Lei n.º 10/91 — Lei da Protecção de Dados Pessoais face à Informática

Lei da Protecção de Dados Pessoais face à Informática

A Assembleia da República decreta, nos termos dos artigos 164.º, alínea d), 168.º, n.º 1, alíneas b), c) e d), e 169.º, n.º 3, da Constituição, o seguinte:

CAPÍTULO I — Disposições gerais

Artigo 1.º — Princípio geral

O uso da informática deve processar-se de forma transparente e no estrito respeito pela reserva da vida privada e familiar e pelos direitos, liberdades e garantias fundamentais do cidadão.

Artigo 2.º — Definições

Para os fins da presente lei entende-se por:

Artigo 3.º — Âmbito de aplicação

1 - As disposições da presente lei aplicam-se obrigatoriamente:

2 - Exceptuam-se da aplicação prevista no artigo anterior os ficheiros de dados pessoais que contenham exclusivamente informações destinadas:

3 - A presente lei não se aplica igualmente aos ficheiros de dados pessoais constituídos e mantidos sob a responsabilidade do Sistema de Informação da República Portuguesa.

CAPÍTULO II — Da Comissão Nacional de Protecção de Dados Pessoais Informatizados

Artigo 4.º — Criação e atribuições

1 - É criada a Comissão Nacional de Protecção de Dados Pessoais Informatizados (CNPDPI), com a atribuição genérica de controlar o processamento automatizado de dados pessoais, em rigoroso respeito pelos direitos do homem e pelas liberdades e garantias consagradas na Constituição e na lei.

2 - A CNPDPI é uma entidade pública independente com poderes de autoridade, que funciona junto da Assembleia da República e dispõe de serviços próprios de apoio técnico e administrativo.

Artigo 5.º — Composição

1 - A CNPDPI é composta por sete membros de integridade e mérito reconhecidos, dos quais o presidente e dois dos vogais são eleitos pela Assembleia da República segundo o método da média mais alta de Hondt.

2 - Os restantes vogais são:

Artigo 6.º — Deveres e incompatibilidades

1 - Não podem ser membros da CNPDPI os cidadãos que não se encontrem no pleno gozo dos seus direitos civis e políticos.

2 - O exercício do mandato dos membros da CNPDPI rege-se, em matéria de deveres e incompatibilidades, pelos princípios gerais aplicáveis aos funcionários e agentes do Estado.

3 - A qualidade de membros da CNPDPI é incompatível com o exercício de funções correspondentes a:

Artigo 7.º — Estatuto remuneratório

O estatuto remuneratório dos membros da CNPDPI é fixado pelo Governo.

Artigo 8.º — Competências

1 - Compete em especial à CNPDPI:

2 - No exercício das suas funções, a CNPDPI profere decisões com força obrigatória, passíveis de reclamação e de recurso para o Supremo Tribunal Administrativo.

3 - A CNPDPI pode sugerir à Assembleia da República as providências que entender úteis à prossecução das suas atribuições e ao exercício das suas competências.

Artigo 9.º — Dever de colaboração

É dever de todas as entidades públicas e privadas dispensar colaboração à CNPDPI para o cabal exercício das suas funções.

Artigo 10.º — Posse

1 - Os membros da CNPDPI tomam posse perante o Presidente da Assembleia da República nos 10 dias seguintes ao da publicação na 1.ª série do Diário da República da lista dos membros eleitos.

2 - A CNPDPI mantém-se em funções pelo prazo de cinco anos e até à posse dos novos membros designados.

3 - Após a entrada em funções, a CNPDPI deve proceder de imediato à elaboração do seu regulamento e submetê-lo à aprovação da Assembleia da República.

CAPÍTULO III — Do processamento automatizado de dados pessoais

Artigo 11.º — Restrições ao tratamento de dados

1 - Não é admitido o tratamento automatizado de dados pessoais referentes a:

2 - A proibição do número anterior não obsta ao tratamento de dados para fins de investigação ou estatística, desde que não possam ser identificáveis as pessoas a que respeitam.

3 - O tratamento automatizado dos dados pessoais referidos na alínea b) do n.º 1 pode, no entanto, ser efectuado por serviços públicos, nos termos da lei, com garantias de não discriminação e prévio parecer da CNPDPI.

4 - O disposto nos números anteriores não obsta ao tratamento automatizado de dados pessoais por instituição a que tenham voluntariamente sido fornecidos pelos respectivos titulares, com conhecimento do seu destino e utilização.

Artigo 12.º — Requisitos da recolha

1 - A recolha de dados pessoais para tratamento automatizado deve efectuar-se de forma lícita e não enganosa.

2 - A recolha de dados pessoais deve processar-se em estrita adequação e pertinência à finalidade que a determinou.

3 - A finalidade determinante da recolha de dados deve ser conhecida antes do seu início.

Artigo 13.º — Direito à informação e acesso

1 - Qualquer pessoa tem o direito de ser informada sobre a existência de ficheiro automático, base ou banco de dados pessoais que lhe respeitem, e respectiva finalidade, bem como sobre a identidade e o endereço do seu responsável.

2 - O acesso aos ficheiros de dados eleitorais é facultado, em igualdade de circunstâncias e sob controlo da Comissão Nacional de Eleições, aos candidatos e aos partidos políticos.

Artigo 14.º — Actualização dos dados

Os dados pessoais recolhidos e mantidos em ficheiros automatizados, em bases e bancos de dados devem ser exactos e actuais.

Artigo 15.º — Utilização dos dados

Os dados pessoais só podem ser utilizados para a finalidade determinante da sua recolha, salvo autorização concedida por lei.

Artigo 16.º — Limites da apreciação judicial

Nenhuma decisão jurisdicional, administrativa ou disciplinar que implique apreciação sobre um comportamento humano pode ter por único fundamento o resultado do tratamento automatizado da informação atinente ao perfil ou à personalidade do titular do registo.

CAPÍTULO IV — Dos ficheiros automatizados, de bases e bancos de dados pessoais

Artigo 17.º — Requisitos de constituição

1 - A constituição de ficheiros automatizados, de bases e bancos de dados contendo dados pessoais, para os fins consentidos no artigo 11.º, é regulada por lei especial, com prévio parecer da CNPDPI.

2 - O disposto no número anterior não se aplica a ficheiros automatizados, a bases e bancos de dados mantidos por entidades públicas ou privadas, que não contenham dados pessoais referidos no artigo 11.º

3 - As entidades referidas no número anterior estão, porém, obrigadas a comunicar previamente à CNPDPI a constituição de ficheiros automatizados, de bases e bancos de dados com quaisquer outros dados pessoais e devem fazer acompanhar essa comunicação com os elementos constantes do artigo seguinte.

Artigo 18.º — Instrução dos pedidos

Os pedidos de parecer ou de autorização da CNPDPI para a constituição ou manutenção de ficheiros automatizados, de bases e bancos de dados pessoais, bem como a comunicação a que se refere o n.º 3 do artigo anterior, devem ser instruídos com os seguintes elementos:

Artigo 19.º — Indicações obrigatórias

1 - A lei, no caso especialmente previsto no n.º 1 do artigo 17.º, bem como as autorizações da CNPDPI, a que se referem as alíneas c) e d) do n.º 1 do artigo 8.º, devem indicar:

2 - Qualquer alteração das indicações constantes do n.º 1 carece igualmente de ser prevista em lei especial, bem como de autorização da CNPDPI, ou apenas desta, consoante os casos.

Artigo 20.º — Funcionamento dos ficheiros

1 - Os responsáveis por ficheiros automatizados, de bases e de bancos de dados pessoais devem interromper imediatamente o seu funcionamento quando actuem em desconformidade com a presente lei e tenham recebido da entidade competente directriz nesse sentido.

2 - Sem prejuízo da aplicação de outras sanções que a lei preveja, os ficheiros automatizados a que se refere o número anterior podem ser impedidos de funcionar e, se necessário, ser o seu conteúdo destruído.

Artigo 21.º — Equipamento de segurança

Os ficheiros automatizados, as bases e bancos de dados pessoais devem ser equipados com sistemas de segurança que impeçam a consulta, modificação, destruição ou acrescentamento dos dados por pessoa não autorizada a fazê-lo e permitam detectar desvios de informação intencionais ou não.

CAPÍTULO V — Da recolha e da interconexão de dados pessoais

Artigo 22.º — Indicações constantes dos documentos base

1 - Os documentos que sirvam de base à recolha de dados pessoais devem indicar:

2 - O disposto no número anterior não se aplica à recolha de informações destinadas à prevenção da criminalidade e à punição de infracções, bem como à recolha de informações destinadas a fins estatísticos, nos termos da legislação do Sistema Estatístico Nacional e do Instituto Nacional de Estatística.

Artigo 23.º — Destruição de dados

Decorrido o prazo de conservação autorizado, os dados devem ser destruídos, sem prejuízo da prorrogação desse prazo por lei especial ou autorização da CNPDPI, conforme os casos.

Artigo 24.º — Interconexão de dados pessoais

1 - É proibida a interconexão de ficheiros automatizados, de bases e bancos de dados pessoais, ressalvadas as exepções previstas na presente lei.

2 - Não é permitida a atribuição de um mesmo número de cidadão para efeitos de interconexão de ficheiros automatizados de dados pessoais que contenham informações de carácter policial, criminal ou médico.

Artigo 25.º — Interconexão de dados públicos

A interconexão de ficheiros automatizados, de bases e bancos de dados que contenham exclusivamente dados públicos pode processar-se entre entidades que prossigam os mesmos fins específicos, na dependência do mesmo responsável a que se refere a alínea h) do artigo 2.º

Artigo 26.º — Casos excepcionais

A lei que, em casos excepcionais, permitir a interconexão de ficheiros automatizados, de bancos e bases de dados deve definir expressamente os tipos de interconexão autorizados e a sua finalidade.

CAPÍTULO VI — Dos direitos e garantias individuais

Artigo 27.º — Direito de acesso às informações

A todas as pessoas, desde que devidamente identificadas, é reconhecido o direito de acesso às informações sobre elas registadas em ficheiros automatizados, bancos e bases de dados, com ressalva do disposto na lei sobre segredo de Estado e segredo de justiça.

Artigo 28.º — Exercício do direito de acesso

1 - O exercício do direito de acesso à informação não pode ser limitado, sem prejuízo de poder ser sujeito a regras destinadas a evitar abusos.

2 - A informação deve ser transmitida em linguagem clara, isenta de codificações e rigorosamente correspondente ao conteúdo do registo.

3 - A informação de carácter médico deve ser comunicada à pessoa a quem respeite, por intermédio do médico por ela designado.

Artigo 29.º — Excesso ou omissão de dados

Quando se verifique que um ficheiro automatizado, uma base ou um banco de dados pessoais contém dados excessivos em relação à sua finalidade ou peca por omissão de alguns, deve o responsável proceder, de imediato, à supressão dos excedentes ou à inclusão dos omissos.

Artigo 30.º — Informações inexactas

1 - Qualquer pessoa tem, relativamente a dados pessoais que lhe respeitam, o direito de exigir a correcção de informações inexactas e o completamento das total ou parcialmente omissas, bem como a supressão das que tenham sido obtidas por meios ilícitos ou enganosos ou cujo registo ou conservação não sejam permitidos.

2 - A prova da inexactidão cabe ao titular do registo quando a informação tiver sido fornecida por si ou com o seu consentimento, bem como se não tiver cumprido a obrigação legal de comunicar a alteração.

3 - Qualquer pessoa tem o direito de exigir que o seu nome e endereço sejam eliminados de ficheiros de endereços utilizados para mala directa.

Artigo 31.º — Intervenção do responsável

1 - Nas situações previstas no artigo anterior deve o responsável do suporte informático dar satisfação à pessoa em causa ou comunicar-lhe o que tiver por conveniente no prazo máximo de 30 dias.

2 - Da actuação do responsável do ficheiro pode o titular do registo apresentar queixa à CNPDPI.

Artigo 32.º — Sigilo profissional

1 - Os responsáveis dos ficheiros automatizados, de bases e bancos de dados, bem como as pessoas que, no exercício das suas funções, tenham conhecimento dos dados pessoais neles registados, ficam obrigados a sigilo profissional, mesmo após o termo das funções.

2 - Igual obrigação recai sobre os membros da CNPDPI, mesmo após o termo do mandato.

3 - O disposto nos números anteriores não exclui o dever do fornecimento das informações obrigatórias, nos termos legais, excepto quando constem de ficheiros organizados para fins estatísticos.

CAPÍTULO VII — Fluxos de dados transfronteiras

Artigo 33.º — Regime aplicável

1 - O disposto na presente lei aplica-se aos fluxos transfronteiras de dados pessoais, tratados automaticamente ou que se destinem a sê-lo, qualquer que seja o suporte utilizado.

2 - A CNPDPI pode, todavia, autorizar os fluxos transfronteiras de dados pessoais se o Estado de destino assegurar uma protecção equivalente à da presente lei.

3 - É proibido, em qualquer caso, o fluxo transfronteiras de dados pessoais se houver fundadas razões para crer que a sua transferência para um outro Estado tem por objectivo iludir as proibições ou os condicionalismos previstos na lei ou possibilitar a sua utilização ilícita.

CAPÍTULO VIII — Infracções e sanções

Artigo 34.º — Utilização ilegal de dados

1 - Quem, contra o disposto na lei, criar, mantiver ou modificar o conteúdo de ficheiro automatizado, base ou banco de dados pessoais ou fizer processar os mesmos dados é punido com prisão até um ano ou multa até 120 dias.

2 - A pena será agravada para o dobro dos seus limites tratando-se de dados pessoais referidos no artigo 11.º, fora das condições em que o processamento é autorizado.

3 - Nas mesmas penas incorre quem intencionalmente desviar dados pessoais da finalidade legalmente definida para a sua recolha e utilização.

Artigo 35.º — Obstrução ao acesso

1 - Quem, estando obrigado a garantir a outrem, nos termos da lei, o direito de acesso, de correcção ou de completamento de dados pessoais constantes de ficheiro automatizado, de base ou banco de dados, se recusar, sem justa causa, a fazê-lo, ou o fizer de modo intencionalmente erróneo ou incompleto, é punido com prisão até 1 ano ou multa até 120 dias.

2 - Se o agente actuar com negligência, a pena será de prisão até três meses ou multa até 90 dias.

3 - O procedimento criminal depende de queixa.

Artigo 36.º — Interconexação ilegal

1 - Quem, contra o disposto na lei, promover ou realizar a interconexão de ficheiros automatizados, de bases ou bancos de dados pessoais é punido com prisão até um ano ou multa até 120 dias.

2 - A pena é agravada para o dobro nos seus limites tratando-se dos dados referidos no artigo 11.º

3 - O disposto nos números anteriores é aplicável à violação da proibição constante do artigo 24.º, n.º 2.

4 - O tribunal decreta as medidas necessárias à cessação da interconexão de ficheiros, de bases ou bancos de dados ou à supressão do número a que se refere o artigo 24.º, n.º 2, quando subsistam à data da sentença.

Artigo 37.º — Falsas informações

1 - Quem fornecer falsas informações no pedido de autorização para a constituição ou manutenção de ficheiro automatizado de base ou banco de dados pessoais ou nele proceder a modificações não consentidas pelo intrumento de autorização é punido com prisão até 2 anos ou multa até 240 dias.

2 - Na mesma pena incorre quem omitir intencionalmente a comunicação a que se refere o n.º 3 do artigo 17.º

3 - Se o agente actuar com negligência, a pena é de prisão até 6 meses ou multa até 100 dias.

Artigo 38.º — Acesso indevido

1 - Quem, sem a devida autorização, por qualquer modo, aceder a um sistema informático de dados pessoais cujo acesso lhe está vedado é punido com prisão até 1 ano ou multa até 120 dias.

2 - A pena é agravada para o dobro nos seus limites quando o acesso:

3 - No caso do n.º 1, o procedimento criminal depende de queixa.

Artigo 39.º — Viciação ou destruição de dados

1 - Quem, sem para tanto estar devidamente autorizado, apagar, destruir, danificar, suprimir ou modificar, tornando-os inutilizáveis ou afectando a sua capacidade de uso, dados pessoais constantes de ficheiro automatizado, de base ou de banco de dados é punido com prisão até 2 anos ou multa até 240 dias.

2 - A pena é agravada para o dobro nos seus limites se o dano produzido for particularmente grave.

3 - Se o agente actuar com negligência, a pena é, em ambos os casos, de prisão até 1 ano ou multa até 120 dias.

Artigo 40.º — Desobediência qualificada

1 - Quem, regularmente notificado para o efeito, não interromper o funcionamento de ficheiro automatizado, de base ou banco de dados pessoais, nos termos do artigo 20.º, é punido com a pena correspondente ao crime de desobediência qualificada.

2 - Na mesma pena incorre quem:

Artigo 41.º — Violação do dever de sigilo

1 - Quem, obrigado a sigilo profissional, nos termos da lei, sem justa causa e sem o devido consentimento, revelar ou divulgar no todo ou em parte, dados pessoais contidos em ficheiro automatizado, base ou banco de dados, pondo em perigo a reputação, a honra e consideração ou a intimidade da vida privada de outrem, é punido com prisão até 2 anos ou multa até 240 dias.

2 - A pena é agravada de metade dos seus limites se o agente for:

3 - A negligência é punível com prisão até 6 meses ou multa até 120 dias.

4 - Fora dos casos previstos no n.º 2, o procedimento criminal depende de queixa.

Artigo 42.º — Punição da tentativa

Nos crimes previstos nas disposições anteriores, a tentativa é sempre punível.

Artigo 43.º — Pena acessória

Conjuntamente com as penas principais aplicadas, o tribunal pode ordenar a pena acessória da publicidade da sentença condenatória, integralmente ou por extracto, a expensas do condenado, em uma ou mais publicações periódicas.

CAPÍTULO IX — Disposições transitórias e finais

Artigo 44.º — Regulamentação

1 - Os responsáveis pelos serviços públicos que mantenham ficheiros automatizados, bases ou bancos de dados pessoais devem elaborar e propor superiormente, no prazo de seis meses, um projecto de regulamentação, tendo em conta as disposições da presente lei.

2 - O Governo aprecia as propostas previstas no número anterior e publica, no prazo de um ano, decreto regulamentar de execução da presente lei.

Artigo 45.º — Legalização dos suportes existentes

1 - As entidades referidas no n.º 3 do artigo 17.º responsáveis por ficheiros automatizados, bases ou bancos de dados pessoais que se encontrem já em funcionamento devem enviar à CNPDPI, no prazo de 90 dias após a sua instalação, a informação referente à sua existência e funcionamento, de acordo com as exigências do artigo 18.º

2 - A autorização para a manutenção dos suportes informáticos que dela careçam nos termos do presente diploma deve ser requerida à CNPDPI no prazo de um ano após a instalação desta.

3 - A autorização da CNPDPI deve ser concedida no prazo de 60 dias a contar da data da recepção do pedido.

4 - Ao incumprimento do disposto no n.º 1 é aplicável a medida prevista no n.º 2 do artigo 20.º

Aprovada em 19 de Fevereiro de 1991.

O Presidente da Assembleia da República, Vítor Pereira Crespo.

Promulgada em 9 de Abril de 1991.

Publique-se.

O Presidente da República, MÁRIO SOARES.

Referendada em 12 de Abril de 1991.

O Primeiro-Ministro, Aníbal António Cavaco Silva.