Atualizado em: 18-03-2022

Política de Privacidade

Objetivo Objetivo

A Política de Privacidade, no âmbito da Proteção de dados pessoais (RGPD), tem como objetivo definir os princípios gerais e as regras a serem aplicadas pelos Organismos da Segurança Social (ISS, I.P., ISS Açores, ISS Madeira, IGFSS, I.P. e IGFCSS, I.P), como responsáveis pelo tratamento, e pelo Instituto de Informática, I.P., como subcontratante, aos Dados Pessoais tratados no âmbito dos canais informativos e transacionais.

A Política de Privacidade considera as normas, standards e requisitos legais aplicáveis, contemplando uma notificação específica, explícita e informada sobre o processamento dos dados aos seus titulares.

Âmbito Âmbito

A Política de Privacidade aplica-se a todos os Dados Pessoais recolhidos e tratados pertencentes aos utilizadores dos canais informativos e transacionais.

Destinatários Destinatários

A Política de Privacidade tem como destinatários os utilizadores dos canais informativos e transacionais, os Titulares de Dados pessoais e os Organismos da Segurança Social.

Descrição Descrição

Os Organismos da Segurança Social tratam os Dados Pessoais em conformidade com os princípios seguintes, estabelecidos no nº 1 do artigo 5º do Regulamento (UE) 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de 2016, Regulamento Geral sobre Proteção de Dados (RGPD):

Licitude, Lealdade e Transparência
Limitação das Finalidades
Minimização dos Dados
Exatidão
Limitação da Conservação
Integridade e Confidencialidade

Os Organismos da Segurança Social definem medidas técnicas e organizacionais de Segurança adequadas para implementar eficazmente os princípios de proteção de Dados Pessoais, cumprindo a legislação em vigor, e protegendo os direitos, liberdades e garantias dos Titulares dos Dados.

Os Organismos da Segurança Social impõem o mesmo nível de proteção de Dados Pessoais a todos os seus fornecedores ou prestadores de serviço através de contratos apropriados.

Os Organismos da Segurança Social têm uma Organização interna de Proteção de Dados Pessoais para garantir a conformidade com as regras de proteção de Dados Pessoais, suportada por Encarregados de Proteção de Dados.

Princípios gerais Princípios gerais

Os Organismos da Segurança Social comprometem-se a efetuar o tratamento dos Dados Pessoais em conformidade com as normas e legislação aplicáveis. Por conseguinte, desenvolvem ferramentas e implementam ações com o objetivo de garantir e acompanhar a eficácia da proteção dos Dados Pessoais.

Os Organismos da Segurança Social devem possuir/adotar várias políticas internas e procedimentos de modo a aumentar a sensibilização dos seus colaboradores sobre a importância da proteção de Dados Pessoais, fornecendo-lhes orientação operacional sobre como cumprir a legislação de Proteção de Dados e acompanhar a conformidade da proteção de Dados Pessoais.

Os Organismos da Segurança Social estabelecem, através da presente política, uma Notificação de Privacidade aos titulares dos Dados Pessoais que obedece aos requisitos da legislação em vigor e garante uma comunicação específica, explícita e informada sobre o tratamento dos seus dados. São também definidas, na Política de Privacidade, as responsabilidades de notificar qualquer violação de Dados Pessoais às Autoridades de controlo competentes.

Os Organismos da Segurança Social comprometem-se a realizar um programa de formação/comunicação que sensibiliza os seus colaboradores na temática de segurança da informação e privacidade de dados pessoais.

Notificação de Privacidade Notificação de Privacidade

Os Organismos da Segurança Social tratam dados pessoais de forma lícita, nos termos do artigo 6º e 9.º do RGPD.

Os titulares dos Dados Pessoais têm o direito de estar informados sobre o processamento dos seus dados e poderão exercer, em qualquer momento, o direito de informação, acesso, retificação, eliminação, atualização, limitação do tratamento, portabilidade, bem como de oposição e não sujeição a decisões individuais automatizadas referentes aos seus dados pessoais, incluindo a revogação de consentimento, nos termos do RGPD ou da legislação aplicável. Para tal, deverão aceder à informação indicada no ponto de contactos.

Os Titulares dos Dados têm o direito de apresentar queixa à Autoridade de Controlo competente em caso de violação das regras aplicáveis em relação à proteção de Dados Pessoais.

Na eventualidade de violação de Dados Pessoais, o responsável pelo tratamento de dados (Organismos da Segurança Social), notificá-la-á às Autoridades de Controlo competentes e comunicá-la-á ao titular dos dados quando se justifique, nos termos dos artigos 33º e 34º do RGPD.

Recolha e Tratamento de Dados Pessoais Recolha e Tratamento de Dados Pessoais

Porquê e como é que são recolhidos os Dados Pessoais

No âmbito dos canais informativos e transacionais, os Organismos da Segurança Social tratam os Dados Pessoais referentes ao cumprimento das suas atribuições.

A recolha é feita por interconexão, comunicação ou junto do Titular dos Dados.

Qual a base legal para o Tratamento

Os Organismos da Segurança Social apenas tratam os Dados Pessoais se ocorrerem as situações de tratamento lícito previstas no RGPD.

Qual o período de Conservação de Dados Pessoais

Os Organismos da Segurança Social conservam os Dados Pessoais de acordo com os períodos impostos pela legislação em vigor, nomeadamente tendo em conta as suas missões e atribuições.

Os Organismos da Segurança Social nunca conservam os Dados Pessoais por período superior ao necessário, de acordo com os objetivos para os quais foram recolhidos e estão a ser tratados, nomeadamente, cumprimento de obrigações legais (ex: arquivo, auditoria, contratação pública, obrigações contabilísticas e fiscais), e resolução de disputas judiciais. As circunstâncias poderão variar consoante o contexto e o tipo de Dados Pessoais.

Como são partilhados os Dados Pessoais

Os Organismos da Segurança Social garantem que:

Os Dados Pessoais não são disponibilizados a terceiros sem consentimento prévio dos seus titulares sempre que este seja legalmente necessário;
Os Dados Pessoais não são disponibilizados, gratuita ou onerosamente, para fins, designadamente, de “marketing” direto, incluindo "mailing lists" para publicitação produtos e/ou serviços;
O tratamento de dados agregados (tais como localidade, idade e outros) para fins considerados de interesse público, designadamente no âmbito de produção estatística, é efetuado de forma lícita, nos termos do artigo 89º do RGPD. Neste âmbito, elementos de identificação pessoal, como o Nome, Número de BI, cartão de Cidadão ou Identificação Fiscal, ou informação de carácter privado não são disponibilizados;
Os Dados Pessoais serão disponibilizados apenas mediante pedido por parte de uma autoridade judicial ou autoridade pública com poderes legais para o fazer, de acordo com a legislação em vigor;
A confidencialidade e a segurança dos Dados Pessoais é assegurada durante a disponibilização para os destinatários acima mencionados.

Medidas de Segurança Medidas de Segurança

Os Organismos da Segurança Social seguem padrões de segurança organizacional e tecnológica, e práticas eficazes na gestão de segurança da informação, para proteção da confidencialidade, integridade e disponibilidade da informação, e provisão de confiança nos intercâmbios inter organizacionais.

O Instituto de Informática, I.P aplica o standard internacional ISO/IEC 27001, as normas comunitárias, a legislação, bem como as recomendações nacionais especificas em matéria de segurança da informação.

Os Organismos da Segurança Social devem possuir todas as medidas técnicas e organizacionais necessárias para garantir um nível de segurança dos Dados Pessoais adequado ao risco que pode ocorrer durante o seu processamento e, em particular, para proteger os Dados Pessoais contra a destruição, perda, alteração, divulgação não autorizada ou acesso acidental ou ilegal.

No âmbito dos canais informativos e transacionais, os Organismos da Segurança Social possuem as medidas técnicas e organizacionais adequadas para garantir a segurança dos Dados Pessoais.

O mesmo nível de proteção é imposto contratualmente pelos Organismos da Segurança Social aos seus fornecedores e prestadores de serviços.

Direitos do Titular dos Dados Direitos do Titular dos Dados

Em conformidade com as regras aplicáveis em relação à proteção de Dados Pessoais, caso o requeira, o Titular dos Dados pode exercer, em qualquer momento, o seu direito de obter o acesso, retificar, esquecer e transferir nos termos do artigo 20º do RGPD, os seus Dados Pessoais e também de restringir e opor-se ao Tratamento dos seus Dados Pessoais.

O exercício dos direitos dos Titular dos dados deve ser efetuado junto recorrendo ao formulário disponível em contactos.

Quando o Tratamento se baseia exclusivamente no consentimento do Titular, este tem o direito de o retirar em qualquer altura.

No seu próprio interesse, o Titular dos Dados deverá procurar manter os seus dados atualizados, devendo, para o efeito, contactar a entidade competente.

Os Titulares dos Dados têm o direito de apresentar queixa à Autoridade de Controlo competente em caso de violação das regras aplicáveis em relação à proteção de Dados Pessoais.

O Encarregado de Proteção de Dados O Encarregado de Proteção de Dados

Os Encarregados de Proteção de Dados informam e aconselham sobre os requisitos aplicáveis de proteção de Dados Pessoais e acompanham a conformidade com esses requisitos.

Os Encarregados de Proteção de Dados cooperam e agem como ponto de contacto com as Autoridades de Controlo competentes e com os titulares dos dados.

FAQ – Perguntas Frequentes FAQ – Perguntas Frequentes

1. O que é o Regulamento Geral de Proteção de Dados (RGPD)?

O Regulamento Geral de Proteção de Dados (entrou em vigor no dia 25 de maio de 2018 através do Regulamento Europeu (EU) 2016/679 e do Conselho de 27 de abril de 2016, do Parlamento Europeu, que pretende responder aos desafios colocados pela revolução tecnológica ocorrida nas últimas décadas e proteger melhor os dados sobre as pessoas, os direitos dos cidadãos da UE e a livre circulação de dados.

O RGPD:

Concilia as leis de privacidade de dados dos Estados Membros da União Europeia (UE);
Confere proteção e fortalece a privacidade de todos os cidadãos da EU;
Reestrutura o modo como as organizações abordam a privacidade dos dados.

2. O que são os dados pessoais?

É a informação relativa a uma pessoa singular identificada ou identificável («titular dos dados»); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular.

3. O que são categorias especiais de dados pessoais?

As categorias especiais de dados pessoais baseados no RGPD, ou dados sensíveis, são dados pessoais que revelam origem étnica ou racial, opiniões políticas, credos religiosos ou filosóficos, pertença sindical e o processamento de dados genéticos, biométricos com o propósito da identificação unívoca de uma pessoa natural, dados relacionados com a saúde ou dados relacionados com a vida sexual ou orientação sexual de uma pessoa.

4. A quem se aplica o Regulamento Geral de Proteção de Dados (RGPD)?

O RGPD aplica-se a todas as pessoas singulares e coletivas que efetuem tratamento de dados pessoais a residentes da UE, mesmo que estejam sediadas fora dela.

5. Titulares dos Dados

5.1. Quais são os direitos dos titulares de dados no âmbito do RGPD?

•Direito de informação e acesso aos seus dados pessoais;

•Direito à limitação do tratamento;

•Direito de não sujeição a decisões automatizadas;

•Direito de portabilidade;

•Direito à transparência;

•Direito à notificação;

•Direito de retificação, eliminação e oposição.

5.2. Como podem ser exercidos os direitos dos titulares de dados?

Através do site da Segurança Social, na página “Política de Privacidade no âmbito da Proteção de dados pessoais (RGPD)”.

6. Consentimento

6.1. É necessário o titular de Dados Pessoais dar consentimento para tratamento dos seus dados para se candidatar a benefícios da Segurança Social?

Não. Nos termos do art. 6.º, n.º 1, do RGPD, o tratamento de dados pessoais pela Segurança Social (Organismos) é lícito quando se torna necessário ao exercício de funções de interesse público (al. e) e se torna necessário ao cumprimento de uma obrigação jurídica, a que o Organismo se encontra sujeito (al. c) nos termos legalmente previstos.

6.2. Os colaboradores da Segurança Social (Organismos) no exercício das suas funções precisam do consentimento do titular dos dados para as operações de tratamento de dados pessoais que realizam?

Os colaboradores na prossecução daquela que é a missão da Segurança Social (Organismos) e no cumprimento das suas atribuições legalmente previstas, não necessitam de obter o consentimento dos titulares dos dados para efetuar as operações de tratamento de dados pessoais, na medida em que apenas efetuem os tratamentos de dados pessoais de que necessitam para o cumprimento de obrigações jurídicas.

6.3. Como pode ser reportado um incidente/violação de dados pessoais, no âmbito das competências da Segurança Social (Organismo)?

Qualquer cidadão, pode reportar através do site da Segurança Social, na página “Política de Privacidade no âmbito da Proteção de dados pessoais (RGPD)”.

6.4. Como podem ser solicitados esclarecimentos, questões ou informações relativas aos dados pessoais no âmbito das competências da Segurança Social (Organismos)?

Qualquer cidadão pode solicitar, através do site da Segurança Social, na página “Política de Privacidade no âmbito da Proteção de dados pessoais (RGPD)”.

7. Encarregado(a) de Proteção de Dados. O que é e qual a sua função?

O “Encarregado de Proteção de Dados” (EPD), também conhecido por DPO (Data Protection Officer), é designado pelos organismos da Segurança Social, de acordo com o seu perfil e tem as seguintes funções específicas:

7.1. Funções do encarregado de proteção de dados

Informar e aconselhar o responsável pelo tratamento, o subcontratante, e os seus trabalhadores, sobre as respetivas obrigações nos termos da lei da proteção de dados;
Controlar o cumprimento, por parte do respetivo Organismo, de toda a legislação relacionada com a proteção de dados, nomeadamente em auditorias (quer periódicas, quer não programadas), atividades de sensibilização e formação do pessoal implicado nas operações de tratamento;
Prestar aconselhamento sempre que tenha sido realizada uma Avaliação de Impacto de Proteção de Dados (AIPD/DPIA) e controlar a sua implementação;
Atuar como ponto de contacto para pedidos de pessoas relativamente ao tratamento dos seus dados pessoais e ao exercício dos seus direitos;
Cooperar com a autoridade de controlo e atuar como ponto de contacto das mesmas sobre questões relacionadas com o tratamento.

7.2. Dever de sigilo e confidencialidade

O encarregado de proteção de dados está obrigado a um dever especial de sigilo profissional em tudo o que diga respeito ao exercício dessas funções, nos termos do n.º 5 do artigo 38.º do RGPD, que se mantém após o termo das funções que lhes deram origem. O encarregado de proteção de dados está obrigado a um dever de confidencialidade que acresce aos deveres de sigilo profissional previsto na lei.

8. A proteção dos dados

8.1. Como garante a Segurança Social (Organismos), a proteção dos dados dos cidadãos?

Neste âmbito, a Segurança Social (Organismos) assume os seguintes compromissos:

Proceder ao tratamento de dados de forma lícita e leal, recolhendo apenas a informação necessária e pertinente à finalidade a que se destina;
Utilizar os dados recolhidos apenas para finalidade compatível com a explicitada no momento da recolha e não realizar interconexão de dados pessoais, salvo autorização legal ou recolha do consentimento expresso dado pelo titular dos dados;
Manter os dados exatos e, quando se justifique, atualizados;
Garantir, quando requerido pelo titular dos dados, o exercício do direito de acesso, retificação, eliminação e oposição;
Ter sistemas de segurança que impeçam o acesso não autorizado ou o uso indevido dos dados pessoais que lhe são confiados;
Tratar os seus dados em observância ao dever de sigilo profissional;
Conservar os dados pessoais apenas pelo período mínimo necessário para as finalidades que motivaram a sua recolha, sem prejuízo de situações que possam justificar a sua manutenção por períodos mais longos (para fins de arquivo de interesse público, de investigação científica ou histórica ou para fins estatísticos) sujeitos às medidas técnicas e organizativas adequadas.

8.2. Sigilo e confidencialidade

Os responsáveis pelo tratamento de dados, incluindo os subcontratantes, e todas as pessoas que intervenham em qualquer operação de tratamento de dados, estão obrigados a um dever de confidencialidade que acresce aos deveres de sigilo profissional previsto na lei.

9. Tratamento dos dados

9.1. O que é o tratamento de dados?

O tratamento de dados é uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, a eliminação ou a destruição.

9.2. Quais os princípios fundamentais relativos ao tratamento de dados pessoais?

Princípio da licitude, lealdade e transparência - Os dados pessoais são objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados;
Princípio da limitação das finalidades - Os dados pessoais são recolhidos para finalidades determinadas, explícitas e legítimas, não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades; o tratamento posterior para fins de arquivo de interesse público, ou para fins de investigação científica ou histórica ou para fins estatísticos, não é considerado incompatível com as finalidades iniciais;
Princípio da minimização dos dados - Os dados pessoais são adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados;
Princípio da exatidão - Os dados pessoais são exatos e atualizados sempre que necessário; devem ser adotadas todas as medidas adequadas para que os dados imprecisos, tendo em conta as finalidades para que são tratados, sejam apagados ou retificados sem demora;
Princípio da limitação da conservação - Os dados pessoais são conservados de uma forma que permita a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados; os dados poderão ser conservados durante períodos mais longos, desde que sejam tratados exclusivamente para fins de arquivo de interesse público, ou para fins de investigação científica ou histórica ou para fins estatísticos, sujeitos à aplicação das medidas técnicas e organizacionais adequadas;
Princípio da integridade e confidencialidade – Os dados pessoais são tratados de uma forma que garanta a sua segurança, incluindo a proteção contra o seu tratamento não autorizado ou ilícito e contra a sua perda acidental, destruição ou danificação, adotando as medidas técnicas e organizacionais adequadas;
Princípio da responsabilidade demonstrada - O responsável pelo tratamento é responsável pelo cumprimento dos princípios relativos ao tratamento de dados pessoais e tem de poder comprová-lo.

9.3. Que categorias de dados são objeto de tratamento na Segurança Social (Organismos)?

Para além dos dados pessoais, são ainda objeto de tratamento algumas categorias especiais de dados pessoais. Em qualquer destas situações, o tratamento é limitado a uma finalidade determinada, explícita e legalmente prevista, a qual confere à Segurança Social (Organismos) a legitimidade para o respetivo tratamento.

9.4. Como coexiste o dever de cooperação entre entidades públicas previsto pelo Código de Procedimento Administrativo (CPA) e o dever de proteção de dados previsto no RGPD?

O dever de cooperação entre entidades públicas previsto no CPA mantém-se em vigor, porém toda e qualquer transmissão de dados pessoais entre entidades públicas para finalidades diferentes das determinadas pela recolha tem caráter excecional e deve ser devidamente fundamentada com vista a assegurar a prossecução do interesse público que de outra forma não possa ser acautelado, conforme previsto na alínea e) do n.º 1, do n.º 4 do artigo 6.º e da alínea g) do n.º 2 do artigo 9.º do RGPD.

9.5. Que tipo de informação pode ser prestada a outros Organismos públicos?

Fora do desígnio da missão de cada Organismo, na articulação com outros Organismos terá que ser acautelada a existência de fundamento de licitude para as operações de tratamento de dados pessoais que sejam efetuadas. No caso concreto dos pedidos específicos apresentados por outras entidades públicas, o que legitima o pedido não é a entidade em questão ou o cargo de quem apresenta o pedido (ex. agente da PSP, GNR, advogado, etc.), mas a fundamentação apresentada para o pedido em concreto, a qual deverá ser objeto de análise relativamente à finalidade e ao fundamento de licitude invocado.

9.6. Como se compagina o direito à informação e à transparência da administração pública e o direito à proteção de dados?

Não existindo direitos absolutos, as próprias leis podem mitigar certos direitos e impedir que estes sejam exercidos em determinadas circunstâncias (por exemplo, o “direito a ser esquecido" terá pouca aplicação no contexto da Segurança Social). Assim, em situações concretas que suscitam dúvidas quanto à possibilidade de coexistência de certos direitos, deverá ser analisado e decidido pelas autoridades competentes, qual dos direitos deve prevalecer.

Do equilíbrio entre o direito à transparência da Administração Pública da Comissão de Acesso aos Documentos Administrativos (CADA) e o direito à proteção dos dados do RGPD, deverá ser assegurada a devida ponderação entre o interesse público e os interesses legítimos dos Organismos da Segurança Social, e o direito à privacidade - onde se insere, com particular relevância, o dever de proteção dos dados pessoais das pessoas singulares.

10. Dados recolhidos

10.1. Quais os prazos de tratamento e conservação de dados pessoais?

O período de tempo durante o qual os dados pessoais são armazenados e conservados varia de acordo com a finalidade para a qual a informação é tratada.

Sempre que não exista uma exigência legal específica, os dados serão armazenados e conservados apenas pelo período mínimo necessário para a prossecução das finalidades que motivaram a sua recolha ou o seu posterior tratamento, nos termos definidos na lei.

10.2. O que devo fazer se tomar conhecimento que dados confiados à Segurança Social (Organismos) estão na posse de terceiros?

O RGPD tem medidas muito claras relativamente a estes casos. Existem prazos para comunicar ao Encarregado da Proteção de Dados, que por sua vez, terá que informar a Comissão Nacional de Proteção de Dados num máximo de 72h, após a tomada de conhecimento de que os dados foram comprometidos. Se a violação do RGPD puder afetar significativamente o(s) titular(es) dos dados, poderá ser necessário informá-lo(s).

10.3 Como eliminar dados pessoais?

Os dados pessoais são armazenados e conservados de acordo com a finalidade para a qual a informação é tratada.

O RGPD não faz distinção entre suporte em papel ou digital. Em todos os casos é necessário assegurar a efetiva destruição dos dados. Se os dados estiverem em papel, deve ser usada uma destruidora de papel. Se os dados estiverem em suporte digital, por exemplo, CDs/DVDs, devem também ser efetivamente destruídos. Se os dados estiverem num computador, depois de apagados, é importante assegurar que os ficheiros são igualmente eliminados na “Reciclagem”.

10.4. A Segurança Social (Organismos), pode fazer o tratamento de categorias especiais de dados pessoais?

A Segurança Social (Organismos) pode fazer tratamento de categorias especiais de dados, quando necessário para cumprir obrigações legais a que está sujeito.

Contactos / “Formulário de Proteção de Dados” Contactos / “Formulário de Proteção de Dados”

O titular pode apresentar pedidos em matéria de proteção de dados (exercício de direitos, pedidos de esclarecimento ou reporte de incidentes de violação de dados pessoais) junto dos Organismos da Segurança Social e Instituto de Informática, IP, designadamente através dos endereços de correio eletrónico: