Navigating Data Protection and Privacy Law Compliance in Portugal: A Business Guide

In einer zunehmend digitalen und vernetzten Welt ist Daten zu einem kritischen Vermögenswert für Unternehmen geworden. Mit den enormen Möglichkeiten, die Daten bieten, geht jedoch auch eine erhebliche Verantwortung einher, diese zu schützen. Für Unternehmen, die in Portugal tätig sind, ist das Verständnis und die Einhaltung von Datenschutz- und Privatsphäregesetzen nicht nur eine rechtliche Verpflichtung, sondern ein Eckpfeiler zur Wahrung des Kundenvertrauens, zur Vermeidung hoher Geldbußen und zur Sicherstellung nachhaltigen Unternehmenswachstums. Dieser Artikel gibt einen umfassenden Überblick über die Datenschutzlandschaft in Portugal, mit Fokus auf das Zusammenspiel zwischen der Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO) und der nationalen Gesetzgebung, und bietet praktische Einblicke für Unternehmer und Fachkräfte.

The Regulatory Framework: GDPR and Portuguese Law

Die Grundlage des Datenschutzes in Portugal, wie im gesamten Europäischen Binnenmarkt, ist die Datenschutz-Grundverordnung (EU) 2016/679, allgemein bekannt als DSGVO. Seit dem 25. Mai 2018 in Kraft, legt die DSGVO hohe Standards dafür fest, wie personenbezogene Daten erhoben, verarbeitet, gespeichert und geschützt werden. Sie gilt für jede Organisation, unabhängig von ihrem Standort, die personenbezogene Daten von in der EU ansässigen Personen verarbeitet.

Portugal hat die DSGVO zusätzlich durch sein nationales Gesetz ergänzt, Gesetz Nr. 58/2019 vom 8. August 2019. Dieses Gesetz passt das portugiesische Rechtssystem an die Bestimmungen der DSGVO an und stellt die wirksame Durchsetzung datenschutzrechtlicher Grundsätze auf nationaler Ebene sicher. Es klärt bestimmte Aspekte, wie die Befugnisse der nationalen Aufsichtsbehörde, der Comissão Nacional de Proteção de Dados (CNPD), und legt spezifische Regeln für Sektoren oder Arten der Datenverarbeitung fest, die in der DSGVO nicht vollständig detailliert sind. Beispielsweise behandelt es Fragen wie die Datenverarbeitung im Beschäftigungskontext, Gesundheitsdaten und Strafregisterdaten und legt das Alter der Einwilligungsfähigkeit für die Datenverarbeitung von Kindern fest (in Portugal auf 13 Jahre festgelegt).

Key Principles of GDPR and Portuguese Law

Unternehmen müssen beim Verarbeiten personenbezogener Daten mehrere zentrale Grundsätze beachten:

• Lawfulness, Fairness, and Transparency: Daten müssen rechtmäßig, fair und in einer transparenten Weise in Bezug auf die betroffene Person verarbeitet werden.
• Purpose Limitation: Daten sollten für festgelegte, eindeutige und legitime Zwecke erhoben werden und nicht in einer Weise weiterverarbeitet werden, die mit diesen Zwecken unvereinbar ist.
• Data Minimisation: Es sollten nur angemessene, relevante und auf das für die Zwecke der Verarbeitung notwendige Maß beschränkte Daten erhoben werden.
• Accuracy: Personenbezogene Daten müssen genau sein und ggf. auf dem neuesten Stand gehalten werden.
• Storage Limitation: Daten sollten in einer Form, die die Identifizierung betroffener Personen ermöglicht, nicht länger aufbewahrt werden, als es für die Zwecke, für die die personenbezogenen Daten verarbeitet werden, erforderlich ist.
• Integrity and Confidentiality: Die Verarbeitung muss eine angemessene