RGPD
RGPD - Página em construção
O Regulamento Geral sobre a Proteção de Dados (RGPD) é o quadro legislativo da União Europeia que estabelece as regras relativas à recolha, ao tratamento e à livre circulação dos dados pessoais de cidadãos e residentes no Espaço Económico Europeu. Criado para reforçar o direito fundamental dos titulares de dados à privacidade e ao controlo sobre a sua informação pessoal num ecossistema cada vez mais digital, o regulamento impõe obrigações estritas de transparência, segurança e responsabilização a empresas e organizações, independentemente da sua localização geográfica, e prevê penalizações severas em caso de incumprimento.
CAPÍTULO I
Disposições gerais
Artigo 1.o
Objeto e objetivos
1. O presente regulamento estabelece as regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.
2. O presente regulamento defende os direitos e as liberdades fundamentais das pessoas singulares, nomeadamente o seu direito à proteção dos dados pessoais.
3. A livre circulação de dados pessoais no interior da União não é restringida nem proibida por motivos relacionados com a proteção das pessoas singulares no que respeita ao tratamento de dados pessoais.
Artigo 2.o
Âmbito de aplicação material
1. O presente regulamento aplica-se ao tratamento de dados pessoais por meios total ou parcialmente automatizados,
bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados.
2. O presente regulamento não se aplica ao tratamento de dados pessoais:
a) Efetuado no exercício de atividades não sujeitas à aplicação do direito da União:
b) Efetuado pelos Estados-Membros no exercício de atividades abrangidas pelo âmbito de aplicação do título V,
capítulo 2, do TUE;
c) Efetuado por uma pessoa singular no exercício de atividades exclusivamente pessoais ou domésticas;
d) Efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública.
3. O Regulamento (CE) n.o 45/2001 aplica-se ao tratamento de dados pessoais pelas instituições, órgãos, organismos ou agências da União. O Regulamento (CE) n.o 45/2001, bem como outros atos jurídicos da União aplicáveis ao tratamento de dados pessoais, são adaptados aos princípios e regras do presente regulamento nos termos previstos no artigo 98.o.
4. O presente regulamento não prejudica a aplicação da Diretiva 2000/31/CE, nomeadamente as normas em matéria de responsabilidade dos prestadores intermediários de serviços previstas nos seus artigos 12.o a 15.o.
Artigo 3.o
Âmbito de aplicação territorial
1. O presente regulamento aplica-se ao tratamento de dados pessoais efetuado no contexto das atividades de um estabelecimento de um responsável pelo tratamento ou de um subcontratante situado no território da União, independentemente de o tratamento ocorrer dentro ou fora da União.
2. O presente regulamento aplica-se ao tratamento de dados pessoais de titulares residentes no território da União,
efetuado por um responsável pelo tratamento ou subcontratante não estabelecido na União, quando as atividades de
tratamento estejam relacionadas com:
a) A oferta de bens ou serviços a esses titulares de dados na União, independentemente da exigência de os titulares dos
dados procederem a um pagamento;
b) O controlo do seu comportamento, desde que esse comportamento tenha lugar na União.
3. O presente regulamento aplica-se ao tratamento de dados pessoais por um responsável pelo tratamento
estabelecido não na União, mas num lugar em que se aplique o direito de um Estado-Membro por força do direito
internacional público.
Artigo 4.o
Definições
Para efeitos do presente regulamento, entende-se por:
1) «Dados pessoais», informação relativa a uma pessoa singular identificada ou identificável («titular dos dados»); é
considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por
referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização,
identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética,
mental, económica, cultural ou social dessa pessoa singular;
2) «Tratamento», uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de
dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a
estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por
transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o
apagamento ou a destruição;
3) «Limitação do tratamento», a inserção de uma marca nos dados pessoais conservados com o objetivo de limitar o
seu tratamento no futuro;
4) «Definição de perfis», qualquer forma de tratamento automatizado de dados pessoais que consista em utilizar esses
dados pessoais para avaliar certos aspetos pessoais de uma pessoa singular, nomeadamente para analisar ou prever
aspetos relacionados com o seu desempenho profissional, a sua situação económica, saúde, preferências pessoais,
interesses, fiabilidade, comportamento, localização ou deslocações;
5) «Pseudonimização», o tratamento de dados pessoais de forma que deixem de poder ser atribuídos a um titular de
dados específico sem recorrer a informações suplementares, desde que essas informações suplementares sejam
mantidas separadamente e sujeitas a medidas técnicas e organizativas para assegurar que os dados pessoais não
possam ser atribuídos a uma pessoa singular identificada ou identificável;
6) «Ficheiro», qualquer conjunto estruturado de dados pessoais, acessível segundo critérios específicos, quer seja
centralizado, descentralizado ou repartido de modo funcional ou geográfico;
7) «Responsável pelo tratamento», a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo
que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados
pessoais; sempre que as finalidades e os meios desse tratamento sejam determinados pelo direito da União ou de
um Estado-Membro, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser
previstos pelo direito da União ou de um Estado-Membro;
8) «Subcontratante», uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que trate os
dados pessoais por conta do responsável pelo tratamento destes;
9) «Destinatário», uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que recebem
comunicações de dados pessoais, independentemente de se tratar ou não de um terceiro. Contudo, as autoridades
4.5.2016 PT Jornal Oficial da União Europeia L 119/33
públicas que possam receber dados pessoais no âmbito de inquéritos específicos nos termos do direito da União ou
dos Estados-Membros não são consideradas destinatários; o tratamento desses dados por essas autoridades públicas
deve cumprir as regras de proteção de dados aplicáveis em função das finalidades do tratamento;
10) «Terceiro», a pessoa singular ou coletiva, a autoridade pública, o serviço ou organismo que não seja o titular dos
dados, o responsável pelo tratamento, o subcontratante e as pessoas que, sob a autoridade direta do responsável
pelo tratamento ou do subcontratante, estão autorizadas a tratar os dados pessoais;
11) «Consentimento» do titular dos dados, uma manifestação de vontade, livre, específica, informada e explícita, pela
qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe
dizem respeito sejam objeto de tratamento;
12) «Violação de dados pessoais», uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a
perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou
sujeitos a qualquer outro tipo de tratamento;
13) «Dados genéticos», os dados pessoais relativos às características genéticas, hereditárias ou adquiridas, de uma pessoa
singular que deem informações únicas sobre a fisiologia ou a saúde dessa pessoa singular e que resulta designa-
damente de uma análise de uma amostra biológica proveniente da pessoa singular em causa;
14) «Dados biométricos», dados pessoais resultantes de um tratamento técnico específico relativo às características
físicas, fisiológicas ou comportamentais de uma pessoa singular que permitam ou confirmem a identificação única
dessa pessoa singular, nomeadamente imagens faciais ou dados dactiloscópicos;
15) «Dados relativos à saúde», dados pessoais relacionados com a saúde física ou mental de uma pessoa singular,
incluindo a prestação de serviços de saúde, que revelem informações sobre o seu estado de saúde;
16) «Estabelecimento principal»:
a) No que se refere a um responsável pelo tratamento com estabelecimentos em vários Estados-Membros, o local
onde se encontra a sua administração central na União, a menos que as decisões sobre as finalidades e os meios
de tratamento dos dados pessoais sejam tomadas noutro estabelecimento do responsável pelo tratamento na
União e este último estabelecimento tenha competência para mandar executar tais decisões, sendo neste caso o
estabelecimento que tiver tomado as referidas decisões considerado estabelecimento principal;
b) No que se refere a um subcontratante com estabelecimentos em vários Estados-Membros, o local onde se
encontra a sua administração central na União ou, caso o subcontratante não tenha administração central na
União, o estabelecimento do subcontratante na União onde são exercidas as principais atividades de tratamento
no contexto das atividades de um estabelecimento do subcontratante, na medida em que se encontre sujeito a
obrigações específicas nos termos do presente regulamento;
17) «Representante», uma pessoa singular ou coletiva estabelecida na União que, designada por escrito pelo responsável
pelo tratamento ou subcontratante, nos termos do artigo 27.o, representa o responsável pelo tratamento ou o
subcontratante no que se refere às suas obrigações respetivas nos termos do presente regulamento;
18) «Empresa», uma pessoa singular ou coletiva que, independentemente da sua forma jurídica, exerce uma atividade
económica, incluindo as sociedades ou associações que exercem regularmente uma atividade económica;
19) «Grupo empresarial», um grupo composto pela empresa que exerce o controlo e pelas empresas controladas;
20) «Regras vinculativas aplicáveis às empresas», as regras internas de proteção de dados pessoais aplicadas por um
responsável pelo tratamento ou um subcontratante estabelecido no território de um Estado-Membro para as transfe-
rências ou conjuntos de transferências de dados pessoais para um responsável ou subcontratante num ou mais
países terceiros, dentro de um grupo empresarial ou de um grupo de empresas envolvidas numa atividade
económica conjunta;
21) «Autoridade de controlo», uma autoridade pública independente criada por um Estado-Membro nos termos do
artigo 51.o;
L 119/34 PT Jornal Oficial da União Europeia 4.5.2016
22) «Autoridade de controlo interessada», uma autoridade de controlo afetada pelo tratamento de dados pessoais pelo
facto de:
a) O responsável pelo tratamento ou o subcontratante estar estabelecido no território do Estado-Membro dessa
autoridade de controlo;
b) Os titulares de dados que residem no Estado-Membro dessa autoridade de controlo serem substancialmente
afetados, ou suscetíveis de o ser, pelo tratamento dos dados; ou
c) Ter sido apresentada uma reclamação junto dessa autoridade de controlo;
23) «Tratamento transfronteiriço»:
a) O tratamento de dados pessoais que ocorre no contexto das atividades de estabelecimentos em mais do que um
Estado-Membro de um responsável pelo tratamento ou um subcontratante na União, caso o responsável pelo
tratamento ou o subcontratante esteja estabelecido em mais do que um Estado-Membro; ou
b) O tratamento de dados pessoais que ocorre no contexto das atividades de um único estabelecimento de um
responsável pelo tratamento ou de um subcontratante, mas que afeta substancialmente, ou é suscetível de afetar
substancialmente, titulares de dados em mais do que um Estados-Membro;
24) «Objeção pertinente e fundamentada», uma objeção a um projeto de decisão que visa determinar se há violação do
presente regulamento ou se a ação prevista relativamente ao responsável pelo tratamento ou ao subcontratante está
em conformidade com o presente regulamento, demonstrando claramente a gravidade dos riscos que advêm do
projeto de decisão para os direitos e liberdades fundamentais dos titulares dos dados e, eventualmente, para a livre
circulação de dados pessoais no território da União;
25) «Serviços da sociedade da informação», um serviço definido no artigo 1.o, n.o 1, alínea b), da Diretiva (UE)
2015/1535 do Parlamento Europeu e do Conselho (
1
);
26) «Organização internacional», uma organização e os organismos de direito internacional público por ela tutelados, ou
outro organismo criado por um acordo celebrado entre dois ou mais países ou com base num acordo dessa
natureza.
CAPÍTULO II
Princípios
Artigo 5.o
Princípios relativos ao tratamento de dados pessoais
1. Os dados pessoais são:
a) Objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados («licitude, lealdade e transpa-
rência»);
b) Recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma
forma incompatível com essas finalidades; o tratamento posterior para fins de arquivo de interesse público, ou para
fins de investigação científica ou histórica ou para fins estatísticos, não é considerado incompatível com as
finalidades iniciais, em conformidade com o artigo 89.o, n.o 1 («limitação das finalidades»);
c) Adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados
(«minimização dos dados»);
d) Exatos e atualizados sempre que necessário; devem ser adotadas todas as medidas adequadas para que os dados
inexatos, tendo em conta as finalidades para que são tratados, sejam apagados ou retificados sem demora («exatidão»);
4.5.2016 PT Jornal Oficial da União Europeia L 119/35
(
1
) Diretiva (UE) 2015/1535 do Parlamento Europeu e do Conselho, de 9 de setembro de 2015, relativa a um procedimento de informação
no domínio das regulamentações técnicas e das regras relativas aos serviços da sociedade da informação (JO L 241 de 17.9.2015, p. 1).
e) Conservados de uma forma que permita a identificação dos titulares dos dados apenas durante o período necessário
para as finalidades para as quais são tratados; os dados pessoais podem ser conservados durante períodos mais
longos, desde que sejam tratados exclusivamente para fins de arquivo de interesse público, ou para fins de
investigação científica ou histórica ou para fins estatísticos, em conformidade com o artigo 89.o, n.o 1, sujeitos à
aplicação das medidas técnicas e organizativas adequadas exigidas pelo presente regulamento, a fim de salvaguardar
os direitos e liberdades do titular dos dados («limitação da conservação»);
f) Tratados de uma forma que garanta a sua segurança, incluindo a proteção contra o seu tratamento não autorizado ou
ilícito e contra a sua perda, destruição ou danificação acidental, adotando as medidas técnicas ou organizativas
adequadas («integridade e confidencialidade»);
2. O responsável pelo tratamento é responsável pelo cumprimento do disposto no n.o 1 e tem de poder comprová-lo
(«responsabilidade»).
Artigo 6.o
Licitude do tratamento
1. O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:
a) O titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais
finalidades específicas;
b) O tratamento for necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências
pré-contratuais a pedido do titular dos dados;
c) O tratamento for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento
esteja sujeito;
d) O tratamento for necessário para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular;
e) O tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de
que está investido o responsável pelo tratamento;
f) O tratamento for necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou
por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a
proteção dos dados pessoais, em especial se o titular for uma criança.
O primeiro parágrafo, alínea f), não se aplica ao tratamento de dados efetuado por autoridades públicas na prossecução
das suas atribuições por via eletrónica.
2. Os Estados-Membros podem manter ou aprovar disposições mais específicas com o objetivo de adaptar a aplicação
das regras do presente regulamento no que diz respeito ao tratamento de dados para o cumprimento do n.o 1, alíneas c)
e e), determinando, de forma mais precisa, requisitos específicos para o tratamento e outras medidas destinadas a
garantir a licitude e lealdade do tratamento, inclusive para outras situações específicas de tratamento em conformidade
com o capítulo IX.
3. O fundamento jurídico para o tratamento referido no n.o 1, alíneas c) e e), é definido:
a) Pelo direito da União; ou
b) Pelo direito do Estado-Membro ao qual o responsável pelo tratamento está sujeito.
A finalidade do tratamento é determinada com esse fundamento jurídico ou, no que respeita ao tratamento referido no
n.o 1, alínea e), deve ser necessária ao exercício de funções de interesse público ou ao exercício da autoridade pública de
que está investido o responsável pelo tratamento. Esse fundamento jurídico pode prever disposições específicas para
adaptar a aplicação das regras do presente regulamento, nomeadamente: as condições gerais de licitude do tratamento
pelo responsável pelo seu tratamento; os tipos de dados objeto de tratamento; os titulares dos dados em questão; as
entidades a que os dados pessoais poderão ser comunicados e para que efeitos; os limites a que as finalidades do
tratamento devem obedecer; os prazos de conservação; e as operações e procedimentos de tratamento, incluindo as
medidas destinadas a garantir a legalidade e lealdade do tratamento, como as medidas relativas a outras situações
L 119/36 PT Jornal Oficial da União Europeia 4.5.2016
específicas de tratamento em conformidade com o capítulo IX. O direito da União ou do Estado-Membro deve
responder a um objetivo de interesse público e ser proporcional ao objetivo legítimo prosseguido.
4. Quando o tratamento para fins que não sejam aqueles para os quais os dados pessoais foram recolhidos não for
realizado com base no consentimento do titular dos dados ou em disposições do direito da União ou dos Estados-
-Membros que constituam uma medida necessária e proporcionada numa sociedade democrática para salvaguardar os
objetivos referidos no artigo 23.o, n.o 1, o responsável pelo tratamento, a fim de verificar se o tratamento para outros
fins é compatível com a finalidade para a qual os dados pessoais foram inicialmente recolhidos, tem nomeadamente em
conta:
a) Qualquer ligação entre a finalidade para a qual os dados pessoais foram recolhidos e a finalidade do tratamento
posterior;
b) O contexto em que os dados pessoais foram recolhidos, em particular no que respeita à relação entre os titulares dos
dados e o responsável pelo seu tratamento;
c) A natureza dos dados pessoais, em especial se as categorias especiais de dados pessoais forem tratadas nos termos do
artigo 9.o, ou se os dados pessoais relacionados com condenações penais e infrações forem tratados nos termos do
artigo 10.o;
d) As eventuais consequências do tratamento posterior pretendido para os titulares dos dados;
e) A existência de salvaguardas adequadas, que podem ser a cifragem ou a pseudonimização.
Artigo 7.o
Condições aplicáveis ao consentimento
1. Quando o tratamento for realizado com base no consentimento, o responsável pelo tratamento deve poder
demonstrar que o titular dos dados deu o seu consentimento para o tratamento dos seus dados pessoais.
2. Se o consentimento do titular dos dados for dado no contexto de uma declaração escrita que diga também respeito
a outros assuntos, o pedido de consentimento deve ser apresentado de uma forma que o distinga claramente desses
outros assuntos de modo inteligível e de fácil acesso e numa linguagem clara e simples. Não é vinculativa qualquer parte
dessa declaração que constitua violação do presente regulamento.
3. O titular dos dados tem o direito de retirar o seu consentimento a qualquer momento. A retirada do consen-
timento não compromete a licitude do tratamento efetuado com base no consentimento previamente dado. Antes de dar
o seu consentimento, o titular dos dados é informado desse facto. O consentimento deve ser tão fácil de retirar quanto
de dar.
4. Ao avaliar se o consentimento é dado livremente, há que verificar com a máxima atenção se, designadamente, a
execução de um contrato, inclusive a prestação de um serviço, está subordinada ao consentimento para o tratamento de
dados pessoais que não é necessário para a execução desse contrato.
Artigo 8.o
Condições aplicáveis ao consentimento de crianças em relação aos serviços da sociedade da
informação
1. Quando for aplicável o artigo 6.o, n.o 1, alínea a), no que respeita à oferta direta de serviços da sociedade da
informação às crianças, dos dados pessoais de crianças é lícito se elas tiverem pelo menos 16 anos. Caso a criança tenha
menos de 16 anos, o tratamento só é lícito se e na medida em que o consentimento seja dado ou autorizado pelos
titulares das responsabilidades parentais da criança.
Os Estados-Membros podem dispor no seu direito uma idade inferior para os efeitos referidos, desde que essa idade não
seja inferior a 13 anos.
4.5.2016 PT Jornal Oficial da União Europeia L 119/37
2. Nesses casos, o responsável pelo tratamento envida todos os esforços adequados para verificar que o consen-
timento foi dado ou autorizado pelo titular das responsabilidades parentais da criança, tendo em conta a tecnologia
disponível.
3. O disposto no n.o 1 não afeta o direito contratual geral dos Estados-Membros, como as disposições que regulam a
validade, a formação ou os efeitos de um contrato em relação a uma criança.
Artigo 9.o
Tratamento de categorias especiais de dados pessoais
1. É proibido o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as
convicções religiosas ou filosóficas, ou a filiação sindical, bem como o tratamento de dados genéticos, dados biométricos
para identificar uma pessoa de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou orientação
sexual de uma pessoa.
2. O disposto no n.o 1 não se aplica se se verificar um dos seguintes casos:
a) Se o titular dos dados tiver dado o seu consentimento explícito para o tratamento desses dados pessoais para uma ou
mais finalidades específicas, exceto se o direito da União ou de um Estado-Membro previr que a proibição a que se
refere o n.o 1 não pode ser anulada pelo titular dos dados;
b) Se o tratamento for necessário para efeitos do cumprimento de obrigações e do exercício de direitos específicos do
responsável pelo tratamento ou do titular dos dados em matéria de legislação laboral, de segurança social e de
proteção social, na medida em que esse tratamento seja permitido pelo direito da União ou dos Estados-Membros ou
ainda por uma convenção coletiva nos termos do direito dos Estados-Membros que preveja garantias adequadas dos
direitos fundamentais e dos interesses do titular dos dados;
c) Se o tratamento for necessário para proteger os interesses vitais do titular dos dados ou de outra pessoa singular, no
caso de o titular dos dados estar física ou legalmente incapacitado de dar o seu consentimento;
d) Se o tratamento for efetuado, no âmbito das suas atividades legítimas e mediante garantias adequadas, por uma
fundação, associação ou qualquer outro organismo sem fins lucrativos e que prossiga fins políticos, filosóficos,
religiosos ou sindicais, e desde que esse tratamento se refira exclusivamente aos membros ou antigos membros desse
organismo ou a pessoas que com ele tenham mantido contactos regulares relacionados com os seus objetivos, e que
os dados pessoais não sejam divulgados a terceiros sem o consentimento dos seus titulares;
e) Se o tratamento se referir a dados pessoais que tenham sido manifestamente tornados públicos pelo seu titular;
f) Se o tratamento for necessário à declaração, ao exercício ou à defesa de um direito num processo judicial ou sempre
que os tribunais atuem no exercício da suas função jurisdicional;
g) Se o tratamento for necessário por motivos de interesse público importante, com base no direito da União ou de um
Estado-Membro, que deve ser proporcional ao objetivo visado, respeitar a essência do direito à proteção dos dados
pessoais e prever medidas adequadas e específicas que salvaguardem os direitos fundamentais e os interesses do
titular dos dados;
h) Se o tratamento for necessário para efeitos de medicina preventiva ou do trabalho, para a avaliação da capacidade de
trabalho do empregado, o diagnóstico médico, a prestação de cuidados ou tratamentos de saúde ou de ação social ou
a gestão de sistemas e serviços de saúde ou de ação social com base no direito da União ou dos Estados-Membros ou
por força de um contrato com um profissional de saúde, sob reserva das condições e garantias previstas no n.o 3;
i) Se o tratamento for necessário por motivos de interesse público no domínio da saúde pública, tais como a proteção
contra ameaças transfronteiriças graves para a saúde ou para assegurar um elevado nível de qualidade e de segurança
dos cuidados de saúde e dos medicamentos ou dispositivos médicos, com base no direito da União ou dos Estados-
-Membros que preveja medidas adequadas e específicas que salvaguardem os direitos e liberdades do titular dos
dados, em particular o sigilo profissional;
L 119/38 PT Jornal Oficial da União Europeia 4.5.2016
j) Se o tratamento for necessário para fins de arquivo de interesse público, para fins de investigação científica ou
histórica ou para fins estatísticos, em conformidade com o artigo 89.o, n.o 1, com base no direito da União ou de um
Estado-Membro, que deve ser proporcional ao objetivo visado, respeitar a essência do direito à proteção dos dados
pessoais e prever medidas adequadas e específicas para a defesa dos direitos fundamentais e dos interesses do titular
dos dados.
3. Os dados pessoais referidos no n.o 1 podem ser tratados para os fins referidos no n.o 2, alínea h), se os dados
forem tratados por ou sob a responsabilidade de um profissional sujeito à obrigação de sigilo profissional, nos termos
do direito da União ou dos Estados-Membros ou de regulamentação estabelecida pelas autoridades nacionais
competentes, ou por outra pessoa igualmente sujeita a uma obrigação de confidencialidade ao abrigo do direito da
União ou dos Estados-Membros ou de regulamentação estabelecida pelas autoridades nacionais competentes.
4. Os Estados-Membros podem manter ou impor novas condições, incluindo limitações, no que respeita ao
tratamento de dados genéticos, dados biométricos ou dados relativos à saúde.
Artigo 10.o
Tratamento de dados pessoais relacionados com condenações penais e infrações
O tratamento de dados pessoais relacionados com condenações penais e infrações ou com medidas de segurança
conexas com base no artigo 6.o, n.o 1, só é efetuado sob o controlo de uma autoridade pública ou se o tratamento for
autorizado por disposições do direito da União ou de um Estado-Membro que prevejam garantias adequadas para os
direitos e liberdades dos titulares dos dados. Os registos completos das condenações penais só são conservados sob o
controlo das autoridades públicas.
Artigo 11.o
Tratamento que não exige identificação
1. Se as finalidades para as quais se proceder ao tratamento de dados pessoais não exigirem ou tiverem deixado de
exigir a identificação do titular dos dados por parte do responsável pelo seu tratamento, este último não é obrigado a
manter, obter ou tratar informações suplementares para identificar o titular dos dados com o único objetivo de dar
cumprimento ao presente regulamento.
2. Quando, nos casos referidos no n.o 1 do presente artigo, o responsável pelo tratamento possa demonstrar que não
está em condições de identificar o titular dos dados, informa-o, se possível, desse facto. Nesses casos, os artigos 15.o
a 20.o não são aplicáveis, exceto se o titular dos dados, com a finalidade de exercer os seus direitos ao abrigo dos
referidos artigos, fornecer informações adicionais que permitam a sua identificação.