20 DE JULHO DE 1996174-(307)e o endereço do seu responsável» (artigo 13.°, n.° 1, da Lei n.° 10/91, de 29 de Abril);A finalidade da recolha deve ser conhecida pelo titular dos dados antes de se proceder à sua recolha [cf. os artigos 12.°, n.°3, e 22.°, alínea e)]\Quando os dados são recolhidos através de impresso, impõe o artigo 22.°, entre outros requisitos, que sejam especificados os destinatários das informações.Sendo uma das finalidades do ficheiro a «captação de novos clientes», assume particular relevância o direito de informação e de «eliminação» que assiste ao titular dos dados (artigo 30.°, n.° 3, da Lei n.° 10/91);As entidades que fornecem a informação só podem fazê-lo desde que esse procedimento se enquadre no âmbito da finalidade do ficheiro (cf. o artigo 15." da Lei n.° 10/91), desde que os titulares dos dados tenham conhecimento do seu destino e utilização [artigos 12.°, n.° 3, 13.°, n.° 1, e 22.°, alíneas d) e e), da Lei n.° 10/91] e o ficheiro esteja legalizado nessa perspectiva junto da CNPDPI [artigo 18.°, alínea f), da Lei n.° 10/91].O A... deverá, previamente ao tratamento, informar os titulares dos dados da existência de ficheiro a seu respeito, finalidade da recolha de dados e destinatários da informação. Assim, em relação aos dados existentes relativos a «potenciais clientes», deve o A... assegurar o direito de informação, de acesso e de eliminação (no domínio da mala directa) se for manifestada essa vontade da parte dos titulares.Em relação aos cupões, verifica-se que o texto não satisfaz as exigências do artigo 22.° da Lei n.° 10/91. Não vem especificada a natureza obrigatória ou facultativa da resposta [alínea b)], as condições de acesso, rectificação e eliminação [alínea g)]. Por isso, o texto deve ser reformulado.3 — O A... procede à recolha indirecta de dados sensíveis [especificados no artigo 11.°, n.° 1, alínea b), da Lei n.° 10/91] «junto de entidades registrais e de outras instituições de crédito» e de «empresas de informação especializadas».A recolha e tratamento desta informação não tem autorização expressa, prévia ou posterior, do titular dos dados.O artigo 12.° da Lei n.° 10/91 estabelece os princípios da recolha de dados:Deve efectuar-se de forma lícita e não enganosa (n.° 1); Deve processar-se em estrita adequação e pertinênciaà finalidade que a determinou (n.° 2); A finalidade da recolha deve ser conhecida antes doseu início (n.° 3).Relativamente à recolha e tratamento de informação sensível (v. g., sobre situação patrimonial), só há legitimidade para o seu tratamento se esta for obtida «com o consentimento dos titulares, com conhecimento do seu destino e utilização» ou resultar de «obrigação contratual» (artigo 17.°, n." 2, da Lei n." 10/91, na redacção da Lei n.° 28/94).De acordo com os princípios enunciados, entende esta Comissão que aquela informação só pode ser obtida junto das «entidades externas» se houver autorização prévia do titular, o acto de recolha resultar de disposição legal (v. g., cheques) ou cláusula contratual previamente estabelecida. Nesse caso, deverá constar do impresso de recolha de dados a possibilidade de recolha junto dessas entidades.Em relação à recolha desses dados — quando tratados automaticamente —, deve ser dada particular atenção' ao cumprimento do princípio da finalidade consagrado no artigo 15.° da Lei n.° 10/91.4 — O A... solicita autorização para «disponibilizar a consulta de dados às empresas que fazem parte do grupo». No grupo'A... há situações diferenciadas a considerar:4.1 — Há empresas que utilizam o suporte aplicacional do A... para prossecução da sua actividade: B...Estas empresas acedem, de acordo com o artigo 83.° do Decreto-Lei n.° 298/92, de 31 de Dezembro, à «generalidade da informação do A...»;4.2 — Há empresas que exercem actividade no domínio financeiro que, dispondo de suporte aplicacional próprio, acedem à informação «com o fim específico de minimizarem os riscos próprios das suas actividades e garantirem a segurança das operações» (cf. o artigo 83.° do Decreto-Lei n.° 298/92): C...;4.3 — Outras empresas acedem «a informação tratada pelo A... enquanto banco depositário dos títulos por elas geridos, no âmbito das regras próprias que regem a sua actividade e para efeitos de reconciliação da informação recíproca»: D...;4.4 — Os colaboradores das empresas seguradoras acedem a «aplicações de carácter instrumental geral, nomeadamente a correio electrónico, lista telefónica interna, mercado de câmbios e cotações de bolsa. Podem aceder à informação específica dos produtos e serviços de que são titulares no grupo A...»: F...Nesta última situação não há consulta de dados pessoais.Em sede de utilização de dados devemos considerar o artigo 5.°, alínea c), da Convenção do Conselho da Europa, ratificada através do Decreto do Presidente da República n.° 21/93, e o disposto nos artigos 12.°, n.° 3, 15.°, 17.°, n.° 2, e 18.°, alínea /), da Lei n.° 10/91, de 29 de Abril, na redacção dada pela Lei n.° 28/94 de 28 de Agosto.De acordo com estes preceitos é legítima a comunicação de dados pessoais (nomeadamente de «dados sensíveis») a outras entidades desde que se verifiquem, cumulativamente, os seguintes requisitos:A comunicação seja conhecida do titular no momento da recolha e o titular tenha dado o consentimento escrito para a sua utilização;A sua utilização não seja incompatível com as finalidades determinantes da recolha;Esse procedimento seja consentido pela CNPDPI no âmbito do pedido de autorização, nos termos dos artigos 17.°, n.° 2, e 18.°, alínea f), da Lei n.° 10/91.No caso em apreço, o A... já obtém a autorização escrita do cliente para a consulta da informação por parte das instituições do grupo, ainda que através de uma formulação que se nos afigura demasiado genérica.Em relação à informação disponibilizada, nos termos do pedido de autorização, afigura-se-nos que a sua utilização não é incompatível com as finalidades determinantes da recolha. Na generalidade das situações a consulta é efectuada no âmbito dos riscos de crédito e para segurança das operações (fundamentada, por isso, no artigo 83.° do Decreto-Lei n.° 298/92). Para situações de consulta mais específica deve o A... exigir da empresa do grupo uma autorização expressa do cliente, nomeadamente para obviar à violação do sigilo bancário.5 — Em relação ao prazo de conservação dos dados, o A... considera desejável e adequado um prazo de 20 anos.