Novo Regulamento sobre Proteção de Dados - Figuras e Obrigações

Essa mudança é percetível na inversão do ónus de prova, que antes do RGPD estava do lado do titular dos dados e que agora passa a estar do lado das organizações. De uma forma prática, isto significa que quem trata dados pessoais passa a ter a obrigação de provar em que situações é que processou esses dados, para que fim e porquê, quando no passado bastava submeter um pedido de autorização prévia à autoridade competente.

Desta forma e porque o tema é de reconhecida importância, após o enquadramento geral elaborado no primeiro artigo do RGPD, vamos continuar a abordar o mesmo, que entra em vigor já a partir de 25 de Maio do próximo ano.

Novas figuras na Proteção de Dados

Para além das mudanças já referidas, são introduzidas novas figuras, cada uma com diferentes responsabilidades. Confira na ilustração abaixo.

• Notificação de violação de dados pessoais: em caso de violação de dados pessoais, o responsável pelo tratamento é obrigado a notificar esse facto à autoridade de controlo competente sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento da mesma. Quando essa violação dos dados pessoais for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento também é obrigado a comunicar a violação de dados pessoais ao titular dos dados sem demora injustificada.
• Proteção de dados desde a conceção e por defeito: o responsável pelo tratamento é obrigado a aplicar, tanto no momento de definição dos meios de tratamento como no momento do próprio tratamento, as medidas técnicas e organizativas adequadas, como a pseudonimização, destinadas a aplicar com eficácia os princípios da proteção de dados, tais como a minimização, e a incluir as garantias necessárias no tratamento, de forma a que este cumpra os requisitos do RGPD e proteja os direitos dos titulares dos dados.
• Registo das atividades de tratamento: cada responsável ou subcontratante que efetue tratamento de dados é obrigado a conservar um registo de todas as atividades de tratamento sob a sua responsabilidade. Deve conservar, por exemplo, o nome e os contactos do responsável pelo tratamento e do DPO, as finalidades do tratamento, a descrição das categorias de titulares de dados e das categorias de dados pessoais envolvidos no tratamento.
• Avaliação de impacto sobre a proteção de dados: quando um certo tipo de tratamento, particularmente um que utilize novas tecnologias e tendo em conta a sua natureza, âmbito, contexto e finalidades, for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento procede, antes de iniciar o tratamento, a uma avaliação de impacto das operações de tratamento previstas sobre a proteção de dados pessoais. Por exemplo, sempre que a organização utilize um novo software de tratamento de dados ou execute o tratamento de um novo tipo de dados (dados especiais).

No próximo artigo abordaremos os direitos dos titulares dos dados e de que forma as organizações que tratam dados pessoais devem garantir o exercício desses direitos.

Para mais informações, por favor contacte:
tel: 808 200 747 (Seg. a Sex. das 9h às 18h)
@: pt.info@sgs.com