Orientações em matéria de proteção de dados - Pergunta 2
Recolha em papel – Quais as obrigações do representante do grupo de organizadores enquanto responsável único pelo tratamento dos dados?
Aplicável no segundo cenário, salvo no que diz respeito à utilização do serviço de intercâmbio de ficheiros da Comissão
Enquanto representante do grupo de organizadores, quando intervém como responsável único pelo tratamento dos dados, deve assegurar que os dados são tratados em conformidade com o RGPD, a legislação nacional aplicável e o Regulamento sobre a iniciativa de cidadania europeia, devendo poder demonstrá-lo.
Entre outras funções, deve:
- Avaliar o impacto das operações de tratamento nos direitos e liberdades dos titulares dos dados, nomeadamente determinando, antes de os tratar, se os dados recolhidos são sensíveis (se os dados dos subscritores forem sensíveis, deverá ser nomeado um responsável pela proteção de dados e realizada uma avaliação de impacto sobre a proteção de dados);
- Criar e manter atualizado um registo das atividades de tratamento;
- Tomar as medidas adequadas para proteger os dados pessoais contra formas ilícitas de tratamento (destruição acidental ou ilícita, perda acidental, alteração, divulgação ou acesso não autorizados, nomeadamente quando o tratamento implicar a transmissão de dados através de uma rede, etc.). Estas medidas podem variar consoante a recolha seja efetuada em papel ou em linha;
- Informar os subscritores sobre o tratamento dos dados pessoais, a forma como a respetiva proteção é assegurada e os direitos que os mesmos podem exercer;
- Assegurar o seguimento adequado das perguntas ou pedidos formulados pelos subscritores ao abrigo do RGPD;
- Garantir a segurança dos dados, transmitindo as declarações de apoio recolhidas aos Estados-Membros para efeitos de verificação;
- Assegurar que os dados pessoais recolhidos não são utilizados para objetivos diferentes dos previstos no Regulamento sobre a iniciativa de cidadania europeia;
- Notificar qualquer eventual violação de dados pessoais à autoridade nacional competente em matéria de proteção de dados, em princípio, no prazo de 72 horas após ter tomado conhecimento da mesma, e colaborar com as autoridades de supervisão da proteção de dados, a pedido das mesmas;
- Assegurar a destruição de todas as declarações de apoio e cópias eventualmente existentes de acordo com os períodos de conservação de dados aplicáveis.
Esta lista tem caráter meramente informativo, não dispensando os organizadores do cumprimento das obrigações que lhes incumbem por força do RGPD.
Referências:
- artigo 5, n.º 7, e artigo 19.º do Regulamento sobre a iniciativa de cidadania europeia
- Artigo 24.º do RGPD
