ao Comité. Considerandos adequados Considerando 117 – Estabelecimento De Autoridades De Supervisão Considerando 118 – Monitoramento Das Autoridades De Supervisão Principais questões relacionadas GDPR Encarregado de Proteção de Dados RGPD Países Terceiros

1.   A autoridade de controlo principal coopera com as outras autoridades de controlo interessadas nos termos do presente artigo para procurar alcançar um consenso. A autoridade de controlo principal e as autoridades de controlo interessadas trocam entre si todas as informações pertinentes. 3.   A autoridade de controlo principal comunica sem demora as informações pertinentes sobre o assunto às outras autoridades de controlo interessadas. Envia sem demora um projeto de decisão às outras autoridades de controlo interessadas para que emitam parecer e toma as suas posições em devida consideração. 6.   Se nenhuma das outras autoridades de controlo interessadas se tiver oposto ao projeto de decisão apresentado pela autoridade de controlo principal no prazo referido nos n.os 4 e 5, considera-se que a autoridade de controlo principal e as autoridades de controlo interessadas estão de acordo com esse projeto de decisão e ficam por ela vinculadas. 7.   A autoridade de controlo principal adota a decisão e dela notifica o estabelecimento principal ou o estabelecimento único do responsável pelo tratamento ou do subcontratante, consoante o caso, e informa as outras autoridades de controlo interessadas e o Comité da decisão em causa, incluindo um sumário dos factos e motivos pertinentes. A autoridade de controlo à qual tenha sido apresentada uma reclamação, informa da decisão o autor da reclamação. 9.   Se a autoridade de controlo principal e as autoridades de controlo interessadas estiverem de acordo em recusar ou rejeitar determinadas partes de uma reclamação e tomar medidas relativamente a outras partes da mesma reclamação, é adotada uma decisão separada para cada uma dessas partes da matéria. A autoridade de controlo principal adota a decisão na parte respeitante às medidas relativas ao responsável pelo tratamento e informa desse facto o estabelecimento principal ou o estabelecimento único do responsável pelo tratamento ou do subcontratante no território do seu Estado-Membro, informando desse facto o autor da reclamação, enquanto a autoridade de controlo do autor da reclamação adota a decisão na parte relativa à recusa ou à rejeição da referida reclamação e notifica o autor da reclamação, informando desse facto o responsável pelo tratamento ou o subcontratante. 10.   Após ter sido notificado da decisão da autoridade de controlo principal nos termos dos n.os 7 e 9, o responsável pelo tratamento ou o subcontratante tomam as medidas necessárias para garantir o cumprimento da decisão no que se refere às atividades de tratamento no contexto de todos os seus estabelecimentos na União. O responsável pelo tratamento ou o subcontratante comunica as medidas tomadas para fazer cumprir a decisão à autoridade de controlo principal, que informa as outras autoridades de controlo interessadas. 12.   A autoridade de controlo principal e as outras autoridades de controlo interessadas trocam entre si as informações necessárias nos termos do presente artigo por meios eletrónicos, utilizando um formato normalizado. Considerandos adequados Considerando 124 - Autoridade Principal Relativamente Ao Tratamento Em Vários Estados-MembrosConsiderando 125 - Competências Da Autoridade PrincipalConsiderando 130 - Consideração Da Autoridade Com A Qual A Reclamação Foi Apresentada

1.   As autoridades de controlo prestam entre si informações úteis e assistência mútua a fim de executar e aplicar o presente regulamento de forma coerente, e tomam as medidas para cooperar eficazmente entre si. A assistência mútua abrange, em especial, os pedidos de informação e as medidas de controlo, tais como os pedidos de autorização prévia e de consulta prévia, bem como de inspeção e de investigação. 2.   As autoridades de controlo tomam todas as medidas adequadas que forem necessárias para responder a um pedido de outra autoridade de controlo sem demora injustificada e, o mais tardar, um mês após a receção do pedido. Essas medidas podem incluir, particularmente, a transmissão de informações úteis sobre a condução de uma investigação. 3.   Os pedidos de assistência incluem todas as informações necessárias, nomeadamente a finalidade e os motivos do pedido. As informações trocadas só podem ser utilizadas para a finalidade para que tiverem sido solicitadas. 4.   A autoridade de controlo requerida não pode indeferir o pedido, a não ser que: a) Não seja competente relativamente ao assunto do pedido ou às medidas cuja execução lhe é pedida; ou b) Dar seguimento ao viole o presente regulamento ou o direito da União ou do Estado-Membro ao qual a autoridade de controlo que recebe o pedido está sujeita. 6.   As autoridades de controlo requeridas fornecem, em regra, as informações solicitadas por outras autoridades de controlo por meios eletrónicos, utilizando um formato normalizado. 7.   As autoridades de controlo requeridas não cobram taxas pelas medidas por elas tomadas por força de pedidos de assistência mútua. As autoridades de controlo podem acordar regras para a indemnização recíproca de despesas específicas decorrentes da prestação de assistência mútua em circunstâncias excecionais. Considerandos adequados Considerando 123 - Cooperação Das Autoridades De Supervisão Entre Si E Com A ComissãoConsiderando 132 - Atividades De Sensibilização E Medidas EspecíficasConsiderando 133 - Assistência Mútua E Medidas Provisórias

1.   As autoridades de controlo conduzem, sempre que conveniente, operações conjuntas, incluindo investigações e medidas de execução conjuntas nas quais participem membros ou pessoal das autoridades de controlo de outros Estados-Membros. 3.   As autoridades de controlo podem, nos termos do direito do seu Estado-Membro, e com a autorização da autoridade de controlo de origem, conferir poderes, nomeadamente poderes de investigação, aos membros ou ao pessoal da autoridade de controlo de origem implicados nas operações conjuntas ou, na medida em que o direito do Estado-Membro da autoridade de controlo de acolhimento o permita, autorizar os membros ou o pessoal da autoridade de controlo de origem a exercer os seus poderes de investigação nos termos do direito do Estado-Membro da autoridade de controlo de origem. Esses poderes de investigação podem ser exercidos apenas sob a orientação e na presença de membros ou pessoal da autoridade de controlo de acolhimento. Os membros ou pessoal da autoridade de controlo de origem estão sujeitos ao direito do Estado-Membro da autoridade de controlo de acolhimento. 5.   O Estado-Membro em cujo território forem causados os danos indemniza-os nas condições aplicáveis aos danos causados pelo seu próprio pessoal. O Estado-Membro da autoridade de controlo de origem cujo pessoal tenha causado danos a qualquer pessoa no território de outro Estado-Membro reembolsa integralmente esse outro Estado-Membro das somas que tenha pago aos seus representantes legais. Considerandos adequados Considerando 126 - Decisões ConjuntasConsiderando 134 - Participação Em Operações Conjuntas

A fim de contribuir para a aplicação coerente do presente regulamento em toda a União, as autoridades de controlo cooperam entre si e, quando for relevante, com a Comissão, através do procedimento de controlo da coerência previsto na presente secção. Considerandos adequados Considerando 135 - Mecanismo De Coerência

1.   O Comité emite parecer sempre que uma autoridade de controlo competente tenha a intenção de adotar uma das medidas a seguir enunciadas. Para esse efeito, a autoridade de controlo competente envia o projeto de decisão ao Comité, quando esta: 4.   As autoridades de controlo e a Comissão comunicam sem demora injustificada, por via eletrónica, ao Comité, utilizando um formato normalizado, as informações que forem pertinentes, incluindo, consoante o caso, um resumo dos factos, o projeto de decisão, os motivos que tornam necessário adotar tal medida, bem como as posições das outras autoridades de controlo interessadas. 5.   O presidente do Comité informa sem demora injustificada, por via eletrónica: a) Os membros do Comité e a Comissão de quaisquer informações pertinentes que lhe tenham sido comunicadas, utilizando um formato normalizado. Se necessário, o Secretariado do Comité fornece traduções das informações pertinentes; e b) A autoridade de controlo referida, consoante o caso, nos n.os 1 e 2 e a Comissão do parecer e torna-o público. Considerandos adequados Considerando 136 - Decisões Vinculativas E Pareceres Do Conselho

1.   A fim de assegurar a aplicação correta e coerente do presente regulamento em cada caso, o Comité adota uma decisão vinculativa nos seguintes casos: b) Quando haja posições divergentes sobre a questão de saber qual das autoridades de controlo interessadas é competente para o estabelecimento principal; Considerandos adequados Considerando 136 - Decisões Vinculativas E Pareceres Do Conselho

3.   As autoridades de controlo podem solicitar um parecer urgente ou uma decisão vinculativa urgente, conforme o caso, ao Comité, quando a autoridade de controlo competente não tiver tomado nenhuma medida adequada numa situação que exija uma iniciativa urgente para defender os direitos e liberdades dos titulares dos dados, apresentando os motivos por que pede parecer ou decisão, e por que há necessidade urgente de agir. Considerandos adequados Considerando 137 - Medidas ProvisóriasConsiderando 138 - Procedimento De Urgência

A Comissão pode adotar atos de execução de aplicação geral para determinar as modalidades de troca de informações entre as autoridades de supervisão e com o colégio por meios eletrónicos, nomeadamente estabelecendo o formato-tipo referido no artigo 64.º. Estes atos de execução são adotados em conformidade com o procedimento de exame referido no artigo 93.º, n.º 2. Considerandos adequados Considerando 123 – Cooperação Das Autoridades De Supervisão Entre Si E Com A Comissão Considerando 124 – Autoridade Principal Relativamente Ao Tratamento Em Vários Estados-Membros Considerando 125 – Competências Da Autoridade Principal

1.   O Comité Europeu para a Proteção de Dados («Comité») é criado enquanto organismo da União e está dotado de personalidade jurídica. 2.   O Comité é representado pelo seu presidente. 3.   O Comité é composto pelo diretor de uma autoridade de controlo de cada Estado-Membro e da Autoridade Europeia para a Proteção de Dados, ou pelos respetivos representantes. 4.   Quando, num determinado Estado-Membro, haja mais do que uma autoridade de controlo com responsabilidade pelo controlo da aplicação do presente regulamento, é nomeado um representante comum nos termos do direito desse Estado-Membro. 5.   A Comissão tem o direito de participar nas atividades e reuniões do Comité, sem direito de voto. A Comissão designa um representante. O presidente do Comité informa a Comissão das atividades do Comité. Considerandos adequados Considerando 139 - Conselho Europeu De Proteção De Dados

Considerandos adequados Considerando 139 - Conselho Europeu De Proteção De Dados

1.   O Comité assegura a aplicação coerente do presente regulamento. Para o efeito, o Comité exerce, por iniciativa própria ou, nos casos pertinentes, a pedido da Comissão, as seguintes atividades: b) Aconselha a Comissão em todas as questões relacionadas com a proteção de dados pessoais na União, nomeadamente em qualquer projeto de alteração ao presente regulamento; c) Aconselha a Comissão sobre o formato e os procedimentos de intercâmbio de informações entre os responsáveis pelo tratamento, os subcontratantes e as autoridades de controlo no que respeita às regras vinculativas aplicáveis às empresas; e) Analisa, por iniciativa própria, a pedido de um dos seus membros da Comissão, qualquer questão relativa à aplicação do presente regulamento e emite diretrizes, recomendações e melhores práticas, a fim de incentivar a aplicação coerente do presente regulamento; l) Examina a aplicação prática das diretrizes, recomendações e melhores práticas referidas nas alíneas e) e f); s) Dá parecer à Comissão para a avaliação da adequação do nível de proteção num país terceiro ou organização internacional, e também para avaliar se um país terceiro, um território ou um ou mais setores específicos desse país terceiro, ou uma organização internacional, deixou de garantir um nível adequado de proteção. Para esse efeito, a Comissão fornece ao Comité toda a documentação necessária, inclusive a correspondência com o Governo do país terceiro, relativamente a esse país terceiro, território ou setor específico, ou com a organização internacional; u) Promover a cooperação e o intercâmbio bilateral e plurilateral efetivo de informações e as melhores práticas entre as autoridades de controlo; v) Promover programas de formação comuns e facilitar o intercâmbio de pessoal entre as autoridades de controlo, e, se necessário, com as autoridades de controlo de países terceiros ou com organizações internacionais; w) Promover o intercâmbio de conhecimentos e de documentação sobre as práticas e a legislação no domínio da proteção de dados com autoridades de controlo de todo o mundo; y) Conservar um registo eletrónico, acessível ao público, das decisões tomadas pelas autoridades de controlo e pelos tribunais sobre questões tratadas no âmbito do procedimento de controlo da coerência. 2.   Quando a Comissão consultar o Comité, pode indicar um prazo para a formulação do parecer, tendo em conta a urgência do assunto. Considerandos adequados Considerando 136 - Decisões Vinculativas E Pareceres Do ConselhoConsiderando 139 - Conselho Europeu De Proteção De Dados

1.   O Comité elabora um relatório anual sobre a proteção das pessoas singulares no que diz respeito ao tratamento na União e, quando for relevante, em países terceiros e organizações internacionais. O relatório é tornado público e enviado ao Parlamento Europeu, ao Conselho e à Comissão. Considerandos adequados Considerando 135 – Mecanismo De Coerência Considerando 136 – Decisões Vinculativas E Pareceres Do Conselho

1.   Salvo disposição em contrário do presente regulamento, o Comité decide por maioria simples dos seus membros. 2.   O Comité adota o seu regulamento interno por maioria de dois terços dos membros que o compõem e determina as suas regras de funcionamento. Considerandos adequados Considerando 10 – Nível Harmonizado De Proteção De Dados Apesar Do Âmbito Nacional Considerando 11 – Harmonização Dos Poderes E Sanções Considerando 117 – Estabelecimento De Autoridades De Supervisão

1.   O Comité elege de entre os seus membros, por maioria simples, um presidente e dois vice-presidentes. 2.   O mandato do presidente e dos vice-presidentes tem a duração de cinco anos e é renovável uma vez. Considerandos adequados Considerando 117 – Estabelecimento De Autoridades De Supervisão Considerando 123 – Cooperação Das Autoridades De Supervisão Entre Si E Com A Comissão

1.   O presidente tem as seguintes funções: a) Convoca as reuniões do Comité e prepara a respetiva ordem de trabalhos; 2.   O Comité estabelece a repartição de funções entre o presidente e os vice-presidentes no seu regulamento interno. Considerandos adequados Considerando 13 – Tendo Em Conta As Micro, Pequenas E Médias Empresas Considerando 22 – Tratamento Por Um Estabelecimento Considerando 80 – Designação De Um Representante

1.   O Comité dispõe de um secretariado disponibilizado pela Autoridade Europeia para a Proteção de Dados. 2.   O secretariado desempenha as suas funções sob a direção exclusiva do presidente do Comité. 3.   O pessoal da Autoridade Europeia para a Proteção de Dados envolvido na prossecução das atribuições conferidas ao Comité pelo presente regulamento está sujeito a uma hierarquia distinta do pessoal envolvido na prossecução das atribuições conferidas à Autoridade Europeia para a Proteção de Dados. 4.   Quando for caso disso, o Comité e a Autoridade Europeia para a Proteção de Dados elaboram e publicam um memorando de entendimento que dê execução ao presente artigo e defina os termos da sua cooperação, aplicável ao pessoal da Autoridade Europeia para a Proteção de Dados envolvido na prossecução das atribuições conferidas ao Comité pelo presente regulamento. 5.   O secretariado fornece ao Comité apoio de caráter analítico, administrativo e logístico. 6.   O secretariado é responsável, em especial: a) Pela gestão corrente do Comité; b) Pela comunicação entre os membros do Comité, o seu presidente e a Comissão; c) Pela comunicação com outras instituições e o público; d) Pelo recurso a meios eletrónicos para a comunicação interna e externa; e) Pela tradução de informações pertinentes; f) Pela preparação e acompanhamento das reuniões do Comité; g) Pela preparação, redação e publicação dos pareceres, das decisões em matéria de resolução de litígios entre autoridades de controlo e de outros textos adotados pelo Comité. Considerandos adequados Considerando 140 - Secretariado E Pessoal Do Conselho

1.   Os debates do Comité são confidenciais quando o Comité o considerar necessário, nos termos do seu regulamento interno. Considerandos adequados Considerando 58 – O Princípio Da Transparência Considerando 63 – Direito De Acesso Considerando 74 – Responsabilidade E Obrigação Do Controlador Considerando 83 – Segurança Do Tratamento

1.   Sem prejuízo de qualquer outra via de recurso administrativo ou judicial, todos os titulares de dados têm direito a apresentar reclamação a uma autoridade de controlo, em especial no Estado-Membro da sua residência habitual, do seu local de trabalho ou do local onde foi alegadamente praticada a infração, se o titular dos dados considerar que o tratamento dos dados pessoais que lhe diga respeito viola o presente regulamento. Considerandos adequados Considerando 141 - Direito De Registrar Uma Queixa

1.   Sem prejuízo de qualquer outra via de recurso administrativo ou extrajudicial, todas as pessoas singulares ou coletivas têm direito à ação judicial contra as decisões juridicamente vinculativas das autoridades de controlo que lhes digam respeito. 3.   Os recursos contra as autoridades de controlo são interpostos nos tribunais do Estado-Membro em cujo território se encontrem estabelecidas. 4.   Quando for interposto recurso de uma decisão de uma autoridade de controlo que tenha sido precedida de um parecer ou uma decisão do Comité no âmbito do procedimento de controlo da coerência, a autoridade de controlo transmite esse parecer ou decisão ao tribunal. Considerandos adequados Considerando 141 - Direito De Registrar Uma QueixaConsiderando 143 - Recursos Judiciais

2.   Os recursos contra os responsáveis pelo tratamento ou os subcontratantes são propostos nos tribunais do Estado-Membro em que tenham estabelecimento. Em alternativa, os recursos podem ser interpostos nos tribunais do Estado-Membro em que o titular dos dados tenha a sua residência habitual, salvo se o responsável pelo tratamento ou o subcontratante for uma autoridade de um Estado-Membro no exercício dos seus poderes públicos. Considerandos adequados Considerando 141 - Direito De Registrar Uma QueixaConsiderando 145 - Escolha Do Foro

Considerandos adequados Considerando 142 - O Direito Dos Titulares De Dados De Mandatar Um Organismo, Organização Ou Associação Sem Fins Lucrativos

1.   Caso um tribunal de um Estado-Membro tenha informações sobre um processo pendente num tribunal de outro Estado-Membro, relativo ao mesmo assunto no que se refere às atividades de tratamento do mesmo responsável pelo tratamento ou subcontratante, deve contactar o referido tribunal desse outro Estado-Membro a fim de confirmar a existência de tal processo. 2.   Caso esteja pendente num tribunal de outro Estado-Membro um processo relativo ao mesmo assunto no que se refere às atividades de tratamento do mesmo responsável pelo tratamento ou subcontratante, o tribunal onde a ação foi intentada em segundo lugar pode suspender o seu processo. 3.   Caso o referido processo esteja pendente em primeira instância, o tribunal onde a ação foi intentada em segundo lugar pode igualmente declinar a sua competência, a pedido de uma das partes, se o órgão jurisdicional onde a ação foi intentada em primeiro lugar for competente para conhecer dos pedidos em questão e a sua lei permitir a respetiva apensação. Considerandos adequados Considerando 144 - Processos Relacionados

1.   Qualquer pessoa que tenha sofrido danos materiais ou imateriais devido a uma violação do presente regulamento tem direito a receber uma indemnização do responsável pelo tratamento ou do subcontratante pelos danos sofridos. 2.   Qualquer responsável pelo tratamento que esteja envolvido no tratamento é responsável pelos danos causados por um tratamento que viole o presente regulamento. O subcontratante é responsável pelos danos causados pelo tratamento apenas se não tiver cumprido as obrigações decorrentes do presente regulamento dirigidas especificamente aos subcontratantes ou se não tiver seguido as instruções lícitas do responsável pelo tratamento. 4.   Quando mais do que um responsável pelo tratamento ou subcontratante, ou um responsável pelo tratamento e um subcontratante, estejam envolvidos no mesmo tratamento e sejam, nos termos dos n.os 2 e 3, responsáveis por eventuais danos causados pelo tratamento, cada responsável pelo tratamento ou subcontratante é responsável pela totalidade dos danos, a fim de assegurar a efetiva indemnização do titular dos dados. Considerandos adequados Considerando 146 - IndemnizaçãoConsiderando 147 - Jurisdição

1.   Cada autoridade de controlo assegura que a aplicação de coimas nos termos do presente artigo relativamente a violações do presente regulamento a que se referem os n.os 4, 5 e 6 é, em cada caso individual, efetiva, proporcionada e dissuasiva. a) A natureza, a gravidade e a duração da infração tendo em conta a natureza, o âmbito ou o objetivo do tratamento de dados em causa, bem como o número de titulares de dados afetados e o nível de danos por eles sofridos; b) O caráter intencional ou negligente da infração; c) A iniciativa tomada pelo responsável pelo tratamento ou pelo subcontratante para atenuar os danos sofridos pelos titulares; e) Quaisquer infrações pertinentes anteriormente cometidas pelo responsável pelo tratamento ou pelo subcontratante; f) O grau de cooperação com a autoridade de controlo, a fim de sanar a infração e atenuar os seus eventuais efeitos negativos; g) As categorias específicas de dados pessoais afetadas pela infração; h) A forma como a autoridade de controlo tomou conhecimento da infração, em especial se o responsável pelo tratamento ou o subcontratante a notificaram, e em caso afirmativo, em que medida o fizeram; k) Qualquer outro fator agravante ou atenuante aplicável às circunstâncias do caso, como os benefícios financeiros obtidos ou as perdas evitadas, direta ou indiretamente, por intermédio da infração. 3.   Se o responsável pelo tratamento ou o subcontratante violar, intencionalmente ou por negligência, no âmbito das mesmas operações de tratamento ou de operações ligadas entre si, várias disposições do presente regulamento, o montante total da coima não pode exceder o montante especificado para a violação mais grave. d) As obrigações nos termos do direito do Estado-Membro adotado ao abrigo do capítulo IX; 8.   O exercício das competências que lhe são atribuídas pelo presente artigo por parte da autoridade de controlo fica sujeito às garantias processuais adequadas nos termos do direito da União e dos Estados-Membros, incluindo o direito à ação judicial e a um processo equitativo. 9.   Quando o sistema jurídico dos Estados-Membros não preveja coimas, pode aplicar-se o presente artigo de modo a que a coima seja proposta pela autoridade de controlo competente e imposta pelos tribunais nacionais competentes, garantindo ao mesmo tempo que estas medidas jurídicas corretivas são eficazes e têm um efeito equivalente às coimas impostas pelas autoridades de controlo. Em todo o caso, as coimas impostas devem ser efetivas, proporcionadas e dissuasivas. Os referidos Estados-Membros notificam a Comissão das disposições de direito interno que adotarem nos termos do presente número até 25 de maio de 2018 e, sem demora, de qualquer alteração subsequente das mesmas. Considerandos adequados Considerando 148 - PenalidadesConsiderando 149 - Sanções Por Infringências Das Normas NacionaisConsiderando 150 - Multas AdministrativasConsiderando 151 - Multas Administrativas Na Dinamarca E Na EstôniaConsiderando 152 - Poder De Sanção Dos Estados-Membros

Considerandos adequados Considerando 149 - Sanções Por Infringências Das Normas NacionaisConsiderando 150 - Multas AdministrativasConsiderando 151 - Multas Administrativas Na Dinamarca E Na EstôniaConsiderando 152 - Poder De Sanção Dos Estados-Membros

1.   Os Estados-Membros conciliam por lei o direito à proteção de dados pessoais nos termos do presente regulamento com o direito à liberdade de expressão e de informação, incluindo o tratamento para fins jornalísticos e para fins de expressão académica, artística ou literária. 2.   Para o tratamento efetuado para fins jornalísticos ou para fins de expressão académica, artística ou literária, os Estados-Membros estabelecem isenções ou derrogações do capítulo II (princípios), do capítulo III (direitos do titular dos dados), do capítulo IV (responsável pelo tratamento e subcontratante), do capítulo V (transferência de dados pessoais para países terceiros e organizações internacionais), do capítulo VI (autoridades de controlo independentes), do capítulo VII (cooperação e coerência) e do capítulo IX (situações específicas de tratamento de dados) se tais isenções ou derrogações forem necessárias para conciliar o direito à proteção de dados pessoais com a liberdade de expressão e de informação. Considerandos adequados Considerando 153 - Tratamento De Dados Pessoais Exclusivamente Para Fins Jornalísticos Ou Para Fins De Expressão Acadêmica, Artística Ou Literária

Os dados pessoais que constem de documentos oficiais na posse de uma autoridade pública ou de um organismo público ou privado para a prossecução de atribuições de interesse público podem ser divulgados pela autoridade ou organismo nos termos do direito da União ou do Estado-Membro que for aplicável à autoridade ou organismo público, a fim de conciliar o acesso do público a documentos oficiais com o direito à proteção dos dados pessoais nos termos do presente regulamento. Considerandos adequados Considerando 154 - Princípio Do Acesso Público A Documentos Oficiais

Os Estados-Membros podem determinar em pormenor as condições específicas aplicáveis ao tratamento de um número de identificação nacional ou de qualquer outro elemento de identificação de aplicação geral. Nesse caso, o número de identificação nacional ou qualquer outro elemento de identificação de aplicação geral é exclusivamente utilizado mediante garantias adequadas dos direitos e liberdades do titular dos dados nos termos do presente regulamento. Considerandos adequados Considerando 41 – Base Legal Ou Medidas Legislativas Considerando 51 – Protegendo Dados Pessoais Sensíveis Considerando 75 – Riscos Para Os Direitos E Liberdades Das Pessoas Naturais Considerando 78 – Medidas Técnicas E Organizacionais Apropriadas

1.   Os Estados-Membros podem estabelecer, no seu ordenamento jurídico ou em convenções coletivas, normas mais específicas para garantir a defesa dos direitos e liberdades no que respeita ao tratamento de dados pessoais dos trabalhadores no contexto laboral, nomeadamente para efeitos de recrutamento, execução do contrato de trabalho, incluindo o cumprimento das obrigações previstas no ordenamento jurídico ou em convenções coletivas, de gestão, planeamento e organização do trabalho, de igualdade e diversidade no local de trabalho, de saúde e segurança no trabalho, de proteção dos bens do empregador ou do cliente e para efeitos do exercício e gozo, individual ou coletivo, dos direitos e benefícios relacionados com o emprego, bem como para efeitos de cessação da relação de trabalho. 2.   As normas referidas incluem medidas adequadas e específicas para salvaguardar a dignidade, os interesses legítimos e os direitos fundamentais do titular dos dados, com especial relevo para a transparência do tratamento de dados, a transferência de dados pessoais num grupo empresarial ou num grupo de empresas envolvidas numa atividade económica conjunta e os sistemas de controlo no local de trabalho. Considerandos adequados Considerando 155 - Tratamento No Contexto Laboral

1.   O tratamento para fins de arquivo de interesse público, ou para fins de investigação científica ou histórica ou para fins estatísticos, está sujeito a garantias adequadas, nos termos do presente regulamento, para os direitos e liberdades do titular dos dados. Essas garantias asseguram a adoção de medidas técnicas e organizativas a fim de assegurar, nomeadamente, o respeito do princípio da minimização dos dados. Essas medidas podem incluir a pseudonimização, desde que os fins visados possam ser atingidos desse modo. Sempre que esses fins possam ser atingidos por novos tratamentos que não permitam, ou já não permitam, a identificação dos titulares dos dados, os referidos fins são atingidos desse modo. 4.   Quando o tratamento de dados previsto no n.os 2 e 3 também se destine, simultaneamente, a outros fins, as derrogações aplicam-se apenas ao tratamento de dados para os fins previstos nesses números. Considerandos adequados Considerando 156 - Tratamento Para Fins De Arquivo, Pesquisa Científica Ou Histórica Ou Fins EstatísticosConsiderando 157 - Informações De Registros E Pesquisa CientíficaConsiderando 158 - Tratamento Para Fins De ArquivoConsiderando 159 - Processamento Para Fins De Pesquisa CientíficaConsiderando 160 - Tratamento Para Fins De Pesquisa HistóricaConsiderando 161 - Consentimento Para Participação Em Ensaios ClínicosConsiderando 162 - Tratamento Para Fins EstatísticosConsiderando 163 - Produção De Estatísticas Europeias E Nacionais

Considerandos adequados Considerando 164 - Obrigações De Sigilo Profissional Ou Outro Sigilo Equivalente

1.   Quando, num Estado-Membro, as igrejas e associações ou comunidades religiosas apliquem, à data da entrada em vigor do presente regulamento, um conjunto completo de normas relativas à proteção das pessoas singulares relativamente ao tratamento, tais normas podem continuar a ser aplicadas, desde que cumpram o presente regulamento. Considerandos adequados Considerando 165 - Sem Prejuízo Do Estatuto Das Igrejas E Associações Religiosas

1.   O poder de adotar atos delegados é conferido à Comissão nas condições estabelecidas no presente artigo. 4.   Assim que adotar um ato delegado, a Comissão notifica-o simultaneamente ao Parlamento Europeu e ao Conselho. Considerandos adequados Considerando 166 - Atos Delegados Da ComissãoConsiderando 167 - Poderes De Implementação Da ComissãoConsiderando 168 - Decretos De Execução Sobre Cláusulas Contratuais PadrãoConsiderando 169 - Atos De Execução Imediatamente AplicáveisConsiderando 170 - Princípio Da Subsidiariedade E Princípio Da Proporcionalidade

1. A Comissão será assistida por um comité. Esse comité será um comité na aceção do Regulamento (UE) n.º 182/2011. 2. Sempre que seja feita referência ao presente número, aplicar-se-á o artigo 5.º do Regulamento (UE) n.º 182/2011. 3. Sempre que seja feita referência ao presente parágrafo, aplicar-se-á o artigo 8.º do Regulamento (UE) n.º 182/2011, em conjugação com o respetivo artigo 5.º. Considerandos adequados Considerando 8 – Adoção Na Legislação Nacional Considerando 10 – Nível Harmonizado De Proteção De Dados Apesar Do Âmbito Nacional Considerando 11 – Harmonização Dos Poderes E Sanções

1.   A Diretiva 95/46/CE é revogada com efeitos a partir de 25 de maio de 2018. Considerandos adequados Considerando 171 - Revogação Da Diretiva 95/46/Ce E Disposições Transitórias

O presente regulamento não impõe obrigações suplementares a pessoas singulares ou coletivas no que respeita ao tratamento no contexto da prestação de serviços de comunicações eletrónicas disponíveis nas redes públicas de comunicações na União em matérias que estejam sujeitas a obrigações específicas com o mesmo objetivo estabelecidas na Diretiva 2002/58/CE. Considerandos adequados Considerando 173 - Relação Com A Diretiva 2002/58/Ce

Os acordos internacionais celebrados pelos Estados-Membros antes de 24 de maio de 2016, que impliquem a transferência de dados pessoais para países terceiros ou organizações internacionais e que sejam conformes com o direito da União aplicável antes dessa data, permanecem em vigor até serem alterados, substituídos ou revogados. Considerandos adequados Considerando 108 – Garantias Apropriadas Considerando 109 – Cláusulas Padrão De Proteção De Dados

1.   Até 25 de maio de 2020 e subsequentemente de quatro anos em quatro anos, a Comissão apresenta ao Parlamento Europeu e ao Conselho um relatório sobre a avaliação e revisão do presente regulamento. Os relatórios são tornados públicos. b) Capítulo VII sobre cooperação e coerência. 4.   Ao efetuar as avaliações e as revisões a que se referem os n.os 1 e 2, a Comissão tem em consideração as posições e as conclusões a que tenham chegado o Parlamento Europeu, o Conselho e outros organismos ou fontes pertinentes. 5.   Se necessário, a Comissão apresenta propostas adequadas com vista à alteração do presente regulamento atendendo, em especial, à evolução das tecnologias da informação e aos progressos da Sociedade da Informação. Considerandos adequados Considerando 6 – Garantir Um Alto Nível De Proteção De Dados Apesar Do Aumento Na Troca De Dados Considerando 7 – A Estrutura É Baseada No Controle E Na Certeza Considerando 9 – Diferentes Níveis De Proteção Pela Diretiva 95/46/Ce

Se necessário, a Comissão apresenta propostas legislativas com vista à alteração de outros atos jurídicos da União sobre a proteção dos dados pessoais, a fim de assegurar uma proteção uniforme e coerente das pessoas singulares no que diz respeito ao tratamento. Tal incide nomeadamente sobre as normas relativas à proteção das pessoas singulares no que diz respeito ao tratamento pelas instituições, órgãos, organismos e agências da União e a livre circulação desses dados. Considerandos adequados Considerando 7 – A Estrutura É Baseada No Controle E Na Certeza Considerando 8 – Adoção Na Legislação Nacional Considerando 9 – Diferentes Níveis De Proteção Pela Diretiva 95/46/Ce Considerando 13 – Tendo Em Conta As Micro, Pequenas E Médias Empresas

1.   O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia. 2.   O presente regulamento é aplicável a partir de 25 de maio de 2018. Considerandos adequados Considerando 4 – Proteção De Dados Em Equilíbrio Com Outros Direitos Fundamentais Considerando 6 – Garantir Um Alto Nível De Proteção De Dados Apesar Do Aumento Na Troca De Dados Considerando 7 – A Estrutura É Baseada No Controle E Na Certeza