Artigo 10.o Notificação de incidentes relativos à segurança dos dados 1. Na sequência da descoberta de um incidente que envolva a perda ou destruição acidental de dados pessoais, o acesso não autorizado a tais dados ou a sua divulgação ou alteração, que possa representar um risco significativo de causar danos, a autoridade competente destinatária deve avaliar imediatamente a probabilidade e a dimensão dos danos causados às pessoas e à integridade do programa de transferência de dados pessoais da autoridade competente que procedeu à transferência, adotando rapidamente medidas adequadas para reduzir esses danos. 2. As medidas adotadas para reduzir os danos devem incluir a notificação do incidente à autoridade competente que procede à transferência. No entanto, a notificação pode: a) Prever restrições adequadas quanto à transmissão ulterior da notificação; b) Ser adiada ou omitida quando seja suscetível de pôr em risco a segurança nacional; c) Ser adiada quando seja suscetível de pôr em risco operações de segurança pública. 3. As medidas destinadas a reduzir os danos devem também prever a notificação do incidente à pessoa em causa, sempre que as circunstâncias do incidente o justifiquem, a menos que a referida notificação seja suscetível de pôr em risco: a) A ordem pública ou a segurança nacional; b) Os inquéritos, investigações ou procedimentos oficiais; c) A prevenção, deteção, investigação ou repressão de infrações penais;
Divulgação ilícita desses dados, de forma deliberada ou intencional, caso em que pode ser exigida uma indemnização compensatória. 2. O recurso judicial deve ser interposto em conformidade com o regime jurídico aplicável do Estado onde a reparação for requerida. 3. Os n.os 1 e 2 são aplicáveis sem prejuízo de qualquer outro recurso judicial relativo ao tratamento de dados pessoais previsto na legislação do Estado em que o recurso for interposto. 4. Em caso de suspensão ou de cessação da vigência do presente Acordo, os artigos 26.o, n.o 2, e 29.o, n.o 3, não podem constituir a base para a interposição de um recurso judicial que deixou de estar disponível ao abrigo da legislação da Parte em causa. Artigo 20.o Transparência 1. As Partes devem notificar o titular dos dados, eventualmente através das autoridades competentes por meio da publicação de notificações gerais ou através de uma notificação individual, na forma e na data prevista pela lei aplicável à autoridade que efetua a notificação, os seguintes elementos: a) Finalidades do tratamento de tais dados por essa autoridade; b) Finalidades para as quais os dados podem ser partilhados com outras autoridades; c) Disposições legislativas ou normas ao abrigo das quais o tratamento é efetuado; d) Terceiros a quem tais dados são divulgados; e e) Direitos da pessoa em causa em matéria de acesso, correção ou retificação, bem como as vias de recurso disponíveis. 3. Qualquer pessoa singular pode autorizar, sempre que a legislação nacional o permita, uma autoridade de supervisão ou outro representante a solicitar a correção ou a retificação em seu nome. 4. Se a correção ou retificação for recusada ou limitada, a autoridade competente requerida deve, sem demora injustificada, comunicar à pessoa singular ou ao seu representante devidamente autorizado, nos termos do n.o 3, os motivos da recusa ou da limitação da correção ou retificação. Artigo 18.o Recurso administrativo 1. As Partes devem assegurar que qualquer pessoa singular pode interpor recurso administrativo quando considere que o seu pedido de acesso nos termos do artigo 16.o ou a retificação de informações inexatas ou objeto de tratamento inadequado nos termos do artigo 17.o foi indevidamente recusado. O recurso deve ser interposto junto de uma autoridade competente, em conformidade com o regime jurídico aplicável do Estado onde for interposto o recurso. 2. Qualquer pessoa singular pode autorizar, sempre que a legislação nacional o permita, uma autoridade de supervisão ou outro representante a interpor um recurso administrativo em seu nome. 3. A autoridade competente junto da qual o recurso é interposto procede aos inquéritos e verificações adequados e deve, sem demora injustificada, comunicar por escrito, nomeadamente por via eletrónica, as suas conclusões, incluindo eventuais melhorias ou correções. A notificação das outras vias de recurso administrativo deve ser efetuada em conformidade com o disposto no artigo 20.o. Artigo 19.o Recurso judicial 1. As Partes devem prever nos respetivas ordens jurídicas que, sem prejuízo da obrigação de esgotar em primeiro lugar as vias de recurso administrativo, qualquer cidadão de uma das Partes pode interpor recurso judicial, em caso de: a) Recusa por parte de uma autoridade competente do acesso a registos que contenham dados pessoais da pessoa em causa; b) Recusa por parte de uma autoridade competente de alterar registos que contenham dados pessoais; e c) Divulgação ilícita desses dados, de forma deliberada ou intencional, caso em que pode ser exigida uma indemnização compensatória. 10.12.2016 PT Jornal Oficial da União Europeia L 336/3 TRADUÇÃO ACORDO entre os Estados Unidos da América e a União Europeia sobre a proteção dos dados pessoais no âmbito da prevenção, investigação, deteção e repressão de infrações penais ÍNDICE Preâmbulo Artigo 1.o Objeto do Acordo Artigo 2.o Definições Artigo 3.o Âmbito de aplicação Artigo 4.o Não discriminação Artigo 5.o Efeitos do Acordo Artigo 6.o Limitação das finalidades e da utilização Artigo 7.o Transferência ulterior Artigo 8.o Manutenção da qualidade e da integridade dos dados Manutenção da qualidade e da integridade dos dados Artigo 9.o Segurança dos dados Artigo 10.o Notificação de incidentes relativos à segurança dos dados Artigo 11.o Conservação de registos Artigo 12.o Prazo de conservação de registos Artigo 13.o Categorias especiais de dados pessoais Artigo 14.o Responsabilização Artigo 15.o Decisões automatizadas Artigo 16.o Acesso Artigo 17.o Retificação Artigo 18.o Recurso administrativo