Data Act 2023/2854 PT

1. Os produtos conectados devem ser concebidos e fabricados, e os serviços conexos concebidos e prestados, de modo a que os dados relativos a um produto e os dados relativos a um serviço conexo, incluindo os metadados pertinentes necessários para interpretar e utilizar os dados, sejam acessíveis ao utilizador por defeito de forma fácil, segura e gratuita e num formato abrangente, estruturado, de uso corrente e de leitura automática e, quando pertinente e tecnicamente viável, de forma direta.

2. Antes da celebração de um contrato destinado à aquisição ou locação de um produto conectado, o vendedor ou o locador, os quais podem ser o fabricante, deve facultar ao utilizador, de uma forma clara e compreensível, pelo menos as seguintes informações:

a)	O tipo, o formato e o volume estimado dos dados relativos a um produto que o produto conectado é capaz de gerar;

b)	Se o produto conectado é capaz de gerar dados continuamente e em tempo real;

c)	Se o produto conectado é capaz de conservar dados no dispositivo ou num servidor remoto, incluindo, se for caso disso, a duração prevista da conservação;

d)	A forma como o utilizador pode aceder a esses dados, recuperá-los ou, se for caso disso, apagá-los, incluindo os meios técnicos para o fazer, bem como as respetivas condições de utilização e a qualidade do serviço.

3. Antes da celebração de um contrato de prestação de um serviço conexo, o prestador do serviço conexo deve facultar ao utilizador, de uma forma clara e compreensível, pelo menos as seguintes informações:

A natureza, o volume estimado e a frequência de recolha dos dados relativos a um produto que o detentor prospetivo dos dados é suscetível de obter e, se pertinente, as disposições relativas ao acesso ou à recuperação desses dados por parte do utilizador, incluindo as disposições relativas à política de conservação dos dados do detentor prospetivo dos dados e a duração da conservação;

A natureza e o volume estimado dos dados relativos a um serviço conexo que serão gerados, bem como as disposições relativas ao acesso ou à recuperação desses dados por parte do utilizador, incluindo as disposições relativas à conservação dos dados do detentor prospetivo dos dados e a duração da conservação;

c)	Se o detentor prospetivo dos dados prevê utilizar ele próprio os dados prontamente disponíveis e as finalidades para as quais esses dados serão utilizados, e se tenciona permitir que um ou mais terceiros utilizem os dados para fins acordados com o utilizador;

d)	A identidade do detentor prospetivo dos dados, como a sua designação social e o endereço geográfico em que está estabelecido e, se aplicável, outras partes envolvidas no tratamento de dados;

e)	Os meios de comunicação que permitem contactar rapidamente o detentor prospetivo dos dados e comunicar eficazmente com o mesmo;

f)	A forma como o utilizador pode solicitar que os dados sejam partilhados com um terceiro e, se aplicável, pôr termo à partilha de dados;

g)	O direito do utilizador de apresentar uma reclamação, invocando uma violação de qualquer das disposições do presente capítulo, à autoridade competente designada nos termos do artigo 37.o;

Se um detentor prospetivo dos dados é titular de segredos comerciais contidos nos dados que são suscetíveis de serem acedidos a partir do produto conectado ou gerados durante a prestação do serviço conexo e, caso o detentor prospetivo dos dados não seja o titular dos segredos comerciais, a identidade do titular dos segredos comerciais;

i)	A duração do contrato entre o utilizador e o detentor prospetivo dos dados, bem como as disposições para por termo a esse contrato.

Artigo 5.o

Direito do utilizador de partilhar dados com terceiros

1. A pedido de um utilizador, ou de uma parte que atue em nome de um utilizador, o detentor dos dados deve disponibilizar a terceiros os dados prontamente disponíveis, bem como os metadados necessários para interpretar e utilizar esses dados, sem demora injustificada, com qualidade idêntica à que está disponível para o detentor dos dados, de forma fácil e segura, a título gratuito para o utilizador, num formato abrangente, estruturado, de uso corrente e de leitura automática, e, se pertinente e tecnicamente viável, de forma contínua e em tempo real. Os dados devem ser disponibilizados pelo detentor dos dados a terceiros nos termos dos artigos 8.o e 9.o.

2. O n.o 1 não se aplica aos dados prontamente disponíveis no contexto da testagem de novos produtos conectados, substâncias ou processos novos que ainda não tenham sido colocados no mercado, salvo se a sua utilização por terceiros estiver contratualmente autorizada.

3. Qualquer empresa designada como controlador de acesso nos termos do artigo 3.o do Regulamento (UE) 2022/1925, não é um terceiro elegível nos termos do presente artigo e, por conseguinte, não pode:

Solicitar ou incentivar comercialmente um utilizador, de forma alguma, nomeadamente através do fornecimento de compensações pecuniárias ou de qualquer outra natureza, a disponibilizar a um dos seus serviços os dados que o utilizador obteve na sequência de um pedido efetuado nos termos do artigo 4.o, n.o 1;

b)	Solicitar ou incentivar comercialmente um utilizador a pedir ao detentor dos dados que os disponibilize a um dos seus serviços, nos termos do n.o 1 do presente artigo;

c)	Receber de um utilizador dados que este obteve na sequência de um pedido efetuado nos termos do artigo 4.o, n.o 1.

4. Para efeitos de verificar se uma pessoa singular ou coletiva se qualifica como utilizador ou como terceiro para efeitos do n.o 1, não se pode exigir ao utilizador ou ao terceiro que faculte quaisquer informações para além das necessárias. Os detentores dos dados não podem conservar quaisquer informações sobre o acesso do terceiro aos dados solicitados para além das necessárias para a boa execução do pedido de acesso do terceiro e para a segurança e manutenção da infraestrutura de dados.

5. O terceiro não pode usar meios coercivos nem utilizar abusivamente lacunas na infraestrutura técnica de um detentor dos dados concebida para proteger os dados, a fim de obter acesso aos mesmos.

6. Os detentores dos dados não podem utilizar dados prontamente disponíveis para obter informações sobre a situação económica, os ativos e os métodos de produção do terceiro, ou sobre a sua utilização desses dados, de qualquer outra forma que possa prejudicar a posição comercial do terceiro nos mercados nos quais exerce a sua atividade, a menos que o terceiro tenha autorizado essa utilização e tenha a possibilidade técnica de retirar facilmente essa autorização a qualquer momento.

7. Caso o utilizador não seja o titular dos dados cujos dados pessoais são solicitados, quaisquer dados pessoais gerados pela utilização de um produto conectado ou serviço conexo, só podem ser disponibilizados pelo titular dos dados a terceiros se existir um fundamento jurídico válido para o tratamento nos termos do artigo 6.o do Regulamento (UE) 2016/679 e, se for caso disso, estiverem preenchidas as condições do artigo 9.o do referido regulamento e do artigo 5.o, n.o 3, da Diretiva 2002/58/CE.

8. O facto de o detentor dos dados e o terceiro não chegarem a acordo sobre as modalidades de transmissão dos dados não pode prejudicar, impedir ou dificultar o exercício dos direitos do titular dos dados nos termos do Regulamento (UE) 2016/679 e, em especial, do direito à portabilidade dos dados previsto no artigo 20.o do referido regulamento.

9. Os segredos comerciais são preservados e só podem ser divulgados a terceiros na medida em que tal divulgação seja estritamente necessária para cumprir a finalidade acordada entre o utilizador e o terceiro. O detentor dos dados ou, caso não sejam a mesma pessoa, o titular dos segredos comerciais, identifica os dados protegidos como segredos comerciais, incluindo nos metadados pertinentes, e acorda com o terceiro todas as medidas técnicas e organizativas proporcionadas necessárias para preservar a confidencialidade dos dados partilhados, como os modelos de cláusulas contratuais, os acordos de confidencialidade, os protocolos de acesso rigorosos, as normas técnicas e a aplicação de códigos de conduta.

10. Nos casos em que não haja acordo sobre as medidas necessárias referidas no n.o 9 do presente artigo ou em que o terceiro não aplique as medidas acordadas nos termos do n.o 9 do presente artigo ou comprometa a confidencialidade dos segredos comerciais, o detentor dos dados pode reter ou, consoante o caso, suspender a partilha dos dados identificados como segredos comerciais. A decisão do detentor dos dados deve ser devidamente fundamentada e comunicada por escrito ao terceiro, sem demora injustificada. Nesses casos, o detentor dos dados notifica a autoridade competente designada nos termos do artigo 37.o de que reteve ou suspendeu a partilha de dados e identifica as medidas que não foram acordadas ou aplicadas e, se for caso disso, os segredos comerciais cuja confidencialidade ficou comprometida.

11. Em circunstâncias excecionais, caso o detentor dos dados que for titular de um segredo comercial possa demonstrar que é altamente provável que venha a sofrer prejuízos económicos graves devido à divulgação de segredos comerciais, não obstante as medidas técnicas e organizativas tomadas pelo terceiro nos termos do n.o 9 do presente artigo, o detentor dos dados pode recusar, numa base casuística, um pedido de acesso aos dados específicos em causa. A referida demonstração deve ser devidamente fundamentada com base em elementos objetivos, nomeadamente a aplicabilidade da proteção de segredos comerciais em países terceiros, a natureza e o nível de confidencialidade dos dados solicitados e o caráter único e novo do produto conectado, e deve ser apresentada por escrito ao terceiro sem demora injustificada. Caso o detentor dos dados se recuse a partilhar dados nos termos do presente número, notifica a autoridade nacional competente designada nos termos do artigo 37.o.

12. Sem prejuízo do direito do terceiro de, a qualquer momento, obter reparação perante um órgão jurisdicional de um Estado-Membro, um terceiro que pretenda contestar a decisão do detentor dos dados de recusar, suster ou suspender a partilha de dados em conformidade com os n.os 10 e 11 pode:

a)	Apresentar, nos termos do artigo 37.o, n.o 5, alínea b), uma reclamação junto da autoridade competente, que decide, sem demora injustificada, se a partilha de dados deve iniciar-se ou ser retomada e em que condições; ou

b)	Acordar com o detentor dos dados em submeter a questão à apreciação de um organismo de resolução de litígios nos termos do artigo 10.o, n.o 1.

13. O direito a que se refere o n.o 1 não pode prejudicar os direitos de outros titulares dos dados, em conformidade com o direito da União ou o direito nacional aplicáveis em matéria de proteção de dados pessoais.

Artigo 6.o

Obrigações dos terceiros que recebem dados a pedido do utilizador

1. Um terceiro deve tratar os dados que lhe foram disponibilizados nos termos do artigo 5.o unicamente para as finalidades e nas condições acordadas com o utilizador e sujeito ao direito da União e ao direito nacional sobre a proteção de dados pessoais, incluindo os direitos do titular dos dados no que se refere aos dados pessoais. O terceiro deve apagar os dados quando já não sejam necessários para a finalidade acordada, salvo acordo em contrário com o utilizador relativamente aos dados não pessoais.

2. O terceiro não pode:

Dificultar excessivamente o exercício das escolhas ou dos direitos do utilizador ao abrigo do artigo 5.o e do presente artigo, nomeadamente oferecendo escolhas ao utilizador de forma não neutra ou coagindo-o, enganando-o ou manipulando-o, ou condicionando ou prejudicando a autonomia, a tomada de decisões ou as escolhas do utilizador, nomeadamente através de uma interface digital de utilizador ou de parte dela;

b)	Não obstante o disposto no artigo 22.o, n.o 2, alíneas a) e c), do Regulamento (UE) 2016/679, utilizar os dados que recebe para a definição de perfis, a menos que tal seja necessário para prestar o serviço solicitado pelo utilizador;

Disponibilizar os dados que recebe a outro terceiro, salvo se os dados forem disponibilizados com base num contrato com o utilizador, e desde que esse terceiro tome todas as medidas necessárias acordadas entre o detentor dos dados e o terceiro para preservar a confidencialidade dos segredos comerciais;

d)	Disponibilizar os dados que recebe a uma empresa designada como controlador de acesso nos termos do artigo 3.o do Regulamento (UE) 2022/1925;

Utilizar os dados que recebe para desenvolver um produto que concorra com o produto conectado do qual os dados acedidos são provenientes ou partilhar os dados com outro terceiro para essa finalidade; os terceiros também não podem utilizar dados não pessoais relativos a um produto ou a um serviço conexo que lhes sejam disponibilizados para obter informações sobre a situação económica, os ativos e os métodos de produção do detentor dos dados, ou sobre a sua utilização desses dados;

f)	Utilizar os dados que recebe de uma forma que tenha um impacto negativo na segurança do produto conectado ou serviço conexo;

g)	Ignorar as medidas específicas que acordou com um detentor dos dados ou com o titular dos segredos comerciais nos termos do artigo 5.o, n.o 9, e comprometer a confidencialidade dos segredos comerciais;

h)	Impedir o utilizador que seja um consumidor, nomeadamente com base num contrato, de disponibilizar os dados que recebe a outras partes.

Artigo 11.

Medidas técnicas de proteção relativas à utilização ou à divulgação não autorizadas de dados

1. Os detentores dos dados podem aplicar medidas técnicas de proteção adequadas, incluindo contratos inteligentes e cifragem, a fim de impedir o acesso não autorizado aos dados, incluindo os metadados, e assegurar o cumprimento dos artigos 4.o, 5.o, 6.o, 8.o e 9.o, bem como das cláusulas contratuais acordadas para a disponibilização dos dados. Essas medidas técnicas de proteção não podem discriminar entre destinatários dos dados nem prejudicar o direito do utilizador de obter uma cópia dos dados, de recuperar, utilizar ou aceder aos dados ou de facultar dados a terceiros nos termos do artigo 5.o, ou qualquer direito de terceiros ao abrigo do direito da União ou da legislação nacional adotada em conformidade com o direito da União. Os utilizadores, os terceiros e os destinatários dos dados não podem alterar nem suprimir essas medidas técnicas de proteção, exceto com o acordo do detentor dos dados.

2. Nas circunstâncias referidas no n.o 3, o terceiro ou o destinatário dos dados deve, sem demora injustificada, aceder ao pedido do detentor dos dados e, se aplicável e caso não sejam a mesma pessoa, do detentor dos segredos comerciais ou do utilizador, para que:

a)	Sejam apagados os dados disponibilizados pelo detentor dos dados e quaisquer cópias dos mesmos;

Seja posto termo à produção, oferta ou colocação no mercado ou à utilização de bens, dados derivados ou serviços produzidos com base em conhecimentos obtidos através desses dados, ou à importação, exportação ou armazenamento de bens ilegais para esses efeitos, e sejam destruídos quaisquer bens ilegais, caso haja um risco sério de que a utilização ilícita desses dados venha a causar prejuízo significativo ao detentor dos dados, ao detentor dos segredos comerciais ou ao utilizador, ou caso essa medida não seja desproporcionada à luz dos interesses do detentor dos dados, do detentor dos segredos comerciais ou do utilizador;

c)	Informe o utilizador da utilização ou da divulgação não autorizadas dos dados e das medidas adotadas para pôr termo à utilização ou divulgação não autorizadas dos dados;

d)	Compense a parte lesada pelo uso indevido ou pela divulgação dos dados que tenham sido acedidos ou utilizados de forma ilícita.

3. O n.o 2 é aplicável se um terceiro ou um destinatário dos dados:

a)	Para efeitos de obtenção de dados, tiver facultado informações falsas a um detentor dos dados, tiver utilizado meios enganosos ou coercivos ou tiver aproveitado abusivamente lacunas na infraestrutura técnica do detentor dos dados concebida para proteger os dados;

b)	Tiver utilizado os dados disponibilizados para finalidades não autorizadas, nomeadamente o desenvolvimento de um produto conectado concorrente na aceção do artigo 6.o, n.o 2, alínea e);

c)	Tiver ilicitamente divulgado dados a outra parte;

d)	Não tiver mantido as medidas técnicas e organizativas acordadas nos termos do artigo 5.o, n.o 9; ou

e)	Tiver alterado ou suprimido, sem o acordo do detentor dos dados, medidas técnicas de proteção aplicadas por este nos termos do n.o 1 do presente artigo.

4. O n.o 2 é também aplicável se um utilizador alterar ou eliminar as medidas técnicas de proteção aplicadas pelo detentor dos dados ou não mantiver as medidas técnicas e organizativas tomadas pelo utilizador com o acordo do detentor dos dados ou, caso não sejam a mesma pessoa, do titular dos segredos comerciais, a fim de preservar os segredos comerciais, bem como relativamente a qualquer outra parte que tenha recebido dados por parte do utilizador através de uma violação do presente regulamento.

5. Se o destinatário dos dados violar o artigo 6.o, n.o 2, alíneas a) ou b), os utilizadores têm os mesmos direitos que os detentores dos dados ao abrigo do n.o 2 do presente artigo.

Artigo 17.

Pedidos de disponibilização de dados

1. Ao solicitar dados nos termos do artigo 14.o, um organismo do setor público, a Comissão, o Banco Central europeu ou um órgão da União deve:

a)	Especificar os dados que são necessários, incluindo os metadados pertinentes necessários para interpretar e utilizar esses dados;

b)	Demonstrar que estão reunidas as condições necessárias para a existência de uma necessidade excecional a que se refere o artigo 15.o para cujos fins se solicitam os dados;

c)	Explicar a finalidade do pedido, a utilização prevista dos dados solicitados, incluindo, se aplicável, por terceiros nos termos do n.o 4 do presente artigo, a duração dessa utilização e, se pertinente, a forma como o tratamento dos dados pessoais dará resposta à necessidade excecional;

d)	Especificar, se possível, quando se prevê que os dados sejam apagados por todas as partes que a eles têm acesso;

e)	Justificar a escolha do detentor dos dados ao qual é dirigido o pedido;

f)	Especificar quaisquer outros organismos do setor público, ou a Comissão, o Banco Central Europeu ou os órgãos da União e terceiros com os quais se prevê que os dados solicitados venham a ser partilhados;

Caso sejam solicitados dados pessoais, especificar quaisquer medidas técnicas e organizativas necessárias e proporcionadas destinadas a aplicar os princípios da proteção de dados e as salvaguardas necessárias, tais como a pseudonimização, e se o detentor dos dados pode aplicar a anonimização antes de os disponibilizar;

h)	Indicar a disposição legal que atribui ao organismo do setor público requerente, à Comissão, ao Banco Central Europeu ou ao órgão da União a função específica de interesse público pertinente para o pedido dos dados;

i)	Especificar o prazo dentro do qual os dados devem ser disponibilizados e o prazo a que se refere o artigo 18.o, n.o 2, dentro do qual o detentor dos dados pode recusar o pedido ou solicitar a sua alteração;

j)	Envidar todos os esforços para evitar o cumprimento de um pedido de dados que resulte na responsabilidade dos detentores dos dados por violação do direito da União ou do direito nacional.

2. Um pedido de dados apresentado nos termos do n.o 1 do presente artigo deve:

a)	Ser formulado por escrito e em linguagem clara, concisa e simples, compreensível pelo detentor dos dados;

b)	Ser específico no que se refere ao tipo de dados solicitados e corresponder a dados que o detentor dos dados controla à data do pedido;

c)	Ser proporcional à necessidade excecional e devidamente justificado no que diz respeito à granularidade e volume dos dados solicitados e à frequência de acesso aos mesmos;

d)	Respeitar os objetivos legítimos do detentor dos dados, comprometendo-se a assegurar a proteção dos segredos comerciais, nos termos do artigo 19.o, n.o 3, e os custos e esforços necessários para disponibilizar os dados;

Dizer respeito a dados não pessoais, e, apenas se se demonstrar que tal é insuficiente para dar resposta à necessidade excecional de utilizar dados, nos termos do artigo 15.o, n.o 1, alínea a), solicitar dados pessoais de forma pseudonimizada e definir as medidas técnicas e organizativas que serão tomadas para proteger os dados;

f)	Informar o detentor dos dados quanto às sanções que serão impostas nos termos do artigo 40.o pela autoridade competente designada nos termos do artigo 37.o em caso de incumprimento do pedido;

Caso o pedido seja feito a um organismo do setor público, ser transmitido ao coordenador de dados a que se refere o artigo 37.o do Estado-Membro em que o organismo do setor público requerente está estabelecido, o qual deve e publicá-lo em linha sem demora injustificada, a menos que o coordenador de dados considere que tal publicação acarretaria um risco para a segurança pública.

h)	Caso o pedido seja feito pela Comissão, o Banco Central Europeu ou os órgãos da União, publicar os seus pedidos em linha sem demora injustificada;

i)	Caso sejam solicitados dados pessoais, ser notificado sem demora injustificada à autoridade de controlo responsável pela fiscalização da aplicação do Regulamento (UE) 2016/679 no Estado-Membro em que o organismo do setor público está estabelecido.

O Banco Central Europeu e os órgãos da União informam a Comissão dos seus pedidos.

3. Os organismos do setor público, a Comissão, o Banco Central Europeu ou os órgãos da União não podem disponibilizar os dados obtidos nos termos do presente capítulo para reutilização, na aceção do artigo 2.o, ponto 2, do Regulamento (UE) 2022/868 ou do artigo 2.o, ponto 11, da Diretiva (UE) 2019/1024. O Regulamento (UE) 2022/868 e a Diretiva (UE) 2019/1024 não são aplicáveis aos dados na posse de organismos do setor público que tenham sido obtidos nos termos do presente capítulo.

4. O disposto no n.o 3 do presente artigo não obsta a que um organismo do setor público, a Comissão, o Banco Central Europeu ou um órgão da União proceda ao intercâmbio de dados obtidos nos termos do presente capítulo com outro organismo do setor público ou com a Comissão, o Banco Central Europeu ou um órgão da União, tendo em vista o desempenho das funções referidas no artigo 15.o, conforme especificado no pedido nos termos do n.o 1, alínea f), do presente artigo, ou disponibilize os dados a terceiros nos casos em que tenha delegado, por meio de um acordo publicamente disponível, inspeções técnicas ou outras funções a esse terceiro. As obrigações impostas aos organismos do setor público nos termos do artigo 19.o, em especial as salvaguardas destinadas a preservar a confidencialidade dos segredos comerciais, aplicam-se igualmente a esses terceiros. Caso um organismo do setor público, a Comissão, o Banco Central Europeu ou um órgão da União transmita ou disponibilize dados nos termos do presente número, deve, sem demora injustificada, notificar o detentor dos dados do qual recebeu esses dados.

5. Caso o detentor dos dados considere que os seus direitos ao abrigo do presente capítulo foram violados pela transmissão ou disponibilização dos dados, pode apresentar uma reclamação à autoridade competente, designada nos termos do artigo 37.o, do Estado-Membro em que o detentor dos dados está estabelecido.

6. A Comissão deve elaborar um modelo para os pedidos efetuados nos termos do presente artigo.

Artigo 18.

Cumprimento dos pedidos de dados

1. Um detentor dos dados que receba um pedido de disponibilização de dados nos termos do presente capítulo deve disponibilizá-los ao organismo do setor público, à Comissão, ao Banco Central Europeu ou ao órgão da União requerente sem demora injustificada, tendo em conta as medidas técnicas, organizativas e jurídicas necessárias.

2. Sem prejuízo das necessidades específicas relativas à disponibilidade de dados definidas no direito da União ou nacional, um detentor dos dados pode recusar ou solicitar a alteração de um pedido de disponibilização de dados ao abrigo do presente capítulo sem demora injustificada e, em qualquer caso, o mais tardar no prazo de cinco dias úteis após a receção de um pedido de dados necessários para dar resposta a uma emergência pública, e sem demora injustificada e, em qualquer caso, o mais tardar, no prazo de 30 dias úteis após a receção de um tal pedido noutros casos de uma necessidade excecional, por um dos seguintes motivos:

a)	O detentor dos dados não tem controlo sobre os dados solicitados;

b)	Um pedido similar para a mesma finalidade foi apresentado anteriormente por outro organismo do setor público ou pela Comissão, pelo Banco Central Europeu ou por um órgão da União, e o detentor dos dados não foi notificado do apagamento dos dados nos termos do artigo 19.o, n.o 1, alínea c);

c)	O pedido não cumpre as condições estabelecidas no artigo 17.o, n.os 1 e 2.

3. Se o detentor dos dados decidir recusar o pedido ou solicitar a sua alteração em conformidade com o n.o 2, alínea b), deve indicar a identidade do organismo do setor público ou da Comissão, do Banco Central Europeu ou do órgão da União que apresentou anteriormente um pedido para a mesma finalidade.

4. Caso os dados solicitados incluam dados pessoais, o detentor dos dados deve anonimizar adequadamente os dados, a menos que o cumprimento do pedido de disponibilização de dados a um organismo do setor público, à Comissão, ao Banco Central Europeu ou a um órgão da União exija a divulgação de dados pessoais. Nesses casos, o detentor dos dados deve pseudonimizar os dados.

5. Caso o organismo do setor público, a Comissão, o Banco Central Europeu ou o órgão da União pretenda contestar a recusa de um detentor dos dados em facultar os dados solicitados, ou caso o detentor dos dados pretenda contestar o pedido, e a questão não possa ser resolvida através de uma alteração adequada do pedido, a matéria deve ser sujeita à apreciação da autoridade competente, designada nos termos do artigo 37.o, do Estado-Membro em que o detentor dos dados está estabelecido.

Artigo 19.

Obrigações dos organismos do setor público, da Comissão, do Banco Central Europeu e dos órgãos da União

1. Um organismo do setor público, a Comissão, o Banco Central Europeu ou um órgão da União que receba dados na sequência de um pedido apresentado nos termos do artigo 14.o:

a)	Não pode utilizar os dados de forma incompatível com a finalidade para a qual foram solicitados;

b)	Deve ter aplicado medidas técnicas e organizativas que preservem a confidencialidade e a integridade dos dados solicitados e a segurança das transferências dos dados, em especial dos dados pessoais, e salvaguardem os direitos e liberdades dos titulares dos dados;

Deve apagar os dados quando já não sejam necessários para a finalidade indicada e informar, sem demora injustificada, o detentor dos dados e as pessoas ou as organizações que receberam os dados nos termos do artigo 21.o, n.o 1, de que os dados foram apagados, a menos que o arquivamento dos dados seja exigido nos termos do direito da União ou do direito nacional em matéria de acesso do público aos documentos no contexto das obrigações de transparência.

2. Um organismo do setor público, a Comissão, o Banco Central Europeu, um órgão da União ou um terceiro que receba dados ao abrigo do presente capítulo não pode:

a)	Utilizar os dados ou informações sobre a situação económica, os ativos e os métodos de produção ou de funcionamento do detentor dos dados para desenvolver ou melhorar um produto conectado ou serviço conexo que concorra com o produto conectado ou serviço conexo do detentor dos dados;

b)	Partilhar os dados com outro terceiro para qualquer uma das finalidades referidas na alínea a).

3. A divulgação de segredos comerciais a um organismo do setor público, à Comissão, ao Banco Central Europeu ou a um órgão da União só pode ser exigida na medida do estritamente necessário para alcançar o objetivo de um pedido efetuado nos termos do artigo 15.o. Nesse caso, o detentor dos dados, ou, caso não sejam a mesma pessoa, o titular do segredo comercial, deve identificar os dados protegidos como segredos comerciais, incluindo os metadados pertinentes. Antes da divulgação dos segredos comerciais, o organismo do setor público, a Comissão, o Banco Central Europeu ou o órgão da União deve tomar todas as medidas técnicas e organizativas necessárias e adequadas para preservar a confidencialidade dos segredos comerciais, incluindo, se for caso disso, a utilização de modelos de cláusulas contratuais, normas técnicas e a aplicação de códigos de conduta.

4. Os organismos do setor público, a Comissão, o Banco Central Europeu ou um órgão da União são responsáveis pela segurança dos dados por si recebidos.

Artigo 21.

Partilha de dados obtidos no contexto de necessidades excecionais com organizações de investigação ou organismos de estatística

1. Um organismo do setor público, a Comissão, o Banco Central Europeu ou um órgão da União tem o direito de partilhar os dados recebidos nos termos do presente capítulo com:

a)	Pessoas singulares ou organizações, com vista à realização de investigações ou análises científicas compatíveis com a finalidade para a qual os dados foram solicitados; ou

b)	Os institutos nacionais de estatística e o Eurostat, para a produção de estatísticas oficiais.

2. As pessoas singulares ou as organizações que recebam os dados nos termos do n.o 1 devem perseguir fins não lucrativos ou agir no contexto de uma missão de interesse público reconhecida pelo direito da União ou pelo direito nacional. Não podem incluir organizações sobre as quais empresas comerciais tenham uma influência significativa que seja suscetível de dar origem a um acesso preferencial aos resultados da investigação.

3. As pessoas singulares ou as organizações que recebem os dados nos termos do n.o 1 do presente artigo devem cumprir as mesmas obrigações que são aplicáveis aos organismos do setor público, à Comissão, ao Banco Central Europeu ou aos órgãos da União nos termos do artigo 17.o, n.o 3, e do artigo 19.o.

4. Não obstante o disposto no artigo 19.o, n.o 1, alínea c), as pessoas singulares ou as organizações que recebem os dados nos termos do n.o 1 do presente artigo podem conservar os dados recebidos para a finalidade para a qual os mesmos foram solicitados durante um período máximo de seis meses após o apagamento dos dados por parte dos organismos do setor público, da Comissão, do Banco Central Europeu e dos órgãos da União.

5. Caso um organismo do setor público, a Comissão, o Banco Central Europeu ou um órgão da União tencione transmitir ou disponibilizar dados nos termos do n.o 1 do presente artigo, deve, sem demora injustificada, notificar o detentor dos dados do qual tenha recebido esses dados, indicando a identidade e os contactos da organização ou da pessoa singular que irá receber os dados, a finalidade da transmissão ou disponibilização dos dados, o período de utilização dos dados e as medidas de proteção adotadas, tanto técnicas como organizativas, nomeadamente quando estejam em causa dados pessoais ou segredos comerciais. Caso o detentor dos dados não concorde com a transmissão ou disponibilização dos dados, pode apresentar uma reclamação à autoridade competente, designada nos termos do artigo 37.o, do Estado-Membro em que o detentor dos dados está estabelecido.

Artigo 22.

Assistência mútua e cooperação transfronteiriça

1. Os organismos do setor público, a Comissão, o Banco Central Europeu e os órgãos da União devem cooperar e prestar assistência mútua, a fim de aplicar o presente capítulo de forma coerente.

2. Os dados objeto de intercâmbio no contexto de um pedido e da prestação de assistência nos termos do n.o 1 não podem ser utilizados de forma incompatível com a finalidade para a qual foram solicitados.

3. Caso um organismo do setor público pretenda solicitar dados a um detentor dos dados estabelecido noutro Estado-Membro, deve notificar previamente dessa intenção a autoridade competente, designada nos termos do artigo 37.o, nesse Estado-Membro. Este requisito é igualmente aplicável aos pedidos apresentados pela Comissão, pelo Banco Central Europeu e pelos órgãos da União. O pedido é analisado pela autoridade competente do Estado-Membro em que o detentor dos dados está estabelecido.

4. Após ter analisado o pedido à luz dos requisitos previstos no artigo 17.o, a autoridade competente pertinente deve, sem demora injustificada, agir de uma das seguintes formas:

Transmitir o pedido ao detentor dos dados e, se aplicável, aconselhar o organismo do setor público requerente, a Comissão, o Banco Central Europeu ou o órgão da União requerente sobre a eventual necessidade de cooperar com os organismos do setor público do Estado-Membro em que o detentor dos dados está estabelecido, com o objetivo de reduzir os encargos administrativos que recaem sobre o detentor dos dados ao satisfazer o pedido;

b)	Rejeitar o pedido por motivos devidamente fundamentados, em conformidade com o presente capítulo.

O organismo do setor público, a Comissão, o Banco Central Europeu e o órgão da União requerente devem, antes de tomar quaisquer medidas adicionais como a nova apresentação do pedido, ter em conta o parecer e a motivação apresentados pela autoridade competente pertinente nos termos do primeiro parágrafo, se aplicável.

CAPÍTULO VI

MUDANÇA ENTRE SERVIÇOS DE TRATAMENTO DE DADOS

Artigo 32.

Acesso e transferência governamentais internacionais

1. Sem prejuízo do disposto nos n.os 2 ou 3, os prestadores de serviços de tratamento de dados devem tomar todas as medidas técnicas, organizativas e legais adequadas, incluindo contratos, a fim de impedir que entidades governamentais internacionais ou de países terceiros acedam a dados não pessoais detidos na União ou os transfiram, caso esse acesso ou essa transferência seja suscetível de criar um conflito com o direito da União ou o direito nacional do Estado-Membro pertinente.

2. As decisões judiciais ou sentenças de um órgão jurisdicional de um país terceiro e as decisões de uma autoridade administrativa de um país terceiro que exijam que um prestador de serviços de tratamento de dados transfira ou dê acesso a dados não pessoais abrangidos pelo âmbito de aplicação do presente regulamento e detidos na União só podem ser reconhecidas ou executadas, seja de que forma for, se tiverem por base um acordo internacional, como um acordo de auxílio judiciário mútuo, em vigor entre o país terceiro requerente e a União ou entre o país terceiro requerente e um Estado-Membro.

3. Na ausência de um acordo internacional nos termos do n.o 2, caso um prestador de serviços de tratamento de dados seja o destinatário de uma decisão judicial ou sentença de um órgão jurisdicional de um país terceiro ou de uma decisão de uma autoridade administrativa de um país terceiro que exija a transferência ou o acesso a dados não pessoais abrangidos pelo âmbito de aplicação do presente regulamento e detidos na União, e o cumprimento dessa decisão seja suscetível de colocar o destinatário numa situação de conflito com o direito da União ou com o direito nacional do Estado-Membro em causa, a transferência dos dados em causa para essa autoridade de um país terceiro ou o acesso a esses dados pela mesma autoridade só pode ter lugar se:

a)	O sistema do país terceiro exigir que sejam expostos os motivos e a proporcionalidade dessa decisão judicial ou sentença e que essa decisão judicial ou sentença tenha um caráter específico, através, por exemplo, do estabelecimento de uma relação suficiente com determinados suspeitos ou infrações;

b)	A objeção fundamentada do destinatário estiver sujeita a reapreciação por um órgão jurisdicional competente de um país terceiro; e

O órgão jurisdicional competente do país terceiro que emite a decisão judicial ou sentença ou reaprecia a decisão de uma autoridade administrativa estiver habilitado, nos termos do direito desse país terceiro, a ter devidamente em conta os interesses jurídicos relevantes do fornecedor dos dados protegidos pelo direito da União ou pelo direito nacional do Estado-Membro em causa.

O destinatário da decisão ou sentença pode solicitar o parecer do organismo ou autoridade nacional competente em matéria de cooperação internacional em questões jurídicas, a fim de determinar se as condições previstas no primeiro parágrafo estão preenchidas, nomeadamente quando considerar que a decisão pode dizer respeito a segredos comerciais e outros dados comercialmente sensíveis, bem como a conteúdos protegidos por direitos de propriedade intelectual, ou que a transferência pode conduzir a uma reidentificação. O organismo ou autoridade nacional relevante pode consultar a Comissão. Se o destinatário considerar que a decisão ou sentença pode colidir com os interesses de segurança nacional ou com os interesses de defesa da União ou dos seus Estados-Membros, deve solicitar o parecer do organismo ou autoridade nacional relevante para determinar se os dados solicitados dizem respeito a interesses de segurança nacional ou a interesses de defesa da União ou dos seus Estados-Membros. Se o destinatário não tiver recebido desse organismo ou autoridade uma resposta no prazo de um mês, ou se o parecer desse organismo ou autoridades concluir que as condições previstas no primeiro parágrafo não estão preenchidas, o destinatário pode rejeitar o pedido de transferência ou de acesso a dados não pessoais por esses motivos.

O Comité Europeu da Inovação de Dados referido no artigo 42.o presta aconselhamento e assistência à Comissão na elaboração de diretrizes sobre a avaliação do cumprimento das condições previstas no primeiro parágrafo do presente número.

4. Se estiverem preenchidas as condições previstas nos n.os 2 ou 3, o prestador de serviços de tratamento de dados deve facultar a quantidade mínima de dados que seja admissível em resposta a um pedido, com base numa interpretação razoável desse pedido por parte do prestador ou do organismo ou autoridade nacional relevante a que se refere o n.o 3, segundo parágrafo.

5. O prestador de serviços de tratamento de dados deve informar o cliente da existência de um pedido de acesso aos seus dados apresentado por uma autoridade de um país terceiro antes de satisfazer esse pedido, exceto nos casos em que o pedido vise finalidades relativas à fiscalização e garantia do cumprimento da lei e enquanto tal for necessário para preservar a eficácia das atividades de fiscalização e garantia do cumprimento da lei.

CAPÍTULO VIII

INTEROPERABILIDADE

whereas

keyboard_tab Data Act 2023/2854 PT

Data Act 2023/2854 PT