352II SÉRIE-C — NÚMERO 34e) A M... não será apenas unia prestadora de serviços das instituições de crédito, antes elabora umproduto de informação autónomo que vende."É neste enquadramento que deve ser apreciada a presente autorização.Como se disse, para que uma entidade esteja habilitada a centralizar e difundir a situação de crédito é indispensável previsão legal ou autorização do titular dos dados.Na falta da primeira, como é o caso da M..., importa saber ainda se é condição bastante para o funcionamento de um sistema de informação de crédito (global) a autorização do titular — no pressuposto que esta autorização é expressa e esclarecida — ou se, pelo contrário, em função das regras constitucionais citadas (artigos 26.°, n.° 2, e 35.°, n.os 3 e 4 da CRP) e do regime legal aplicável às sociedades financeiras não nos encontramos —pelo menos ainda — numa área cuja disponibilidade da autorização pessoal deve ser harmonizada com os valores da privacidade e do segredo bancário.Interessa também levar em consideração que para esta necessária harmonização de valores — porventura conflituais— a lei faz intervir a Comissão Nacional de Protecção de Dados Pessoais Informatizados (sempre que estiverem em causa dados pessoais informatizados ou que se destinem à informatização, como é o caso). •A centralização de toda a situação de crédito da pessoa (positiva e negativa)A lei admite, com uma finalidade determinada, a centralização da informação de crédito no Banco de Portugal. Mas é preciso ter em consideração que o Banco de Portugal tem responsabilidades de supervisão em todo o sistema financeiro, zelando pela sua harmonia e pelo cumprimento das regras que lhe são aplicáveis. Há uma clàrá conexão entre a constituição de um ficheiro desta finalidade com as competências legais e estatutárias daquela instituição. O mesmo não acontece quanto à centralização (e difusão) destes dados por uma empresa de informações, sem disposição legal habilitante. Não se trata apenas de obter uma autorização pessoal, caso a caso, por parte do titular dos dados. É de facto um verdadeiro sistema de informação de crédito que se visa montar (fora das instituições financeiras e à margem do Banco de Portugal), no qual é espelhada toda a situação de crédito da pessoa em causa, em relação a todas as entidades aderentes dó sistema. Ao contrário do que afirma a M..., não é apenas um sistema para verificar o crédito mal parado, é, de facto, um sistema que permite ver os créditos concedidos.O acesso por entidades financeirasA M... retirou o seu primeiro pedido que visava a difusão de informação para entidades estranhas às instituições financeiras (p. e., telecomunicações).Na verdade, o acesso a uma base de dados, mesmo que constituída com o fundamento da autorização do titular desses dados, não pode ser dissociável da finalidade do tratamento automatizado. Se o ficheiro é constituído por dados relativos à situação de crédito (positivo ou negativo), que legitimidade teria uma empresa com quem se pretenda estabelecer um contrato de prestação de serviços de ve\ecomunicações (p. e., um mero contrato de acesso àInternet) de conhecer e ficar na posse de toda a situação de crédito da pessoa em causa?Em face do nosso regime constitucional e legal, com atrás se justificou, tal não nos parece possível. Da mesma forma o problema põe-se quanto às empresas seguradoras (igualmente requerido). Se é verdade que estas podem aceder a dados centralizados dos riscos de crédito do Banco de Portugal, no quadro do estabelecimento de seguros de crédito, também lhes é exigível que o façam exclusivamente «desde que as informações se prendam com os riscos previstos no Decreto-Lei n.° 183/88 (já citado)».E é diferente um acesso titulado ao Banco de Portugal que se rege por um estreito limite legal nesta matéria — competências, limites de informação e acessos, etc. — de um acesso admitido, por via de uma autorização da Comissão, às mesmas seguradoras a dados de uma empresa de informações e negócios. De facto, nem o chamado «Relatório de pagamentos» está elaborado em função dos acessos limitados em função do seguro de crédito, nem o acesso admitido ao Banco de Portugal é transponível para um empresa de informações.Mas mesmo quanto às entidades financeiras, há uma ponderação a fazer.Se se trata de um sistema fechado, pressupõe-se que só as entidades financeiras têm acesso. Mas é ainda possível admitir que uma entidade financeira que não introduz dados no sistema de informação (p. e., por não aceitar as condições financeiras propostas pela M...) pretenda casuisticamente aceder à globalidade da informação.Ora, se é certo que a informação circularia, no caso . referido, apenas entre instituições financeiras, não é menos verdade que às não aderentes seria criado um verdadeiro privilégio de acesso a dados pessoais, designadamen-tre de entidades financeiras concorrentes, sem qualquer participação no sistema. O Decreto-Lei n.° 298/92, de 31 de Dezembro, ao admitir, em circunstâncias determinadas, a organização de um sistema centralizado de informação de crédito refere expressamente que este é um sistema de informações recíprocas: ou seja, para se estar no sistema e ter informação do sistema é necessário participar no sistema.Não é pois de admitir que quem não participe no sistema de informações recíprocas venha obter essas informações, mesmo que.se trate de uma instituição financeira.Quanto aos dados objecto de tratamentoNo «Relatório de pagamentos» incluem-se os seguintes dados: nome, morada, telefone, data de nascimento, bilhete de identidade, número de identificação fiscal, registo de ocorrências (empresa) por sector-leasing, Sfac, data do con: trato, valor do contrato, renda, prazo de pagamento, liquidação ou atraso, bem como os protestos e eventuais acções cíveis e respectiva fase.Os referidos dados constam do relatório e são acessíveis às entidades aderentes.Quanto aos dados de identificação — mesmo que sejam objecto de tratamento para melhor identificação por parte da M..., máxime para um exercício dos direitos de acesso e informação —, não nos parece justificar a difusão de toda a informação. Bastaria a informação quanto ao nome e bilhete de identidade.Quanto aos apontes e acções cíveis — cuja fonte não se indica, mas supõe-se ser a das entidades aderentes —,