7 DE OUTUBRO DE 1999383Preambularmente, importa igualmente acentuar os passos que, na União Europeia, têm sido dados, nos últimos cinco anos, em matéria de protecção de dados:a) Todos os países da União são actualmente signatários da Convenção n.° 108 do Conselho da Europa, Convenção para a Protecção de Pessoas Relativamente ao Tratamento Automatizado de Dadosde Carácter Pessoal;b) Vigoram leis de protecção de dados em todos os Estados membros (em 1997, a Itália e a Grécia vieram a produzir legislação);c) As convenções relativas aos Acordos de Schengen e à EUROPOL prevêem regimes especiais — nacionais e comuns — aplicáveis a dados pessoais que são objecto de tratamentos, nos termos daqueles sistemas de informação;d) O Tratado de Amesterdão estipula igualmente um regime de protecção de dados que será aplicado, aquando da sua entrada em vigor, a todas as instâncias europeias e aos órgãos e entidades criados por força dos tratados.É, neste contexto, que a transposição directiva ganha importância na projecção dos direitos, no espaço comunitário, quanto a todos os cidadãos (da União e outros), sem discriminação.A Comissão, como acima se afirmou, havia já emitido um parecer (n.° 1/98) sobre o texto prévio à proposta de lei. Esse ante projecto sofreu, fruto de um leque de contribuições, algumas modificações, mas mantém-se, na nossa opinião, a justeza das considerações que a Comissão expendeu.Assim:1 — Âmbito da aplicação da leiDe acordo com a proposta, a lei aplicar-se-á ao tratamento de dados pessoais por meios total ou parcialmente automatizados e aos não automatizados constantes de ficheiros manuais ou a eles destinados, excluindo-se da aplicação apenas o tratamento de dados pessoais efectuado por pessoa singular nas suas actividades exclusivamente pessoais ou domésticas (n.os \ e 2 do artigo 3.°).Deixam de estar excepcionados do regime da lei (como se encontravam na Lei n.° 10/91, artigo 3.°, n.os 2 e 3) os tratamentos destinados exclusivamente a processamento de remunerações, mera gestão de serviços, facturação e fornecimentos, cobrança de quotizações de associados ou filiados. Ampliam-se direitos e garantias a todos os tratamentos, pondo-se termo a excepções, de dubitativa constitucionalidade. Tal inclusão não prejudica uma possível simplificação de procedimentos a decidir pela futura autoridade de controlo.A proposta segue o texto da directiva nos mecanismos de determinação dos tratamentos abrangidos pela lei.A plena aplicação da lei ao tratamento e difusão de sons e imagem, bem como aos fornecedores de acesso a redes informáticas estabelecidos em território português não aparece depois desenvolvida no texto da lei. É certo que os sons e as imagens, na medida em que permitam a identificação da pessoa, devem gozar de protecção idêntica a quaisquer outros dados. Por outro lado, não se terá pretendido estender-a aplicação da lei aos meios de comunicação social, nem aos seus arquivos de som e imagem, pelo que carece de melhor explicitação a extensão da medida preconizada. Sem dúvida também que a nova leide protecção de dados não pode esquecer os problemas suscitados pela videovigilância e outros meios mais sofisticados de vigilância pessoal, cuja regulação não deve ficar pelos dispositivos constitucionais, garantísticos e apeladores dos direitos e liberdades, mas nem sempre de fácil concretização procedimental.O mesmo se diga da aplicação da lei aos fornecedoresde acesso a redes. Trata-se de envolver os fornecedores de acessos a redes abertas (como é a Internet) e não todos os fornecedores, por exemplo de redes privadas. Atente-se ao novo direito consagrado na Constituição (ainda pouco divulgado) de a «todos» ser garantido o «livre acesso às redes informáticas de uso público» (n.° 6 do artigo 35.°).Ambas as questões deveriam ser apuradas em sede de redacção final.2 — O Tratamento dc dados pessoaisSão plasmados, de acordo com a directiva, os princípios fundamentais de tratamento de dados pessoais: tratamento leal e lícito, recolhidos para finalidades determinadas e utilização compatível, dados adequados, pertinentes e não excessivos, exactos e actuais, conservados em função das finalidades (artigo 4.°), bem como a regra geral do consentimento inequívoco do titular como fundamento do tratamento nas condições do artigo 5.°Nada há a acrescentar nesta matéria que segue de perto a directiva (não a contrariando). Em resumo, torna-se mais coerente e transparente o processo que legitima o processamento de dados pessoais, melhorando-se significativamente o regime previsto na Lei n.° 10/91.Os dados sensíveis merecem atenção especial.A Lei n.° 10/91, de 29 de Abril, define como dados sensíveis os relativos a convicções filosóficas ou políticas, filiação partidária ou sindical, fé religiosa, vida privada ou origem étnica, cujo tratamento informatizado era proibido[artigo 11.°, n.° 1, alínea a)}, bem como os que dizemrespeito a condenações em processo criminal, suspeitas de actividades ilícitas, estado de saúde e situação patrimonial e financeira (que podem ser tratados com consentimento do titular ou autorização ou outros casos especiais — de interesse vital — artigos ll.c, n.° I, alínea b), e 17.°, n.° 2]. Os serviços públicos têm também um processo de legitimação diferente das entidades privadas, visto que estavam — e estão ainda — sujeitos ao formalismo da emissão de lei habilitadora. O regime caracteriza-se pela sua difícil aplicação e pela sua total desadequação à concretização dos direitos e às necessidades da Administração.A 4.a revisão constitucional veio criar um novo regime, admitindo o tratamento dos dados até aqui insusceptíveis de informatização que constavam do n.° 1, alínea a), do citado artigo 11.°, mediante o consentimento expresso do titular ou autorização legal com garantias de não discriminação ou para processamento de dados estatísticos não individualmente identificáveis (n.° 3 do artigo 35.°).A proposta de lei, desenvolvendo o dispositivo constitucional, procura centrar a legitimação para o tratamento de dados, nos casos de:Consentimento do titular;Autorização legal ou autorização da Comissão, no caso em que o tratamento for indispensável ao exercício de atribuições legais ou estatutárias.Reforça-se, portanto, o vector da autodeterminação in-formacional.