O que é um "responsável pelo tratamento" segundo o RGPD?

«Responsável pelo tratamento», é uma pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais.

O que é um "subcontratante" segundo o RGPD?

«Subcontratante», uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que trate os dados pessoais por conta do responsável pelo tratamento destes.

A quem se aplica o Regulamento Geral de Proteção de Dados (RGPD)?

O RGPD aplica-se ao tratamento de dados pessoais efetuado por responsável, ou por um subcontratante, situado no território da União Europeia, independentemente de o tratamento ocorrer dentro ou fora da União Europeia.

O RGPD aplica-se, também, ao tratamento de dados pessoais de titulares que se encontrem no território da União Europeia, efetuado por um responsável, ou por um subcontratante, não estabelecido na União Europeia, quando as atividades de tratamento estejam relacionadas com:

a) A oferta de bens ou serviços a esses titulares de dados na União Europeia, independentemente de haver pagamento;

b) O controlo do seu comportamento dentro da União Europeia.

O RGPD aplica-se, ainda, ao tratamento de dados pessoais por um responsável estabelecido fora da União Europeia, onde se aplique o direito de um Estado-membro por força do direito internacional público.

Em que situações a EEM é o responsável pelo tratamento de dados pessoais?

A EEM é o Responsável pelo Tratamento quando recolhe e trata os dados pessoais no contexto da relação contratual e, em particular, para dar cumprimento às obrigações contratuais para com o Fornecedor em causa ou levar a cabo diligências pré-contratuais decorrentes do interesse em adquirir serviços de fornecimento de produtos ou serviços ou celebrar um contrato com o Fornecedor.

Em que situações a EEM é responsável conjunto pelo tratamento de dados pessoais e como identificar qual o(s) outro(s) responsáveis pelo tratamento?

Quando a responsabilidade pelo tratamento de dados pessoais for partilhada, o(s) outro(s) Responsável(eis) pelo Tratamento será(ão) a(s) Entidade(s) que beneficia(m) dos produtos e serviços decorrentes da execução do contrato e que procedeu às diligências pré-contratuais com o Fornecedor.

Como contactar a EEM para questões ou comentários sobre Proteção de Dados Pessoais?

Para efeitos de contacto com o Gabinete de Proteção de Dados da EEM, é favor enviar um correio eletrónico para protecaodedados@eem.pt, descrevendo o assunto do pedido e indicando um endereço de correio eletrónico, um endereço de contacto telefónico ou um endereço de correspondência.

Para qualquer outro efeito, podem ser utilizados os seguintes contactos gerais da EEM:

Endereço Postal: Avenida do Mar e das Comunidades Madeirenses, nº 32, 9064-501 Funchal
Correio Eletrónico: eem@eem.pt
Telefone Geral: 291 211300
Telefax Geral: 291 233324

Como contactar o Encarregado de Proteção de Dados da EEM?

A EEM designou um Encarregado de Proteção de Dados (EPD), responsável por garantir, entre outros aspetos, a conformidade das atividades de tratamento e proteção de dados pessoais sob a responsabilidade da EEM, de acordo com a legislação aplicável e com a presente Política. Pode entrar em contacto com o Encarregado da Proteção de Dados da EEM, através do endereço epd@eem.pt.

Quem são os titulares de dados pessoais de fornecedores da EEM?

Nas categorias de titulares de dados tratados de fornecedores ou prestadores de serviços da EEM incluem-se:

• Utilizadores dos sites e serviços online para fornecedores;
  
  
• Trabalhadores dos fornecedores ou prestadores de serviços;
  
  
• Responsáveis das entidades fornecedoras ou prestadoras de serviços;
  
  
• Outros colaboradores dessas entidades (ou terceiras) envolvidas no âmbito da relação contratual.

Que categorias de dados pessoais de fornecedores trata a EEM?

A EEM trata dados pessoais de diferente natureza e sensibilidade, dependendo do objeto da relação contratual com os fornecedores, bem como da finalidade associada ao tratamento desses dados. Para a generalidade dos fornecedores (incluindo os que são pessoas singulares) são tratados os seguintes dados pessoais:

• Dados de identificação (p. ex. identificação civil/fiscal, nome, assinatura, n.º fornecedor, n.º de conta);
  
  
• Dados de contacto (p. ex. morada fiscal, telemóvel, email pessoal/profissional);
  
  
• Dados financeiros (p. ex. IBAN).

Para determinados contratos, tais como serviços de consultoria, empreitadas, formação profissional ou outras prestações de serviços especializadas poderão ser tratadas outras categorias de dados pessoais:

• Dados demográficos (p. ex., género, data de nascimento, nacionalidade, país de residência);
  
  
• Dados de imagem e vídeo (p. ex. circuitos CCTV nas instalações, fotos ou vídeos coletados em eventos da EEM);
  
  
• Dados académicos e profissionais (p. ex., formação académica, experiência profissional, certificações profissionais);
  
  
• Dados eletrónicos (p.ex. cookies, endereços de IP, registos cronológicos eletrónicos);
  
  
• Dados de condenações penais e infrações (registo criminal é solicitado aos responsáveis das entidades, por obrigação legal da contratação pública).

Quais as finalidades e qual o fundamento legal do tratamento dos dados pessoais de fornecedores?

A EEM apenas tratará dados pessoais de trabalhadores, responsáveis de entidades ou prestadores de serviços (pessoas singulares) para os propósitos da relação contratual, obrigação jurídica ou outro fundamento legal, garantindo sempre o cumprimento dos princípios relativos ao tratamento de dados pessoais (artigo 5º do RGPD).

Os fundamentos de licitude para o tratamento dos dados pessoais de fornecedores são:

• Execução de contrato ou diligências pré-contratuais (ponto 1b do Artigo 6.º do RGPD).
  A EEM poderá tratar dados pessoais dos seus fornecedores ou prestadores de serviços, no âmbito do fornecimento de bens, produtos ou da prestação de serviços contratualizado, bem como das diligências comerciais ou de gestão do contrato associadas. Mais informação sobre as finalidades específicas no âmbito das atividades de tratamento a realizar encontram-se definidas nos termos e condições específicos do contrato e no “Contrato de Proteção de Dados” ou “Contrato de Proteção de Dados – Transferência Internacional”, sempre que o tipo de tratamento a isso obrigue.
  
  
• Cumprimento de obrigações jurídicas a que a EEM esteja sujeita (ponto 1c do Artigo 6.º do RGPD).
  A EEM trata dados pessoais dos seus fornecedores por obrigação jurídica em diversos contextos, p. ex. no âmbito dos procedimentos de contratação; prestação de contas e reporte legal; requisitos de reporte e de conformidade a que se encontra obrigado para com as autoridades de controlo regionais e nacionais; reporte para efeitos de projetos financiados com fundos comunitários em que a EEM seja promotora ou copromotora.
  
  
• Tratamentos no âmbito do interesse legítimo da EEM enquanto responsável pelo tratamento de dados pessoais (ponto 1b do Artigo 6.º do RGPD).
  Sem afetar os interesses ou direitos fundamentais dos titulares dos dados, a EEM poderá tratar dados pessoais dos seus fornecedores ou prestadores de serviços, para outros propósitos não diretamente relacionados com a relação contratual, com base no interesse legítimo da EEM ou de terceiros a que a EEM esteja obrigada, tais como:

- Obtenção de informação comercial e técnica sobre produtos ou serviços que o fornecedor possua que possam ser do interesse da EEM;

- Defesa em ações judiciais ou reivindicações legais;

- Auditoria e verificação de conformidade legal; 

- Controlo de qualidade dos produtos e serviços prestados, no âmbito da qualidade do serviço prestado a clientes e trabalhadores; 

- Registos cronológicos de acesso a sistemas informáticos, acessos físicos e circuitos CCTV; 

- Tratamentos para os quais a EEM obteve o consentimento inequívoco dos titulares dos dados (ponto 1a do Artigo 6.º do RGPD).
A EEM poderá tratar os dados pessoais de fornecedores, para uma determinada finalidade, na medida em que tenha obtido o consentimento inequívoco do fornecedor ou prestador de serviços, nos termos do Artigo 7º do RGPD. O consentimento poderá ser revogado a qualquer momento e produzirá efeito a partir dessa data para o futuro. Os tratamentos realizados até essa data continuam a ter fundamento de licitude.

Quais os meus direitos enquanto titular de dados pessoais?

Enquanto titular de dados pessoais, conforme o Regulamento (UE) 2016/679 (RGPD), tem os seguintes Direitos (para informação mais detalhada consulte a Política de Privacidade da EEM:

• Direito de acesso do titular dos dados - sempre que o solicitar, pode obter confirmação sobre se os seus dados pessoais são tratados pela EEM. Pode, ainda, aceder aos seus dados pessoais, bem como a obter mais informações sobre o tratamento;
  
  
• Direito de retificação - sempre que considerar que os seus dados pessoais (dados pessoais objetivos fornecidos por si) estão incompletos ou incorretos, pode requerer a sua retificação ou que os mesmos sejam completados;
  
  
• Direito ao apagamento dos dados («direito a ser esquecido») - pode solicitar que os seus dados pessoais sejam apagados quando os dados pessoais deixem de ser necessários para a finalidade que motivou a sua recolha ou tratamento ou em outras situações (conforme descrito na Política de Privacidade). Nos termos legais aplicáveis, a EEM não tem a obrigação de apagar os dados do titular na medida em que o tratamento se revele necessário ao cumprimento de uma obrigação legal a que esteja sujeita ou para efeitos de declaração, exercício ou defesa de um direito em processo judicial;
  
  
• Direito à limitação do tratamento - a limitação do tratamento permite ao titular solicitar ao responsável que restrinja o acesso a dados pessoais ou que suspensa as atividades de tratamento;
  
  
• Direito de portabilidade dos dados - poderá solicitar à EEM a entrega, num formato estruturado, de uso corrente e de leitura automática, os dados pessoais por si fornecidos. O direito de portabilidade apenas se aplica nos seguintes casos: (I) quando o tratamento se basear no consentimento expresso ou na execução de um contrato; e (II) quando o tratamento em causa for realizado por meios automatizados;
  
  
• Direito de oposição - tem o direito de se opor ao tratamento dos seus dados pessoais a qualquer momento, por motivos relacionados com a sua situação particular, nas seguintes situações: (I) Quando o tratamento se basear no interesse legítimo da EEM; ou (II) Quando o tratamento for realizado para fins diversos daqueles para os quais os dados foram recolhidos, mas que sejam compatíveis com os mesmos. O a EEM deixará, nesses casos, de tratar os seus dados pessoais, a não ser que tenha razões legítimas para realizar esse tratamento e que estas que prevaleçam sobre os seus interesses.
  Pode também opor‐se ao tratamento dos seus dados para fins de marketing direto, incluindo a definição de perfis que esteja relacionada com esse marketing;
  
  
• Direito de retirar o seu consentimento - nos casos em que o tratamento dos dados seja feito com base no seu consentimento, poderá retirar o consentimento a qualquer momento. Caso retire o seu consentimento, os seus dados pessoais deixarão de ser tratados, exceto se existir outro fundamento, como obrigações legais e regulamentares ou o interesse público da EEM, que justifique esse tratamento.

Como fazer para colocar alguma dúvida, exercer os meus direitos ou fazer uma reclamação sobre proteção de dados pessoais?

Se pretender colocar alguma questão sobre a proteção de dados pessoais, bastará entrar em contacto com o Encarregado de Proteção de Dados Pessoais (EPD/DPO) da EEM. e exercer os seus direitos através dos seguintes meios:

• Presencial: Serviços de Atendimento, Sede, Avenida do Mar e das Comunidades Madeirenses 32, 9060-501Funchal;
  
  
• Através de email:  epd@eem.pt

O exercício dos seus direitos é gratuito, a menos que o pedido seja manifestamente infundado ou excessivo, podendo, em tais casos, ser cobrada uma taxa razoável considerando os custos associados.

Os pedidos de informação e exercício dos direitos pelo titular são feitos por escrito (incluindo meios eletrónicos), fazendo prova da sua identidade, mediante contacto com a EEM, o qual dará resposta por escrito (incluindo por meios eletrónicos) ao pedido do titular no prazo máximo de 30 dias a contar da receção do pedido, salvo em casos de especial complexidade e elevado número de pedidos, em que esse prazo pode ser prorrogado até dois meses.

O titular dos dados pode ainda apresentar uma reclamação diretamente à Autoridade Nacional de Controlo de Dados Pessoais, a Comissão Nacional de Proteção de Dados (CNPD), utilizando os contactos disponibilizados por esta entidade para o efeito (em www.cnpd.pt).

Quais as medidas técnicas e organizativas que a EEM implementou para melhor garantir a minha privacidade?

Tendo em conta o princípio da proporcionalidade e adequabilidade da segurança, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos de probabilidade, a EEM aplica medidas de segurança, técnicas e organizativas, adequadas, para assegurar um nível de segurança dos seus dados pessoais adequado ao risco, como, por exemplo:

• Execução de ações de formação e/ou sensibilização em segurança da informação e proteção de dados para todos os colaboradores;
  
  
• Utilização de firewall e sistemas de deteção de intrusão nos seus sistemas de informação;
  
  
• Aplicação de procedimentos de controlo de acessos, com recurso a perfis de acesso diferenciado e com base no princípio da necessidade de saber;
  
  
• Registo de ações efetuadas sobre os sistemas de informação que contenham dados pessoais (login);
  
  
• Execução de um plano de backups;
  
  
• Proteção anti-spam de receção e envio de emails corporativos;
  
  
• Instalação, manutenção e gestão dos sistemas de antivírus e de firewall nos computadores da EEM;
  
  
• Encriptação dos dados comunicados com serviços online disponibilizados a colaboradores, munícipes e clientes;
  
  
• Pseudonimização de dados pessoais;
  
  
• Controlo de acessos às instalações físicas dos equipamentos da EEM;
  
  
• Sistema de deteção automática de incêndio, videovigilância e deteção de intrusão.

Com quem a EEM poderá partilhar os dados pessoais de fornecedores?

Na EEM os dados pessoais de fornecedores serão tratados por trabalhadores e outros colaboradores com vista à execução da relação contratual e outras finalidades com fundamento de licitude. Nos casos em que a EEM não consiga recolher os dados pessoais obrigatórios não poderá executar o contrato e informará o fornecedor.

A EEM poderá recorrer a serviços de entidades terceiras subcontratadas ou responsáveis conjuntos pelo tratamento de dados pessoais, incluindo entidades com sede fora da União Europeia, para a prestação de determinados serviços, podendo tal implicar o acesso, por estas entidades, a dados pessoais dos Fornecedores.

Nestas circunstâncias e sempre que tal seja necessário, a EEM recorrerá apenas a entidades subcontratadas que apresentem garantias suficientes de execução de medidas técnicas e organizativas adequadas de uma forma que o tratamento satisfaça os requisitos das normas aplicáveis, ficando tais garantias formalizadas em contrato assinado entre a EEM e cada uma dessas terceiras entidades.

Poderá a EEM transferir dados pessoais de Fornecedores para Países Terceiros? Qualquer transferência de dados pessoais para um país terceiro ou uma organização internacional somente será realizada no quadro do cumprimento de obrigações legais ou garantida que seja a conformidade com as normas jurídicas comunitárias e nacionais aplicáveis nessa matéria.

Nestas circunstâncias e sempre que tal seja necessário, a EEM recorrerá apenas a entidades subcontratadas que apresentem garantias suficientes de execução de medidas técnicas e organizativas adequadas de uma forma que o tratamento satisfaça os requisitos das normas aplicáveis, ficando tais garantias formalizadas em contrato assinado entre a EEM e cada uma dessas terceiras entidades.

Pode a EEM solicitar uma auditoria de conformidade RGPD a um seu fornecedor?

Sim, está previsto no RGPD.

Os fornecedores (enquanto subcontratantes) devem disponibilizar à EEM todas as informações necessárias para demonstrar o cumprimento das obrigações previstas nas presentes cláusulas decorrentes diretamente do Regulamento (UE) 2016/679.

A pedido da EEM, o subcontratante deve igualmente facilitar e contribuir para as auditorias das operações de tratamento abrangidas pelas presentes cláusulas, a intervalos razoáveis ou se houver indícios de incumprimento. Ao decidir sobre uma revisão ou uma auditoria, a EEM pode ter em conta as certificações pertinentes detidas pelo subcontratante.

A EEM pode optar por realizar, ela própria, a auditoria ou mandatar um auditor independente. As auditorias podem igualmente incluir inspeções nos edifícios ou nas instalações físicas do subcontratante, devendo, se for caso disso, ser realizadas com uma antecedência razoável.

Atualizado em 07/08/2023 15:46 por Joana Araújo.