Parecer n.º 17/2025

PAR/2025/12 1 PARECER/2025/17 I. Pedido 1. A Ministra da Justiça solicitou à Comissão Nacional de Proteção de Dados (CNPD) que se pronunciasse sobre uma proposta de Acordo a celebrar entre a República Portuguesa e a República Federativa do Brasil, sobre a Troca de Informação Relativa ao registo criminal e a Antecedentes Criminais (doravante denominado «Acordo»). 2. A CNPD emite parecer no âmbito das suas atribuições e competências, enquanto Autoridade de Controlo dos tratamentos de dados pessoais, conferidos pelo n.º 1 do artigo 43.º e com as alíneas a) e c) do n.º 1 do artigo 44.º, todos da Lei n.º 59/2019, de 8 de agosto, que aprova as regras relativas ao tratamento de dados pessoais para efeitos de prevenção, deteção, investigação ou repressão de infrações penais ou de execução de sanções penais, transpondo a Diretiva (UE) 2016/680 do Parlamento e do Conselho, de 27 de abril de 2016. 3. Considerando as «relações de confiança mútua que preside às relações bilaterais de cooperação jurídica e judiciária, desenvolvida ao abrigo do Tratado de Auxílio Mútuo em Matéria Penal» celebrado entre o Brasil e Portugal, o presente Acordo visa regular a transmissão entre as Partes das informações relativas ao Registo Criminal e aos Antecedentes Criminais de nacionais da outra Parte, bem como as obrigações de conservação destas informações e as regras a observar pelas Partes nas respostas a um pedido de informações extraídas do registo criminal» (artigo 1.º). 4. É dito no seu preâmbulo que o Acordo em presença tem em consideração o Tratado de Auxílio Mútuo em Matéria Penal celebrado entre a República Portuguesa e a República Federativa do Brasil1, que, no entanto, não versa sobre a matéria objeto do presente Acordo. 5. Bem como a Convenção de Auxílio Judiciário em Matéria Penal celebrada entre os Estados Membros da Comunidade dos Países de Língua Portuguesa2, na qual se prevê cooperação no âmbito da troca de informações relativas aos antecedentes penais de suspeitos, arguidos e condenados. 1 Aprovado para ratificação pela Resolução da Assembleia da República n.º 4/94, e ratificada pelo Decreto do Presidente da República n.º 2/94, de 3 de fevereiro de 1994. Disponível em https://files.diariodarepublica.pt/1s/1994/02/028a00/05350538.pdf . 2 Aprovada pela Resolução da Assembleia da República n.º 46/2008, de 12 de setembro de 2008. Disponível em https://files.dre.pt/1s/2008/09/17700/0663506640.pdf .  PAR/2025/12 1v. 6. Aqui se prevê, no artigo 17.º, que: «1 Os Estados Contratantes poderão proceder ao intercâmbio de informações relativas a sentenças ou medidas posteriores relativas a nacionais dos outros Estados Contratantes. 2 Qualquer dos Estados Contratantes pode solicitar ao outro informações sobre os antecedentes criminais de uma pessoa, devendo indicar as razões do pedido. O Estado requerido satisfaz o pedido na mesma medida em que as suas autoridades podem obter a informação pretendida em conformidade com a sua lei interna.» 7. No entanto, nada se diz, naquela sede, quanto aos termos em que tal pedido e intercâmbio haja de proceder- -se, nem quais os direitos dos titulares de dados naquele contexto, pelo que, quanto a estes aspetos, há-de reger o Acordo ora em análise. II. Análise i. Da transferência de dados pessoais para o Brasil 8. Este acordo bilateral prevê a transferência de dados pessoais relativos a antecedentes criminais, de Portugal para o Brasil, bem como em sentido inverso, sendo, por isso, abrangido pelo regime específico de transferências de dados pessoais para países terceiros, disposto no Capítulo V, da Lei n.º 59/2019, de 8 de agosto, sem prejuízo naturalmente da necessidade de cumprimento das restantes disposições legais contidas neste diploma3. 9. Segundo o artigo 3.º da Lei n.º 59/2019, de 8 de agosto, os dados relativos às condenações criminais constituem dados pessoais, na medida em que são dados relativos a uma pessoa singular identificada ou identificável. 10. Assim, a execução do presente Acordo implica o tratamento de dados pessoais e prevê expressamente no seu artigo 11.º regras sobre o tratamento e transferência desses dados, bem como a ulterior utilização de dados pessoais, cujo tratamento parece resultar dos pedidos de assistência regulados pelos artigos 4.º e 5.º do Acordo. 11. Nessa medida, há que aferir, antes de mais, da adequação do nível de proteção de dados pessoais na República Federativa do Brasil, pois daí poderá resultar a necessidade de inserir no Acordo, enquanto instrumento vinculativo para as Partes, específicas normas de proteção de dados, que permitam suprir eventuais insuficiências do Direito interno do país terceiro e oferecer garantias adequadas no que diz respeito à proteção de dados pessoais. 3 Trata-se da Lei que transpôs a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016.  PAR/2025/12 2 12. A Lei n.º 59/2019, de 8 de agosto, que estabelece as regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, deteção, investigação ou repressão de infrações penais, transpondo para a ordem jurídica interna a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril, exige que o tratamento de dados pessoais se processe no estrito respeito pelos direitos, liberdades e garantias das pessoas singulares (n.º 1 do artigo 4.º), sendo recolhidos para finalidades determinadas, explícitas e legítimas, adequados e limitados ao mínimo necessário à prossecução das finalidades para as quais são tratados (alíneas b) e c) do n.º 1 do artigo 4.º). 13. Na ausência de uma decisão de adequação, o RGPD prevê que apenas podem ser efetuadas transferências se forem apresentadas pelos responsáveis pelo tratamento garantias adequadas e na condição de os titulares gozarem de direitos oponíveis e terem vias de recurso eficazes disponíveis (n.º s 1 e 2 do artigo 46.º), sendo garantido um nível adequado de proteção equivalente ao assegurado na União Europeia. 14. Como o Brasil não beneficia de uma decisão de adequação, a transferência internacional de dados pessoais só pode ocorrer se tiverem sido apresentadas garantias adequadas no que diz respeito à proteção de dados pessoais mediante um instrumento juridicamente vinculativo (cf. alínea a) do n.º 1 do artigo 39.º da citada Lei). 15. Importa referir que no domínio dos instrumentos jurídicos de proteção de dados, o Brasil não aderiu à Convenção n.º 108 do Conselho da Europa4, aberta à assinatura de países não pertencentes ao Conselho da Europa e que não existe em vigor legislação específica de proteção de dados no âmbito da matéria objeto deste Acordo. 16. O presente Acordo constitui-se como um instrumento juridicamente vinculativo, sendo então de acautelar que nele estejam reunidas as garantias adequadas relativamente à proteção de dados pessoais. A medida das garantias a introduzir depende do nível de proteção de dados existente no país terceiro. Destaquem-se, a este propósito, as Diretrizes do Comité Europeu para a Proteção de Dados5. 17. De acordo com jurisprudência do Tribunal de Justiça da União Europeia, não é exigível que o país terceiro assegure um nível de proteção idêntico ao garantido pela ordem jurídica da União, mas que assegure efetivamente, em virtude da sua legislação interna ou dos seus compromissos internacionais, um nível de 4 Convenção para Proteção das Pessoas relativamente ao Tratamento Automatizado de Dados de Carácter Pessoal, aprovada em 28 de janeiro de 1981 e com início de vigência na ordem jurídica internacional em 1 de outubro de 1985. Foi aprovada para ratificação pela Resolução da Assembleia da República n.º 23/93, de 9 de julho, e ratificada pelo Decreto do Presidente da República n.º 21/93, da mesma data. 5 Cf. Guidelines 1/2023 on Article 37 Law Enforcement Directive, versão 2.1, aprovada em 19 de junho de 2024.  PAR/2025/12 2v. proteção das liberdades e direitos fundamentais substancialmente equivalente ao conferido dentro da União Europeia (ver Acórdão Schrems, C-362/14, EU:C:2015:650, n.º s 73 e 74). 18. Só assim será possível garantir que a proteção dos dados pessoais tratados na União Europeia não é contornada, estendendo-se a proteção necessária aos direitos e liberdades das pessoas. 19. Deste modo, haverá que verificar se a República Federativa do Brasil apresenta um quadro compatível com a transmissão de dados pessoais na área objeto do Acordo. ii. Do quadro legal brasileiro 20. O Brasil consagra constitucionalmente, no Capítulo I, do Título III - Dos direitos e deveres individuais e coletivo -, a garantia do direito à proteção de dados pessoais, inclusive nos meios digitais (inciso LXXIX da Constituição da República Federativa do Brasil). 21. Dispõe, ainda, de uma Autoridade Independente de Proteção de Dados (a Autoridade Nacional de Proteção de Dados) e de uma Lei Geral de Proteção de Dados (a Lei 13.709, de 14 de agosto de 2018), que garante a privacidade dos dados pessoais, mesmo nos casos em que os dados alvo de tratamento sejam provenientes de fora do território nacional, desde que resultem de comunicação ou uso compartilhado de dados com agentes de tratamento brasileiros, desde que o país de proveniência proporcione grau de proteção adequado àquela Lei (artigo 4.º, Inciso IV). 22. Contudo, aquela Lei 13.709 não é aplicável ao tratamento de dados pessoais realizados para fins exclusivos de segurança pública, defesa e atividades de investigação e repressão de infrações penais (cf. al. d), do inciso III, do artigo 4.º). 23. legislação específica . Porém, tal legislação não está ainda em vigor, existindo apenas um Anteprojeto de Lei relativo a essa matéria. 24. Por outro lado, não se mostra relevante, como se afirma no ofício, que a redação do artigo 11.º esteja conforme à Decisão/Quadro 2009/315/JAI, de 26/02/2009, precisamente porque o seu âmbito objetivo e subjetivo se circunscreve à transferência de dados entre países da União Europeia, os quais, por conseguinte, se regem pela Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, que aprova as regras relativas ao tratamento de dados pessoais para efeitos de prevenção, deteção, investigação e repressão de infrações penais ou de execução de sanções penais, a qual, no ordenamento português, foi transposta pela acima referida Lei n.º 58/2019.  PAR/2025/12 3 25. Nesta conformidade, isto é, na ausência de Lei específica que forneça os parâmetros para a proteção de dados pessoais no âmbito da segurança pública, investigação criminal e repressão de infrações penais, cabe à doutrina e jurisprudência socorrer-se de princípios jurídicos que, por natureza e definição, são vagos e imprecisos. 26. Deste modo, não existindo legislação de proteção de dados aplicável no domínio do presente Acordo e que regule, em concreto, o direito fundamental à proteção de dados pessoais, deve o texto do Acordo conter todas as normas que garantam que o nível de proteção dos dados tratados ao abrigo do presente instrumento é essencialmente equivalente ao garantido na União Europeia. iii. Do texto do Acordo 27. Nos termos do artigo 2.º, a cooperação entre os Estados Partes será efetuada tendo em consideração o respetivo Direito Interno e o presente Acordo, através de cooperação direta entre as respetivas autoridades competentes, tendo em conta os princípios da eficácia e da racionalidade de meios. Quanto a este aspeto, já ficou explicitada a insuficiência de se considerar, quanto à proteção de dados, o Direito interno brasileiro, por ausência de normas próprias nesta sede. 28. As vêm indicadas e são: a Direção-Geral da Administração da Justiça - Ministério da Justiça (pela parte portuguesa), e a Polícia Federal Ministério da Justiça e Segurança Pública (pela parte brasileira) cf. artigo 4.º -, o que se demostra de particular importância. Porém, nada é dito quanto às entidades junto das quais os titulares de dados poderão exercer os seus direitos, o que deve ser clarificado. 29. Encontra-se prevista a periodicidade do envio da informação e a quem cabe o impulso para tal transmissão. 30. Assim, a informação é enviada oficiosamente o mais brevemente possível e, em qualquer caso, com periodicidade mensal e por via eletrónica no caso de novas inscrições de condenações proferidas no respetivo Estado contra os nacionais da outra Parte, a qual deve, de igual modo, transmitir o mais rapidamente possível as informações relativas à subsequente alteração ou supressão de informações constantes do Registo criminal (n.º s 1 e 2 do artigo 5.º). Complementarmente, remete-se para o teor do ponto 66 deste Parecer, infra. 31. Vem indicado no mesmo artigo que, a solicitação de um dos Estados Parte, pode ser transmitida cópia da condenação e das medidas subsequentes e quaisquer outras a ela relativas, a fim de que o Estado que recebe as informações possa ponderar se a nível nacional são exigidas medidas adicionais.  PAR/2025/12 3v. 32. É ainda previsto que os nacionais de cada uma das Partes possam requerer e obter certificados de Registo Criminal nos serviços competentes da outra Parte, em igualdade de circunstâncias com os nacionais desse Estado, o que facilita, desde logo, o acesso dos titulares aos seus dados. 33. No artigo 6.º circunscreve-se o âmbito do cumprimento do pedido: os antecedentes criminais constantes do Registo Criminal apenas podem ser enviados à autoridade competente da Parte requerente na medida em que a autoridade competente da Parte requerida os possa requerer para fins de Processo Penal. Diga-se que o Acordo exige que, aquando do pedido, sejam indicadas as finalidades para que são solicitadas as informações, o que permitirá a casa Estado aferir da legalidade do pedido para utilização daqueles dados pessoais (n.º 3 do artigo 8.º), as quais devem acomodar-se às exigências da parte final do n.º 1 do artigo 6.º, neste aspeto conferindo garantia sobre o âmbito da transmissão de dados. 34. O n.º 2 do artigo 6.º consagra a possibilidade de proceder ao tratamento de dados recebidos, inscrevendo- -os no Registo Criminal da Parte requerente sempre que a sentença ou a decisão respeitarem a nacionais dessa parte e constituírem crime previsto na sua lei interna. 35. No que respeita ao Direito interno, tal tratamento vem previsto na alínea c) do n.º 1 do artigo 7.º da Lei da Identificação Criminal, aprovada pela Lei n.º 37/2015, de 5 de maio, na redação atual, que prevê a inscrição, no Registo Criminal, de «Extratos das condenações proferidas por outros tribunais estrangeiros relativamente a portugueses e a estrangeiros residentes em Portugal, maiores de 16 anos [...]», embora faça depender a sua legalidade do facto de que «sejam comunicados a Portugal nos termos de convenção ou acordo internacional vigente, desde que se refiram a factos previstos como crime na lei portuguesa e permitam a identificação da pessoa a que se referem». Desta norma se extrai a necessidade de existência de acordo que regule tal matéria. 36. Vêm indicados o objeto de transmissão no âmbito de um Processo Penal (n.º 1 do artigo 9.º), sendo que os dados concretos para o cumprimento da obrigação vêm explicitados no artigo 12.º e no Anexo I, como se referirá infra. O mesmo não acontecendo em relação aos pedidos para fins diferentes de um Processo Penal, que não vêm minimamente identificados, havendo uma remissão vaga para o Direito interno com fonte de legitimação. 37. Deve notar-se que o Acordo em análise pretende regular as transmissão das informações sobre condenações para efeitos de um Processo Penal, mas também para «qualquer fim devidamente. Identificado que não o processo penal» (n.º 1 do artigo 8.º). A Lei não define quais as finalidades em causa, embora imponha e bem que estas sejam expressamente indicadas nos pedidos de informação (n.º 3 do artigo 8.º). 38. A este respeito, diga-se que tal finalidade não se encontra inscrita na Lei da Identificação Criminal que, a respeito da transmissão de dados para Estados terceiros, apenas a admite quando se vise a instrução de  PAR/2025/12 4 processos criminais, e mediante autorização do membro do Governo responsável pela área da Justiça (alínea h) do n.º 2 do artigo 8.º da Lei da Identificação Criminal). 39. De facto, ali se explicita que «Podem ainda aceder informação do registo criminal, exclusivamente para as finalidades previstas para cada uma delas, as seguintes entidades: [...] h) Autoridades ou entidades estrangeiras, mediante autorização do membro do Governo responsável pela área da justiça e nas mesmas condições das correspondentes autoridades nacionais, para a instrução de processos criminais», o que se mostra desconforme ao texto do Acordo em análise. 40. S , o artigo 11.º pretende regular especificamente a matéria de proteção de dados, aí se distinguindo duas situações: o tratamento efetuado para efeitos de um processo penal (n.º 1) ou para outros fins que não o processo penal (n.º 2). 41. Esta norma deve ser conjugada com o previsto no artigo 9.º, no qual se estabelece a tipologia de informações a enviar à Parte requerente, quando sejam solicitadas no âmbito de um processo penal (n.º 1) ou para outros fins (n.º 2). 42. No que respeita às informações solicitadas no âmbito de um processo penal, a Parte requerida deve transmitir informações relativas a: condenações proferidas na Parte da nacionalidade e inscritas no seu registo criminal; condenações proferidas por Estados terceiros que lhe tenham sido transmitidas e inscritas no seu registo criminal. 43. Tendo em consideração que no Anexo I (página 10), relativo ao formulário para preenchimento das informações disponíveis quanto às pessoas visadas, existe um campo que justifica a não retransmissão de dados pessoais para um dos Estados Parte, em razão de «A autoridade abaixo-assinada confirma que [...] do registo criminal da pessoa constam informações sobre condenações, mas o Estado de condenação comunicou que essas informações não podem ser retransmitidas para fins distintos de um processo penal», sugere-se que seja inscrito naquele artigo 9.º a possibilidade de recusa de transmissão de informação - e, por conseguinte, do não envio de dados pessoais - com este fundamento. 44. Nos termos do normativo vigente para a proteção de dados pessoais no ordenamento jurídico português, os dados apenas podem ser tratados quando cumpram os princípios da adequação, proporcionalidade e minimização. 45. Tais categorias de dados a transmitir vêm descritos no Anexo I, e encontram-se previstos no artigo 12.º, no qual se prevê que informações devem (alínea a) e b) do n.º 1), ou podem (n.º 2), ser transmitidas à Parte requerente. Quanto a estas últimas, é dito que «além do referido no número anterior, as autoridades competentes  PAR/2025/12 4v. podem transmitir quaisquer outras informações sobre condenações inscritas no registo criminal». De facto, o princípio da finalidade constitui um limite à transmissão de dados, uma vez que os dados apenas podem ser tratados para finalidades determinadas e precisas., e quando haja fundamento de licitude para o seu tratamento, e, ainda, que o princípio da minimização constitui um entrave à transmissão de dados desnecessários ou inúteis, pelo que o pedido deve indicar as finalidades a que se destina, por forma a garantir que os dados a enviar não são excessivos, o que é salvaguardado no Acordo. 46. Ademais, faz-se notar que o tratamento para finalidades diversas das que presidiram à sua recolha, nos termos da legislação vigente em Portugal, sofre os constrangimentos previstos no artigo 7.º da Lei n.º 59/2019, de 8 de agosto, na medida em que se prevê que é permitido o tratamento dos dados pessoais, pelo mesmo ou por outro responsável pelo tratamento, para finalidades diferentes daquelas para as quais os dados pessoais foram recolhidos, desde que essas finalidades se enquadrem nos fins previsto no artigo 1.º (prevenção, deteção, investigação ou repressão de infrações penais ou de execução de sanções penais) e desde que o responsável esteja autorizado por lei a tratar os dados pessoais para essa finalidade e o tratamento seja necessário e proporcional a essa outra finalidade. 47. Deste modo, há que garantir que, no pedido, se explicitam as finalidades para as quais são requeridos os dados constantes do Registo Criminal, por forma a que o Estado requerido no caso de Portugal possa aferir da legalidade da transmissão de dados. 48. No que respeita aos dados a transferir no âmbito de um Processo Penal, estes mostram-se adequados, pertinentes e não excessivos face à finalidade a que se destinam. 49. No que respeita à verificação da adequação, pertinência e não excessividade dos dados tratados para efeitos de outras finalidades, uma vez que estas não vêm inscritas no Acordo, a CNPD não pode emitir qualquer juízo, por as desconhecer. 50. Prevê-se no artigo 11.º que os dados devem ser como exatos e atualizados, devendo ser adotadas as medidas razoáveis para que os dados inexatos ou incompletos sejam posteriormente retificados ou apagados. 51. A este respeito, estabelece-se na parte final do n.º 2 do artigo 5.º que as informações conservadas devem ser mantidas atualizadas, com a introdução das alterações e supressões que tenham ocorrido, o que se mostra consentâneo com o princípio da exatidão exigido em matéria de proteção de dados pessoais. No entanto, para maior clarificação, deve ser introduzida norma idêntica no artigo 11.º, na medida em que ali se prevê o direito dos titulares à retificação dos dados (correção de inexatidões), devendo impor-se que quando os dados sejam retificados/alterados na sequência do exercício do direito de retificação por parte de um titular, também neste caso seja de imediato comunicado à outra Parte.  PAR/2025/12 5 52. Assim, deve ser acrescentada uma obrigação da Parte requerida notificar a Parte recetora dos dados,. sempre que os dados pessoais careçam de retificação ou devam ser apagados, ou sujeitos a outras restrições, devendo ser prevista consequentemente a obrigação de a Parte recetora dar cumprimento a esta notificação. 53. Prevê-se também que os dados pessoais não podem ser conservados indefinidamente e só podem ser conservados durante o período necessário para alcançar a finalidade para a qual foram transferidos posteriormente. Compreende-se que, no caso, seja difícil o estabelecimento de um prazo concreto. Neste contexto, deve acrescentar-se, para maior clareza, que os dados devem ser eliminados definitivamente após esse período. 54. Deve, ainda, ser indicado no Acordo junto de que entidade podem ser exercidos os direitos se junto das entidades que procedem à transmissão, se junto dos respetivos Registos Criminais -, e ser explicitada uma norma que garanta vias de recurso administrativas e/ou judiciais para os titulares dos dados, as quais devem ser garantidas em relação a qualquer tratamento de dados pessoais resultante deste Acordo. 55. Quando a este aspeto, faz-se notar a remissão prevista n.º 2 do artigo 11.º, na qual se afirma que os dados pessoais transmitidos para fins diferentes do processo penal só devem ser utilizados pela Parte requerente em «conformidade com o Direito Interno» se mostra desadequado pelas razões acima aduzidas. Assim, recomenda- -se que sejam integrados no Acordo as condições exatas em que tal utilização possa ocorrer. 56. O artigo 7.º do Acordo estabelece o dever de custódia dos dados por parte do Estado Requerente, «para efeitos de possível retransmissão». No entanto, não explicita as situações em que tal retransmissão possa ocorrer. 57. Esta norma, que deverá ser reposicionada no artigo sobre tratamento de dados pessoais, deve distinguir claramente duas situações: os terceiros dentro do mesmo país, e os terceiros localizados em país terceiro, o que significa que há uma transferência ulterior. Assim, em primeiro lugar, deve ser expressamente previsto que a comunicação a terceiros, seja ela de que natureza for, está sujeita a autorização prévia da Parte requerida, a qual deve ser pedida e respondida por escrito, devidamente fundamentada. 58. Deve ficar explicitado que tais informações confidenciais, documentos e dados de natureza pessoal recebidos pelas autoridades competentes das Partes no âmbito do presente Acordo, apenas podem ser transferidos para terceiros se obtido consentimento por escrito da Parte requerida e desde que sejam oferecidas garantias legais adequadas em matéria de proteção de dados pessoais, nos termos do Direito Internacional e do Direito interno aplicável.  PAR/2025/12 5v. 59. A propósito da comunicação de dados a terceiros, assinala-se que o Acordo é igualmente omisso quanto à possibilidade de as autoridades competentes brasileiras (ou portuguesas) recetoras de dados pessoais comunicarem esses dados a outras entidades dentro do mesmo país. Ora, esta é uma questão da maior importância e deve ser regulada no presente Acordo. Em primeiro lugar, os dados pessoais não devem ser subsequentemente comunicados, por princípio, a outras entidades no país de destino, exceto em situações devidamente fundamentadas e com conhecimento da Parte requerida. Além disso, deve estar especificamente salvaguardado no Acordo que só autoridades competentes para os fins enunciados no artigo 1.º da Lei n.º 59/2019 devem ser recetoras destes dados pessoais. Com efeito, é necessário garantir que os dados pessoais tratados num contexto de prevenção, deteção, investigação ou repressão de infrações penais ou de execução de sanções, não são tratados posteriormente para outros fins e por outro tipo de autoridades. 60. Deve ainda ser aditado que a Parte recetora dos dados fica obrigada a respeitar quaisquer restrições a que os dados pessoais estejam sujeitos. 61. Não se pode deixar de alertar para o facto de Portugal estar obrigado a cumprir um vasto leque de instrumentos jurídicos da União Europeia, que impõem claras restrições à comunicação de dados pessoais a países terceiros (v. g. transferência de dados relativos a requerentes de proteção internacional). 62. Vêm previstos no n.º 5 do artigo 11.º os seguintes direitos do titular de dados: direito de informação, direito de acesso, direito de correção/retificação de dados inexatos, suprimento de omissões, direito de supressão de dados indevidamente registados/apagamento e direito de consulta6. 63. Neste contexto, deve prever-se que se uma pessoa cujos dados foram sujeitos a uma transferência necessitar de um acesso, a Parte requerida fornece o acesso a esses dados diretamente e corrige-os, salvo se esse pedido puder ser recusado em virtude do Direito internacional e do seu Direito interno. 64. Diga-se que deve ser expressamente previsto que, quando um Estado verifique a existência de inexatidão dos dados, deve comunicá-lo ao outro Estado Parte, por forma a que também este possa cumprir o princípio da integralidade e da exatidão dos dados. 65. Por outro lado, eventuais derrogações aos direitos devem estar devidamente explicitadas no texto do Acordo, de modo a ajuizar das condições concretas em que tal pode acontecer numa sociedade democrática. 6 Verifica-se um pequeno lapso que consiste na duplicação de uma norma, nos n.º s 5 e 6 do artigo 11.º.  PAR/2025/12 6 66. Considerando a especificidade do contexto policial e judicial, estes direitos podem ser parcial, ou totalmente derrogados, mediante justificações previstas na lei, com a possibilidade de a sua justeza ser verificada pela Autoridade de Controlo, mas não pode haver uma negação, a priori, do exercício de qualquer direito para haver conformidade com o quadro constitucional português e o direito da União Europeia. 67. Estabelece-se ainda que todas as informações, os pedidos e as respostas, bem como quaisquer outras informações pertinentes, são transmitidas através de via eletrónica ou, em caso de impossibilidade temporária, por qualquer meio suscetível de deixar registo escrito e em condições que permitam à autoridade competente da Parte que as recebe comprovar a sua autenticidade. A CNPD enfatiza que devem ser criados canais que, atenta a sensibilidade dos dados objeto de transmissão, garantam que não há a possibilidade de acessos indevidos por parte de quem não deva conhecer os dados, bem como quanto à sua conservação. 68. Está prevista a notificação de violação de dados à outra Parte, da qual conste a descrição do incidente, incluindo o seu impacto imediato, e as medidas pertinentes adotadas ou propostas para corrigir a violação e atenuar quaisquer efeitos adversos, o que se saúda. III. Conclusões 69. Com os fundamentos atrás expostos, a CNPD entende que: a) É indispensável que o texto do Acordo contenha normas que supram a falta de legislação de proteção de dados neste domínio na República Federativa do Brasil, de modo a que estejam asseguradas as garantias adequadas de proteção de dados pessoais previstas pelo Direito português e pela Direito da União Europeia; b) Na medida do possível, devem ser especificadas para que outras finalidades que não as de Processo Penal admitem os tratamentos de dados pessoais abrangidos pelo Acordo e indicadas as categorias de dados pessoais que lhes estão associadas; c) O Acordo deve conter obrigações relativas à segurança dos tratamentos de dados pessoais, devendo os meios e condições efetivas em que ocorrem as transferências internacionais de dados ser mais bem clarificados; d) Devem ser densificadas as normas relativas ao tratamento de dados pessoais, nomeadamente, as condições específicas para o exercício de direitos, as condições em que tais direitos podem ser  PAR/2025/12 6v. derrogados, quais as entidades responsáveis pela satisfação dos direitos do titular de dados e se este pode exercê-los indistintamente junto de um ou outro Estado Parte; e) Deve ser acrescentada uma obrigação da Parte requerida notificar a Parte recetora dos dados sempre que os dados pessoais careçam de retificação ou devam ser apagados, ou sujeitos a outras restrições, devendo, consequentemente, ser prevista a obrigação de a Parte recetora dar cumprimento a esta notificação; f) O artigo 7.º do Acordo estabelece o dever de custódia dos dados por parte do Estado Requerente, «para efeitos de possível retransmissão». Esta norma deve ser reposicionada no artigo 11.º, explicitando as situações em que tal retransmissão possa ocorrer e distinguindo claramente duas situações: os uma transferência ulterior. Assim, em primeiro lugar, deve ser expressamente previsto que a comunicação a terceiros, seja ela de que natureza for, está sujeita a autorização prévia da Parte requerida, a qual deve ser pedida e respondida por escrito, devidamente fundamentada; g) rganizações condição de existirem garantias adequadas em matéria de proteção de dados no país de destino; h) Deve ainda ser aditado que a Parte recetora dos dados fica obrigada a respeitar quaisquer restrições a que os dados pessoais estejam sujeitos; i) Por último, no Acordo deve constar uma norma relativa às vias de recurso administrativas e/ou judiciais para os titulares dos dados, as quais devem ser garantidas em relação a qualquer tratamento de dados pessoais resultante deste Acordo. Lisboa, 9 de fevereiro de 2025 Paula Meira Lourenço (Presidente)