Despacho n.º 13112/2026, de 27 de outubro

Despacho n.º 13112/2026

Por despacho do Reitor de 13 de outubro, considerando que:

1 - A Universidade de Évora, enquanto organismo público, está obrigada a designar um Encarregado de Proteção de Dados (EPD), nos termos do artigo 37.º, n.º 1, alínea a), do Regulamento (UE) 2016/679 (RGPD) e da Lei n.º 58/2019, de 8 de agosto;

2 - Pelo Despacho n.º 60/2018, de 24 de maio, e pelo Despacho n.º 76/2019, de 4 de junho, foi nomeado EPD o Prof. Doutor João Eduardo Vaz Resende Rodrigues, Professor Auxiliar do Departamento de Economia da Universidade de Évora, por um ano, renovável, com efeitos a 1 de janeiro de 2019;

3 - O artigo 37.º, n.º 6, do RGPD permite que o EPD exerça as suas funções com base num contrato de prestação de serviços;

4 - Por decisão de 17 de julho de 2026, foi autorizada a abertura do procedimento n.º 172/DCP-GCE/UE/2026, de consulta prévia, para a aquisição de serviços de EPD;

5 - O Caderno de Encargos do procedimento não se limita às funções mínimas que o artigo 39.º do RGPD comete ao EPD, prevendo, na Cláusula 29.ª, n.º 1, um conjunto mais abrangente de funções, que integram o objeto do contrato (Cláusula 1.ª) e que enumeram:

a) Funções correspondentes às previstas no artigo 39.º do RGPD:

i) Informar e aconselhar a Universidade, enquanto responsável pelo tratamento ou subcontratante, bem como os seus trabalhadores, docentes, investigadores e demais colaboradores que procedam a tratamentos de dados pessoais, sobre as obrigações que lhes incumbem em matéria de proteção de dados;

ii) Controlar a conformidade com o RGPD e com as políticas internas da Universidade, incluindo a repartição de responsabilidades, a sensibilização e a formação dos colaboradores envolvidos nas operações de tratamento, e as auditorias correspondentes;

iii) Aconselhar, quando solicitado, quanto à avaliação de impacto sobre a proteção de dados (AIPD) e controlar a sua realização;

iv) Cooperar com a Comissão Nacional de Proteção de Dados (CNPD) e demais autoridades de controlo competentes, e ser o seu ponto de contacto, incluindo para a consulta prévia do artigo 36.º do RGPD e para consultas dos titulares dos dados;

v) Atuar com a devida ponderação dos riscos associados às operações de tratamento, tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento.

b) Funções complementares, para além do núcleo do artigo 39.º do RGPD:

i) Elaborar e manter atualizado, na medida em que lhe seja solicitado, o registo das atividades de tratamento da Universidade;

ii) Elaborar e apresentar um Relatório de Recomendações e um Plano de Ação, com as medidas técnicas e organizativas necessárias ao reforço da conformidade com o RGPD;

iii) Apoiar a elaboração, revisão ou atualização da Política de Proteção de Dados Pessoais, da Política de Privacidade, da Política de Segurança da Informação (na vertente da proteção de dados pessoais), de modelos de cláusulas contratuais com trabalhadores, fornecedores, prestadores de serviços e entidades subcontratadas, de procedimentos e formulários de notificação de violações de dados pessoais e de exercício de direitos pelos titulares, e de demais documentação que a evolução legislativa e as orientações das autoridades de controlo exijam;

iv) Analisar os requisitos de segurança da informação relacionados com a proteção de dados pessoais, sem prejuízo das competências próprias dos serviços de informática e segurança da informação;

v) Comunicar à Universidade os requisitos decorrentes do RGPD e as evoluções legislativas, regulamentares e jurisprudenciais relevantes;

vi) Prestar assistência na resposta aos pedidos de exercício de direitos pelos titulares dos dados, designadamente acesso, retificação, apagamento, limitação, oposição e portabilidade;

vii) Garantir a existência de um mecanismo eficaz de notificação de violações de dados pessoais, para efeitos do artigo 33.º do RGPD.

6 - Essas funções mais abrangentes foram determinantes na formação do contrato, porquanto: i) definiram o objeto e as prestações a cargo do adjudicatário; ii) justificaram o recurso a um prestador externo com capacidade técnica e jurídica para as assegurar de forma continuada, bem como a identificação nominal dos técnicos responsáveis e a prova da sua qualificação e experiência; iii) condicionaram a avaliação das propostas em que se apreciaram a adequação da metodologia aos riscos de proteção de dados, o plano de trabalhos e a calendarização, e os mecanismos de comunicação, reporte e acompanhamento;

7 - O exercício das funções complementares deve ser compatível com a independência do EPD e com a ausência de conflito de interesses;

8 - Por despacho de 24 de agosto de 2026, foi adjudicada a proposta apresentada por Baptista, Monteverde & Associados - Sociedade de Advogados, SP, RL., pessoa coletiva n.º 508690820, com sede na Rua Braamcamp, 40 - 5 E, 1250-050 Lisboa, para o limite máximo de vigência de três anos;

9 - O contrato foi outorgado em 28 de agosto de 2026 (segundo outorgante) e em 1 de setembro de 2026 (primeiro outorgante), produzindo efeitos no dia seguinte à última assinatura;

10 - É necessário garantir que o EPD exerce as suas funções com independência, sem conflito de interesses e com os recursos necessários, nos termos do artigo 38.º do RGPD.

Assim, no uso das competências que são conferidas ao Reitor pelo artigo 17.º do Decreto-Lei n.º 197/99, de 8 de junho, conjugadas com as atribuídas pelo Despacho n.º 6863/2026, de 21 de maio, publicado no Diário da República, 2.ª série, n.º 104, de 29 de maio, e nos termos do artigo 151.º do RJIES [e dos Estatutos da Universidade de Évora], o Reitor determinou:

1 - É nomeada Encarregada de Proteção de Dados da Universidade de Évora a sociedade Baptista, Monteverde & Associados - Sociedade de Advogados, SP, RL., representada por Maria Margarida Martins Vaz, que exerce as funções através de Petra Fernandes, a qual atua como ponto de contacto principal.

2 - A nomeação vigora durante o contrato, ou seja, por 12 meses, renovável automaticamente por períodos sucessivos de 12 meses, até ao limite de 3 anos (1095 dias), salvo oposição à renovação ou resolução do contrato. Cessa com o termo do contrato, ficando sem efeito se este for resolvido. A substituição de qualquer técnico depende de comunicação prévia à Universidade e da verificação dos requisitos do n.º 5 do artigo 37.º e do n.º 6 do artigo 38.º do RGPD.

3 - A presente nomeação produz efeitos retroativos a 08 de setembro de 2026.

4 - Com efeitos na mesma data, cessam as funções de EPD do Prof. Doutor João Eduardo Vaz Resende Rodrigues, nomeado pelo Despacho n.º 60/2018 e subsequentes renovações. A cessação decorre da substituição por novo EPD e não está relacionada com o exercício das suas funções (n.º 3 do artigo 38.º do RGPD). Manifesta-se reconhecimento pelo trabalho desenvolvido.

5 - O EPD exerce as suas funções com independência técnica, sem receber instruções quanto ao seu exercício, e responde diretamente perante o Reitor, como mais alto nível da direção (n.º 3 do artigo 38.º do RGPD). Está vinculado ao dever de sigilo e confidencialidade (n.º 5 do artigo 38.º do RGPD e Lei n.º 58/2019).

6 - Conflito de interesses e responsabilidade da Universidade. O EPD não pode determinar as finalidades e os meios de tratamento de dados pessoais, nem acumular funções ou prestar à Universidade outros serviços que o coloquem em conflito de interesses (n.º 6 do artigo 38.º do RGPD; alínea c) do n.º 4 da Cláusula 29.ª e alínea c) do n.º 1 da Cláusula 17.ª do Caderno de Encargos).

7 - Colaboração. Todos os serviços e unidades orgânicas, bem como docentes, investigadores e trabalhadores, devem colaborar com o EPD, facultando-lhe, em tempo útil, o acesso a informação, a dados pessoais e às operações de tratamento, e envolvendo-o nas questões relativas à proteção de dados (n.^os 1 e 2 do artigo 38.º do RGPD). Qualquer violação de dados pessoais deve ser comunicada de imediato ao EPD e ao Reitor, para efeitos do artigo 33.º do RGPD.

8 - Dispensa-se a audiência de interessados em função da urgência em implementar todos os serviços a prestar e garantir uma situação de abrangente conformidade com as disposições do RGPD, contribuindo, desse modo, para minorar riscos emergentes da proteção de dados na Universidade de Évora.

9 - O Reitor determinou que:

a) Os contactos do EPD sejam publicados no sítio eletrónico da Universidade e divulgados à comunidade académica (n.º 7 do artigo 37.º do RGPD);

b) A designação e os contactos sejam comunicados à CNPD;

c) As informações aos titulares dos dados e as políticas de privacidade sejam atualizadas com os novos contactos (alínea b) do n.º 1 dos artigos 13.º e 14.º do RGPD).

10 - Notifique-se o EPD, o anterior EPD, o gestor do contrato, os Serviços Administrativos e a Divisão de Compras e Património, e publique-se.

São revogados o Despacho n.º 60/2018, de 24 de maio e o Despacho n.º 76/2019, de 4 de junho.

15/10/2026. - O Administrador da Universidade de Évora, José Biléu Ventura.

320053231