364II SÉRIE-C — NÚMERO 34am, «nos termos da lei, revelar factos oü elementos cujo conhecimento lhes advenha do exercício das funções».Para a actividade de mediação de seguros, o Decreto-Lei n.° 388/91, de 10 de Outubro — artigo 8.°, alínea j)—, impõe--se aos mediadores uma obrigação de «guardar segredoprofissional em relação a terceiros, dos factos que tome conhecimento por força do exercício da sua actividade».O artigo 149.° do Decreto-Lei n.° 102/94, de 20 de Abril — que estabelece normas de sigilo profissional para os membros dos órgãos do Instituto de Seguros de Portugal —, refere-se, igualmente, a «factos cujo conhecimento lhes advenha exclusivamente pelo exercício das suas funções».O nome e morada não integram, no domínio da actividade seguradora, o segredo profissional «específico», sendo enquadrado — simplesmente — no «dever geral de sigilo» resultante do artigo 32." da Lei n:° 10/91.Nos diversos domínios onde existe dever de segredo é pacífico que a quebra dessa obrigação decorre, necessariamente, da autorização do titular da informação.A recente revisão constitucional veio consagrar — no artigo 35.°, n.° 3 — um reforço da chamada «autodeterminação informacional», ao permitir o tratamento automatizado dos dados mais sensíveis (v. g., os relativos à vida privada) desde que haja «autorização expressa do titular, autorização prevista por lei com garantias de não discriminação».Anota-se-, aliás, que a Directiva Comunitária n.° 95/46/ CE admite que os Estados possam vir a legitimar o tratamento de dados (5) se a «pessoa em causa tiver dado de forma inequívoca o seu consentimento» [artigo 7.°, alínea a)].Em face do exposto, autoriza-se a cedência de dadosao Banco M... e a sua utilização para efeito de publicitação dos seus produtos quando o titular, informado dessa possibilidade pela I..., tenha dado o seu consentimento à cedência da informação. Em conclusão:1) É autorizada a cedência de dados da I... às empresas prestadoras de serviços. Por força do artigo 32.°, n.° 1, da Lei n.° 10/91, as empresas estão vinculadas ao segredo profissional;2) À medida que a I... celebre os respectivos contratos deverá informar a CNPDPI [cf. artigo 18.°, n.° I, alínea f), da Lei n.° 10/91);3) O Banco M... — no âmbito da prestação de serviços à í... (serviço de «venda ou gestão de produtos e ou serviços») — é autorizado a aceder aos dados necessários à execução do contraio. Sugere-se, tal como a I... propõe para os actuais clientes, que os futuros clientes sejam informados sobre a transmissão de dados por forma a que se possam opor à transmissão de dados ao Banco M... ou que possam optar pela aquisição de produtos ou serviços, em exclusivo, aos balcões da I...;4) O Banco M... só pode utilizar a informação no âmbito da contratação de serviços ou prestação de informações a clientes da I... A menos que o titular dos dados — que é cliente da I... — manifeste expressamente junto do Banco M... a intenção de receber informação sobre produtos ouserviços do Banco, não pode esta entidade servir-se desta informação para realização de acções de divulgação dos seus produtos. Este procedi-mento é violador do princípio da finalidade [artigo 15.° da Lei n.° 10/91 e artigo 5.°, alínea b),da Convenção n.° 108 do Conselho da EuropaL5) Autoriza-se a cedência de dados ao Banco M... e a sua utilização para efeito de publicitação dos seus produtos quando o titular, informado dessapossibilidade pela I..., tenha dado o seu consentimento à cedência da informação.(') De acordo com este preceito, subcontratante é «a pessoa singular ou colectiva, a autoridade pública, o serviço ou qualquer outro organismo que traia os dados pessoais por coma do responsável pelo tratamento».(2) É a solução que resulta, aliás, do artigo 16° da directiva: «Qualquer pessoa que, agindo sob a autoridade do responsável pelo tratamento ou do subcontratante. bem como o próprio subcontratante, tenha acesso a dados pessoais não procederá no seu tratamento sem instruções do responsável pelo tratamento, salvo por força de obrigações legais.»(*) Tanto mais que o artigo 4.°, n.° I. alínea n), do Decreto-Lei n.° 29Ü/92 permite aos bancos efectuar a «comercialização de contratos de seguro».(4) Actualizada que seja a finalidade do ficheiro do Banco Mello em termos de «processo de legalização». Passará a ter como finalidade, além das já estabelecidas nas autorizações n.o 41/95 e 16/96. a «cedência de dados a empresas do grupo, para efeito de publicação dos seus produtos, quando haja autorização do titular dos dados».(') O «tratamento» engloba — quer na lei portuguesa [artigo 2°, alíneag). da Lei n.° 10/91], quer na directiva [artigo 2°, alínea b)] — a difusão de dados.Lisboa, 24 de Setembro de 1998. — Amadeu Francisco Ribeiro Guerra (relator) — Joaquim de Seabra Lopes — Nuno Morais Sarmento — Luís José Durão Barroso — João Alfredo M. Labescat da Silva — Mário Manuel Varges Gomes — Augusto Victor Coelho (presidente).• Autorização n." 67/98(Processo n.° 538/98)A M..., L.da, veio legalizar o seu ficheiro de «ensaios clínicos».O ficheiro recolhe dados pessoais que, confrontados com o processo clínico do médico ou com os seus elementos na qualidade de investigador, podem permitir a identificação dos doentes. Recolhe o «nome do investigador», as iniciais do nome do doente (três iniciais: uma do primeiro nome, uma do último nome e uma outra de um nome do meio) o número do estudo e o número de utente. São recolhidos, ainda, os seguintes dados: data de nascimento, raça (caucasiana, negra e outra), o sexo, data em que foi obtido o consentimento informado do doente e os dados de saúde associados ao estudo em relação a cada doenie (dados relativos à história clínica e dados actuais).A M... não admite, em nenhum momento, que possam ser colhidos elementos adicionais de identificação (v. g., nome do doente) por forma a tornar identificáveis os dados.A M... obtém autorização dos titulares para participar nos ensaios clínicos.A CNPDPI autoriza o tratamento automatizado dos dados desde que se verifiquem os seguintes requisitos:1) A M... não possa aceder a dados em poder do investigador que possam, de algum modo, identificar os doentes;2) Que os dados a remeter para os EUA sejam dados agregados que não permitam a identificação dos seus titulares;