Navigeren door naleving van gegevensbescherming en privacywetten in Portugal: een zakelijke gids

In een steeds digitaler en meer onderling verbonden wereld is data een cruciale troef geworden voor bedrijven. Met de enorme kansen die data biedt, komt echter ook een grote verantwoordelijkheid om deze te beschermen. Voor ondernemingen die in Portugal actief zijn, is het begrijpen en naleven van gegevensbeschermings- en privacywetten niet louter een wettelijke verplichting, maar een hoeksteen voor het behouden van klantvertrouwen, het vermijden van zware boetes en het waarborgen van duurzame zakelijke groei. Dit artikel biedt een uitgebreid overzicht van het gegevensbeschermingslandschap in Portugal, met de nadruk op de wisselwerking tussen de Algemene verordening gegevensbescherming (EU) 2016/679 (GDPR) en nationale wetgeving, en geeft praktische inzichten voor ondernemers en zakelijke professionals.

Het regelgevende kader: GDPR en Portugese wetgeving

De basis van gegevensbescherming in Portugal, zoals in de hele Europese Unie, is de Algemene verordening gegevensbescherming (EU) 2016/679, algemeen bekend als GDPR. Sinds 25 mei 2018 van kracht, stelt de GDPR hoge eisen aan hoe persoonsgegevens worden verzameld, verwerkt, opgeslagen en beschermd. Ze is van toepassing op elke organisatie, ongeacht haar locatie, die persoonsgegevens van personen die in de EU wonen verwerkt.

Portugal heeft de GDPR verder aangevuld met nationale wetgeving, Wet nr. 58/2019 van 8 augustus 2019. Deze wet past het Portugese rechtsstelsel aan de bepalingen van de GDPR aan en zorgt voor de effectieve handhaving van gegevensbeschermingsprincipes binnen de nationale jurisdictie. Ze verduidelijkt bepaalde aspecten, zoals de bevoegdheden van de nationale toezichthoudende autoriteit, de Comissão Nacional de Proteção de Dados (CNPD), en stelt specifieke regels vast voor bepaalde sectoren of typen gegevensverwerking die niet volledig in de GDPR zijn uitgewerkt. Zo behandelt de wet kwesties zoals gegevensverwerking in de context van werkgelegenheid, gezondheidsgegevens en strafrechtelijke dossiers, en verduidelijkt zij de leeftijd van toestemming voor gegevensverwerking voor kinderen (vastgesteld op 13 jaar in Portugal).

Belangrijke principes van GDPR en Portugese wetgeving

Bedrijven moeten zich bij het verwerken van persoonsgegevens houden aan verschillende kernprincipes:

• Rechtmatigheid, eerlijkheid en transparantie: Gegevens moeten op rechtmatige, eerlijke en transparante wijze worden verwerkt ten opzichte van de betrokkene.
• Doelbepaling: Gegevens mogen alleen worden verzameld voor gespecificeerde, uitdrukkelijke en gerechtvaardigde doeleinden en mogen niet verder worden verwerkt op een manier die onverenigbaar is met die doeleinden.
• Dataminimalisatie: Alleen adequate, relevante en beperkte gegevens in verhouding tot wat noodzakelijk is voor de doeleinden waarvoor ze worden verwerkt, mogen worden verzameld.
• Nauwkeurigheid: Persoonsgegevens moeten nauwkeurig zijn en, waar nodig, up-to-date worden gehouden.
• Opslagbeperking: Gegevens dienen te worden bewaard in een vorm die identificatie van betrokkenen toestaat niet langer dan noodzakelijk voor de doeleinden waarvoor de persoonsgegevens worden verwerkt.
• Integriteit en vertrouwelijkheid: Verwerking moet zorgen voor passende