Lei n.º 21/2019

Lei n.º 21/2019 com o consentimento da transportadora aérea, decorrendo de 25 de fevereiro esse consentimento do registo dessa pessoa na lista de passageiros; Regula a transferência, pelas transportadoras aéreas, dos dados g) «Registo de identificação dos passageiros» ou «PNR» dos registos de identificação dos passageiros, bem como o (Passenger Name Record), um registo das formalidades de tratamento desses dados, transpondo a Diretiva (UE) 2016/681 viagem impostas a cada passageiro que contém as informa- do Parlamento Europeu e do Conselho, de 27 de abril de 2016, ções necessárias para permitir o tratamento e o controlo das e procede à terceira alteração à Lei n.º 53/2008, de 29 de agosto, reservas feitas pelas transportadoras aéreas participantes que aprova a Lei de Segurança Interna. relativamente a cada viagem reservada por uma pessoa A Assembleia da República decreta, nos termos da ou em seu nome, quer o registo conste dos sistemas de alínea c) do artigo 161.º da Constituição, o seguinte: reserva, dos sistemas de controlo das partidas, utilizado para efetuar o controlo dos passageiros embarcados nos Artigo 1.º voos, ou de sistemas equivalentes que ofereçam as mesmas funcionalidades; Objeto h) «Sistema de reservas», o sistema interno da trans- 1 — A presente lei regula a transferência, pelas trans- portadora aérea, no qual são recolhidos dados PNR para portadoras aéreas, dos dados dos registos de identificação o tratamento das reservas; dos passageiros (dados PNR) dos voos provenientes de i) «Método de transferência por exportação», o método um Estado-Membro da União Europeia ou de um país através do qual as transportadoras aéreas transferem os terceiro ou com destino a um Estado-Membro da União dados PNR enumerados no anexo I à presente lei e da qual Europeia ou a um país terceiro, bem como o tratamento faz parte integrante, para a base de dados da autoridade desses dados, nomeadamente a sua recolha, utilização e requerente; j) «Infrações terroristas», as infrações a que se refere conservação, e o respetivo intercâmbio com os Estados- a Lei n.º 52/2003, de 22 de agosto, que aprova a lei de -Membros da União Europeia, transpondo para a ordem combate ao terrorismo, alterada pelas Leis n.os 59/2007, jurídica interna a Diretiva (UE) 2016/681 do Parlamento de 4 de setembro, 25/2008, de 5 de junho, 17/2011, de 3 Europeu e do Conselho, de 27 de abril de 2016, relativa de maio, e 60/2015, de 24 de junho; à utilização dos dados dos registos de passageiros para k) «Criminalidade grave», as infrações enumeradas no efeitos de prevenção, deteção, investigação e repressão das anexo II à presente lei e da qual faz parte integrante, pu- infrações terroristas e da criminalidade grave, e procede à níveis com pena ou medida de segurança privativas de terceira alteração à Lei n.º 53/2008, de 29 de agosto, que liberdade de duração máxima não inferior a três anos; aprova a Lei de Segurança Interna. l) «Anonimizar mediante mascaramento de elementos 2 — Os dados PNR recolhidos nos termos da presente de dados», tornar invisíveis para os utilizadores os ele- lei só podem ser tratados para fins de prevenção, deteção, mentos dos dados suscetíveis de identificar diretamente investigação e repressão das infrações terroristas e da cri- o seu titular. minalidade grave, nos termos previstos nas alíneas a), b) Artigo 3.º e c) do n.º 2 do artigo 5.º Gabinete de Informações de Passageiros Artigo 2.º 1 — É criado o Gabinete de Informações de Passageiros Definições (GIP), como unidade nacional de informações de passa- geiros, no Ponto Único de Contacto para a Cooperação Para efeitos da presente lei, entende-se por: Policial Internacional (PUC-CPI), nos termos e para os a) «Estado-Membro», Estado-Membro da União Eu- efeitos do n.º 6 do artigo 23.º-A da Lei n.º 53/2008, de 29 ropeia; de agosto, na sua redação atual. b) «País terceiro», Estado que não integra a União Eu- 2 — Compete ao GIP, designadamente: ropeia; a) A recolha dos dados PNR junto das transportadoras c) «Transportadora aérea», uma empresa de transporte aéreas, pela conservação e pelo tratamento desses dados, aéreo titular de uma licença de exploração válida ou equiva- bem como pela sua transferência ou pela transferência dos lente que lhe permite transportar passageiros por via aérea; resultados do seu tratamento às autoridades competentes d) «Voo extra-UE», um voo regular ou não regular efe- referidas no artigo 7.º; tuado por uma transportadora aérea a partir de um país b) O intercâmbio de dados PNR e dos resultados do tra- terceiro e programado para aterrar no território nacional, tamento desses dados com as unidades de informações de ou a partir do território nacional e programado para aterrar passageiros de outros Estados-Membros e com a Europol, num país terceiro, incluindo, em ambos os casos, os voos nos termos dos artigos 8.º e 9.º com escala no território nacional, no território de um ou mais Estados-Membros ou de países terceiros; 3 — O Coordenador do GIP integra o Gabinete de Ges- e) «Voo intra-UE», um voo regular ou não regular efe- tão do PUC-CPI e é nomeado pelos membros do Governo tuado por uma transportadora aérea a partir do território de responsáveis pelas áreas da administração interna e da um Estado-Membro e programado para aterrar no território justiça de entre elementos dos órgãos de polícia criminal nacional ou a partir do território nacional e programado e dos serviços de segurança sob as respetivas tutelas com para aterrar no território de um ou mais Estados-Membros, competência para a deteção, prevenção e investigação das sem escala no território de um país terceiro; infrações terroristas e da criminalidade grave, nos termos Diário da República, 1.ª série — N.º 39 — 25 de fevereiro de 2019 1409 e pelo período de tempo previsto no n.º 5 do artigo 23.º-A n.º 23/2007, de 4 de julho, que aprova o regime jurídico de da Lei n.º 53/2008, de 29 de agosto, na sua redação atual. entrada, permanência, saída e afastamento de estrangeiros 4 — O funcionamento do GIP é assegurado por ele- do território nacional, alterada pelas Leis n.os 29/2012, de mentos da Guarda Nacional Republicana, da Polícia de 9 de agosto, 56/2015, de 23 de junho, 63/2015, de 30 de Segurança Pública, da Polícia Judiciária e do Serviço de junho, 59/2017, de 31 de julho, 102/2017, de 28 de agosto, Estrangeiros e Fronteiras e da Autoridade Tributária e e 26/2018, de 5 de julho. Aduaneira, podendo integrar ainda um elemento de ligação 6 — Os dados PNR são transferidos com utilização de da Polícia Marítima, nos termos do n.º 9 do artigo 23.º-A meios eletrónicos e de protocolos comuns e formatos de da- da Lei n.º 53/2008, de 29 de agosto, na sua redação atual. dos reconhecidos, adotados de acordo com o procedimento 5 — O GIP é instalado no PUC-CPI, que garante o seu previsto no artigo 5.º do Regulamento (UE) n.º 182/2011 apoio jurídico, técnico e administrativo através dos respe- do Parlamento Europeu e do Conselho, de 16 de fevereiro tivos serviços de apoio, nos termos dos artigos 4.º e 5.º do de 2011, e definidos de acordo com a portaria a que se Decreto Regulamentar n.º 7/2017, de 7 de agosto, que es- refere o n.º 7 do artigo 3.º da presente lei. tabelece a organização e o funcionamento do Ponto Único 7 — Em caso de avaria técnica, os dados são transfe- de Contacto para a Cooperação Policial Internacional. ridos por quaisquer outros meios a definir pelo GIP, que 6 — À composição e à orgânica do GIP aplica-se o assegurem um nível adequado de segurança dos dados. artigo 23.º-A da Lei n.º 53/2008, de 29 de agosto, na sua 8 — Os dados PNR são transferidos: redação atual, e o Decreto Regulamentar n.º 7/2017, de 7 a) 24 a 48 horas antes da hora programada da partida de agosto. do voo; e 7 — Os procedimentos e soluções tecnológicas ade- b) Imediatamente após o encerramento do voo, ou seja, quados para a transferência, tratamento e intercâmbio dos logo que os passageiros se encontrem a bordo do avião dados PNR, a que se refere o n.º 7 do artigo 13.º, são es- preparados para partir e o embarque ou desembarque já tabelecidos por portaria do Primeiro-Ministro e dos mem- não seja possível. bros do Governo responsáveis pelas áreas da presidência do Conselho de Ministros, da administração interna, da 9 — No caso referido na alínea b) do número anterior, justiça e do planeamento e infraestruturas, de acordo com a transferência pode ser limitada à atualização dos dados a lista dos protocolos comuns e dos formatos de dados transferidos nos termos da alínea a) do mesmo número. reconhecidos, elaborada pela Comissão Europeia, e me- 10 — Caso seja necessário aceder aos dados PNR para diante parecer prévio da Comissão Nacional da Proteção dar resposta a uma ameaça específica e concreta relacio- de Dados (CNPD). nada com infrações terroristas ou criminalidade grave, as 8 — A designação dos trabalhadores autorizados a pro- transportadoras aéreas transmitem imediatamente os dados ceder ao tratamento de dados é efetuada por despacho PNR mediante pedido apresentado pelo GIP, independen- do Secretário-Geral do Sistema de Segurança Interna ou, temente dos prazos de transmissão a que se referem os se necessário, mediante despacho deste e dos membros números anteriores. do Governo de cujas áreas da governação provenham os funcionários a designar. Artigo 5.º 9 — A formação e a credenciação dos trabalhadores Tratamento dos dados PNR autorizados a efetuar o tratamento de dados são da com- petência do Coordenador do GIP. 1 — Os dados PNR transferidos pelas transportadoras aéreas são recolhidos pelo GIP numa base de dados desti- Artigo 4.º nada a registar, armazenar, manter atualizada e disponibi- lizar a informação para fins de deteção, prevenção e inves- Transferência de dados pelas transportadoras aéreas tigação criminal de infrações terroristas e de criminalidade 1 — As transportadoras aéreas transferem para a base de grave, nos termos previstos na presente lei. dados do GIP, pelo método de exportação, os dados PNR 2 — O GIP procede ao tratamento dos dados exclusi- dos voos extra-UE e intra-UE enumerados no anexo I, na vamente para as seguintes finalidades: medida em que tenham recolhido esses dados no exercício a) Proceder a uma avaliação dos passageiros antes da normal das suas atividades. sua chegada prevista ao território nacional ou da sua par- 2 — Nos casos em que um voo é explorado por uma tida prevista do território nacional, a fim de identificar as ou mais transportadoras aéreas em regime de partilha de pessoas que, pelo facto de poderem estar implicadas numa código, a obrigação de transferir os dados PNR de todos os infração terrorista ou numa forma de criminalidade grave, passageiros do voo cabe à transportadora aérea que o opera. devem ser sujeitas a medidas de polícia, medidas especiais 3 — Se o voo incluir uma ou mais escalas em aeroportos de polícia ou medidas cautelares e de polícia pelas autori- de diferentes Estados-Membros, as transportadoras aéreas dades competentes a que se refere o artigo 7.º e, se for caso transferem os dados PNR da totalidade dos passageiros disso, pela Europol, nos termos do artigo 9.º; para o GIP e para as unidades de informações de passa- b) Responder, caso a caso, aos pedidos devidamente geiros desses Estados-Membros. fundamentados, baseados em motivos suficientes, apre- 4 — Caso tenham recolhido dados referentes a infor- sentados pelas autoridades competentes, para fornecer e mações prévias sobre passageiros (dados API) a que se tratar dados PNR, em casos específicos, para efeitos de refere o n.º 18 do anexo I à presente lei e não os conservem prevenção, deteção, investigação e repressão das infrações pelos meios técnicos utilizados para os dados PNR, as terroristas ou da criminalidade grave, e para disponibilizar transportadoras aéreas transferem esses dados para o GIP às autoridades competentes ou, se for caso disso, à Europol, pelo método de exportação referido no n.º 1. os resultados desse tratamento; e 5 — O disposto na presente lei é aplicável aos dados c) Analisar os dados PNR com o objetivo de atualizar API transferidos, previstos nos artigos 42.º a 44.º da Lei ou criar novos critérios a utilizar no tratamento de dados 1410 Diário da República, 1.ª série — N.º 39 — 25 de fevereiro de 2019 nos termos da alínea b) do n.º 1 do artigo seguinte, a fim aplicável o Regulamento (UE) 2016/399 do Parlamento de identificar pessoas que possam estar implicadas em Europeu e do Conselho, de 9 de março de 2016, as con- infrações terroristas ou em formas de criminalidade grave. sequências de tal avaliação devem observar o referido regulamento. 3 — Se os dados transferidos incluírem dados distintos Artigo 7.º dos enumerados no anexo I à presente lei, o GIP apaga ime- diata e definitivamente esses dados assim que os receber. Autoridades competentes 1 — São autoridades competentes para efeitos de trans- Artigo 6.º missão dos dados PNR ou do resultado do seu tratamento, Avaliação e transmissão dos dados PNR nos termos e para os fins do n.º 5 do artigo anterior, as entidades policiais e aduaneiras, os serviços de segurança 1 — No âmbito da avaliação dos passageiros a que se e as autoridades judiciárias com competência, nos termos refere a alínea a) do n.º 2 do artigo anterior, o GIP pode: da lei, para a prevenção, deteção, investigação e repressão a) Comparar os dados PNR com os que constam das das infrações terroristas e da criminalidade grave. bases de dados das forças e serviços de segurança, para 2 — As autoridades referidas no número anterior podem efeitos de prevenção, deteção, investigação e repressão das submeter a tratamento ulterior os dados PNR e o resultado infrações terroristas e da criminalidade grave, incluindo do seu tratamento, exclusivamente para efeitos específicos bases de dados sobre pessoas ou objetos procurados ou de prevenção, deteção, investigação e repressão das infra- alvo de um alerta, de acordo com as regras aplicáveis a ções terroristas ou da criminalidade grave. essas bases de dados; ou 3 — O disposto no número anterior não prejudica as b) Proceder ao tratamento dos dados PNR de acordo competências das autoridades policiais, aduaneiras ou judi- com critérios preestabelecidos. ciárias, quando forem detetadas outras infrações ou indícios de outras infrações no decurso de ações desencadeadas na 2 — Qualquer avaliação dos passageiros de acordo com sequência do referido tratamento. critérios preestabelecidos, nos termos da alínea b) do nú- 4 — Os dados PNR ou o resultado do seu tratamento mero anterior, é realizada de forma não discriminatória, que, nos termos e para os efeitos do n.º 1, o GIP deva não podendo estes critérios, em caso algum, basear-se na comunicar às autoridades judiciárias, são transmitidos ao raça ou na origem étnica de uma pessoa, nas suas opiniões Departamento Central de Investigação e Ação Penal. políticas, religião ou convicções filosóficas, na sua filiação sindical, na sua saúde, vida ou orientação sexual. Artigo 8.º 3 — Os critérios preestabelecidos são definidos e revis- Intercâmbio de dados e do resultado tos regularmente pelo GIP, em cooperação com as autorida- do seu tratamento entre Estados-Membros des competentes a que se refere o artigo seguinte e com o encarregado de proteção de dados, em função de objetivos 1 — O GIP garante a ligação às unidades de informações específicos, necessários, proporcionais e adequados. de passageiros dos restantes Estados-Membros, assegu- 4 — Qualquer resultado positivo obtido através do tra- rando que o intercâmbio de dados PNR, assim como o tamento automatizado dos dados PNR, nos termos e com a resultado do seu tratamento, se efetua através do PUC- finalidade prevista na alínea a) do n.º 2 do artigo anterior, -CPI. é verificado individualmente por meios não automatiza- 2 — O GIP pode transmitir, por sua iniciativa, às uni- dos, para aferir se é ou não necessário que a autoridade dades de informações de passageiros de outros Estados- competente referida no artigo seguinte intervenha nos -Membros os dados relevantes e necessários, ou o respetivo termos da lei. tratamento, de pessoas identificadas nos termos do disposto 5 — O GIP transmite os dados PNR das pessoas identi- no n.º 2 do artigo 5.º ficadas nos termos da alínea a) do n.º 2 do artigo anterior, 3 — Quando receber dados de pessoas identificadas ou os resultados do tratamento desses dados, às autoridades por uma unidade de informações de passageiros de outro competentes referidas no artigo seguinte, por sua iniciativa Estado-Membro, no âmbito do tratamento de dados para os ou a solicitação destas, a fim de serem adotadas medidas de fins previstos no n.º 2 do artigo 5.º, o GIP transmite esses polícia, medidas especiais de polícia ou medidas cautela- dados às autoridades nacionais competentes indicadas no res e de polícia ou as medidas apropriadas para efeitos de artigo anterior, com conhecimento ao centro operacional prevenção, deteção, investigação e repressão das infrações do PUC-CPI. terroristas e da criminalidade grave, no âmbito das respe- 4 — Se necessário, e mediante pedido devidamente tivas competências, nos termos da lei processual penal e fundamentado, o GIP pode solicitar ou transmitir a outra demais legislação aplicável. unidade de informações de passageiros dados PNR conser- 6 — A transmissão de dados só pode ser feita caso a vados e ainda não anonimizados, mediante mascaramento caso e, se houver tratamento automatizado dos dados, após de elementos de dados, nos termos do n.º 2 artigo 11.º, verificação individual por meios não automatizados. bem como o resultado do tratamento desses dados, se este 7 — O resultado da avaliação dos passageiros a que já tiver sido efetuado nos termos da alínea a) do n.º 2 do se refere a alínea a) do n.º 2 do artigo anterior não afeta artigo 5.º a entrada em território nacional das pessoas que gozam 5 — O pedido a que se refere o número anterior pode do direito de livre circulação na União Europeia, sem basear-se num elemento de dados ou numa combinação de prejuízo das medidas que, nos termos da lei, devam ser elementos de dados, consoante o que a unidade de infor- adotadas pelas autoridades competentes, de acordo com mações de passageiros requerente entenda como adequado o disposto no n.º 5. no âmbito de um caso específico de prevenção, deteção, 8 — Quando a avaliação seja efetuada em relação a um investigação ou repressão das infrações terroristas ou da voo intra-UE operado entre Estados-Membros ao qual seja criminalidade grave. Diário da República, 1.ª série — N.º 39 — 25 de fevereiro de 2019 1411 6 — Caso os dados solicitados tenham sido anonimiza- para a ordem jurídica interna a Diretiva (UE) 2016/680, do dos mediante mascaramento de elementos de dados, nos Parlamento Europeu e do Conselho, de 27 de abril de 2016; termos do n.º 2 do artigo 11.º, o GIP só fornece os dados b) A transferência for necessária para os fins prosse- PNR na íntegra se for razoável considerar que tal é neces- guidos pela presente lei e referidos no n.º 2 do artigo 1.º; sário para o fim referido na alínea b) do n.º 2 do artigo 5.º, c) O país terceiro só aceitar transferir os dados para após autorização da autoridade judiciária competente. outro país terceiro caso tal seja estritamente necessário 7 — As autoridades competentes indicadas no artigo para os fins previstos no n.º 2 do artigo 1.º e, se for caso anterior só podem solicitar diretamente à unidade de infor- disso, mediante autorização da autoridade judiciária com- mações de passageiros de outro Estado-Membro que lhes petente; e forneça dados PNR conservados na sua base de dados se d) Estiverem preenchidas as condições estabelecidas necessário, e em casos de emergência, mediante pedido nos n.os 4 a 6 do artigo 8.º devidamente fundamentado, remetendo cópia do pedido ao PUC-CPI. 2 — Quando os dados PNR tenham sido inicialmente 8 — Em circunstâncias excecionais, quando seja neces- obtidos por transmissão de outro Estado-Membro, as au- sário aceder a dados PNR para dar resposta a uma ameaça toridades nacionais apenas os podem transmitir a um país específica e concreta relacionada com infrações terroristas terceiro se se verificarem as condições previstas no número ou com a criminalidade grave, o GIP pode requerer, obter anterior e mediante autorização daquele Estado-Membro. e fornecer a outra unidade de informação de passageiros 3 — Sem prejuízo do disposto no número anterior e dados PNR, nos termos do n.º 10 do artigo 4.º, informando do disposto no regime previsto na alínea a) do n.º 1, a a autoridade judiciária competente. transferência de dados PNR sem autorização prévia do Estado-Membro a partir do qual foram obtidos os dados Artigo 9.º é permitida em circunstâncias excecionais se: Acesso da Europol aos dados PNR a) Essa transferência for essencial para dar resposta a e ao resultado do seu tratamento uma ameaça específica e concreta relacionada com infra- 1 — A Agência da União Europeia para a Cooperação ções terroristas ou com criminalidade grave num Estado- Policial (Europol) só pode solicitar dados PNR, ou o resul- -Membro ou um país terceiro; e tado do seu tratamento, nos limites das suas competências b) A autorização prévia não puder ser obtida em tempo útil. e para o exercício das suas funções. 2 — A Europol pode apresentar, caso a caso, ao GIP, 4 — Nos casos previstos no número anterior, a autori- através da Unidade Nacional Europol, um pedido eletrónico dade responsável por conceder a autorização para a trans- devidamente fundamentado de transmissão de dados PNR ferência, nos termos dos n.os 4 e 6 do artigo 8.º, é informada específicos ou dos resultados do tratamento desses dados. sem demora e a transferência é devidamente registada e 3 — O pedido pode ser apresentado quando tal for es- sujeita a uma verificação posterior. tritamente necessário para apoiar e reforçar a ação dos 5 — A transmissão de dados PNR para as autorida- Estados-Membros na prevenção, deteção ou investigação des competentes de países terceiros só pode ocorrer em de uma infração terrorista específica ou de uma forma condições compatíveis com o disposto na presente lei e de criminalidade grave, na medida em que estas estejam apenas após certificação de que o Estado destinatário os abrangidas pelas competências da Europol, nos termos da tenciona utilizar de forma compatível com essas condições legislação aplicável. e salvaguardas, designadamente em matéria de proteção 4 — O pedido indica os motivos razoáveis com base de dados pessoais. nos quais a Europol considera que a transmissão dos da- 6 — O encarregado de proteção de dados é informado dos PNR ou dos resultados do seu tratamento constitui sempre que ocorrer uma transmissão de dados nos termos um contributo substancial para a prevenção, deteção ou do presente artigo. investigação da infração penal em causa. Artigo 11.º 5 — O intercâmbio de informações nos termos do pre- Prazo de conservação e anonimização dos dados sente artigo efetua-se através da rede SIENA, nos termos da Decisão 2009/371/JAI do Conselho, de 6 de abril de 1 — Os dados PNR fornecidos pelas transportadoras 2009, na língua que for aplicável. aéreas ao GIP são conservados na base de dados a que se refere o n.º 1 do artigo 5.º por um prazo de cinco anos con- Artigo 10.º tados a partir da sua transferência, nos termos do artigo 4.º 2 — Decorrido um prazo de seis meses após a transfe- Transferência de dados e do resultado do seu rência, todos os dados PNR são anonimizados, tornando-se tratamento para países terceiros invisíveis os seguintes elementos de dados suscetíveis de 1 — Os dados PNR e o resultado do seu tratamento que identificar diretamente o passageiro ao qual dizem respeito: tenham sido armazenados pelo GIP nos termos do artigo seguinte só podem ser transferidos para um país terceiro a) Nome(s), incluindo os nomes de outros passageiros caso a caso e se: mencionados nos PNR e o número de passageiros nos PNR que viajam em conjunto; a) Estiverem preenchidas as condições estabelecidas no b) Endereço e informações de contacto; regime jurídico relativo à proteção das pessoas singulares c) Todas as informações sobre os meios de pagamento, no que diz respeito ao tratamento de dados pessoais pelas incluindo o endereço de faturação, na medida em que con- autoridades competentes para efeitos de prevenção, dete- tenham informações suscetíveis de identificar diretamente ção, investigação ou repressão de infrações penais ou de o passageiro ao qual os PNR dizem respeito ou quaisquer execução de sanções penais, incluindo a salvaguarda e a outras pessoas; prevenção de ameaças à segurança pública, que transpõe d) Informação de passageiro frequente; 1412 Diário da República, 1.ª série — N.º 39 — 25 de fevereiro de 2019 e) Observações gerais, na medida em que contenham 4 — Se receber dados PNR que revelem as informações informações suscetíveis de permitir identificar diretamente a que se refere o número anterior, o GIP procede ao seu o passageiro ao qual os PNR dizem respeito; e apagamento imediato. f) Quaisquer dados API que tenham sido recolhidos. 5 — Ao tratamento, pelas autoridades competentes, de dados PNR transferidos para essas entidades, a que se 3 — Decorrido o prazo de seis meses referido no nú- refere o artigo 7.º, é aplicável o disposto na lei processual mero anterior, só é permitida a divulgação de dados inte- penal e no regime jurídico referido no n.º 1. grais PNR caso essa divulgação seja: Artigo 13.º a) Considerada necessária, com base em motivos ra- zoáveis, para os fins referidos na alínea b) do n.º 2 do Controlo do tratamento de dados PNR artigo 5.º; e 1 — O GIP conserva a documentação relativa a todos b) Se for caso disso, autorizada pela autoridade judici- os sistemas e procedimentos de tratamento de dados sob ária competente. a sua responsabilidade, incluindo, pelo menos: 4 — Os dados PNR são apagados de forma definitiva no a) O nome e os contactos da organização e do pessoal termo do prazo referido no n.º 1, sem prejuízo dos casos em do GIP a quem é confiado o tratamento de dados PNR e que dados PNR específicos tenham sido transferidos para os diferentes níveis de autorização de acesso; uma autoridade competente e sejam utilizados no âmbito b) Os pedidos apresentados pelas autoridades compe- de um caso concreto para efeitos de prevenção, deteção, tentes, pelas unidades de informações de passageiros de investigação ou repressão das infrações terroristas ou da outros Estados-Membros e pela Europol; criminalidade grave, caso em que a conservação dos dados c) Todos os pedidos e transferências de dados PNR para pela autoridade competente se rege pela lei processual ou um país terceiro. de proteção de dados pessoais que lhe for aplicável. 5 — O resultado do tratamento a que se refere a alínea a) 2 — O PUC-CPI conserva cópia da documentação re- do n.º 2 do artigo 5.º só é conservado pelo GIP durante o lativa às alíneas b) e c) do número anterior. período necessário para informar as autoridades competen- 3 — O GIP conserva, pelo menos, registos da recolha, tes e as unidades de informações de passageiros de outros consulta, divulgação e apagamento dos dados. Estados-Membros, nos termos do artigo 8.º 4 — Os registos das operações de consulta e de divul- 6 — Caso se constate, na sequência de uma verificação gação indicam, em especial, a finalidade, a data e a hora individual por meios não automatizados, nos termos do dessas operações, a identidade da pessoa que consultou ou n.º 4 do artigo 6.º, que o resultado do tratamento automa- divulgou os dados PNR e, se possível, o destino da infor- tizado é negativo, este pode, ainda assim, ser conservado mação, incluindo a identidade dos seus destinatários. a fim de evitar falsos resultados positivos no futuro, desde 5 — Os registos e os documentos a que se referem os que os dados que lhe serviram de base não sejam apagados números anteriores só podem ser utilizados para efeitos de nos termos do n.º 4. verificação e de autocontrolo, para garantir a integridade e Artigo 12.º a segurança dos dados e para efeitos de auditoria. 6 — O GIP disponibiliza a documentação e os registos Proteção de dados pessoais referidos nos números anteriores à autoridade de controlo, 1 — Ao tratamento de dados pessoais nos termos da a pedido desta. presente lei aplica-se o disposto no regime jurídico relativo 7 — Os registos a que se referem os n.os 2 e 3 são con- à proteção das pessoas singulares no que diz respeito ao servados durante um prazo de cinco anos. tratamento de dados pessoais pelas autoridades compe- 8 — O GIP adota e aplica as medidas técnicas e de tentes para efeitos de prevenção, deteção, investigação ou organização e os procedimentos adequados para garantir repressão de infrações penais ou de execução de sanções um elevado nível de segurança, adaptado aos riscos que o penais, incluindo a salvaguarda e a prevenção de ameaças tratamento representa e à natureza dos dados PNR. à segurança pública, que transpõe para a ordem jurídica 9 — Em caso de violação de dados pessoais que seja interna a Diretiva (UE) 2016/680 do Parlamento Europeu e suscetível de resultar num elevado risco para a proteção do Conselho, de 27 de abril de 2016, nomeadamente quanto dos dados ou de prejudicar a privacidade do seu titular, o ao direito de acesso, retificação, apagamento e limitação, GIP comunica tal facto ao titular dos dados e à autoridade direito a indemnização e a recurso judicial, confidenciali- nacional a que se refere o artigo seguinte, sem demora dade do tratamento e segurança dos dados. injustificada. 2 — O disposto no número anterior não prejudica a Artigo 14.º aplicação do Regulamento Geral sobre a Proteção de Da- Autoridade de controlo dos, aprovado pelo Regulamento (UE) 2016/679 do Par- lamento Europeu e do Conselho, de 27 de abril de 2016, A fiscalização da aplicação da presente lei compete à ao tratamento de dados pessoais pelas transportadoras CNPD, enquanto autoridade de controlo a que se refere o aéreas, especialmente no que se refere às suas obrigações regime jurídico relativo à proteção das pessoas singulares de tomarem as medidas técnicas e organizativas adequadas no que diz respeito ao tratamento de dados pessoais pelas para proteger a segurança e confidencialidade dos dados autoridades competentes para efeitos de prevenção, dete- pessoais. ção, investigação ou repressão de infrações penais ou de 3 — É proibido o tratamento de dados PNR que revelem execução de sanções penais, incluindo a salvaguarda e a a raça ou origem étnica da pessoa, as suas opiniões polí- prevenção de ameaças à segurança pública, que transpõe ticas, religião ou convicções filosóficas, filiação sindical, para a ordem jurídica interna a Diretiva (UE) 2016/680 do saúde, vida ou orientação sexual. Parlamento Europeu e do Conselho, de 27 de abril de 2016. Diário da República, 1.ª série — N.º 39 — 25 de fevereiro de 2019 1413 Artigo 15.º Artigo 19.º Responsável pela proteção de dados Violação das obrigações impostas às transportadoras aéreas O Coordenador do GIP é o responsável pelo tratamento 1 — As transportadoras que não tenham transferido de dados PNR a que se refere a presente lei. os dados PNR a que estão obrigadas de acordo com o ar- tigo 4.º ou que os tenham transmitido de forma incorreta, Artigo 16.º incompleta, falsificada ou após o prazo, são punidas, por cada viagem, com coima de 20 000 € a 100 000 €. Encarregado de proteção de dados 2 — Se for efetuada em formato diferente do requerido 1 — O Coordenador do GIP designa um encarregado de nos termos do n.º 5 do artigo 4.º e do artigo 17.º, a transfe- proteção de dados, incumbido de controlar o tratamento de rência é punível com coimas de 10 000 € a 50 000 €. dados PNR e de aplicar as salvaguardas relevantes. 3 — A negligência é punível. 2 — À designação, cargo e funções do encarregado de 4 — A aplicação das coimas é da competência do Ser- proteção de dados é aplicável o disposto no regime jurí- viço de Estrangeiros e Fronteiras. dico relativo à proteção das pessoas singulares no que diz 5 — O produto das coimas reverte em 60 % para o Es- respeito ao tratamento de dados pessoais pelas autoridades tado e em 40 % para o Serviço de Estrangeiros e Fronteiras. competentes para efeitos de prevenção, deteção, investi- 6 — É subsidiariamente aplicável o disposto no regime gação ou repressão de infrações penais ou de execução de geral do ilícito de mera ordenação social. 7 — O não cumprimento da obrigação de transferência sanções penais, incluindo a salvaguarda e a prevenção de de dados API indicados no n.º 18 do anexo I, a efetuar ameaças à segurança pública, que transpõe para a ordem conjuntamente com os restantes dados PNR, é sancionado jurídica interna a Diretiva (UE) 2016/680 do Parlamento somente nos termos dos artigos 42.º a 44.º e 196.º da Lei Europeu e do Conselho, de 27 de abril de 2016. n.º 23/2007, de 4 de julho. 3 — O encarregado de proteção de dados é o ponto de contacto único dos titulares dos dados, que têm o direito Artigo 20.º de o contactar para todos os assuntos respeitantes ao tra- tamento de dados PNR. Violação das disposições relativas à proteção de dados pessoais 4 — O encarregado de proteção de dados tem acesso a À violação das disposições relativas à proteção de dados todos os dados tratados pelo GIP, remetendo o caso para a pessoais aplica-se o regime contraordenacional previsto no autoridade de controlo quando considerar que o tratamento regime jurídico relativo à proteção das pessoas singulares de dados não foi efetuado em conformidade com a lei. no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, dete- Artigo 17.º ção, investigação ou repressão de infrações penais ou de Protocolos comuns e formatos de dados reconhecidos execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública, que transpõe 1 — As transferências de dados a que se refere o ar- para a ordem jurídica interna a Diretiva (UE) 2016/680 do tigo 4.º são efetuadas por meios eletrónicos que ofereçam Parlamento Europeu e do Conselho, de 27 de abril de 2016. garantias suficientes de segurança no que respeita às me- didas técnicas e de organização aplicáveis ao tratamento Artigo 21.º dos dados. 2 — Um ano após a adoção pela Comissão Europeia dos Comunicação de dados estatísticos protocolos comuns e dos formatos de dados reconhecidos, 1 — São anualmente comunicadas à Comissão Europeia todas as transferências de dados PNR pelas transportadoras as seguintes informações sobre os dados PNR comunica- aéreas para o GIP passam a ser efetuadas eletronicamente dos ao GIP: através de métodos seguros conformes com esses proto- a) Número total de passageiros cujos dados PNR foram colos comuns. objeto de recolha e de intercâmbio; 3 — Os dados PNR são transferidos num formato de b) Número de passageiros identificados sujeitos a me- dados reconhecido, a fim de assegurar a sua legibilidade didas de polícia, medidas especiais de polícia ou medidas por todas as partes envolvidas. cautelares e de polícia. 4 — As transportadoras aéreas são obrigadas a sele- cionar e a identificar junto do GIP o protocolo comum e 2 — As informações a que se refere o número anterior o formato de dados que tencionam utilizar para as suas não podem incluir dados pessoais. transferências. 5 — É aplicável o disposto no n.º 1 enquanto os protocolos Artigo 22.º comuns e os formatos de dados reconhecidos não estiverem disponíveis. Alteração à Lei n.º 53/2008, de 29 de agosto Artigo 18.º O artigo 23.º-A da Lei n.º 53/2008, de 29 de agosto, Sigilo profissional que aprova a Lei de Segurança Interna, alterada pela Lei n.º 59/2015, de 24 de junho, e pelo Decreto-Lei n.º 49/2017, 1 — Os responsáveis pelo tratamento de dados pessoais, de 24 de maio, passa a ter a seguinte redação: bem como as pessoas que, no exercício das suas funções, tenham conhecimento dos dados pessoais recolhidos, trans- «Artigo 23.º-A feridos ou tratados, ficam obrigados a sigilo profissional, [...] mesmo após o termo das suas funções. 2 — A violação do dever de sigilo é punida nos termos 1— ..................................... previstos no artigo 383.º do Código Penal. 2— ..................................... 1414 Diário da República, 1.ª série — N.º 39 — 25 de fevereiro de 2019 3— ..................................... 5 — Endereço e informações de contacto (número de 4— ..................................... telefone, endereço de correio eletrónico). 5— ..................................... 6 — Todas as informações sobre as modalidades de 6 — O PUC-CPI reúne, sob a mesma gestão, o Gabi- pagamento, incluindo o endereço de faturação. nete Nacional Sirene, o Gabinete Nacional da Interpol, 7 — Itinerário completo para o PNR em causa. a Unidade Nacional da Europol, a coordenação dos 8 — Informação de passageiro frequente. oficiais de ligação nacionais e estrangeiros, a coorde- 9 — Agência/agente de viagens. nação dos Centros de Cooperação Policial e Aduaneira, 10 — Situação do passageiro, incluindo confirmações, os pontos de contacto decorrentes das Decisões Prüm e situação do registo, não comparência ou passageiro de o Gabinete de Informações de Passageiros. última hora sem reserva. 7— ..................................... 11 — Informação do PNR separada/dividida. 8— ..................................... 12 — Observações gerais, designadamente todas as 9— ..................................... informações disponíveis sobre menores não acompanhados 10 — . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . com idade inferior a 18 anos, como nome e sexo do menor, 11 — . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . idade, língua(s) falada(s), nome e contactos da pessoa que 12 — . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . » o acompanha no momento da partida e sua relação com o menor, nome e contactos da pessoa que o acompanha no Artigo 23.º momento da chegada e sua relação com o menor, agente Alteração ao anexo à Lei n.º 53/2008, de 29 de agosto presente na partida e na chegada. 13 — Informações sobre a emissão dos bilhetes, in- O anexo à Lei n.º 53/2008, de 29 de agosto, passa a ter cluindo número dos bilhetes, data de emissão, bilhetes só a seguinte redação: de ida, dados ATFQ (Automatic Ticket Fare Quote). 14 — Número do lugar e outras informações relativas «Mapa de pessoal dirigente ao lugar. 15 — Informações sobre a partilha de código. Designação de cargos dirigentes Número de lugares 16 — Todas as informações relativas às bagagens. 17 — Número e outros nomes de passageiros que fi- Coordenador de Gabinete . . . . . . . . . . . . . . . . . . . 5 guram no PNR. » 18 — Todas as informações prévias sobre os passageiros Artigo 24.º (dados API) que tenham sido recolhidas, incluindo tipo e número de documento(s), país de emissão e termo de Entrada em vigor e produção de efeitos validade do(s) documento(s), nacionalidade, nome(s) e A presente lei entra em vigor no dia seguinte ao da sua apelido(s), sexo, data de nascimento, companhia aérea, número de voo, data de partida, data de chegada, aeroporto publicação, produzindo efeitos com a entrada em vigor do de partida, aeroporto de chegada, hora de partida e hora regime jurídico relativo à proteção das pessoas singulares de chegada. no que diz respeito ao tratamento de dados pessoais pelas 19 — Historial completo das modificações dos dados autoridades competentes para efeitos de prevenção, dete- PNR enumerados nos números anteriores. ção, investigação ou repressão de infrações penais ou de execução de sanções penais, incluindo a salvaguarda e a ANEXO II prevenção de ameaças à segurança pública, que transpõe para a ordem jurídica interna a Diretiva (UE) 2016/680 do Lista de infrações a que se refere a alínea k) do artigo 2.º Parlamento Europeu e do Conselho, de 27 de abril de 2016. 1 — Participação em associação criminosa. Aprovada em 7 de dezembro de 2018. 2 — Tráfico de seres humanos. 3 — Exploração sexual e pedopornografia. O Presidente da Assembleia da República, Eduardo 4 — Tráfico de estupefacientes e substâncias psico- Ferro Rodrigues. trópicas. 5 — Tráfico de armas, munições e explosivos. Promulgada em 11 de fevereiro de 2019. 6 — Corrupção. Publique-se. 7 — Fraude, incluindo a fraude lesiva dos interesses financeiros da União, na aceção da Convenção de 26 de O Presidente da República, MARCELO REBELO DE SOUSA. julho de 1995, relativa à Proteção dos Interesses Finan- Referendada em 15 de fevereiro de 2019. ceiros das Comunidades Europeias. 8 — Branqueamento dos produtos do crime e contra- O Primeiro-Ministro, António Luís Santos da Costa. fação de moeda, incluindo o euro. 9 — Criminalidade informática e cibercrime. ANEXO I 10 — Crimes contra o ambiente, incluindo o tráfico de espécies animais ameaçadas e de espécies e variedades Dados dos registos de identificação dos passageiros vegetais ameaçadas. (dados PNR) recolhidos pelas transportadoras aéreas a que se refere o artigo 4.º 11 — Auxílio à entrada e à permanência irregulares. 12 — Homicídio voluntário, ofensas à integridade física 1 — Código de identificação do registo PNR. graves. 2 — Data da reserva/emissão do bilhete. 13 — Tráfico de órgãos e tecidos humanos. 3 — Data(s) da viagem prevista. 14 — Rapto, sequestro e tomada de reféns. 4 — Nome(s). 15 — Furto ou roubo organizado ou à mão armada. Diário da República, 1.ª série — N.º 39 — 25 de fevereiro de 2019 1415 16 — Tráfico de bens culturais, incluindo antiguidades cia e da Modernização Administrativa e pelo Ministro e obras de arte. das Finanças, o seguinte: 17 — Contrafação, imitação e uso ilegal de marca. 18 — Falsificação de documentos administrativos e Artigo 1.º respetivo tráfico. Alteração 19 — Tráfico de substâncias hormonais e de outros estimuladores de crescimento. Os artigos 1.º, 6.º e 7.º do anexo à Portaria n.º 423/2012, 20 — Tráfico de materiais nucleares e radioativos. de 28 de dezembro, alterada pela Portaria n.º 120/2014, 21 — Violação. de 9 de junho, que aprovou os estatutos do Instituto Na- 22 — Crimes abrangidos pela jurisdição do Tribunal cional de Estatística, I. P., passam a ter seguinte redação: Penal Internacional. 23 — Desvio de avião ou navio. «Artigo 1.º 24 — Sabotagem. 25 — Tráfico de veículos furtados ou roubados. [...] 26 — Espionagem industrial. 1— ..................................... 112079533 2— ..................................... a) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . b) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . PRESIDÊNCIA E DA MODERNIZAÇÃO c) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . ADMINISTRATIVA E FINANÇAS d) Departamento de Recolha e Gestão de Dados; e) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . Portaria n.º 68/2019 f) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . g) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . de 25 de fevereiro O Instituto Nacional de Estatística, I. P. (INE, I. P.), tem 3— ..................................... prosseguido a estratégia de reforçar a produção estatística 4— ..................................... através da apropriação de um vasto conjunto de dados 5— ..................................... administrativos. O recurso a dados administrativos para 6— ..................................... fins estatísticos permite a substituição gradual dos modos 7— ..................................... de recolha direta pela utilização de informação adminis- 8 — O INE, I. P., dispõe de um encarregado de pro- trativa, permitindo reduzir os custos de contexto junto dos teção de dados, designado pelo conselho diretivo, que respondentes, cidadãos, empresas e outras entidades, bem coordena a matéria relativa aos dados pessoais e ao qual como aumentar a qualidade e a eficiência dos processos é aplicável o disposto no n.º 3 do artigo 11.º conside- de produção estatística do INE, I. P. rando a natureza e complexidade das respetivas funções. Em complemento do trabalho desenvolvido, as novas exigências de informação ditam a necessidade de for- Artigo 6.º talecer a capacidade de gestão e de análise de dados da Departamento de Metodologia e de Sistemas de Informação Administração Pública. O desenvolvimento da Infraes- trutura Nacional de Dados no INE, I. P., visa responder Ao Departamento de Metodologia e de Sistemas ao referido desafio, assente em melhor informação es- de Informação, abreviadamente designado por DMSI, tatística, maior capacidade analítica e flexibilidade de compete: adequação da informação às necessidades da tomada a) Investigar, estudar e propor métodos estatísticos, de decisão. no domínio económico e social, para a produção e dis- Neste âmbito, torna-se necessário proceder a ajustamen- ponibilização de estatísticas oficiais e para a integração tos na organização interna do Instituto, nomeadamente no de novas fontes de dados; que respeita às competências do Departamento de Metodo- b) Gerir e manter atualizado o sistema de metainfor- logia e de Sistemas de Informação e do Departamento de mação estatística, nomeadamente, através da harmoni- Recolha de Informação, cuja designação importa alterar. zação com as classificações e conceitos, de acordo com Paralelamente, cumpre definir o estatuto remuneratório da as definições europeias e internacionais; função de encarregado de proteção de dados. A referida c) Certificar tecnicamente as operações estatísticas função assume especial responsabilidade, complexidade oficiais; e especificidade no contexto da missão e das atribuições d) Realizar o registo prévio dos suportes de recolha prosseguidas pelo INE, I. P., características necessaria- a utilizar na produção das estatísticas oficiais; mente acentuadas com o desenvolvimento da Infraestrutura e) Assegurar a gestão, manutenção e coordenação Nacional de Dados. Com efeito, o encarregado de prote- das infraestruturas de unidades estatísticas e de dados ção de dados zela pela segurança dos dados, garantindo a geográficos; confiança não apenas dos respetivos titulares, mas também f) Aplicar a legislação europeia relativa ao estabele- de todos os intervenientes externos a quem o INE, I. P., cimento de uma infraestrutura de informação geográ- fornece soluções de recolha ou de armazenamento de in- fica na União Europeia, concretizando as disposições formação. de execução relativas à harmonização dos conjuntos Assim: de dados geográficos e disponibilização de serviços; Ao abrigo do artigo 12.º da Lei n.º 3/2004, de 15 de g) Assegurar a gestão, manutenção e coordenação das janeiro, manda o Governo, pela Ministra da Presidên- infraestruturas de dados, para a integração de diferentes 1416 Diário da República, 1.ª série — N.º 39 — 25 de fevereiro de 2019 fontes e criar conjuntos de dados para novos produtos, dados que resultam de inquéritos amostrais, recenseamen- estatísticos ou outros, e para análise e investigação; tos, integração de dados administrativos e de outras fontes; h) Definir as arquiteturas dos sistemas de informa- b) Participar nas fases de processamento e análise do ção e desenvolver aplicações e serviços, promovendo processo de produção estatística; a interoperabilidade interna e externa; c) Participar na análise de coerência dos dados pro- i) Desenvolver e participar em projetos de inovação, venientes da recolha por inquérito e da receção de da- explorando as possibilidades criadas por novas tecno- dos administrativos ou de outro âmbito, assegurando o logias, novas metodologias e novas fontes de dados; diálogo técnico entre as unidades intervenientes; j) Assegurar a gestão e manutenção da infraestrutura d) Assegurar a especificação dos requisitos funcio- tecnológica, nas vertentes de hardware, de software de nais dos sistemas de apoio à recolha e gestão de dados; base, administração de bases de dados, equipamentos e) Gerir a comunicação com os respondentes e pres- terminais e comunicações; tadores de informação; k) Definir e implementar a estratégia de segurança f) Assegurar a harmonização de procedimentos, bem da informação, garantindo a proteção da infraestrutura como a modernização e inovação dos processos e in- tecnológica e da informação, em particular a confiden- fraestruturas de suporte à recolha e gestão de dados; cialidade, disponibilidade e a integridade; g) Participar na conceção e modernização das fases l) Elaborar e concretizar os planos anuais de proje- de processamento e análise de dados do processo de tos e investimentos em Tecnologias de Informação e produção estatística; Comunicação, preparando e executando os respetivos h) Zelar pela contenção da carga estatística gerada processos de aquisição; pelos inquéritos.» m) Definir e implementar a estratégia TIC alinhada Artigo 2.º com os objetivos estratégicos, tecnológicos e/ou opera- cionais do instituto e da administração pública. Entrada em vigor A presente portaria entra em vigor no dia seguinte ao Artigo 7.º da sua publicação. Departamento de Recolha e Gestão de Dados Em 15 de fevereiro de 2019. Ao Departamento de Recolha e Gestão de Dados, A Ministra da Presidência e da Modernização Adminis- abreviadamente designado por DRGD, compete: trativa, Maria Manuel de Lemos Leitão Marques. — O Mi- a) Gerir a recolha de dados e análise de microdados das nistro das Finanças, Mário José Gomes de Freitas Centeno. operações estatísticas, designadamente no que respeita aos 112076999 I SÉRIE Diário da República Eletrónico: Endereço Internet: http://dre.pt Contactos: Correio eletrónico: dre@incm.pt Tel.: 21 781 0870 Depósito legal n.º 8814/85 ISSN 0870-9963 Fax: 21 394 5750