O Decreto-Lei n.º 36/2022, de 20 de maio (“Decreto-Lei”) estabeleceu um regime excecional às empreitadas públicas e aos contratos de aquisição de bens, remetendo a aplicação aos contratos de aquisição de serviços a publicação de portaria (i).

A Portaria n.º 74-A/2023  publicada ontem, 7 de março, (“Portaria”) estabelece as categorias de contratos públicos de prestação de serviços aos quais se aplica o regime excecional aprovado pelo Decreto-Lei há quase um ano.

São as seguintes:

(a) Coordenação da segurança e saúde no âmbito de empreitadas;

(b) Exploração de refeitório;

(c) Fiscalização de empreitadas;

(d) Fornecimento de energia;

(e) Fornecimento de refeições;

(f) Gestão de resíduos, lamas e outros subprodutos;

(g) Recolha de águas residuais;

(h) Recolha e tratamento de resíduos urbanos e resíduos perigosos;

(i) Serviços relativos a águas residuais, resíduos, limpeza e ambiente;

(j) Transporte de água por autotanque;

(k) Transporte de pessoas e bens;

Embora na sua redação original o Decreto-Lei ei previsse a vigência até 31 de dezembro de 2022, o prazo foi prorrogado até 30 de junho de 2023, através do Decreto-Lei n.º 67/2022, de 04 de outubro.

(i) Para mais informações consulte a nossa publicação relativa à Revisão Excecional de Preços nos Contratos Públicos.

O Decreto-Lei n.º 11/2023, do passado dia 10 de fevereiro, simplifica os licenciamentos ambientais (“Simplex Ambiental”), introduzindo medidas com impacto transversal aplicáveis à generalidade da atividade administrativa.

Modificam-se vinte diplomas legais, com os objetivos assumidos de acelerar a transição energética, de promover a economia circular, de melhorar o aproveitamento da água e a descarbonização da economia. Para tanto, são eliminadas licenças, autorizações, atos e procedimentos dispensáveis ou redundantes face à tutela dos recursos ambientais, simplificando a atividades das empresas.

A síntese que seguidamente apresentamos visa dar a conhecer as alterações mais relevantes, destacando nós as seguintes:

I. Simplificação com impacto transversal e aplicáveis à generalidade da atividade administrativa

• Criação de um mecanismo de certificação dos deferimentos tácitos, de forma gratuita e desmaterializada, que permitirá aos interessados solicitarem, a uma entidade terceira a designar pelo Governo, passagem de certidão que comprove a formação de deferimento tácito. O prazo para emissão da certificação é de 8 dias úteis;
• A falta de pagamento de taxas ou despesas não impede a formação do deferimento tácito;
• Relativamente à AIA, os prazos para deferimento tácito contam-se desde o momento da receção do estudo de impacte ambiental e não desde o momento do pedido “devidamente instruído”;
• Quanto à licença ambiental, forma-se deferimento tácito com o mero decurso do prazo, quando não tenha ocorrido decisão notificada ao interessado; e
• Também no regime de utilização dos recursos hídricos, nos pedidos de autorização, o deferimento tácito forma-se na ausência de decisão expressa após o decurso do prazo legalmente estabelecido.

• O prazo geral passa de 20 para 15 dias úteis;
• No caso de a entidade não emitir parecer no prazo legal o procedimento deve prosseguir e ser decidido;
• Os pareceres emitidos fora do prazo previsto na lei são considerados nulos.

• As entidades administrativas apenas poderão solicitar por uma única vez, e de forma concentrada, pedidos de novos elementos aos interessados;
• O prazo de decisão da Administração não se suspende caso o interessado responda ao pedido de elementos adicionais no prazo de 10 dias úteis (7 dias úteis no caso da AIA);
• No caso de o interessado responder ao pedido de novos elementos fora do prazo, o prazo de decisão ficará suspenso entre o 11.º dia útil (8.º no caso da AIA) e a data de resposta do interessado.

II. Avaliação de Impacte Ambiental (AIA)

• Centros eletroprodutores de energia solar quando a área ocupada por painéis solares e inversores seja igual ou inferior a 100 ha;
• Parques eólicos com 20 ou 10 torres, respetivamente se se encontram localizados fora ou em áreas sensíveis;
• Instalação de rede de transporte de energia elétrica até 20 km e 110 kV.

• Produção de energia elétrica a partir de fontes solares quando a área instalada é inferior a 15 ha, não se localize a menos de 2 km de outras centrais fotovoltaicas com mais de 1MW (quando do seu conjunto não resulte área de ocupação igual ou maios a 15 há, e quando a ligação ao posto de seccionamento da RESP seja feita por linha de tensão igual ou inferior a 60 kv e com extensão menor a 10 km;
• Produção de energia elétrica a partir de fontes solares quando esteja em causa uma torre, desde que a uma distância superior a 2km de outra torre.

• Produção de hidrogénio verde a partir de fontes renováveis e de eletrólise da água.

d. Eliminação de AIA por duplicação

No caso de obtenção prévia de Declaração de Impacte Ambiental (DIA), deixa de ser necessário, designadamente:

• Comunicação prévia à CCDR relativamente a projetos em Reserva Ecológica Nacional;
• Autorização ou comunicação prévia para corte ou arranque de sobreiros, azinheiras e oliveiras;
• Parecer para utilizações não agrícolas em áreas de Reserva Agrícola Nacional;

e. Simplificação do procedimento de AIA

• relativo a infraestruturas de serviços públicos essenciais, nomeadamente energia elétrica e telecomunicações, que funcionem em rede, através da figura da análise ambiental de corredores.

III. Licença Ambiental

• É eliminada a necessidade da sua renovação, assim deixando de ser exigida a sua renovação no fim de períodos de 10 anos;
• Mantém-se, contudo a necessidade de, em determinadas circunstâncias, ser alterada;
• É dispensada a necessidade de licença ambiental para instalações do setor químico sem “escala industrial”;
• É eliminada a participação de entidades creditadas na instrução dos procedimentos de licenciamento para a obtenção de licença ambiental;
• Fica dispensada o Título de Emissões para o Ar para os titulares de Licença Ambiental

• Um título por operador: deixa de ser necessária a obtenção de tantos títulos quanto utilizações. Assim, no caso do mesmo operador sobre a mesma instalação será emitido um título único de utilização privativa de recursos hídricos;
• A licença é substituída por mera comunicação prévia em obras para construção de infraestruturas hidráulicas e captação de águas parra aproveitamento de recursos hídricos particulares, em determinadas situações;
• A renovação da licença de recursos hídricos passa a ser automática.

• É criado um sistema de reporte único, através de plataforma desmaterializada SILIAmb, que permite aos particulares concentrar num único momento todas as obrigações de reporte em matéria ambiental;

O diploma entrou em vigor no passado dia 11 de fevereiro. A maioria das medidas aprovadas produz os seus efeitos a 1 de março de 2023, aplicando-se aos procedimentos administrativos em curso.

As alterações com impacto transversal e aplicáveis à generalidade da atividade administrativa e o Reporte Único Ambiental produzem efeitos apenas a 1 de janeiro de 2024.

 Foi hoje aprovada a Agenda do Trabalho Digno, que altera o Código do Trabalho.

Eis as principais alterações com impacto no dia-a-dia das empresas e trabalhadores:

Situações equiparadas

A prestação de trabalho sem subordinação jurídica, sempre que o prestador se deva considerar na dependência económica do beneficiário da atividade, beneficia da aplicação das normas legais respeitantes a direitos de personalidade, igualdade e não discriminação e segurança e saúde no trabalho, bem como dos instrumentos de regulamentação coletiva de trabalho negociais em vigor no âmbito do mesmo setor de atividade, profissional e geográfico (10.º, n.º1).

 Dependência económica

O prestador encontra-se em “dependência económica” quando presta, diretamente e sem intervenção de terceiros, uma atividade para o mesmo beneficiário da atividade e dele obtém o produto da sua atividade de acordo com o disposto no artigo 140.º do Código dos Regimes Contributivos do Sistema Previdencial de Segurança Social (10.º, n.º2).

Trabalhadores economicamente dependentes

Quem se encontre em dependência económica é também beneficiado por um conjunto de direitos, nomeadamente, (i) representação dos seus interesses socioprofissionais por associação sindical e por comissão de trabalhadores, ainda que delas não possam ser membros; (ii) negociação de IRCTs específicos para trabalhadores independentes, através de associações sindicais; (iii) aplicação de  IRCTs negociais já existentes e aplicáveis a trabalhadores, nos termos neles previstos; (iv) extensão administrativa do regime de uma convenção coletiva ou de uma decisão arbitral, e, (v) fixação administrativa de condições mínimas de trabalho (10.º-A).

Plataformas digitais

São definidos indícios que permitem presumir a existência de contrato de trabalho para o trabalho prestado nas plataformas digitais: (i) a retribuição é fixada pelo operador da plataforma; (ii) o operador dirige a forma de atuação e apresentação do prestador; (iii) o operador controla a atividade prestada, nomeadamente através de meios eletrónicos ou gestão algorítmica; (iv) o operador restringe a autonomia do prestador de atividade quanto à organização do trabalho, à possibilidade de aceitar ou recusar tarefas, à utilização de subcontratados, à escolha dos clientes ou a prestar atividade a terceiros via plataforma; (v) o operador da plataforma exerce poderes laborais sobre o prestador de atividade, nomeadamente, através da desativação da conta, e, (vi) os equipamentos e instrumentos de trabalho utilizados pertencem ao operador da plataforma digital ou são por este explorados através de contrato de locação.

A presunção, que pode ser ilidida, aplica-se às atividades de plataformas digitais, designadamente as que são reguladas por legislação específica relativa a transporte individual e remunerado de passageiros em veículos descaracterizados a partir de plataforma eletrónica (artigo 12.º-A, n.º12).

“Falsos recibos verdes”

São reforçadas as sanções para as entidades contratantes em caso de reincidência, nomeadamente: (i) privação do direito a apoio, subsídio ou benefício outorgado por entidade ou serviço público, ou proveniente de fundos europeus, por um período até dois anos; e (ii) privação do direito de participar em arrematações ou concursos públicos, por um período até dois anos (12.º, n.º 3).

Algoritmos e Inteligência Artificial

Os instrumentos de regulamentação coletiva apenas podem regulamentar o uso de algoritmos, inteligência artificial e matérias conexas em sentido mais favorável para os trabalhadores (3.º, n.º3). As normas legais em matéria igualdade e não discriminação passam a aplicar-se à tomada de decisões baseadas em algoritmos ou outros sistemas de inteligência artificial (24.º, n.º3). 

Práticas discriminatórias

É alargado o âmbito de invocação de práticas discriminatórias no acesso ao trabalho, à formação profissional ou nas condições de trabalho, nomeadamente por motivo de gozo de direitos na parentalidade, de outros direitos previstos no âmbito da conciliação da atividade profissional com a vida familiar e pessoal e dos direitos previstos para o trabalhador cuidador (25.º, n.º 6).

As discriminações remuneratórias relacionadas com a atribuição de prémios de assiduidade e produtividade, bem como afetações desfavoráveis em termos de avaliação e progressão na carreira passam a ser consideradas “práticas discriminatórias” (25.º, n.º7).

Proteção na parentalidade

Passa a ser consagrada a dispensa de trabalho no âmbito dos processos de adoção e de acolhimento familiar (35.º, n.º1, al. j)).

Os progenitores passam a ter a possibilidade de, após o gozo de 120 dias consecutivos de licença parental inicial, cumular, em cada dia, os restantes dias de licença em trabalho a tempo parcial.

É obrigatório o gozo por parte da mãe de 42 dias consecutivos de licença a seguir ao parto (41.º).

A licença obrigatória do pai é aumentada dos atuais 20 dias 28 dias úteis, seguidos ou em períodos interpolados de no mínimo 7 dias, nos 42 dias seguintes ao nascimento da criança. Dos 28 dias, 7 têm de ser gozados consecutivamente após o nascimento (43.º, n.º1).

É estabelecido um direito adicional para opai a gozar 7 dias de licença, seguidos ou interpolados, desde que gozados em simultâneo com o gozo da licença parental inicial por parte da mãe (43.º, n.º3).

Os progenitores passam a ter direito, para assistência a filho ou adoptado com idade não superior a seis anos, a licença parental complementar, na modalidade de prestação de  trabalho a tempo parcial durante 3 meses, com um período normal de trabalho igual a metade do tempo completo, desde que a licença seja exercida na totalidade por cada um dos progenitores (51.º, n.º1, c)).

 Adoção e acolhimento familiar

Os trabalhadores candidatos a adoção ou a família de acolhimento deixam de ter limites de dispensas para processos de adoção e de acolhimento familiar (45, n.º1.º).

As ausências para processos de adoção e de famílias de acolhimento não determinam a perda de quaisquer direitos e que são consideradas como prestação efetiva de trabalho, exceto quanto à retribuição (65.º, n.º1, k).

As faltas por luto gestacional, bem como a dispensa para consulta de PMA ou pré-natal, amamentação ou aleitação passam a não determinar a perda de quaisquer direitos e são consideradas como prestação efetiva de trabalho (65º, n.º 2).

Trabalhador cuidador

Considera-se trabalhador cuidador aquele a quem tenha sido reconhecido o estatuto de cuidador informal não principal, nos termos da legislação aplicável, mediante apresentação do respetivo comprovativo (101.º-A).

O trabalhador cuidador terá direito a licença anual, com perda de retribuição, de cinco dias úteis a gozar de modo consecutivo (101.º-B, n.º 1 e n.º 6).

Durante o gozo da licença o trabalhador cuidador não pode desempenhar trabalho subordinado ou prestação continuada de serviços fora da sua residência habitual (101.º-B, n.º4).

O trabalhador cuidador tem direito a requerer o regime de trabalho a tempo parcial, de modo consecutivo ou interpolado, pelo período máximo de quatro anos (101.º-C), em regime de horário de trabalho flexível, de forma seguida ou interpolada, (101.º-D), e não é obrigado a prestar trabalho suplementar enquanto se verificar a necessidade de assistência (101.º-G).

(i) A denúncia do contrato a termo (143.º/3) e o seu despedimento (101.º F) dependem de prévio parecer da Comissão para a Igualdade no Trabalho e Emprego (“CITE”).

Dever de informação ao trabalhador

É alargado o dever de informação do empregador. O trabalhador passa a ter direito a conhecer, nomeadamente; (i) a identificação do utilizador, no caso de trabalhador temporário; (ii) o direito individual a formação continua; (iii) no caso de trabalho intermitente, a informação prevista no regime legalmente estabelecido; (iv) os parâmetros, as regras e as instruções em que se baseiam os algoritmos ou outros sistemas de inteligência artificial; (v) a duração e as condições do período experimental, se aplicável; (vi) o direito individual a formação contínua; (vii) o método de pagamento da retribuição, incluindo a discriminação dos seus elementos constitutivos (106.º, n.º3).

Contudo, não é necessária a inclusão de todos os elementos no contrato de trabalho pois, alguns deles podem ser objeto de informação posterior ao trabalhador em suporte papel ou em formato eletrónico, desde que respeitados os prazos legais.

O Empregador terá de garantir a conservação da prova da transmissão ou receção das informações prestadas, a qual deve ser apresentada ao serviço com competência inspetiva da área laboral sempre que solicitada (107.º, n.ºs 5 e 6).

 Informações relativas à prestação de trabalho no estrangeiro

O trabalhador que exerça a sua atividade no território de outro Estado por período superior a um mês tem direito às seguintes informações: (i) Retribuição a que tem direito nos termos da lei aplicável no Estado de acolhimento, em situações de destacamento; (ii) Subsídios inerentes ao destacamento e reembolso de despesas de viagem, de alojamento e de alimentação; e (iii) Sítio oficial na Internet do Estado de acolhimento (108.º, n.º1).

Período experimental

Os trabalhadores com contrato por tempo indeterminado que estejam à procura de primeiro emprego e os desempregados de longa duração terão o seu período experimental de 180 dias reduzido e ou excluído consoante a duração do anterior contrato de trabalho a termo (celebrado com empregador diferente) tenha sido igual ou superior a 90 dias (112.ºn.º 5).

O período experimental pode ser reduzido no caso da duração do estágio profissional com avaliação positiva, para a mesma atividade e empregador diferente, ter sido igual ou superior a 90 dias, nos últimos 12 meses (112.º, n.º6).

A denúncia do contrato durante o período experimental, depois de decorridos mais de 120 dias, passa a ter de ser feita com uma duração mínima de 30 dias (114.º, n.º3).

No caso das denúncias de contrato por tempo indeterminado de pessoas à procura do primeiro emprego e desempregados de longa duração a denúncia passa a depender de comunicação à ACT, no prazo de 15 dias após a denúncia. (114.º/6).

Às situações de denúncia abusiva (em abuso de direito) passa a aplicar-se o regime dos efeitos da ilicitude do despedimento, nomeadamente quanto ao direito do trabalhador reclamar: (i) indemnização pelos danos (patrimoniais e não patrimoniais); (ii) reintegração na empresa ou indemnização em substitutiva; e (iii) compensação pelas retribuições intercalares.

Contratação a termo

A compensação em caso de caducidade do contrato de trabalho a termo (certo e incerto) é aumentada para 24 dias de retribuição base e diuturnidade por cada no completo de antiguidade (344.º, n.º2 e 345.º, n.º4).

Teletrabalho

O contrato individual de trabalho e o contrato coletivo de trabalho passam a ter de fixar o valor da compensação, fixa ou variável, devida ao trabalhador pelas despesas adicionais em teletrabalho/regime híbrido (168.º, n.º3).

Na ausência de acordo sobre um valor fixo, são consideradas como despesas adicionais as correspondentes à aquisição de bens e ou serviços de que o trabalhador não tinha antes de prestar a sua atividade em teletrabalho/regime híbrido, bem como as determinadas em comparação com as despesas homólogas no último mês de trabalho em regime presencial (168.º, n.º4).

A compensação é considerada, para efeitos fiscais, custo para o empregador e não constitui rendimento do trabalho até ao limite do valor a definir em Portaria (168.º, n.º6).

 Trabalho temporário

Alcançada a duração máxima do contrato de utilização de trabalho temporário é proibida a sucessão no mesmo posto de trabalho de trabalhador temporário ou de trabalhador contratado a termo, celebrado com o mesmo empregador ou sociedade que com este se encontre em relação de domínio ou de grupo, ou mantenha estruturas organizativas comuns. A proibição aplica-se antes do decurso de um período de tempo igual a um terço da duração do referido contrato, incluindo renovações (179.º, n.º1).

A duração de contratos de trabalho temporário sucessivos em diferentes utilizadores, celebrados com o mesmo empregador ou sociedade que com este se encontre em relação de domínio ou de grupo, ou mantenha estruturas organizativas comuns, não pode ser superior a 4 anos, sob pena de o contrato se converter em contrato de trabalho por tempo indeterminado para cedência temporária (182.º, n.ºs 8 e 9).

Trabalho suplementar

O pagamento do trabalho suplementar superior a 100 horas anuais passa a ser pago pelo valor da retribuição horária com os seguintes acréscimos:

a) 50 % pela primeira hora ou fração desta e 75 % por hora ou fração subsequente, em dia útil;

b) 100 % por cada hora ou fração, em dia de descanso semanal, obrigatório ou complementar, ou em feriado (268.º, n.º 2).

Créditos do trabalhador

O trabalhador deixa de poder abdicar dos créditos emergentes de contrato de trabalho (v.g. subsídio de férias e de natal, retribuição de férias e créditos de horas de formação), salvo se esta renúncia for efetuada por mediante acordo em sede judicial (337.º, n.º3).

Compensação em caso de despedimento coletivo

A compensação em caso de despedimento coletivo passa a ser de 14 dias de retribuição base e diuturnidades por cada ano completo de antiguidade (366º, n.º1).

Adicionalmente, o trabalhador pode também acionar o fundo de garantia de compensação do trabalho (366º, n.º3).

Terciarização de serviços (“outsorcing”)

Nos casos de outsorcing, o instrumento de regulamentação coletiva de trabalho aplicável ao beneficiário da atividade passa também a ser aplicado ao prestador do serviço, quando lhe seja mais favorável, após 60 dias de prestação de atividade em benefício da empresa adquirente (498.º- A, n.º1).

Antes disso, o prestador do serviço terá direito à retribuição mínima prevista em instrumento de regulamentação coletiva de trabalho que vincule o beneficiário da atividade (498.º- A, n.º3).

Não é admitido o recurso à aquisição de serviços externos através de terceiras entidades para a satisfação de necessidades que foram asseguradas por trabalhador cujo contrato tenha cessado nos 12 meses anteriores por despedimento coletivo ou por extinção de posto de trabalho.

Relações coletivas de trabalho

Ainda que não existam trabalhadores sindicalizados, é possível o exercício da atividade sindical na empresa mediante condições específicas aplicáveis e desde que não se afete o normal funcionamento da atividade produtiva (460.º, n.º2).

A escolha da convenção coletiva passa a não ser possível se o trabalhador já se encontrar abrangido por portaria de extensão (497.º/5).

Em caso de denúncia de convenção coletiva a parte destinatária pode requerer ao Presidente do Conselho Económico e Social arbitragem para apreciação da fundamentação da denúncia, impedindo-se a convenção de entrar em regime de sobrevigência (500.º-A).  

Aplicação no tempo e entrada em vigor

Os contratos de trabalho celebrados em data anterior à entrada em vigor da Lei que altera o Código do Trabalho ficam sujeitos a este regime. No entanto, quanto ao regime aplicável à validade dos contratos de trabalho mantém-se o regime anteriormente em vigor.

As cláusulas de IRCT contrárias às novas normas devem ser alteradas na primeira revisão que ocorra nos 12 meses posteriores à entrada em vigor nova lei, sob pena de nulidade. No entanto, é estabelecido um período transitório, até 1 de janeiro de 2024, para alteração das cláusulas de IRCT contrárias ao novo regime de pagamento de trabalho suplementar.

O novo regime, não se aplica aos contratos de trabalho a termo resolutivo celebrados antes da entrada em vigor da nova lei, no que respeita à sua admissibilidade, renovação e duração e à renovação dos contratos de trabalho temporário.

As novas regras entram em vigor no primeiro dia útil do mês seguinte ao da sua publicação, salvo quanto às matérias relativas à denúncia e caducidade da convenção coletiva e ao processo de arbitragem, que entram em vigor no dia seguinte ao da publicação do diploma.

Após o Governo ter recentemente anunciado um leilão para  a produção de energia eólica offshore a ser lançado até ao final de setembro, o Despacho n.º 1396-C/2023, de 27 de janeiro, abriu a audição pública da proposta das áreas dedicadas à instalação de centros electroprodutores comerciais baseados em fontes de energias renováveis de origem ou localização oceânica.

Esta proposta preliminar foi apresentada pelo Grupo de Trabalho Interministerial criado ao abrigo do Despacho n.º 11404/2022, de 23 de setembro.

A proposta, que se encontra em audição até 10 de março, compreende as seguintes áreas: Largo de Leixões, da Figueira da Foz, da Ericeira e Sintra-Cascais, Sines e Viana do Castelo (através de uma ampliação da área já existente).

Estas áreas totalizam 3.393,44 km² de espaço marítimo nacional, correspondente a uma ocupação de cerca de 5,9% da área situada entre a linha de costa e o limite exterior do Mar Territorial e a uma ocupação de cerca de 0,71% da ZEE.

As áreas propostas situadas em profundidades entre cerca de 75 metros e cerca de 200 metros, e que por conseguinte exigem a montagem de estruturas flutuantes ancoradas no fundo do mar, compreendem uma potência passível de ser instalada de 10 GW e são as seguintes:

São ainda propostas as áreas com profundidade máxima até 50 metros, permitindo assim a instalação de estruturas fixas no fundo do mar, as quais perfazem uma potência passivel de instalação de cerca de 1 GW.

O conjunto de áreas proposto será considerado na elaboração do Plano de Afetação para Energias Renováveis Offshore e integrado no Plano de Situação do Ordenamento do Espaço Marítimo Nacional, em elaboração nos termos do Despacho n.º 12020/2021, de 7 de dezembro.

No relatório apresentado pelo Grupo de Trabalho foram identificados os pontos para a ligação da rede offshore à RNT em terra, que permitirá a integração no sistema elétrico nacional da produção dos centros electroprodutores a instalar:

A 27 de janeiro foi ainda publicado o Aviso n.º 1976-A/2023, o qual prevê um período adicional de 10 dias para consulta pública do projeto de portaria de delimitação da Zona Livre Tecnológica de energias renováveis de origem ou localização oceânica, ao largo de Viana do Castelo.

A Comissão Nacional de Proteção de Dados (“CNPD”) emitiu a primeira Diretriz de 2023, Diretriz/2023/1 (“Diretriz”), na qual apresenta um conjunto de medidas de segurança aplicáveis ao tratamento de dados pessoais.

A Diretriz surge na sequência da CNPD considerar oportuno sensibilizar os responsáveis pelos tratamentos e os subcontratantes para as suas obrigações no domínio da segurança dos tratamentos de dados pessoais, tendo em conta o aumento crescente, no último ano, de ataques a sistemas de informação que afetaram dados pessoais.

Importa recordar que, nos termos dos números 1 e 2 do artigo 32.º do Regulamento (UE) n.º 679/2016, de 27 de Abril (“RGPD”) o responsável pelo tratamento de dados tem o dever de avaliar e aplicar as medidas técnicas e organizativas necessárias para conferir ao tratamento dos dados pessoais um nível de segurança adequado ao risco, incluindo a capacidade para garantir a confidencialidade, a integridade, a disponibilidade e a resiliência dos sistemas e serviços de tratamento.

Neste sentido, a CNPD apresenta algumas medidas que, consoante as caraterísticas e sensibilidade de cada tratamento, bem como as especificidades da organização em causa, devem ser consideradas.

Eis algumas das medidas apresentadas:

(i) Organizativas

(ii) Definir e exercitar regularmente o plano de resposta a incidentes e recuperação do desastre, prevendo os mecanismos necessários para garantir a segurança da informação e a resiliência dos sistemas e serviços, bem como assegurar que a disponibilidade dos dados é restabelecida atempadamente após um incidente;

(iii) Classificar a informação de acordo com o nível de confidencialidade e sensibilidade e adotar as medidas organizativas e técnicas adequadas à classificação;

(iv) Definir políticas de gestão de palavras-passe seguras (v.g. requisitos para tamanho, composição e armazenamento);

(v) Garantir que cada trabalhador tem acesso apenas aos dados necessários à execução das suas funções, criando uma política de “gestão de ciclo de vida dos utilizadores”;

(vi) Realizar auditorias de tecnologias de informação, de forma a serem identificados os “alvos mais frágeis” e serem adotadas medidas adequadas;

(vii) Criar uma política interna para documentar eventuais violações de dados pessoais e saber como agir em caso de violação;

(viii) Fomentar junto dos colaboradores uma política de privacidade e segurança;

(ix) Efetuar avaliações periódicas das medidas adotadas e proceder à sua revisão sempre que necessário.

(B) Técnicas

A CNPD apresenta um conjunto de medidas técnicas diferenciadas, nomeadamente: de

(i) Autenticação

a) Utilizar credenciais fortes com palavras-passe longas (pelo menos 12 carateres), as quais devem ser alteradas com frequência;

b) Equacionar a aplicação de autenticação multifator sempre que a informação ou os utilizadores assim o justifiquem.

(ii) Infraestrutura e sistemas;

a) Garantir a atualização dos sistemas operativos e das aplicações;

b) Garantir a segmentação ou isolamento dos sistemas e redes de dados;

c) Monitorizar a utilização do software instalado;

d) Bloquear os redirecionamentos suspeitos através de motores de busca.

(iii) Ferramenta de correio eletrônico

a) Garantir a elaboração de políticas internas com regras claras sobre o envio de mensagens de e-mail com dados pessoais;

b) Ponderar a criação de listas de distribuição ou grupos de contacto para prevenir o envio massivo de mensagens por destinatários indevidos;

c) Encriptar com código, ao qual só o destinatário tenha acesso, os emails e/ou anexos enviados que contenham dados pessoais;

d) Realizar ações de formação no sentido de capacitar os trabalhadores a operar os mecanismos de envio de mensagens de correio eletrónico de acordo com os procedimentos definidos, dando a conhecer os “erros mais comums” que podem suscitar uma situação de violação de dados pessoais.

(iv) Proteção contra malware

a) Utilizar encriptação segura especialmente no caso de credenciais de acesso, de dados especiais , de dados de natureza altamente pessoal8 ou de dados financeiros;

b) Adotar ferramentas que bloquem ameaças em tempo real.

(v) Utilização de equipamentos em ambiente externo

a) Bloquear as contas após várias tentativas inválidas de login;

b) Aplicar cifragem dos dados;

c) Definir regras claras e adequadas para a utilização de equipamentos em ambiente externo.

(vi) Armazenamento de documentos em papel que contenham dados pessoais

a) Utilização de papel com elevada durabilidade;

b) Conservar documentação em locais com temperatura e humidade adequadas;

c) Proteger os documentos que contêm dados sensíveis em locais seguros (v.g. fechados, resistentes ao fogo e inundação);

d) Garantir a destruição “segura” dos documentos,

(vii) Transporte de informação que integre dados pessoais.

a) Adotar medidas que impeçam a leitura, cópia, alteração ou eliminação de dados no transporte da informação;

b) Utilizar dispositivos em massa ou arquivo potencialmente permanente.

A CNPD, como seria expectável, chama a atenção para o facto das medidas apresentadas “não terem caráter exaustivo e serem forçosamente dinâmicas, pela sua direta dependência do desenvolvimento tecnológico, estando, por isso, sujeitas a atualização sempre que se revelar necessário”.

A Autoridade de Segurança Alimentar e Económica (ASAE) publicou recentemente um novo regulamento sobre as condições para o exercício dos deveres impostos às entidades obrigadas não financeiras, ao abrigo da Lei n.º 83/2017, de 18 de agosto, que estabelece medidas de combate ao branqueamento de capitais e ao financiamento do terrorismo (BC/FT) – o Regulamento n.º 1191/2022, de 26 de dezembro.

A ASAE é a autoridade setorial competente para a verificação do cumprimento dos deveres que impendem sobre as entidades obrigadas não financeiras, ao abrigo da Lei n.º 83/2017, que não estejam sujeitas à supervisão de uma outra autoridade setorial específica.

1. Entidades sujeitas ao Regulamento da ASAEFicam sujeitas ao cumprimento do Regulamento da ASAE, o qual deve ser interpretado e aplicado em conjugação com a Lei n.º 83/2017, as seguintes entidades obrigadas:

a)  Segundo o tipo de atividade que exercem, independentemente dos valores de transação:

• Auditores, contabilistas certificados e consultores fiscais;

• Prestadores de serviços a sociedades, a outras pessoas coletivas ou a centros de interesses coletivos sem personalidade jurídica;

• Outros profissionais que intervenham em operações de alienação e aquisição de direitos sobre praticantes de atividades desportivas profissionais;

• Operadores económicos que exerçam a atividade leiloeira ou a atividade prestamista;

• Operadores económicos que exerçam as atividades de importação e exportação de diamantes em bruto; 

• Entidades autorizadas a exercer a atividade de transporte, guarda, tratamento e distribuição de fundos e valores.

b) Segundo o tipo de atividade que exercem, em conjugação com valores mínimos de transação e com o meio de pagamento:

2. Deveres a cumprir pelas entidades não financeiras

De entre os deveres previstos na lei e concretizados no Regulamento da ASAE contam-se: (i) o dever de controlo; (ii) o dever de identificação e diligência; (iii) o dever de comunicação; (iv) o dever de abstenção; (v) o dever de recusa; (vi) o dever de conservação; (vii) o dever de exame; (viii) o dever de colaboração; (ix) o dever de não divulgação; e (x) o dever de formação.

2.1. Dever de controlo: adoção de um manual de prevenção, de ferramentas ou sistemas de informação, designação de um Responsável pelo Cumprimento Normativo e avaliação periódica

O dever de controlo traduz-se na definição e adoção de políticas e procedimentos pela entidade obrigada (através do seu órgão de administração) que permitam controlos que se mostrem adequados à gestão eficaz dos riscos de BC/FT. Isto implica a adoção de políticas e procedimentos proporcionais à natureza, dimensão e complexidade da entidade, da atividade desenvolvida e do seu grau de exposição ao risco, em matéria de aceitação de clientes e de cumprimento do quadro normativo aplicável.

Para o efeito, o Regulamento impõe a adoção de um manual de prevenção de BC/FT, que materialize, por escrito e em língua portuguesa, as políticas e os procedimentos adotados, bem como as medidas de controlo interno.

O manual de prevenção fica sujeito a um conteúdo mínimo obrigatório, a saber: (i) identificação e avaliação dos riscos concretos de BC/FT associados à atividade da entidade obrigada; (ii) identificação nominal e funcional dos trabalhadores relevantes, ou seja, dos trabalhadores que exerçam funções em áreas como atendimento ao público, promoção de negócios, vendas, contabilidade e financeira, bem como os respetivos dirigentes; (iii) procedimentos internos de controlo para mitigação dos riscos identificados; e (iv) procedimentos de conservação e tratamento dos dados pessoais.

No âmbito do dever de controlo, as entidades obrigadas devem ainda designar um responsável pelo cumprimento normativo (RCN), encarregue da implementação das políticas internas e do controlo do cumprimento do quadro normativo em matéria de prevenção do BC/FT.

O RCN deve ser um elemento da direção de topo ou equiparado, mas não tem de ser necessariamente um membro do órgão da administração ou gerência. O Regulamento vem esclarecer que esta função pode ser assumida por qualquer outro dirigente ou colaborador com conhecimentos suficientes da exposição da entidade obrigada ao risco de BC/FT, desde que detenha um nível hierárquico suficientemente elevado para tomar decisões que afetem a exposição ao risco.

A entidade obrigada deve também ter ao seu dispor ferramentas ou sistemas de informação, de forma a permitir, entre outros: (i) o registo dos dados identificativos e demais elementos dos clientes e respetivas atualizações; (ii) a deteção de circunstâncias suscetíveis de parametrização que devam fundamentar a atualização daqueles dados identificativos e elementos; (iii) a definição e atualização do perfil de risco associado aos clientes, relações de negócio, transações ocasionais e operações em geral; (iv) a deteção da aquisição da qualidade de pessoa politicamente exposta (PEP) ou de titular de outro cargo político ou público; (v) a deteção de pessoas ou entidades identificadas no contexto das medidas reforçadas e de medidas restritivas, designadamente as que decorram de resolução do Conselho de Segurança das Nações Unidas ou de regulamento da União Europeia.

A eficácia das medidas adotadas deve ficar sujeita a avaliação periódica:

(i) Para entidades obrigadas que empreguem até 249 trabalhadores, uma avaliação a cada dois anos civis;

(ii) Para entidades obrigadas que empreguem 250 ou mais trabalhadores, uma avaliação a cada ano civil; e

(iii) Sempre que a entidade obrigada detete a existência de deficiências na qualidade, adequação e eficácia do sistema de controlo interno.2.2. Dever de identificação dos clientes e diligênciaQuanto ao dever de identificação dos clientes e diligência, o Regulamento concretiza as situações em que o dever de identificação do cliente é exigível, a saber:

(i)  Estabelecimento de relações de negócio (ou seja, relações com caráter duradouro);

(ii) Realização de transações ocasionais de montante igual ou superior a € 15.000 (quer a transação se realize através de uma única operação ou de várias operações aparentemente relacionadas entre si);

(iii) Existência de suspeitas de que as operações (independentemente do seu valor e de qualquer exceção ou limiar) possam estar relacionadas com BC/FT; ou

(iv) Existência de dúvidas sobre a veracidade ou a adequação dos dados de identificação dos clientes previamente obtidos.

A identificação de clientes deve ser efetuada através dos modelos aprovados pela ASAE, os quais tem de ser digitalmente preenchidos e submetidos no sítio de Internet da ASAE, disponível em www.asae.gov.pt, impressos para recolha da assinatura do cliente e do seu representante, anexando-se os documentos que os complementem, incluindo cópia do documento de identificação do cliente. A este respeito, a ASAE vem esclarecer que não constitui infração ao disposto no n.º 2 do artigo 5.º da Lei n.º 7/2007, de 5 de fevereiro, conservar uma cópia em formato digital ou papel do documento de identificação do cliente, a qual deve inclusive ser colocada à disposição da ASAE, no momento de uma inspeção ou sempre que por esta seja solicitado.

No caso de transações ocasionais, a identificação do cliente deve ocorrer em momento anterior à sua conclusão e, no âmbito das relações de negócio, a identificação deverá ser feita no prazo máximo de trinta dias após o seu estabelecimento.

2.3. Outros deveres

As entidades obrigadas ficam ainda sujeitas ao cumprimento dos seguintes deveres:

(i)  Dever de comunicação de operações suspeitas: as entidades obrigadas devem informar de imediato o Departamento Central de Investigação e Ação Penal da Procuradoria-Geral da República (DCIAP) e a Unidade de Informação Financeira da Polícia Judiciária sempre que tenham conhecimento, suspeitem ou tenham razões suficientes para suspeitar que certos fundos ou outros bens provêm de atividades criminosas ou estão relacionados com o financiamento do terrorismo. Esta comunicação deve contemplar todas as operações propostas, incluindo na forma tentada, ainda em curso ou já executadas. As comunicações efetuadas devem ser conservadas pelo período de sete anos e colocadas à disposição da ASAE no momento da inspeção, ou sempre que solicitado;

(ii)  Dever de abstenção: as entidades obrigadas devem abster-se de executar qualquer operação ou conjunto de operações que saibam ou que suspeitem poder estar associadas a fundos ou outros bens provenientes ou relacionados com a prática de atividades criminosas ou com o financiamento de terrorismo;

(iii) Dever de recusa: as entidades obrigadas devem recusar iniciar negócios, realizar transações ou efetuar outras operações quando não obtenham a informação sobre a natureza, o objeto e a finalidade da relação do negócio e os elementos identificativos e respetivos meios comprovativos previstos para a identificação e verificação da identidade do cliente, do seu representante e beneficiário efetivo;

(iv) Dever de não divulgação: as entidades obrigadas, incluindo os membros dos respetivos órgãos sociais, os que nela exerçam funções de direção, de gerência ou de chefia, os seus trabalhadores, os mandatários e outras pessoas que lhes prestem serviço a qualquer título, não podem revelar ao cliente ou a terceiros que foram ou estão a ser transmitidas as comunicações legalmente devidas, bem como quaisquer informações relacionadas com aquelas comunicações ou que se encontra ou pode vir estar em curso uma investigação ou inquérito criminal;

(v) Dever de formação: as entidades obrigadas devem assegurar aos seus trabalhadores ações específicas de formação em matéria de prevenção do BC/FT adequadas ao seu setor de atividade no âmbito do sistema não financeiro. O Regulamento determina a frequência das ações de formação para o universo dos trabalhadores relevantes identificados no manual de prevenção: as entidades obrigadas que empreguem até 249 trabalhadores devem ter uma ação de formação a cada dois anos civis e as entidades obrigadas que empreguem 250 ou mais trabalhadores devem ter uma ação de formação a cada ano civil.

3. Consequências da violação do Regulamento

As entidades obrigadas não financeiras que não cumpram as referidas obrigações devem adotar as medidas necessárias a sanar ou prevenir tal incumprimento até 24 de fevereiro de 2023 (data de entrada em vigor do Regulamento), sob pena de responsabilidade contraordenacional aplicação de uma coima de € 5.000 a € 1.000.000 ou de € 5.000 a € 500.000, consoante a contraordenação for grave ou muito grave, respetivamente.

A ASAE poderá ainda aplicar as seguintes sanções acessórias: (i) perda, a favor do Estado, do objeto da infração e do benefício económico obtido pelo agente através da sua prática; (ii) encerramento, por um período até dois anos, de estabelecimento onde o agente exerça a profissão ou a atividade a que a contraordenação respeita; (iii) interdição, por um período até três anos, do exercício da profissão ou da atividade a que a contraordenação respeita; (iv) inibição, por um período até três anos, do exercício de funções de administração, direção, chefia, titularidade de órgãos sociais, representação, mandato e fiscalização nas entidades sujeitas à supervisão ou fiscalização da autoridade setorial competente e nas entidades que com estas se encontrem em relação de domínio ou de grupo; (v) publicação da decisão definitiva ou transitada em julgado.

4. Entrada em vigor

O Regulamento da ASAE entra em vigor 60 dias após a publicação, ou seja, no dia 24 de fevereiro de 2023. Até essa data, mantém-se em vigor o Regulamento n.º 314/2018, de 25 de maio.

Resta, assim, pouco menos de 60 dias para as entidades obrigadas não financeiras adotarem as medidas anteriormente referidas, algumas delas, novas medidas como seja a adoção de um manual de prevenção e de ferramentas ou sistemas de informação e de formação periódica obrigatória.