Lei n.º 67/98

5536

DIÁRIO DA REPÚBLICA — I SÉRIE-A

N.o 247 — 26-10-1998

ASSEMBLEIA DA REPÚBLICA

Lei n.o 67/98

de 26 de Outubro

Lei da Protecção de Dados Pessoais (transpõe para a ordem jurí-

dica portuguesa a Directiva n.o 95/46/CE, do Parlamento Euro-
peu e do Conselho, de 24 de Outubro de 1995, relativa à pro-
tecção das pessoas singulares no que diz respeito ao tratamento
dos dados pessoais e à livre circulação desses dados).

A Assembleia da República decreta, nos termos da

alínea c) do artigo 161.o, das alíneas b) e c) do n.o 1
do artigo 165.o e do n.o 3 do artigo 166.o da Constituição,
para valer como lei geral da República, o seguinte:

CAPÍTULO I

Disposições gerais

Artigo 1.o

Objecto

A presente lei transpõe para a ordem jurídica interna

a Directiva n.o 95/46/CE, do Parlamento Europeu e do
Conselho, de 24 de Outubro de 1995, relativa à pro-
tecção das pessoas singulares no que diz respeito ao
tratamento de dados pessoais e à livre circulação desses
dados.

Artigo 2.o

Princípio geral

O tratamento de dados pessoais deve processar-se

de forma transparente e no estrito respeito pela reserva
da vida privada, bem como pelos direitos, liberdades
e garantias fundamentais.

Artigo 3.o

Definições

Para efeitos da presente lei, entende-se por:

a) «Dados pessoais»: qualquer informação, de qual-

quer natureza e independentemente do respec-
tivo suporte, incluindo som e imagem, relativa
a uma pessoa singular identificada ou identi-
ficável («titular dos dados»); é considerada iden-
tificável a pessoa que possa ser identificada
directa ou indirectamente, designadamente por
referência a um número de identificação ou a
um ou mais elementos específicos da sua iden-
tidade física, fisiológica, psíquica, económica,
cultural ou social;

b) «Tratamento de dados pessoais» («tratamento»):

qualquer operação ou conjunto de operações
sobre dados pessoais, efectuadas com ou sem
meios automatizados, tais como a recolha, o
registo, a organização, a conservação, a adap-
tação ou alteração, a recuperação, a consulta,
a utilização, a comunicação por transmissão, por
difusão ou por qualquer outra forma de colo-
cação à disposição, com comparação ou inter-
conexão, bem como o bloqueio, apagamento ou
destruição;

c) «Ficheiro de dados pessoais» («ficheiro»): qual-

quer conjunto estruturado de dados pessoais,
acessível segundo critérios determinados, quer
seja centralizado, descentralizado ou repartido
de modo funcional ou geográfico;

d) «Responsável pelo tratamento»: a pessoa singu-

lar ou colectiva, a autoridade pública, o serviço
ou qualquer outro organismo que, individual-
mente ou em conjunto com outrem, determine
as finalidades e os meios de tratamento dos
dados pessoais; sempre que as finalidades e os
meios do tratamento sejam determinados por
disposições legislativas ou regulamentares, o
responsável pelo tratamento deve ser indicado
na lei de organização e funcionamento ou no
estatuto da entidade legal ou estatutariamente
competente para tratar os dados pessoais em
causa;

e) «Subcontratante»: a pessoa singular ou colec-

tiva, a autoridade pública, o serviço ou qualquer
outro organismo que trate os dados pessoais
por conta do responsável pelo tratamento;

f) «Terceiro»: a pessoa singular ou colectiva, a

autoridade pública, o serviço ou qualquer outro
organismo que, não sendo o titular dos dados,
o responsável pelo tratamento, o subcontratante
ou outra pessoa sob autoridade directa do res-
ponsável pelo tratamento ou do subcontratante,
esteja habilitado a tratar os dados;

g) «Destinatário»: a pessoa singular ou colectiva,

a autoridade pública, o serviço ou qualquer
outro organismo a quem sejam comunicados
dados pessoais, independentemente de se tratar
ou não de um terceiro, sem prejuízo de não
serem consideradas destinatários as autoridades
a quem sejam comunicados dados no âmbito
de uma disposição legal;

h) «Consentimento do titular dos dados»: qualquer

manifestação de vontade, livre, específica e
informada, nos termos da qual o titular aceita
que os seus dados pessoais sejam objecto de
tratamento;

i) «Interconexão de dados»: forma de tratamento

que consiste na possibilidade de relacionamento
dos dados de um ficheiro com os dados de um
ficheiro ou ficheiros mantidos por outro ou
outros responsáveis, ou mantidos pelo mesmo
responsável com outra finalidade.

Artigo 4.o

Âmbito de aplicação

1 — A presente lei aplica-se ao tratamento de dados

pessoais por meios total ou parcialmente automatizados,
bem como ao tratamento por meios não automatizados
de dados pessoais contidos em ficheiros manuais ou a
estes destinados.

2 — A presente lei não se aplica ao tratamento de

dados pessoais efectuado por pessoa singular no exer-
cício de actividades exclusivamente pessoais ou domés-
ticas.

3 — A presente lei aplica-se ao tratamento de dados

pessoais efectuado:

a) No âmbito das actividades de estabelecimento

do responsável do tratamento situado em ter-
ritório português;

5537

N.o 247 — 26-10-1998

DIÁRIO DA REPÚBLICA — I SÉRIE-A

b) Fora do território nacional, em local onde a

legislação portuguesa seja aplicável por força
do direito internacional;

c) Por responsável que, não estando estabelecido

no território da União Europeia, recorra, para
tratamento de dados pessoais, a meios, auto-
matizados ou não, situados no território por-
tuguês, salvo se esses meios só forem utilizados
para trânsito através do território da União
Europeia.

4 — A presente lei aplica-se à videovigilância e outras

formas de captação, tratamento e difusão de sons e ima-
gens que permitam identificar pessoas sempre que o
responsável pelo tratamento esteja domiciliado ou
sediado em Portugal ou utilize um fornecedor de acesso
a redes informáticas e telemáticas estabelecido em ter-
ritório português.

5 — No caso referido na alínea c) do n.o 3, o res-

ponsável pelo tratamento deve designar, mediante
comunicação à Comissão Nacional de Protecção de
Dados (CNPD), um representante estabelecido em Por-
tugal, que se lhe substitua em todos os seus direitos
e obrigações, sem prejuízo da sua própria respon-
sabilidade.

6 — O disposto no número anterior aplica-se no caso

de o responsável pelo tratamento estar abrangido por
estatuto de extraterritorialidade, de imunidade ou por
qualquer outro que impeça o procedimento criminal.

7 — A presente lei aplica-se ao tratamento de dados

pessoais que tenham por objectivo a segurança pública,
a defesa nacional e a segurança do Estado, sem prejuízo
do disposto em normas especiais constantes de instru-
mentos de direito internacional a que Portugal se vincule
e de legislação específica atinente aos respectivos
sectores.

CAPÍTULO II

Tratamento de dados pessoais

SECÇÃO I

Qualidade dos dados e legitimidade do seu tratamento

Artigo 5.o

Qualidade dos dados

1 — Os dados pessoais devem ser:

a) Tratados de forma lícita e com respeito pelo

princípio da boa fé;

b) Recolhidos para finalidades determinadas, explí-

citas e legítimas, não podendo ser posterior-
mente tratados de forma incompatível com essas
finalidades;

c) Adequados, pertinentes e não excessivos rela-

tivamente às finalidades para que são recolhidos
e posteriormente tratados;

d) Exactos e, se necessário, actualizados, devendo

ser tomadas as medidas adequadas para asse-
gurar que sejam apagados ou rectificados os
dados inexactos ou incompletos, tendo em conta
as finalidades para que foram recolhidos ou para
que são tratados posteriormente;

e) Conservados de forma a permitir a identificação

dos seus titulares apenas durante o período
necessário para a prossecução das finalidades
da recolha ou do tratamento posterior.

2 — Mediante requerimento do responsável pelo tra-

tamento, e caso haja interesse legítimo, a CNPD pode
autorizar a conservação de dados para fins históricos,
estatísticos ou científicos por período superior ao refe-
rido na alínea e) do número anterior.

3 — Cabe ao responsável pelo tratamento assegurar

a observância do disposto nos números anteriores.

Artigo 6.o

Condições de legitimidade do tratamento de dados

O tratamento de dados pessoais só pode ser efectuado

se o seu titular tiver dado de forma inequívoca o seu
consentimento ou se o tratamento for necessário para:

a) Execução de contrato ou contratos em que o

titular dos dados seja...