Proposta 2027.01 | Proposta #EPD-1517 do Encarregado da Proteção de Dados, sujeita a aprovação
Accountability
Fichas Técnicas do Sistema de Proteção de Dados
As Fichas Técnicas descrevem, de forma resumida, como o Município organiza o cumprimento das suas obrigações: o objetivo de cada componente, a norma em que assenta, quem é responsável, que evidência existe e qual o seu estado.
Encarregado da Proteção de Dados
Em vigor| Objetivo | Assegurar a função de EPD com independência e recursos adequados |
|---|---|
| Base normativa | RGPD, artigos 37.º a 39.º; Lei n.º 58/2019, artigos 9.º a 12.º |
| Designação | Pela câmara municipal, nos termos do artigo 12.º, n.º 3, alínea c), da Lei n.º 58/2019 [data e ato de designação a indicar] |
| Modalidade | EPD externo, em regime de prestação de serviços, com independência funcional |
| Reporte | Diretamente à direção de topo (artigo 38.º, n.º 3, do RGPD) |
| Evidência | Página do Encarregado; pareceres e procedimentos emitidos |
Plataforma de Proteção de Dados Municipal
Em vigor| Objetivo | Ponto único de informação, de exercício de direitos e de comunicação de incidentes |
|---|---|
| Base normativa | RGPD, artigos 12.º a 14.º e 37.º, n.º 7 |
| Conteúdos | Políticas, Fichas de Informação, Registo de Atividades, Avaliações de Impacto, Fichas Técnicas, formulários, contactos e registo de atualizações |
| Atualização | Sempre que ocorra alteração e, no mínimo, revisão anual |
| Responsável editorial | EPD, com validação do Município |
Procedimento de Exercício de Direitos
Em vigor| Entrada | Formulário, correio eletrónico do EPD ou atendimento presencial |
|---|---|
| Identificação | Pedido de informação adicional apenas havendo dúvidas razoáveis (artigo 12.º, n.º 6) |
| Prazo | Um mês, prorrogável até dois meses, com informação ao titular no primeiro mês (artigo 12.º, n.º 3) |
| Custo | Gratuito, salvo pedidos manifestamente infundados ou excessivos (artigo 12.º, n.º 5) |
| Evidência | Procedimentos e modelos #PEPD-0741, #PEPD-0743 e #PEPD-0744 |
Gestão de Violações de Dados Pessoais
Em vigor| Reporte interno | Comunicação imediata ao EPD e ao responsável de cibersegurança |
|---|---|
| Avaliação | Avaliação do risco para os titulares, com parecer do EPD |
| Registo | Registo de todas as violações (artigo 33.º, n.º 5) |
| Notificação CNPD | Sem demora injustificada e, sempre que possível, até 72 horas (artigo 33.º, n.º 1) |
| Comunicação aos titulares | Quando haja elevado risco (artigo 34.º, n.º 1) |
| Articulação RJCS | Notificação inicial ao CNCS até 24 horas nos incidentes significativos (artigo 42.º do RJCS), coordenada com o responsável de cibersegurança |
Registo das Atividades de Tratamento
Em vigor| Objetivo | Inventariar todas as atividades de tratamento do Município |
|---|---|
| Base normativa | RGPD, artigo 30.º |
| Titular | Município, por unidade orgânica; elaborado pelo EPD em colaboração e validado pelos dirigentes |
| Base de elaboração | Regulamento Orgânico (Despacho n.º 3049/2020) e atribuições do artigo 23.º, n.º 2, do Anexo I da Lei n.º 75/2013 |
| Conteúdo | 57 atividades com os elementos do artigo 30.º, n.º 1, regras de conservação, medidas de segurança e triagem de AIPD (versão 2026.11) |
| Acesso | Documento interno, disponibilizado à CNPD a pedido (artigo 30.º, n.º 4); síntese pública |
| Revisão | Anual e sempre que um tratamento seja criado ou alterado |
Avaliação de Impacto sobre a Proteção de Dados
Em vigor| Objetivo | Avaliar previamente os tratamentos suscetíveis de elevado risco |
|---|---|
| Base normativa | RGPD, artigos 35.º e 36.º; Regulamento n.º 1/2018 da CNPD |
| Titular | Município, através da unidade orgânica promotora, antes do início do tratamento |
| Papel do EPD | Triagem quando consultado, parecer e controlo da realização (artigos 35.º, n.º 2, e 39.º, n.º 1, alínea c)) |
| Instrumentos | Procedimento POP-AIPD-01 e Modelos A, B e C |
| Situação | Nenhuma situação apresentada ao EPD que exigisse AIPD expressa até 11/11/2026 |
| Mais informação | Avaliações de Impacto |
Subcontratação
Em vigor| Objetivo | Garantir que os prestadores que tratam dados por conta do Município oferecem garantias suficientes |
|---|---|
| Base normativa | RGPD, artigo 28.º |
| Instrumento | Acordo de tratamento de dados segundo os modelos do EPD |
| Controlo | Parecer do EPD sobre os contratos com fornecedores que tratem dados pessoais, incluindo os fornecedores críticos de cibersegurança |
Formação e Sensibilização
Em vigor| Objetivo | Capacitar os trabalhadores de acordo com as funções e o risco |
|---|---|
| Base normativa | RGPD, artigo 39.º, n.º 1, alínea b); Lei n.º 58/2019, artigo 11.º, alínea b) |
| Execução | Múltiplas sessões técnicas de formação e sensibilização, para as quais foram convocados os trabalhadores do Município |
| Articulação | Coordenação com as ações de sensibilização em cibersegurança, para evitar sobreposições |
| Evidência | Convocatórias, sumários e listas de presença |
Auditoria e Controlo da Conformidade
Em vigor| Objetivo | Verificar a aplicação do RGPD e das políticas internas |
|---|---|
| Base normativa | RGPD, artigo 39.º, n.º 1, alínea b); Lei n.º 58/2019, artigo 11.º, alínea a) |
| Instrumentos | Pareceres de conformidade, verificações e reporte ao Município |
| Seguimento | Recomendações acompanhadas pelo EPD |
Articulação entre Proteção de Dados e Cibersegurança
Em vigor| Objetivo | Evitar lacunas e sobreposições entre o RGPD e o Regime Jurídico da Cibersegurança |
|---|---|
| Base normativa | RJCS, artigos 1.º, n.º 2, alínea c), 23.º, n.º 1, alínea a), 31.º, 32.º, 40.º, n.º 5, e 42.º |
| Pontos de interseção | Inventário de ativos e registo de atividades; fornecedores e subcontratantes; incidentes e violações; formação |
| Papéis | Responsável de cibersegurança e EPD, cada um no seu âmbito, com reporte à direção de topo |