de 28 de abril
Regula a base de dados e os dados pessoais registados objeto de tratamento informático no âmbito do regime de exercício da atividade de segurança privada, aprovado pela Lei 34/2013, de 16 de maio.
A Assembleia da República decreta, nos termos da alínea c) do artigo 161.º da Constituição, o seguinte:
Artigo 1.º
Objeto e âmbito
1 - A presente lei regula a base de dados e os dados pessoais registados objeto de tratamento informático no âmbito do regime de exercício da atividade de segurança privada, aprovado pela Lei 34/2013, de 16 de maio, designado por Sistema Integrado de Gestão de Segurança Privada (SIGESP).
2 - O SIGESP é mantido pela Direção Nacional da Polícia de Segurança Pública (PSP), com a finalidade de organizar e manter atualizada a informação e dados pessoais necessários ao controlo, licenciamento e fiscalização do exercício da atividade de segurança privada.
3 - A tramitação dos procedimentos de licenciamento, cumprimento de deveres e controlo da atividade de segurança privada é realizada eletronicamente através do SIGESP.
4 - O SIGESP assegura a existência de um registo único relativo às entidades ou pessoas que prestam serviços ou que exercem funções de segurança privada, contemplando os dados relativos aos processos de licenciamento requeridos, às ações de controlo da atividade e sanções aplicadas no âmbito do exercício da atividade de segurança privada.
5 - O responsável das bases de dados, nos termos e para os efeitos do disposto no n.º 1 do artigo 30.º da Lei 67/98, de 26 de outubro, é a Direção Nacional da PSP.
6 - Cabe à entidade referida no número anterior a responsabilidade de assegurar o direito de informação e de acesso aos dados pelos respetivos titulares e a correção de inexatidões, bem como de velar para que a consulta ou a comunicação da informação respeite as demais obrigações decorrentes da lei.
Artigo 2.º
Qualidade dos dados
Os dados recolhidos nos termos da presente lei devem ser exatos e atuais, limitando-se à informação estritamente necessária, no âmbito da atividade de segurança privada, para as seguintes finalidades:
a) Instrução dos processos de licenciamento;
b) Instrução dos processos de contraordenação;
c) Controlo do cumprimento e manutenção dos requisitos de exercício da atividade de segurança privada;
d) Registo do cadastro de cada entidade ou registo de infrações de pessoa às quais foram aplicadas sanções previstas na Lei 34/2013, de 16 de maio.
Artigo 3.º
Recolha de dados
1 - Podem ser objeto de recolha os dados relativos aos seguintes processos:
a) De licenciamento e verificação de requisitos de empresas de segurança privada;
b) De licenciamento e verificação de requisitos de entidades que organizem serviços internos de autoproteção;
c) De licenciamento e verificação de requisitos de entidades formadoras;
d) De licenciamento e verificação de requisitos de entidades consultoras de segurança;
e) De registo prévio de entidades que procedam ao estudo e conceção, instalação, manutenção ou assistência técnica de material e equipamento de segurança ou de centrais de alarme;
f) De licenciamento e verificação de requisitos do pessoal de vigilância;
g) De licenciamento e verificação de requisitos dos diretores de segurança;
h) De contraordenação relativos ao regime jurídico de exercício da atividade de segurança privada.
2 - Os dados pessoais constantes do SIGESP são recolhidos a partir dos requerimentos ou documentos submetidos eletronicamente ou remetidos à Direção Nacional da PSP.
Artigo 4.º
Dados pessoais
1 - Nos processos de licenciamento e verificação de requisitos previstos nas alíneas a) a g) do n.º 1 do artigo anterior são recolhidos, para efeitos de tratamento, em função da finalidade de verificação dos requisitos e incompatibilidades para o exercício da atividade de segurança privada, os dados pessoais relativos a administradores ou gerentes, representantes legais, responsáveis pelos serviços de autoproteção, responsáveis ou gestores de formação, coordenadores pedagógicos, formadores, técnicos responsáveis, diretores de segurança e pessoal de vigilância.
2 - Os dados pessoais recolhidos nos termos do número anterior compreendem:
a) No que se refere a administradores e gerentes: nome, data de nascimento, nacionalidade, género, tipo, número e data de validade de documento de identificação, autoridade emissora de documento de identificação, habilitações académicas, residência, informação do registo criminal, número de identificação fiscal, cargo e natureza do vínculo, data de nomeação e de cessação de funções e as decisões definitivas ou transitadas em julgado a que se refere a alínea e) do n.º 1 do artigo 22.º da Lei 34/2013, de 16 de maio;
b) No que se refere a representantes legais: nome, residência, número de identificação fiscal, cargo e natureza do vínculo, data de nomeação e de cessação de funções e as decisões definitivas ou transitadas em julgado a que se refere a alínea e) do n.º 1 do artigo 22.º da Lei 34/2013, de 16 de maio;
c) No que se refere a responsáveis pelos serviços de autoproteção: nome, data de nascimento, nacionalidade, género, tipo, número e data de validade de documento de identificação, autoridade emissora de documento de identificação, habilitações académicas, residência, informação do registo criminal, número de identificação fiscal, número de identificação da segurança social, registo da formação específica prevista no n.º 6 do artigo 22.º da Lei 34/2013, de 16 de maio, data e entidade formadora, cargo e natureza do vínculo e a data de nomeação e data de cessação de funções;
d) No que se refere a gestores de formação: nome, data de nascimento, género, tipo, número e data de validade de documento de identificação, autoridade emissora de documento de identificação, habilitações académicas, residência, informação do registo criminal, número de identificação fiscal, número de identificação da segurança social, qualificações profissionais, cargo e natureza do vínculo, data de nomeação e data de cessação de funções e as decisões definitivas ou transitadas em julgado a que se refere a alínea e) do n.º 1 do artigo 22.º da Lei 34/2013, de 16 de maio;
e) No que se refere a coordenadores pedagógicos: nome, data de nascimento, género, tipo, número e data de validade de documento de identificação, autoridade emissora de documento de identificação, habilitações académicas, residência, informação do registo criminal, número de identificação fiscal, número de identificação da segurança social, qualificações profissionais, cargo e natureza do vínculo, data de nomeação e data de cessação de funções, bem como as decisões definitivas ou transitadas em julgado a que se refere a alínea e) do n.º 1 do artigo 22.º da Lei 34/2013, de 16 de maio;
f) No que se refere a formadores: nome, data de nascimento, género, tipo, número e data de validade de documento de identificação, autoridade emissora de documento de identificação, habilitações académicas, residência, informação do registo criminal, número de identificação fiscal, número de identificação da segurança social, qualificações profissionais, cargo e natureza do vínculo, data de nomeação e data de cessação de funções, bem como as decisões definitivas ou transitadas em julgado a que se refere a alínea e) do n.º 1 do artigo 22.º da Lei 34/2013, de 16 de maio;
g) No que se refere a técnicos responsáveis: nome, data de nascimento, nacionalidade, género, tipo, número e data de validade de documento de identificação, autoridade emissora de documento de identificação, habilitações académicas, residência, número de identificação fiscal, qualificações profissionais, entidade acreditadora e data de acreditação, cargo e natureza do vínculo e as datas de nomeação e de cessação de funções;
h) No que se refere a diretores de segurança: nome, data de nascimento, nacionalidade, género, tipo, número e data de validade de documento de identificação, autoridade emissora de documento de identificação, habilitações académicas, residência, informação do registo criminal, número de identificação fiscal, número de identificação da segurança social, registo da formação específica prevista no n.º 6 do artigo 22.º da Lei 34/2013, de 16 de maio, data e entidade formadora, cargo, natureza do vínculo e contrato de trabalho, data de nomeação e data de cessação de funções, número de diretor de segurança e o tipo, data de emissão e data de validade do cartão profissional;
i) No que se refere a pessoal de vigilância: nome, data de nascimento, nacionalidade, género, tipo, número e data de validade de documento de identificação, autoridade emissora de documento de identificação, habilitações académicas, residência, informação do registo criminal, número de identificação fiscal, número de identificação da segurança social, registo das formações específicas previstas na alínea b) do n.º 5 do artigo 22.º da Lei 34/2013, de 16 de maio, data e entidade formadora, menção do atestado médico e do certificado de avaliação psicológica a que se refere o n.º 4 do artigo 24.º da Lei 34/2013, de 16 de maio, função, natureza do vínculo e contrato de trabalho, data de nomeação e data de cessação de funções, número de segurança privado e o tipo, data de emissão e data de validade do cartão profissional.
3 - No registo de contraordenações relativas ao regime de exercício da atividade de segurança privada são recolhidos, para efeito de tratamento automatizado, os dados pessoais relativos a pessoas singulares ou coletivas, compreendendo o nome, tipo, número e data de validade de documento de identificação, autoridade emissora de documento de identificação, contraordenação praticada, tempo e lugar da prática dos factos, data da decisão e entidade decisora, coimas e sanções acessórias aplicadas.
4 - O registo de contraordenações a que se refere o número anterior deve ser eliminado imediatamente após o decurso do prazo de três anos a contar da decisão definitiva ou transitada em julgado.
Artigo 5.º
Processos de licenciamento, controlo e verificação de requisitos
1 - Nos processos de licenciamento, controlo e verificação de requisitos de empresas de segurança privada, entidades com serviços internos de autoproteção, entidades formadoras e entidades consultoras de segurança, são recolhidos, de acordo com a finalidade, para efeitos de tratamento automatizado, os dados pessoais relativos a administradores ou gerentes, representantes legais, responsáveis pelos serviços de autoproteção, responsáveis ou gestores de formação, coordenadores pedagógicos, formadores, diretores de segurança e pessoal de vigilância previstos no artigo anterior.
2 - Nos processos referidos no número anterior são ainda recolhidos, de acordo com a finalidade, para efeitos de tratamento automatizado, os seguintes dados:
a) No que se refere à entidade: designação comercial, número de identificação de pessoa coletiva, capital social, classificação de atividade económica, número de matrícula, estatuto legal e sede social;
b) No que se refere às instalações: identificação de instalações averbadas e respetivos endereços, central de contacto permanente de empresa de segurança privada, tipo e finalidade da instalação, contactos telefónicos, fax, correio eletrónico e memória descritiva dos requisitos ou medidas de segurança implementadas previstas na regulamentação a que se refere o n.º 2 do artigo 3.º da Lei 34/2013, de 16 de maio;
c) No que se refere ao licenciamento: tipo de alvará, licença ou autorização, âmbito de serviços, data de emissão e validade, data de suspensão ou cancelamento e motivo;
d) No que se refere a processos administrativos de licenciamento: identificação dos processos;
e) No que se refere a processos de contraordenação: identificação dos processos;
f) No que se refere ao cumprimento de deveres especiais: número e validade de apólices de seguro, tipo e número de caução a favor do Estado, registo dos cumprimentos dos deveres relativos ao Estado e à segurança social.
3 - Nos processos relativos a empresas de segurança privada são ainda recolhidos, de acordo com a finalidade, para efeitos de tratamento automatizado, os seguintes dados:
a) No que se refere a modelos de uniformes, distintivos, símbolos e marcas: processo administrativo, compreendendo registo de entrada, pareceres emitidos, data e tipo de decisão, memória descritiva, artigos de uniforme, distintivos, símbolos e marcas aprovadas e suas características identificadoras;
b) No que se refere ao registo de sistemas de videovigilância: número e data de registo, localização geográfica dos sistemas de videovigilância, nome e endereço do responsável pelo tratamento de dados, características do sistema de videovigilância, descrição sumária das medidas de segurança físicas e lógicas do tratamento e registo ou autorização da Comissão Nacional de Proteção de Dados (CNPD);
c) No que se refere ao registo de pessoal de vigilância autorizado a ser portador de arma: número de segurança privado, licença de uso e porte de arma e características da arma;
d) No que se refere ao registo de utilização de canídeos: nome, raça e registo do canídeo, número do segurança privado habilitado e autorizado a utilizar canídeos;
e) No que se refere ao registo de veículos de transporte de valores: matrícula, marca e modelo, certificado e registo de inspeção técnica de verificação de requisitos;
f) No que se refere ao registo de atividades: designação e número de identificação fiscal do cliente, número de contrato, tipo de serviço de segurança privada prestado, data de início e termo do contrato, local onde é prestado o serviço, meios humanos e materiais utilizados.
4 - Os dados a que se referem as alíneas a) a e) do número anterior são aplicáveis aos processos de entidades com serviços internos de autoproteção.
5 - Nos processos relativos a entidades formadoras são ainda recolhidos, de acordo com a finalidade, para efeitos de tratamento automatizado, os seguintes dados:
a) A certificação como entidade formadora;
b) Registo de instalações autorizadas para formação profissional;
c) Dossier técnico-pedagógico;
d) Registo de ações de formação, incluindo o tipo de ação de formação, a data de início e termo, o local de realização, o plano e horário de formação, os formados, os formadores e os certificados emitidos.
Artigo 6.º
Processos de registo prévio, controlo e verificação de requisitos
1 - Nos processos de registo prévio, controlo e verificação de requisitos das entidades a que se refere o n.º 3 do artigo 12.º da Lei 34/2013, de 16 de maio, são recolhidos, de acordo com a finalidade, para efeitos de tratamento automatizado, os dados pessoais relativos a representantes legais e técnicos responsáveis a que se refere o artigo 4.º
2 - Nos processos referidos no número anterior são ainda recolhidos, de acordo com a finalidade, para efeitos de tratamento automatizado, os seguintes dados:
a) Entidade: designação comercial, número de identificação de pessoa coletiva, capital social, classificação de atividade económica, número de matrícula, estatuto legal e sede social;
b) Instalações: identificação de instalações averbadas e respetivos endereços, contactos telefónicos, fax e correio eletrónico;
c) Registo prévio: tipo e número de registo prévio, âmbito de serviços, data de emissão e validade, data de suspensão ou cancelamento e motivo;
d) Material e equipamento de segurança: identificação do tipo de material e equipamentos de segurança no âmbito da prestação de serviços sujeita a registo prévio;
e) Processos administrativos de licenciamento: identificação dos processos;
f) Processos de contraordenação: identificação dos processos;
g) Cumprimento de deveres especiais: número e validade de apólices de seguro e registo dos cumprimentos dos deveres relativos ao Estado e à segurança social;
h) Certificação de qualidade.
Artigo 7.º
Processos de licenciamento, controlo e verificação de requisitos de profissões regulamentadas
1 - Nos processos de licenciamento, controlo e verificação de requisitos de diretores de segurança e pessoal de vigilância, são recolhidos, de acordo com a finalidade, para efeitos de tratamento automatizado, os dados pessoais a que se refere o artigo 4.º
2 - Para efeitos de emissão de cartão profissional, são ainda recolhidos a fotografia e a assinatura.
3 - No processo de licenciamento, controlo e verificação de requisitos das profissões a que se refere o n.º 1, são ainda recolhidos, para efeitos de tratamento automatizado, os seguintes dados:
a) Formações profissionais averbadas;
b) Identificação dos processos administrativos de licenciamento;
c) Identificação dos processos de contraordenação.
Artigo 8.º
Verificação de informação
1 - No âmbito dos processos de licenciamento, a informação constante do SIGESP pode ser confirmada, nos termos legalmente admitidos, por consulta à informação contida nas seguintes bases de dados:
a) Bases de dados do Sistema de Informação da Classificação Portuguesa de Atividades Económicas e bases de dados do Instituto dos Registos e Notariado, I. P., para verificação da classificação de atividade económica e dos dados relativos a pessoas coletivas;
b) Base de dados do Instituto da Segurança Social, I. P., para verificação dos dados relativos à situação laboral de pessoal de segurança privada, compreendendo o número de identificação de segurança social do trabalhador e da entidade de segurança privada e as datas de início e de fim da qualificação;
c) Base de dados de identificação criminal, nos termos da Lei 57/98, de 18 de agosto, alterada pelo Decreto-Lei 323/2001, de 17 de dezembro, e pelas Leis 113/2009, de 17 de setembro, 114/2009, de 22 de setembro e 115/2009, de 12 de outubro, e do Decreto-Lei 381/98, de 27 de novembro, alterado pelos Decretos-Leis 20/2007, de 23 de janeiro e 288/2009, de 8 de outubro, para obtenção do registo criminal em nome do próprio e de informação do registo de contumazes.
2 - Os termos dos acessos previstos no número anterior são definidos em protocolos a celebrar entre a Direção Nacional da PSP e os serviços públicos responsáveis pelas bases de dados, sendo previamente notificados à CNPD para ponderação da sua conformidade com os requisitos legais aplicáveis ao tratamento de dados pessoais.
3 - O disposto nos números anteriores não prejudica a prestação de consentimento pelos respetivos titulares, nos termos legais, sendo dispensada para o efeito a apresentação de documentos ou outros meios de prova previstos no regime jurídico de exercício da atividade de segurança e respetiva regulamentação.
Artigo 9.º
Comunicação de dados
Os dados pessoais constantes do SIGESP podem ser comunicados a outros serviços públicos, quando devidamente identificados e no quadro das atribuições da força ou serviço requisitante, quando exista obrigação ou autorização legal nesse sentido ou autorização expressa da CNPD.
Artigo 10.º
Acesso direto à informação
1 - As entidades que, mediante disposição legal ou deliberação da CNPD, sejam autorizadas a aceder diretamente ao SIGESP, devem adotar as medidas administrativas técnicas necessárias a garantir que a informação não possa ser obtida indevidamente, nem usada para fim diferente do permitido.
2 - As pesquisas ou tentativas de pesquisas diretas ficam registadas informaticamente, por um período não inferior a um ano, devendo o seu registo ser objeto de controlo adequado pela entidade responsável pela base de dados.
3 - Para efeitos do número anterior, a entidade responsável pela base de dados pode solicitar os esclarecimentos que se justifiquem às entidades cuja pesquisa haja sido registada.
Artigo 11.º
Informação para fins de investigação ou estatística
Para além dos casos previstos nos artigos anteriores, a informação pode ser comunicada, para fins de investigação científica e estatística, mediante autorização do responsável da base de dados, desde que não possam ser identificáveis as pessoas a quem respeitam e desde que sejam observadas as disposições legais aplicáveis nesta matéria.
Artigo 12.º
Direito à informação e acesso aos dados
A qualquer pessoa, desde que devidamente identificada, é reconhecido o direito de conhecer o conteúdo do registo ou registos que, constantes das bases de dados, lhe respeitem, mediante comunicação por escrito a dirigir ao Diretor Nacional da PSP.
Artigo 13.º
Correção de eventuais inexatidões
Qualquer pessoa tem o direito de exigir a correção de eventuais inexatidões, a supressão de dados indevidamente registados e a correção das omissões dos dados que lhe digam respeito, nos termos previstos na alínea d) do n.º 1 do artigo 11.º da Lei 67/98, de 26 de outubro.
Artigo 14.º
Conservação dos dados pessoais
Os dados pessoais são conservados no SIGESP até três anos após a cessação da atividade por entidade ou pessoa licenciada para a prestação de serviços de segurança privada.
Artigo 15.º
Segurança da informação
1 - Ao SIGESP devem ser conferidas as garantias de segurança necessárias a impedir a consulta, a modificação, a supressão, o adicionamento, a destruição ou a comunicação de dados por forma não consentida pela presente lei.
2 - Tendo em vista a segurança da informação, deve observar-se o seguinte:
a) A entrada nas instalações utilizadas para o tratamento de dados pessoais é objeto de controlo, a fim de impedir o acesso de qualquer pessoa não autorizada;
b) Os suportes de dados e respetivo transporte são objeto de controlo, a fim de impedir que possam ser lidos, copiados, alterados ou eliminados por qualquer pessoa por forma não autorizada;
c) A inserção de dados é objeto de controlo para impedir a introdução, bem como qualquer tomada de conhecimento, alteração ou eliminação não autorizada de dados pessoais;
d) Os sistemas de tratamento automatizado de dados são objeto de controlo, para impedir que possam ser utilizados por pessoas não autorizadas, através de instalações de transmissão de dados;
e) O acesso aos dados é objeto de controlo, para que as pessoas autorizadas só possam ter acesso aos dados que interessem ao exercício das suas atribuições e competências legais;
f) A transmissão dos dados é objeto de controlo, para garantir que a sua utilização seja limitada às entidades autorizadas;
g) A introdução de dados pessoais nos sistemas de tratamento automatizado é objeto de controlo, de forma a verificar-se que dados foram introduzidos, quando e por quem.
Artigo 16.º
Sigilo profissional
1 - A comunicação ou a revelação dos dados pessoais registados no SIGESP só pode ser efetuada nos termos previstos na presente lei.
2 - As pessoas que no exercício das suas funções tenham conhecimento dos dados pessoais registados no SIGESP ficam obrigadas a sigilo profissional, nos termos do artigo 17.º da Lei 67/98, de 26 de outubro.
Artigo 17.º
Norma revogatória
É revogado o Decreto-Lei 309/98, de 14 de outubro.
Artigo 18.º
Entrada em vigor
A presente lei entra em vigor 15 dias após a data da sua publicação.
Aprovada em 21 de março de 2014.
A Presidente da Assembleia da República, Maria da Assunção A. Esteves.
Promulgada em 16 de abril de 2014.
Publique-se.
O Presidente da República, Aníbal Cavaco Silva.
Referendada em 17 de abril de 2014.
O Primeiro-Ministro, Pedro Passos Coelho.
