Lei n.º 10/91, de 29 de abril

Lei n.º 10/91

Lei da Protecção de Dados Pessoais face à Informática

A Assembleia da República decreta, nos termos dos artigos 164.º, alínea d), 168.º, n.º 1, alíneas b), c) e d), e 169.º, n.º 3, da Constituição, o seguinte:

CAPÍTULO I

Disposições gerais

Artigo 1.º

Princípio geral

O uso da informática deve processar-se de forma transparente e no estrito respeito pela reserva da vida privada e familiar e pelos direitos, liberdades e garantias fundamentais do cidadão.

Artigo 2.º

Definições

Para os fins da presente lei entende-se por:

a) «Dados pessoais» - quaisquer informações relativas a pessoa singular identificada ou identificável, considerando-se identificável a pessoa cuja identificação não envolva custos ou prazos desproporcionados;

b) «Dados públicos» - os dados pessoais constantes de documento público oficial, exceptuados os elementos confidenciais, tais como profissão e a morada, ou as incapacidades averbadas no assento de nascimento;

c) «Sistema informático» - o conjunto constituído por um ou mais computadores, equipamento periférico e suporte lógico que assegura o processamento de dados;

d) «Ficheiro automatizado» - o conjunto estruturado de informações objecto de tratamento automatizado, centralizado ou repartido por vários locais;

e) «Base de dados» - o conjunto de dados inter-relacionados, armazenados e estruturados com controlo de redundância, destinados a servir uma ou mais aplicações informáticas;

f) «Banco de dados» - o conjunto de dados relacionados ou relacionáveis com um determinado assunto;

g) «Tratamento automatizado» - as seguintes operações efectuadas, no todo ou em parte, com a ajuda de processos automatizados: registo de dados, aplicação de operações lógicas e ou aritméticas a esses dados, bem como a sua modificação, supressão e extracção ou difusão;

h) «Responsável pelos suportes informáticos» - a pessoa singular ou colectiva, a autoridade pública, o serviço ou qualquer organismo competentes para decidir da finalidade do ficheiro automatizado, bem como o responsável por base ou banco de dados, e pelas categorias de dados pessoais que devam ser registados e das operações que lhes sejam aplicáveis;

i) «Fluxos de dados transfronteiras» - a circulação de dados pessoais através de fronteiras nacionais.

Artigo 3.º

Âmbito de aplicação

1 - As disposições da presente lei aplicam-se obrigatoriamente:

a) À constituição e manutenção de ficheiros automatizados, de bases de dados e de bancos de dados pessoais;

b) Aos suportes informáticos relativos a pessoas colectivas e entidades equiparadas, sempre que contiverem dados pessoais.

2 - Exceptuam-se da aplicação prevista no artigo anterior os ficheiros de dados pessoais que contenham exclusivamente informações destinadas:

a) A uso pessoal ou doméstico;

b) Ao processamento de remunerações de funcionários ou empregados, bem como a outros procedimentos administrativos atinentes à mera gestão dos serviços;

c) A facturação de fornecimentos efectuados ou de serviços prestados;

d) A cobrança de quotização de associados ou filiados.

3 - A presente lei não se aplica igualmente aos ficheiros de dados pessoais constituídos e mantidos sob a responsabilidade do Sistema de Informação da República Portuguesa.

CAPÍTULO II

Da Comissão Nacional de Protecção de Dados Pessoais Informatizados

Artigo 4.º

Criação e atribuições

1 - É criada a Comissão Nacional de Protecção de Dados Pessoais Informatizados (CNPDPI), com a atribuição genérica de controlar o processamento automatizado de dados pessoais, em rigoroso respeito pelos direitos do homem e pelas liberdades e garantias consagradas na Constituição e na lei.

2 - A CNPDPI é uma entidade pública independente com poderes de autoridade, que funciona junto da Assembleia da República e dispõe de serviços próprios de apoio técnico e administrativo.

Artigo 5.º

Composição

1 - A CNPDPI é composta por sete membros de integridade e mérito reconhecidos, dos quais o presidente e dois dos vogais são eleitos pela Assembleia da República segundo o método da média mais alta de Hondt.

2 - Os restantes vogais são:

a) Dois magistrados com mais de 10 anos de carreira, sendo um magistrado judicial, designado pelo Conselho Superior da Magistratura, e um magistrado do Ministério Público, designado pelo Conselho Superior do Ministério Público;

b) Duas personalidades de reconhecida competência na matéria, designadas pelo Governo.

Artigo 6.º

Deveres e incompatibilidades

1 - Não podem ser membros da CNPDPI os cidadãos que não se encontrem no pleno gozo dos seus direitos civis e políticos.

2 - O exercício do mandato dos membros da CNPDPI rege-se, em matéria de deveres e incompatibilidades, pelos princípios gerais aplicáveis aos funcionários e agentes do Estado.

3 - A qualidade de membros da CNPDPI é incompatível com o exercício de funções correspondentes a:

a) Titular de órgão de soberania ou de órgão de governo próprio de região autónoma;

b) Titular de órgão de autarquia local;

c) Titular de cargo dirigente em partido ou associação política ou em organização de classe, ou agente que tenha vínculo laboral com qualquer destas entidades.

Artigo 7.º

Estatuto remuneratório

O estatuto remuneratório dos membros da CNPDPI é fixado pelo Governo.

Artigo 8.º

Competências

1 - Compete em especial à CNPDPI:

a) Dar parecer sobre a constituição, alteração ou manutenção, por serviços públicos, de ficheiros automatizados, de bases e bancos de dados pessoais, nos casos previstos na presente lei;

b) Autorizar ou registar, consoante os casos, a constituição, alteração ou manutenção, por outras entidades, de ficheiros automatizados, de bases e bancos de dados pessoais, nos termos da presente lei;

c) Autorizar, nos casos excepcionais previstos na presente lei e sob rigoroso controlo, a utilização de dados pessoais para finalidades não determinantes da recolha;

d) Autorizar, nos casos excepcionais previstos na presente lei e sob rigoroso controlo, a interconexão de ficheiros automatizados, de bases e bancos de dados contendo dados pessoais;

e) Emitir directivas para garantir a segurança dos dados quer em arquivo, quer em circulação nas redes de telecomunicações;

f) Fixar genericamente as condições de acesso à informação, bem como de exercício do direito de rectificação e actualização;

g) Promover, junto da autoridade judiciária competente, os procedimentos necessários para interromper o processamento de dados, impedir o funcionamento de ficheiros e, se necessário, proceder à sua destruição, nos casos previstos na presente lei;

h) Apreciar as reclamações, queixas ou petições dos particulares, nos termos da presente lei;

i) Dar publicidade periódica à sua actividade, nomeadamente através da publicação de um relatório anual;

j) Denunciar ao Ministério Público as infracções à presente lei justificativas de procedimento judicial.

2 - No exercício das suas funções, a CNPDPI profere decisões com força obrigatória, passíveis de reclamação e de recurso para o Supremo Tribunal Administrativo.

3 - A CNPDPI pode sugerir à Assembleia da República as providências que entender úteis à prossecução das suas atribuições e ao exercício das suas competências.

Artigo 9.º

Dever de colaboração

É dever de todas as entidades públicas e privadas dispensar colaboração à CNPDPI para o cabal exercício das suas funções.

Artigo 10.º

Posse

1 - Os membros da CNPDPI tomam posse perante o Presidente da Assembleia da República nos 10 dias seguintes ao da publicação na 1.ª série do Diário da República da lista dos membros eleitos.

2 - A CNPDPI mantém-se em funções pelo prazo de cinco anos e até à posse dos novos membros designados.

3 - Após a entrada em funções, a CNPDPI deve proceder de imediato à elaboração do seu regulamento e submetê-lo à aprovação da Assembleia da República.

CAPÍTULO III

Do processamento automatizado de dados pessoais

Artigo 11.º

Restrições ao tratamento de dados

1 - Não é admitido o tratamento automatizado de dados pessoais referentes a:

a) Convicções filosóficas ou políticas, filiação partidária ou sindical, fé religiosa ou vida privada;

b) Origem étnica, condenações em processo criminal, suspeitas de actividades ilícitas, estado de saúde e situação patrimonial e financeira.

2 - A proibição do número anterior não obsta ao tratamento de dados para fins de investigação ou estatística, desde que não possam ser identificáveis as pessoas a que respeitam.

3 - O tratamento automatizado dos dados pessoais referidos na alínea b) do n.º 1 pode, no entanto, ser efectuado por serviços públicos, nos termos da lei, com garantias de não discriminação e prévio parecer da CNPDPI.

4 - O disposto nos números anteriores não obsta ao tratamento automatizado de dados pessoais por instituição a que tenham voluntariamente sido fornecidos pelos respectivos titulares, com conhecimento do seu destino e utilização.

Artigo 12.º

Requisitos da recolha

1 - A recolha de dados pessoais para tratamento automatizado deve efectuar-se de forma lícita e não enganosa.

2 - A recolha de dados pessoais deve processar-se em estrita adequação e pertinência à finalidade que a determinou.

3 - A finalidade determinante da recolha de dados deve ser conhecida antes do seu início.

Artigo 13.º

Direito à informação e acesso

1 - Qualquer pessoa tem o direito de ser informada sobre a existência de ficheiro automático, base ou banco de dados pessoais que lhe respeitem, e respectiva finalidade, bem como sobre a identidade e o endereço do seu responsável.

2 - O acesso aos ficheiros de dados eleitorais é facultado, em igualdade de circunstâncias e sob controlo da Comissão Nacional de Eleições, aos candidatos e aos partidos políticos.

Artigo 14.º

Actualização dos dados

Os dados pessoais recolhidos e mantidos em ficheiros automatizados, em bases e bancos de dados devem ser exactos e actuais.

Artigo 15.º

Utilização dos dados

Os dados pessoais só podem ser utilizados para a finalidade determinante da sua recolha, salvo autorização concedida por lei.

Artigo 16.º

Limites da apreciação judicial

Nenhuma decisão jurisdicional, administrativa ou disciplinar que implique apreciação sobre um comportamento humano pode ter por único fundamento o resultado do tratamento automatizado da informação atinente ao perfil ou à personalidade do titular do registo.

CAPÍTULO IV

Dos ficheiros automatizados, de bases e bancos de dados pessoais

Artigo 17.º

Requisitos de constituição

1 - A constituição de ficheiros automatizados, de bases e bancos de dados contendo dados pessoais, para os fins consentidos no artigo 11.º, é regulada por lei especial, com prévio parecer da CNPDPI.

2 - O disposto no número anterior não se aplica a ficheiros automatizados, a bases e bancos de dados mantidos por entidades públicas ou privadas, que não contenham dados pessoais referidos no artigo 11.º

3 - As entidades referidas no número anterior estão, porém, obrigadas a comunicar previamente à CNPDPI a constituição de ficheiros automatizados, de bases e bancos de dados com quaisquer outros dados pessoais e devem fazer acompanhar essa comunicação com os elementos constantes do artigo seguinte.

Artigo 18.º

Instrução dos pedidos

Os pedidos de parecer ou de autorização da CNPDPI para a constituição ou manutenção de ficheiros automatizados, de bases e bancos de dados pessoais, bem como a comunicação a que se refere o n.º 3 do artigo anterior, devem ser instruídos com os seguintes elementos:

a) Nome e endereço do responsável do ficheiro;

b) Características do ficheiro e sua finalidade;

c) Serviço ou serviços encarregados do processamento da informação;

d) Dados pessoais contidos em cada registo;

e) Forma da recolha e actualização dos dados;

f) Finalidade a que se destinam os dados, entidades a que podem ser transmitidos e em que condições;

g) Comparações, interconexões ou qualquer outra forma de inter-relacionar as informações registadas;

h) Medidas tomadas para garantir a segurança das informações;

i) Tempo de conservação dos dados pessoais;

j) Categoria de pessoas que têm directamente acesso às informações;

l) Forma e condições sob as quais as pessoas podem tomar conhecimento dos dados que lhes respeitem;

m) Forma como as pessoas podem fazer corrigir inexactidões dos dados que lhes respeitem.

Artigo 19.º

Indicações obrigatórias

1 - A lei, no caso especialmente previsto no n.º 1 do artigo 17.º, bem como as autorizações da CNPDPI, a que se referem as alíneas c) e d) do n.º 1 do artigo 8.º, devem indicar:

a) O responsável do ficheiro;

b) Os dados pessoais a incluir no registo;

c) O modo de recolha ou actualização dos dados;

d) A finalidade a que se destinam os dados, as entidades a que podem ser transmitidos e em que condições;

e) O tempo de conservação dos dados pessoais;

f) A forma como o titular do registo pode ter conhecimento dos dados que lhe digam respeito e em que condições;

g) A forma como o titular do registo pode fazer corrigir eventuais inexactidões dos dados que lhe respeitem.

2 - Qualquer alteração das indicações constantes do n.º 1 carece igualmente de ser prevista em lei especial, bem como de autorização da CNPDPI, ou apenas desta, consoante os casos.

Artigo 20.º

Funcionamento dos ficheiros

1 - Os responsáveis por ficheiros automatizados, de bases e de bancos de dados pessoais devem interromper imediatamente o seu funcionamento quando actuem em desconformidade com a presente lei e tenham recebido da entidade competente directriz nesse sentido.

2 - Sem prejuízo da aplicação de outras sanções que a lei preveja, os ficheiros automatizados a que se refere o número anterior podem ser impedidos de funcionar e, se necessário, ser o seu conteúdo destruído.

Artigo 21.º

Equipamento de segurança

Os ficheiros automatizados, as bases e bancos de dados pessoais devem ser equipados com sistemas de segurança que impeçam a consulta, modificação, destruição ou acrescentamento dos dados por pessoa não autorizada a fazê-lo e permitam detectar desvios de informação intencionais ou não.

CAPÍTULO V

Da recolha e da interconexão de dados pessoais

Artigo 22.º

Indicações constantes dos documentos base

1 - Os documentos que sirvam de base à recolha de dados pessoais devem indicar:

a) O facto de tais dados ou de parte deles serem processados automaticamente;

b) O carácter obrigatório ou facultativo do preenchimento dos documentos ou do fornecimento de dados;

c) As consequências da falta ou da inexactidão das respostas;

d) Os destinatários das informações;

e) A finalidade da recolha dos dados;

f) O responsável pelo ficheiro e respectivo endereço;

g) As condições de acesso referidas nos artigos 27.º e 28.º

2 - O disposto no número anterior não se aplica à recolha de informações destinadas à prevenção da criminalidade e à punição de infracções, bem como à recolha de informações destinadas a fins estatísticos, nos termos da legislação do Sistema Estatístico Nacional e do Instituto Nacional de Estatística.

Artigo 23.º

Destruição de dados

Decorrido o prazo de conservação autorizado, os dados devem ser destruídos, sem prejuízo da prorrogação desse prazo por lei especial ou autorização da CNPDPI, conforme os casos.

Artigo 24.º

Interconexão de dados pessoais

1 - É proibida a interconexão de ficheiros automatizados, de bases e bancos de dados pessoais, ressalvadas as exepções previstas na presente lei.

2 - Não é permitida a atribuição de um mesmo número de cidadão para efeitos de interconexão de ficheiros automatizados de dados pessoais que contenham informações de carácter policial, criminal ou médico.

Artigo 25.º

Interconexão de dados públicos

A interconexão de ficheiros automatizados, de bases e bancos de dados que contenham exclusivamente dados públicos pode processar-se entre entidades que prossigam os mesmos fins específicos, na dependência do mesmo responsável a que se refere a alínea h) do artigo 2.º

Artigo 26.º

Casos excepcionais

A lei que, em casos excepcionais, permitir a interconexão de ficheiros automatizados, de bancos e bases de dados deve definir expressamente os tipos de interconexão autorizados e a sua finalidade.

CAPÍTULO VI

Dos direitos e garantias individuais

Artigo 27.º

Direito de acesso às informações

A todas as pessoas, desde que devidamente identificadas, é reconhecido o direito de acesso às informações sobre elas registadas em ficheiros automatizados, bancos e bases de dados, com ressalva do disposto na lei sobre segredo de Estado e segredo de justiça.

Artigo 28.º

Exercício do direito de acesso

1 - O exercício do direito de acesso à informação não pode ser limitado, sem prejuízo de poder ser sujeito a regras destinadas a evitar abusos.

2 - A informação deve ser transmitida em linguagem clara, isenta de codificações e rigorosamente correspondente ao conteúdo do registo.

3 - A informação de carácter médico deve ser comunicada à pessoa a quem respeite, por intermédio do médico por ela designado.

Artigo 29.º

Excesso ou omissão de dados

Quando se verifique que um ficheiro automatizado, uma base ou um banco de dados pessoais contém dados excessivos em relação à sua finalidade ou peca por omissão de alguns, deve o responsável proceder, de imediato, à supressão dos excedentes ou à inclusão dos omissos.

Artigo 30.º

Informações inexactas

1 - Qualquer pessoa tem, relativamente a dados pessoais que lhe respeitam, o direito de exigir a correcção de informações inexactas e o completamento das total ou parcialmente omissas, bem como a supressão das que tenham sido obtidas por meios ilícitos ou enganosos ou cujo registo ou conservação não sejam permitidos.

2 - A prova da inexactidão cabe ao titular do registo quando a informação tiver sido fornecida por si ou com o seu consentimento, bem como se não tiver cumprido a obrigação legal de comunicar a alteração.

3 - Qualquer pessoa tem o direito de exigir que o seu nome e endereço sejam eliminados de ficheiros de endereços utilizados para mala directa.

Artigo 31.º

Intervenção do responsável

1 - Nas situações previstas no artigo anterior deve o responsável do suporte informático dar satisfação à pessoa em causa ou comunicar-lhe o que tiver por conveniente no prazo máximo de 30 dias.

2 - Da actuação do responsável do ficheiro pode o titular do registo apresentar queixa à CNPDPI.

Artigo 32.º

Sigilo profissional

1 - Os responsáveis dos ficheiros automatizados, de bases e bancos de dados, bem como as pessoas que, no exercício das suas funções, tenham conhecimento dos dados pessoais neles registados, ficam obrigados a sigilo profissional, mesmo após o termo das funções.

2 - Igual obrigação recai sobre os membros da CNPDPI, mesmo após o termo do mandato.

3 - O disposto nos números anteriores não exclui o dever do fornecimento das informações obrigatórias, nos termos legais, excepto quando constem de ficheiros organizados para fins estatísticos.

CAPÍTULO VII

Fluxos de dados transfronteiras

Artigo 33.º

Regime aplicável

1 - O disposto na presente lei aplica-se aos fluxos transfronteiras de dados pessoais, tratados automaticamente ou que se destinem a sê-lo, qualquer que seja o suporte utilizado.

2 - A CNPDPI pode, todavia, autorizar os fluxos transfronteiras de dados pessoais se o Estado de destino assegurar uma protecção equivalente à da presente lei.

3 - É proibido, em qualquer caso, o fluxo transfronteiras de dados pessoais se houver fundadas razões para crer que a sua transferência para um outro Estado tem por objectivo iludir as proibições ou os condicionalismos previstos na lei ou possibilitar a sua utilização ilícita.

CAPÍTULO VIII

Infracções e sanções

Artigo 34.º

Utilização ilegal de dados

1 - Quem, contra o disposto na lei, criar, mantiver ou modificar o conteúdo de ficheiro automatizado, base ou banco de dados pessoais ou fizer processar os mesmos dados é punido com prisão até um ano ou multa até 120 dias.

2 - A pena será agravada para o dobro dos seus limites tratando-se de dados pessoais referidos no artigo 11.º, fora das condições em que o processamento é autorizado.

3 - Nas mesmas penas incorre quem intencionalmente desviar dados pessoais da finalidade legalmente definida para a sua recolha e utilização.

Artigo 35.º

Obstrução ao acesso

1 - Quem, estando obrigado a garantir a outrem, nos termos da lei, o direito de acesso, de correcção ou de completamento de dados pessoais constantes de ficheiro automatizado, de base ou banco de dados, se recusar, sem justa causa, a fazê-lo, ou o fizer de modo intencionalmente erróneo ou incompleto, é punido com prisão até 1 ano ou multa até 120 dias.

2 - Se o agente actuar com negligência, a pena será de prisão até três meses ou multa até 90 dias.

3 - O procedimento criminal depende de queixa.

Artigo 36.º

Interconexação ilegal

1 - Quem, contra o disposto na lei, promover ou realizar a interconexão de ficheiros automatizados, de bases ou bancos de dados pessoais é punido com prisão até um ano ou multa até 120 dias.

2 - A pena é agravada para o dobro nos seus limites tratando-se dos dados referidos no artigo 11.º

3 - O disposto nos números anteriores é aplicável à violação da proibição constante do artigo 24.º, n.º 2.

4 - O tribunal decreta as medidas necessárias à cessação da interconexão de ficheiros, de bases ou bancos de dados ou à supressão do número a que se refere o artigo 24.º, n.º 2, quando subsistam à data da sentença.

Artigo 37.º

Falsas informações

1 - Quem fornecer falsas informações no pedido de autorização para a constituição ou manutenção de ficheiro automatizado de base ou banco de dados pessoais ou nele proceder a modificações não consentidas pelo intrumento de autorização é punido com prisão até 2 anos ou multa até 240 dias.

2 - Na mesma pena incorre quem omitir intencionalmente a comunicação a que se refere o n.º 3 do artigo 17.º

3 - Se o agente actuar com negligência, a pena é de prisão até 6 meses ou multa até 100 dias.

Artigo 38.º

Acesso indevido

1 - Quem, sem a devida autorização, por qualquer modo, aceder a um sistema informático de dados pessoais cujo acesso lhe está vedado é punido com prisão até 1 ano ou multa até 120 dias.

2 - A pena é agravada para o dobro nos seus limites quando o acesso:

a) For conseguido através de violação de regras técnicas de segurança;

b) Tiver possibilitado ao agente ou a terceiros o conhecimento de dados;

c) Tiver proporcionado ao agente ou a terceiros, com conhecimento daqueles, benefício ou vantagem patrimonial.

3 - No caso do n.º 1, o procedimento criminal depende de queixa.

Artigo 39.º

Viciação ou destruição de dados

1 - Quem, sem para tanto estar devidamente autorizado, apagar, destruir, danificar, suprimir ou modificar, tornando-os inutilizáveis ou afectando a sua capacidade de uso, dados pessoais constantes de ficheiro automatizado, de base ou de banco de dados é punido com prisão até 2 anos ou multa até 240 dias.

2 - A pena é agravada para o dobro nos seus limites se o dano produzido for particularmente grave.

3 - Se o agente actuar com negligência, a pena é, em ambos os casos, de prisão até 1 ano ou multa até 120 dias.

Artigo 40.º

Desobediência qualificada

1 - Quem, regularmente notificado para o efeito, não interromper o funcionamento de ficheiro automatizado, de base ou banco de dados pessoais, nos termos do artigo 20.º, é punido com a pena correspondente ao crime de desobediência qualificada.

2 - Na mesma pena incorre quem:

a) Recusar, sem justa causa, a colaboração que concretamente lhe for exigida nos termos do artigo 9.º, quando para tal for regularmente notificado;

b) Não proceder à destruição de dados pessoais, findo o prazo de conservação autorizado nos termos do artigo 23.º

Artigo 41.º

Violação do dever de sigilo

1 - Quem, obrigado a sigilo profissional, nos termos da lei, sem justa causa e sem o devido consentimento, revelar ou divulgar no todo ou em parte, dados pessoais contidos em ficheiro automatizado, base ou banco de dados, pondo em perigo a reputação, a honra e consideração ou a intimidade da vida privada de outrem, é punido com prisão até 2 anos ou multa até 240 dias.

2 - A pena é agravada de metade dos seus limites se o agente for:

a) Funcionário público ou equiparado, nos termos da lei penal;

b) Determinado pela intenção de obter qualquer vantagem patrimonial ou outro benefício ilegítimo.

3 - A negligência é punível com prisão até 6 meses ou multa até 120 dias.

4 - Fora dos casos previstos no n.º 2, o procedimento criminal depende de queixa.

Artigo 42.º

Punição da tentativa

Nos crimes previstos nas disposições anteriores, a tentativa é sempre punível.

Artigo 43.º

Pena acessória

Conjuntamente com as penas principais aplicadas, o tribunal pode ordenar a pena acessória da publicidade da sentença condenatória, integralmente ou por extracto, a expensas do condenado, em uma ou mais publicações periódicas.

CAPÍTULO IX

Disposições transitórias e finais

Artigo 44.º

Regulamentação

1 - Os responsáveis pelos serviços públicos que mantenham ficheiros automatizados, bases ou bancos de dados pessoais devem elaborar e propor superiormente, no prazo de seis meses, um projecto de regulamentação, tendo em conta as disposições da presente lei.

2 - O Governo aprecia as propostas previstas no número anterior e publica, no prazo de um ano, decreto regulamentar de execução da presente lei.

Artigo 45.º

Legalização dos suportes existentes

1 - As entidades referidas no n.º 3 do artigo 17.º responsáveis por ficheiros automatizados, bases ou bancos de dados pessoais que se encontrem já em funcionamento devem enviar à CNPDPI, no prazo de 90 dias após a sua instalação, a informação referente à sua existência e funcionamento, de acordo com as exigências do artigo 18.º

2 - A autorização para a manutenção dos suportes informáticos que dela careçam nos termos do presente diploma deve ser requerida à CNPDPI no prazo de um ano após a instalação desta.

3 - A autorização da CNPDPI deve ser concedida no prazo de 60 dias a contar da data da recepção do pedido.

4 - Ao incumprimento do disposto no n.º 1 é aplicável a medida prevista no n.º 2 do artigo 20.º

Aprovada em 19 de Fevereiro de 1991.

O Presidente da Assembleia da República, Vítor Pereira Crespo.

Promulgada em 9 de Abril de 1991.

Publique-se.

O Presidente da República, MÁRIO SOARES.

Referendada em 12 de Abril de 1991.

O Primeiro-Ministro, Aníbal António Cavaco Silva.