LegalizeLei n.º 10/91
TEXTO :
Lei n.º 10/91
Lei da Protecção de Dados Pessoais face à Informática
A Assembleia da República decreta, nos termos dos artigos 164.º, alínea d), 168.º, n.º 1, alíneas b), c) e d), e 169.º, n.º 3, da Constituição, o seguinte:
CAPÍTULO I
Disposições gerais
Artigo 1.º
Princípio geral
O uso da informática deve processar-se de forma transparente e no estrito respeito pela reserva da vida privada e familiar e pelos direitos, liberdades e garantias fundamentais do cidadão.
Artigo 2.º
Definições
Para os fins da presente lei entende-se por:
«Dados pessoais» - quaisquer informações relativas a pessoa singular identificada ou identificável, considerando-se identificável a pessoa cuja identificação não envolva custos ou prazos desproporcionados;
«Dados públicos» - os dados pessoais constantes de documento público oficial, exceptuados os elementos confidenciais, tais como profissão e a morada, ou as incapacidades averbadas no assento de nascimento;
«Sistema informático» - o conjunto constituído por um ou mais computadores, equipamento periférico e suporte lógico que assegura o processamento de dados;
«Ficheiro automatizado» - o conjunto estruturado de informações objecto de tratamento automatizado, centralizado ou repartido por vários locais;
«Base de dados» - o conjunto de dados inter-relacionados, armazenados e estruturados com controlo de redundância, destinados a servir uma ou mais aplicações informáticas;
«Banco de dados» - o conjunto de dados relacionados ou relacionáveis com um determinado assunto;
«Tratamento automatizado» - as seguintes operações efectuadas, no todo ou em parte, com a ajuda de processos automatizados: registo de dados, aplicação de operações lógicas e ou aritméticas a esses dados, bem como a sua modificação, supressão e extracção ou difusão;
«Responsável pelos suportes informáticos» - a pessoa singular ou colectiva, a autoridade pública, o serviço ou qualquer organismo competentes para decidir da finalidade do ficheiro automatizado, bem como o responsável por base ou banco de dados, e pelas categorias de dados pessoais que devam ser registados e das operações que lhes sejam aplicáveis;
«Fluxos de dados transfronteiras» - a circulação de dados pessoais através de fronteiras nacionais.
Artigo 3.º
Âmbito de aplicação
1 - As disposições da presente lei aplicam-se obrigatoriamente:
À constituição e manutenção de ficheiros automatizados, de bases de dados e de bancos de dados pessoais;
Aos suportes informáticos relativos a pessoas colectivas e entidades equiparadas, sempre que contiverem dados pessoais.
2 - Exceptuam-se da aplicação prevista no artigo anterior os ficheiros de dados pessoais que contenham exclusivamente informações destinadas:
A uso pessoal ou doméstico;
Ao processamento de remunerações de funcionários ou empregados, bem como a outros procedimentos administrativos atinentes à mera gestão dos serviços;
A facturação de fornecimentos efectuados ou de serviços prestados;
A cobrança de quotização de associados ou filiados.
3 - A presente lei não se aplica igualmente aos ficheiros de dados pessoais constituídos e mantidos sob a responsabilidade do Sistema de Informação da República Portuguesa.
CAPÍTULO II
Da Comissão Nacional de Protecção de Dados Pessoais Informatizados
Artigo 4.º
Criação e atribuições
1 - É criada a Comissão Nacional de Protecção de Dados Pessoais Informatizados (CNPDPI), com a atribuição genérica de controlar o processamento automatizado de dados pessoais, em rigoroso respeito pelos direitos do homem e pelas liberdades e garantias consagradas na Constituição e na lei.
2 - A CNPDPI é uma entidade pública independente com poderes de autoridade, que funciona junto da Assembleia da República e dispõe de serviços próprios de apoio técnico e administrativo.
Artigo 5.º
Composição
1 - A CNPDPI é composta por sete membros de integridade e mérito reconhecidos, dos quais o presidente e dois dos vogais são eleitos pela Assembleia da República segundo o método da média mais alta de Hondt.
2 - Os restantes vogais são:
Dois magistrados com mais de 10 anos de carreira, sendo um magistrado judicial, designado pelo Conselho Superior da Magistratura, e um magistrado do Ministério Público, designado pelo Conselho Superior do Ministério Público;
Duas personalidades de reconhecida competência na matéria, designadas pelo Governo.
Artigo 6.º
Deveres e incompatibilidades
1 - Não podem ser membros da CNPDPI os cidadãos que não se encontrem no pleno gozo dos seus direitos civis e políticos.
2 - O exercício do mandato dos membros da CNPDPI rege-se, em matéria de deveres e incompatibilidades, pelos princípios gerais aplicáveis aos funcionários e agentes do Estado.
3 - A qualidade de membros da CNPDPI é incompatível com o exercício de funções correspondentes a:
Titular de órgão de soberania ou de órgão de governo próprio de região autónoma;
Titular de órgão de autarquia local;
Titular de cargo dirigente em partido ou associação política ou em organização de classe, ou agente que tenha vínculo laboral com qualquer destas entidades.
Artigo 7.º
Estatuto remuneratório
O estatuto remuneratório dos membros da CNPDPI é fixado pelo Governo.
Artigo 8.º
Competências
1 - Compete em especial à CNPDPI:
Dar parecer sobre a constituição, alteração ou manutenção, por serviços públicos, de ficheiros automatizados, de bases e bancos de dados pessoais, nos casos previstos na presente lei;
Autorizar ou registar, consoante os casos, a constituição, alteração ou manutenção, por outras entidades, de ficheiros automatizados, de bases e bancos de dados pessoais, nos termos da presente lei;
Autorizar, nos casos excepcionais previstos na presente lei e sob rigoroso controlo, a utilização de dados pessoais para finalidades não determinantes da recolha;
Autorizar, nos casos excepcionais previstos na presente lei e sob rigoroso controlo, a interconexão de ficheiros automatizados, de bases e bancos de dados contendo dados pessoais;
Emitir directivas para garantir a segurança dos dados quer em arquivo, quer em circulação nas redes de telecomunicações;
Fixar genericamente as condições de acesso à informação, bem como de exercício do direito de rectificação e actualização;
Promover, junto da autoridade judiciária competente, os procedimentos necessários para interromper o processamento de dados, impedir o funcionamento de ficheiros e, se necessário, proceder à sua destruição, nos casos previstos na presente lei;
Apreciar as reclamações, queixas ou petições dos particulares, nos termos da presente lei;
Dar publicidade periódica à sua actividade, nomeadamente através da publicação de um relatório anual;
Denunciar ao Ministério Público as infracções à presente lei justificativas de procedimento judicial.
2 - No exercício das suas funções, a CNPDPI profere decisões com força obrigatória, passíveis de reclamação e de recurso para o Supremo Tribunal Administrativo.
3 - A CNPDPI pode sugerir à Assembleia da República as providências que entender úteis à prossecução das suas atribuições e ao exercício das suas competências.
Artigo 9.º
Dever de colaboração
É dever de todas as entidades públicas e privadas dispensar colaboração à CNPDPI para o cabal exercício das suas funções.
Artigo 10.º
Posse
1 - Os membros da CNPDPI tomam posse perante o Presidente da Assembleia da República nos 10 dias seguintes ao da publicação na 1.ª série do Diário da República da lista dos membros eleitos.
2 - A CNPDPI mantém-se em funções pelo prazo de cinco anos e até à posse dos novos membros designados.
3 - Após a entrada em funções, a CNPDPI deve proceder de imediato à elaboração do seu regulamento e submetê-lo à aprovação da Assembleia da República.
CAPÍTULO III
Do processamento automatizado de dados pessoais
Artigo 11.º
Restrições ao tratamento de dados
1 - Não é admitido o tratamento automatizado de dados pessoais referentes a:
Convicções filosóficas ou políticas, filiação partidária ou sindical, fé religiosa ou vida privada;
Origem étnica, condenações em processo criminal, suspeitas de actividades ilícitas, estado de saúde e situação patrimonial e financeira.
2 - A proibição do número anterior não obsta ao tratamento de dados para fins de investigação ou estatística, desde que não possam ser identificáveis as pessoas a que respeitam.
3 - O tratamento automatizado dos dados pessoais referidos na alínea b) do n.º 1 pode, no entanto, ser efectuado por serviços públicos, nos termos da lei, com garantias de não discriminação e prévio parecer da CNPDPI.
4 - O disposto nos números anteriores não obsta ao tratamento automatizado de dados pessoais por instituição a que tenham voluntariamente sido fornecidos pelos respectivos titulares, com conhecimento do seu destino e utilização.
Artigo 12.º
Requisitos da recolha
1 - A recolha de dados pessoais para tratamento automatizado deve efectuar-se de forma lícita e não enganosa.
2 - A recolha de dados pessoais deve processar-se em estrita adequação e pertinência à finalidade que a determinou.
3 - A finalidade determinante da recolha de dados deve ser conhecida antes do seu início.
Artigo 13.º
Direito à informação e acesso
1 - Qualquer pessoa tem o direito de ser informada sobre a existência de ficheiro automático, base ou banco de dados pessoais que lhe respeitem, e respectiva finalidade, bem como sobre a identidade e o endereço do seu responsável.
2 - O acesso aos ficheiros de dados eleitorais é facultado, em igualdade de circunstâncias e sob controlo da Comissão Nacional de Eleições, aos candidatos e aos partidos políticos.
Artigo 14.º
Actualização dos dados
Os dados pessoais recolhidos e mantidos em ficheiros automatizados, em bases e bancos de dados devem ser exactos e actuais.
Artigo 15.º
Utilização dos dados
Os dados pessoais só podem ser utilizados para a finalidade determinante da sua recolha, salvo autorização concedida por lei.
Artigo 16.º
Limites da apreciação judicial
Nenhuma decisão jurisdicional, administrativa ou disciplinar que implique apreciação sobre um comportamento humano pode ter por único fundamento o resultado do tratamento automatizado da informação atinente ao perfil ou à personalidade do titular do registo.
CAPÍTULO IV
Dos ficheiros automatizados, de bases e bancos de dados pessoais
Artigo 17.º
Requisitos de constituição
1 - A constituição de ficheiros automatizados, de bases e bancos de dados contendo dados pessoais, para os fins consentidos no artigo 11.º, é regulada por lei especial, com prévio parecer da CNPDPI.
2 - O disposto no número anterior não se aplica a ficheiros automatizados, a bases e bancos de dados mantidos por entidades públicas ou privadas, que não contenham dados pessoais referidos no artigo 11.º
3 - As entidades referidas no número anterior estão, porém, obrigadas a comunicar previamente à CNPDPI a constituição de ficheiros automatizados, de bases e bancos de dados com quaisquer outros dados pessoais e devem fazer acompanhar essa comunicação com os elementos constantes do artigo seguinte.
Artigo 18.º
Instrução dos pedidos
Os pedidos de parecer ou de autorização da CNPDPI para a constituição ou manutenção de ficheiros automatizados, de bases e bancos de dados pessoais, bem como a comunicação a que se refere o n.º 3 do artigo anterior, devem ser instruídos com os seguintes elementos:
Nome e endereço do responsável do ficheiro;
Características do ficheiro e sua finalidade;
Serviço ou serviços encarregados do processamento da informação;
Dados pessoais contidos em cada registo;
Forma da recolha e actualização dos dados;
Finalidade a que se destinam os dados, entidades a que podem ser transmitidos e em que condições;
Comparações, interconexões ou qualquer outra forma de inter-relacionar as informações registadas;
Medidas tomadas para garantir a segurança das informações;
Tempo de conservação dos dados pessoais;
Categoria de pessoas que têm directamente acesso às informações;
Forma e condições sob as quais as pessoas podem tomar conhecimento dos dados que lhes respeitem;
Forma como as pessoas podem fazer corrigir inexactidões dos dados que lhes respeitem.
Artigo 19.º
Indicações obrigatórias
1 - A lei, no caso especialmente previsto no n.º 1 do artigo 17.º, bem como as autorizações da CNPDPI, a que se referem as alíneas c) e d) do n.º 1 do artigo 8.º, devem indicar:
O responsável do ficheiro;
Os dados pessoais a incluir no registo;
O modo de recolha ou actualização dos dados;
A finalidade a que se destinam os dados, as entidades a que podem ser transmitidos e em que condições;
O tempo de conservação dos dados pessoais;
A forma como o titular do registo pode ter conhecimento dos dados que lhe digam respeito e em que condições;
A forma como o titular do registo pode fazer corrigir eventuais inexactidões dos dados que lhe respeitem.
2 - Qualquer alteração das indicações constantes do n.º 1 carece igualmente de ser prevista em lei especial, bem como de autorização da CNPDPI, ou apenas desta, consoante os casos.
Artigo 20.º
Funcionamento dos ficheiros
1 - Os responsáveis por ficheiros automatizados, de bases e de bancos de dados pessoais devem interromper imediatamente o seu funcionamento quando actuem em desconformidade com a presente lei e tenham recebido da entidade competente directriz nesse sentido.
2 - Sem prejuízo da aplicação de outras sanções que a lei preveja, os ficheiros automatizados a que se refere o número anterior podem ser impedidos de funcionar e, se necessário, ser o seu conteúdo destruído.
Artigo 21.º
Equipamento de segurança
Os ficheiros automatizados, as bases e bancos de dados pessoais devem ser equipados com sistemas de segurança que impeçam a consulta, modificação, destruição ou acrescentamento dos dados por pessoa não autorizada a fazê-lo e permitam detectar desvios de informação intencionais ou não.
CAPÍTULO V
Da recolha e da interconexão de dados pessoais
Artigo 22.º
Indicações constantes dos documentos base
A consulta deste documento não substitui a leitura do Diário da República correspondente. Não nos responsabilizamos por eventuais incorreções resultantes da transcrição do original para este formato.