322II SÉRIE-C — NÚMERO 34Deliberação n.° 59/98A E... veio requerer autorização da Comissão para quefossem cedidos à Polícia Judiciária os elementos identificativos de pessoa identificada no processo, cliente daquela empresa.O acesso da Polícia Judiciária à base de dados não sensíveis, de marketing, como é a da E..., e para mera identificação complementar de determinada pessoa (já identificada ou identificável) não carece de uma decisão de intermediação da Comissão. Desde que integrado nas atribuições da PJ, o acesso em causa encontra a sua legitimidade no artigo 7.° do Decreto-Lei n.° 295-A/90, de 21 de Setembro, que aprovou a Lei Orgânica da PJ. Assim nada obsta a que a E... comunique à PJ a informação requerida.9 de Julho de 1998.—João Alfredo M. Labescat da Silva (relator) — Amadeu Ribeiro Guerra — Nuno Albuquerque Morais Sarmento — Mário Manuel Varges Gomes — Luís Durão Barroso —Augusto Victor Coelho^ (presidente).Deliberação n.° 60/98Sobre o Código de Conduta da Associação Portuguesa de Empresas de Informação de NegóciosFoi presente à Comissão Nacional de Protecção de Dados Pessoais Informatizados, pela Associação Portuguesa de Empresas de Informação de Negócios, adiante designada APEIN, uma segunda versão do Código de Conduta, relativo às condições de tratamento e difusão de dados pessoais informatizados.Relativamente à primeira versão, a Comissão tinha salientado os seguintes aspectos principais:a) O regime relativo aos direitos, máxime o de informação (n.° 5), está enunciado de forma muito genérica, que reproduz o essencial da lei, não lhes sendo dado uma transposição para o procedimento. Sugere-se que o direito de informação passe a constar também como obrigação das empresas, especialmente nos casos em que se verifica recolha indirecta de dados, questão chave para a transparência no tratamento;b) Prevê-se o tratamento de dados particularmente sensíveis — convicções filosóficas ou políticas, filiação partidária, ou sindical, fé religiosa, vida privada e origem étnica — mesmo com autorização da CNPDPI e nos termos da lei, aspecto que poderá contender com os princípios da adequação e pertinência. A nosso ver, tais dados (bem como os relativos à situação criminal, a suspeitas de actividades ilícitas e saúde) não devem poder ser objecto de tratamento por estas empresas. Um dos importantes princípios constitucionais é o da reserva da intimidade e da não utilização abusiva de informações relativas às pessoas e às famílias (artigo 26.°, n.° 2, da CRP). Nesta medida deveriam também ser sujeitas aos limites da adequação e pertinência as informações quanto às famílias de um titular dos dados (cônjuge e filhos). Não se entende, por exemplo, que seja possível que as empresas tratem dados de saúde;c) Não é referida a interconexão de dados, que deveria ser limitada, e as condições definidas noCódigo (o n.° 11, «Interconexão de dados», não tem projecção no articulado do capítulo iv, que se refere a fluxos de dados transfronteiras);d) O regime de fluxos de dados transfronteiras parapaíses que garantam protecção equivalente é mais redutor que o actua) conceito da lei, que os permite para países signatários da Convenção n.° 108 do Conselho da Europa. Por outro lado, deve ser referida a necessidade da intervenção prévia da Comissão no caso de existirem fluxos para países não signatários daquela Convenção, como é o caso dos EUA, Angola, Brasil, etc;e) O princípio do consentimento do titular (norma transitória no projecto) mantém-se com princípio base na directiva e logo na futura lei, pelo que a fórmula deve aproximar-se do artigo 7.° da directiva (referência à prossecução de interesse legítimo ou diligências autorizadas previamente para a execução contratual);f) O Código poderia, desde já, aplicar-se a ficheiros manuais que passam a gozar de protecção idêntica, nos termos da Constituição (n.° 7 do artigo- 35.°);g) A referência à actuação «diligente, leal e lícita» (n.° 4.C) deve ser referida às condições do tratamento e da recolha de dados.O Código da APEIN veio consagrar:1) A aplicabilidade do Código ao tratamento de dados pessoais, inseridos em ficheiros manuais, e a meios parcialmente informatizados;2) As garantias de aplicação dos direitos de informação e de acesso;3) A obrigação de informação aos titulares dos dados, quer quanto aos direitos que lhes assistem, quer quanto às obrigações das empresas;4) A obrigação de não recolha e de não utilização de dados sensíveis, respeitantes a convicções filosóficas ou políticas, fé religiosa, vida privada, origem racial ou étnica, saúde, vida sexual, dados genéticos, suspeitas de actividades ilícitas, infracções penais, contra-ordenações e decisões que apliquem penas e medidas de segurança;5) O princípio da lealdade na recolha de dados;6) A interconexão de dados, agora prevista, aproxima-se da solução propugnada pela Directiva n.° 95/46/CE;7) A obtenção do consentimento do titular para tratamento de dados sobre a situação patrimonial e financeira, ou caso tal tratamento resulte de contrato ou de diligências prévias ao contrato.Assim, a Comissão, considerando que:O Código de Conduta surgiu no seguimento de uma cooperação frutuosa com a Associação;O Código aparece no momento em que se iniciou o processo de transposição da directiva europeia relativa à protecção de dados (Directiva n.° 95/46/CE) para a legislação nacional, aspecto que deverá ser considerado na sua actualização futura;O Código é um instrumento de auto-regulação que vincula, na forma de aceitação voluntária, as entidades partes da APEDM, não cabendo à Comissão aprovar as opções tomadas;