Artigo 30.º RGPD - Registos das atividades de tratamento

1. Cada responsável pelo tratamento e, sendo caso disso, o seu representante conserva um registo de todas as atividades de tratamento sob a sua responsabilidade. Desse registo constam todas seguintes informações:

a) O nome e os contactos do responsável pelo tratamento e, sendo caso disso, de qualquer responsável conjunto pelo tratamento, do representante do responsável pelo tratamento e do encarregado da proteção de dados;

b) As finalidades do tratamento dos dados;

c) A descrição das categorias de titulares de dados e das categorias de dados pessoais;

d) As categorias de destinatários a quem os dados pessoais foram ou serão divulgados, incluindo os destinatários estabelecidos em países terceiros ou organizações internacionais;

e) Se for aplicável, as transferências de dados pessoais para países terceiros ou organizações internacionais, incluindo a identificação desses países terceiros ou organizações internacionais e, no caso das transferências referidas no artigo 49.º, n.º 1, segundo parágrafo, a documentação que comprove a existência das garantias adequadas;

f) Se possível, os prazos previstos para o apagamento das diferentes categorias de dados;

g) Se possível, uma descrição geral das medidas técnicas e organizativas no domínio da segurança referidas no artigo 32.º, n.º 1.

2. Cada subcontratante e, sendo caso disso, o representante deste, conserva um registo de todas as categorias de atividades de tratamento realizadas em nome de um responsável pelo tratamento, do qual constará:

a) O nome e contactos do subcontratante ou subcontratantes e de cada responsável pelo tratamento em nome do qual o subcontratante atua, bem como, sendo caso disso do representante do responsável pelo tratamento ou do subcontratante e do encarregado da proteção de dados;

b) As categorias de tratamentos de dados pessoais efetuados em nome de cada responsável pelo tratamento;

c) Se for aplicável, as transferências de dados pessoais para países terceiros ou organizações internacionais, incluindo a identificação desses países terceiros ou organizações internacionais e, no caso das transferências referidas no artigo 49.º, n.º 1, segundo parágrafo, a documentação que comprove a existência das garantias adequadas;

d) Se possível, uma descrição geral das medidas técnicas e organizativas no domínio da segurança referidas no artigo 32.º, n.º 1.

3. Os registos a que se referem os n.ºs 1 e 2 são efetuados por escrito, incluindo em formato eletrónico.

4. O responsável pelo tratamento e, sendo caso disso, o subcontratante, o representante do responsável pelo tratamento ou do subcontratante, disponibilizam, a pedido, o registo à autoridade de controlo.

5. As obrigações a que se referem os n.ºs 1 e 2 não se aplicam às empresas ou organizações com menos de 250 trabalhadores, a menos que o tratamento efetuado seja suscetível de implicar um risco para os direitos e liberdades do titular dos dados, não seja ocasional ou abranja as categorias especiais de dados a que se refere o artigo 9.º, n.º 1, ou dados pessoais relativos a condenações penais e infrações referido no artigo 10.º.

Considerandos relevantes

Perguntas frequentes

Respostas breves a perguntas frequentes sobre esta disposição. Constituem informação geral e não aconselhamento jurídico.

O artigo 30.º, n.º 1, enumera o conteúdo exigido, ou seja, o nome e os contactos do responsável pelo tratamento e, sendo caso disso, do responsável conjunto pelo tratamento, do representante e do encarregado da proteção de dados, as finalidades do tratamento, as categorias de titulares de dados e de dados pessoais, as categorias de destinatários incluindo os estabelecidos em países terceiros, as eventuais transferências para países terceiros com a documentação das garantias no caso das transferências referidas no artigo 49.º, n.º 1, segundo parágrafo, e, se possível, os prazos previstos para o apagamento e uma descrição geral das medidas de segurança referidas no artigo 32.º, n.º 1.

Sim. Nos termos do artigo 30.º, n.º 2, cada subcontratante e, sendo caso disso, o representante deste, conserva um registo de todas as categorias de atividades de tratamento realizadas em nome de um responsável pelo tratamento, que abrange os contactos do subcontratante e de cada responsável pelo tratamento em nome do qual atua, as categorias de tratamentos, as eventuais transferências para países terceiros e, se possível, uma descrição geral das medidas de segurança do artigo 32.º, n.º 1. O registo do subcontratante é mais reduzido do que o do responsável pelo tratamento porque reflete o seu papel mais limitado.

O n.º 3 exige que o registo seja efetuado por escrito, incluindo em formato eletrónico. Nos termos do n.º 4, o responsável pelo tratamento ou o subcontratante e, sendo caso disso, o respetivo representante, disponibilizam-no, a pedido, à autoridade de controlo, funcionando assim o registo como instrumento permanente de responsabilidade e não como documento público.

Apenas parcialmente. O n.º 5 isenta as empresas ou organizações com menos de 250 trabalhadores, mas a isenção cai se o tratamento for suscetível de implicar um risco para os direitos e liberdades dos titulares dos dados, se não for ocasional, ou se abranger as categorias especiais de dados a que se refere o artigo 9.º, n.º 1, ou dados relativos a condenações penais e infrações referido no artigo 10.º. Uma vez que um tratamento corrente como o processamento salarial ou a gestão de clientes não é ocasional, a isenção é estreita na prática.

O registo concretiza o dever do artigo 5.º, n.º 2, e do artigo 24.º de poder demonstrar o cumprimento, pois reúne num único lugar as finalidades, as categorias de dados, os destinatários, as transferências, a conservação e a segurança de cada atividade de tratamento. O considerando 82 confirma que o registo existe para que os responsáveis pelo tratamento e os subcontratantes possam demonstrar o cumprimento e cooperar com a autoridade de controlo.