Os responsáveis pelo tratamento dos dados, sejam eles entidades públicas ou privadas, têm várias obrigações sob a lei de proteção de dados de Cabo Verde:
Os responsáveis pelo tratamento e os subcontratantes devem manter um registo atualizado das atividades de tratamento de dados pessoais sob sua responsabilidade. Este registo deve incluir:
Este registo deve estar disponível para apresentação à CNPD, sempre que solicitado, e constitui uma ferramenta essencial para garantir a responsabilização (accountability).
Uma violação de dados pessoais é qualquer incidente de segurança que leve à destruição, perda, alteração, divulgação não autorizada ou acesso não autorizado a dados pessoais.
Sempre que tal violação possa representar um risco para os direitos e liberdades dos titulares, o responsável pelo tratamento deve:
A notificação deve conter:
As medidas adotadas ou propostas para remediar e mitigar os efeitos.
O Encarregado de Proteção de Dados (EPD) é a pessoa responsável por assegurar a conformidade com a legislação de proteção de dados numa organização.
O EPD:
A nomeação de um EPD é obrigatória para:
A identidade e os contactos do EPD devem ser comunicados à CNPD.
Antes de iniciar tratamentos de dados que possam representar um alto risco para os direitos e liberdades das pessoas, os responsáveis devem realizar uma Avaliação de Impacto sobre a Proteção de Dados (AIPD).
Casos típicos em que a AIPD é exigida:
A AIPD deve incluir:
Se os riscos não puderem ser mitigados de forma aceitável, a CNPD deve ser consultada previamente.
