7 DE OUTUBRO DE 1999369Da transferência de dados pessoaisO princípio da livre circulação de dados pessoais entre países da União Europeia é um dos aspectos centrais que presidiu à directiva (n.° 2 do artigo 1.° e considerando o n.° 3). A livre circulação de capitais e de-pessoas junta-se agora a livre circulação de dados pessoais, não sendo admissível, em princípio, que haja limites administrativos ou legais, de âmbito nacional, e nas áreas abrangidas pela directiva, à livre circulação (não estão incluídos, por exemplo, os dados relativos à segurança do Estado).A legislação nacional (artigo 33.°, n.° 2, da Lei n.° 10/ 91, de 29 de Abril) havia já aberto o caminho a solução similar em relação aos países que eram Partes Contratantes da Convenção para a Protecção das Pessoas relativamente ao Tratamento Automatizado de Dados de Carácter Pessoal (Convenção n.° 108 do Conselho da Europa).A circulação de dados é livre no pressuposto de que todos os países da União têm um nível comum e harmonizado de protecção de dados e que as entidades que procedem à recolha e tratamento de dados no espaço da União cumprem a legislação nacional onde se situam.A transferência de dados para países fora da União pode realizar-se na medida em que cumpra as disposições da lei e se o país de destino assegurar um nível de protecção adequado. Considera-se como elementos de medida da desejada protecção adequada, a natureza dos dados, a finalidade, a duração, os países de origem e destino, as regras de direito em vigor no país em causa, as regras profissionais e as medidas de segurança.A decisão de considerar que um país assegura um nível adequado cabe à Comissão Nacional de Protecção de Dados (artigo 16." da proposta). No entanto, mesmo a decisão de não adequação no fluxo de dados para países fora da União (e consequente proibição) pode ser afastada nos casos de consentimento do titular (n.° 1), no âmbito da execução de contrato a pedido do titular ou com a sua intervenção (n.° 2), no interesse do titular dos dados (n.° 3), quando for legalmente admitida para protecção de interesse público importante (n.° 4), para a protecção de interesse vital ou quando os dados constarem de registos públicos, de informação pública ou abertos à consulta pública, desde que cumpridas as normas legais para essa consulta (n.°5).Mas a proposta, no rasto da directiva, prevê um papel acrescido à União Europeia na decisão final, o que tenderá a reduzir a capacidade de manobra nacional nesta matéria. De facto, as decisões de proibição de fluxos para determinado país devem ser comunicadas à Comissão (da UE), podendo esta decidir se um país oferece garantias suficientes, o que obriga à autorização nacional de transferência. Trata-se de um efeito directo de uma decisão da União nas autorizações nacionais para os fluxos, o que não pode deixar de dever ser considerado como uma clara redução nas decisões de uma autoridade independente. Por outro lado, a autoridade nacional de controlo de dados deve orientar-se, na concessão ou derrogação das autorizações previstas, pelas decisões tomadas pela União.Não se questiona a projecção da directiva para a legislação nacional, que nos atira para um reduzido leque de opções, mas não se deixa de alertar para três pontos:a) A directiva, particularmente nesta matéria, esqueceu (no ano de 1995) a existência de fluxos através de redes abertas, não controlável a nível nacional ou pela União;b) O sistema de contraditório entre as instâncias nacionais e a União é suficientemente complexo e pesado para ou dificultar em excesso os fluxos ou abrir a porta, por impossibilidade de cumprimento, a todo o tipo de fluxos, qUe acrescem às derrogações previstas;c) Parece fundamental, no quadro do Grupo de Protecção de Dados da UE, criado no âmbito da directiva, desenvolver à partida critérios comuns aplicáveis a todos os Estados. .Os fluxos de dados no âmbito da segurança do Estado, da defesa, da segurança pública e da prevenção, na investigação e representação das infracções penais são regidos pelas disposições legais específicas ou por convenções e acordos internacionais em que Portugal é parte (n.° 6 do artigo 22." da proposta).Os termos propostos não colidem, nesta parte, com o dispositivo constitucional de protecção adequada e de salvaguarda justificada por razões de interesse nacional (n.° 6 do artigo 35.°), dado que existirá sempre uma ponderação legalmente legitimada para comunicação de dados — ou por lei ou convenção, com garantias de intervenção prévia ou participação da Comissão de Protecção de Dados.Entende-se, contudo, que deverá existir um controlo prévio por parte da Comissão, nos casos concretos, ou a sua intervenção através dos pareceres que emitir no processo de formação legislativa. A formulação «legislação específica» poderia ainda ser melhorada em sede de redacção final, bem como uma maior aproximação ao texto constitucional.Da Comissão Nacional de Protecção de DadosA 4.° revisão atribuiu estatuto constitucional a uma entidade administrativa independente, à qual compete garantir a protecção dos dados pessoais (n.° 2 do artigo 35.°.da CRP). A sua instituição (bem como o exercício das competências que lhe forem reconhecidas por lei) passa a constituir condição fundamental e constitucionalmente prevista, no quadro dos direitos e garantias, consignados no artigo 35." Consagram-se direitos com a existência de uma entidade independente. O pleno exercício dos direitos e a protecção de dados pessoais pressupõe a intervenção dessa autoridade independente'.A directiva prevê a obrigação nacional de cada Estado membro constituir uma ou mais autoridades públicas responsáveis pela fiscalização da aplicação das normas de protecção de dados adoptadas no seu âmbito (artigo 28.°, n.° 1). A nossa Constituição é de resto mais abrangente do que o próprio texto da directiva, na medida em que esta não se aplica a determinados tratamentos (por exemplo, segurança do Estado). Não seria, a nosso ver, constitucionalmente admissível a exclusão ou excepção de intervenção da autoridade independente em quaisquer áreas onde se proceda ao tratamento de dados pessoais.Mas a directiva não se limitou a traçar a existência de uma autoridade, vê-a com estatuto adequado e largos poderes.A lei que a criar deve garantir total independência nas funções que lhe forem atribuídas [em Portugal, tal resulta da Constituição (cf. também n.° 3 do artigo 267° da CRP)}, devendo dispor de poderes de inquérito, de efectiva intervenção na protecção de dados, de participação no processo judicial. A autoridade deve ainda ser consultada pelas entidades nacionais na e/aboração das medidas regula-