Artigo 83.o 📖 RGPD (GDPR). Condições gerais para a aplicação de coimas

Artigo 83.o RGPD (GDPR). Condições gerais para a aplicação de coimas

1. Cada autoridade de controlo assegura que a aplicação de coimas nos termos do presente artigo relativamente a violações do presente regulamento a que se referem os n.os 4, 5 e 6 é, em cada caso individual, efetiva, proporcionada e dissuasiva.

2. Consoante as circunstâncias de cada caso, as coimas são aplicadas para além ou em vez das medidas referidas no artigo 58.o, n.o 2, alíneas a) a h) e j). Ao decidir sobre a aplicação de uma coima e sobre o montante da coima em cada caso individual, é tido em devida consideração o seguinte:

Textos ligados

Artigo 58.o RGPD (GDPR). Poderes

[…]

2. Cada autoridade de controlo dispõe dos seguintes poderes de correção:

a) Fazer advertências ao responsável pelo tratamento ou ao subcontratante no sentido de que as operações de tratamento previstas são suscetíveis de violar as disposições do presente regulamento;

b) Fazer repreensões ao responsável pelo tratamento ou ao subcontratante sempre que as operações de tratamento tiverem violado as disposições do presente regulamento;

c) Ordenar ao responsável pelo tratamento ou ao subcontratante que satisfaça os pedidos de exercício de direitos apresentados pelo titular dos dados nos termos do presente regulamento;

d) Ordenar ao responsável pelo tratamento ou ao subcontratante que tome medidas para que as operações de tratamento cumpram as disposições do presente regulamento e, se necessário, de uma forma específica e dentro de um prazo determinado;

e) Ordenar ao responsável pelo tratamento que comunique ao titular dos dados uma violação de dados pessoais;

f) Impor uma limitação temporária ou definitiva ao tratamento de dados, ou mesmo a sua proibição;

g) Ordenar a retificação ou o apagamento de dados pessoais ou a limitação do tratamento nos termos dos artigos 16.o, 17.o e 18.o, bem como a notificação dessas medidas aos destinatários a quem tenham sido divulgados os dados pessoais nos termos do artigo 17.o, n.o 2, e do artigo 19.o;

h) Retirar a certificação ou ordenar ao organismo de certificação que retire uma certificação emitida nos termos dos artigos 42.o e 43.o, ou ordenar ao organismo de certificação que não emita uma certificação se os requisitos de certificação não estiverem ou deixarem de estar cumpridos;

[…]

j) Ordenar a suspensão do envio de dados para destinatários em países terceiros ou para organizações internacionais.

a) A natureza, a gravidade e a duração da infração tendo em conta a natureza, o âmbito ou o objetivo do tratamento de dados em causa, bem como o número de titulares de dados afetados e o nível de danos por eles sofridos;

Textos ligados

b) O caráter intencional ou negligente da infração;

Textos ligados

c) A iniciativa tomada pelo responsável pelo tratamento ou pelo subcontratante para atenuar os danos sofridos pelos titulares;

d) O grau de responsabilidade do responsável pelo tratamento ou do subcontratante tendo em conta as medidas técnicas ou organizativas por eles implementadas nos termos dos artigos 25.o e 32.o;

Textos ligados

Artigo 25.o RGPD (GDPR). Proteção de dados desde a conceção e por defeito

Artigo 32.o RGPD (GDPR). Segurança do tratamento

e) Quaisquer infrações pertinentes anteriormente cometidas pelo responsável pelo tratamento ou pelo subcontratante;

Textos ligados

f) O grau de cooperação com a autoridade de controlo, a fim de sanar a infração e atenuar os seus eventuais efeitos negativos;

g) As categorias específicas de dados pessoais afetadas pela infração;

Textos ligados

h) A forma como a autoridade de controlo tomou conhecimento da infração, em especial se o responsável pelo tratamento ou o subcontratante a notificaram, e em caso afirmativo, em que medida o fizeram;

i) O cumprimento das medidas a que se refere o artigo 58.o, n.o 2, caso as mesmas tenham sido previamente impostas ao responsável pelo tratamento ou ao subcontratante em causa relativamente à mesma matéria;

Textos ligados

Artigo 58.o RGPD (GDPR). Poderes

[…]

2. Cada autoridade de controlo dispõe dos seguintes poderes de correção:

b) Fazer repreensões ao responsável pelo tratamento ou ao subcontratante sempre que as operações de tratamento tiverem violado as disposições do presente regulamento;

c) Ordenar ao responsável pelo tratamento ou ao subcontratante que satisfaça os pedidos de exercício de direitos apresentados pelo titular dos dados nos termos do presente regulamento;

e) Ordenar ao responsável pelo tratamento que comunique ao titular dos dados uma violação de dados pessoais;

f) Impor uma limitação temporária ou definitiva ao tratamento de dados, ou mesmo a sua proibição;

i) Impor uma coima nos termos do artigo 83.o, para além ou em vez das medidas referidas no presente número, consoante as circunstâncias de cada caso;

j) Ordenar a suspensão do envio de dados para destinatários em países terceiros ou para organizações internacionais.

[…]

j) O cumprimento de códigos de conduta aprovados nos termos do artigo 40.o ou de procedimento de certificação aprovados nos termos do artigo 42.o; e

Textos ligados

Artigo 40.o RGPD (GDPR). Códigos de conduta

Artigo 42.o RGPD (GDPR). Certificação

k) Qualquer outro fator agravante ou atenuante aplicável às circunstâncias do caso, como os benefícios financeiros obtidos ou as perdas evitadas, direta ou indiretamente, por intermédio da infração.

3. Se o responsável pelo tratamento ou o subcontratante violar, intencionalmente ou por negligência, no âmbito das mesmas operações de tratamento ou de operações ligadas entre si, várias disposições do presente regulamento, o montante total da coima não pode exceder o montante especificado para a violação mais grave.

4. A violação das disposições a seguir enumeradas está sujeita, em conformidade com o n.o 2, a coimas até 10 000 000 EUR ou, no caso de uma empresa, até 2 &#37 do seu volume de negócios anual a nível mundial correspondente ao exercício financeiro anterior, consoante o montante que for mais elevado:

Lei de Diretrizes & Case

(EN)

In order to impose fines that are effective, proportionate and dissuasive, the supervisory authority shall use for the definition of the notion of an undertaking as provided for by the CJEU for the purposes of the application of Article 101 and 102 TFEU, namely that the concept of an undertaking is understood to mean an economic unit, which may be formed by the parent company and all involved subsidiaries. In accordance with EU law and case-law*, an undertaking must be understood to be the economic unit, which engages in commercial/economic activities, regardless of the legal person involved (Recital 150)

* The ECJ case law definition is: «the concept of an undertaking encompasses every entity engaged in an economic activity regardless of the legal status of the entity and the way in which it is financed” (Case Höfner and Elsner, para 21, ECLI:EU:C:1991:161). An undertaking «must be understood as designating an economic unit even if in law that economic unit consists of several persons, natural or legal» (Case Confederación Española de Empresarios de Estaciones de Servicio [para 40, ECLI:EU:C:2006:784)

Art29WP, Guidelines on the application and setting of administrative fines for the purpose of the Regulation 2016/679, wp253 (2017)

a) As obrigações do responsável pelo tratamento e do subcontratante nos termos dos artigos 8.o, 11.o, 25.o a 39.o e 42.o e 43.o;

Textos ligados

Artigo 11.o RGPD (GDPR). Tratamento que não exige identificação

Artigo 25.o RGPD (GDPR). Proteção de dados desde a conceção e por defeito

Artigo 26.o RGPD (GDPR). Responsáveis conjuntos pelo tratamento

Artigo 27.o RGPD (GDPR). Representantes dos responsáveis pelo tratamento ou dos subcontratantes não estabelecidos na União

Artigo 28.o RGPD (GDPR). Subcontratante

Artigo 29.o RGPD (GDPR). Tratamento sob a autoridade do responsável pelo tratamento ou do subcontratante

Artigo 30.o RGPD (GDPR). Registos das atividades de tratamento

Artigo 31.o RGPD (GDPR). Cooperação com a autoridade de controlo

Artigo 32.o RGPD (GDPR). Segurança do tratamento

Artigo 33.o RGPD (GDPR). Notificação de uma violação de dados pessoais à autoridade de controlo

Artigo 34.o RGPD (GDPR). Comunicação de uma violação de dados pessoais ao titular dos dados

Artigo 35.o RGPD (GDPR). Avaliação de impacto sobre a proteção de dados

Artigo 36.o RGPD (GDPR). Consulta prévia

Artigo 37.o RGPD (GDPR). Designação do encarregado da proteção de dados

Artigo 38.o RGPD (GDPR). Posição do encarregado da proteção de dados

Artigo 39.o RGPD (GDPR). Funções do encarregado da proteção de dados

Artigo 42.o RGPD (GDPR). Certificação

Artigo 43.o RGPD (GDPR). Organismos de certificação

b) As obrigações do organismo de certificação nos termos dos artigos 42.o e 43.o;

Textos ligados

Artigo 42.o RGPD (GDPR). Certificação

Artigo 43.o RGPD (GDPR). Organismos de certificação

c) As obrigações do organismo de supervisão nos termos do artigo 41.o, n.o 4;

Textos ligados

Artigo 41.o RGPD (GDPR). Supervisão dos códigos de conduta aprovados

[…]

4. Sem prejuízo das funções e competências da autoridade de controlo competente e do disposto no capítulo VIII, o organismo a que se refere o n.o 1 do presente artigo toma, sob reserva das garantias adequadas, as medidas que forem adequadas em caso de violações do código por um responsável pelo tratamento ou por um subcontratante, incluindo a suspensão ou exclusão desse responsável ou subcontratante do código. O referido organismo informa a autoridade de controlo competente dessas medidas e dos motivos que levaram à sua tomada.

[…]

5. A violação das disposições a seguir enumeradas está sujeita, em conformidade com o n.o 2, a coimas até 20 000 000 EUR ou, no caso de uma empresa, até 4 &#37 do seu volume de negócios anual a nível mundial correspondente ao exercício financeiro anterior, consoante o montante que for mais elevado:

Lei de Diretrizes & Case

(EN)

In order to impose fines that are effective, proportionate and dissuasive, the supervisory authority shall use for the definition of the notion of an undertaking as provided for by the CJEU for the purposes of the application of Article 101 and 102 TFEU, namely that the concept of an undertaking is understood to mean an economic unit, which may be formed by the parent company and all involved subsidiaries. In accordance with EU law and case-law*, an undertaking must be understood to be the economic unit, which engages in commercial/economic activities, regardless of the legal person involved (Recital 150)

* The ECJ case law definition is: «the concept of an undertaking encompasses every entity engaged in an economic activity regardless of the legal status of the entity and the way in which it is financed” (Case Höfner and Elsner, para 21, ECLI:EU:C:1991:161). An undertaking «must be understood as designating an economic unit even if in law that economic unit consists of several persons, natural or legal» (Case Confederación Española de Empresarios de Estaciones de Servicio [para 40, ECLI:EU:C:2006:784)

Art29WP, Guidelines on the application and setting of administrative fines for the purpose of the Regulation 2016/679, wp253 (2017)

a) Os princípios básicos do tratamento, incluindo as condições de consentimento, nos termos dos artigos 5.o, 6.o, 7.o e 9.o;

Textos ligados

Artigo 5.o RGPD (GDPR). Princípios relativos ao tratamento de dados pessoais

Artigo 6.o RGPD (GDPR). Licitude do tratamento

Artigo 7.o RGPD (GDPR). Condições aplicáveis ao consentimento

Artigo 9.o RGPD (GDPR). Tratamento de categorias especiais de dados pessoais

b) Os direitos dos titulares dos dados nos termos dos artigos 12.o a 22.o;

Textos ligados

Artigo 12.o RGPD (GDPR). Transparência das informações, das comunicações e das regras para exercício dos direitos dos titulares dos dados

Artigo 13.o RGPD (GDPR). Informações a facultar quando os dados pessoais são recolhidos junto do titular

Artigo 15.o RGPD (GDPR). Direito de acesso do titular dos dados

Artigo 16.o RGPD (GDPR). Direito de retificação

Artigo 17.o RGPD (GDPR). Direito ao apagamento dos dados («direito a ser esquecido»)

Artigo 18.o RGPD (GDPR). Direito à limitação do tratamento

Artigo 19.o RGPD (GDPR). Obrigação de notificação da retificação ou apagamento dos dados pessoais ou limitação do tratamento

Artigo 20.o RGPD (GDPR). Direito de portabilidade dos dados

Artigo 21.o RGPD (GDPR). Direito de oposição

Artigo 22.o RGPD (GDPR). Decisões individuais automatizadas, incluindo definição de perfis

c) As transferências de dados pessoais para um destinatário num país terceiro ou uma organização internacional nos termos dos artigos 44.o a 49.o;

Textos ligados

Artigo 44.o RGPD (GDPR). Princípio geral das transferências

Artigo 45.o RGPD (GDPR). Transferências com base numa decisão de adequação

Artigo 46.o RGPD (GDPR). Transferências sujeitas a garantias adequadas

Artigo 47.o RGPD (GDPR). Regras vinculativas aplicáveis às empresas

Artigo 48.o RGPD (GDPR). Transferências ou divulgações não autorizadas pelo direito da União

Artigo 49.o RGPD (GDPR). Derrogações para situações específicas

d) As obrigações nos termos do direito do Estado-Membro adotado ao abrigo do capítulo IX;

e) O incumprimento de uma ordem de limitação, temporária ou definitiva, relativa ao tratamento ou à suspensão de fluxos de dados, emitida pela autoridade de controlo nos termos do artigo 58.o, n.o 2, ou o facto de não facultar acesso, em violação do artigo 58.o, n.o 1.

Textos ligados

Artigo 58.o RGPD (GDPR). Poderes

1. Cada autoridade de controlo dispõe dos seguintes poderes de investigação:

2. Cada autoridade de controlo dispõe dos seguintes poderes de correção:

b) Fazer repreensões ao responsável pelo tratamento ou ao subcontratante sempre que as operações de tratamento tiverem violado as disposições do presente regulamento;

c) Ordenar ao responsável pelo tratamento ou ao subcontratante que satisfaça os pedidos de exercício de direitos apresentados pelo titular dos dados nos termos do presente regulamento;

e) Ordenar ao responsável pelo tratamento que comunique ao titular dos dados uma violação de dados pessoais;

f) Impor uma limitação temporária ou definitiva ao tratamento de dados, ou mesmo a sua proibição;

i) Impor uma coima nos termos do artigo 83.o, para além ou em vez das medidas referidas no presente número, consoante as circunstâncias de cada caso;

j) Ordenar a suspensão do envio de dados para destinatários em países terceiros ou para organizações internacionais.

[…]

6. O incumprimento de uma ordem emitida pela autoridade de controlo a que se refere o artigo 58.o, n.o 2, está sujeito, em conformidade com o n.o 2 do presente artigo, a coimas até 20 000 000 EUR ou, no caso de uma empresa, até 4 % do seu volume de negócios anual a nível mundial correspondente ao exercício financeiro anterior, consoante o montante mais elevado.

Textos ligados

Artigo 58.o RGPD (GDPR). Poderes

2. Cada autoridade de controlo dispõe dos seguintes poderes de correção:

b) Fazer repreensões ao responsável pelo tratamento ou ao subcontratante sempre que as operações de tratamento tiverem violado as disposições do presente regulamento;

c) Ordenar ao responsável pelo tratamento ou ao subcontratante que satisfaça os pedidos de exercício de direitos apresentados pelo titular dos dados nos termos do presente regulamento;

e) Ordenar ao responsável pelo tratamento que comunique ao titular dos dados uma violação de dados pessoais;

f) Impor uma limitação temporária ou definitiva ao tratamento de dados, ou mesmo a sua proibição;

i) Impor uma coima nos termos do artigo 83.o, para além ou em vez das medidas referidas no presente número, consoante as circunstâncias de cada caso;

j) Ordenar a suspensão do envio de dados para destinatários em países terceiros ou para organizações internacionais.

7. Sem prejuízo dos poderes de correção das autoridades de controlo nos termos do artigo 58.o, n.o 2, os Estados-Membros podem prever normas que permitam determinar se e em que medida as coimas podem ser aplicadas às autoridades e organismos públicos estabelecidos no seu território.

Textos ligados

Artigo 58.o RGPD (GDPR). Poderes

[…]

2. Cada autoridade de controlo dispõe dos seguintes poderes de correção:

b) Fazer repreensões ao responsável pelo tratamento ou ao subcontratante sempre que as operações de tratamento tiverem violado as disposições do presente regulamento;

c) Ordenar ao responsável pelo tratamento ou ao subcontratante que satisfaça os pedidos de exercício de direitos apresentados pelo titular dos dados nos termos do presente regulamento;

e) Ordenar ao responsável pelo tratamento que comunique ao titular dos dados uma violação de dados pessoais;

f) Impor uma limitação temporária ou definitiva ao tratamento de dados, ou mesmo a sua proibição;

i) Impor uma coima nos termos do artigo 83.o, para além ou em vez das medidas referidas no presente número, consoante as circunstâncias de cada caso;

j) Ordenar a suspensão do envio de dados para destinatários em países terceiros ou para organizações internacionais.

[…]

8. O exercício das competências que lhe são atribuídas pelo presente artigo por parte da autoridade de controlo fica sujeito às garantias processuais adequadas nos termos do direito da União e dos Estados-Membros, incluindo o direito à ação judicial e a um processo equitativo.

9. Quando o sistema jurídico dos Estados-Membros não preveja coimas, pode aplicar-se o presente artigo de modo a que a coima seja proposta pela autoridade de controlo competente e imposta pelos tribunais nacionais competentes, garantindo ao mesmo tempo que estas medidas jurídicas corretivas são eficazes e têm um efeito equivalente às coimas impostas pelas autoridades de controlo. Em todo o caso, as coimas impostas devem ser efetivas, proporcionadas e dissuasivas. Os referidos Estados-Membros notificam a Comissão das disposições de direito interno que adotarem nos termos do presente número até 25 de maio de 2018 e, sem demora, de qualquer alteração subsequente das mesmas.

Regulamento Geral sobre a Proteção de Dados (RGPD, GDPR)

Considerandos Lei de Diretrizes & Case Deixe um comentário

Considerandos

(148) A fim de reforçar a execução das regras do presente regulamento, deverão ser impostas sanções, incluindo coimas, por violação do presente regulamento, para além, ou em substituição, das medidas adequadas que venham a ser impostas pela autoridade de controlo nos termos do presente regulamento. Em caso de infração menor, ou se o montante da coima suscetível de ser imposta constituir um encargo desproporcionado para uma pessoa singular, pode ser feita uma repreensão em vez de ser aplicada uma coima. Importa, porém, ter em devida conta a natureza, gravidade e duração da infração, o seu caráter doloso, as medidas tomadas para atenuar os danos sofridos, o grau de responsabilidade ou eventuais infrações anteriores, a via pela qual a infração chegou ao conhecimento da autoridade de controlo, o cumprimento das medidas ordenadas contra o responsável pelo tratamento ou subcontratante,o cumprimento de um código de conduta ou quaisquer outros fatores agravantes ou atenuantes. A imposição de sanções, incluindo coimas, deverá estar sujeita às garantias processuais adequadas em conformidade com os princípios gerais do direito da União e a Carta, incluindo a proteção jurídica eficaz e um processo equitativo.

(150) A fim de reforçar e harmonizar as sanções administrativas para violações sdo presente regulamento, as autoridades de controlo deverão ter competência para impor coimas. O presente regulamento deverá definir as violações e o montante máximo e o critério de fixação do valor das coimas daí decorrentes, que deverá ser determinado pela autoridade de controlo competente, em cada caso individual, tendo em conta todas as circunstâncias relevantes da situação específica, ponderando devidamente, em particular, a natureza, a gravidade e a duração da violação e das suas consequências e as medidas tomadas para garantir o cumprimento das obrigações constantes do presente regulamento e para prevenir ou atenuar as consequências da infração. Sempre que forem impostas coimas a empresas, estas deverão ser entendidas como empresas nos termos dos artigos 101.o e 102.o do TFUE para esse efeito. Sempre que forem impostas coimas a pessoas que não sejam empresas, a autoridade de supervisão deverá ter em conta o nível geral de rendimentos no Estado-Membro, bem como a situação económica da pessoa em questão, no momento de estabelecer o montante adequado da coima. O procedimento de controlo da coerência pode ser utilizado igualmente para a promoção de uma aplicação coerente das coimas. Deverá caber aos Estados-Membros determinar se as autoridades públicas deverão estar sujeitas a coimas, e em que medida. A imposição de uma coima ou o envio de um aviso não afetam o exercício de outros poderes das autoridades de controlo ou a aplicação de outras sanções previstas no presente regulamento.

(151) Os sistemas jurídicos da Dinamarca e da Estónia não conhecem as coimas tal como são previstas no presente regulamento. As regras relativas às coimas podem ser aplicadas de modo que a coima seja imposta, na Dinamarca, pelos tribunais nacionais competentes como sanção penal e, na Estónia, pela autoridade de controlo no âmbito de um processo por infração menor, na condição de tal aplicação das regras nestes Estados-Membros ter um efeito equivalente às coimas impostas pelas autoridades de controlo. Por esse motivo, os tribunais nacionais competentes deverão ter em conta a recomendação da autoridade de controlo que propõe a coima. Em todo o caso, as coimas impostas deverão ser efetivas, proporcionadas e dissuasivas.

Lei de Diretrizes & Case

(EN)

Document

Article 29 Working Party, Guidelines on the Application and Setting of Administrative Fines for the Purposes of the Regulation 2016/679 (2017).

Dutch data protection authority (Autoriteit Persoonsgegevens), Policy rules of 19 February 2019 with regard to determining the level of administrative fines (In Dutch, 2019).

Deixe um comentário

[js-disqus]