個人資料保護法（附：葡文版本）

立法會根據《澳門特別行政區基本法》第七十一條（一）項的規定，為實施《澳門特別行政區基本法》第三十條、第三十二條和第四十三條所訂定的基本制度，制定本法律。

第一章
一般規定

第一條
標的

本法律訂定個人資料處理及保護的法律制度。

第二條
一般原則

個人資料的處理應以透明的方式進行，並應尊重私人生活的隱私和《澳門特別行政區基本法》、國際法文書和現行法律訂定的基本權利、自由和保障。

第三條
適用範圍

一、本法律適用於全部或部份以自動化方法對個人資料的處理，以及以非自動化方法對存於或將存於人手操作的資料庫內的個人資料的處理。

二、本法律不適用於自然人在從事專屬個人或家庭活動時對個人資料的處理，但用作系統通訊或傳播者除外。

三、本法律適用於對可以認別身份的人的聲音和影像進行的錄像監視，以及以其他方式對這些聲音和影像的取得、處理和傳播，只要負責處理資料的實體的住所在澳門特別行政區（以下簡稱特區），或者通過在特區設立的提供資訊和電信資訊網絡服務的供應商而實施。

四、本法律適用於以公共安全為目的對個人資料的處理，但不妨礙適用於特區的國際法文書以及區際協定的特別規定、與公共安全有關的專門法律和其他相關的規定。

第四條
定義

一、為本法律的效力，下列用詞之定義為：

（一）“個人資料”：與某個身份已確定或身份可確定的自然人（“資料當事人”）有關的任何資訊，包括聲音和影像，不管其性質如何以及是否擁有載體。所謂身份可確定的人是指直接或間接地，尤其透過參考一個認別編號或者身體、生理、心理、經濟、文化或社會方面的一個或多個特徵，可以被確定身份的人；

（二）“資料當事人”：其資料被處理的自然人；

（三）“個人資料的處理”（“處理”）：有關個人資料的任何或者一系列的操作，不管該操作是否通過自動化的方法進行，諸如資料的收集、登記、編排、保存、改編或修改、復原、查詢、使用，或者以傳送、傳播或其他透過比較或互聯的方式向他人通告，以及資料的封存、刪除或者銷毀；

（四）“個人資料的資料庫” （“資料庫”）：任何有組織結構並可按特定標準查閱的個人資料的集合體，而不論資料庫的建立、儲存以及組織的形式或方式如何；

（五）“負責處理個人資料的實體”：就個人資料處理的目的和方法，單獨或與他人共同作出決定的自然人或法人，公共實體、部門或任何其他機構；

（六）“次合同人”：受負責處理個人資料的實體的委託而處理個人資料的自然人或法人，公共實體、部門或任何其他機構；

（七）“第三人”：除資料當事人、負責處理個人資料的實體、次合同人或其他直接隸屬於負責處理個人資料的實體或次合同人之外的、有資格處理資料的自然人或法人，公共實體、部門或任何其他機構；

（八）“資料的接收者”：被告知個人資料的自然人或法人，公共實體、部門或任何其他機構，不論其是否第三人，但不妨礙在某個法律規定或具組織性質的規章性規定中訂定被告知資料的當局不被視為資料的接收者；

（九）“資料當事人的同意”：任何自由、特定且在知悉的情況下作出的意思表示，該表示表明當事人接受對其個人資料的處理；

（十）“資料的互聯”：一個資料庫的資料與其他一個或多個負責實體的一個或多個資料庫的資料的聯繫、或同一負責實體但目的不同的資料庫的資料聯繫的處理方式；

（十一）“公共當局”：《民法典》第七十九條第三款所指的實體；

（十二）“具組織性質的規章性規定”：規範有權限作出本法所指資料處理行為或其他行為的實體，其組織或運作的法規或章程中所載的規定。

二、為上款（五）項的效力，如法律規定或具組織性質的規章性規定訂定了處理的目的和方法，則在其中應指定負責處理有關個人資料的實體。

第二章
個人資料的處理和性質以及對其處理的正當性

第五條
資料的性質

一、個人資料應︰

（一）以合法的方式並在遵守善意原則和第二條所指的一般原則下處理；

（二）為了特定、明確、正當和與負責處理實體的活動直接有關的目的而收集，之後對資料的處理亦不得偏離有關目的；

（三）適合、適當及不超越收集和之後處理資料的目的；

（四）準確，當有需要時作出更新，並應基於收集和之後處理的目的，採取適當措施確保對不準確或不完整的資料進行刪除或更正；

（五）僅在為實現收集或之後處理資料的目的所需期間內，以可認別資料當事人身份的方式被保存。

二、經負責處理個人資料的實體要求以及當存有正當利益時，公共當局得許可為歷史、統計或科學之目的，將上款（五）項所規定的保存期限延長。

第六條
個人資料處理的正當性條件

個人資料的處理僅得在資料當事人明確同意或在以下必要的情況下方可進行：

（一）執行資料當事人作為合同一方的合同，或應當事人要求執行訂立合同或法律行為意思表示的預先措施；

（二）負責處理個人資料的實體須履行法定義務；

（三）為保障資料當事人的重大利益，而資料當事人在身體上或法律上無能力作出同意；

（四）負責處理個人資料的實體或被告知資料的第三人在執行一具公共利益的任務，或者在行使公共當局權力；

（五）為實現負責處理個人資料的實體或被告知資料的第三人的正當利益，只要資料當事人的利益或權利、自由和保障不優於這些正當利益。

第七條
敏感資料的處理

一、禁止處理與世界觀或政治信仰、政治社團或工會關係、宗教信仰、私人生活、種族和民族本源以及與健康和性生活有關的個人資料，包括遺傳資料。

二、在保障非歧視原則以及第十六條所規定的安全措施的前提下，得對上款所指的資料在下列任一情況下進行處理：

（一）法律規定或具組織性質的規章性規定明確許可處理上款所指的資料；

（二）當基於重大公共利益且資料的處理對負責處理的實體行使職責及權限所必需時，經公共當局許可；

（三）資料當事人對處理給予明確許可。

三、當出現下列任一情況時，亦得處理第一款所指的資料：

（一）保護資料當事人或其他人重大利益所必需，且資料當事人在身體上或法律上無能力作出同意；

（二）經資料當事人同意，由具有政治、哲學、宗教或工會性質的非牟利法人或機構在其正當活動範圍內處理資料，只要該處理僅涉及這些機構的成員或基於有關實體的宗旨與他們有定期接觸的人士，且有關資料未經資料當事人同意不得告知第三人；

（三）要處理的資料明顯已被資料當事人公開，只要從其聲明可依法推斷出資料當事人同意處理有關資料；

（四）處理資料是在司法訴訟中宣告、行使或維護一權利所必需的，且只為該目的而處理資料。

四、如處理與健康、性生活和遺傳有關的資料是醫學上的預防、診斷、醫療護理、治療或衛生部門管理所必需的，只要由負有保密義務的醫務專業人員或其他同樣受職業保密義務約束的人進行，並根據第二十一條規定通知公共當局和採取適當措施確保資訊安全，得處理有關資料。

第八條
懷疑從事不法活動、刑事違法行為或行政違法行為

一、只有法律規定或具組織性質的規章性規定賦予特定權限的公共部門，在遵守現行資料保護程序和規定的情況下，可設立和保持關於懷疑某人從事不法行為、刑事或行政違法行為，以及判處刑罰、保安處分、罰金或附加刑決定的集中登記。

二、如處理是負責實體實現其正當目的所必需，且資料當事人的權利、自由和保障不優先，在遵守資料保護和資訊安全規定的情況下，得對關於懷疑某人從事不法行為、刑事或行政違法行為，以及判處刑罰、保安處分、罰金或附加刑決定的個人資料進行處理。

三、基於刑事偵查目的而處理個人資料，應僅限於預防一具體的危險或阻止一特定違法行為，以及行使法律規定或具組織性質的規章性規定所賦予的權限而必需的，並應遵守適用於特區的國際法文書或區際協定的規定。

第九條
個人資料的互聯

一、法律規定或具組織性質的規章性規定未規定的個人資料的互聯，須由負責處理個人資料的實體或與其共同負責的實體根據第二十二條第一款的規定向公共當局提出請求並取得其許可。

二、個人資料的互聯應：

（一）符合法律或章程規定的目的和負責處理個人資料的實體的正當利益；

（二）不得導致歧視或削減資料當事人的權利、自由和保障；

（三）須有適當的安全措施；

（四）考慮需互聯的資料的種類。

第三章
資料當事人的權利

第十條
資訊權

一、當直接向資料當事人收集個人資料時，除非資料當事人已經知悉，負責處理個人資料的實體或其代表人應向資料當事人提供如下資訊：

（一）負責處理個人資料的實體的身份及如有代表人時其代表人的身份；

（二）處理的目的；

（三）其他資訊，如：

（1）資料的接收者或接收者的類別；

（2）當事人回覆的強制性或任意性，以及不回覆可能產生的後果；

（3）考慮到資料收集的特殊情況，為確保資料當事人的資料得到如實處理，在必要的情況下享有查閱權、更正權和行使這些權利的條件。

二、作為收集個人資料的基礎文件應包括上款所指的資訊。

三、當資料並非向資料當事人收集時，負責處理個人資料的實體或其代表，在對資料進行登記時，應向當事人提供第一款規定的資訊，但當事人已知悉者除外；或當規定需將資料向第三人通告時，應最遲在第一次通告前，向當事人提供第一款規定的資訊。

四、當在公開的網絡上收集資料時，應該告知資料當事人，其個人資料在網絡上的流通可能缺乏安全保障，有被未經許可的第三人看到和使用的風險，但當事人已知悉者除外。

五、在下列任一情況下，可免除本條所規定的提供資訊的義務：

（一）經法律規定；

（二）基於安全、預防犯罪或刑事偵查的理由；

（三）尤其是當以統計、歷史或科學研究為目的處理資料時，在不可能告知資料當事人或作出告知的成本過高，又或當法律或行政法規明確規定了資料的登記或公開時，但在該等情形下應通知公共當局。

六、在根據下條第三款規定尊重資料當事人基本權利的前提下，本條所規定的提供資訊的義務，不適用於專為新聞、藝術或文學表達目的而對資料的處理。

第十一條
查閱權

一、在不得拖延的合理期限內及無需支付過高費用的情況下，資料當事人享有自由地、不受限制地從負責處理個人資料的實體獲知以下事項的權利：

（一）確認與當事人有關的資料是否被處理、處理目的、被處理資料的類別、資料接收者或接收者的類別；

（二）被清楚地告知需要處理的資料及有關資料的來源；

（三）了解對與其有關的資料的自動化處理原因；

（四）對未依據本法律規定處理的資料，尤其是對不完整或不準確的資料的更正、刪除或封存；

（五）將根據上項規定對資料進行的更正、刪除或封存，通知曾知悉有關資料的第三人，第三人亦應同樣對資料進行更正、刪除、銷毀或封存，但證實不可能通知或作出通知的成本過高者除外。

二、當處理與安全、預防犯罪或刑事偵查有關的個人資料時，查閱權通過在該情形下有權限的當局行使。

三、在上條第六款規定的情況下，查閱權通過公共當局行使，以確保現行適用的規定，主要是確保言論和資訊自由、出版自由、新聞工作者的職業獨立和保密規定的實施。

四、在第二款和第三款規定的情況下，如告知資料當事人可能妨害安全、預防犯罪或刑事偵查、或者妨害言論和資訊自由或出版自由時，分別由在該情形下有權限的當局或公共當局，在不損害本款所擬保護價值的限度內，將所採取的措施告知資料當事人。

五、關於健康資料，包括遺傳資料的查閱權由資料當事人選擇的醫生行使。

六、當資料不被用作對特定的人採取措施或作出決定之用時，在明顯沒有侵犯資料當事人的權利、自由和保障，尤其是私人生活權利危險的情況下，以及當上述資料專用於科學研究，或專為統計所必須的時間內以個人資料形式儲存時，法律得限制查閱權。

第十二條
反對權

一、除法律有相反規定者外，資料當事人有權在任何時候，以與其私人情況有關的正當和重大的理由反對處理與其有關的個人資料。當反對理由合理時，負責實體不得再對該等資料進行處理。

二、資料當事人亦有權在無須費用的情況下，反對負責處理資料的實體以直接促銷或其他方式的商業考察為目的而對與其有關的個人資料進行處理；或免費要求負責處理資料的實體，在基於直接促銷目的或為第三人利益使用有關資料而第一次向第三人通告前，向其作出告知，且在無須費用的情況下，明確反對負責處理資料的實體通告或使用有關資料。

第十三條
不受自動化決定約束的權利

一、任何人有權不受對其權利義務範圍產生效力或對其有明顯影響並僅基於對資料的自動化處理而作出的決定的約束，且有關資料僅用作對該人人格某些方面，尤其是專業能力、信譽、應有的信任或其行為方面的評定。

二、在不妨礙遵守本法律其他規定的情況下，個人得受根據第一款作出決定的約束，只要有關決定：

（一）是在訂定或執行一合同範圍內，以訂定或執行該合同的要求得到滿足為條件，或已有適當的措施保障其正當利益尤其是其申述權和表達權時；

（二）經訂明保護資料當事人權利及正當利益的保障措施的法律許可。

第十四條
損害賠償權

一、任何因資料的不法處理或其他任何違反個人資料保護範疇的法律規定或規章性規定的行為而受損害的人均有權向負責處理資料的實體要求獲得所受損失的賠償。

二、如負責處理資料的實體證實其並非引致損害事實的歸責者，得部分或全部免除責任。

三、如有次合同，適用《民法典》第四百九十二條及隨後數條關於委託關係的規定。

第四章
處理的安全性和保密性

第十五條
處理的安全性

一、負責處理個人資料的實體應採取適當的技術和組織措施保護個人資料，避免資料的意外或不法損壞、意外遺失、未經許可的更改、傳播或查閱，尤其是有關處理使資料經網絡傳送時，以及任何其他方式的不法處理；在考慮到已有的技術知識和因採用該技術所需成本的情況下，上述措施應確保具有與資料處理所帶來的風險及所保護資料的性質相適應的安全程度。

二、負責處理個人資料的實體，在委託他人處理時，應選擇一個在資料處理的技術安全和組織上能提供足夠保障措施的次合同人，並應監察有關措施的執行。

三、以次合同進行的處理，應由約束次合同人和負責處理資料實體的合同或法律行為規範，並應特別規定次合同人只可按照負責處理資料的實體的指引行動，並須履行第一款所指的義務。

四、與資料保護有關的法律行為之意思表示、合同或法律行為的證據資料，以及第一款所指措施的要求，應由法律認可的具有證明效力的書面文件載明。

第十六條
特別的安全措施

一、第七條第二款和第八條第一款所指的負責處理資料的實體應採取適當的措施，以便：

（一）控制進入設施：阻止未經許可的人進入處理上述資料的設施；

（二）控制資料載體：阻止未經許可的人閱讀、複製、修改或取走資料的載體；

（三）控制輸入：阻止未經許可而對已記載的個人資料加入其他資料，以及未經資料記載人許可的知悉、修改或刪除；

（四）控制使用：阻止未經許可的人透過資料傳送設施使用資料的自動化處理系統；

（五）控制查閱：確保經許可的人只可以查閱許可範圍內的資料；

（六）控制傳送：確保透過資料傳送設施可以查證傳送個人資料的實體；

（七）控制引入：確保可以在隨後查證引入了哪些個人資料、何時和由誰引入，該查證須在每一領域的適用規章所定的、與資料處理的性質相符的期間內進行；

（八）控制運輸：在個人資料的傳送和其載體的運輸過程中，阻止以未經許可的方式閱讀、複製、修改或刪除資料。

二、考慮到各負責處理資料的實體的性質和進行處理的設施的種類，公共當局在確保尊重資料當事人的權利、自由和保障的情況下得免除某些安全措施。

三、有關系統應確保將與健康和性生活有關的個人資料，包括遺傳資料，同其他個人資料分開。

四、當第七條所指的個人資料在網絡上流通可能對有關當事人的權利、自由和保障構成危險時，公共當局得決定以密碼進行傳送。

第十七條
由次合同人處理資料

次合同人和任何隸屬於負責處理資料的實體或次合同人的人在查閱資料時，如沒有負責處理資料的實體的指引則不得對資料進行處理，但履行法定義務者除外。

第十八條
職業保密

一、負責處理個人資料的實體和在履行職務過程中知悉所處理個人資料的所有人士，均負有職業保密義務，即使相應職務終止亦然。

二、為公共當局從事顧問或諮詢工作的公務員、服務人員或技術員均負有相同的職業保密義務。

三、上述各款的規定不排除依法提供必要資訊的義務，但載於為統計用途所組織的資料庫者除外。

第五章
將個人資料轉移到特區以外的地方

第十九條
原則

一、僅得在遵守本法律規定，且接收轉移資料當地的法律體系能確保適當的保護程度的情況下，方可將個人資料轉移到特區以外的地方。

二、上款所指的適當的保護程度應根據轉移的所有情況或轉移資料的整體進行審議，尤其應考慮資料的性質、處理資料的目的、期間或處理計劃、資料來源地和最終目的地，以及有關法律體系現行的一般或特定的法律規則及所遵守的專業規則和安全措施。

三、由公共當局決定某一法律體系是否能確保上款規定的適當保護程度。

第二十條
排除適用

一、當資料當事人明確同意轉移或轉移符合下列任一情況時，經對公共當局作出通知後，得將個人資料轉移到一個法律體系不能確保上條第二款規定的適當保護程度的地方：

（一）轉移是執行資料當事人和負責處理個人資料的實體間的合同所必需，或是應資料當事人要求執行訂定合同的預先措施所必需者；

（二）轉移是執行或訂定一合同所必需，而該合同是為了資料當事人的利益由負責處理個人資料的實體和第三人之間所訂立或將要訂立者；

（三）轉移是保護一重要的公共利益，或是在司法訴訟中宣告、行使或維護一權利所必需的或法律所要求者；

（四）轉移是保護資料當事人的重大利益所必需者；

（五）轉移自作出公開登記後進行。根據法律或行政法規，該登記是為著公眾資訊和可供一般公眾或證明有正當利益的人公開查詢之用者，只要在具體情況下遵守上述法律或行政法規訂定的查詢條件。

二、在不妨礙第一款規定的情況下，只要負責處理資料的實體確保有足夠的保障他人的私人生活、基本權利和自由的機制，尤其透過適當的合同條款確保這些權利的行使，公共當局得許可將個人資料轉移到一個法律體系不能確保上條第二款規定的適當保護程度的地方。

三、當個人資料的轉移成為維護公共安全、預防犯罪、刑事偵查和制止刑事違法行為以及保障公共衛生所必需的措施時，個人資料的轉移由專門法律或適用於特區的國際法文書以及區際協定規範。

第六章
通知和許可

第二十一條
通知的義務

一、負責處理個人資料的實體或如有代表人時其代表人，應從處理開始起八日期限內以書面形式，將為了實現一個或多個相互關聯的目的而進行的一個或一系列、全部或部分自動化處理，通知公共當局。

二、當公共當局認為資料的處理不會對資料當事人的權利和自由構成影響，並基於快速、經濟和有效的原則，得許可對特定種類資料處理簡化或豁免通知。

三、許可須在《澳門特別行政區公報》上公佈，並應列明處理資料的目的、所處理的資料或其種類、資料當事人或當事人的類別、可被告知資料的接收者或接收者的類別，以及資料的保存期限。

四、當根據法律或行政法規，處理資料的唯一目的是為了維持資料的登記，而該登記是為著公眾資訊和可供一般公眾或證明有正當利益的人查詢之用時，則可豁免通知。

五、當根據第七條第三款（一）項處理個人資料時，對第七條第一款規定的個人資料的非自動化處理須作出通知。

第二十二條
預先監控

一、除第二款之規定外，以下情況須經公共當局許可：

（一）第七條第二款所指個人資料的處理；

（二）關於資料當事人信用和償付能力資料的處理；

（三）第九條所規定的個人資料的互聯；

（四）在與收集資料的目的不同的情況下使用個人資料。

二、上款所指的處理得透過法律規定或具組織性質的規章性規定予以許可，在此情況下無需公共當局的許可。

第二十三條
意見書或許可的申請及通知的內容

向公共當局遞交的請求發出意見書或許可的申請和作出的通知應包括如下資訊：

（一）負責處理資料的實體的姓名和地址，以及如有代表人時其代表人的姓名和地址；

（二）處理的目的；

（三）資料當事人類別及與其有關的個人資料或資料種類的描述；

（四）可被告知資料的接收者或接收者的類別，以及告知資料的條件；

（五）當不是負責處理資料的實體本身處理時，承擔處理資訊的實體；

（六）個人資料處理中或有的互聯；

（七）個人資料的保存時間；

（八）資料當事人知悉或更正與其有關的個人資料的方式和條件；

（九）擬向第三國家或地區所作的資料轉移；

（十）容許初步評估適用第十五條和第十六條確保資料處理的安全而採取的措施是否適合的一般描述。

第二十四條
強制性指示

一、第七條第二款和第八條第一款所提到的法律規定或具組織性質的規章性規定、公共當局的許可和個人資料處理的登記至少應指出：

（一）資料庫負責人和如有代表人時其代表人；

（二）所處理個人資料的種類；

（三）處理資料的目的和接收資料實體的類別；

（四）行使查閱權和更正權的方式；

（五）個人資料處理中或有的互聯；

（六）擬向第三國家或地區所作的資料轉移。

二、對第一款所規定指示的任何修改須根據第二十一條和第二十二條規定的程序進行。

第二十五條
資料處理的公開性

一、當個人資料的處理不受法律規定或具組織性質的規章性規定規範但應得到許可或作出通知時，有關處理須載於公共當局的登記內，公開讓任何人士查詢。

二、上述登記包括第二十三條（一）至（四）項和（九）項所列的資料。

三、當資料的處理無須作出通知時，負責處理資料的實體有義務以適當的方式向對其提出要求的任何人最低限度提供上條第一款所指的資料。

四、當根據法律或行政法規，處理資料的唯一目的是為了維持資料的登記，而該登記是為著公眾資訊和可供一般公眾或證明有正當利益的人公開查詢之用時，則不適用本條的規定。

五、公共當局在其年度報告中公佈所有依本法律規定編制的意見書和發出的許可，尤其是第七條第二款和第九條第一款規定的許可。

第七章
行為守則

第二十六條
行為守則

公共當局鼓勵和支持制訂行為守則，以便按不同界別的特點更好地執行本法律的規定，及從整體上更有效地自我規範及實現和保護與隱私有關的基本權利。

第二十七條
行為守則草案的提交

一、代表負責處理資料實體的專業團體和其他組織，如制訂行為守則草案並認為有必要，得為登記的目的將行為守則草案送交公共當局。

二、如公共當局認為草案符合個人資料保護範疇的現行法律規定和規章性規定，應作出登記。

三、行為守則的登記具有單純宣告合法性的後果，但該守則並不具有法律規範或規章規範的性質。

第八章
行政和司法保護

第一節
行政和司法保護

第二十八條
一般原則

任何人得依法採用行政或司法途徑以確保個人資料保護範疇的法律規定和規章性規定得以遵守，但不妨礙向公共當局提出告訴的權利。

第二十九條
特別司法保護

一、對法院的裁決得以違反本法律確保的基本權利為由向終審法院提出上訴，該上訴得直接提出並僅針對違反基本權利的問題，上訴具有緊急性。

二、在不妨礙上款規定的情況下，對行政行為或公權單純事實，得以違反本法律確保的基本權利為由向行政法院提出上訴，上訴具有緊急性。

三、在遵守上兩款規定的前提下，《民事訴訟法典》第七條之規定，經作出適當配合後，適用於上兩款所規定特別司法保護中的上訴程序，並分別補充適用經作出必要配合後的民事訴訟法律和行政程序法律的規定。

第二節
行政上之違法行為

第三十條
補充法例

行政上之違法行為的一般制度，經如下條文配合後，補充適用於本節規定的違法行為。

第三十一條
履行未履行的義務

當因不履行義務而構成行政違法行為時，如該履行仍屬可能，執行處罰和支付罰款並不免除違法者履行該義務。

第三十二條
履行義務的不作為或有瑕疵的履行

一、基於過失，實體未履行第二十一條第一款和第五款規定的將個人資料的處理通知公共當局的義務、提供虛假資訊或履行通知義務時未遵守第二十三條的規定，或者經公共當局通知之後，負責處理個人資料的實體繼續讓沒有遵守本法規定者查閱其傳送資料的公開網絡，屬行政違法行為並處以如下罰款：

（一）對自然人科處澳門幣2,000至20,000元罰款；

（二）對法人或無法律人格的實體，科處澳門幣10,000至 100,000元罰款。

二、當處理的資料根據第二十二條規定受預先監控約束時，罰款的上下限各加重一倍。

第三十三條
其他行政違法行為

一、對處理個人資料的實體不履行第五條、第十條、第十一條、第十二條、第十三條、第十六條、第十七條和第二十五條第三款規定所規定義務的行政違法行為，科處澳門幣4,000至40,000元罰款。

二、對處理個人資料的實體不履行第六條、第七條、第八條、第九條、第十九條和第二十條所規定義務的行政違法行為，科處澳門幣8,000至80,000元罰款。

第三十四條
違法行為的競合

一、如一事實同時構成犯罪和行政違法行為，則僅以犯罪處罰。

二、如行政違法行為競合，則各項處罰一併科處。

第三十五條
過失和未遂的處罰

一、因過失實施第三十三條規定的行政違法行為者須受處罰。

二、第三十二條和第三十三條規定的行政違法行為的未遂須受處罰。

第三十六條
科處罰款

一、公共當局有權科處本法律規定的罰款。

二、如未在法定期限內並根據法律規定提出爭執，則公共當局的決定構成執行名義。

第三節
犯罪

第三十七條
未履行資料保護的義務

一、意圖實施下列行為者，處最高一年徒刑或一百二十日罰金：

（一）未作出第二十一條和第二十二條所指的通知或許可請求；

（二）在通知或請求許可處理個人資料時提供虛假資訊，或在處理個人資料時實施了未經使其合法化的文書允許的修改；

（三）與收集個人資料的目的不相符或在不符合使其合法化的文書的情況下移走或使用個人資料；

（四）促使或實行個人資料的不法互聯；

（五）在公共當局為履行本法律或其他保護個人資料法例規定的義務而訂定的期間完結後，仍不履行義務者；

（六） 在公共當局通知不得再讓沒有遵守本法規定者查閱之後，負責處理個人資料的實體繼續讓有關人士查閱其傳送資料的公開網絡。

二、當涉及第七條和第八條所指的個人資料時，刑罰的上下限各加重一倍。

第三十八條
不當查閱

一、未經適當的許可，透過任何方法查閱被禁止查閱的個人資料者，如按特別法不科處更重刑罰，則處最高一年徒刑或一百二十日罰金。

二、在下列情況下查閱個人資料，刑罰的上下限各加重一倍：

（一）透過違反技術安全規則查閱資料；

（二）使行為人或第三人知悉個人資料；

（三）給予行為人或第三人財產利益。

三、第一款規定的情況，非經告訴不得進行刑事程序。

第三十九條
個人資料的更改或毀壞

一、未經適當許可刪除、毀壞、損壞、消除或修改個人資料，使資料不能使用或影響其用途者，如按特別法不科處更重刑罰，則處最高二年徒刑或二百四十日罰金。

二、如引致的損害特別嚴重，刑罰上下限各加重一倍。

三、如行為人過失實施以上兩款所規定的行為，處最高一年徒刑或一百二十日罰金。

第四十條
加重違令罪

一、行為人被通知後仍不中斷、停止或封存個人資料的處理，處相當於加重違令罪的刑罰。

二、行為人被通知後仍有下列情況之一者，科處相同刑罰：

（一）無合理理由拒絕對公共當局提出的具體要求給予合作；

（二）沒有進行刪除、全部或部分銷毀個人資料；

（三）第五條規定的保存期完結後未銷毀有關個人資料。

第四十一條
違反保密義務

一、根據法律規定，負有職業保密義務者，在沒有合理理由和未經適當同意情況下，披露或傳播全部或部分個人資料，如按特別法不科處更重刑罰，則處最高二年徒刑或二百四十日罰金。

二、如行為人屬下列情況，刑罰上下限各加重一半：

（一）根據刑法規定屬公務員或等同公務員者；

（二）被定為有意圖取得任何財產利益或其他不法利益者；

（三）對他人的名聲、名譽、別人對他人的觀感或私人生活的隱私造成危險者。

三、對過失行為處最高六個月徒刑或一百二十日罰金。

四、第二款規定以外的情況，非經告訴不得進行刑事程序。

第四十二條
犯罪未遂的處罰

本節所規定犯罪之未遂須受處罰。

第四節
附加刑

第四十三條
附加刑

根據本章第二節和第三節科處罰金或刑罰時，可一併科處以下附加刑：

（一）臨時或確定性禁止處理、封存、刪除、全部或部分銷毀資料；

（二）公開有罪判決；

（三）由公共當局對負責處理個人資料的實體提出警告或公開且譴責。

第四十四條
有罪判決的公佈

一、有罪判決的公佈是透過中文和葡文發行量較大的定期刊物為之，以及在適當地方和不少於三十日的期限內透過張貼告示為之，有關費用由被判罰者負擔。

二、該公佈以摘錄為之，其中載有違法行為、科處的處罰和行為人的身份。

第九章
最後及過渡規定

第四十五條
過渡規定

一、在本法律生效日前，已存於人手操作的資料庫的資料的處理應在兩年內履行第七條、第八條、第十條和第十一條的規定。

二、在任何情況下，尤其是在行使查閱權時，資料當事人得要求更正、刪除或封存不完整、不準確或以與負責處理個人資料的實體實現其正當目的不相符的方式而儲存的資料。

三、只要有關資料不會以其他目的被再次使用，公共當局得許可已存在於人手操作的資料庫的資料和僅為歷史研究目的而保存的資料無須履行第七條、第八條和第九條的規定。

第四十六條
生效

本法律於公佈後一百八十日起生效。

二零零五年八月四日通過。

立法會主席　曹其真

二零零五年八月十日簽署。

命令公佈。

行政長官　何厚鏵

No desenvolvimento dos regimes fundamentais estabelecidos pelos artigos 30.º, 32.º e 43.º da Lei Básica da Região Administrativa Especial de Macau, a Assembleia Legislativa decreta, nos termos da alínea 1) do artigo 71.º da mesma Lei Básica, para valer como lei, o seguinte:

Capítulo I
Disposições gerais

Artigo 1.º
Objecto

A presente lei estabelece o regime jurídico do tratamento e protecção de dados pessoais.

Artigo 2.º
Princípios gerais

O tratamento de dados pessoais deve processar-se de forma transparente e no estrito respeito pela reserva da vida privada, bem como pelos direitos, liberdades e garantias fundamentais estabelecidos na Lei Básica da Região Administrativa Especial de Macau, nos instrumentos de direito internacional e na legislação vigente.

Artigo 3.º
Âmbito de aplicação

1. A presente lei aplica-se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros manuais ou a estes destinados.

2. A presente lei não se aplica ao tratamento de dados pessoais efectuado por pessoa singular no exercício de actividades exclusivamente pessoais ou domésticas salvo se se destinar a comunicação sistemática ou difusão.

3. A presente lei aplica-se à videovigilância e outras formas de captação, tratamento e difusão de sons e imagens que permitam identificar pessoas sempre que o responsável pelo tratamento esteja domiciliado ou sediado na Região Administrativa Especial de Macau, doravante RAEM, ou utilize um fornecedor de acesso a redes informáticas e telemáticas ali estabelecido.

4. A presente lei aplica-se ao tratamento e dados pessoais que tenham por objectivo a segurança pública, sem prejuízo do disposto em normas especiais constantes de instrumentos de direito internacional e acordos inter-regionais a que a RAEM se vincule e de leis específicas relativas àquele sector e outros correlacionados.

Artigo 4.º
Definições

1. Para efeitos da presente lei, entende-se por:

1) «Dados pessoais»: qualquer informação, de qualquer natureza e independentemente do respectivo suporte, incluindo som e imagem, relativa a uma pessoa singular identificada ou identificável («titular dos dados»), sendo considerada identificável a pessoa que possa ser identificada directa ou indirectamente, designadamente por referência a um número de identificação ou a um ou mais elementos específicos da sua identidade física, fisiológica, psíquica, económica, cultural ou social;

2) «Titular dos dados»: pessoa singular à qual se referem os dados objecto do tratamento;

3) «Tratamento de dados pessoais» («tratamento»): qualquer operação ou conjunto de operações sobre dados pessoais, efectuadas com ou sem meios automatizados, tais como a recolha, o registo, a organização, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a comunicação por transmissão, por difusão ou por qualquer outra forma de colocação à disposição, com comparação ou interconexão, bem como o bloqueio, apagamento ou destruição;

4) «Ficheiro de dados pessoais» («ficheiro»): qualquer conjunto estruturado de dados pessoais, acessível segundo critérios determinados, independentemente da forma ou modalidade da sua criação, armazenamento e organização;

5) «Responsável pelo tratamento»: a pessoa singular ou colectiva, a entidade pública, o serviço ou qualquer outro organismo que, individualmente ou em conjunto com outrem, determine as finalidades e os meios de tratamento dos dados pessoais;

6) «Subcontratante»: a pessoa singular ou colectiva, a entidade pública, o serviço ou qualquer outro organismo que trate os dados pessoais por conta do responsável pelo tratamento;

7) «Terceiro»: a pessoa singular ou colectiva, a entidade pública, o serviço ou qualquer outro organismo que, não sendo o titular dos dados, o responsável pelo tratamento, o subcontratante ou outra pessoa sob autoridade directa do responsável pelo tratamento ou do subcontratante, esteja habilitado a tratar os dados;

8) «Destinatário»: a pessoa singular ou colectiva, a entidade pública, o serviço ou qualquer outro organismo a quem sejam comunicados dados pessoais, independentemente de se tratar ou não de um terceiro, sem prejuízo de não serem consideradas destinatários as autoridades a quem sejam comunicados dados no âmbito de disposição legal ou disposição regulamentar de natureza orgânica;

9) «Consentimento do titular dos dados»: qualquer manifestação de vontade, livre, específica e informada, nos termos da qual o titular aceita que os seus dados pessoais sejam objecto de tratamento;

10) «Interconexão de dados»: forma de tratamento que consiste na possibilidade de relacionamento dos dados de um ficheiro com os dados de um ficheiro ou ficheiros mantidos por outro ou outros responsáveis, ou mantidos pelo mesmo responsável com outra finalidade;

11) «Autoridade pública»: a entidade referida no n.º 3 do artigo 79.º do Código Civil;

12) «Disposição regulamentar de natureza orgânica»: disposição constante de diploma de organização e funcionamento ou de estatuto de entidade competente para a prática de actos de tratamento de dados e outros actos referidos na presente lei.

2. Para efeitos do disposto na alínea 5) do número anterior, sempre que as finalidades e os meios do tratamento sejam determinados por disposição legal ou disposição regulamentar de natureza orgânica, deve ser indicado o responsável pelo tratamento dos dados pessoais em causa.

Capítulo II
Tratamento e qualidade dos dados pessoais e legitimidade do seu tratamento

Artigo 5.º
Qualidade dos dados

1. Os dados pessoais devem ser:

1) Tratados de forma lícita e com respeito pelo princípio da boa fé e dos princípios gerais enunciados no artigo 2.º;

2) Recolhidos para finalidades determinadas, explícitas e legítimas e directamente relacionadas com o exercício da actividade do responsável pelo tratamento, não podendo ser posteriormente tratados de forma incompatível com essas finalidades;

3) Adequados, pertinentes e não excessivos relativamente às finalidades para que são recolhidos e posteriormente tratados;

4) Exactos e, se necessário, actualizados, devendo ser tomadas as medidas adequadas para assegurar que sejam apagados ou rectificados os dados inexactos ou incompletos, tendo em conta as finalidades para que foram recolhidos ou para que são tratados posteriormente;

5) Conservados de forma a permitir a identificação dos seus titulares apenas durante o período necessário para a prossecução das finalidades da recolha ou do tratamento posterior.

2. Mediante requerimento do responsável pelo tratamento, e caso haja interesse legítimo, a autoridade pública pode autorizar a conservação de dados para fins históricos, estatísticos ou científicos por período superior ao referido na alínea 5) do número anterior.

Artigo 6.º
Condições de legitimidade do tratamento de dados

O tratamento de dados pessoais só pode ser efectuado se o seu titular tiver dado de forma inequívoca o seu consentimento ou se o tratamento for necessário para:

1) Execução de contrato ou contratos em que o titular dos dados seja parte ou de diligências prévias à formação do contrato ou declaração da vontade negocial efectuadas a seu pedido;

2) Cumprimento de obrigação legal a que o responsável pelo tratamento esteja sujeito;

3) Protecção de interesses vitais do titular dos dados, se este estiver física ou legalmente incapaz de dar o seu consentimento;

4) Execução de uma missão de interesse público ou no exercício de poderes de autoridade pública em que esteja investido o responsável pelo tratamento ou um terceiro a quem os dados sejam comunicados;

5) Prossecução de interesses legítimos do responsável pelo tratamento ou de terceiro a quem os dados sejam comunicados, desde que não devam prevalecer os interesses ou os direitos, liberdades e garantias do titular dos dados.

Artigo 7.º
Tratamento de dados sensíveis

1. É proibido o tratamento de dados pessoais referentes a convicções filosóficas ou políticas, filiação em associação política ou sindical, fé religiosa, vida privada e origem racial ou étnica, bem como o tratamento de dados relativos à saúde e à vida sexual, incluindo os dados genéticos.

2. O tratamento dos dados referidos no número anterior pode no entanto ser efectuado desde que com garantias de não discriminação e com as medidas de segurança previstas no artigo 16.º, nas seguintes condições:

1) Mediante disposição legal ou disposição regulamentar de natureza orgânica que expressamente autorize o tratamento dos dados previstos no número anterior; ou

2) Autorização da autoridade pública, quando por motivos de interesse público importante esse tratamento for indispensável ao exercício das atribuições e competências do seu responsável; ou

3) Quando o titular dos dados tiver dado o seu consentimento expresso para esse tratamento.

3. O tratamento dos dados referidos no n.º 1 pode ainda ser efectuado quando se verificar uma das seguintes condições:

1) Ser necessário para proteger interesses vitais do titular dos dados ou de uma outra pessoa e o titular dos dados estiver física ou legalmente incapaz de dar o seu consentimento;

2) Ser efectuado, com o consentimento do titular, por pessoa colectiva ou organismo sem fins lucrativos de carácter político, filosófico, religioso ou sindical, no âmbito das suas actividades legítimas, sob condição de o tratamento respeitar apenas aos membros desse organismo ou às pessoas que com ele mantenham contactos periódicos ligados às suas finalidades, e de os dados não serem comunicados a terceiros sem consentimento dos seus titulares;

3) Dizer respeito a dados manifestamente tornados públicos pelo seu titular, desde que se possa legitimamente deduzir das suas declarações o consentimento para o tratamento dos mesmos;

4) Ser necessário à declaração, exercício ou defesa de um direito em processo judicial e for efectuado exclusivamente com essa finalidade.

4. O tratamento dos dados referentes à saúde e à vida sexual, incluindo os dados genéticos, pode ser efectuado quando for necessário para efeitos de medicina preventiva, de diagnóstico médico, de prestação de cuidados ou tratamentos médicos ou de gestão de serviços de saúde, desde que o tratamento desses dados seja efectuado por um profissional de saúde obrigado a sigilo ou por outra pessoa sujeita igualmente a segredo profissional, seja notificado à autoridade pública, nos termos do artigo 21.º e sejam garantidas medidas adequadas de segurança da informação.

Artigo 8.º
Suspeitas de actividades ilícitas, infracções penais e infracções administrativas

1. A criação e manutenção de registos centrais relativos a pessoas suspeitas de actividades ilícitas, infracções penais, infracções administrativas e decisões que apliquem penas, medidas de segurança, multas e sanções acessórias só pode ser mantida por serviços públicos com competência específica prevista em disposição legal ou disposição regulamentar de natureza orgânica e observando normas procedimentais e de protecção de dados vigentes.

2. O tratamento de dados pessoais relativos a suspeitas de actividades ilícitas, infracções penais, infracções administrativas e decisões que apliquem penas, medidas de segurança, multas e sanções acessórias pode ser efectuado desde que observadas as normas de protecção de dados e de segurança da informação, quando tal tratamento for necessário à execução de finalidades legítimas do seu responsável, desde que não prevaleçam os direitos, liberdades e garantias do titular dos dados.

3. O tratamento de dados pessoais para fins de investigação policial deve limitar-se ao necessário para a prevenção de um perigo concreto ou repressão de uma infracção determinada, para o exercício de competências previstas em disposição legal ou disposição regulamentar de natureza orgânica e ainda nos termos de instrumento de direito internacional ou acordo inter-regional a que a RAEM se ache vinculado.

Artigo 9.º
Interconexão de dados pessoais

1. A interconexão de dados pessoais que não esteja prevista em disposição legal ou disposição regulamentar de natureza orgânica está sujeita a autorização da autoridade pública solicitada pelo responsável ou em conjunto pelos correspondentes responsáveis dos tratamentos, nos termos previstos no n.º 1 do artigo 22.º

2. A interconexão de dados pessoais deve ser:

1) Adequada à prossecução das finalidades legais ou estatutárias e de interesses legítimos dos responsáveis dos tratamentos;

2) Não implicar discriminação ou diminuição dos direitos, liberdades e garantias dos titulares dos dados;

3) Rodeada de adequadas medidas de segurança; e

4) Ter em conta o tipo de dados objecto de interconexão.

Capítulo III
Direitos do titutlar dos dados

Artigo 10.º
Direito de informação

1. Quando recolher dados pessoais directamente do seu titular, o responsável pelo tratamento ou o seu representante deve prestar-lhe, salvo se já dele forem conhecidas, as seguintes informações:

1) Identidade do responsável pelo tratamento e, se for caso disso, do seu representante;

2) Finalidades do tratamento;

3) Outras informações, tais como:

(i) Os destinatários ou categorias de destinatários dos dados;

(ii) O carácter obrigatório ou facultativo da resposta, bem como as possíveis consequências se não responder;

(iii) A existência e as condições do direito de acesso e de rectificação, desde que sejam necessárias, tendo em conta as circunstâncias específicas da recolha dos dados, para garantir ao seu titular um tratamento leal dos mesmos.

2. Os documentos que sirvam de base à recolha de dados pessoais devem conter as informações constantes do número anterior.

3. Se os dados não forem recolhidos junto do seu titular, e salvo se dele já forem conhecidas, o responsável pelo tratamento, ou o seu representante, deve prestar-lhe as informações previstas no n.º 1 no momento do registo dos dados ou, se estiver prevista a comunicação a terceiros, até aquando da primeira comunicação desses dados.

4. No caso de recolha de dados em redes abertas, o titular dos dados deve ser informado, salvo se disso já tiver conhecimento, de que os seus dados pessoais podem circular na rede sem condições de segurança, correndo o risco de serem vistos e utilizados por terceiros não autorizados.

5. A obrigação de informação prevista no presente artigo pode ser dispensada nos seguintes casos:

1) Mediante disposição legal;

2) Por motivos de segurança e prevenção ou investigação criminal;

3) Quando, nomeadamente no caso do tratamento de dados com finalidades estatísticas, históricas ou de investigação científica, a informação do titular dos dados se revelar impossível ou implicar esforços desproporcionados ou ainda quando a lei ou regulamento administrativo determinar expressamente o registo dos dados ou a sua divulgação, devendo nestes casos ser notificada a autoridade pública.

6. A obrigação de informação, nos termos previstos no presente artigo, não se aplica ao tratamento de dados efectuado para fins exclusivamente jornalísticos ou de expressão artística ou literária no respeito dos direitos fundamentais do titular dos dados nos termos previstos no n.º 3 do artigo seguinte.

Artigo 11.º
Direito de acesso

1. O titular dos dados tem o direito de obter do responsável pelo tratamento, livremente e sem restrições, com periodicidade razoável e sem demoras ou custos excessivos:

1) A confirmação de serem ou não tratados dados que lhe digam respeito, bem como informação sobre as finalidades desse tratamento, as categorias de dados sobre que incide e os destinatários ou categorias de destinatários a quem são comunicados os dados;

2) A comunicação, sob forma inteligível, dos seus dados sujeitos a tratamento e de quaisquer informações disponíveis sobre a origem desses dados;

3) O conhecimento das razões subjacentes ao tratamento automatizado dos dados que lhe digam respeito;

4) A rectificação, o apagamento ou o bloqueio dos dados cujo tratamento não cumpra o disposto na presente lei, nomeadamente devido ao carácter incompleto ou inexacto desses dados;

5) A notificação aos terceiros a quem os dados tenham sido comunicados de qualquer rectificação, apagamento ou bloqueio efectuado nos termos da alínea anterior, salvo se tal for comprovadamente impossível ou implicar um esforço manifestamente desproporcionado, devendo os terceiros proceder igualmente à rectificação, apagamento, destruição ou bloqueio dos dados.

2. No caso de tratamento de dados pessoais relativos à segurança e à prevenção ou investigação criminal, o direito de acesso é exercido através da autoridade competente no caso.

3. No caso previsto no n.º 6 do artigo anterior, o direito de acesso é exercido através da autoridade pública com salvaguarda das normas aplicáveis, designadamente as que garantem a liberdade de expressão e informação, a liberdade de imprensa e a independência e sigilo profissionais dos jornalistas.

4. Nos casos previstos nos n.os 2 e 3, se a comunicação dos dados ao seu titular puder prejudicar a segurança, a prevenção ou a investigação criminal ou ainda a liberdade de expressão e informação ou a liberdade de imprensa, a autoridade competente no caso ou a autoridade pública, respectivamente, limitam-se a informar o titular dos dados apenas das diligências efectuadas que não sejam susceptíveis de acarretar prejuízo aos valores que se pretendem salvaguardar no presente número.

5. O direito de acesso à informação relativa a dados da saúde, incluindo os dados genéticos, é exercido por intermédio de médico escolhido pelo titular dos dados.

6. No caso de os dados não serem utilizados para tomar medidas ou decisões em relação a pessoas determinadas, a lei pode restringir o direito de acesso nos casos em que manifestamente não exista qualquer perigo de violação dos direitos, liberdades e garantias do titular dos dados, designadamente do direito à vida privada, e os referidos dados forem exclusivamente utilizados para fins de investigação científica ou conservados sob forma de dados pessoais durante um período que não exceda o necessário à finalidade exclusiva de elaborar estatísticas.

Artigo 12.º
Direito de oposição

1. Salvo disposição legal em contrário, o titular dos dados tem o direito de se opor em qualquer altura, por razões ponderosas e legítimas relacionadas com a sua situação particular, a que os dados que lhe digam respeito sejam objecto de tratamento, devendo, em caso de oposição justificada, o tratamento efectuado pelo responsável deixar de poder incidir sobre esses dados.

2. O titular dos dados tem ainda o direito de se opor, a seu pedido e gratuitamente, ao tratamento dos dados pessoais que lhe digam respeito previsto pelo responsável pelo tratamento para efeitos de marketing directo ou qualquer outra forma de prospecção comercial, ou de ser informado, antes de os dados pessoais serem comunicados pela primeira vez a terceiros para fins de marketing directo ou utilizados por conta de terceiros, e de lhe ser expressamente facultado o direito de se opor, sem despesas, a tais comunicações ou utilizações

Artigo 13.º
Direito de não sujeição a decisões individuais automatizadas

1. Qualquer pessoa tem o direito de não ficar sujeita a uma decisão que produza efeitos na sua esfera jurídica ou que a afecte de modo significativo, tomada exclusivamente com base num tratamento automatizado de dados destinado a avaliar determinados aspectos da sua personalidade, designadamente a sua capacidade profissional, o seu crédito, a confiança de que é merecedora ou o seu comportamento.

2. Sem prejuízo do cumprimento das restantes disposições da presente lei, uma pessoa pode ficar sujeita a uma decisão tomada nos termos do n.º 1, se a mesma for:

1) Tomada no âmbito da celebração ou da execução de um contrato, e sob condição de o seu pedido de celebração ou execução do contrato ter sido satisfeito, ou de existirem medidas adequadas que garantam a defesa dos seus interesses legítimos, designadamente o seu direito de representação e expressão;

2) Autorizada por lei que estabeleça medidas que garantam a defesa dos direitos e interesses legítimos do titular dos dados.

Artigo 14.º
Direito de indemnização

1. Qualquer pessoa que tiver sofrido um prejuízo decorrente do tratamento ilícito de dados ou de qualquer outro acto que viole disposição legal ou regulamentar em matéria de protecção de dados pessoais tem o direito de obter do responsável pelo tratamento a reparação pelo prejuízo sofrido.

2. O responsável pelo tratamento pode ser parcial ou totalmente exonerado desta responsabilidade se provar que o facto que causou o dano lhe não é imputável.

3. Havendo subcontratação, aplicam-se as disposições relativas à relação de comissão constantes dos artigos 492.º e seguintes do Código Civil.

CAPÍTULO IV
Segurança e confidencialidade do tratamento

Artigo 15.º
Segurança do tratamento

1. O responsável pelo tratamento deve pôr em prática as medidas técnicas e organizativas adequadas para proteger os dados pessoais contra a destruição, acidental ou ilícita, a perda acidental, a alteração, a difusão ou o acesso não autorizados, nomeadamente quando o tratamento implicar a sua transmissão por rede, e contra qualquer outra forma de tratamento ilícito, devendo elas assegurar, atendendo aos conhecimentos técnicos disponíveis e aos custos resultantes da sua aplicação, um nível de segurança adequado em relação aos riscos que o tratamento apresenta e à natureza dos dados a proteger.

2. O responsável pelo tratamento, em caso de tratamento por sua conta, deverá escolher um subcontratante que ofereça garantias suficientes em relação às medidas de segurança técnica e de organização do tratamento a efectuar, e deverá zelar pelo cumprimento dessas medidas.

3. A realização de operações de tratamento em subcontratação deve ser regida por um contrato ou acto jurídico que vincule o subcontratante ao responsável pelo tratamento e que estipule, designadamente, que o subcontratante apenas actua mediante instruções do responsável pelo tratamento e que lhe incumbe igualmente o cumprimento das obrigações referidas no n.º 1.

4. Os elementos de prova da declaração negocial, do contrato ou do acto jurídico relativos à protecção dos dados, bem como as exigências relativas às medidas referidas no n.º 1, são consignados por escrito em documento com valor probatório legalmente reconhecido.

Artigo 16.º
Medidas especiais de segurança

1. Os responsáveis pelo tratamento dos dados referidos no n.º 2 do artigo 7.º e no n.º 1 do artigo 8.º devem tomar as medidas adequadas para:

1) Impedir o acesso de pessoa não autorizada às instalações utilizadas para o tratamento desses dados (controlo da entrada nas instalações);

2) Impedir que suportes de dados possam ser lidos, copiados, alterados ou retirados por pessoa não autorizada (controlo dos suportes de dados);

3) Impedir a introdução não autorizada, bem como a tomada de conhecimento, a alteração ou a eliminação não autorizadas de dados pessoais inseridos (controlo da inserção);

4) Impedir que sistemas de tratamento automatizados de dados possam ser utilizados por pessoas não autorizadas através de instalações de transmissão de dados (controlo da utilização);

5) Garantir que as pessoas autorizadas só possam ter acesso aos dados abrangidos pela autorização (controlo de acesso);

6) Garantir a verificação das entidades a quem possam ser transmitidos os dados pessoais através das instalações de transmissão de dados (controlo da transmissão);

7) Garantir que possa verificar-se a posteriori, em prazo adequado à natureza do tratamento, a fixar na regulamentação aplicável a cada sector, quais os dados pessoais introduzidos quando e por quem (controlo da introdução);

8) Impedir que, na transmissão de dados pessoais, bem como no transporte do seu suporte, os dados possam ser lidos, copiados, alterados ou eliminados de forma não autorizada (controlo do transporte).

2. Tendo em conta a natureza das entidades responsáveis pelo tratamento e o tipo das instalações em que é efectuado, a autoridade pública pode dispensar a existência de certas medidas de segurança, garantido que se mostre o respeito pelos direitos, liberdades e garantias dos titulares dos dados.

3. Os sistemas devem garantir a separação lógica entre os dados referentes à saúde e à vida sexual, incluindo os genéticos, dos restantes dados pessoais.

4. A autoridade pública pode determinar que, nos casos em que a circulação em rede de dados pessoais referidos no artigo 7.º possa pôr em risco direitos, liberdades e garantias dos respectivos titulares, a transmissão seja cifrada.

Artigo 17.º
Tratamento por subcontratante

Qualquer pessoa que, agindo sob a autoridade do responsável pelo tratamento ou do subcontratante, bem como o próprio subcontratante, tenha acesso a dados pessoais não pode proceder ao seu tratamento sem instruções do responsável pelo tratamento, salvo por força de obrigações legais.

Artigo 18.º
Sigilo profissional

1. Os responsáveis pelo tratamento de dados pessoais, bem como as pessoas que, no exercício das suas funções, tenham conhecimento dos dados pessoais tratados, ficam obrigados a sigilo profissional, mesmo após o termo das suas funções.

2. Os funcionários, agentes ou técnicos que exerçam funções de assessoria ou consultoria à autoridade pública estão sujeitos à mesma obrigação de sigilo profissional.

3. O disposto nos números anteriores não exclui o dever do fornecimento das informações obrigatórias, nos termos legais, excepto quando constem de ficheiros organizados para fins estatísticos.

Capítulo V
Transferência de dados pessoais para local situado fora da RAEM

Artigo 19.º
Princípios

1. A transferência de dados pessoais para local situado fora do território da RAEM só pode realizar-se com o respeito das disposições da presente lei e se o respectivo ordenamento jurídico para onde são transferidos assegurar um nível de protecção adequado.

2. A adequação do nível de protecção referido no número anterior é apreciada em função de todas as circunstâncias que rodeiem a transferência ou o conjunto de transferências de dados, devendo ser tidas em especial consideração a natureza dos dados, a finalidade e a duração do tratamento ou tratamentos projectados, os países de origem e de destino final, as regras de direito, gerais ou sectoriais, em vigor no ordenamento jurídico em causa, bem como as regras profissionais e as medidas de segurança que são respeitadas nesse mesmo ordenamento.

3. Cabe à autoridade pública decidir se um ordenamento jurídico assegura um nível de protecção adequado em função do disposto no número anterior.

Artigo 20.º
Derrogações

1. A transferência de dados pessoais para um ordenamento jurídico que não assegure um nível de protecção adequado nos termos do n.º 2 do artigo anterior pode ser efectuada, mediante notificação à autoridade pública, se o titular dos dados tiver dado de forma inequívoca o seu consentimento à transferência ou quando se verifique qualquer uma das seguintes situações:

1) For necessária para a execução de um contrato entre o titular dos dados e o responsável pelo tratamento ou de diligências prévias à formação do contrato decididas a pedido do titular dos dados;

2) For necessária para a execução ou celebração de um contrato celebrado ou a celebrar, no interesse do titular dos dados, entre o responsável pelo tratamento e um terceiro;

3) For necessária ou legalmente exigida para a protecção de um interesse público importante, ou para a declaração, o exercício ou a defesa de um direito num processo judicial;

4) For necessária para proteger os interesses vitais do titular dos dados;

5) For realizada a partir de um registo público que, nos termos de lei ou regulamento administrativo, se destine à informação do público e se encontre aberto à consulta do público em geral ou de qualquer pessoa que possa provar um interesse legítimo, desde que as condições neles estabelecidas para a consulta sejam cumpridas no caso concreto.

2. Sem prejuízo do disposto no n.º 1, a autoridade pública pode autorizar uma transferência ou um conjunto de transferências de dados pessoais para um ordenamento jurídico que não assegure um nível de protecção adequado nos termos do n.º 2 do artigo anterior, desde que o responsável pelo tratamento assegure mecanismos suficientes de garantia de protecção da vida privada e dos direitos e liberdades fundamentais das pessoas, bem como do seu exercício, designadamente, mediante cláusulas contratuais adequadas.

3. A transferência de dados pessoais que constitua medida necessária à protecção da defesa, da segurança pública, da prevenção, investigação e repressão das infracções penais e da protecção da saúde pública é regida por disposições legais específicas ou pelos instrumentos de direito internacional e acordos inter-regionais a que a RAEM se ache vinculada.

Capítulo VI
Notificação e Autorização

Artigo 21.º
Obrigação de notificação

1. O responsável pelo tratamento ou, se for caso disso, o seu representante deve notificar, por escrito e no prazo de 8 dias, a autoridade pública do início da realização de um tratamento ou conjunto de tratamentos, total ou parcialmente automatizados, destinados à prossecução de uma ou mais finalidades interligadas.

2. A autoridade pública pode autorizar a simplificação ou a isenção da notificação para determinadas categorias de tratamentos que, atendendo aos dados a tratar, não sejam susceptíveis de pôr em causa os direitos e liberdades dos titulares dos dados e tenham em conta critérios de celeridade, economia e eficiência.

3. A autorização é publicada no Boletim Oficial da RAEM e deve especificar as finalidades do tratamento, os dados ou categorias de dados a tratar, a categoria ou categorias de titulares dos dados, os destinatários ou categorias de destinatários a quem podem ser comunicados os dados e o período de conservação dos dados.

4. Estão isentos de notificação os tratamentos cuja única finalidade seja a manutenção de registos que, nos termos de lei ou regulamento administrativo, se destinem a informação do público e possam ser consultados pelo público em geral ou por quem possa provar um interesse legítimo.

5. Os tratamentos não automatizados dos dados pessoais previstos no n.º 1 do artigo 7.º estão sujeitos a notificação quando tratados ao abrigo da alínea 1) do n.º 3 do mesmo artigo.

Artigo 22.º
Controlo prévio

1. Salvo o disposto no n.º 2 necessitam de autorização da autoridade pública:

1) O tratamento dos dados pessoais a que se refere o n.º 2 do artigo 7.º;

2) O tratamento dos dados pessoais relativos ao crédito e à solvabilidade dos seus titulares;

3) A interconexão de dados pessoais prevista no artigo 9.º;

4) A utilização de dados pessoais para fins não determinantes da recolha.

2. Os tratamentos a que se refere o número anterior podem ser autorizados por disposição legal ou disposição regulamentar de natureza orgânica, não necessitando neste caso de autorização da autoridade pública.

Artigo 23.º
Conteúdo dos pedidos de parecer ou de autorização e da notificação

Os pedidos de parecer ou de autorização, bem como as notificações, remetidos à autoridade pública devem conter as seguintes informações:

1) Nome e endereço do responsável pelo tratamento e, se for o caso, do seu representante;

2) As finalidades do tratamento;

3) Descrição da ou das categorias de titulares dos dados e dos dados ou categorias de dados pessoais que lhes respeitem;

4) Destinatários ou categorias de destinatários a quem os dados podem ser comunicados e em que condições;

5) Entidade encarregada do processamento da informação, se não for o próprio responsável do tratamento;

6) Eventuais interconexões de tratamentos de dados pessoais;

7) Tempo de conservação dos dados pessoais;

8) Forma e condições como os titulares dos dados podem ter conhecimento ou fazer corrigir os dados pessoais que lhes respeitem;

9) Transferências de dados previstas para países ou territórios terceiros;

10) Descrição geral que permita avaliar de forma preliminar a adequação das medidas tomadas para garantir a segurança do tratamento em aplicação dos artigos 15.º e 16.º

Artigo 24.º
Indicações obrigatórias

1. As disposições legais ou disposições regulamentares de natureza orgânica referidas no n.º 2 do artigo 7.º e no n.º 1 do artigo 8.º, bem como as autorizações da autoridade pública e os registos de tratamentos de dados pessoais devem indicar, pelo menos:

1) O responsável do ficheiro e, se for caso disso, o seu representante;

2) As categorias de dados pessoais tratados;

3) As finalidades a que se destinam os dados e as categorias de entidades a quem podem ser transmitidos;

4) A forma de exercício do direito de acesso e de rectificação;

5) Eventuais interconexões de tratamentos de dados pessoais;

6) Transferências de dados previstas para países ou territórios terceiros.

2. Qualquer alteração das indicações constantes do n.º 1 está sujeita aos procedimentos previstos nos artigos 21.º e 22.º

Artigo 25.º
Publicidade dos tratamentos

1. O tratamento dos dados pessoais, quando não for objecto de disposição legal ou disposição regulamentar de natureza orgânica e dever ser autorizado ou notificado, consta de registo na autoridade pública, aberto à consulta por qualquer pessoa.

2. O registo contém as informações enumeradas nas alíneas 1) a 4) e 9) do artigo 23.º

3. O responsável por tratamento de dados não sujeito a notificação está obrigado a prestar, de forma adequada, a qualquer pessoa que lho solicite, pelo menos as informações referidas no n.º 1 do artigo anterior.

4. O disposto no presente artigo não se aplica a tratamentos cuja única finalidade seja a manutenção de registos que, nos termos de lei ou regulamento administrativo, se destinem à informação do público e se encontrem abertos à consulta do público em geral ou de qualquer pessoa que possa provar um interesse legítimo.

5. A autoridade pública publica no seu relatório anual todos os pareceres e autorizações elaborados ou concedidas ao abrigo da presente lei, designadamente as autorizações previstas no n.º 2 do artigo 7.º e no n.º 1 do artigo 9.º

Capítulo VII
Códigos de conduta

Artigo 26.º
Códigos de conduta

A autoridade pública incentiva e apoia a elaboração de códigos de conduta destinados a contribuir, em função das características dos diferentes sectores, para a boa execução das disposições da presente lei e, em geral, para uma maior eficácia da auto-regulação e na concretização e defesa dos direitos fundamentais ligados à protecção da privacidade.

Artigo 27.º
Envio de projectos de códigos de conduta

1. As associações profissionais e outras organizações representativas de categorias de responsáveis pelo tratamento de dados que tenham elaborado projectos de códigos de conduta podem, se assim o entenderem, submetê-los à autoridade pública para efeitos de registo.

2. No caso da autoridade pública considerar que há conformidade dos projectos com as disposições legais e regulamentares vigentes em matéria de protecção de dados pessoais procede ao seu registo.

3. O registo dos códigos de conduta tem um efeito de mera declaração de conformidade legal não revestindo esses códigos natureza de normas legais ou regulamentares.

Capítulo VIII
Tutela Administrativa e Jurisdicional

Secção I
Tutela administrativa e jurisdicional

Artigo 28.º
Princípio geral

Sem prejuízo do direito de apresentação de queixa à autoridade pública, qualquer pessoa pode, nos termos da lei, recorrer a meios administrativos ou jurisdicionais para garantir o cumprimento das disposições legais e regulamentares em matéria de protecção de dados pessoais.

Artigo 29.º
Tutela jurisdicional especial

1. De decisão proferida por tribunal cabe sempre recurso para o Tribunal de Última Instância com fundamento em violação de direitos fundamentais garantidos na presente lei, sendo o recurso directo e per saltum, restrito à questão da violação e revestindo carácter urgente.

2. Sem prejuízo do disposto no número anterior, cabe recurso para o tribunal administrativo de actos administrativos ou da simples via de facto de poderes públicos, com fundamento na violação de direitos fundamentais garantidos na presente lei o qual reveste carácter urgente.

3. À tramitação processual dos recursos de tutela jurisdicional especial previstos nos números anteriores aplica-se, com as devidas adaptações, o disposto no artigo 7.º do Código de Processo Civil e subsidiariamente, e com as necessárias adaptações, a lei de processo civil e a lei do processo administrativo respectivamente, com observância do disposto nos números anteriores.

Secção II
Infracções administrativas

Artigo 30.º
Legislação subsidiária

Às infracções previstas na presente secção é subsidiariamente aplicável o regime geral das infracções administrativas, com as adaptações constantes dos artigos seguintes.

Artigo 31.º
Cumprimento do dever omitido

Sempre que a infracção administrativa resulte de omissão de um dever, a aplicação da sanção e o pagamento da multa não dispensam o infractor do seu cumprimento, se este ainda for possível.

Artigo 32.º
Omissão ou defeituoso cumprimento de obrigações

1. As entidades que, por negligência, não cumpram a obrigação de notificação à autoridade pública do tratamento de dados pessoais a que se referem os n.os 1 e 5 do artigo 21.º, prestem falsas informações ou cumpram a obrigação de notificação com inobservância dos termos previstos no artigo 23.º, ou ainda quando, depois de notificadas pela autoridade pública, mantiverem o acesso às redes abertas de transmissão de dados a responsáveis por tratamento de dados pessoais que não cumpram as disposições da presente lei, praticam infracção administrativa punível com as seguintes multas:

1) Tratando-se de pessoa singular, no mínimo de 2 000,00 (duas mil patacas) e no máximo de 20 000,00 (vinte mil patacas);

2) Tratando-se de pessoa colectiva ou de entidade sem personalidade jurídica, no mínimo de 10 000,00 (dez mil patacas) e no máximo de 100 000,00 (cem mil patacas).

2. A multa é agravada para o dobro dos seus limites quando se trate de dados sujeitos a controlo prévio, nos termos do artigo 22.º

Artigo 33.º
Outras infracções administrativas

1. Praticam infracção administrativa punível com multa de 4 000,00 (quatro mil patacas) a 40 000,00 (quarenta mil patacas) as entidades que não cumprirem alguma das seguintes disposições da presente lei estabelecidas nos artigos 5.º, 10.º, 11.º, 12.º, 13.º, 16.º, 17.º e 25.º, n.º 3.

2. Quando não forem cumpridas as obrigações constantes dos artigos 6.º, 7.º, 8.º, 9.º, 19.º e 20.º, as entidades responsáveis praticam infracção administrativa sancionável com multa de 8 000,00 (oito mil patacas) a 80 000,00 (oitenta mil patacas).

Artigo 34.º
Concurso de infracções

1. Se o mesmo facto constituir, simultaneamente, crime e infracção administrativa, o agente é punido sempre a título de crime.

2. As sanções aplicadas às infracções administrativas em concurso são sempre cumuladas materialmente.

Artigo 35.º
Punição da negligência e da tentativa

1. A negligência é sempre punida nas infracções administrativas previstas no artigo 33.º

2. A tentativa é sempre punível nas infracções administrativas previstas nos artigos 32.º e 33.º

Artigo 36.º
Aplicação das multas

1. A aplicação das multas previstas na presente lei compete à autoridade pública.

2. A decisão da autoridade pública, constitui título executivo, no caso de não ser impugnada no prazo e nos termos legais.

Secção III
Crimes

Artigo 37.º
Não cumprimento de obrigações relativas a protecção de dados

1. É punido com pena de prisão até um ano ou pena de multa até 120 dias quem intencionalmente:

1) Omitir a notificação ou o pedido de autorização a que se referem os artigos 21.º e 22.º;

2) Fornecer falsas informações na notificação ou nos pedidos de autorização para o tratamento de dados pessoais ou neste proceder a modificações não consentidas pelo instrumento de legalização;

3) Desviar ou utilizar dados pessoais, de forma incompatível com a finalidade determinante da recolha ou com o instrumento de legalização;

4) Promover ou efectuar uma interconexão ilegal de dados pessoais;

5) Depois de ultrapassado o prazo que lhes tiver sido fixado pela autoridade pública para cumprimento das obrigações previstas na presente lei ou em outra legislação de protecção de dados, as não cumprir;

6) Depois de notificado pela autoridade pública para o não fazer, mantiver o acesso a redes abertas de transmissão de dados a responsáveis pelo tratamento de dados pessoais que não cumpram as disposições da presente lei.

2. A pena é agravada para o dobro dos seus limites quando se tratar de dados pessoais a que se referem os artigos 7.º e 8.º

Artigo 38.º
Acesso indevido

1. Quem, sem a devida autorização, por qualquer modo, aceder a dados pessoais cujo acesso lhe está vedado, é punido com pena de prisão até um ano ou pena de multa até 120 dias, se pena mais grave ao caso não couber por força de lei especial.

2. A pena é agravada para o dobro dos seus limites quando o acesso:

1) For conseguido através de violação de regras técnicas de segurança;

2) Tiver possibilitado ao agente ou a terceiros o conhecimento de dados pessoais;

3) Tiver proporcionado ao agente ou a terceiros, benefício ou vantagem patrimonial.

3 . No caso do n.º 1 o procedimento criminal depende de queixa.

Artigo 39.º
Viciação ou destruição de dados pessoais

1. Quem, sem a devida autorização, apagar, destruir, danificar, suprimir ou modificar dados pessoais, tornando-os inutilizáveis ou afectando a sua capacidade de uso, é punido com pena de prisão até dois anos ou pena de multa até 240 dias, se pena mais grave ao caso não couber por força de lei especial.

2. A pena é agravada para o dobro nos seus limites se o dano produzido for particularmente grave.

3. Se o agente actuar com negligência, a pena é, em ambos os casos previstos nos números anteriores, de prisão até um ano ou de multa até 120 dias.

Artigo 40.º
Desobediência qualificada

1. Quem, depois de notificado para o efeito, não interromper, cessar ou bloquear o tratamento de dados pessoais é punido com a pena correspondente ao crime de desobediência qualificada.

2. Na mesma pena incorre quem, depois de notificado:

1) Recusar, sem justa causa, a colaboração que concretamente lhe for exigida pela autoridade pública;

2) Não proceder ao apagamento, destruição total ou parcial de dados pessoais;

3) Não proceder à destruição de dados pessoais, findo o prazo de conservação previsto no artigo 5.º

Artigo 41.º
Violação do dever de sigilo

1. Quem, obrigado a sigilo profissional, nos termos da lei, sem justa causa e sem o devido consentimento, revelar ou divulgar no todo ou em parte dados pessoais é punido com pena de prisão até dois anos ou pena de multa até 240 dias, se pena mais grave ao caso não couber por força de lei especial.

2. A pena é agravada de metade dos seus limites se o agente:

1) For funcionário público ou equiparado, nos termos da lei penal;

2) For determinado pela intenção de obter qualquer vantagem patrimonial ou outro benefício ilegítimo;

3) Puser em perigo a reputação, a honra e consideração ou a intimidade da vida privada de outrem.

3. A negligência é punível com pena de prisão até seis meses ou pena de multa até 120 dias.

4. Fora dos casos previstos no n.º 2, o procedimento criminal depende de queixa.

Artigo 42.º
Punição da tentativa

Nos crimes previstos na presente secção, a tentativa é sempre punível.

Secção IV
Penas acessórias

Artigo 43.º
Pena acessória

Conjuntamente com as multas e penas aplicadas nos termos das secções II e III deste capítulo pode, acessoriamente, ser ordenada:

1) A proibição temporária ou definitiva do tratamento, o bloqueio, o apagamento ou a destruição total ou parcial dos dados;

2) A publicidade da sentença condenatória;

3) A advertência ou censura públicas do responsável pelo tratamento, pela autoridade pública.

Artigo 44.º
Publicação de decisão condenatória

1. A publicidade da decisão condenatória faz-se a expensas do condenado, em uma publicação periódica de grande expansão em língua chinesa e identicamente em uma outra em língua portuguesa, bem como através da afixação de edital em suporte adequado, por período não inferior a 30 dias.

2. A publicação é feita por extracto de que constem os elementos da infracção e as sanções aplicadas, bem como a identificação do agente.

Capítulo IX
Disposições finais e transitórias

Artigo 45.º
Disposição transitória

1. Os tratamentos de dados existentes em ficheiros manuais à data da entrada em vigor da presente lei devem cumprir o disposto nos artigos 7.º, 8.º, 10.º e 11.º no prazo de dois anos.

2. Em qualquer caso, o titular dos dados pode obter, a seu pedido e, nomeadamente, aquando do exercício do direito de acesso, a rectificação, o apagamento ou o bloqueio dos dados incompletos, inexactos ou conservados de modo incompatível com os fins legítimos prosseguidos pelo responsável pelo tratamento.

3. A autoridade pública pode autorizar que os dados existentes em ficheiros manuais e conservados unicamente com finalidades de investigação histórica não tenham que cumprir os artigos 7.º, 8.º e 9.º, desde que não sejam em nenhum caso reutilizados para finalidade diferente.

Artigo 46.º
Entrada em vigor

A presente lei entra em vigor 180 dias após a sua publicação.

Aprovada em 4 de Agosto de 2005.

A Presidente da Assembleia Legislativa, Susana Chou.

Assinada em 10 de Agosto de 2005.

Publique-se.

O Chefe do Executivo, Ho Hau Wah.