O Artigo 49º da GDPR estabelece as derrogações aplicáveis em situações particulares, permitindo que as transferências de dados pessoais para países terceiros ou organizações internacionais ocorram mesmo na ausência de uma decisão de adequação ou garantias adequadas, desde que certas condições sejam atendidas. Essas derrogações são exceções ao regime geral de transferências de dados, aplicando-se apenas em circunstâncias específicas, como quando o titular dos dados der consentimento explícito, ou quando a transferência for necessária para a execução de um contrato, para proteger interesses vitais, ou por motivos importantes de interesse público.

As derrogações são projetadas para oferecer flexibilidade em situações onde as transferências de dados são essenciais, mas devem ser utilizadas com cautela para garantir que os direitos e liberdades dos titulares dos dados sejam protegidos.

O Artigo 33º da GDPR estabelece a obrigação dos controladores de notificar a autoridade de controle competente sobre qualquer violação de dados pessoais que possa representar um risco para os direitos e liberdades dos titulares dos dados. A notificação deve ser feita sem demora injustificada e, sempre que possível, no prazo de 72 horas após a constatação da violação.

Este artigo também define as circunstâncias em que o operador deve informar o controlador sobre uma violação de dados e o conteúdo que deve ser incluído na notificação à autoridade de controle.

O Artigo 41º da GDPR estabelece o processo de monitorização e supervisão dos Códigos de Conduta que foram aprovados. Ele especifica que essa monitorização deve ser realizada por organismos que possuam competência e independência adequadas para desempenhar essa função. O objetivo é assegurar que as organizações que adotam Códigos de Conduta cumpram efetivamente com as diretrizes estabelecidas, garantindo a conformidade com a GDPR.

Este artigo é fundamental para garantir que os Códigos de Conduta, uma vez aprovados e adotados, sejam seguidos corretamente pelas organizações e que qualquer não conformidade seja identificada e corrigida prontamente.

O Artigo 34º da GDPR estabelece a obrigação dos controladores de informar os titulares dos dados sobre qualquer violação de dados pessoais que possa representar um alto risco para os seus direitos e liberdades. Essa comunicação deve ser feita sem demora injustificada, utilizando uma linguagem clara e simples que permita ao titular dos dados compreender a natureza da violação e as medidas que foram tomadas ou recomendadas para mitigar os seus efeitos.

O artigo também especifica as circunstâncias em que a comunicação ao titular dos dados não é necessária, como quando o controlador implementou medidas técnicas e organizativas adequadas que tornaram os dados pessoais incompreensíveis a qualquer pessoa não autorizada, ou quando a comunicação envolveria um esforço desproporcional.

O Artigo 42º da GDPR estabelece o processo de certificação como um meio para demonstrar a conformidade com as exigências do regulamento. A certificação serve como um reconhecimento formal de que os processos e sistemas de uma organização estão em conformidade com as normas de proteção de dados estabelecidas pela GDPR. Este artigo incentiva a criação de mecanismos de certificação e a implementação de selos e marcas que atestem a conformidade das operações de tratamento de dados pessoais.

A certificação, conforme descrita no Artigo 42º, é voluntária e destina-se a ser um recurso adicional para ajudar as organizações a demonstrar sua adesão às práticas de proteção de dados. É também uma ferramenta para aumentar a transparência e a confiança entre as organizações e os titulares dos dados.

O Artigo 35º da GDPR introduz a obrigatoriedade de realizar uma Avaliação de Impacto sobre a Proteção de Dados (DPIA) sempre que um tipo de tratamento de dados pessoais, especialmente com o uso de novas tecnologias, seja suscetível de resultar em um elevado risco para os direitos e liberdades das pessoas físicas. A DPIA é um processo que ajuda as organizações a identificar e mitigar os riscos associados ao tratamento de dados pessoais, assegurando que as operações estejam em conformidade com as exigências da GDPR.

Este artigo especifica as situações em que a DPIA é necessária, os elementos que devem ser incluídos na avaliação e as condições sob as quais uma consulta prévia com a autoridade de controle pode ser necessária.

O Artigo 36º da GDPR estabelece a obrigação do controlador de realizar uma consulta prévia à autoridade de controle sempre que uma Avaliação de Impacto sobre a Proteção de Dados (DPIA) indicar que o tratamento de dados pessoais resultará em um risco elevado que não pode ser mitigado de maneira adequada. Esta consulta prévia é essencial para garantir que a autoridade de controle possa avaliar os riscos e orientar o controlador sobre as medidas necessárias para proteger os dados pessoais.

A consulta prévia serve como uma salvaguarda adicional para proteger os direitos e liberdades dos titulares dos dados, assegurando que os riscos identificados durante a DPIA sejam abordados antes do início do tratamento de dados.

O Artigo 37º da GDPR estabelece as condições sob as quais as organizações são obrigadas a designar um Encarregado da Proteção de Dados (Data Protection Officer – DPO). O DPO é responsável por assegurar que a organização esteja em conformidade com a GDPR e que os direitos dos titulares dos dados sejam respeitados durante o tratamento de dados pessoais.

Este artigo especifica as situações em que a designação de um DPO é obrigatória, como em organizações públicas ou em operações de tratamento de dados que envolvam monitorização em larga escala de titulares de dados. O DPO desempenha um papel crucial na supervisão das políticas de proteção de dados e na cooperação com as autoridades de controle.

O Artigo 38º da GDPR estabelece as condições relativas à posição e às responsabilidades do Encarregado da Proteção de Dados (DPO) dentro de uma organização. Este artigo visa garantir que o DPO tenha a independência e os recursos necessários para desempenhar suas funções de maneira eficaz, protegendo os direitos dos titulares dos dados e assegurando a conformidade com a GDPR.

As disposições deste artigo são fundamentais para garantir que o DPO possa atuar de maneira imparcial e sem influência indevida, permitindo que ele cumpra suas funções com a máxima integridade.

O Artigo 23º da GDPR permite que os direitos dos titulares dos dados sejam limitados em certas circunstâncias, conforme autorizado pelo direito da União ou de um Estado-Membro. Essas limitações podem ser impostas para proteger a segurança nacional, a defesa, a segurança pública, a prevenção e investigação de crimes, ou para salvaguardar importantes objetivos econômicos ou financeiros de um Estado-Membro ou da União.

Esse artigo é fundamental para equilibrar os direitos individuais à privacidade com as necessidades de segurança e interesse público. Ele assegura que, em situações onde é necessário proteger esses interesses maiores, as limitações aos direitos dos titulares dos dados sejam justificadas e proporcionais.