Section 1 General obligations

Artigo 19.o

Obrigações do responsável pelo tratamento

1.  Os Estados-Membros preveem que o responsável pelo tratamento, tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento dos dados, bem como os riscos de probabilidade e gravidade variáveis para os direitos e liberdades das pessoas singulares, aplique as medidas técnicas e organizativas adequadas para assegurar e poder comprovar que o tratamento é realizado em conformidade com a presente diretiva. Estas medidas são avaliadas e atualizadas, se necessário.

2.  Caso sejam proporcionadas em relação às atividades de tratamento de dados, as medidas referidas no n.o 1 incluem a aplicação, pelo responsável pelo tratamento, de políticas adequadas em matéria de proteção de dados.

Artigo 20.o

Proteção de dados desde a conceção e por defeito

1.  Os Estados-Membros preveem que o responsável pelo tratamento, tendo em conta as técnicas mais avançadas e os custos da sua aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos de probabilidade e gravidade variáveis que representa para os direitos e liberdades das pessoas singulares, aplique, tanto no momento da definição dos meios de tratamento como no momento do próprio tratamento, as medidas técnicas e organizativas — como a pseudonimização — concebidas para aplicar de forma eficaz os princípios da proteção de dados, como a minimização dos dados, e para integrar as garantias necessárias no tratamento de dados a fim de satisfazer os requisitos da presente diretiva e de proteger os direitos dos titulares dos dados.

2.  Os Estados-Membros preveem que o responsável pelo tratamento aplique as medidas técnicas e organizativas adequadas que assegurem, por defeito, que apenas são tratados os dados pessoais necessários para cada finalidade específica do tratamento; tal aplica-se ao volume de dados pessoais recolhidos, à extensão do seu tratamento, ao prazo de conservação e à sua acessibilidade. Em especial, estas medidas asseguram que, por defeito, os dados pessoais não são disponibilizados a um número indeterminado de pessoas sem a intervenção da pessoa singular em causa.

Artigo 21.o

Responsáveis conjuntos pelo tratamento

1.  Os Estados-Membros preveem que, quando dois ou mais responsáveis pelo tratamento de dados determinam conjuntamente as finalidades e os meios do tratamento, ambos são responsáveis conjuntos pelo tratamento. Ambos determinam as respetivas responsabilidades por acordo entre si e de modo transparente, a fim de garantir o cumprimento da presente diretiva, nomeadamente no que diz respeito ao exercício dos direitos do titular dos dados, e os respetivos deveres de fornecer as informações referidas no artigo 13.o, a menos e na medida em que as suas responsabilidades respetivas sejam determinadas pelo direito da União ou do Estado-Membro a que estejam sujeitos. Desse acordo deve constar o ponto de contacto dos titulares dos dados. Os Estados-Membros podem determinar qual dos dois responsáveis conjuntos fica habilitado a agir como o ponto de contacto único para que os titulares dos dados exerçam os seus direitos.

2.  Independentemente do acordo a que se refere o n.o 1, os Estados-Membros podem prever que o titular dos dados exerça, em relação a cada um dos responsáveis pelo tratamento de dados, os direitos que lhe conferem as disposições adotadas por força da presente diretiva.

Artigo 22.o

Subcontratante

1.  Os Estados-Membros preveem que, caso o tratamento de dados seja efetuado por conta do responsável pelo tratamento, este recorra apenas a subcontratantes que apresentem garantias suficientes de executar medidas técnicas e organizativas adequadas, de modo a que o tratamento satisfaça os requisitos estabelecidos na presente diretiva e assegure a proteção dos direitos do titular dos dados.

2.  Os Estados-Membros preveem que o subcontratante não contrate outro subcontratante sem a autorização prévia específica ou geral por escrito do responsável pelo tratamento. Em caso de autorização geral por escrito, o subcontratante informa o responsável pelo tratamento de quaisquer alterações pretendidas quanto ao aditamento ou substituição de outros subcontratantes, dando, assim ao responsável pelo tratamento a oportunidade de se opor a tais alterações.

3.  Os Estados-Membros preveem que o tratamento em subcontratação seja regulada por um contrato ou outro ato normativo sujeito ao direito da União ou dos Estados-Membros, que vincule o subcontratante ao responsável pelo tratamento e que estabeleça o objeto e a duração do tratamento, a natureza e finalidade do tratamento, o tipo de dados pessoais e as categorias de titulares de dados, as obrigações e os direitos do responsável pelo tratamento. Esse contrato ou outro ato normativo prevê, designadamente, que o subcontratante:

4.  O contrato ou outro ato normativo a que se refere o n.o 3 é feito por escrito, inclusivamente em formato eletrónico.

5.  Se, em violação da presente diretiva, um subcontratante determinar as finalidades e os meios do tratamento, esse mesmo subcontratante é considerado responsável pelo tratamento em relação ao referido tratamento.

Artigo 23.o

Tratamento sob a autoridade do responsável pelo tratamento ou do subcontratante

Os Estados-Membros preveem que o subcontratante, bem como qualquer pessoa que, agindo sob a autoridade do responsável pelo tratamento ou do subcontratante, tenha acesso a dados pessoais, não possa efetuar o seu tratamento sem instruções do responsável pelo tratamento, salvo se tal for previsto pelo direito da União ou de um Estado-Membro.

Artigo 24.o

Registos das atividades de tratamento

1.  Os Estados-Membros preveem que os responsáveis pelo tratamento conservem um registo de todas as categorias de atividades de tratamento sob a sua responsabilidade. Desse registo deve constar:

2.  Os Estados-Membros preveem que os subcontratantes conservem um registo de todas as categorias de atividades de tratamento realizadas em nome de um responsável pelo tratamento, do qual constem:

3.  Os registos a que se referem os n.os 1 e 2 são conservados por escrito, inclusivamente em formato eletrónico.

O responsável pelo tratamento e o subcontratante facultam o registo à autoridade de controlo, a pedido desta.

Artigo 25.o

Registo cronológico

1.  Os Estados-Membros preveem que sejam conservados em sistemas de tratamento automatizado registos cronológicos pelo menos das seguintes operações de tratamento: recolha, alteração, consulta, divulgação — incluindo transferências —, interconexão e apagamento. Os registos cronológicos das operações de consulta e divulgação permitem determinar o motivo, a data e a hora dessas operações e, na medida do possível, a identificação da pessoa que consultou ou divulgou dados pessoais, e a identidade dos destinatários desses dados pessoais.

2.  Os registos cronológicos são utilizados exclusivamente para efeitos de verificação da licitude do tratamento, autocontrolo e garantia da integridade e segurança dos dados pessoais, bem como para ações penais.

3.  O responsável pelo tratamento e o subcontratante disponibilizam os registos cronológicos à autoridade de controlo, a pedido desta.

Artigo 26.o

Cooperação com a autoridade de controlo

Os Estados-Membros preveem que o responsável pelo tratamento e o subcontratante cooperem, a pedido, com a autoridade de controlo no exercício das suas atribuições.

Artigo 27.o

Avaliação de impacto sobre a proteção de dados

1.  Caso um tipo de tratamento, em particular que utilize novas tecnologias, e tendo em conta a sua natureza, âmbito, contexto e finalidades, seja suscetível de resultar num elevado risco para os direitos e liberdades das pessoas singulares, os Estados-Membros preveem que o responsável efetue, antes de iniciar o tratamento, uma avaliação do impacto das operações de tratamento previstas na proteção dos dados pessoais.

2.  A avaliação a que se refere o n.o 1 inclui pelo menos uma descrição geral das operações de tratamento de dados previstas, uma avaliação dos riscos para os direitos e liberdades dos titulares dos dados, as medidas previstas para fazer face a esses riscos, as garantias, medidas de segurança e mecanismos para assegurar a proteção dos dados pessoais e demonstrar a conformidade com a presente diretiva, tendo em conta os direitos e os legítimos interesses dos titulares dos dados e de outras pessoas em causa.

Artigo 28.o

Consulta prévia da autoridade de controlo

1.  Os Estados-Membros preveem que o responsável pelo tratamento ou o subcontratante consulte a autoridade de controlo antes de proceder ao tratamento de dados pessoais que farão parte de um novo ficheiro a criar caso:

2.  Os Estados-Membros preveem que a autoridade de controlo seja consultada durante a elaboração de propostas de medidas legislativas a adotar por um parlamento nacional ou de medidas regulamentares baseadas nessas medidas legislativas, quando tais propostas estejam relacionadas com o tratamento.

3.  Os Estados-Membros preveem que a autoridade de controlo possa estabelecer uma lista das operações de tratamento de dados sujeitas a consulta prévia nos termos do n.o 1.

4.  Os Estados-Membros preveem que o responsável pelo tratamento forneça à autoridade de controlo a avaliação de impacto sobre a proteção de dados nos termos do artigo 27.o e, quando solicitado, qualquer outra informação que permita à autoridade de controlo avaliar a conformidade do tratamento e, nomeadamente, os riscos para a proteção dos dados pessoais do titular dos dados e as respetivas garantias.

5.  Os Estados-Membros preveem que, caso considere que o tratamento previsto referido no n.o 1 do presente artigo violaria as disposições adotadas nos termos da presente diretiva, especialmente se o responsável pelo tratamento não tiver identificado ou atenuado suficientemente os riscos, a autoridade de controlo, no prazo de seis semanas a contar da receção do pedido de consulta, dê orientações, por escrito, ao responsável pelo tratamento e, se aplicável, ao subcontratante e possa recorrer a todos os seus poderes referidos no artigo 47.o. Esse prazo pode ser prorrogado por um mês, tendo em conta a complexidade do tratamento previsto. A autoridade de controlo informa o responsável pelo tratamento e, se for caso disso, o subcontratante dessa prorrogação e dos seus fundamentos no prazo de um mês a contar da data de receção do pedido de consulta.