keyboard_tab Data Act 2023/2854 PT

1.   Caso, no âmbito das relações entre empresas, um detentor dos dados seja obrigado a disponibilizá-los a um destinatário dos dados por força do artigo 5.o ou por força de outra disposição aplicável de direito da União ou da legislação nacional adotada em conformidade com o direito da União aplicável, deve acordar com o destinatário dos dados as disposições para a respetiva disponibilização e deve fazê-lo em termos e condições justos, razoáveis e não discriminatórios e de forma transparente, em conformidade com o presente capítulo e o capítulo IV.

2.   Uma cláusula contratual relativa ao acesso aos dados e à sua utilização, ou à responsabilidade e às vias de recurso pela violação ou cessação de obrigações relacionadas com os dados, não é vinculativa se constituir uma cláusula contratual abusiva na aceção do artigo 13.o ou se, em detrimento do utilizador, excluir a aplicação dos direitos do utilizador nos termos do capítulo II, constituir uma derrogação dos mesmos ou alterar os seus efeitos.

3.   Ao disponibilizar os dados, o detentor dos dados não pode discriminar, no que diz respeito às disposições para a disponibilização dos dados, entre categorias comparáveis de destinatários dos dados, incluindo empresas parceiras ou empresas associadas do detentor dos dados. Caso um destinatário dos dados considere discriminatórias as condições em que os dados lhe foram disponibilizados, o detentor dos dados deve, sem demora injustificada, apresentar ao destinatário dos dados, a pedido fundamentado deste, informações que demonstrem que não houve discriminação.

4.   Um detentor dos dados não pode disponibilizar os dados a um destinatário dos dados, inclusive em regime de exclusividade, a menos que o utilizador o solicite nos termos do capítulo II.

5.   Os detentores e os destinatários dos dados não podem ser obrigados a facultar quaisquer informações para além das necessárias com vista à verificação do cumprimento das cláusulas contratuais acordadas para a disponibilização dos dados ou das suas obrigações nos termos do presente regulamento ou de outras disposições aplicáveis do direito da União ou da legislação nacional aplicável adotada em conformidade com direito da União.

6.   Salvo disposição em contrário do direito da União, incluindo o artigo 4.o, n.o 6, e o artigo 5.o, n.o 9, do presente regulamento, ou da legislação nacional adotada em conformidade com o direito da União, a obrigação de disponibilização dos dados a um destinatário dos dados não pode obrigar à divulgação de segredos comerciais.

1.   Qualquer compensação acordada entre o detentor e o destinatário dos dados pela disponibilização dos dados no âmbito de relações entre empresas deve ser não discriminatória e razoável, podendo incluir uma margem.

2.   Ao acordarem na compensação, o detentor e o destinatário dos dados devem ter em conta, em especial:

3.   A compensação referida no n.o 1 pode também depender do volume, do formato e da natureza dos dados.

4.   Se o destinatário dos dados for uma PME ou uma organização de investigação sem fins lucrativos e não tiver empresas parceiras ou empresas associadas que não sejam consideradas PME, a compensação acordada não pode exceder os custos referidos no n.o 2, alínea a), do presente artigo.

5.   A Comissão adota orientações sobre o cálculo da compensação razoável, tendo em conta o aconselhamento prestado pelo Comité Europeu da Inovação de Dados a que se refere o artigo 42.o.

6.   O presente artigo não obsta a que outras disposições de direito da União ou de legislação nacional adotada em conformidade com o direito da União excluam a compensação pela disponibilização de dados ou prevejam uma compensação inferior.

7.   O detentor dos dados deve facultar ao destinatário dos dados informação sobre a base de cálculo da compensação de forma suficientemente pormenorizada para que o destinatário dos dados possa avaliar se os requisitos dos n.os 1 a 4 são cumpridos.

1.   Os utilizadores, os detentores dos dados e os destinatários dos dados devem ter acesso a um organismo de resolução de litígios, certificado em conformidade com o n.o 5 do presente artigo, para resolver litígios nos termos do artigo 4.o, n.os 3 e 9, e do artigo 5.o, n.o 12, bem como litígios relacionados com os termos e condições justos, razoáveis e não discriminatórios para a disponibilização dos dados, e com a forma transparente de o fazer, em conformidade com o presente capítulo e com o capítulo IV.

2.   Os organismos de resolução de litígios devem comunicar as taxas, ou os mecanismos utilizados para as determinar, às partes em causa, antes de estas pedirem uma decisão.

3.   Relativamente aos litígios submetidos à apreciação de um organismo de resolução de litígios ao abrigo do artigo 4.o, n.os 3 e 9, e do artigo 5.o, n.o 12, se o organismo de resolução de litígios decidir um litígio a favor do utilizador ou do destinatário dos dados, o detentor dos dados suporta todas as taxas cobradas pelo organismo de resolução de litígios e reembolsa o referido utilizador ou destinatário dos dados de quaisquer outras despesas razoáveis em que tenha incorrido no âmbito da resolução do litígio. Se o organismo de resolução de litígios decidir um litígio a favor do detentor dos dados, o utilizador ou destinatário dos dados não é obrigado a reembolsar quaisquer taxas ou outras despesas que o detentor dos dados tenha pago ou deva pagar no âmbito da resolução do litígio, salvo se o organismo de resolução de litígios considerar que o utilizador ou o destinatário dos dados atuou manifestamente de má-fé.

4.   Os clientes de serviços de tratamento de dados e os prestadores desses serviços devem ter acesso a um organismo de resolução de litígios, certificado em conformidade com o n.o 5 do presente artigo, para resolver litígios relacionados com violações dos direitos dos clientes e com as obrigações dos prestadores de serviços de tratamento de dados, nos termos dos artigos 23.o a 31.o.

5.   O Estado-Membro em que está estabelecido o organismo de resolução de litígios deve certificá-lo, a pedido desse organismo, se este tiver demonstrado que preenche todas as condições seguintes:

6.   Os Estados-Membros devem notificar à Comissão os organismos de resolução de litígios certificados nos termos do n.o 5. A Comissão deve publicar uma lista desses organismos num sítio Web específico e mantê-la atualizada.

7.   Os organismos de resolução de litígios devem recusar-se a tratar um pedido de resolução de um litígio que já tenha sido submetido a outro organismo de resolução de litígios ou a um órgão jurisdicional de um Estado-Membro.

8.   Os organismos de resolução de litígios devem conceder às partes a possibilidade de, num prazo razoável, manifestarem os seus pontos de vista sobre as questões que essas partes apresentaram a esses organismos. Nesse contexto, devem ser facultadas a cada uma das partes num litígio as observações da outra parte e quaisquer declarações de peritos. Deve ser concedida às partes a possibilidade de se pronunciarem sobre essas observações e declarações.

9.   Os organismos de resolução de litígios devem adotar as decisões sobre as questões submetidas à sua apreciação no prazo de 90 dias a contar da apresentação do pedido nos termos dos n.os 1 e 4. Essas decisões devem ser consignadas por escrito ou num suporte duradouro e ser acompanhadas da sua fundamentação.

10.   Os organismos de resolução de litígios devem elaborar e tornar públicos os relatórios anuais de atividades. Esses relatórios anuais devem incluir, em particular, as seguintes informações gerais:

11.   A fim de facilitar o intercâmbio de informações e de boas práticas, os organismos de resolução de litígios podem decidir incluir recomendações no relatório a que se refere o n.o 10 sobre a forma como os problemas podem ser evitados ou resolvidos.

12.   A decisão de um organismo de resolução de litígios só é vinculativa para as partes se estas tiverem dado o seu consentimento explícito à sua natureza vinculativa antes do início do processo de resolução de litígios.

13.   O presente artigo não afeta o direito das partes de procurarem vias de recurso efetivas perante um órgão jurisdicional de um Estado-Membro.

1.   O presente capítulo é aplicável sempre que, no âmbito de relações entre empresas, um detentor dos dados seja obrigado, nos termos do artigo 5.o ou por força do direito da União aplicável ou da legislação nacional adotada em conformidade com o direito da União, a disponibilizar os dados a um destinatário dos dados.

2.   Uma cláusula contratual num acordo de partilha de dados que, em detrimento de uma parte ou, se aplicável, em detrimento do utilizador, exclua a aplicação do presente capítulo, constitua uma derrogação do mesmo ou altere os seus efeitos, não é vinculativa para essa parte.

1.   Uma necessidade excecional de utilizar determinados dados na aceção do presente capítulo deve ser limitada no tempo e no âmbito, e considera-se que existe apenas em qualquer das seguintes circunstâncias:

2.   O n.o 1, alínea b), não se aplica às microempresas nem às pequenas empresas.

3.   A obrigação de demonstrar que o organismo do setor público não pôde obter os dados não pessoais por meio da sua aquisição no mercado não se aplica se a função específica de interesse público for a produção de estatísticas oficiais e se a aquisição desses dados não for permitida pelo direito nacional.

1.   Sem prejuízo do disposto nos n.os 2 ou 3, os prestadores de serviços de tratamento de dados devem tomar todas as medidas técnicas, organizativas e legais adequadas, incluindo contratos, a fim de impedir que entidades governamentais internacionais ou de países terceiros acedam a dados não pessoais detidos na União ou os transfiram, caso esse acesso ou essa transferência seja suscetível de criar um conflito com o direito da União ou o direito nacional do Estado-Membro pertinente.

2.   As decisões judiciais ou sentenças de um órgão jurisdicional de um país terceiro e as decisões de uma autoridade administrativa de um país terceiro que exijam que um prestador de serviços de tratamento de dados transfira ou dê acesso a dados não pessoais abrangidos pelo âmbito de aplicação do presente regulamento e detidos na União só podem ser reconhecidas ou executadas, seja de que forma for, se tiverem por base um acordo internacional, como um acordo de auxílio judiciário mútuo, em vigor entre o país terceiro requerente e a União ou entre o país terceiro requerente e um Estado-Membro.

3.   Na ausência de um acordo internacional nos termos do n.o 2, caso um prestador de serviços de tratamento de dados seja o destinatário de uma decisão judicial ou sentença de um órgão jurisdicional de um país terceiro ou de uma decisão de uma autoridade administrativa de um país terceiro que exija a transferência ou o acesso a dados não pessoais abrangidos pelo âmbito de aplicação do presente regulamento e detidos na União, e o cumprimento dessa decisão seja suscetível de colocar o destinatário numa situação de conflito com o direito da União ou com o direito nacional do Estado-Membro em causa, a transferência dos dados em causa para essa autoridade de um país terceiro ou o acesso a esses dados pela mesma autoridade só pode ter lugar se:

O destinatário da decisão ou sentença pode solicitar o parecer do organismo ou autoridade nacional competente em matéria de cooperação internacional em questões jurídicas, a fim de determinar se as condições previstas no primeiro parágrafo estão preenchidas, nomeadamente quando considerar que a decisão pode dizer respeito a segredos comerciais e outros dados comercialmente sensíveis, bem como a conteúdos protegidos por direitos de propriedade intelectual, ou que a transferência pode conduzir a uma reidentificação. O organismo ou autoridade nacional relevante pode consultar a Comissão. Se o destinatário considerar que a decisão ou sentença pode colidir com os interesses de segurança nacional ou com os interesses de defesa da União ou dos seus Estados-Membros, deve solicitar o parecer do organismo ou autoridade nacional relevante para determinar se os dados solicitados dizem respeito a interesses de segurança nacional ou a interesses de defesa da União ou dos seus Estados-Membros. Se o destinatário não tiver recebido desse organismo ou autoridade uma resposta no prazo de um mês, ou se o parecer desse organismo ou autoridades concluir que as condições previstas no primeiro parágrafo não estão preenchidas, o destinatário pode rejeitar o pedido de transferência ou de acesso a dados não pessoais por esses motivos.

O Comité Europeu da Inovação de Dados referido no artigo 42.o presta aconselhamento e assistência à Comissão na elaboração de diretrizes sobre a avaliação do cumprimento das condições previstas no primeiro parágrafo do presente número.

4.   Se estiverem preenchidas as condições previstas nos n.os 2 ou 3, o prestador de serviços de tratamento de dados deve facultar a quantidade mínima de dados que seja admissível em resposta a um pedido, com base numa interpretação razoável desse pedido por parte do prestador ou do organismo ou autoridade nacional relevante a que se refere o n.o 3, segundo parágrafo.

5.   O prestador de serviços de tratamento de dados deve informar o cliente da existência de um pedido de acesso aos seus dados apresentado por uma autoridade de um país terceiro antes de satisfazer esse pedido, exceto nos casos em que o pedido vise finalidades relativas à fiscalização e garantia do cumprimento da lei e enquanto tal for necessário para preservar a eficácia das atividades de fiscalização e garantia do cumprimento da lei.

1.   Cada Estado-Membro designa uma ou mais autoridades competentes que serão responsáveis pela execução e pela fiscalização do cumprimento do presente regulamento (autoridades competentes). Os Estados-Membros podem criar uma ou várias novas autoridades ou recorrer às existentes.

2.   Se um Estado-Membro designar mais do que uma autoridade competente, designa uma delas como coordenador de dados, a fim de facilitar a cooperação entre as autoridades competentes e de apoiar as entidades abrangidas pelo âmbito de aplicação do presente regulamento em todas as matérias relacionadas com a sua aplicação e com a fiscalização do seu cumprimento. As autoridades competentes devem cooperar entre si no exercício das funções e competências que lhes são conferidas nos termos do n.o 5.

3.   As autoridades de controlo responsáveis pela fiscalização da aplicação do Regulamento (UE) 2016/679 são responsáveis pela fiscalização da aplicação do presente regulamento no que diz respeito à proteção dos dados pessoais. Os capítulos VI e VII do Regulamento (UE) 2016/679 são aplicáveis com as devidas adaptações.

A Autoridade Europeia para a Proteção de Dados é responsável pelo controlo da aplicação do presente regulamento na medida em que diga respeito à Comissão, ao Banco Central Europeu ou aos órgãos da União. Se pertinente, o artigo 62.o do Regulamento (UE) 2018/1725 é aplicável com as devidas adaptações.

As funções e as competências das autoridades de controlo referidas no presente parágrafo são exercidas no que diz respeito ao tratamento de dados pessoais.

4.   Sem prejuízo do disposto no n.o 1 do presente artigo:

5.   Os Estados-Membros devem assegurar que as funções e competências das autoridades competentes são claramente definidas e incluem:

Caso seja designado, o coordenador de dados facilita a cooperação referida nas alíneas f), g) e h) do primeiro parágrafo e presta assistência às autoridades competentes, a pedido destas.

6.   O coordenador de dados, nos casos em que uma autoridade competente tenha sido designada como tal, deve:

7.   Os Estados-Membros devem notificar a Comissão dos nomes das autoridades competentes e das suas funções e competências e, se aplicável, do nome do coordenador de dados. A Comissão deve manter um registo público dessas autoridades.

8.   No desempenho das suas funções e no exercício das suas competências em conformidade com o presente regulamento, as autoridades competentes devem ser imparciais e estar livres de qualquer influência externa, direta ou indireta, e não solicitar nem aceitar instruções relativas a casos individuais de qualquer outra autoridade pública ou de qualquer entidade privada.

9.   Os Estados-Membros devem assegurar que as autoridades competentes dispõem dos recursos humanos e técnicos suficientes e dos conhecimentos especializados pertinentes para desempenhar adequadamente as suas funções em conformidade com o presente regulamento.

10.   As entidades abrangidas pelo âmbito de aplicação do presente regulamento são da competência do Estado-Membro em que estão estabelecidas. Se a entidade estiver estabelecida em mais do que um Estado-Membro, considera-se que é da competência do Estado-Membro em que tem o seu estabelecimento principal, ou seja, aquele em que a entidade tem os serviços centrais ou sede social a partir dos quais são exercidas as principais funções financeiras e o controlo operacional.

11.   As entidades abrangidas pelo âmbito de aplicação do presente regulamento que disponibilizem produtos conectados ou ofereçam serviços conexos na União e que não estejam estabelecidas na União designam um representante legal num dos Estados-Membros.

12.   A fim de garantir o cumprimento do presente regulamento, toda e qualquer entidade abrangida pelo âmbito de aplicação do presente regulamento que disponibilize produtos conectados ou ofereça serviços conexos na União deve mandatar um representante legal para ser contactado pelas autoridades competentes, em complemento ou em substituição da referida entidade, no que diz respeito a todas as questões relacionadas com essa entidade. O referido representante legal deve cooperar com as autoridades competentes e demonstrar-lhes de forma exaustiva, mediante pedido, as medidas tomadas e as disposições adotadas pela entidade abrangida pelo âmbito de aplicação do presente regulamento que disponibiliza produtos conectados ou oferece serviços conexos na União para garantir o cumprimento do presente regulamento.

13.   Considera-se que uma entidade abrangida pelo âmbito de aplicação do presente regulamento que disponibilize produtos conectados ou ofereça serviços na União está sob a competência do Estado-Membro em que está situado o seu representante legal. A designação de um representante legal por essa entidade é realizada sem prejuízo da sua responsabilidade e de eventuais ações judiciais que possam vir a ser intentadas contra a mesma. Até ao momento em que designe um representante legal nos termos do presente artigo, a entidade é da competência de todos os Estados-Membros, se aplicável, a fim de assegurar a aplicação e o cumprimento do presente regulamento. Toda e qualquer autoridade competente pode exercer a sua competência, nomeadamente através da imposição de sanções efetivas, proporcionadas e dissuasivas, desde que a entidade não esteja sujeita a procedimentos de execução nos termos do presente regulamento por outra autoridade competente a respeito dos mesmos factos.

14.   As autoridades competentes têm competência para solicitar aos utilizadores, aos detentores dos dados ou aos destinatários dos dados, ou aos seus representantes legais, que sejam da competência do respetivo Estado-Membro, todas as informações necessárias para verificar o cumprimento do presente regulamento. Os pedidos de informações devem ser proporcionados em relação ao desempenho da função subjacente e devem ser fundamentados.

15.   Caso uma autoridade competente de um Estado-Membro solicite assistência ou medidas de execução a uma autoridade competente de outro Estado-Membro, deve apresentar para o efeito um pedido fundamentado. Após receber o referido pedido, a autoridade competente deve fornecer uma resposta em que descreva pormenorizadamente as medidas tomadas ou previstas, sem demora injustificada.

16.   As autoridades competentes devem respeitar o princípio da confidencialidade e do sigilo profissional e comercial e proteger os dados pessoais nos termos do direito da União ou do direito nacional. As informações trocadas no contexto de um pedido de assistência e facultadas nos termos do presente artigo só podem ser usadas relativamente ao assunto para o qual foram solicitadas.

1.   Os Estados-Membros estabelecem as regras relativas às sanções aplicáveis em caso de infração ao presente regulamento e tomam todas as medidas necessárias para garantir a sua aplicação. As sanções previstas devem ser efetivas, proporcionadas e dissuasivas.

2.   Os Estados-Membros notificam a Comissão, até 12 de setembro de 2025, dessas regras e medidas e também, sem demora, de qualquer alteração ulterior. A Comissão mantém e atualiza regularmente um registo público facilmente acessível dessas medidas.

3.   Os Estados-Membros devem ter em conta as recomendações do Comité Europeu da Inovação de Dados e os seguintes critérios não exaustivos para a imposição de sanções em caso de infração ao presente regulamento:

4.   Em caso de incumprimento das obrigações estabelecidas nos capítulos II, III e V do presente regulamento, as autoridades responsáveis por controlar a aplicação do Regulamento (UE) 2016/679 podem, no âmbito das suas competências, aplicar coimas nos termos do artigo 83.o do Regulamento (UE) 2016/679, até ao montante referido no artigo 83.o, n.o 5, do mesmo regulamento.

5.   Em caso de incumprimento das obrigações estabelecidas no capítulo V do presente regulamento, a Autoridade Europeia para a Proteção de Dados pode, no âmbito das suas competências, aplicar coimas em conformidade com o artigo 66.o do Regulamento (UE) 2018/1725, até ao montante referido no artigo 66.o, n.o 3, do mesmo regulamento.