Lei n.º 59/2019 — Aprova as regras relativas ao tratamento de dados pessoais para efeitos de prevenção, deteção, investigação ou…

CAPÍTULO VIII — Sanções

SECÇÃO I — Contraordenações

Artigo 52.º — Contraordenações

1 - Sem prejuízo do regime sancionatório estabelecido na Lei n.º 58/2019, de 8 de agosto, aplicável por incumprimento das obrigações previstas no Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, no âmbito de aplicação da presente lei constituem contraordenações muito graves as seguintes condutas:

2 - Sem prejuízo do regime sancionatório estabelecido pela Lei n.º 58/2019, de 8 de agosto, aplicável por incumprimento das obrigações previstas no Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, no âmbito de aplicação da presente lei constituem contraordenações graves as seguintes condutas:

3 - A prática das contraordenações previstas no n.º 1 é punida com coima:

4 - A prática das contraordenações previstas no n.º 2 é punida com coima:

5 - O disposto nos números anteriores aplica-se de igual modo às entidades públicas e privadas, sem prejuízo de as entidades públicas, mediante pedido devidamente fundamentado, poderem solicitar à CNPD a dispensa da aplicação de coimas durante o prazo de três anos a contar da entrada em vigor da presente lei.

SECÇÃO II — Crimes

Artigo 53.º — Acesso indevido aos dados

1 - Quem, sem a devida autorização ou justificação, aceder, por qualquer modo, a dados pessoais tratados ao abrigo da presente lei, é punido com pena de prisão até um ano ou com pena de multa até 120 dias.

2 - A pena é agravada para o dobro nos seus limites quando o acesso:

Artigo 54.º — Desvio de dados

1 - Quem copiar, subtrair, ceder ou transferir, a título oneroso ou gratuito, dados pessoais tratados ao abrigo da presente lei, sem previsão legal ou consentimento, é punido com pena de prisão até 2 anos ou com pena de multa até 240 dias.

2 - A pena é agravada para o dobro nos seus limites quando a conduta:

Artigo 55.º — Utilização de dados de forma incompatível com a finalidade da recolha

Quem utilizar dados pessoais tratados ao abrigo da presente lei de forma incompatível com a finalidade determinante da respetiva recolha é punido com pena de prisão até 2 anos ou com pena de multa até 240 dias.

Artigo 56.º — Interconexão ilegal de dados

Quem, intencionalmente, promover ou efetuar uma interconexão ilegal de dados pessoais tratados ao abrigo da presente lei, é punido com pena de prisão até 2 anos ou com pena de multa até 240 dias.

Artigo 57.º — Viciação ou destruição de dados

1 - Quem, sem a devida autorização ou justificação, apagar, destruir, danificar, ocultar, suprimir ou modificar dados pessoais tratados ao abrigo da presente lei, tornando-os inutilizáveis ou afetando o seu potencial de utilização, é punido com pena de prisão até 2 anos ou com pena de multa até 240 dias.

2 - A pena é agravada para o dobro nos seus limites se o dano produzido for particularmente grave.

3 - Nas situações previstas nos números anteriores, se o agente atuar com negligência, é punido:

Artigo 58.º — Violação do dever de sigilo

1 - Quem, obrigado a sigilo profissional nos termos da lei, sem justa causa e sem o devido consentimento, revelar ou divulgar, no todo ou em parte, dados pessoais tratados ao abrigo da presente lei, é punido com pena de prisão até 2 anos ou com pena de multa até 240 dias.

2 - A pena é agravada para o dobro nos seus limites se o agente:

3 - A negligência é punível com pena de prisão até 6 meses ou com pena de multa até 120 dias.

Artigo 59.º — Desobediência qualificada

1 - Quem não cumprir as obrigações previstas na presente lei, depois de ultrapassado o prazo que tiver sido fixado pela autoridade de controlo para o respetivo cumprimento é punido com a pena correspondente ao crime de desobediência qualificada.

2 - Incorre na mesma pena do número anterior quem, depois de notificado:

Artigo 60.º — Inserção de dados falsos

1 - Quem inserir ou facilitar a inserção de dados pessoais falsos, com a intenção de obter vantagem indevida para si ou para terceiro, ou para causar prejuízo, é punido com pena de prisão até 2 anos ou com pena de multa até 240 dias.

2 - A pena é agravada para o dobro nos seus limites se da inserção referida no número anterior resultar um prejuízo efetivo.

Artigo 61.º — Punibilidade da tentativa

Nos crimes previstos no presente capítulo, a tentativa é sempre punível.

Artigo 62.º — Responsabilidade das pessoas coletivas

As pessoas coletivas e entidades equiparadas, com exceção do Estado, de pessoas coletivas no exercício de prerrogativas de poder público e de organizações de direito internacional público, são responsáveis pelos crimes previstos na presente secção, nos termos do artigo 11.º do Código Penal.

SECÇÃO III — Disposições comuns

Artigo 63.º — Concurso de infrações

1 - Se o mesmo facto constituir simultaneamente crime e contraordenação, o agente é sempre punido a título de crime.

2 - Quando se verifique concurso de crime e contraordenação, ou quando, pelo mesmo facto, uma pessoa deva responder a título de crime e outra a título de contraordenação, o processamento da contraordenação cabe às autoridades competentes para o processo criminal, nos termos do regime geral do ilícito de mera ordenação social.

Artigo 64.º — Pena acessória

Conjuntamente com as penas previstas no presente capítulo, podem ser aplicadas as sanções acessórias previstas no artigo 56.º da Lei n.º 58/2019, de 8 de agosto.

Artigo 65.º — Aplicabilidade de outros regimes sancionatórios

1 - O disposto no presente capítulo não prejudica a aplicação dos artigos 37.º a 56.º da Lei n.º 58/2019, de 8 de agosto, ou das disposições do Código Penal, se de tal aplicação resultar, em concreto, uma sanção mais grave.

2 - O disposto no presente capítulo não prejudica a aplicação da Lei n.º 109/2009, de 15 de setembro.

Artigo 66.º — Responsabilidade civil e disciplinar

O disposto no presente capítulo não prejudica a efetivação da responsabilidade civil nem da responsabilidade disciplinar.

CAPÍTULO IX — Disposições finais e transitórias

Artigo 67.º — Relação com outros atos jurídicos da União Europeia e acordos internacionais em vigor

1 - As disposições específicas de proteção de dados pessoais previstas em atos jurídicos da União Europeia adotados antes de 6 de maio de 2016 no domínio da cooperação judiciária em matéria penal e da cooperação policial, que regulem o tratamento entre os Estados-Membros e o acesso das autoridades designadas dos Estados-Membros aos sistemas de informação criados por força dos Tratados, mantêm-se inalteradas.

2 - Os acordos internacionais que impliquem a transferência de dados pessoais para países terceiros ou para organizações internacionais, celebrados pelo Estado Português antes de 6 de maio de 2016, e que sejam conformes com o direito da União Europeia aplicável antes dessa data, continuam a vigorar até serem alterados, substituídos ou revogados.

3 - Todas as referências feitas à Lei da Proteção de Dados Pessoais, aprovada pela Lei n.º 67/98, de 26 de outubro, consideram-se feitas para o regime da presente lei, quando disserem respeito à proteção das pessoas singulares relativamente ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, deteção, investigação ou repressão de infrações penais ou de execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública.

Artigo 68.º — Dados referentes ao sistema judiciário

1 - O tratamento de dados constante de processo penal, de decisão judicial ou do registo criminal é regulado nos termos da lei processual penal.

2 - Ao tratamento de dados referentes ao sistema judicial é aplicável o regime jurídico próprio, constante da Lei n.º 34/2009, de 14 de julho.

Artigo 69.º — Sistema integrado de informação criminal

O disposto na presente lei não implica qualquer restrição ou limitação na partilha e intercâmbio de dados entre os órgãos de polícia criminal e destes com as autoridades judiciárias, no âmbito do dever de cooperação estabelecido na lei de organização da investigação criminal, designadamente do sistema integrado de informação criminal instituído nos termos da Lei n.º 73/2009, de 12 de agosto, alterada pela Lei n.º 38/2015, de 11 de maio.

Artigo 70.º — Regime transitório

1 - A conformação dos sistemas de tratamento automatizado criados antes de 6 de maio de 2016 com os requisitos previstos no artigo 27.º deve ser assegurada pelos responsáveis pelo tratamento logo que possível, até 6 de maio de 2023, ou, quando o cumprimento deste prazo cause graves dificuldades ao funcionamento de um sistema de tratamento automatizado, até 6 de maio de 2026.

2 - Sem prejuízo do disposto no número anterior, o responsável pelo tratamento de dados deve dispor de métodos eficazes para, até ao final do prazo de conformação, poder demonstrar a licitude do tratamento de dados, permitir o autocontrolo e garantir a integridade e segurança dos dados, tais como registos cronológicos ou outros.

Artigo 71.º — Entrada em vigor

A presente lei entra em vigor no dia seguinte ao da sua publicação.

Aprovada em 14 de junho de 2019.

O Presidente da Assembleia da República, Eduardo Ferro Rodrigues.

Promulgada em 26 de julho de 2019.

Publique-se.

O Presidente da República, Marcelo Rebelo de Sousa.

Referendada em 30 de julho de 2019.

Pelo Primeiro-Ministro, Augusto Ernesto Santos Silva, Ministro dos Negócios Estrangeiros.