# Jornal Oficial C 181/2011

| | ISSN 1725-2482
  doi:10.3000/17252482.C_2011.181.por |
| --- | --- |
| Jornal Oficial
  da União Europeia | C 181 |
| | |
| Edição em língua portuguesa | Comunicações e Informações | 54.o ano22 de Junho de 2011 |

ISSN 1725-2482

doi:10.3000/17252482.C_2011.181.por

Jornal Oficial

da União Europeia

C 181

Edição em língua portuguesa

Comunicações e Informações

54.o ano22 de Junho de 2011

---

| Número de informação | Índice | Página |
| --- | --- | --- |
| | I   Resoluções, recomendações e pareceres |
| | PARECERES |
| | Autoridade Europeia para a Protecção de Dados |
| 2011/C 181/01 | Parecer da Autoridade Europeia para a Protecção de Dados sobre a Comunicação da Comissão ao Parlamento Europeu, ao Conselho, ao Comité Económico e Social Europeu e ao Comité das Regiões — Uma abordagem global da protecção de dados pessoais na União Europeia | 1 |
| 2011/C 181/02 | Parecer da Autoridade Europeia para a Protecção de Dados sobre a Proposta de Directiva do Parlamento Europeu e do Conselho relativa à utilização dos dados dos registos de identificação dos passageiros para efeitos de prevenção, detecção, investigação e repressão das infracções terroristas e da criminalidade grave | 24 |

Número de informação

Índice

Página

I   Resoluções, recomendações e pareceres

PARECERES

Autoridade Europeia para a Protecção de Dados

2011/C 181/01

Parecer da Autoridade Europeia para a Protecção de Dados sobre a Comunicação da Comissão ao Parlamento Europeu, ao Conselho, ao Comité Económico e Social Europeu e ao Comité das Regiões — Uma abordagem global da protecção de dados pessoais na União Europeia

1

2011/C 181/02

Parecer da Autoridade Europeia para a Protecção de Dados sobre a Proposta de Directiva do Parlamento Europeu e do Conselho relativa à utilização dos dados dos registos de identificação dos passageiros para efeitos de prevenção, detecção, investigação e repressão das infracções terroristas e da criminalidade grave

24

| | II   Comunicações |
| --- | --- |
| | COMUNICAÇÕES DAS INSTITUIÇÕES, ÓRGÃOS E ORGANISMOS DA UNIÃO EUROPEIA |
| | Comissão Europeia |
| 2011/C 181/03 | Autorização de auxílios concedidos pelos Estados nos termos dos artigos 107.o e 108.o do TFEU — A respeito dos quais a Comissão não levanta objecções (
  1
  ) | 31 |

II   Comunicações

COMUNICAÇÕES DAS INSTITUIÇÕES, ÓRGÃOS E ORGANISMOS DA UNIÃO EUROPEIA

Comissão Europeia

2011/C 181/03

Autorização de auxílios concedidos pelos Estados nos termos dos artigos 107.o e 108.o do TFEU — A respeito dos quais a Comissão não levanta objecções (
  1
  )

o

o

1

31

| | IV   Informações |
| --- | --- |
| | INFORMAÇÕES DAS INSTITUIÇÕES, ÓRGÃOS E ORGANISMOS DA UNIÃO EUROPEIA |
| | Comissão Europeia |
| 2011/C 181/04 | Taxas de câmbio do euro | 34 |
| | INFORMAÇÕES DOS ESTADOS-MEMBROS |
| 2011/C 181/05 | Informações comunicadas pelos Estados-Membros relativas a auxílios estatais concedidos em conformidade com o Regulamento (CE) n.o 1857/2006 da Comissão relativo à aplicação dos artigos 87.o e 88.o do Tratado aos auxílios estatais a favor das pequenas e médias empresas que se dedicam à produção de produtos agrícolas e que altera o Regulamento (CE) n.o 70/2001 | 35 |

IV   Informações

INFORMAÇÕES DAS INSTITUIÇÕES, ÓRGÃOS E ORGANISMOS DA UNIÃO EUROPEIA

Comissão Europeia

2011/C 181/04

Taxas de câmbio do euro

34

INFORMAÇÕES DOS ESTADOS-MEMBROS

2011/C 181/05

Informações comunicadas pelos Estados-Membros relativas a auxílios estatais concedidos em conformidade com o Regulamento (CE) n.o 1857/2006 da Comissão relativo à aplicação dos artigos 87.o e 88.o do Tratado aos auxílios estatais a favor das pequenas e médias empresas que se dedicam à produção de produtos agrícolas e que altera o Regulamento (CE) n.o 70/2001

o

o

o

o

35

| | V   Avisos |
| --- | --- |
| | PROCEDIMENTOS RELATIVOS À EXECUÇÃO DA POLÍTICA DE CONCORRÊNCIA |
| | Comissão Europeia |
| 2011/C 181/06 | Notificação prévia de uma concentração (Processo COMP/M.6274 — Bridgepoint/Eurazeo/Foncia Groupe) — Processo susceptível de beneficiar do procedimento simplificado (
  1
  ) | 37 |
| 2011/C 181/07 | Notificação prévia de uma concentração (Processo COMP/M.6265 — CSN/AG Cementos Balboa/Corrugados Azpeitia/Corrugados Lasao/Stahlwerk Thuringen) — Processo susceptível de beneficiar do procedimento simplificado (
  1
  ) | 39 |
| 2011/C 181/08 | Notificação prévia de uma concentração (Processo COMP/M.6253 — Talis International Holding/Raphael Valves Industries) — Processo susceptível de beneficiar do procedimento simplificado (
  1
  ) | 40 |

V   Avisos

PROCEDIMENTOS RELATIVOS À EXECUÇÃO DA POLÍTICA DE CONCORRÊNCIA

Comissão Europeia

2011/C 181/06

Notificação prévia de uma concentração (Processo COMP/M.6274 — Bridgepoint/Eurazeo/Foncia Groupe) — Processo susceptível de beneficiar do procedimento simplificado (
  1
  )

1

37

2011/C 181/07

Notificação prévia de uma concentração (Processo COMP/M.6265 — CSN/AG Cementos Balboa/Corrugados Azpeitia/Corrugados Lasao/Stahlwerk Thuringen) — Processo susceptível de beneficiar do procedimento simplificado (
  1
  )

1

39

2011/C 181/08

Notificação prévia de uma concentração (Processo COMP/M.6253 — Talis International Holding/Raphael Valves Industries) — Processo susceptível de beneficiar do procedimento simplificado (
  1
  )

1

40

| | |
| --- | --- |
| | (1)   Texto relevante para efeitos do EEE |

---

(1)   Texto relevante para efeitos do EEE

1

| PT | |
| --- | --- |

PT

---

I Resoluções, recomendações e pareceres

PARECERES

Autoridade Europeia para a Protecção de Dados

| 22.6.2011 | PT | Jornal Oficial da União Europeia | C 181/1 |
| --- | --- | --- | --- |

22.6.2011

PT

Jornal Oficial da União Europeia

C 181/1

---

Parecer da Autoridade Europeia para a Protecção de Dados sobre a Comunicação da Comissão ao Parlamento Europeu, ao Conselho, ao Comité Económico e Social Europeu e ao Comité das Regiões — «Uma abordagem global da protecção de dados pessoais na União Europeia»

2011/C 181/01

A AUTORIDADE EUROPEIA PARA A PROTECÇÃO DE DADOS,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 16.o,

Tendo em conta a Carta dos Direitos Fundamentais da União Europeia, nomeadamente os artigos 7.o e 8.o,

Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1),

Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (2), nomeadamente o seu artigo 41.o,

ADOPTOU O SEGUINTE PARECER

A.   PARTE GERAL

1.   Introdução

1.1.   Uma primeira avaliação geral

| 1. | Em 4 de Novembro de 2010, a Comissão adoptou uma Comunicação intitulada «Uma abordagem global da protecção de dados pessoais na União Europeia» (a seguir denominada a «Comunicação») (3), a qual foi enviada à EDPS para consulta. A EDPS congratula-se com o facto de ter sido consultada pela Comissão em conformidade com o artigo 41.o do Regulamento (CE) n.o 45/2001. Antes da adopção da Comunicação, já lhe tinha sido oferecida a possibilidade de formular observações informais, algumas das quais foram tidas em conta na versão final do documento. |
| --- | --- |

1.

Em 4 de Novembro de 2010, a Comissão adoptou uma Comunicação intitulada «Uma abordagem global da protecção de dados pessoais na União Europeia» (a seguir denominada a «Comunicação») (3), a qual foi enviada à EDPS para consulta. A EDPS congratula-se com o facto de ter sido consultada pela Comissão em conformidade com o artigo 41.o do Regulamento (CE) n.o 45/2001. Antes da adopção da Comunicação, já lhe tinha sido oferecida a possibilidade de formular observações informais, algumas das quais foram tidas em conta na versão final do documento.

| 2. | A Comunicação destina-se a definir a abordagem seguida pela Comissão para rever o quadro normativo da UE em matéria de protecção de dados em todos os domínios de actividade da União, tendo particularmente em conta os desafios resultantes da globalização e das novas tecnologias (4). |
| --- | --- |

2.

A Comunicação destina-se a definir a abordagem seguida pela Comissão para rever o quadro normativo da UE em matéria de protecção de dados em todos os domínios de actividade da União, tendo particularmente em conta os desafios resultantes da globalização e das novas tecnologias (4).

| 3. | A EDPS congratula-se com a Comunicação, em termos gerais, visto estar convicta da necessidade de rever o actual quadro normativo da UE em matéria de protecção de dados para garantir uma protecção eficaz numa sociedade da informação em contínuo desenvolvimento. No seu parecer de 25 de Julho de 2007 sobre a aplicação da Directiva relativa à protecção de dados (5) já tinha concluído que, a longo prazo, parece inevitável a introdução de alterações na Directiva 95/46/CE. |
| --- | --- |

3.

A EDPS congratula-se com a Comunicação, em termos gerais, visto estar convicta da necessidade de rever o actual quadro normativo da UE em matéria de protecção de dados para garantir uma protecção eficaz numa sociedade da informação em contínuo desenvolvimento. No seu parecer de 25 de Julho de 2007 sobre a aplicação da Directiva relativa à protecção de dados (5) já tinha concluído que, a longo prazo, parece inevitável a introdução de alterações na Directiva 95/46/CE.

| 4. | A Comunicação representa um importante passo em frente para essa alteração legislativa que, por sua vez, constituiria a evolução mais importante no domínio da protecção de dados da UE desde a adopção da Directiva 95/46/CE, geralmente considerada como a pedra angular da protecção de dados na União Europeia (e também no Espaço Económico Europeu). |
| --- | --- |

4.

A Comunicação representa um importante passo em frente para essa alteração legislativa que, por sua vez, constituiria a evolução mais importante no domínio da protecção de dados da UE desde a adopção da Directiva 95/46/CE, geralmente considerada como a pedra angular da protecção de dados na União Europeia (e também no Espaço Económico Europeu).

| 5. | A Comunicação oferece o enquadramento adequado para uma revisão bem orientada, nomeadamente porque identifica, de um modo geral, as questões e desafios principais. A EDPS concorda com a perspectiva da Comissão de que, no futuro, continuará a ser necessário um sistema de protecção de dados forte, com base na ideia de que os actuais princípios gerais de protecção de dados permanecem válidos numa sociedade sujeita a profundas mutações devido à rapidez dos avanços tecnológicos e da globalização. Para o efeito, há que rever os instrumentos legislativos vigentes. |
| --- | --- |

5.

A Comunicação oferece o enquadramento adequado para uma revisão bem orientada, nomeadamente porque identifica, de um modo geral, as questões e desafios principais. A EDPS concorda com a perspectiva da Comissão de que, no futuro, continuará a ser necessário um sistema de protecção de dados forte, com base na ideia de que os actuais princípios gerais de protecção de dados permanecem válidos numa sociedade sujeita a profundas mutações devido à rapidez dos avanços tecnológicos e da globalização. Para o efeito, há que rever os instrumentos legislativos vigentes.

| 6. | A Comunicação salienta, com razão, que os desafios são enormes. A EDPS está inteiramente de acordo com esta afirmação e sublinha que, em consequência, as soluções propostas devem ter um nível de ambição correspondente e aumentar a eficácia da protecção. |
| --- | --- |

6.

A Comunicação salienta, com razão, que os desafios são enormes. A EDPS está inteiramente de acordo com esta afirmação e sublinha que, em consequência, as soluções propostas devem ter um nível de ambição correspondente e aumentar a eficácia da protecção.

1.2.   Objectivo do parecer

| 7. | O presente parecer analisa as soluções propostas na Comunicação com base nos dois critérios seguintes: ambição e eficácia. A sua opinião é, de um modo geral, positiva. A EDPS apoia a Comunicação, mas simultaneamente critica alguns aspectos em que considera que a existência de maior ambição conduziria a um sistema mais eficaz. |
| --- | --- |

7.

O presente parecer analisa as soluções propostas na Comunicação com base nos dois critérios seguintes: ambição e eficácia. A sua opinião é, de um modo geral, positiva. A EDPS apoia a Comunicação, mas simultaneamente critica alguns aspectos em que considera que a existência de maior ambição conduziria a um sistema mais eficaz.

| 8. | A EDPS pretende contribuir com o presente parecer para o desenvolvimento do quadro normativo em matéria de protecção de dados. Aguarda com expectativa a proposta da Comissão, que deverá ser apresentada em meados de 2011, e espera que as suas sugestões sejam tidas em conta na formulação dessa proposta. Constata igualmente que a Comunicação parece excluir certos domínios, como o tratamento de dados pelas instituições e organismos da UE, do diploma geral. Caso a Comissão efectivamente decida deixar de fora alguns domínios, nesta fase — facto que a EDPS lamentaria —, solicita-lhe que se comprometa a levar a cabo uma arquitectura verdadeiramente global num prazo curto e especificado. |
| --- | --- |

8.

A EDPS pretende contribuir com o presente parecer para o desenvolvimento do quadro normativo em matéria de protecção de dados. Aguarda com expectativa a proposta da Comissão, que deverá ser apresentada em meados de 2011, e espera que as suas sugestões sejam tidas em conta na formulação dessa proposta. Constata igualmente que a Comunicação parece excluir certos domínios, como o tratamento de dados pelas instituições e organismos da UE, do diploma geral. Caso a Comissão efectivamente decida deixar de fora alguns domínios, nesta fase — facto que a EDPS lamentaria —, solicita-lhe que se comprometa a levar a cabo uma arquitectura verdadeiramente global num prazo curto e especificado.

1.3.   Alicerces do presente parecer

| 9. | O presente parecer não surge isolado. Baseia-se em posições anteriormente tomadas pela EDPS e pelas autoridades europeias de protecção de dados em diversas ocasiões. Convém salientar, designadamente, que no já referido parecer da EDPS de 25 de Julho de 2007 se identificaram e descreveram alguns dos principais elementos a ter em conta nas futuras alterações. (6) Baseia-se igualmente em debates com os outros interessados nos domínios da privacidade e da protecção de dados, cujos contributos foram muito úteis tanto para a Comunicação como para o presente parecer. Pode concluir-se, a este respeito, que existe um certo nível de sinergia quanto à forma de melhorar a eficácia da protecção de dados. |
| --- | --- |

9.

O presente parecer não surge isolado. Baseia-se em posições anteriormente tomadas pela EDPS e pelas autoridades europeias de protecção de dados em diversas ocasiões. Convém salientar, designadamente, que no já referido parecer da EDPS de 25 de Julho de 2007 se identificaram e descreveram alguns dos principais elementos a ter em conta nas futuras alterações. (6) Baseia-se igualmente em debates com os outros interessados nos domínios da privacidade e da protecção de dados, cujos contributos foram muito úteis tanto para a Comunicação como para o presente parecer. Pode concluir-se, a este respeito, que existe um certo nível de sinergia quanto à forma de melhorar a eficácia da protecção de dados.

| 10. | Outro importante alicerce do presente parecer é o documento intitulado «The Future of Privacy», contributo conjunto do Grupo de Trabalho do Artigo 29.o para a Protecção de Dados e do Grupo de Trabalho «Polícia e Justiça» para a consulta que a Comissão lançou em 2009 (a seguir denominado «Documento dos grupos de trabalhos sobre o Futuro da Privacidade») (7). |
| --- | --- |

10.

Outro importante alicerce do presente parecer é o documento intitulado «The Future of Privacy», contributo conjunto do Grupo de Trabalho do Artigo 29.o para a Protecção de Dados e do Grupo de Trabalho «Polícia e Justiça» para a consulta que a Comissão lançou em 2009 (a seguir denominado «Documento dos grupos de trabalhos sobre o Futuro da Privacidade») (7).

| 11. | Mais recentemente, numa conferência de imprensa realizada em 15 de Novembro de 2010, a EDPS comunicou as suas reacções preliminares sobre a Comunicação. O presente parecer aprofunda as opiniões mais genéricas então apresentadas. (8) |
| --- | --- |

11.

Mais recentemente, numa conferência de imprensa realizada em 15 de Novembro de 2010, a EDPS comunicou as suas reacções preliminares sobre a Comunicação. O presente parecer aprofunda as opiniões mais genéricas então apresentadas. (8)

| 12. | Por último, o parecer beneficia do contributo de vários pareceres anteriores da EDPS, bem como de documentos do Grupo de Trabalho do Artigo 29.o para a Protecção de Dados. Ao longo do texto, são feitas referências aos ditos pareceres e documentos, quando necessário. |
| --- | --- |

12.

Por último, o parecer beneficia do contributo de vários pareceres anteriores da EDPS, bem como de documentos do Grupo de Trabalho do Artigo 29.o para a Protecção de Dados. Ao longo do texto, são feitas referências aos ditos pareceres e documentos, quando necessário.

2.   Contexto

| 13. | A revisão das normas de protecção de dados surge num momento histórico crucial. A Comunicação descreve o seu contexto de forma aprofundada e convincente. Com base nessa descrição, a EDPS identifica os quatro principais factores que determinam o ambiente em que o processo de revisão se realiza. |
| --- | --- |

13.

A revisão das normas de protecção de dados surge num momento histórico crucial. A Comunicação descreve o seu contexto de forma aprofundada e convincente. Com base nessa descrição, a EDPS identifica os quatro principais factores que determinam o ambiente em que o processo de revisão se realiza.

| 14. | O primeiro factor é o desenvolvimento tecnológico. A tecnologia actual não é a mesma que existia quando a Directiva 95/46/CE foi concebida e adoptada. Fenómenos tecnológicos como a computação em nuvem, a publicidade comportamental, as redes sociais, a cobrança de portagens nas auto-estradas e os dispositivos de localização geográfica vieram alterar profundamente a forma como os dados são tratados e colocam enormes desafios à protecção de dados. A revisão das normas europeias nesta matéria terá de responder eficazmente a esses desafios. |
| --- | --- |

14.

O primeiro factor é o desenvolvimento tecnológico. A tecnologia actual não é a mesma que existia quando a Directiva 95/46/CE foi concebida e adoptada. Fenómenos tecnológicos como a computação em nuvem, a publicidade comportamental, as redes sociais, a cobrança de portagens nas auto-estradas e os dispositivos de localização geográfica vieram alterar profundamente a forma como os dados são tratados e colocam enormes desafios à protecção de dados. A revisão das normas europeias nesta matéria terá de responder eficazmente a esses desafios.

| 15. | O segundo factor é a globalização. A progressiva eliminação dos obstáculos ao comércio conferiu às empresas uma crescente dimensão mundial. O tratamento de dados transfronteiras e as transferências internacionais de dados aumentaram extraordinariamente nos últimos anos. Além disso, o tratamento de dados tornou-se omnipresente devido às tecnologias da informação e das comunicações: a Internet e a computação em nuvem permitiram o tratamento deslocalizado de grandes quantidades de dados à escala mundial. Na última década, verificou-se também um aumento das actividades policiais e judiciárias de combate ao terrorismo e a outras formas de criminalidade organizada a nível internacional, secundadas por um enorme intercâmbio de informações para efeitos de aplicação da lei. Tudo isto exige que se reflicta seriamente sobre a maneira de garantir eficazmente a protecção de dados pessoais num mundo globalizado, sem dificultar muito as actividades de tratamento internacionais. |
| --- | --- |

15.

O segundo factor é a globalização. A progressiva eliminação dos obstáculos ao comércio conferiu às empresas uma crescente dimensão mundial. O tratamento de dados transfronteiras e as transferências internacionais de dados aumentaram extraordinariamente nos últimos anos. Além disso, o tratamento de dados tornou-se omnipresente devido às tecnologias da informação e das comunicações: a Internet e a computação em nuvem permitiram o tratamento deslocalizado de grandes quantidades de dados à escala mundial. Na última década, verificou-se também um aumento das actividades policiais e judiciárias de combate ao terrorismo e a outras formas de criminalidade organizada a nível internacional, secundadas por um enorme intercâmbio de informações para efeitos de aplicação da lei. Tudo isto exige que se reflicta seriamente sobre a maneira de garantir eficazmente a protecção de dados pessoais num mundo globalizado, sem dificultar muito as actividades de tratamento internacionais.

| 16. | O terceiro factor é o Tratado de Lisboa. A entrada em vigor do Tratado de Lisboa assinala uma nova era para a protecção de dados. O artigo 16.o do TFUE não só prevê um direito individual da pessoa em causa, como constitui também uma base jurídica directa para uma forte legislação de protecção de dados a nível da UE. Além disso, a supressão da estrutura em pilares obriga o Parlamento Europeu e o Conselho a integrarem a protecção de dados em todos os domínios do direito da UE. Por outras palavras, ela permite um quadro normativo global em matéria de protecção de dados, aplicável ao sector privado, ao sector público dos Estados-Membros e às instituições e organismos da UE. O Programa de Estocolmo (9) afirma consistentemente, a este respeito, que a União deve assegurar uma estratégia global de protecção dos dados no seu âmbito e no âmbito das suas relações com países terceiros. |
| --- | --- |

16.

O terceiro factor é o Tratado de Lisboa. A entrada em vigor do Tratado de Lisboa assinala uma nova era para a protecção de dados. O artigo 16.o do TFUE não só prevê um direito individual da pessoa em causa, como constitui também uma base jurídica directa para uma forte legislação de protecção de dados a nível da UE. Além disso, a supressão da estrutura em pilares obriga o Parlamento Europeu e o Conselho a integrarem a protecção de dados em todos os domínios do direito da UE. Por outras palavras, ela permite um quadro normativo global em matéria de protecção de dados, aplicável ao sector privado, ao sector público dos Estados-Membros e às instituições e organismos da UE. O Programa de Estocolmo (9) afirma consistentemente, a este respeito, que a União deve assegurar uma estratégia global de protecção dos dados no seu âmbito e no âmbito das suas relações com países terceiros.

| 17. | O quarto factor é constituído pela evolução concomitante que está a ocorrer no contexto das organizações internacionais. Há vários debates em curso sobre a modernização dos actuais diplomas de protecção de dados. É importante referir, a este respeito, as actuais reflexões sobre a futura revisão da Convenção 108 do Conselho da Europa (10) e das directrizes da OCDE em matéria de protecção da vida privada (11). Outra evolução importante diz respeito à adopção de normas internacionais em matéria de protecção de dados pessoais e da vida privada, que poderá conduzir a um diploma global vinculativo nessa matéria. Todas estas iniciativas merecem ser plenamente apoiadas. Elas deverão ter como objectivo comum assegurar uma protecção eficaz e coerente, num ambiente baseado na tecnologia e globalizado. |
| --- | --- |

17.

O quarto factor é constituído pela evolução concomitante que está a ocorrer no contexto das organizações internacionais. Há vários debates em curso sobre a modernização dos actuais diplomas de protecção de dados. É importante referir, a este respeito, as actuais reflexões sobre a futura revisão da Convenção 108 do Conselho da Europa (10) e das directrizes da OCDE em matéria de protecção da vida privada (11). Outra evolução importante diz respeito à adopção de normas internacionais em matéria de protecção de dados pessoais e da vida privada, que poderá conduzir a um diploma global vinculativo nessa matéria. Todas estas iniciativas merecem ser plenamente apoiadas. Elas deverão ter como objectivo comum assegurar uma protecção eficaz e coerente, num ambiente baseado na tecnologia e globalizado.

3.   Perspectivas principais

3.1.   A protecção de dados promove a confiança e deve apoiar outros interesses (públicos)

| 18. | A importância conferida à protecção de dados no Tratado de Lisboa, nomeadamente no artigo 8.o da Carta dos Direitos Fundamentais da União e no artigo 16.o TFUE, bem como a sua relação indissociável com o artigo 7.o da Carta, conduz necessariamente a um sólido quadro de protecção de dados (12). |
| --- | --- |

18.

A importância conferida à protecção de dados no Tratado de Lisboa, nomeadamente no artigo 8.o da Carta dos Direitos Fundamentais da União e no artigo 16.o TFUE, bem como a sua relação indissociável com o artigo 7.o da Carta, conduz necessariamente a um sólido quadro de protecção de dados (12).

| 19. | Um tal quadro também serve, todavia, os interesses públicos e privados em geral, numa sociedade da informação em que o tratamento dos dados é omnipresente. A protecção de dados promove a confiança, que é uma componente essencial do bom funcionamento da nossa sociedade. É essencial que as disposições relativas à protecção de dadas sejam interpretadas de modo a — na medida do possível — apoiarem activamente outros direitos e interesses legítimos, em lugar de os dificultarem. |
| --- | --- |

19.

Um tal quadro também serve, todavia, os interesses públicos e privados em geral, numa sociedade da informação em que o tratamento dos dados é omnipresente. A protecção de dados promove a confiança, que é uma componente essencial do bom funcionamento da nossa sociedade. É essencial que as disposições relativas à protecção de dadas sejam interpretadas de modo a — na medida do possível — apoiarem activamente outros direitos e interesses legítimos, em lugar de os dificultarem.

| 20. | São exemplos importantes de outros interesses legítimos uma economia europeia forte, a segurança dos cidadãos e a responsabilização dos governos. |
| --- | --- |

20.

São exemplos importantes de outros interesses legítimos uma economia europeia forte, a segurança dos cidadãos e a responsabilização dos governos.

| 21. | O desenvolvimento económico da UE está associado à introdução e à comercialização de novas tecnologias e serviços. Na sociedade da informação, a emergência e a implantação bem-sucedida das tecnologias da informação e das comunicações, bem como dos serviços nesse domínio, dependem da confiança. Se as pessoas não confiarem nas TIC, é provável que estas falhem (13). E as pessoas só confiam nas TIC se os seus dados forem eficazmente protegidos. Por conseguinte, a protecção de dados deve ser uma parte integrante das tecnologias e serviços. Um quadro forte em matéria de protecção de dados favorece a economia europeia, desde que esse quadro seja não só forte, mas também adequadamente adaptado. A maior harmonização no interior da UE e a minimização dos encargos administrativos são essenciais, deste ponto de vista (ver Capítulo 5 do parecer). |
| --- | --- |

21.

O desenvolvimento económico da UE está associado à introdução e à comercialização de novas tecnologias e serviços. Na sociedade da informação, a emergência e a implantação bem-sucedida das tecnologias da informação e das comunicações, bem como dos serviços nesse domínio, dependem da confiança. Se as pessoas não confiarem nas TIC, é provável que estas falhem (13). E as pessoas só confiam nas TIC se os seus dados forem eficazmente protegidos. Por conseguinte, a protecção de dados deve ser uma parte integrante das tecnologias e serviços. Um quadro forte em matéria de protecção de dados favorece a economia europeia, desde que esse quadro seja não só forte, mas também adequadamente adaptado. A maior harmonização no interior da UE e a minimização dos encargos administrativos são essenciais, deste ponto de vista (ver Capítulo 5 do parecer).

| 22. | Muito tem sido dito, nos últimos anos, sobre a necessidade de conciliar a privacidade com a segurança, sobretudo em relação aos instrumentos de tratamento e intercâmbio de dados no domínio da cooperação policial e judiciária (14). A protecção de dados foi, muitas vezes, erradamente caracterizada como um obstáculo à total protecção da segurança física das pessoas (15) ou, pelo menos, como uma condição que as autoridades responsáveis pela aplicação da lei deviam respeitar inevitavelmente. Contudo, esta é uma visão parcelar da realidade. Um quadro forte em matéria de protecção de dados pode melhorar e reforçar a segurança. Com base nos princípios de protecção de dados — quando bem aplicados — os responsáveis pelo tratamento são obrigados a velar por que as informações sejam exactas e actualizadas e os dados pessoais supérfluos, não necessários para efeitos de aplicação da lei, sejam eliminados dos sistemas. De referir também são as obrigações de aplicar medidas tecnológicas e organizativas para garantir a segurança dos sistemas, protegendo-os contra a divulgação ou o acesso não autorizados, desenvolvidas no domínio da protecção de dados. |
| --- | --- |

22.

Muito tem sido dito, nos últimos anos, sobre a necessidade de conciliar a privacidade com a segurança, sobretudo em relação aos instrumentos de tratamento e intercâmbio de dados no domínio da cooperação policial e judiciária (14). A protecção de dados foi, muitas vezes, erradamente caracterizada como um obstáculo à total protecção da segurança física das pessoas (15) ou, pelo menos, como uma condição que as autoridades responsáveis pela aplicação da lei deviam respeitar inevitavelmente. Contudo, esta é uma visão parcelar da realidade. Um quadro forte em matéria de protecção de dados pode melhorar e reforçar a segurança. Com base nos princípios de protecção de dados — quando bem aplicados — os responsáveis pelo tratamento são obrigados a velar por que as informações sejam exactas e actualizadas e os dados pessoais supérfluos, não necessários para efeitos de aplicação da lei, sejam eliminados dos sistemas. De referir também são as obrigações de aplicar medidas tecnológicas e organizativas para garantir a segurança dos sistemas, protegendo-os contra a divulgação ou o acesso não autorizados, desenvolvidas no domínio da protecção de dados.

| 23. | O respeito dos princípios de protecção de dados pode funcionar, além do mais, como uma garantia de que as autoridades responsáveis pela aplicação da lei agem em conformidade com o Estado de direito, o que suscita confiança no seu comportamento e promove a confiança, em sentido mais lato, nas nossas sociedades. A jurisprudência desenvolvida ao abrigo do artigo 8.o da Convenção Europeia dos Direitos do Homem vem assegurar que as autoridades policiais e judiciárias possam tratar todos os dados de que necessitam para o seu trabalho, mas que o façam dentro de certos limites. A protecção de dados implica a realização de controlos (ver o Capítulo 9 do parecer sobre a polícia e a justiça). |
| --- | --- |

23.

O respeito dos princípios de protecção de dados pode funcionar, além do mais, como uma garantia de que as autoridades responsáveis pela aplicação da lei agem em conformidade com o Estado de direito, o que suscita confiança no seu comportamento e promove a confiança, em sentido mais lato, nas nossas sociedades. A jurisprudência desenvolvida ao abrigo do artigo 8.o da Convenção Europeia dos Direitos do Homem vem assegurar que as autoridades policiais e judiciárias possam tratar todos os dados de que necessitam para o seu trabalho, mas que o façam dentro de certos limites. A protecção de dados implica a realização de controlos (ver o Capítulo 9 do parecer sobre a polícia e a justiça).

| 24. | Nas sociedades democráticas, os governos são responsáveis por todas as suas actividades, nomeadamente pela utilização que fazem dos dados pessoais tendo em vista os diversos interesses públicos que servem. Essa utilização pode ir desde a publicação de dados na Internet por motivos de transparência até ao seu uso em apoio de políticas em domínios como a saúde pública, os transportes ou a fiscalidade, ou à vigilância de pessoas para efeitos de aplicação da lei. Um quadro forte em matéria de protecção de dados permite que os governos respeitem as suas responsabilidades e prestem contas, no quadro de uma boa governação. |
| --- | --- |

24.

Nas sociedades democráticas, os governos são responsáveis por todas as suas actividades, nomeadamente pela utilização que fazem dos dados pessoais tendo em vista os diversos interesses públicos que servem. Essa utilização pode ir desde a publicação de dados na Internet por motivos de transparência até ao seu uso em apoio de políticas em domínios como a saúde pública, os transportes ou a fiscalidade, ou à vigilância de pessoas para efeitos de aplicação da lei. Um quadro forte em matéria de protecção de dados permite que os governos respeitem as suas responsabilidades e prestem contas, no quadro de uma boa governação.

3.2.   Consequências para o quadro normativo em matéria de protecção de dados

3.2.1.   É necessária uma maior harmonização

| 25. | A Comunicação identificou, justificadamente, que uma das principais lacunas do quadro actual reside no facto de permitir aos Estados-Membros uma margem discricionária excessiva na transposição das disposições europeias para a legislação nacional. A falta de harmonização tem várias consequências negativas numa sociedade da informação em que as fronteiras físicas entre os Estados-Membros são cada vez menos relevantes (ver Capítulo 5 do parecer). |
| --- | --- |

25.

A Comunicação identificou, justificadamente, que uma das principais lacunas do quadro actual reside no facto de permitir aos Estados-Membros uma margem discricionária excessiva na transposição das disposições europeias para a legislação nacional. A falta de harmonização tem várias consequências negativas numa sociedade da informação em que as fronteiras físicas entre os Estados-Membros são cada vez menos relevantes (ver Capítulo 5 do parecer).

3.2.2.   Os princípios gerais de protecção de dados permanecem válidos

| 26. | Uma primeira razão, mais formal, para os princípios gerais de protecção de dados não deverem nem poderem ser alterados é de natureza jurídica. Estes princípios estão consagrados na Convenção 108 do Conselho da Europa, que é vinculativa para todos os Estados-Membros. Esta convenção é a base da protecção de dados na UE. Além disso, alguns dos princípios mais importantes são explicitamente mencionados no artigo 8.o da Carta dos Direitos Fundamentais da União Europeia. A alteração desses princípios exigiria, assim, uma alteração dos Tratados. |
| --- | --- |

26.

Uma primeira razão, mais formal, para os princípios gerais de protecção de dados não deverem nem poderem ser alterados é de natureza jurídica. Estes princípios estão consagrados na Convenção 108 do Conselho da Europa, que é vinculativa para todos os Estados-Membros. Esta convenção é a base da protecção de dados na UE. Além disso, alguns dos princípios mais importantes são explicitamente mencionados no artigo 8.o da Carta dos Direitos Fundamentais da União Europeia. A alteração desses princípios exigiria, assim, uma alteração dos Tratados.

| 27. | Porém, este não é o único aspecto. Também há razões substanciais para não se alterarem os princípios gerais. A EDPS está firmemente convencida de que a sociedade da informação não pode nem deve funcionar sem uma protecção adequada da vida privada e dos dados pessoais dos indivíduos. Quanto maiores são as quantidades de informação tratadas, maior é a protecção necessária. Uma sociedade da informação onde se tratam grandes volumes de informação sobre toda a gente deve estar assente no conceito de controlo pelo indivíduo, para que este possa agir e exercer as liberdades a que tem direito numa sociedade democrática, como as liberdades de expressão e de pensamento. |
| --- | --- |

27.

Porém, este não é o único aspecto. Também há razões substanciais para não se alterarem os princípios gerais. A EDPS está firmemente convencida de que a sociedade da informação não pode nem deve funcionar sem uma protecção adequada da vida privada e dos dados pessoais dos indivíduos. Quanto maiores são as quantidades de informação tratadas, maior é a protecção necessária. Uma sociedade da informação onde se tratam grandes volumes de informação sobre toda a gente deve estar assente no conceito de controlo pelo indivíduo, para que este possa agir e exercer as liberdades a que tem direito numa sociedade democrática, como as liberdades de expressão e de pensamento.

| 28. | Além disso, é difícil imaginar que haja controlo pelo indivíduo se não forem impostas obrigações aos responsáveis pelo tratamento para que limitem o tratamento em conformidade com os princípios da necessidade, da proporcionalidade e da limitação da finalidade. Esse controlo também é difícil de imaginar se não forem reconhecidos os direitos das pessoas em causa, como os direitos de acesso, rectificação, supressão ou bloqueamento de dados. |
| --- | --- |

28.

Além disso, é difícil imaginar que haja controlo pelo indivíduo se não forem impostas obrigações aos responsáveis pelo tratamento para que limitem o tratamento em conformidade com os princípios da necessidade, da proporcionalidade e da limitação da finalidade. Esse controlo também é difícil de imaginar se não forem reconhecidos os direitos das pessoas em causa, como os direitos de acesso, rectificação, supressão ou bloqueamento de dados.

3.2.3.   Perspectiva dos direitos fundamentais

| 29. | A EDPS salienta que a protecção de dados é reconhecida como um direito fundamental. Isto não significa que a protecção de dados deva prevalecer sempre sobre outros direitos e interesses importantes numa sociedade democrática, mas tem consequências para a natureza e o âmbito da protecção que deve ser proporcionada por um quadro jurídico da UE, de modo a assegurar que os requisitos de protecção de dados são sempre adequadamente tidos em conta. |
| --- | --- |

29.

A EDPS salienta que a protecção de dados é reconhecida como um direito fundamental. Isto não significa que a protecção de dados deva prevalecer sempre sobre outros direitos e interesses importantes numa sociedade democrática, mas tem consequências para a natureza e o âmbito da protecção que deve ser proporcionada por um quadro jurídico da UE, de modo a assegurar que os requisitos de protecção de dados são sempre adequadamente tidos em conta.

| 30. | Estas consequências principais podem ser definidas da seguinte forma:






  — | a protecção deve ser eficaz. Um quadro jurídico deve prever instrumentos que possibilitem que as pessoas exerçam os seus direitos na prática, |
| --- | --- | --- |

30.

Estas consequências principais podem ser definidas da seguinte forma:

—

a protecção deve ser eficaz. Um quadro jurídico deve prever instrumentos que possibilitem que as pessoas exerçam os seus direitos na prática,

| — | o quadro deve manter-se estável durante um longo período, |
| --- | --- |

—

o quadro deve manter-se estável durante um longo período,

| — | a protecção deve ser assegurada em todas as circunstâncias e não depender das preferências políticas em determinado período, |
| --- | --- |

—

a protecção deve ser assegurada em todas as circunstâncias e não depender das preferências políticas em determinado período,

| — | podem ser necessárias limitações ao exercício do direito, mas elas devem ser excepcionais, devidamente justificadas e nunca podem afectar os elementos essenciais do próprio direito (16). |
| --- | --- |

—

podem ser necessárias limitações ao exercício do direito, mas elas devem ser excepcionais, devidamente justificadas e nunca podem afectar os elementos essenciais do próprio direito (16).

A EDPS recomenda que a Comissão tenha estas consequências em conta quando propuser soluções legislativas.

3.2.4.   São necessários novos instrumentos legislativos

| 31. | A Comunicação concentra-se, a justo título, na necessidade de reforçar os instrumentos legislativos em matéria de protecção de dados. Neste contexto, faz sentido recordar que, no documento do Grupo de Trabalho sobre o Futuro da Privacidade (17), as APD realçaram a necessidade de reforçar os papéis dos diversos intervenientes no domínio da protecção de dados, nomeadamente as pessoas em causa, os responsáveis pelo tratamento e as próprias autoridades de supervisão. |
| --- | --- |

31.

A Comunicação concentra-se, a justo título, na necessidade de reforçar os instrumentos legislativos em matéria de protecção de dados. Neste contexto, faz sentido recordar que, no documento do Grupo de Trabalho sobre o Futuro da Privacidade (17), as APD realçaram a necessidade de reforçar os papéis dos diversos intervenientes no domínio da protecção de dados, nomeadamente as pessoas em causa, os responsáveis pelo tratamento e as próprias autoridades de supervisão.

| 32. | Parece haver um amplo consenso entre as partes interessados quanto à importância fundamental de existirem instrumentos legislativos mais fortes — que tenham em conta os avanços tecnológicos e a globalização — para uma protecção de dados ambiciosa e eficaz no futuro. Como já foi mencionado no ponto 7, estes são os critérios utilizados pela EDPS na avaliação de quaisquer soluções que sejam propostas. |
| --- | --- |

32.

Parece haver um amplo consenso entre as partes interessados quanto à importância fundamental de existirem instrumentos legislativos mais fortes — que tenham em conta os avanços tecnológicos e a globalização — para uma protecção de dados ambiciosa e eficaz no futuro. Como já foi mencionado no ponto 7, estes são os critérios utilizados pela EDPS na avaliação de quaisquer soluções que sejam propostas.

3.2.5.   O carácter global como condição sine qua non

| 33. | Tal como se recorda na Comunicação, a Directiva 95/46/CE é aplicável a todas as actividades de tratamento de dados pessoais levadas a cabo nos Estados-Membros, tanto no sector público como no sector privado, à excepção das actividades não sujeitas à aplicação do antigo direito comunitário (18). Embora esta excepção fosse necessária ao abrigo do Tratado anterior, deixou de o ser após a entrada em vigor do Tratado de Lisboa. Além disso, a excepção é contrária ao artigo 16.o do TFUE — tanto ao seu teor como, em todo o caso, ao seu espírito. |
| --- | --- |

33.

Tal como se recorda na Comunicação, a Directiva 95/46/CE é aplicável a todas as actividades de tratamento de dados pessoais levadas a cabo nos Estados-Membros, tanto no sector público como no sector privado, à excepção das actividades não sujeitas à aplicação do antigo direito comunitário (18). Embora esta excepção fosse necessária ao abrigo do Tratado anterior, deixou de o ser após a entrada em vigor do Tratado de Lisboa. Além disso, a excepção é contrária ao artigo 16.o do TFUE — tanto ao seu teor como, em todo o caso, ao seu espírito.

| 34. | No entender da EDPS, deve considerar-se que um diploma global de protecção de dados que inclua a cooperação policial e judiciária em matéria penal é uma das principais melhorias que um novo quadro jurídico pode trazer. Trata-se de uma condição sine qua non para uma protecção dos dados eficaz no futuro. |
| --- | --- |

34.

No entender da EDPS, deve considerar-se que um diploma global de protecção de dados que inclua a cooperação policial e judiciária em matéria penal é uma das principais melhorias que um novo quadro jurídico pode trazer. Trata-se de uma condição sine qua non para uma protecção dos dados eficaz no futuro.

| 35. | A EDPS salienta os seguintes argumentos em apoio desta afirmação:






  — | a distinção entre as actividades do sector privado e as do sector de aplicação da lei está cada vez mais indefinida. As entidades do sector privado podem tratar dados que acabem por ser utilizados para efeitos de aplicação da lei [como é o caso dos PNR (19)], enquanto noutros casos são obrigadas a conservar dados para tais efeitos [por exemplo, a Directiva Conservação de Dados (20)], |
| --- | --- | --- |

35.

A EDPS salienta os seguintes argumentos em apoio desta afirmação:

—

a distinção entre as actividades do sector privado e as do sector de aplicação da lei está cada vez mais indefinida. As entidades do sector privado podem tratar dados que acabem por ser utilizados para efeitos de aplicação da lei [como é o caso dos PNR (19)], enquanto noutros casos são obrigadas a conservar dados para tais efeitos [por exemplo, a Directiva Conservação de Dados (20)],

| — | não há diferenças fundamentais entre as autoridades policiais e judiciárias e outras autoridades responsáveis pela aplicação da lei (fiscais, aduaneiras, anti-fraude, imigração) sujeitas à Directiva 95/46/CE, |
| --- | --- |

—

não há diferenças fundamentais entre as autoridades policiais e judiciárias e outras autoridades responsáveis pela aplicação da lei (fiscais, aduaneiras, anti-fraude, imigração) sujeitas à Directiva 95/46/CE,

| — | tal como se encontra descrito de forma precisa na Comunicação, o diploma legal de protecção de dados actualmente aplicável às autoridades policiais e judiciárias [Decisão-Quadro 2008/977/JAI (21)] é inadequado, |
| --- | --- |

—

tal como se encontra descrito de forma precisa na Comunicação, o diploma legal de protecção de dados actualmente aplicável às autoridades policiais e judiciárias [Decisão-Quadro 2008/977/JAI (21)] é inadequado,

| — | a maioria dos Estados-Membros transpôs a Directiva 95/46 e a Convenção 108 para as suas legislações nacionais, tornando-as também aplicáveis às suas autoridades policiais e judiciais. |
| --- | --- |

—

a maioria dos Estados-Membros transpôs a Directiva 95/46 e a Convenção 108 para as suas legislações nacionais, tornando-as também aplicáveis às suas autoridades policiais e judiciais.

| 36. | A inclusão da polícia e da justiça no diploma geral não só ofereceria mais garantias aos cidadãos como facilitaria o trabalho das autoridades policiais. Ter de aplicar vários conjuntos de regras é pesado, desnecessariamente moroso e dificulta a cooperação internacional (ver mais adiante o Capítulo 9 do parecer). Este também é um bom motivo para se incluírem as actividades de tratamento de dados levadas a cabo pelos serviços de segurança nacional, na medida do possível atendendo ao estado actual do direito da União. |
| --- | --- |

36.

A inclusão da polícia e da justiça no diploma geral não só ofereceria mais garantias aos cidadãos como facilitaria o trabalho das autoridades policiais. Ter de aplicar vários conjuntos de regras é pesado, desnecessariamente moroso e dificulta a cooperação internacional (ver mais adiante o Capítulo 9 do parecer). Este também é um bom motivo para se incluírem as actividades de tratamento de dados levadas a cabo pelos serviços de segurança nacional, na medida do possível atendendo ao estado actual do direito da União.

3.2.6.   Neutralidade tecnológica

| 37. | O período decorrido desde a adopção da Directiva 95/46/CE, em 1995, pode classificar-se como turbulento do ponto de vista tecnológico. São frequentemente introduzidos novos avanços e engenhos tecnológicos, que em muitos casos conduzem a alterações de fundo na forma como os dados pessoais dos indivíduos são tratados. A sociedade da informação já não pode ser considerada como um ambiente paralelo em que as pessoas participam voluntariamente, tendo passado a fazer parte da nossa vida quotidiana. Apenas a título de exemplo, o conceito de Internet das coisas (22) estabelece ligações entre os objectos físicos e a informação em linha com eles relacionada. |
| --- | --- |

37.

O período decorrido desde a adopção da Directiva 95/46/CE, em 1995, pode classificar-se como turbulento do ponto de vista tecnológico. São frequentemente introduzidos novos avanços e engenhos tecnológicos, que em muitos casos conduzem a alterações de fundo na forma como os dados pessoais dos indivíduos são tratados. A sociedade da informação já não pode ser considerada como um ambiente paralelo em que as pessoas participam voluntariamente, tendo passado a fazer parte da nossa vida quotidiana. Apenas a título de exemplo, o conceito de Internet das coisas (22) estabelece ligações entre os objectos físicos e a informação em linha com eles relacionada.

| 38. | A tecnologia continuará a evoluir, com as respectivas consequências para o novo quadro normativo. Este deve ser eficaz durante um maior número de anos, não entravando, simultaneamente, a ocorrência de novos avanços tecnológicos. Para o efeito, é necessário que as disposições jurídicas sejam tecnologicamente neutras. Contudo, o quadro também deve proporcionar mais segurança jurídica para as empresas e os particulares. Estes devem compreender o que se espera deles e poder exercer os seus direitos. Para esse efeito, é necessário que as disposições jurídicas sejam precisas. |
| --- | --- |

38.

A tecnologia continuará a evoluir, com as respectivas consequências para o novo quadro normativo. Este deve ser eficaz durante um maior número de anos, não entravando, simultaneamente, a ocorrência de novos avanços tecnológicos. Para o efeito, é necessário que as disposições jurídicas sejam tecnologicamente neutras. Contudo, o quadro também deve proporcionar mais segurança jurídica para as empresas e os particulares. Estes devem compreender o que se espera deles e poder exercer os seus direitos. Para esse efeito, é necessário que as disposições jurídicas sejam precisas.

| 39. | No entender da EDPS, um diploma geral para a protecção de dados deve ser formulado, tanto quanto possível, de forma tecnologicamente neutra. Isto implica que os direitos e obrigações dos diversos intervenientes sejam formulados de forma geral e neutra, de modo a permanecerem, em princípio, válidos e aplicáveis independentemente da tecnologia escolhida para tratar os dados pessoais. Não há outra opção, dada a rapidez com que a tecnologia progride actualmente. A EDPS sugere que se introduzam novos direitos «tecnologicamente neutros» para além dos actuais princípios de protecção de dados que possam ter uma importância específica no ambiente electrónico em rápida evolução (ver sobretudo Capítulos 6 e 7). |
| --- | --- |

39.

No entender da EDPS, um diploma geral para a protecção de dados deve ser formulado, tanto quanto possível, de forma tecnologicamente neutra. Isto implica que os direitos e obrigações dos diversos intervenientes sejam formulados de forma geral e neutra, de modo a permanecerem, em princípio, válidos e aplicáveis independentemente da tecnologia escolhida para tratar os dados pessoais. Não há outra opção, dada a rapidez com que a tecnologia progride actualmente. A EDPS sugere que se introduzam novos direitos «tecnologicamente neutros» para além dos actuais princípios de protecção de dados que possam ter uma importância específica no ambiente electrónico em rápida evolução (ver sobretudo Capítulos 6 e 7).

3.2.7.   Longo prazo: Segurança jurídica por um período mais longo

| 40. | A Directiva 95/46/CE tem sido o elemento central da protecção de dados na União Europeia, nos últimos quinze anos. Foi transposta para as legislações dos Estados-Membros e aplicada pelos diversos intervenientes. Ao longo dos anos, a aplicação beneficiou da experiência prática e de orientações complementares fornecidas pela Comissão, as autoridades responsáveis pela protecção de dados (a nível nacional e no âmbito do Grupo de Trabalho do Artigo 29.o) e os tribunais nacionais e europeus. |
| --- | --- |

40.

A Directiva 95/46/CE tem sido o elemento central da protecção de dados na União Europeia, nos últimos quinze anos. Foi transposta para as legislações dos Estados-Membros e aplicada pelos diversos intervenientes. Ao longo dos anos, a aplicação beneficiou da experiência prática e de orientações complementares fornecidas pela Comissão, as autoridades responsáveis pela protecção de dados (a nível nacional e no âmbito do Grupo de Trabalho do Artigo 29.o) e os tribunais nacionais e europeus.

| 41. | Importa salientar que estes desenvolvimentos necessitam de tempo e que — sobretudo tratando-se de um quadro geral que põe em prática um direito fundamental — esse tempo é necessário para gerar segurança jurídica e estabilidade. É necessário elaborar um novo diploma geral com a ambição de que possa criar segurança jurídica e estabilidade por um período mais longo, não esquecendo que é muito difícil prever como a tecnologia e a globalização irão evoluir futuramente. Em todo o caso, a EDPS apoia inteiramente o objectivo de criar segurança jurídica por um período mais longo, comparável à perspectiva da Directiva 95/46/CE. Em suma, quando a tecnologia evolui rapidamente, a lei deve ser estável. |
| --- | --- |

41.

Importa salientar que estes desenvolvimentos necessitam de tempo e que — sobretudo tratando-se de um quadro geral que põe em prática um direito fundamental — esse tempo é necessário para gerar segurança jurídica e estabilidade. É necessário elaborar um novo diploma geral com a ambição de que possa criar segurança jurídica e estabilidade por um período mais longo, não esquecendo que é muito difícil prever como a tecnologia e a globalização irão evoluir futuramente. Em todo o caso, a EDPS apoia inteiramente o objectivo de criar segurança jurídica por um período mais longo, comparável à perspectiva da Directiva 95/46/CE. Em suma, quando a tecnologia evolui rapidamente, a lei deve ser estável.

3.2.8.   Curto prazo: Utilizar melhor os instrumentos existentes

| 42. | A curto prazo, é essencial assegurar a eficácia dos instrumentos legislativos existentes, a começar pela concentração na sua aplicação a nível nacional e a nível da UE (ver Capítulo 11 do presente parecer). |
| --- | --- |

42.

A curto prazo, é essencial assegurar a eficácia dos instrumentos legislativos existentes, a começar pela concentração na sua aplicação a nível nacional e a nível da UE (ver Capítulo 11 do presente parecer).

B.   ELEMENTOS DE UM NOVO QUADRO

4.   Abordagem global

| 43. | A EDPS apoia inteiramente a abordagem global da protecção de dados, que é não só o título mas também o ponto de partida da Comunicação e que inclui necessariamente a extensão da aplicação das normas gerais de protecção de dados ao domínio da cooperação policial e judiciária em matéria penal (23). |
| --- | --- |

43.

A EDPS apoia inteiramente a abordagem global da protecção de dados, que é não só o título mas também o ponto de partida da Comunicação e que inclui necessariamente a extensão da aplicação das normas gerais de protecção de dados ao domínio da cooperação policial e judiciária em matéria penal (23).

| 44. | No entanto, constata também que a Comissão não tenciona incluir todas as actividades de tratamento de dados neste diploma geral. Nomeadamente, o tratamento de dados pelas instituições, organismos, serviços e agências da UE não estará incluído. A Comissão afirma apenas que «irá avaliar a necessidade de adaptar outros diplomas legais ao novo quadro normativo geral de protecção de dados». |
| --- | --- |

44.

No entanto, constata também que a Comissão não tenciona incluir todas as actividades de tratamento de dados neste diploma geral. Nomeadamente, o tratamento de dados pelas instituições, organismos, serviços e agências da UE não estará incluído. A Comissão afirma apenas que «irá avaliar a necessidade de adaptar outros diplomas legais ao novo quadro normativo geral de protecção de dados».

| 45. | A EDPS manifesta a sua clara preferência pela inclusão do tratamento a nível da UE no quadro normativo geral. Recorda que era essa a intenção original do antigo artigo 286.o TCE, que mencionou pela primeira vez a protecção de dados a nível do Tratado. O artigo 286.o TCE limitava-se a afirmar que os diplomas relativos à protecção de dados de carácter pessoal também seriam aplicáveis às instituições. Mais importante ainda, um único texto jurídico evita o risco de discrepâncias entre disposições e seria o mais adequado para o intercâmbio de dados entre o nível da UE e as entidades públicas e privadas dos Estados-Membros. Também evitaria o risco de, após a alteração da Directiva 95/46/CE, já não existir interesse político em alterar o Regulamento (CE) n.o 45/2001 ou de não se atribuir a essa alteração a prioridade suficiente para evitar discrepâncias quanto às datas de entrada em vigor. |
| --- | --- |

45.

A EDPS manifesta a sua clara preferência pela inclusão do tratamento a nível da UE no quadro normativo geral. Recorda que era essa a intenção original do antigo artigo 286.o TCE, que mencionou pela primeira vez a protecção de dados a nível do Tratado. O artigo 286.o TCE limitava-se a afirmar que os diplomas relativos à protecção de dados de carácter pessoal também seriam aplicáveis às instituições. Mais importante ainda, um único texto jurídico evita o risco de discrepâncias entre disposições e seria o mais adequado para o intercâmbio de dados entre o nível da UE e as entidades públicas e privadas dos Estados-Membros. Também evitaria o risco de, após a alteração da Directiva 95/46/CE, já não existir interesse político em alterar o Regulamento (CE) n.o 45/2001 ou de não se atribuir a essa alteração a prioridade suficiente para evitar discrepâncias quanto às datas de entrada em vigor.

| 46. | A EDPS insta a Comissão — caso esta conclua que a inclusão do tratamento a nível da UE no diploma geral não seria exequível — a assumir o compromisso de propor uma adaptação do Regulamento (CE) n.o 45/2001 (e não de «avaliar a necessidade» de o fazer) o mais rapidamente possível e, de preferência, até ao final de 2011. |
| --- | --- |

46.

A EDPS insta a Comissão — caso esta conclua que a inclusão do tratamento a nível da UE no diploma geral não seria exequível — a assumir o compromisso de propor uma adaptação do Regulamento (CE) n.o 45/2001 (e não de «avaliar a necessidade» de o fazer) o mais rapidamente possível e, de preferência, até ao final de 2011.

| 47. | É igualmente importante que a Comissão não deixe para trás outros domínios, nomeadamente:






  — | a protecção de dados no domínio da Política Externa e de Segurança Comum, com base no artigo 39.o TUE (24), |
| --- | --- | --- |

47.

É igualmente importante que a Comissão não deixe para trás outros domínios, nomeadamente:

—

a protecção de dados no domínio da Política Externa e de Segurança Comum, com base no artigo 39.o TUE (24),

| — | regimes sectoriais de protecção de dados para organismos da UE como a Europol e a Eurojust, e para os sistemas de informação de grande dimensão, na medida em que necessitem de ser adaptados ao novo diploma, |
| --- | --- |

—

regimes sectoriais de protecção de dados para organismos da UE como a Europol e a Eurojust, e para os sistemas de informação de grande dimensão, na medida em que necessitem de ser adaptados ao novo diploma,

| — | a Directiva 2002/58/CE, Directiva Privacidade e Comunicações Electrónicas, na medida em que necessite de ser adaptada ao novo diploma. |
| --- | --- |

—

a Directiva 2002/58/CE, Directiva Privacidade e Comunicações Electrónicas, na medida em que necessite de ser adaptada ao novo diploma.

| 48. | Por último, um diploma geral de protecção de dados pode, e provavelmente deve, ser complementado por regulamentos suplementares sectoriais e específicos, por exemplo para a cooperação policial e judiciária, mas também noutros domínios (25). Quando necessário e em conformidade com o princípio de subsidiariedade, esses regulamentos suplementares devem ser adoptados a nível da UE. Os Estados-Membros podem elaborar normas suplementares, em domínios específicos em que tal se justifique (ver 5.2). |
| --- | --- |

48.

Por último, um diploma geral de protecção de dados pode, e provavelmente deve, ser complementado por regulamentos suplementares sectoriais e específicos, por exemplo para a cooperação policial e judiciária, mas também noutros domínios (25). Quando necessário e em conformidade com o princípio de subsidiariedade, esses regulamentos suplementares devem ser adoptados a nível da UE. Os Estados-Membros podem elaborar normas suplementares, em domínios específicos em que tal se justifique (ver 5.2).

5.   Maior harmonização e simplificação

5.1.   A necessidade de harmonização

| 49. | A harmonização tem uma importância essencial para a legislação da UE em matéria de protecção de dados. A Comunicação salientou correctamente que a protecção de dados tem uma forte vertente relativa ao mercado interno, visto ter de assegurar o livre fluxo de dados pessoais entre Estados-Membros no mercado interno. Contudo, o nível de harmonização previsto pela presente directiva foi considerado pouco satisfatório. A Comunicação reconhece que esta é uma das preocupações mais frequentes dos interessados. Estes destacam, nomeadamente, a necessidade de aumentar a segurança jurídica, reduzir a sobrecarga administrativa e garantir a igualdade de condições para os operadores económicos. Como a Comissão faz notar, justificadamente, que os responsáveis pelo tratamento de dados estabelecidos em vários Estados-Membros e que devem cumprir as condições (eventualmente divergentes) das legislações nacionais de protecção de dados são especialmente afectados por esta situação (26). |
| --- | --- |

49.

A harmonização tem uma importância essencial para a legislação da UE em matéria de protecção de dados. A Comunicação salientou correctamente que a protecção de dados tem uma forte vertente relativa ao mercado interno, visto ter de assegurar o livre fluxo de dados pessoais entre Estados-Membros no mercado interno. Contudo, o nível de harmonização previsto pela presente directiva foi considerado pouco satisfatório. A Comunicação reconhece que esta é uma das preocupações mais frequentes dos interessados. Estes destacam, nomeadamente, a necessidade de aumentar a segurança jurídica, reduzir a sobrecarga administrativa e garantir a igualdade de condições para os operadores económicos. Como a Comissão faz notar, justificadamente, que os responsáveis pelo tratamento de dados estabelecidos em vários Estados-Membros e que devem cumprir as condições (eventualmente divergentes) das legislações nacionais de protecção de dados são especialmente afectados por esta situação (26).

| 50. | A harmonização é importante não só para o mercado interno mas também para assegurar uma protecção adequada dos dados. O artigo 16.o TFUE prevê que «todas as pessoas» têm direito à protecção dos dados de carácter pessoal que lhes digam respeito. Para que este direito seja efectivamente respeitado, deve garantir-se um nível de protecção equivalente em toda a União. O documento do Grupo de Trabalho sobre o Futuro da Privacidade salientava que várias disposições relativas às posições das pessoas em causa não foram uniformemente transpostas ou interpretadas em todos os Estados-Membros (27). Num mundo globalizado e interligado, estas divergências podem prejudicar ou limitar a protecção das pessoas. |
| --- | --- |

50.

A harmonização é importante não só para o mercado interno mas também para assegurar uma protecção adequada dos dados. O artigo 16.o TFUE prevê que «todas as pessoas» têm direito à protecção dos dados de carácter pessoal que lhes digam respeito. Para que este direito seja efectivamente respeitado, deve garantir-se um nível de protecção equivalente em toda a União. O documento do Grupo de Trabalho sobre o Futuro da Privacidade salientava que várias disposições relativas às posições das pessoas em causa não foram uniformemente transpostas ou interpretadas em todos os Estados-Membros (27). Num mundo globalizado e interligado, estas divergências podem prejudicar ou limitar a protecção das pessoas.

| 51. | A EDPS considera que a maior e melhor harmonização é um dos principais objectivos do processo de revisão. Congratula-se com o compromisso da Comissão de analisar os meios de conseguir maior harmonização da protecção de dados a nível da UE. Constata, todavia, com alguma surpresa, que a Comunicação não propõe, nesta fase, opções concretas. Indica, por isso, alguns domínios em que é mais urgente conseguir uma maior convergência (ver 5.3). A maior harmonização nesses domínios deveria ser obtida não só através da redução da margem de manobra da legislação nacional, mas também através da prevenção de uma transposição incorrecta pelos Estados-Membros (ver também Capítulo 11) e da garantia de uma aplicação mais coerente e coordenada (ver também Capítulo 10). |
| --- | --- |

51.

A EDPS considera que a maior e melhor harmonização é um dos principais objectivos do processo de revisão. Congratula-se com o compromisso da Comissão de analisar os meios de conseguir maior harmonização da protecção de dados a nível da UE. Constata, todavia, com alguma surpresa, que a Comunicação não propõe, nesta fase, opções concretas. Indica, por isso, alguns domínios em que é mais urgente conseguir uma maior convergência (ver 5.3). A maior harmonização nesses domínios deveria ser obtida não só através da redução da margem de manobra da legislação nacional, mas também através da prevenção de uma transposição incorrecta pelos Estados-Membros (ver também Capítulo 11) e da garantia de uma aplicação mais coerente e coordenada (ver também Capítulo 10).

5.2.   Redução da margem de manobra na aplicação da Directiva

| 52. | A directiva contém várias disposições formuladas de forma genérica e que, por isso, deixam bastante margem para uma aplicação divergente. O seu considerando 9 confirma explicitamente que é concedida aos Estados-Membros alguma margem de manobra e que, dentro dessa margem, poderão verificar-se disparidades na aplicação da directiva. Várias disposições têm sido aplicadas de forma diferente pelos Estados-Membros, incluindo algumas disposições cruciais (28). Esta situação não é satisfatória e deverá procurar-se uma maior convergência. |
| --- | --- |

52.

A directiva contém várias disposições formuladas de forma genérica e que, por isso, deixam bastante margem para uma aplicação divergente. O seu considerando 9 confirma explicitamente que é concedida aos Estados-Membros alguma margem de manobra e que, dentro dessa margem, poderão verificar-se disparidades na aplicação da directiva. Várias disposições têm sido aplicadas de forma diferente pelos Estados-Membros, incluindo algumas disposições cruciais (28). Esta situação não é satisfatória e deverá procurar-se uma maior convergência.

| 53. | Isto não significa que a diversidade deva ser totalmente excluída. Em determinados domínios, poderá ser necessária flexibilidade para preservar especificidades justificadas, interesses públicos importantes ou a autonomia institucional dos Estados-Membros. No entender da EDPS, a margem para divergências entre os Estados-Membros deve ser limitada, designadamente, às seguintes situações específicas:






  — | liberdade de expressão: no quadro actual (artigo 9.o), os Estados-Membros podem estabelecer isenções e derrogações em relação ao tratamento de dados efectuado para fins jornalísticos ou de expressão artística ou literária. Esta flexibilidade afigura-se justificada, sob reserva, evidentemente, dos limites previstos na Carta e na CEDH, tendo em conta as diversas tradições e as diferenças culturais que neste domínio possam existir entre os Estados-Membros. Contudo, isto não deve obstar a uma possível actualização do artigo 9.o atendendo à evolução no domínio da Internet, |
| --- | --- | --- |

53.

Isto não significa que a diversidade deva ser totalmente excluída. Em determinados domínios, poderá ser necessária flexibilidade para preservar especificidades justificadas, interesses públicos importantes ou a autonomia institucional dos Estados-Membros. No entender da EDPS, a margem para divergências entre os Estados-Membros deve ser limitada, designadamente, às seguintes situações específicas:

—

liberdade de expressão: no quadro actual (artigo 9.o), os Estados-Membros podem estabelecer isenções e derrogações em relação ao tratamento de dados efectuado para fins jornalísticos ou de expressão artística ou literária. Esta flexibilidade afigura-se justificada, sob reserva, evidentemente, dos limites previstos na Carta e na CEDH, tendo em conta as diversas tradições e as diferenças culturais que neste domínio possam existir entre os Estados-Membros. Contudo, isto não deve obstar a uma possível actualização do artigo 9.o atendendo à evolução no domínio da Internet,

| — | interesses públicos específicos: no quadro actual (artigo 13.o), os Estados-Membros podem adoptar medidas legislativas destinadas a restringir o alcance das obrigações e direitos, sempre que tal restrição constitua uma medida necessária à protecção de um interesse público importante, como a segurança do Estado, a defesa, a segurança pública, etc. Esta competência dos Estados-Membros continua a justificar-se. Contudo, sempre que possível, a interpretação das excepções deve ser objecto de maior harmonização (ver secção 9.1). Além disso, o actual âmbito da excepção ao artigo 6.o, n.o 1, afigura-se excessivamente amplo, |
| --- | --- |

—

interesses públicos específicos: no quadro actual (artigo 13.o), os Estados-Membros podem adoptar medidas legislativas destinadas a restringir o alcance das obrigações e direitos, sempre que tal restrição constitua uma medida necessária à protecção de um interesse público importante, como a segurança do Estado, a defesa, a segurança pública, etc. Esta competência dos Estados-Membros continua a justificar-se. Contudo, sempre que possível, a interpretação das excepções deve ser objecto de maior harmonização (ver secção 9.1). Além disso, o actual âmbito da excepção ao artigo 6.o, n.o 1, afigura-se excessivamente amplo,

| — | vias de recurso, sanções e procedimentos administrativos: um quadro europeu deve determinar as condições principais, mas no estado actual do direito da União, a determinação das sanções, das vias de recurso, das normas processuais e das modalidades de inspecções aplicáveis a nível nacional devem ser deixadas aos Estados-Membros. |
| --- | --- |

—

vias de recurso, sanções e procedimentos administrativos: um quadro europeu deve determinar as condições principais, mas no estado actual do direito da União, a determinação das sanções, das vias de recurso, das normas processuais e das modalidades de inspecções aplicáveis a nível nacional devem ser deixadas aos Estados-Membros.

5.3.   Domínios que necessitam de maior harmonização

| 54. | Definições (artigo 2.o da Directiva 95/46/CE). As definições são a pedra angular do quadro normativo e devem ser interpretadas de modo uniforme em todos os Estados-Membros, sem margem de aplicação. Têm surgido divergências no âmbito do quadro actual, por exemplo, quanto ao conceito de responsável pelo tratamento dos dados (29). A EDPS sugere que se acrescentem outros elementos aos actualmente enunciados no artigo 2.o, a fim de proporcionar uma maior segurança jurídica, como os dados anónimos ou pseudónimos, os dados judiciais, a transferência de dados e o responsável pela protecção de dados. |
| --- | --- |

54.

Definições (artigo 2.o da Directiva 95/46/CE). As definições são a pedra angular do quadro normativo e devem ser interpretadas de modo uniforme em todos os Estados-Membros, sem margem de aplicação. Têm surgido divergências no âmbito do quadro actual, por exemplo, quanto ao conceito de responsável pelo tratamento dos dados (29). A EDPS sugere que se acrescentem outros elementos aos actualmente enunciados no artigo 2.o, a fim de proporcionar uma maior segurança jurídica, como os dados anónimos ou pseudónimos, os dados judiciais, a transferência de dados e o responsável pela protecção de dados.

| 55. | Licitude do tratamento (artigo 5.o). O novo instrumento jurídico deve ser tão preciso quanto possível no que diz respeito aos elementos fundamentais que determinam a licitude do tratamento de dados. O artigo 5.o da Directiva (bem como o considerando 9), que mandata os Estados-Membros para especificarem as condições em que é lícito o tratamento de dados, pode deixar de ser, por isso, necessário num futuro quadro. |
| --- | --- |

55.

Licitude do tratamento (artigo 5.o). O novo instrumento jurídico deve ser tão preciso quanto possível no que diz respeito aos elementos fundamentais que determinam a licitude do tratamento de dados. O artigo 5.o da Directiva (bem como o considerando 9), que mandata os Estados-Membros para especificarem as condições em que é lícito o tratamento de dados, pode deixar de ser, por isso, necessário num futuro quadro.

| 56. | Motivos para o tratamento de dados (artigos 7.o e 8.o). A definição das condições para o tratamento de dados é um elemento essencial de qualquer legislação nesta matéria. Os Estados-Membros não devem ser autorizados a introduzir motivos adicionais ou alterados para o tratamento, nem excluir quaisquer motivos. A possibilidade de estabelecer derrogações deve ser excluída ou limitada (sobretudo no que diz respeito aos dados sensíveis (30)). Num novo diploma, os motivos do tratamento de dados devem ser claramente formulados, reduzindo assim a margem de apreciação na transposição e aplicação. Em especial, o conceito de consentimento poderá necessitar de ser especificado com mais pormenor (ver secção 6.5). Além disso, o motivo baseado no legítimo interesse do responsável pelo tratamento (artigo 7.o, alínea f)) abre caminho a interpretações muito divergentes, devido à sua natureza flexível. É necessário especificá-lo em pormenor. Outra disposição que talvez deva ser especificada é o artigo 8.o, no 2, alínea b), que permite o tratamento de dados sensíveis que seja necessário para o cumprimento das obrigações e dos direitos do responsável pelo tratamento no domínio da legislação do trabalho (31). |
| --- | --- |

56.

Motivos para o tratamento de dados (artigos 7.o e 8.o). A definição das condições para o tratamento de dados é um elemento essencial de qualquer legislação nesta matéria. Os Estados-Membros não devem ser autorizados a introduzir motivos adicionais ou alterados para o tratamento, nem excluir quaisquer motivos. A possibilidade de estabelecer derrogações deve ser excluída ou limitada (sobretudo no que diz respeito aos dados sensíveis (30)). Num novo diploma, os motivos do tratamento de dados devem ser claramente formulados, reduzindo assim a margem de apreciação na transposição e aplicação. Em especial, o conceito de consentimento poderá necessitar de ser especificado com mais pormenor (ver secção 6.5). Além disso, o motivo baseado no legítimo interesse do responsável pelo tratamento (artigo 7.o, alínea f)) abre caminho a interpretações muito divergentes, devido à sua natureza flexível. É necessário especificá-lo em pormenor. Outra disposição que talvez deva ser especificada é o artigo 8.o, no 2, alínea b), que permite o tratamento de dados sensíveis que seja necessário para o cumprimento das obrigações e dos direitos do responsável pelo tratamento no domínio da legislação do trabalho (31).

| 57. | Direitos das pessoas em causa (artigos 10.o-15.o). Este é um dos domínios em que nem todos os elementos da directiva foram coerentemente transpostos e interpretados pelos Estados-Membros. Os direitos das pessoas em causa são fulcrais para uma protecção de dados eficaz. Em consequência, a margem de manobra deve ser substancialmente reduzida. A EDPS recomenda que as informações fornecidas às pessoas em causa pelo responsável pelo tratamento sejam uniformizadas a nível da UE. |
| --- | --- |

57.

Direitos das pessoas em causa (artigos 10.o-15.o). Este é um dos domínios em que nem todos os elementos da directiva foram coerentemente transpostos e interpretados pelos Estados-Membros. Os direitos das pessoas em causa são fulcrais para uma protecção de dados eficaz. Em consequência, a margem de manobra deve ser substancialmente reduzida. A EDPS recomenda que as informações fornecidas às pessoas em causa pelo responsável pelo tratamento sejam uniformizadas a nível da UE.

| 58. | Transferências internacionais (artigos 25.o-26.o). Este é um domínio que suscitou muitas críticas devido à ausência de uma prática uniforme em toda a UE. Os interessados criticaram o facto de as decisões da Comissão sobre a adequação serem interpretadas e aplicadas de formas divergentes pelos Estados-Membros. As normas vinculativas para as empresas são outro elemento em que a EDPS recomenda maior harmonização (ver Capítulo 9). |
| --- | --- |

58.

Transferências internacionais (artigos 25.o-26.o). Este é um domínio que suscitou muitas críticas devido à ausência de uma prática uniforme em toda a UE. Os interessados criticaram o facto de as decisões da Comissão sobre a adequação serem interpretadas e aplicadas de formas divergentes pelos Estados-Membros. As normas vinculativas para as empresas são outro elemento em que a EDPS recomenda maior harmonização (ver Capítulo 9).

| 59. | Autoridades nacionais de protecção de dados (artigo 28.o). As APD nacionais estão sujeitas a normas muito divergentes nos 27 Estados-Membros, no que respeita ao seu estatuto, recursos e poderes. O artigo 28.o contribuiu parcialmente para esta divergência devido à sua falta de precisão (32) e deve ser especificado, em conformidade com o Acórdão do Tribunal de Justiça Europeu no Processo C-518/07 (33) (ver ainda Capítulo 10). |
| --- | --- |

59.

Autoridades nacionais de protecção de dados (artigo 28.o). As APD nacionais estão sujeitas a normas muito divergentes nos 27 Estados-Membros, no que respeita ao seu estatuto, recursos e poderes. O artigo 28.o contribuiu parcialmente para esta divergência devido à sua falta de precisão (32) e deve ser especificado, em conformidade com o Acórdão do Tribunal de Justiça Europeu no Processo C-518/07 (33) (ver ainda Capítulo 10).

5.4.   Simplificação do sistema de notificação

| 60. | Os requisitos de notificação (artigos 18.o-21.o da Directiva 95/46/CE) são outro domínio em que, até agora, tem sido concedida grande liberdade aos Estados-Membros. A Comunicação reconhece, com razão, que um sistema harmonizado permitiria reduzir os custos e a sobrecarga administrativa dos responsáveis pelo tratamento (34). |
| --- | --- |

60.

Os requisitos de notificação (artigos 18.o-21.o da Directiva 95/46/CE) são outro domínio em que, até agora, tem sido concedida grande liberdade aos Estados-Membros. A Comunicação reconhece, com razão, que um sistema harmonizado permitiria reduzir os custos e a sobrecarga administrativa dos responsáveis pelo tratamento (34).

| 61. | Este é um domínio em que a simplificação deveria ser o objectivo principal. A revisão do quadro de protecção de dados constitui uma oportunidade única para simplificar e/ou reduzir o âmbito dos actuais requisitos de notificação. A Comunicação reconhece que é consensual entre os interessados que o actual sistema de notificações é bastante pesado e não traz, por si só, qualquer valor acrescentado à protecção dos dados pessoais (35). A EDPS congratula-se, por conseguinte, com o compromisso da Comissão de explorar as diversas possibilidades de simplificação do actual sistema de notificação. |
| --- | --- |

61.

Este é um domínio em que a simplificação deveria ser o objectivo principal. A revisão do quadro de protecção de dados constitui uma oportunidade única para simplificar e/ou reduzir o âmbito dos actuais requisitos de notificação. A Comunicação reconhece que é consensual entre os interessados que o actual sistema de notificações é bastante pesado e não traz, por si só, qualquer valor acrescentado à protecção dos dados pessoais (35). A EDPS congratula-se, por conseguinte, com o compromisso da Comissão de explorar as diversas possibilidades de simplificação do actual sistema de notificação.

| 62. | No seu entender, o ponto de partida dessa simplificação seria a substituição de um sistema em que a notificação é a regra, salvo disposição em contrário (isto é, um «sistema de isenção»), por um sistema mais direccionado. O sistema de isenção revelou-se ineficaz, por ser aplicado de forma incoerente entre os Estados-Membros (36). A EDPS sugere que se considerem as seguintes alternativas:






  — | limitar a obrigação de notificação a determinados tipos de operações de tratamento que impliquem riscos específicos (estas notificações poderiam desencadear outras medidas, como o controlo prévio do tratamento), |
| --- | --- | --- |

62.

No seu entender, o ponto de partida dessa simplificação seria a substituição de um sistema em que a notificação é a regra, salvo disposição em contrário (isto é, um «sistema de isenção»), por um sistema mais direccionado. O sistema de isenção revelou-se ineficaz, por ser aplicado de forma incoerente entre os Estados-Membros (36). A EDPS sugere que se considerem as seguintes alternativas:

—

limitar a obrigação de notificação a determinados tipos de operações de tratamento que impliquem riscos específicos (estas notificações poderiam desencadear outras medidas, como o controlo prévio do tratamento),

| — | uma obrigação de registo simples exigindo que os responsáveis pelo tratamento se registem (em lugar de se registarem todas as operações de tratamento). |
| --- | --- |

—

uma obrigação de registo simples exigindo que os responsáveis pelo tratamento se registem (em lugar de se registarem todas as operações de tratamento).

Além disso, poderia ser introduzido um formulário normalizado pan-europeu para assegurar uma abordagem harmonizada das informações solicitadas.

| 63. | A revisão do actual sistema de notificação em nada deverá prejudicar a melhoria das obrigações de controlo prévio relativas a determinadas operações de tratamento susceptíveis de apresentar riscos específicos (como os sistemas de informação de grande dimensão). A EDPS seria favorável à inclusão no novo diploma de uma lista não exaustiva de casos em que esse controlo prévio é exigido. O Regulamento (CE) n.o 45/2001 relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos da UE fornece um modelo útil para este efeito (37). |
| --- | --- |

63.

A revisão do actual sistema de notificação em nada deverá prejudicar a melhoria das obrigações de controlo prévio relativas a determinadas operações de tratamento susceptíveis de apresentar riscos específicos (como os sistemas de informação de grande dimensão). A EDPS seria favorável à inclusão no novo diploma de uma lista não exaustiva de casos em que esse controlo prévio é exigido. O Regulamento (CE) n.o 45/2001 relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos da UE fornece um modelo útil para este efeito (37).

5.5.   Um regulamento e não uma directiva

| 64. | Por último, a EDPS considera que o processo de revisão também constitui uma oportunidade para reexaminar o tipo de diploma a utilizar para a protecção de dados. Um regulamento, um instrumento único directamente aplicável nos Estados-Membros, é o meio mais eficaz para proteger o direito fundamental à protecção de dados e para criar um verdadeiro mercado interno onde os dados pessoais possam circular livremente e o nível de protecção seja igual independentemente do país ou do sector onde os dados são tratados. |
| --- | --- |

64.

Por último, a EDPS considera que o processo de revisão também constitui uma oportunidade para reexaminar o tipo de diploma a utilizar para a protecção de dados. Um regulamento, um instrumento único directamente aplicável nos Estados-Membros, é o meio mais eficaz para proteger o direito fundamental à protecção de dados e para criar um verdadeiro mercado interno onde os dados pessoais possam circular livremente e o nível de protecção seja igual independentemente do país ou do sector onde os dados são tratados.

| 65. | Um regulamento reduziria a margem para interpretações contraditórias e diferenças injustificadas na transposição e aplicação da lei. Reduziria igualmente a importância de determinar a lei aplicável às operações de tratamento no interior da UE, um dos aspectos mais controversos do sistema actual (ver Capítulo 9). |
| --- | --- |

65.

Um regulamento reduziria a margem para interpretações contraditórias e diferenças injustificadas na transposição e aplicação da lei. Reduziria igualmente a importância de determinar a lei aplicável às operações de tratamento no interior da UE, um dos aspectos mais controversos do sistema actual (ver Capítulo 9).

| 66. | No domínio da protecção de dados, um regulamento é ainda mais justificado, porque






  — | o artigo 16.o TFUE fez ascender o direito à protecção dos dados pessoais ao nível dos tratados e prevê — ou mesmo impõe — um nível uniforme de protecção das pessoas em toda a UE, |
| --- | --- | --- |

66.

No domínio da protecção de dados, um regulamento é ainda mais justificado, porque

—

o artigo 16.o TFUE fez ascender o direito à protecção dos dados pessoais ao nível dos tratados e prevê — ou mesmo impõe — um nível uniforme de protecção das pessoas em toda a UE,

| — | o tratamento de dados tem lugar num ambiente electrónico em que as fronteiras internas entre os Estados-Membros se tornaram menos relevantes. |
| --- | --- |

—

o tratamento de dados tem lugar num ambiente electrónico em que as fronteiras internas entre os Estados-Membros se tornaram menos relevantes.

| 67. | A escolha de um regulamento como diploma geral permite, sempre que necessário, disposições directamente dirigidas aos Estados-Membros, sempre que seja requerida flexibilidade. Também não influencia a competência dos Estados-Membros de adoptarem normas suplementares de protecção de dados, quando necessário, em conformidade como direito da UE. |
| --- | --- |

67.

A escolha de um regulamento como diploma geral permite, sempre que necessário, disposições directamente dirigidas aos Estados-Membros, sempre que seja requerida flexibilidade. Também não influencia a competência dos Estados-Membros de adoptarem normas suplementares de protecção de dados, quando necessário, em conformidade como direito da UE.

6.   Reforço dos direitos das pessoas

6.1.   A necessidade de reforçar os direitos

| 68. | A EDPS apoia totalmente a Comunicação quando esta propõe que se reforcem os direitos das pessoas, uma vez que os diplomas existentes não proporcionam plenamente a protecção eficaz que é necessária num mundo digitalizado cada vez mais complexo. |
| --- | --- |

68.

A EDPS apoia totalmente a Comunicação quando esta propõe que se reforcem os direitos das pessoas, uma vez que os diplomas existentes não proporcionam plenamente a protecção eficaz que é necessária num mundo digitalizado cada vez mais complexo.

| 69. | Por um lado, o desenvolvimento de um mundo digitalizado implica um forte crescimento da recolha, utilização e transferência dos dados pessoais de uma forma extremamente complexa e não transparente. Muitas vezes, as pessoas, não têm conhecimento ou não compreendem como isso acontece, quem recolhe os seus dados, nem como se pode exercer algum controlo. Um exemplo ilustrativo deste fenómeno é o acompanhamento, por parte dos fornecedores de redes de publicidade, das actividades de navegação das pessoas, através de cookies ou de dispositivos semelhantes, para efeitos de publicidade direccionada. Quando os utilizadores visitam os sítios Internet, não esperam que terceiros, de que não se apercebem, registem essas visitas e criem registos dos utilizadores com base em informações que revelam o estilo de vida destes, ou aquilo de que gostam ou não gostam. |
| --- | --- |

69.

Por um lado, o desenvolvimento de um mundo digitalizado implica um forte crescimento da recolha, utilização e transferência dos dados pessoais de uma forma extremamente complexa e não transparente. Muitas vezes, as pessoas, não têm conhecimento ou não compreendem como isso acontece, quem recolhe os seus dados, nem como se pode exercer algum controlo. Um exemplo ilustrativo deste fenómeno é o acompanhamento, por parte dos fornecedores de redes de publicidade, das actividades de navegação das pessoas, através de cookies ou de dispositivos semelhantes, para efeitos de publicidade direccionada. Quando os utilizadores visitam os sítios Internet, não esperam que terceiros, de que não se apercebem, registem essas visitas e criem registos dos utilizadores com base em informações que revelam o estilo de vida destes, ou aquilo de que gostam ou não gostam.

| 70. | Por outro lado, esta evolução estimula a partilha proactiva de informações pessoais entre os indivíduos, por exemplo nas redes sociais. Cada vez mais, os jovens fazem parte de uma rede social e interagem com os seus pares. É duvidoso que os jovens e outras pessoas estejam cientes da amplitude da difusão dos seus dados e dos efeitos a longo prazo das suas acções. |
| --- | --- |

70.

Por outro lado, esta evolução estimula a partilha proactiva de informações pessoais entre os indivíduos, por exemplo nas redes sociais. Cada vez mais, os jovens fazem parte de uma rede social e interagem com os seus pares. É duvidoso que os jovens e outras pessoas estejam cientes da amplitude da difusão dos seus dados e dos efeitos a longo prazo das suas acções.

6.2.   Aumentar a transparência

| 71. | A transparência tem enorme importância em qualquer regime de protecção de dados, não só devido ao seu valor intrínseco, mas também porque permite o exercício de outros princípios de protecção de dados. As pessoas só poderão exercer os seus direitos se tiverem conhecimento do tratamento de dados. |
| --- | --- |

71.

A transparência tem enorme importância em qualquer regime de protecção de dados, não só devido ao seu valor intrínseco, mas também porque permite o exercício de outros princípios de protecção de dados. As pessoas só poderão exercer os seus direitos se tiverem conhecimento do tratamento de dados.

| 72. | A Directiva 95/46/CE contém várias disposições relativas à transparência. Os artigos 10.o e 11.o prevêem a obrigação de fornecer informações às pessoas sobre a recolha dos seus dados pessoais. Além disso, o artigo 12.o reconhece às pessoas em causa o direito de obterem uma cópia dos seus dados pessoais sob forma inteligível (direito de acesso). O artigo 15.o reconhece o direito de conhecer a lógica subjacente às decisões automatizadas que produzem efeitos na sua esfera jurídica. Em último lugar, mas não menos importante, o artigo 6.o, n.o 1, alínea a), que exige que o tratamento seja leal, também implica um requisito de transparência. Os dados pessoais não podem ser tratados por razões ocultas ou secretas. |
| --- | --- |

72.

A Directiva 95/46/CE contém várias disposições relativas à transparência. Os artigos 10.o e 11.o prevêem a obrigação de fornecer informações às pessoas sobre a recolha dos seus dados pessoais. Além disso, o artigo 12.o reconhece às pessoas em causa o direito de obterem uma cópia dos seus dados pessoais sob forma inteligível (direito de acesso). O artigo 15.o reconhece o direito de conhecer a lógica subjacente às decisões automatizadas que produzem efeitos na sua esfera jurídica. Em último lugar, mas não menos importante, o artigo 6.o, n.o 1, alínea a), que exige que o tratamento seja leal, também implica um requisito de transparência. Os dados pessoais não podem ser tratados por razões ocultas ou secretas.

| 73. | A Comunicação sugere que se acrescente um princípio geral de transparência. Em reacção a esta sugestão, a EDPS salienta que o conceito de transparência já faz parte do actual quadro normativo em matéria de protecção de dados, ainda que de forma implícita. Isto pode ser deduzido das diversas disposições respeitantes à transparência, mencionadas no número anterior. No entender da EDPS, a inclusão de um princípio de transparência explícito, ligado ou não à disposição existente de tratamento leal, poderia ter valor acrescentado. Ele aumentaria a segurança jurídica, além de confirmar que um responsável pelo tratamento deve tratar os dados pessoais de forma transparente em todas as circunstâncias e não apenas quando isso lhe é pedido, ou quando uma disposição jurídica específica lho exija. |
| --- | --- |

73.

A Comunicação sugere que se acrescente um princípio geral de transparência. Em reacção a esta sugestão, a EDPS salienta que o conceito de transparência já faz parte do actual quadro normativo em matéria de protecção de dados, ainda que de forma implícita. Isto pode ser deduzido das diversas disposições respeitantes à transparência, mencionadas no número anterior. No entender da EDPS, a inclusão de um princípio de transparência explícito, ligado ou não à disposição existente de tratamento leal, poderia ter valor acrescentado. Ele aumentaria a segurança jurídica, além de confirmar que um responsável pelo tratamento deve tratar os dados pessoais de forma transparente em todas as circunstâncias e não apenas quando isso lhe é pedido, ou quando uma disposição jurídica específica lho exija.

| 74. | Contudo, talvez seja mais importante reforçar as actuais disposições em matéria de transparência, como os actuais artigos 10.o e 11.o da Directiva 95/46/CE. Essas disposições especificam os elementos de informação que devem ser fornecidos, mas não indicam de forma precisa as modalidades desse fornecimento. Mais concretamente, a EDPS sugere que as disposições actuais sejam reforçadas por meio de:






  — | um requisito para que os responsáveis pelo tratamento forneçam informações sobre o tratamento de dados de maneira acessível e fácil de compreender, numa linguagem clara e simples (38). As informações devem ser claras, conspícuas e visíveis. A disposição também poderia incluir a obrigação de garantir uma compreensão fácil das informações, que ilegalizaria os regimes de privacidade opacos ou difíceis de entender, |
| --- | --- | --- |

74.

Contudo, talvez seja mais importante reforçar as actuais disposições em matéria de transparência, como os actuais artigos 10.o e 11.o da Directiva 95/46/CE. Essas disposições especificam os elementos de informação que devem ser fornecidos, mas não indicam de forma precisa as modalidades desse fornecimento. Mais concretamente, a EDPS sugere que as disposições actuais sejam reforçadas por meio de:

—

um requisito para que os responsáveis pelo tratamento forneçam informações sobre o tratamento de dados de maneira acessível e fácil de compreender, numa linguagem clara e simples (38). As informações devem ser claras, conspícuas e visíveis. A disposição também poderia incluir a obrigação de garantir uma compreensão fácil das informações, que ilegalizaria os regimes de privacidade opacos ou difíceis de entender,

| — | um requisito para que as informações sejam facultadas às pessoas em causa de forma fácil e directa. As informações também devem estar permanentemente acessíveis e não desaparecer ao fim de muito pouco tempo de um suporte electrónico. Isto ajudaria os utilizadores a armazenarem e reproduzirem as informações futuramente, permitindo um acesso ulterior. |
| --- | --- |

—

um requisito para que as informações sejam facultadas às pessoas em causa de forma fácil e directa. As informações também devem estar permanentemente acessíveis e não desaparecer ao fim de muito pouco tempo de um suporte electrónico. Isto ajudaria os utilizadores a armazenarem e reproduzirem as informações futuramente, permitindo um acesso ulterior.

6.3.   Apoio a uma obrigação de comunicar as violações da segurança

| 75. | A EDPS apoia a introdução no diploma geral de uma disposição sobre a notificação das violações dos dados pessoais que alargue a todos os responsáveis pelo tratamento a obrigação aplicável a alguns prestadores que foi incluída na Directiva Privacidade e Comunicações Electrónicas revista, tal como é proposto na Comunicação. Nos termos da Directiva Privacidade e Comunicações Electrónicas revista, a obrigação só é aplicável aos prestadores de serviços de comunicações electrónicas (serviços de telefonia (incluindo VoIP) e acesso à Internet). Os outros responsáveis pelo tratamento de dados não estão abrangidos por essa obrigação, mas os motivos que a justificam são inteiramente aplicáveis a outros responsáveis pelo tratamento para além dos prestadores de serviços de comunicações electrónicas. |
| --- | --- |

75.

A EDPS apoia a introdução no diploma geral de uma disposição sobre a notificação das violações dos dados pessoais que alargue a todos os responsáveis pelo tratamento a obrigação aplicável a alguns prestadores que foi incluída na Directiva Privacidade e Comunicações Electrónicas revista, tal como é proposto na Comunicação. Nos termos da Directiva Privacidade e Comunicações Electrónicas revista, a obrigação só é aplicável aos prestadores de serviços de comunicações electrónicas (serviços de telefonia (incluindo VoIP) e acesso à Internet). Os outros responsáveis pelo tratamento de dados não estão abrangidos por essa obrigação, mas os motivos que a justificam são inteiramente aplicáveis a outros responsáveis pelo tratamento para além dos prestadores de serviços de comunicações electrónicas.

| 76. | A notificação das violações da segurança tem diversos fins e objectivos. O mais evidente, que a Comunicação destaca, é servir de instrumento de informação para sensibilizar as pessoas em relação aos riscos que enfrentam quando os seus dados pessoais são comprometidos. Isso poderá contribuir para que tomem as medidas necessárias para reduzirem esses riscos. Por exemplo, quando alertadas para violações que afectem as suas informações financeiras, as pessoas poderão, nomeadamente, alterar as palavras-passe ou cancelar as suas contas. Além disso, a notificação das violações da segurança contribui para a aplicação eficaz de outros princípios e obrigações contidos na directiva. Por exemplo, os requisitos de notificação das violações da segurança incentivam os responsáveis pelo tratamento a aplicar medidas de segurança mais fortes para prevenirem tais violações. A notificação das violações da segurança também é um instrumento para reforçar a responsabilidade dos responsáveis pelo tratamento e, muito em especial, para aumentar a sua responsabilização (ver Capítulo 7). Por último, é um instrumento que auxilia a aplicação da lei pelas APD. A notificação de uma violação a essas autoridades pode levar à investigação das práticas globais de um responsável pelo tratamento. |
| --- | --- |

76.

A notificação das violações da segurança tem diversos fins e objectivos. O mais evidente, que a Comunicação destaca, é servir de instrumento de informação para sensibilizar as pessoas em relação aos riscos que enfrentam quando os seus dados pessoais são comprometidos. Isso poderá contribuir para que tomem as medidas necessárias para reduzirem esses riscos. Por exemplo, quando alertadas para violações que afectem as suas informações financeiras, as pessoas poderão, nomeadamente, alterar as palavras-passe ou cancelar as suas contas. Além disso, a notificação das violações da segurança contribui para a aplicação eficaz de outros princípios e obrigações contidos na directiva. Por exemplo, os requisitos de notificação das violações da segurança incentivam os responsáveis pelo tratamento a aplicar medidas de segurança mais fortes para prevenirem tais violações. A notificação das violações da segurança também é um instrumento para reforçar a responsabilidade dos responsáveis pelo tratamento e, muito em especial, para aumentar a sua responsabilização (ver Capítulo 7). Por último, é um instrumento que auxilia a aplicação da lei pelas APD. A notificação de uma violação a essas autoridades pode levar à investigação das práticas globais de um responsável pelo tratamento.

| 77. | As normas específicas sobre a violação da segurança previstas na Directiva Privacidade e Comunicações Electrónicas alterada foram amplamente debatidas durante a fase parlamentar do quadro legislativo que antecedeu a adopção dessa directiva. Nesse debate, os pareceres do Grupo de Trabalho do Artigo 29.o e da EDPS foram tomados em consideração, juntamente com as opiniões de outras partes interessadas, pelo que as normas reflectem as ideias das diversas partes. Representam, assim, um equilíbrio de interesses: embora os critérios que desencadeiam a obrigação de notificar sejam, em princípio, adequados para proteger as pessoas, fazem-no sem impor requisitos excessivamente pesados e inúteis. |
| --- | --- |

77.

As normas específicas sobre a violação da segurança previstas na Directiva Privacidade e Comunicações Electrónicas alterada foram amplamente debatidas durante a fase parlamentar do quadro legislativo que antecedeu a adopção dessa directiva. Nesse debate, os pareceres do Grupo de Trabalho do Artigo 29.o e da EDPS foram tomados em consideração, juntamente com as opiniões de outras partes interessadas, pelo que as normas reflectem as ideias das diversas partes. Representam, assim, um equilíbrio de interesses: embora os critérios que desencadeiam a obrigação de notificar sejam, em princípio, adequados para proteger as pessoas, fazem-no sem impor requisitos excessivamente pesados e inúteis.

6.4.   Reforçar o consentimento

| 78. | O artigo 7.o da Directiva relativa à protecção de dados enumera seis bases jurídicas para o tratamento de dados pessoais. O consentimento da pessoa em causa é uma delas. Um responsável pelo tratamento pode tratar dados pessoais desde que as pessoas tenham dado o seu consentimento informado para que os seus dados sejam recolhidos e tratados. |
| --- | --- |

78.

O artigo 7.o da Directiva relativa à protecção de dados enumera seis bases jurídicas para o tratamento de dados pessoais. O consentimento da pessoa em causa é uma delas. Um responsável pelo tratamento pode tratar dados pessoais desde que as pessoas tenham dado o seu consentimento informado para que os seus dados sejam recolhidos e tratados.

| 79. | Na prática, os utilizadores têm, muitas vezes, um controlo limitado em relação aos seus dados, sobretudo em ambientes tecnológicos. Um dos métodos por vezes utilizado é o consentimento tácito, ou seja um consentimento que tenha sido inferido. Pode ser inferido da acção da pessoa em causa (por exemplo, considera-se que a acção de utilizar um sítio Internet consente que os dados do utilizador sejam registados para efeitos de marketing). Também pode ser inferido do silêncio ou da inacção (não eliminar o sinal de um campo assinalado é entendido como um consentimento). |
| --- | --- |

79.

Na prática, os utilizadores têm, muitas vezes, um controlo limitado em relação aos seus dados, sobretudo em ambientes tecnológicos. Um dos métodos por vezes utilizado é o consentimento tácito, ou seja um consentimento que tenha sido inferido. Pode ser inferido da acção da pessoa em causa (por exemplo, considera-se que a acção de utilizar um sítio Internet consente que os dados do utilizador sejam registados para efeitos de marketing). Também pode ser inferido do silêncio ou da inacção (não eliminar o sinal de um campo assinalado é entendido como um consentimento).

| 80. | Nos termos da directiva, o consentimento, para ser válido, deve ser informado, livre e específico. Deve ser uma manifestação de vontade informada pela qual as pessoas aceitam que dados pessoais que lhes dizem respeito sejam objecto de tratamento. A forma como o consentimento é dado deve ser inequívoca. |
| --- | --- |

80.

Nos termos da directiva, o consentimento, para ser válido, deve ser informado, livre e específico. Deve ser uma manifestação de vontade informada pela qual as pessoas aceitam que dados pessoais que lhes dizem respeito sejam objecto de tratamento. A forma como o consentimento é dado deve ser inequívoca.

| 81. | O consentimento inferido a partir de uma acção e, muito em especial, do silêncio ou da inacção não é, frequentemente, um consentimento inequívoco. Contudo, aquilo que constitui um consentimento verdadeiro e inequívoco nem sempre é claro. Alguns responsáveis pelo tratamento exploram esta incerteza recorrendo a métodos que não são adequados para se obter um consentimento verdadeiro e inequívoco. |
| --- | --- |

81.

O consentimento inferido a partir de uma acção e, muito em especial, do silêncio ou da inacção não é, frequentemente, um consentimento inequívoco. Contudo, aquilo que constitui um consentimento verdadeiro e inequívoco nem sempre é claro. Alguns responsáveis pelo tratamento exploram esta incerteza recorrendo a métodos que não são adequados para se obter um consentimento verdadeiro e inequívoco.

| 82. | Tendo em conta o que precede, a EDPS apoia a Comissão no que diz respeito à necessidade de clarificar os limites do consentimento e de velar por que só o consentimento manifestado de forma sólida seja assim considerado. Neste contexto, a EDPS sugere o seguinte (39):






  — | poderá ponderar-se a possibilidade de prever um maior número de situações em que o consentimento explícito seja exigido, e que actualmente estão limitadas aos dados sensíveis, |
| --- | --- | --- |

82.

Tendo em conta o que precede, a EDPS apoia a Comissão no que diz respeito à necessidade de clarificar os limites do consentimento e de velar por que só o consentimento manifestado de forma sólida seja assim considerado. Neste contexto, a EDPS sugere o seguinte (39):

—

poderá ponderar-se a possibilidade de prever um maior número de situações em que o consentimento explícito seja exigido, e que actualmente estão limitadas aos dados sensíveis,

| — | que se adoptem normas suplementares relativas ao consentimento no ambiente em linha, |
| --- | --- |

—

que se adoptem normas suplementares relativas ao consentimento no ambiente em linha,

| — | que se adoptem normas suplementares relativas ao consentimento para que os dados sejam tratados para fins secundários (isto é, um tratamento secundário em relação ao tratamento principal ou um tratamento que não é óbvio), |
| --- | --- |

—

que se adoptem normas suplementares relativas ao consentimento para que os dados sejam tratados para fins secundários (isto é, um tratamento secundário em relação ao tratamento principal ou um tratamento que não é óbvio),

| — | que se determine, num diploma legislativo suplementar, adoptado ou não pela Comissão ao abrigo do artigo 290.o TFUE, o tipo de consentimento necessário, por exemplo, para autorizar o tratamento de dados provenientes de etiquetas RFID apostas a produtos de consumo ou outras técnicas específicas. |
| --- | --- |

—

que se determine, num diploma legislativo suplementar, adoptado ou não pela Comissão ao abrigo do artigo 290.o TFUE, o tipo de consentimento necessário, por exemplo, para autorizar o tratamento de dados provenientes de etiquetas RFID apostas a produtos de consumo ou outras técnicas específicas.

6.5.   Portabilidade dos dados e direito a ser esquecido

| 83. | A portabilidade dos dados e o direito a ser esquecido são dois conceitos conexos que a Comunicação propõe para reforçar os direitos das pessoas em causa. São complementares aos princípios já mencionados na directiva, prevendo o direito de a pessoa em causa se opor ao tratamento dos seus dados pessoais e a obrigação do responsável pelo tratamento de apagar a informação assim que esta deixe de ser necessária para a finalidade do tratamento. |
| --- | --- |

83.

A portabilidade dos dados e o direito a ser esquecido são dois conceitos conexos que a Comunicação propõe para reforçar os direitos das pessoas em causa. São complementares aos princípios já mencionados na directiva, prevendo o direito de a pessoa em causa se opor ao tratamento dos seus dados pessoais e a obrigação do responsável pelo tratamento de apagar a informação assim que esta deixe de ser necessária para a finalidade do tratamento.

| 84. | O valor acrescentado destes dois conceitos verifica-se sobretudo no contexto de uma sociedade da informação, em que cada vez mais dados são automaticamente armazenados e conservados por períodos indefinidos. A prática mostra que, mesmo que os dados sejam carregados pela pessoa em causa, o grau de controlo que esta efectivamente tem sobre os seus dados pessoais é, na realidade, muito limitado. Isto ainda é mais verdadeiro face à memória gigantesca que a Internet actualmente representa. Além disso, de um ponto de vista económico, fica mais caro a um responsável pelo tratamento apagar os dados do que conservá-los armazenados. O exercício dos direitos das pessoas em causa contraria, assim, a tendência económica natural. |
| --- | --- |

84.

O valor acrescentado destes dois conceitos verifica-se sobretudo no contexto de uma sociedade da informação, em que cada vez mais dados são automaticamente armazenados e conservados por períodos indefinidos. A prática mostra que, mesmo que os dados sejam carregados pela pessoa em causa, o grau de controlo que esta efectivamente tem sobre os seus dados pessoais é, na realidade, muito limitado. Isto ainda é mais verdadeiro face à memória gigantesca que a Internet actualmente representa. Além disso, de um ponto de vista económico, fica mais caro a um responsável pelo tratamento apagar os dados do que conservá-los armazenados. O exercício dos direitos das pessoas em causa contraria, assim, a tendência económica natural.

| 85. | Tanto a portabilidade dos dados como o direito a ser esquecido podem contribuir para alterar o equilíbrio a favor da pessoa em causa. O objectivo da portabilidade dos dados seria dar às pessoas um maior controlo sobre as informações que lhes dizem respeito, enquanto o direito a ser esquecido garantiria o desaparecimento automático das informações ao fim de um certo período, mesmo que a pessoa em causa nada faça para isso, nem esteja sequer ciente de que os dados chegaram a ser armazenados. |
| --- | --- |

85.

Tanto a portabilidade dos dados como o direito a ser esquecido podem contribuir para alterar o equilíbrio a favor da pessoa em causa. O objectivo da portabilidade dos dados seria dar às pessoas um maior controlo sobre as informações que lhes dizem respeito, enquanto o direito a ser esquecido garantiria o desaparecimento automático das informações ao fim de um certo período, mesmo que a pessoa em causa nada faça para isso, nem esteja sequer ciente de que os dados chegaram a ser armazenados.

| 86. | Mais especificamente, entende-se por portabilidade dos dados a capacidade dos utilizadores de alterarem as suas preferências quanto ao tratamento dos dados que lhes dizem respeito, em particular no âmbito dos novos serviços tecnológicos. Isto aplica-se, cada vez mais, aos serviços que implicam o armazenamento de informações, incluindo dados pessoais, como a telefonia móvel, e aos que armazenam imagens, mensagens de correio electrónico e outras informações, por vezes utilizando serviços de «computação em nuvem». |
| --- | --- |

86.

Mais especificamente, entende-se por portabilidade dos dados a capacidade dos utilizadores de alterarem as suas preferências quanto ao tratamento dos dados que lhes dizem respeito, em particular no âmbito dos novos serviços tecnológicos. Isto aplica-se, cada vez mais, aos serviços que implicam o armazenamento de informações, incluindo dados pessoais, como a telefonia móvel, e aos que armazenam imagens, mensagens de correio electrónico e outras informações, por vezes utilizando serviços de «computação em nuvem».

| 87. | As pessoas devem poder mudar de prestador de serviços e transferir os seus dados pessoais para outro prestador com toda a liberdade e facilidade. A EDPS considera que os actuais direitos previstos na Directiva 95/46/CE poderiam ser reforçados pela inclusão de um direito de portabilidade, nomeadamente no contexto dos serviços da sociedade da informação, para que as pessoas possam estar seguras de que os prestadores de serviços e outros responsáveis pelo tratamento em causa lhes facultam o acesso às suas informações pessoais e, simultaneamente, os antigos prestadores ou outros responsáveis pelo tratamento apagam essas informações, mesmo que desejassem conservá-las para os seus próprios fins legítimos. |
| --- | --- |

87.

As pessoas devem poder mudar de prestador de serviços e transferir os seus dados pessoais para outro prestador com toda a liberdade e facilidade. A EDPS considera que os actuais direitos previstos na Directiva 95/46/CE poderiam ser reforçados pela inclusão de um direito de portabilidade, nomeadamente no contexto dos serviços da sociedade da informação, para que as pessoas possam estar seguras de que os prestadores de serviços e outros responsáveis pelo tratamento em causa lhes facultam o acesso às suas informações pessoais e, simultaneamente, os antigos prestadores ou outros responsáveis pelo tratamento apagam essas informações, mesmo que desejassem conservá-las para os seus próprios fins legítimos.

| 88. | A codificação de um novo «direito a ser esquecido» permitiria garantir o apagamento dos dados pessoais ou a proibição de serem posteriormente utilizados, sem que a pessoa em causa tivesse de actuar nesse sentido, mas na condição de esses dados já estarem armazenados há algum tempo. Por outras palavras, atribuir-se-ia aos dados uma espécie de prazo de validade. Este princípio já é afirmado em processos dos tribunais nacionais ou aplicado em sectores específicos, por exemplo, em relação aos ficheiros policiais, registos criminais ou processos disciplinares: algumas legislações nacionais prevêem que as informações sobre pessoas singulares sejam automaticamente apagadas, ou não possam ser posteriormente utilizadas e divulgadas, sobretudo após um prazo estabelecido, sem que seja necessário analisar previamente os casos concretos. |
| --- | --- |

88.

A codificação de um novo «direito a ser esquecido» permitiria garantir o apagamento dos dados pessoais ou a proibição de serem posteriormente utilizados, sem que a pessoa em causa tivesse de actuar nesse sentido, mas na condição de esses dados já estarem armazenados há algum tempo. Por outras palavras, atribuir-se-ia aos dados uma espécie de prazo de validade. Este princípio já é afirmado em processos dos tribunais nacionais ou aplicado em sectores específicos, por exemplo, em relação aos ficheiros policiais, registos criminais ou processos disciplinares: algumas legislações nacionais prevêem que as informações sobre pessoas singulares sejam automaticamente apagadas, ou não possam ser posteriormente utilizadas e divulgadas, sobretudo após um prazo estabelecido, sem que seja necessário analisar previamente os casos concretos.

| 89. | Neste sentido, deveria associar-se um novo «direito a ser esquecido» à portabilidade dos dados. O valor acrescentado desta medida residiria no facto de a pessoa em causa não necessitar de realizar qualquer esforço ou insistência para os seus dados serem apagados, uma vez que isso seria feito de forma objectiva e automática. Só em circunstâncias muito específicas, em que fosse possível determinar uma especial necessidade de conservar os dados por mais tempo, o responsável pelo tratamento teria direito a fazê-lo. Esse «direito a ser esquecido» inverteria, assim, o ónus da prova, transferindo-o da pessoa em causa para o responsável pelo tratamento, e criaria um ambiente de «privacidade por defeito» para o tratamento de dados pessoais. |
| --- | --- |

89.

Neste sentido, deveria associar-se um novo «direito a ser esquecido» à portabilidade dos dados. O valor acrescentado desta medida residiria no facto de a pessoa em causa não necessitar de realizar qualquer esforço ou insistência para os seus dados serem apagados, uma vez que isso seria feito de forma objectiva e automática. Só em circunstâncias muito específicas, em que fosse possível determinar uma especial necessidade de conservar os dados por mais tempo, o responsável pelo tratamento teria direito a fazê-lo. Esse «direito a ser esquecido» inverteria, assim, o ónus da prova, transferindo-o da pessoa em causa para o responsável pelo tratamento, e criaria um ambiente de «privacidade por defeito» para o tratamento de dados pessoais.

| 90. | A EDPS considera que o direito a ser esquecido se poderia revelar particularmente útil no contexto dos serviços da sociedade da informação. Uma obrigação de apagar ou de não continuar a divulgar as informações após um prazo estabelecido faz particular sentido nos meios de comunicação social ou na Internet e, nomeadamente, nas redes sociais. Também seria útil no que diz respeito aos equipamentos terminais: os dados armazenados em dispositivos móveis e computadores seriam automaticamente apagados ou bloqueados no fim de um determinado período, quando já não estivessem na posse das pessoas. Nesse sentido, o direito a ser esquecido pode traduzir-se numa obrigação de «privacidade desde a concepção». |
| --- | --- |

90.

A EDPS considera que o direito a ser esquecido se poderia revelar particularmente útil no contexto dos serviços da sociedade da informação. Uma obrigação de apagar ou de não continuar a divulgar as informações após um prazo estabelecido faz particular sentido nos meios de comunicação social ou na Internet e, nomeadamente, nas redes sociais. Também seria útil no que diz respeito aos equipamentos terminais: os dados armazenados em dispositivos móveis e computadores seriam automaticamente apagados ou bloqueados no fim de um determinado período, quando já não estivessem na posse das pessoas. Nesse sentido, o direito a ser esquecido pode traduzir-se numa obrigação de «privacidade desde a concepção».

| 91. | Em suma, a EDPS considera que a portabilidade dos dados e o direito a ser esquecido são conceitos úteis. Valeria a pena incluí-los no diploma, mas limitando-os, provavelmente, ao ambiente electrónico. |
| --- | --- |

91.

Em suma, a EDPS considera que a portabilidade dos dados e o direito a ser esquecido são conceitos úteis. Valeria a pena incluí-los no diploma, mas limitando-os, provavelmente, ao ambiente electrónico.

6.6.   Tratamento de dados pessoais relativos a crianças

| 92. | A Directiva 95/46/CE não prevê normas específicas em relação ao tratamento dos dados pessoais de crianças. Não se reconhece, assim, a necessidade de uma protecção específica das crianças em determinadas circunstâncias, devido à sua vulnerabilidade e à insegurança jurídica que suscita, designadamente nos seguintes domínios:






  — | a recolha de dados de crianças e a forma como estas devem ser informadas sobre essa recolha, |
| --- | --- | --- |

92.

A Directiva 95/46/CE não prevê normas específicas em relação ao tratamento dos dados pessoais de crianças. Não se reconhece, assim, a necessidade de uma protecção específica das crianças em determinadas circunstâncias, devido à sua vulnerabilidade e à insegurança jurídica que suscita, designadamente nos seguintes domínios:

—

a recolha de dados de crianças e a forma como estas devem ser informadas sobre essa recolha,

| — | a forma como o consentimento das crianças é obtido. Devido à inexistência de normas específicas sobre a forma de obter o consentimento das crianças e a idade em que estas devem ser como tal consideradas, este assunto é tratado no âmbito do direito nacional, que difere consoante os Estados-Membros (40), |
| --- | --- |

—

a forma como o consentimento das crianças é obtido. Devido à inexistência de normas específicas sobre a forma de obter o consentimento das crianças e a idade em que estas devem ser como tal consideradas, este assunto é tratado no âmbito do direito nacional, que difere consoante os Estados-Membros (40),

| — | a forma e as condições em que as crianças, ou os seus representantes legais, podem exercer os direitos que lhes são outorgados pela directiva. |
| --- | --- |

—

a forma e as condições em que as crianças, ou os seus representantes legais, podem exercer os direitos que lhes são outorgados pela directiva.

| 93. | A EDPS considera que os interesses específicos das crianças ficariam mais protegidos se o novo diploma contivesse disposições adicionais que focassem especificamente a recolha e o tratamento dos dados de crianças. Essas disposições específicas também forneceriam segurança jurídica neste domínio e beneficiariam os responsáveis pelo tratamento, que actualmente estão expostos a requisitos jurídicos diferentes. |
| --- | --- |

93.

A EDPS considera que os interesses específicos das crianças ficariam mais protegidos se o novo diploma contivesse disposições adicionais que focassem especificamente a recolha e o tratamento dos dados de crianças. Essas disposições específicas também forneceriam segurança jurídica neste domínio e beneficiariam os responsáveis pelo tratamento, que actualmente estão expostos a requisitos jurídicos diferentes.

| 94. | A EDPS sugere que no diploma se incluam as seguintes disposições:






  — | um requisito para que a informação sobre a recolha de dados seja adaptada às crianças, de modo a que estas entendam facilmente o que significa os seus dados serem recolhidos, |
| --- | --- | --- |

94.

A EDPS sugere que no diploma se incluam as seguintes disposições:

—

um requisito para que a informação sobre a recolha de dados seja adaptada às crianças, de modo a que estas entendam facilmente o que significa os seus dados serem recolhidos,

| — | outros requisitos de informação adaptados às crianças, sobre a maneira como as informações devem ser transmitidas e talvez também sobre o seu conteúdo, |
| --- | --- |

—

outros requisitos de informação adaptados às crianças, sobre a maneira como as informações devem ser transmitidas e talvez também sobre o seu conteúdo,

| — | uma disposição específica que proteja as crianças contra a publicidade comportamental, |
| --- | --- |

—

uma disposição específica que proteja as crianças contra a publicidade comportamental,

| — | o princípio de limitação da finalidade deve ser reforçado no caso dos dados de crianças, |
| --- | --- |

—

o princípio de limitação da finalidade deve ser reforçado no caso dos dados de crianças,

| — | algumas categorias de dados nunca devem ser recolhidas junto de crianças, |
| --- | --- |

—

algumas categorias de dados nunca devem ser recolhidas junto de crianças,

| — | um limite de idade. Abaixo desse limite, em regra, só se poderiam recolher informações junto de crianças com o consentimento explícito e verificável dos pais, |
| --- | --- |

—

um limite de idade. Abaixo desse limite, em regra, só se poderiam recolher informações junto de crianças com o consentimento explícito e verificável dos pais,

| — | se o consentimento parental for necessário, haverá que estabelecer normas sobre o modo de verificar a idade da criança, ou seja, saber se ela é menor, e a maneira de verificar o consentimento dos pais. Este é um domínio em que a UE se pode inspirar noutros países, por exemplo nos Estados Unidos (41). |
| --- | --- |

—

se o consentimento parental for necessário, haverá que estabelecer normas sobre o modo de verificar a idade da criança, ou seja, saber se ela é menor, e a maneira de verificar o consentimento dos pais. Este é um domínio em que a UE se pode inspirar noutros países, por exemplo nos Estados Unidos (41).

6.7.   Mecanismos colectivos de recurso

| 95. | De nada servirá reforçar a substância dos direitos das pessoas se não existirem mecanismos processuais eficazes para aplicar esses direitos. A EDPS recomenda, assim, que se introduzam na legislação da UE mecanismos colectivos de recurso para as violações das normas de protecção de dados. Os mecanismos colectivos de recurso, em especial, ao permitirem que grupos de cidadãos combinem as suas reclamações numa única acção, poderiam constituir um instrumento muito poderoso para facilitar a aplicação das normas de protecção de dados (42). Esta inovação também é apoiada pelas autoridades responsáveis pela protecção de dados no documento do Grupo de Trabalho sobre o Futuro da Privacidade. |
| --- | --- |

95.

De nada servirá reforçar a substância dos direitos das pessoas se não existirem mecanismos processuais eficazes para aplicar esses direitos. A EDPS recomenda, assim, que se introduzam na legislação da UE mecanismos colectivos de recurso para as violações das normas de protecção de dados. Os mecanismos colectivos de recurso, em especial, ao permitirem que grupos de cidadãos combinem as suas reclamações numa única acção, poderiam constituir um instrumento muito poderoso para facilitar a aplicação das normas de protecção de dados (42). Esta inovação também é apoiada pelas autoridades responsáveis pela protecção de dados no documento do Grupo de Trabalho sobre o Futuro da Privacidade.

| 96. | Em casos com menos impacto, é pouco provável que as vítimas de uma violação das normas de protecção de dados intentem acções individuais contra os responsáveis pelo tratamento, devido aos custos, atrasos, incertezas, riscos e dificuldades a que ficariam expostos. Estas dificuldades poderiam ser superadas ou substancialmente reduzidas se existisse um sistema colectivo de recurso que permitisse agregar as acções individuais das vítimas de tais violações numa acção única. A EDPS também seria favorável à concessão de poderes a entidades qualificadas, como associações de consumidores ou organismos públicos, para intentarem acções por perdas e danos em nome das vítimas de violação das normas de protecção de dados. Essas acções em nada prejudicariam o direito das pessoas em causa a intentarem acções individuais. |
| --- | --- |

96.

Em casos com menos impacto, é pouco provável que as vítimas de uma violação das normas de protecção de dados intentem acções individuais contra os responsáveis pelo tratamento, devido aos custos, atrasos, incertezas, riscos e dificuldades a que ficariam expostos. Estas dificuldades poderiam ser superadas ou substancialmente reduzidas se existisse um sistema colectivo de recurso que permitisse agregar as acções individuais das vítimas de tais violações numa acção única. A EDPS também seria favorável à concessão de poderes a entidades qualificadas, como associações de consumidores ou organismos públicos, para intentarem acções por perdas e danos em nome das vítimas de violação das normas de protecção de dados. Essas acções em nada prejudicariam o direito das pessoas em causa a intentarem acções individuais.

| 97. | As acções colectivas não só são importantes para garantir a indemnização ou outra acção de reparação como exercem, indirectamente, uma função dissuasória. O risco de incorrer no pagamento de onerosas indemnizações colectivas em tais acções constituiria um incentivo acrescido para os responsáveis pelo tratamento se empenharem em garantir o cumprimento das normas. Neste aspecto, o reforço da aplicação da lei pelos particulares graças aos mecanismos colectivos de recurso complementaria a sua aplicação pelas autoridades públicas. |
| --- | --- |

97.

As acções colectivas não só são importantes para garantir a indemnização ou outra acção de reparação como exercem, indirectamente, uma função dissuasória. O risco de incorrer no pagamento de onerosas indemnizações colectivas em tais acções constituiria um incentivo acrescido para os responsáveis pelo tratamento se empenharem em garantir o cumprimento das normas. Neste aspecto, o reforço da aplicação da lei pelos particulares graças aos mecanismos colectivos de recurso complementaria a sua aplicação pelas autoridades públicas.

| 98. | A Comunicação não se pronuncia sobre este tema. A EDPS está ciente do actual debate a nível europeu sobre a introdução da tutela colectiva dos consumidores. Está igualmente ciente do risco de excessos que esses mecanismos podem ocasionar, com base na experiência de outros sistemas jurídicos. Contudo, estes factores não constituem, no seu entender, argumentos suficientes para rejeitar ou adiar a introdução desses mecanismos na legislação de protecção de dados, tendo em conta os benefícios que implicariam (43). |
| --- | --- |

98.

A Comunicação não se pronuncia sobre este tema. A EDPS está ciente do actual debate a nível europeu sobre a introdução da tutela colectiva dos consumidores. Está igualmente ciente do risco de excessos que esses mecanismos podem ocasionar, com base na experiência de outros sistemas jurídicos. Contudo, estes factores não constituem, no seu entender, argumentos suficientes para rejeitar ou adiar a introdução desses mecanismos na legislação de protecção de dados, tendo em conta os benefícios que implicariam (43).

7.   Reforço do papel das organizações/responsáveis pelo tratamento

7.1.   Generalidades

| 99. | A EDPS considera que, para além de reforçar os direitos das pessoas, um diploma moderno em matéria de protecção de dados deve conter os instrumentos necessários para aumentar a responsabilização dos responsáveis pelo tratamento. Especificamente, o quadro normativo deve conter incentivos para que estes responsáveis, tanto do sector privado como do sector público, tomem a iniciativa de incluir medidas de protecção de dados nos seus processos operacionais. Em primeiro lugar, esses instrumentos seriam úteis porque, como já foi dito, os avanços tecnológicos provocaram um forte crescimento da recolha, utilização e transferência dos dados pessoais, aumentando os riscos para a privacidade e a protecção desses dados, os quais devem ser eficazmente compensados. Em segundo lugar, o quadro actual não possui tais instrumentos, excepto em algumas disposições bem definidas (ver infra), e os responsáveis pelo tratamento podem adoptar uma abordagem reactiva em matéria de protecção de dados e privacidade, só agindo depois de ocorrer um problema. Esta abordagem reflecte-se nas estatísticas, reveladoras de que as más práticas de aplicação da lei e as perdas de dados são problemas recorrentes. |
| --- | --- |

99.

A EDPS considera que, para além de reforçar os direitos das pessoas, um diploma moderno em matéria de protecção de dados deve conter os instrumentos necessários para aumentar a responsabilização dos responsáveis pelo tratamento. Especificamente, o quadro normativo deve conter incentivos para que estes responsáveis, tanto do sector privado como do sector público, tomem a iniciativa de incluir medidas de protecção de dados nos seus processos operacionais. Em primeiro lugar, esses instrumentos seriam úteis porque, como já foi dito, os avanços tecnológicos provocaram um forte crescimento da recolha, utilização e transferência dos dados pessoais, aumentando os riscos para a privacidade e a protecção desses dados, os quais devem ser eficazmente compensados. Em segundo lugar, o quadro actual não possui tais instrumentos, excepto em algumas disposições bem definidas (ver infra), e os responsáveis pelo tratamento podem adoptar uma abordagem reactiva em matéria de protecção de dados e privacidade, só agindo depois de ocorrer um problema. Esta abordagem reflecte-se nas estatísticas, reveladoras de que as más práticas de aplicação da lei e as perdas de dados são problemas recorrentes.

| 100. | No entender da EDPS, o quadro actual não é suficiente para proteger os dados pessoais eficazmente, nas condições presentes e futuras. Quanto maiores são os riscos, maior a necessidade de aplicar medidas concretas que protejam a informação a nível prático e assegurem uma protecção eficaz. Se essas medidas proactivas não forem de facto aplicadas, é provável que continuem a verificar-se erros, contratempos e negligências, pondo em risco a privacidade das pessoas nesta sociedade cada vez mais digital. Para o efeito, a EDPS propõe as medidas seguintes. |
| --- | --- |

100.

No entender da EDPS, o quadro actual não é suficiente para proteger os dados pessoais eficazmente, nas condições presentes e futuras. Quanto maiores são os riscos, maior a necessidade de aplicar medidas concretas que protejam a informação a nível prático e assegurem uma protecção eficaz. Se essas medidas proactivas não forem de facto aplicadas, é provável que continuem a verificar-se erros, contratempos e negligências, pondo em risco a privacidade das pessoas nesta sociedade cada vez mais digital. Para o efeito, a EDPS propõe as medidas seguintes.

7.2.   Reforço da responsabilização dos responsáveis pelo tratamento

| 101. | A EDPS recomenda que no diploma se insira uma nova disposição exigindo que os responsáveis pelo tratamento apliquem medidas adequadas e eficazes para pôr em prática os princípios e as obrigações nele contidas e que o demonstrem a pedido. |
| --- | --- |

101.

A EDPS recomenda que no diploma se insira uma nova disposição exigindo que os responsáveis pelo tratamento apliquem medidas adequadas e eficazes para pôr em prática os princípios e as obrigações nele contidas e que o demonstrem a pedido.

| 102. | Este tipo de disposição não é inteiramente novo. O artigo 6.o, n.o 2, da Directiva 95/46/CE alude aos princípios relativos à qualidade dos dados e refere que «incumbe ao responsável pelo tratamento assegurar a observância do disposto no n.o 1». Do mesmo modo, o artigo 17.o, n.o 1, exige que os responsáveis pelo tratamento ponham em prática medidas de carácter técnico e organizativo. No entanto, essas disposições têm um âmbito limitado. A inserção de uma disposição geral relativa à responsabilização incitaria os responsáveis pelo tratamento a adoptarem medidas proactivas que lhes permitissem cumprir todos os elementos da legislação de protecção de dados. |
| --- | --- |

102.

Este tipo de disposição não é inteiramente novo. O artigo 6.o, n.o 2, da Directiva 95/46/CE alude aos princípios relativos à qualidade dos dados e refere que «incumbe ao responsável pelo tratamento assegurar a observância do disposto no n.o 1». Do mesmo modo, o artigo 17.o, n.o 1, exige que os responsáveis pelo tratamento ponham em prática medidas de carácter técnico e organizativo. No entanto, essas disposições têm um âmbito limitado. A inserção de uma disposição geral relativa à responsabilização incitaria os responsáveis pelo tratamento a adoptarem medidas proactivas que lhes permitissem cumprir todos os elementos da legislação de protecção de dados.

| 103. | Em consequência da disposição relativa à responsabilização, os responsáveis pelo tratamento teriam de adoptar mecanismos e sistemas de controlo internos capazes de garantir o cumprimento dos princípios e obrigações do quadro normativo. Isso exigiria, por exemplo, que os níveis superiores de gestão se envolvessem nos regimes de protecção de dados, que se adoptassem métodos de mapeamento para assegurar a correcta identificação de todas as operações de tratamento de dados, que existissem regimes de protecção de dados vinculativos, constantemente revistos e actualizados de modo a abrangerem novas operações de tratamento de dados, e que se cumprissem os princípios de qualidade, notificação, segurança, acesso, etc., aplicáveis aos dados. Exigiria igualmente que os responsáveis pelo tratamento conservassem elementos comprovativos do cumprimento das normas que pudessem apresentar às autoridades, a pedido destas. A demonstração do cumprimento perante o público em geral também se tornaria, em alguns casos, obrigatória. Para o efeito poder-se-ia, por exemplo, solicitar aos responsáveis pelo tratamento que incluíssem a protecção de dados nos relatórios públicos (anuais) que sejam eventualmente exigidos para outros fins. |
| --- | --- |

103.

Em consequência da disposição relativa à responsabilização, os responsáveis pelo tratamento teriam de adoptar mecanismos e sistemas de controlo internos capazes de garantir o cumprimento dos princípios e obrigações do quadro normativo. Isso exigiria, por exemplo, que os níveis superiores de gestão se envolvessem nos regimes de protecção de dados, que se adoptassem métodos de mapeamento para assegurar a correcta identificação de todas as operações de tratamento de dados, que existissem regimes de protecção de dados vinculativos, constantemente revistos e actualizados de modo a abrangerem novas operações de tratamento de dados, e que se cumprissem os princípios de qualidade, notificação, segurança, acesso, etc., aplicáveis aos dados. Exigiria igualmente que os responsáveis pelo tratamento conservassem elementos comprovativos do cumprimento das normas que pudessem apresentar às autoridades, a pedido destas. A demonstração do cumprimento perante o público em geral também se tornaria, em alguns casos, obrigatória. Para o efeito poder-se-ia, por exemplo, solicitar aos responsáveis pelo tratamento que incluíssem a protecção de dados nos relatórios públicos (anuais) que sejam eventualmente exigidos para outros fins.

| 104. | Evidentemente que os tipos de medidas internas e externas a aplicar devem ser adequados e depender dos factos e circunstâncias de cada caso concreto. É diferente ser responsável pelo tratamento de algumas centenas de registos de clientes que apenas contêm os seus nomes e endereços, ou tratar milhões de registos de doentes, incluindo a respectiva história clínica. O mesmo se aplica às maneiras específicas de avaliar a eficácia das medidas. É necessário haver capacidade de adaptação em termos de escala. |
| --- | --- |

104.

Evidentemente que os tipos de medidas internas e externas a aplicar devem ser adequados e depender dos factos e circunstâncias de cada caso concreto. É diferente ser responsável pelo tratamento de algumas centenas de registos de clientes que apenas contêm os seus nomes e endereços, ou tratar milhões de registos de doentes, incluindo a respectiva história clínica. O mesmo se aplica às maneiras específicas de avaliar a eficácia das medidas. É necessário haver capacidade de adaptação em termos de escala.

| 105. | O diploma legal geral e completo em matéria de protecção de dados não deve definir os requisitos de responsabilização específicos, mas apenas os elementos essenciais desses requisitos. A Comunicação prevê alguns elementos destinados a reforçar a responsabilidade dos responsáveis pelo tratamento, os quais são muito bem-vindos. Muito em particular, a EDPS apoia inteiramente a proposta de tornar obrigatórias a nomeação de responsáveis pela protecção de dados e as avaliações do impacto na privacidade, sujeitas a certos limiares. |
| --- | --- |

105.

O diploma legal geral e completo em matéria de protecção de dados não deve definir os requisitos de responsabilização específicos, mas apenas os elementos essenciais desses requisitos. A Comunicação prevê alguns elementos destinados a reforçar a responsabilidade dos responsáveis pelo tratamento, os quais são muito bem-vindos. Muito em particular, a EDPS apoia inteiramente a proposta de tornar obrigatórias a nomeação de responsáveis pela protecção de dados e as avaliações do impacto na privacidade, sujeitas a certos limiares.

| 106. | Além disso, a EDPS recomenda que se deleguem poderes na Comissão, nos termos do artigo 290.o do TFUE, para complementar os requisitos básicos necessários para dar cumprimento à norma relativa à responsabilização. A utilização desses poderes aumentaria a segurança jurídica dos responsáveis pelo tratamento e harmonizaria o cumprimento das normas em toda a UE. O Grupo de Trabalho do Artigo 29.o e a EDPS deverão ser consultados aquando da elaboração desses instrumentos específicos. |
| --- | --- |

106.

Além disso, a EDPS recomenda que se deleguem poderes na Comissão, nos termos do artigo 290.o do TFUE, para complementar os requisitos básicos necessários para dar cumprimento à norma relativa à responsabilização. A utilização desses poderes aumentaria a segurança jurídica dos responsáveis pelo tratamento e harmonizaria o cumprimento das normas em toda a UE. O Grupo de Trabalho do Artigo 29.o e a EDPS deverão ser consultados aquando da elaboração desses instrumentos específicos.

| 107. | Por último, as medidas de responsabilização concretas a aplicar pelos responsáveis pelo tratamento também poderiam ser impostas pelas autoridades responsáveis pela protecção de dados no contexto dos seus poderes de execução. Para o efeito, devem ser outorgados novos poderes a essas autoridades, que lhes permitam impor medidas correctivas ou sanções. Entre os exemplos devem figurar a criação de programas internos de verificação da conformidade, a aplicação da privacidade desde a concepção em produtos e serviços específicos, etc. As medidas correctivas só devem ser impostas se forem adequadas, proporcionadas e eficazes para garantir o cumprimento das normas jurídicas aplicáveis e executáveis. |
| --- | --- |

107.

Por último, as medidas de responsabilização concretas a aplicar pelos responsáveis pelo tratamento também poderiam ser impostas pelas autoridades responsáveis pela protecção de dados no contexto dos seus poderes de execução. Para o efeito, devem ser outorgados novos poderes a essas autoridades, que lhes permitam impor medidas correctivas ou sanções. Entre os exemplos devem figurar a criação de programas internos de verificação da conformidade, a aplicação da privacidade desde a concepção em produtos e serviços específicos, etc. As medidas correctivas só devem ser impostas se forem adequadas, proporcionadas e eficazes para garantir o cumprimento das normas jurídicas aplicáveis e executáveis.

7.3.   Privacidade desde a concepção

| 108. | Entende-se por privacidade desde a concepção a integração da protecção de dados e da privacidade desde o início dos novos produtos, serviços e procedimentos que impliquem o tratamento de dados pessoais. No entender da EDPS, a privacidade desde a concepção é um dos elementos da responsabilização. Consequentemente, os responsáveis pelo tratamento também seriam obrigados a demonstrar que tinham aplicado a privacidade desde a concepção, sempre que necessário. Recentemente, a 32.a Conferência Internacional dos Comissários para a Protecção dos Dados e da Vida Privada adoptou uma resolução onde reconhece a privacidade desde a concepção como uma componente essencial da protecção do direito fundamental à privacidade (44). |
| --- | --- |

108.

Entende-se por privacidade desde a concepção a integração da protecção de dados e da privacidade desde o início dos novos produtos, serviços e procedimentos que impliquem o tratamento de dados pessoais. No entender da EDPS, a privacidade desde a concepção é um dos elementos da responsabilização. Consequentemente, os responsáveis pelo tratamento também seriam obrigados a demonstrar que tinham aplicado a privacidade desde a concepção, sempre que necessário. Recentemente, a 32.a Conferência Internacional dos Comissários para a Protecção dos Dados e da Vida Privada adoptou uma resolução onde reconhece a privacidade desde a concepção como uma componente essencial da protecção do direito fundamental à privacidade (44).

| 109. | A Directiva 95/46/CE contém algumas disposições que encorajam a privacidade desde a concepção (45), mas não reconhece essa obrigação explicitamente. A EDPS congratula-se com o apoio dado na Comunicação à privacidade desde a concepção como instrumento para garantir o cumprimento das normas de protecção de dados. Sugere que se inclua uma disposição vinculativa que estabeleça uma obrigação de «privacidade desde a concepção», possivelmente baseada no texto do considerando 46 da Directiva 95/46/CE. Mais especificamente, a disposição exigiria explicitamente que os responsáveis pelo tratamento tomassem medidas de carácter técnico e organizativo, tanto aquando da concepção do sistema de tratamento como da realização do próprio tratamento, a fim de assegurar, em especial, a protecção dos dados pessoais e impedir qualquer tratamento não autorizado (46). |
| --- | --- |

109.

A Directiva 95/46/CE contém algumas disposições que encorajam a privacidade desde a concepção (45), mas não reconhece essa obrigação explicitamente. A EDPS congratula-se com o apoio dado na Comunicação à privacidade desde a concepção como instrumento para garantir o cumprimento das normas de protecção de dados. Sugere que se inclua uma disposição vinculativa que estabeleça uma obrigação de «privacidade desde a concepção», possivelmente baseada no texto do considerando 46 da Directiva 95/46/CE. Mais especificamente, a disposição exigiria explicitamente que os responsáveis pelo tratamento tomassem medidas de carácter técnico e organizativo, tanto aquando da concepção do sistema de tratamento como da realização do próprio tratamento, a fim de assegurar, em especial, a protecção dos dados pessoais e impedir qualquer tratamento não autorizado (46).

| 110. | Com base nessa disposição, os responsáveis pelo tratamento seriam obrigados, nomeadamente, a garantir que os sistemas de tratamento de dados são concebidos para tratar a menor quantidade possível de dados pessoais, aplicar ambientes de privacidade por defeito, por exemplo nas redes sociais, manter a privacidade dos perfis de umas pessoas em relação a outras por defeito e utilizar instrumentos que permitam que os utilizadores protejam melhor os seus dados pessoais (por exemplo, controlos de acesso e cifragem). |
| --- | --- |

110.

Com base nessa disposição, os responsáveis pelo tratamento seriam obrigados, nomeadamente, a garantir que os sistemas de tratamento de dados são concebidos para tratar a menor quantidade possível de dados pessoais, aplicar ambientes de privacidade por defeito, por exemplo nas redes sociais, manter a privacidade dos perfis de umas pessoas em relação a outras por defeito e utilizar instrumentos que permitam que os utilizadores protejam melhor os seus dados pessoais (por exemplo, controlos de acesso e cifragem).

| 111. | As vantagens de fazer uma referência mais explícita à privacidade desde a concepção podem resumir-se da seguinte forma:






  — | ela realçaria a importância do princípio em si mesmo, como um instrumento para garantir que os processos, produtos e serviços são concebidos desde o início tendo a privacidade em atenção, |
| --- | --- | --- |

111.

As vantagens de fazer uma referência mais explícita à privacidade desde a concepção podem resumir-se da seguinte forma:

—

ela realçaria a importância do princípio em si mesmo, como um instrumento para garantir que os processos, produtos e serviços são concebidos desde o início tendo a privacidade em atenção,

| — | reduziria os ataques à privacidade e minimizaria a recolha desnecessária de dados, além de permitir que as pessoas fizessem escolhas efectivas a respeito dos seus dados pessoais, |
| --- | --- |

—

reduziria os ataques à privacidade e minimizaria a recolha desnecessária de dados, além de permitir que as pessoas fizessem escolhas efectivas a respeito dos seus dados pessoais,

| — | evitaria que se tivesse de recorrer a soluções de recurso para resolver problemas cuja correcção poderá ser difícil, se não impossível, |
| --- | --- |

—

evitaria que se tivesse de recorrer a soluções de recurso para resolver problemas cuja correcção poderá ser difícil, se não impossível,

| — | também facilitaria a aplicação e a execução eficazes deste princípio pelas autoridades responsáveis pela protecção de dados. |
| --- | --- |

—

também facilitaria a aplicação e a execução eficazes deste princípio pelas autoridades responsáveis pela protecção de dados.

| 112. | O efeito combinado desta obrigação suscitaria uma maior procura de produtos e serviços que incluam a privacidade desde a concepção, dando mais incentivos à indústria para responder a essa procura. Além disso, deveria ponderar-se a criação de uma obrigação distinta dirigida aos conceptores e fabricantes de novos produtos e serviços susceptíveis de afectar a protecção de dados e a privacidade. A EDPS sugere a inclusão dessa obrigação distinta, que também criaria melhores condições para os responsáveis pelo tratamento cumprirem a sua própria obrigação. |
| --- | --- |

112.

O efeito combinado desta obrigação suscitaria uma maior procura de produtos e serviços que incluam a privacidade desde a concepção, dando mais incentivos à indústria para responder a essa procura. Além disso, deveria ponderar-se a criação de uma obrigação distinta dirigida aos conceptores e fabricantes de novos produtos e serviços susceptíveis de afectar a protecção de dados e a privacidade. A EDPS sugere a inclusão dessa obrigação distinta, que também criaria melhores condições para os responsáveis pelo tratamento cumprirem a sua própria obrigação.

| 113. | A codificação da privacidade desde a concepção poderia ser complementada por uma disposição que estabelecesse requisitos gerais de privacidade desde a concepção aplicáveis a diversos sectores, produtos e serviços, garantindo, por exemplo, a adopção de medidas para reforçar a capacidade dos utilizadores em aplicação desse princípio. |
| --- | --- |

113.

A codificação da privacidade desde a concepção poderia ser complementada por uma disposição que estabelecesse requisitos gerais de privacidade desde a concepção aplicáveis a diversos sectores, produtos e serviços, garantindo, por exemplo, a adopção de medidas para reforçar a capacidade dos utilizadores em aplicação desse princípio.

| 114. | A EDPS recomenda ainda que se deleguem poderes na Comissão, nos termos do artigo 290.o do TFUE, para complementar, quando necessário, os requisitos básicos de privacidade desde a concepção aplicáveis a determinados produtos e serviços. A utilização desses poderes aumentaria a segurança jurídica dos responsáveis pelo tratamento e harmonizaria o cumprimento das normas em toda a UE. O Grupo de Trabalho do Artigo 29.o e a EDPS deveriam ser consultados aquando do desenvolvimento desses instrumentos específicos (ver, no mesmo sentido, o ponto 106 relativo à responsabilidade). |
| --- | --- |

114.

A EDPS recomenda ainda que se deleguem poderes na Comissão, nos termos do artigo 290.o do TFUE, para complementar, quando necessário, os requisitos básicos de privacidade desde a concepção aplicáveis a determinados produtos e serviços. A utilização desses poderes aumentaria a segurança jurídica dos responsáveis pelo tratamento e harmonizaria o cumprimento das normas em toda a UE. O Grupo de Trabalho do Artigo 29.o e a EDPS deveriam ser consultados aquando do desenvolvimento desses instrumentos específicos (ver, no mesmo sentido, o ponto 106 relativo à responsabilidade).

| 115. | Por último, deveria outorgar-se às autoridades responsáveis pela protecção de dados o poder de impor medidas correctivas ou sanções, em condições restritivas semelhantes às já mencionadas no ponto 107, quando for claro que os responsáveis pelo tratamento não tomaram medidas concretas nos casos em que elas seriam necessárias. |
| --- | --- |

115.

Por último, deveria outorgar-se às autoridades responsáveis pela protecção de dados o poder de impor medidas correctivas ou sanções, em condições restritivas semelhantes às já mencionadas no ponto 107, quando for claro que os responsáveis pelo tratamento não tomaram medidas concretas nos casos em que elas seriam necessárias.

7.4.   Serviços de certificação

| 116. | A Comunicação reconhece a necessidade de explorar a criação de regimes de certificação da UE para produtos e serviços que respeitem a privacidade. A EDPS subscreve inteiramente este objectivo e sugere que se inclua uma disposição que preveja a criação desses regimes e os seus possíveis efeitos em toda a UE, a qual poderá ser posteriormente desenvolvida para dar lugar a legislação adicional. Essa disposição complementaria as disposições relativas à responsabilização e à privacidade desde a concepção. |
| --- | --- |

116.

A Comunicação reconhece a necessidade de explorar a criação de regimes de certificação da UE para produtos e serviços que respeitem a privacidade. A EDPS subscreve inteiramente este objectivo e sugere que se inclua uma disposição que preveja a criação desses regimes e os seus possíveis efeitos em toda a UE, a qual poderá ser posteriormente desenvolvida para dar lugar a legislação adicional. Essa disposição complementaria as disposições relativas à responsabilização e à privacidade desde a concepção.

| 117. | Os regimes de certificação voluntária permitiriam verificar se um responsável pelo tratamento adoptou medidas para dar cumprimento ao diploma. Além disso, os responsáveis pelo tratamento — ou mesmo os produtos e serviços — que usufruam do benefício de um rótulo de certificação obterão, provavelmente, uma vantagem competitiva sobre os restantes. Esses regimes também auxiliariam as autoridades responsáveis pela protecção de dados na sua função de supervisão e execução. |
| --- | --- |

117.

Os regimes de certificação voluntária permitiriam verificar se um responsável pelo tratamento adoptou medidas para dar cumprimento ao diploma. Além disso, os responsáveis pelo tratamento — ou mesmo os produtos e serviços — que usufruam do benefício de um rótulo de certificação obterão, provavelmente, uma vantagem competitiva sobre os restantes. Esses regimes também auxiliariam as autoridades responsáveis pela protecção de dados na sua função de supervisão e execução.

8.   Globalização e lei aplicável

8.1.   Clara necessidade de uma protecção mais coerente

| 118. | Como já foi referido no Capítulo 2, a transferência de dados pessoais para além das fronteiras da UE cresceu exponencialmente em consequência do desenvolvimento de novas tecnologias, do papel das empresas multinacionais e da maior influência dos governos no tratamento e na partilha de dados pessoais a nível internacional. Esta é uma das principais razões que justificam a revisão do actual quadro normativo. Consequentemente, é um dos domínios em que a EDPS pede ambição e eficácia, uma vez que há clara necessidade de uma protecção mais coerente quando os dados são tratados fora da UE. |
| --- | --- |

118.

Como já foi referido no Capítulo 2, a transferência de dados pessoais para além das fronteiras da UE cresceu exponencialmente em consequência do desenvolvimento de novas tecnologias, do papel das empresas multinacionais e da maior influência dos governos no tratamento e na partilha de dados pessoais a nível internacional. Esta é uma das principais razões que justificam a revisão do actual quadro normativo. Consequentemente, é um dos domínios em que a EDPS pede ambição e eficácia, uma vez que há clara necessidade de uma protecção mais coerente quando os dados são tratados fora da UE.

8.2.   Investir em normas internacionais

| 119. | No entender da EDPS é necessário investir mais na elaboração de normas internacionais. A maior harmonização do nível de protecção dos dados pessoais em todo o mundo clarificaria consideravelmente a substância dos princípios que devem ser respeitados e das condições para a transferência de dados. Essas normas globais teriam de conciliar a necessidade de um elevado nível de protecção dos dados — incluindo os elementos fundamentais da protecção de dados da UE — com as especificidades regionais. |
| --- | --- |

119.

No entender da EDPS é necessário investir mais na elaboração de normas internacionais. A maior harmonização do nível de protecção dos dados pessoais em todo o mundo clarificaria consideravelmente a substância dos princípios que devem ser respeitados e das condições para a transferência de dados. Essas normas globais teriam de conciliar a necessidade de um elevado nível de protecção dos dados — incluindo os elementos fundamentais da protecção de dados da UE — com as especificidades regionais.

| 120. | A EDPS apoia o ambicioso trabalho realizado até à data no âmbito da Conferência Internacional dos Comissários para a Protecção dos Dados e da Vida Privada com o intuito desenvolver e difundir as denominadas «normas de Madrid», tendo em vista a sua integração num instrumento vinculativo e o possível lançamento de uma conferência intergovernamental (47). Solicita, assim, à Comissão que promova as iniciativas necessárias para facilitar a realização deste objectivo. |
| --- | --- |

120.

A EDPS apoia o ambicioso trabalho realizado até à data no âmbito da Conferência Internacional dos Comissários para a Protecção dos Dados e da Vida Privada com o intuito desenvolver e difundir as denominadas «normas de Madrid», tendo em vista a sua integração num instrumento vinculativo e o possível lançamento de uma conferência intergovernamental (47). Solicita, assim, à Comissão que promova as iniciativas necessárias para facilitar a realização deste objectivo.

| 121. | No entender da EDPS, é igualmente importante garantir a coerência entre esta iniciativa relativa à adopção de normas internacionais, a actual revisão do quadro de protecção de dados da UE e outros acontecimentos, como a actual revisão das directrizes da OCDE em matéria de protecção da vida privada e da Convenção 108 do Conselho da Europa, que está aberta à assinatura de países terceiros (ver também ponto 17). A EDPS considera que a Comissão tem um papel específico a desempenhar nesta matéria, especificando de que modo irá promover essa coerência nas negociações em curso na OCDE e no Conselho da Europa. |
| --- | --- |

121.

No entender da EDPS, é igualmente importante garantir a coerência entre esta iniciativa relativa à adopção de normas internacionais, a actual revisão do quadro de protecção de dados da UE e outros acontecimentos, como a actual revisão das directrizes da OCDE em matéria de protecção da vida privada e da Convenção 108 do Conselho da Europa, que está aberta à assinatura de países terceiros (ver também ponto 17). A EDPS considera que a Comissão tem um papel específico a desempenhar nesta matéria, especificando de que modo irá promover essa coerência nas negociações em curso na OCDE e no Conselho da Europa.

8.3.   Clarificar os critérios da lei aplicável

| 122. | Uma vez que não é fácil obter uma coerência total, continuará a existir — pelo menos num futuro próximo — alguma diversidade entre as leis existentes no interior da UE e a fortiori fora das fronteiras da União. A EDPS considera que um novo diploma legal terá de clarificar os critérios que determinam a lei aplicável e de assegurar mecanismos racionalizados para os fluxos de dados, bem como a responsabilização dos intervenientes nesses fluxos. |
| --- | --- |

122.

Uma vez que não é fácil obter uma coerência total, continuará a existir — pelo menos num futuro próximo — alguma diversidade entre as leis existentes no interior da UE e a fortiori fora das fronteiras da União. A EDPS considera que um novo diploma legal terá de clarificar os critérios que determinam a lei aplicável e de assegurar mecanismos racionalizados para os fluxos de dados, bem como a responsabilização dos intervenientes nesses fluxos.

| 123. | Em primeiro lugar, o diploma deve estipular que a legislação da UE é aplicável quando os dados pessoais são tratados fora das fronteiras da União, mas nos casos em que isso se justifique. O exemplo dos serviços não europeus de computação em nuvem destinados a pessoas residentes na União Europeia ilustra bem essa necessidade. Num ambiente em que os dados não são fisicamente armazenados e tratados num local fixo, em que prestadores de serviços e utilizadores localizados em diferentes países têm uma influência que interfere com os dados, é muito difícil identificar quem é responsável pelo cumprimento dos diversos princípios de protecção de dados. Têm sido dadas orientações, nomeadamente pelas autoridades responsáveis pela protecção de dados, sobre o modo de interpretar e aplicar a Directiva 95/46/CE nesses casos, mas as orientações não são, só por si, suficientes para garantir a segurança jurídica neste novo ambiente. |
| --- | --- |

123.

Em primeiro lugar, o diploma deve estipular que a legislação da UE é aplicável quando os dados pessoais são tratados fora das fronteiras da União, mas nos casos em que isso se justifique. O exemplo dos serviços não europeus de computação em nuvem destinados a pessoas residentes na União Europeia ilustra bem essa necessidade. Num ambiente em que os dados não são fisicamente armazenados e tratados num local fixo, em que prestadores de serviços e utilizadores localizados em diferentes países têm uma influência que interfere com os dados, é muito difícil identificar quem é responsável pelo cumprimento dos diversos princípios de protecção de dados. Têm sido dadas orientações, nomeadamente pelas autoridades responsáveis pela protecção de dados, sobre o modo de interpretar e aplicar a Directiva 95/46/CE nesses casos, mas as orientações não são, só por si, suficientes para garantir a segurança jurídica neste novo ambiente.

| 124. | No território da UE, a necessidade de maior precisão no quadro normativo e de um critério simplificado para determinar a lei aplicável foi salientada pelo Grupo de Trabalho do Artigo 29.o num parecer recente (48). |
| --- | --- |

124.

No território da UE, a necessidade de maior precisão no quadro normativo e de um critério simplificado para determinar a lei aplicável foi salientada pelo Grupo de Trabalho do Artigo 29.o num parecer recente (48).

| 125. | No entender da EDPS, seria preferível que o diploma assumisse a forma de um regulamento, o que levaria à aplicação de normas idênticas em todos os Estados-Membros. Um regulamento reduziria a importância de determinar a lei aplicável, sendo essa uma das razões por que a EDPS é fortemente favorável à adopção de um regulamento. No entanto, um regulamento também poderia deixar alguma margem de manobra aos Estados-Membros. Caso se mantenha uma margem de manobra significativa no novo diploma, a EDPS apoiaria a sugestão do Grupo de Trabalho para que se substitua uma aplicação distributiva das diversas leis nacionais pela aplicação centralizada de uma legislação única em todos os Estados-Membros onde um responsável pelo tratamento de dados tenha estabelecimentos. Preconiza igualmente uma maior cooperação e coordenação entre as autoridades responsáveis pela protecção de dados nos casos e queixas transnacionais (ver Capítulo 10). |
| --- | --- |

125.

No entender da EDPS, seria preferível que o diploma assumisse a forma de um regulamento, o que levaria à aplicação de normas idênticas em todos os Estados-Membros. Um regulamento reduziria a importância de determinar a lei aplicável, sendo essa uma das razões por que a EDPS é fortemente favorável à adopção de um regulamento. No entanto, um regulamento também poderia deixar alguma margem de manobra aos Estados-Membros. Caso se mantenha uma margem de manobra significativa no novo diploma, a EDPS apoiaria a sugestão do Grupo de Trabalho para que se substitua uma aplicação distributiva das diversas leis nacionais pela aplicação centralizada de uma legislação única em todos os Estados-Membros onde um responsável pelo tratamento de dados tenha estabelecimentos. Preconiza igualmente uma maior cooperação e coordenação entre as autoridades responsáveis pela protecção de dados nos casos e queixas transnacionais (ver Capítulo 10).

8.4.   Racionalizar os mecanismos de fluxo de dados

| 126. | A necessidade de coerência e de um parâmetro de referência de alto nível deve ser tida em conta não só com vista aos princípios globais de protecção de dados, mas também no tocante às transferências internacionais. A EDPS apoia inteiramente o objectivo da Comissão de racionalizar os procedimentos em vigor para as transferências internacionais de dados e de garantir uma abordagem mais uniforme e coerente face a países terceiros e a organizações internacionais. |
| --- | --- |

126.

A necessidade de coerência e de um parâmetro de referência de alto nível deve ser tida em conta não só com vista aos princípios globais de protecção de dados, mas também no tocante às transferências internacionais. A EDPS apoia inteiramente o objectivo da Comissão de racionalizar os procedimentos em vigor para as transferências internacionais de dados e de garantir uma abordagem mais uniforme e coerente face a países terceiros e a organizações internacionais.

| 127. | O mecanismo dos fluxos de dados inclui transferências do sector privado, em especial através de cláusulas contratuais ou de normas vinculativas para as empresas, e transferências entre autoridades públicas. As normas vinculativas para as empresas são um dos aspectos em que seria desejável uma abordagem mais coerente e racionalizada. A EDPS recomenda que no novo diploma se abordem explicitamente as condições aplicáveis a essas normas (49):






  — | reconhecendo explicitamente as normas vinculativas para as empresas como instrumentos que fornecem garantias adequadas, |
| --- | --- | --- |

127.

O mecanismo dos fluxos de dados inclui transferências do sector privado, em especial através de cláusulas contratuais ou de normas vinculativas para as empresas, e transferências entre autoridades públicas. As normas vinculativas para as empresas são um dos aspectos em que seria desejável uma abordagem mais coerente e racionalizada. A EDPS recomenda que no novo diploma se abordem explicitamente as condições aplicáveis a essas normas (49):

—

reconhecendo explicitamente as normas vinculativas para as empresas como instrumentos que fornecem garantias adequadas,

| — | prevendo os principais elementos e condições para a adopção dessas normas, |
| --- | --- |

—

prevendo os principais elementos e condições para a adopção dessas normas,

| — | estabelecendo procedimentos de cooperação para a adopção de normas vinculativas para as empresas, incluindo critérios para a selecção de uma autoridade de supervisão principal (balcão único). |
| --- | --- |

—

estabelecendo procedimentos de cooperação para a adopção de normas vinculativas para as empresas, incluindo critérios para a selecção de uma autoridade de supervisão principal (balcão único).

9.   O domínio da polícia e da justiça

9.1.   Quadro geral

| 128. | A Comissão tem salientado repetidamente a importância de reforçar a protecção de dados no contexto da aplicação da lei e da prevenção da criminalidade, domínios em que o intercâmbio e a utilização de informações pessoais se intensificaram significativamente. O Programa de Estocolmo, aprovado pelo Conselho Europeu, também refere um sólido regime de protecção de dados como principal requisito para a Estratégia de Gestão da Informação da UE neste domínio (50). |
| --- | --- |

128.

A Comissão tem salientado repetidamente a importância de reforçar a protecção de dados no contexto da aplicação da lei e da prevenção da criminalidade, domínios em que o intercâmbio e a utilização de informações pessoais se intensificaram significativamente. O Programa de Estocolmo, aprovado pelo Conselho Europeu, também refere um sólido regime de protecção de dados como principal requisito para a Estratégia de Gestão da Informação da UE neste domínio (50).

| 129. | A revisão do quadro geral de protecção de dados constitui a oportunidade perfeita para fazer progressos nesta matéria, sobretudo tendo em conta que a Comunicação afirma, justificadamente, que a Decisão-Quadro 2008/977 é inadequada (51). |
| --- | --- |

129.

A revisão do quadro geral de protecção de dados constitui a oportunidade perfeita para fazer progressos nesta matéria, sobretudo tendo em conta que a Comunicação afirma, justificadamente, que a Decisão-Quadro 2008/977 é inadequada (51).

| 130. | A EDPS apresentou na secção 3.2.5 do presente parecer os motivos por que o domínio da cooperação policial e judiciário deve ser incluído no quadro geral. A inclusão da polícia e da justiça tem várias vantagens adicionais, levando a que as normas deixem de ser apenas aplicáveis ao intercâmbio de dados (52) transfronteiras e passem a sê-lo também ao tratamento de dados a nível nacional. Também será garantida uma protecção mais adequada no intercâmbio de dados pessoais com países terceiros, incluindo no que diz respeito aos acordos internacionais. Além disso, as APD terão os mesmos poderes amplos e harmonizados face às autoridades policiais e judiciárias de que dispõem em relação a outros responsáveis pelo tratamento. Por último, o actual artigo 13.o, que prevê que os Estados-Membros podem adoptar legislação específica destinada a restringir as obrigações e os direitos previstos no diploma geral por motivos específicos de interesse público, terá de ser aplicado da mesma forma restritiva em que é aplicado noutros domínios. Em especial, as garantias específicas previstas no diploma geral neste domínio terão de ser igualmente respeitadas na legislação nacional adoptada no domínio da cooperação policial e judiciária. |
| --- | --- |

130.

A EDPS apresentou na secção 3.2.5 do presente parecer os motivos por que o domínio da cooperação policial e judiciário deve ser incluído no quadro geral. A inclusão da polícia e da justiça tem várias vantagens adicionais, levando a que as normas deixem de ser apenas aplicáveis ao intercâmbio de dados (52) transfronteiras e passem a sê-lo também ao tratamento de dados a nível nacional. Também será garantida uma protecção mais adequada no intercâmbio de dados pessoais com países terceiros, incluindo no que diz respeito aos acordos internacionais. Além disso, as APD terão os mesmos poderes amplos e harmonizados face às autoridades policiais e judiciárias de que dispõem em relação a outros responsáveis pelo tratamento. Por último, o actual artigo 13.o, que prevê que os Estados-Membros podem adoptar legislação específica destinada a restringir as obrigações e os direitos previstos no diploma geral por motivos específicos de interesse público, terá de ser aplicado da mesma forma restritiva em que é aplicado noutros domínios. Em especial, as garantias específicas previstas no diploma geral neste domínio terão de ser igualmente respeitadas na legislação nacional adoptada no domínio da cooperação policial e judiciária.

9.2.   Normas suplementares específicas para a polícia e a justiça

| 131. | Contudo, essa inclusão não exclui a existência de regras e derrogações especiais, que tenham devidamente em conta as especificidades deste sector, em conformidade com a Declaração 21 anexada ao Tratado de Lisboa. Podem prever-se limitações aos direitos das pessoas em causa, mas elas têm de ser necessárias e proporcionadas e não alterar os elementos essenciais do próprio direito. Convém salientar, neste contexto, que a Directiva 95/46/CE, nomeadamente o seu artigo 13.o, é actualmente aplicável à aplicação da lei em diversos domínios (por exemplo, fiscal, aduaneiro e de luta contra a fraude) que não são fundamentalmente diferentes de muitas actividades no domínio da polícia e da justiça. |
| --- | --- |

131.

Contudo, essa inclusão não exclui a existência de regras e derrogações especiais, que tenham devidamente em conta as especificidades deste sector, em conformidade com a Declaração 21 anexada ao Tratado de Lisboa. Podem prever-se limitações aos direitos das pessoas em causa, mas elas têm de ser necessárias e proporcionadas e não alterar os elementos essenciais do próprio direito. Convém salientar, neste contexto, que a Directiva 95/46/CE, nomeadamente o seu artigo 13.o, é actualmente aplicável à aplicação da lei em diversos domínios (por exemplo, fiscal, aduaneiro e de luta contra a fraude) que não são fundamentalmente diferentes de muitas actividades no domínio da polícia e da justiça.

| 132. | Além disso, há que adoptar igualmente garantias específicas para compensar a pessoa em causa, dando-lhe uma protecção adicional no domínio em que o tratamento de dados pessoais pode ser mais invasivo. |
| --- | --- |

132.

Além disso, há que adoptar igualmente garantias específicas para compensar a pessoa em causa, dando-lhe uma protecção adicional no domínio em que o tratamento de dados pessoais pode ser mais invasivo.

| 133. | Atendendo ao que precede, a EDPS considera que o novo quadro deve incluir, no mínimo, os seguintes elementos, em conformidade com a Convenção 108 e a Recomendação n.o R (87) 15:






  — | uma distinção entre as diferentes categorias de dados e ficheiros, em função da sua precisão e fiabilidade, segundo o princípio de que os dados baseados em factos devem ser distinguidos dos dados baseados em opiniões ou juízos pessoais, |
| --- | --- | --- |

133.

Atendendo ao que precede, a EDPS considera que o novo quadro deve incluir, no mínimo, os seguintes elementos, em conformidade com a Convenção 108 e a Recomendação n.o R (87) 15:

—

uma distinção entre as diferentes categorias de dados e ficheiros, em função da sua precisão e fiabilidade, segundo o princípio de que os dados baseados em factos devem ser distinguidos dos dados baseados em opiniões ou juízos pessoais,

| — | uma distinção entre as várias categorias de pessoas a que os dados se referem (criminosos, suspeitos, vítimas, testemunhas, etc.) e de ficheiros (temporários, permanentes e ficheiros de recolha de informações). É necessário prever condições e garantias específicas para o tratamento de dados de pessoas que não são suspeitas, |
| --- | --- |

—

uma distinção entre as várias categorias de pessoas a que os dados se referem (criminosos, suspeitos, vítimas, testemunhas, etc.) e de ficheiros (temporários, permanentes e ficheiros de recolha de informações). É necessário prever condições e garantias específicas para o tratamento de dados de pessoas que não são suspeitas,

| — | mecanismos para garantir a verificação e a rectificação periódicas dos dados tratados, a fim de garantir a qualidade dos mesmos, |
| --- | --- |

—

mecanismos para garantir a verificação e a rectificação periódicas dos dados tratados, a fim de garantir a qualidade dos mesmos,

| — | disposições e/ou garantias específicas que podem ser formuladas em relação ao tratamento (cada vez mais relevante) de dados biométricos e genéticos no domínio da aplicação da lei. A sua utilização deve estar exclusivamente limitada aos casos em que não estão disponíveis meios menos invasivos que possam assegurar o mesmo efeito (53), |
| --- | --- |

—

disposições e/ou garantias específicas que podem ser formuladas em relação ao tratamento (cada vez mais relevante) de dados biométricos e genéticos no domínio da aplicação da lei. A sua utilização deve estar exclusivamente limitada aos casos em que não estão disponíveis meios menos invasivos que possam assegurar o mesmo efeito (53),

| — | as condições aplicáveis às transferências de dados pessoais para autoridades não competentes e particulares, bem como ao acesso e posterior utilização pelas autoridades de aplicação da lei dos dados pessoais recolhidos por particulares. |
| --- | --- |

—

as condições aplicáveis às transferências de dados pessoais para autoridades não competentes e particulares, bem como ao acesso e posterior utilização pelas autoridades de aplicação da lei dos dados pessoais recolhidos por particulares.

9.3.   Regimes sectoriais de protecção de dados

| 134. | A Comunicação afirma que «a decisão-quadro não substitui os vários diplomas legislativos aplicáveis a sectores específicos da cooperação policial e judiciária em matéria penal adoptados a nível da UE, em especial os que regulam o funcionamento da Europol, da Eurojust, do Sistema de Informação Schengen (SIS) e do Sistema de Informações Aduaneiras (SIA), que prevêem regimes especiais de protecção de dados e/ou que remetem habitualmente para os instrumentos de protecção de dados do Conselho da Europa». |
| --- | --- |

134.

A Comunicação afirma que «a decisão-quadro não substitui os vários diplomas legislativos aplicáveis a sectores específicos da cooperação policial e judiciária em matéria penal adoptados a nível da UE, em especial os que regulam o funcionamento da Europol, da Eurojust, do Sistema de Informação Schengen (SIS) e do Sistema de Informações Aduaneiras (SIA), que prevêem regimes especiais de protecção de dados e/ou que remetem habitualmente para os instrumentos de protecção de dados do Conselho da Europa».

| 135. | No entender da EDPS, um novo quadro normativo deveria ser, na medida do possível, claro, simples e coerente. Quando há uma proliferação de regimes diferentes aplicáveis, por exemplo, à Europol, à Eurojust, ao SIS e à Decisão Prüm, a conformidade com as normas continua a ser complicada, ou complica-se ainda mais. Este é um dos motivos que levam a EDPS a preferir um diploma global para todos os sectores. |
| --- | --- |

135.

No entender da EDPS, um novo quadro normativo deveria ser, na medida do possível, claro, simples e coerente. Quando há uma proliferação de regimes diferentes aplicáveis, por exemplo, à Europol, à Eurojust, ao SIS e à Decisão Prüm, a conformidade com as normas continua a ser complicada, ou complica-se ainda mais. Este é um dos motivos que levam a EDPS a preferir um diploma global para todos os sectores.

| 136. | Contudo, a EDPS compreende que a harmonização das normas dos diversos sistemas exigirá um trabalho considerável, que deverá ser realizado cuidadosamente. A EDPS considera que uma abordagem gradual, tal como a Comunicação refere, faz sentido desde que o compromisso de garantir um nível elevado de protecção de dados de forma coerente e efectiva permaneça claro e visível. Mais concretamente:






  — | numa primeira fase, o diploma geral de protecção de dados deve ser aplicável a todo o tratamento de dados no domínio da cooperação policial e judiciária, incluindo as adaptações para a polícia e a justiça (como é referido no n.o 9.2), |
| --- | --- | --- |

136.

Contudo, a EDPS compreende que a harmonização das normas dos diversos sistemas exigirá um trabalho considerável, que deverá ser realizado cuidadosamente. A EDPS considera que uma abordagem gradual, tal como a Comunicação refere, faz sentido desde que o compromisso de garantir um nível elevado de protecção de dados de forma coerente e efectiva permaneça claro e visível. Mais concretamente:

—

numa primeira fase, o diploma geral de protecção de dados deve ser aplicável a todo o tratamento de dados no domínio da cooperação policial e judiciária, incluindo as adaptações para a polícia e a justiça (como é referido no n.o 9.2),

| — | numa segunda fase, os regimes sectoriais de protecção de dados devem ser harmonizados com este diploma geral, devendo a Comissão comprometer-se a adoptar propostas para esta segunda fase, num prazo curto e especificado. |
| --- | --- |

—

numa segunda fase, os regimes sectoriais de protecção de dados devem ser harmonizados com este diploma geral, devendo a Comissão comprometer-se a adoptar propostas para esta segunda fase, num prazo curto e especificado.

10.   Autoridades responsáveis pela protecção de dados (APD) e cooperação entre APD

10.1.   Reforço do papel das APD

| 137. | A EDPS apoia inteiramente o objectivo da Comissão de abordar a questão do estatuto das APD e, mais explicitamente, de reforçar a sua independência, recursos e poderes de execução. |
| --- | --- |

137.

A EDPS apoia inteiramente o objectivo da Comissão de abordar a questão do estatuto das APD e, mais explicitamente, de reforçar a sua independência, recursos e poderes de execução.

| 138. | A EDPS também insiste na necessidade de clarificar no novo diploma o conceito essencial de independência das APD. O Tribunal de Justiça Europeu tomou recentemente uma decisão sobre este assunto no Processo C-518/07 (54), onde salientou que a independência implica a inexistência de quaisquer influências externas. Uma APD não pode pedir nem receber instruções seja de quem for. A EDPS sugere que estes elementos de independência sejam explicitamente codificados na legislação. |
| --- | --- |

138.

A EDPS também insiste na necessidade de clarificar no novo diploma o conceito essencial de independência das APD. O Tribunal de Justiça Europeu tomou recentemente uma decisão sobre este assunto no Processo C-518/07 (54), onde salientou que a independência implica a inexistência de quaisquer influências externas. Uma APD não pode pedir nem receber instruções seja de quem for. A EDPS sugere que estes elementos de independência sejam explicitamente codificados na legislação.

| 139. | As APD devem ser dotadas dos recursos humanos e financeiros suficientes para exercerem as suas funções. A EDPS sugere que este requisito seja incluído na legislação (55). Destaca, por último, a necessidade de velar por que as autoridades disponham de competências totalmente harmonizadas em termos de investigação e de imposição de medidas correctivas e sanções suficientemente dissuasoras. Reforçar-se-ia, assim, a segurança jurídica para as pessoas em causa e para os responsáveis pelo tratamento. |
| --- | --- |

139.

As APD devem ser dotadas dos recursos humanos e financeiros suficientes para exercerem as suas funções. A EDPS sugere que este requisito seja incluído na legislação (55). Destaca, por último, a necessidade de velar por que as autoridades disponham de competências totalmente harmonizadas em termos de investigação e de imposição de medidas correctivas e sanções suficientemente dissuasoras. Reforçar-se-ia, assim, a segurança jurídica para as pessoas em causa e para os responsáveis pelo tratamento.

| 140. | O reforço da independência, dos recursos e dos poderes das APD deve ser acompanhado do reforço da cooperação a nível multilateral, sobretudo tendo em conta o número crescente de questões de protecção de dados que se colocam à escala europeia. A principal infra-estrutura a utilizar para esta cooperação é, evidentemente, o Grupo de Trabalho do Artigo 29.o. |
| --- | --- |

140.

O reforço da independência, dos recursos e dos poderes das APD deve ser acompanhado do reforço da cooperação a nível multilateral, sobretudo tendo em conta o número crescente de questões de protecção de dados que se colocam à escala europeia. A principal infra-estrutura a utilizar para esta cooperação é, evidentemente, o Grupo de Trabalho do Artigo 29.o.

10.2.   Reforço do papel do Grupo de Trabalho

| 141. | A história mostra que, desde o seu início, em 1997, até ao presente, o funcionamento do grupo evoluiu. Tornou-se mais independente e já não pode ser qualificado, na prática, como um simples grupo de trabalho consultivo ao serviço da Comissão. A EDPS sugere que sejam introduzidas novas melhorias no funcionamento do Grupo de Trabalho, nomeadamente no que se refere à sua infra-estrutura e independência. |
| --- | --- |

141.

A história mostra que, desde o seu início, em 1997, até ao presente, o funcionamento do grupo evoluiu. Tornou-se mais independente e já não pode ser qualificado, na prática, como um simples grupo de trabalho consultivo ao serviço da Comissão. A EDPS sugere que sejam introduzidas novas melhorias no funcionamento do Grupo de Trabalho, nomeadamente no que se refere à sua infra-estrutura e independência.

| 142. | A EDPS considera que a solidez do grupo está intrinsecamente ligada à independência e às competências dos seus membros. A autonomia do Grupo de Trabalho deve ser assegurada no novo quadro normativo, em conformidade com os critérios desenvolvidos em relação à total independência das APD pelo Tribunal de Justiça Europeu no Processo C-518/07. A EDPS considera que o Grupo de Trabalho também deve ser dotado dos recursos e do orçamento suficientes, bem como de um secretariado reforçado, para apoiar os seus contributos. |
| --- | --- |

142.

A EDPS considera que a solidez do grupo está intrinsecamente ligada à independência e às competências dos seus membros. A autonomia do Grupo de Trabalho deve ser assegurada no novo quadro normativo, em conformidade com os critérios desenvolvidos em relação à total independência das APD pelo Tribunal de Justiça Europeu no Processo C-518/07. A EDPS considera que o Grupo de Trabalho também deve ser dotado dos recursos e do orçamento suficientes, bem como de um secretariado reforçado, para apoiar os seus contributos.

| 143. | Quanto ao secretariado do Grupo de Trabalho, a EDPS valoriza o facto de ele estar integrado na Unidade Protecção de Dados da DG Justiça, com a vantagem de o próprio Grupo de Trabalho poder beneficiar de contactos eficientes e flexíveis e de informações actualizadas sobre a evolução no domínio da protecção de dados. Em contrapartida, questiona o facto de a Comissão (e mais especificamente a Unidade) ser simultaneamente membro, secretariado e destinatário dos pareceres do Grupo de Trabalho, o que justificaria uma maior independência do secretariado. A EDPS exorta a Comissão a avaliar — em concertação com os interessados — a melhor forma de assegurar essa independência. |
| --- | --- |

143.

Quanto ao secretariado do Grupo de Trabalho, a EDPS valoriza o facto de ele estar integrado na Unidade Protecção de Dados da DG Justiça, com a vantagem de o próprio Grupo de Trabalho poder beneficiar de contactos eficientes e flexíveis e de informações actualizadas sobre a evolução no domínio da protecção de dados. Em contrapartida, questiona o facto de a Comissão (e mais especificamente a Unidade) ser simultaneamente membro, secretariado e destinatário dos pareceres do Grupo de Trabalho, o que justificaria uma maior independência do secretariado. A EDPS exorta a Comissão a avaliar — em concertação com os interessados — a melhor forma de assegurar essa independência.

| 144. | Por último, o reforço dos poderes das APD também implica que os poderes do Grupo de Trabalho sejam maiores, com uma estrutura dotada de melhores normas e garantias, bem como de maior transparência. Esta estrutura será desenvolvida tanto para a função consultiva como para a função executiva do Grupo de Trabalho. |
| --- | --- |

144.

Por último, o reforço dos poderes das APD também implica que os poderes do Grupo de Trabalho sejam maiores, com uma estrutura dotada de melhores normas e garantias, bem como de maior transparência. Esta estrutura será desenvolvida tanto para a função consultiva como para a função executiva do Grupo de Trabalho.

10.3.   Função consultiva do Grupo de Trabalho

| 145. | As posições do Grupo de Trabalho devem ser efectivamente aplicadas, no caso da função consultiva que desempenha junto da Comissão, nomeadamente no que diz respeito à interpretação e aplicação dos princípios da directiva e de outros instrumentos de protecção de dados, ou seja, há que conferir autoridade às posições do Grupo de Trabalho. É necessário um debate mais aprofundado entre as APD para identificar a forma de incluir este aspecto no diploma. |
| --- | --- |

145.

As posições do Grupo de Trabalho devem ser efectivamente aplicadas, no caso da função consultiva que desempenha junto da Comissão, nomeadamente no que diz respeito à interpretação e aplicação dos princípios da directiva e de outros instrumentos de protecção de dados, ou seja, há que conferir autoridade às posições do Grupo de Trabalho. É necessário um debate mais aprofundado entre as APD para identificar a forma de incluir este aspecto no diploma.

| 146. | A EDPS recomenda que se adoptem soluções que confiram mais autoridade aos pareceres do Grupo de Trabalho sem alterarem substancialmente a sua forma de funcionar. A EDPS sugere que se inclua uma obrigação de que as APD e a Comissão tenham na melhor conta os pareceres e as posições comuns emitidos pelo Grupo de Trabalho, com base no modelo adoptado para as posições do Organismo dos Reguladores Europeus das Comunicações Electrónicas (ORECE) (56). Além disso, o novo diploma poderia atribuir ao Grupo de Trabalho a tarefa explícita de emitir «recomendações interpretativas». Estas soluções alternativas confeririam maior força às posições do Grupo de Trabalho, nomeadamente perante os Tribunais. |
| --- | --- |

146.

A EDPS recomenda que se adoptem soluções que confiram mais autoridade aos pareceres do Grupo de Trabalho sem alterarem substancialmente a sua forma de funcionar. A EDPS sugere que se inclua uma obrigação de que as APD e a Comissão tenham na melhor conta os pareceres e as posições comuns emitidos pelo Grupo de Trabalho, com base no modelo adoptado para as posições do Organismo dos Reguladores Europeus das Comunicações Electrónicas (ORECE) (56). Além disso, o novo diploma poderia atribuir ao Grupo de Trabalho a tarefa explícita de emitir «recomendações interpretativas». Estas soluções alternativas confeririam maior força às posições do Grupo de Trabalho, nomeadamente perante os Tribunais.

10.4.   Execução coordenada pelo Grupo de Trabalho

| 147. | No quadro normativo actual, a aplicação da legislação de protecção de dados nos Estados-Membros é deixada às 27 autoridades responsáveis pela protecção de dados, com pouca coordenação no que se refere à gestão de casos específicas. Quando os casos envolvem mais do que um Estado-Membro ou têm claramente uma dimensão mundial, multiplicam-se os custos para as empresas, que são obrigadas a tratar com diversas autoridades públicas em relação à mesma actividade, para além de esta situação aumentar o risco de incoerência na aplicação da lei: em casos excepcionais, as mesmas actividades de tratamento podem ser consideradas lícitas por uma autoridade e proibidas por outra. |
| --- | --- |

147.

No quadro normativo actual, a aplicação da legislação de protecção de dados nos Estados-Membros é deixada às 27 autoridades responsáveis pela protecção de dados, com pouca coordenação no que se refere à gestão de casos específicas. Quando os casos envolvem mais do que um Estado-Membro ou têm claramente uma dimensão mundial, multiplicam-se os custos para as empresas, que são obrigadas a tratar com diversas autoridades públicas em relação à mesma actividade, para além de esta situação aumentar o risco de incoerência na aplicação da lei: em casos excepcionais, as mesmas actividades de tratamento podem ser consideradas lícitas por uma autoridade e proibidas por outra.

| 148. | Alguns casos têm uma dimensão estratégica, que deve ser abordada de forma centralizada. O Grupo de Trabalho do Artigo 29.o facilita as acções de coordenação e execução entre as APD (57) relativamente a importantes questões de protecção de dados com implicações internacionais. Foi o caso das redes sociais e dos motores de busca (58), bem como das inspecções coordenadas realizadas em diversos Estados-Membros nos sectores das telecomunicações e dos seguros de saúde. |
| --- | --- |

148.

Alguns casos têm uma dimensão estratégica, que deve ser abordada de forma centralizada. O Grupo de Trabalho do Artigo 29.o facilita as acções de coordenação e execução entre as APD (57) relativamente a importantes questões de protecção de dados com implicações internacionais. Foi o caso das redes sociais e dos motores de busca (58), bem como das inspecções coordenadas realizadas em diversos Estados-Membros nos sectores das telecomunicações e dos seguros de saúde.

| 149. | Contudo, há limites para as acções de execução que o Grupo de Trabalho pode realizar ao abrigo do quadro actual. O Grupo de Trabalho pode tomar posições comuns, mas não há instrumentos para garantir que essas posições são efectivamente aplicadas na prática. |
| --- | --- |

149.

Contudo, há limites para as acções de execução que o Grupo de Trabalho pode realizar ao abrigo do quadro actual. O Grupo de Trabalho pode tomar posições comuns, mas não há instrumentos para garantir que essas posições são efectivamente aplicadas na prática.

| 150. | A EDPS sugere que se incluam no diploma disposições adicionais em apoio da aplicação coordenada, nomeadamente:






  — | uma obrigação de garantir que as APD e a Comissão têm na melhor conta os pareceres e as posições comuns emitidos pelo Grupo de Trabalho do Artigo 29.o
   (59), |
| --- | --- | --- |

150.

A EDPS sugere que se incluam no diploma disposições adicionais em apoio da aplicação coordenada, nomeadamente:

—

uma obrigação de garantir que as APD e a Comissão têm na melhor conta os pareceres e as posições comuns emitidos pelo Grupo de Trabalho do Artigo 29.o
   (59),

| — | uma obrigação de que as APD cooperem lealmente entre si, com a Comissão e o Grupo de Trabalho do Artigo 29.o
   (60). Como exemplo ilustrativo de uma cooperação leal na prática, poderia estabelecer-se um procedimento para as APD informarem a Comissão ou o Grupo de Trabalho caso sejam adoptadas medidas coercivas nacionais com um elemento transfronteiriço, em analogia com o procedimento aplicável no quadro actual em relação às decisões nacionais sobre a adequação, |
| --- | --- |

—

uma obrigação de que as APD cooperem lealmente entre si, com a Comissão e o Grupo de Trabalho do Artigo 29.o
   (60). Como exemplo ilustrativo de uma cooperação leal na prática, poderia estabelecer-se um procedimento para as APD informarem a Comissão ou o Grupo de Trabalho caso sejam adoptadas medidas coercivas nacionais com um elemento transfronteiriço, em analogia com o procedimento aplicável no quadro actual em relação às decisões nacionais sobre a adequação,

| — | a especificação das regras de votação para aumentar o empenhamento das APD na aplicação das decisões do Grupo de Trabalho. Poderia definir-se que o Grupo de Trabalho deverá decidir com base no consenso e que quando este não possa ser alcançado, as suas decisões só podem ser aplicadas por maioria qualificada. Complementarmente, poderia prever-se, num considerando, que as APD que votem a favor de um documento têm a obrigação ou o compromisso político de o aplicarem a nível nacional. |
| --- | --- |

—

a especificação das regras de votação para aumentar o empenhamento das APD na aplicação das decisões do Grupo de Trabalho. Poderia definir-se que o Grupo de Trabalho deverá decidir com base no consenso e que quando este não possa ser alcançado, as suas decisões só podem ser aplicadas por maioria qualificada. Complementarmente, poderia prever-se, num considerando, que as APD que votem a favor de um documento têm a obrigação ou o compromisso político de o aplicarem a nível nacional.

| 151. | A EDPS colocaria uma restrição à introdução de medidas mais fortes, como a de tornar as posições do Grupo de Trabalho do Artigo 29.o vinculativas. Isso prejudicaria o estatuto de independência de cada uma das DPA, o qual deve ser garantido pelos Estados-Membros nos termos da legislação nacional. Se as decisões do Grupo de Trabalho tivessem um impacto directo em terceiros como os responsáveis pelo tratamento, deveriam prever-se novos procedimentos que incluíssem garantias como a transparência e o recurso, incluindo o eventual recurso perante o Tribunal de Justiça Europeu. |
| --- | --- |

151.

A EDPS colocaria uma restrição à introdução de medidas mais fortes, como a de tornar as posições do Grupo de Trabalho do Artigo 29.o vinculativas. Isso prejudicaria o estatuto de independência de cada uma das DPA, o qual deve ser garantido pelos Estados-Membros nos termos da legislação nacional. Se as decisões do Grupo de Trabalho tivessem um impacto directo em terceiros como os responsáveis pelo tratamento, deveriam prever-se novos procedimentos que incluíssem garantias como a transparência e o recurso, incluindo o eventual recurso perante o Tribunal de Justiça Europeu.

10.5.   Cooperação entre a EDPS e o Grupo de Trabalho

| 152. | A forma como a EDPS e o Grupo de Trabalho cooperam também poderá ser melhorada. A EDPS é membro do Grupo de Trabalho e contribui no seu seio para as posições relativas aos principais avanços estratégicos da UE, ao mesmo tempo que garante a coerência com as suas próprias posições. A EDPS observa o número crescente de questões de privacidade, tanto no sector privado como no sector público, que têm implicações a nível nacional em muitos Estados-Membros e em que o Grupo de Trabalho tem um papel específico a desempenhar. |
| --- | --- |

152.

A forma como a EDPS e o Grupo de Trabalho cooperam também poderá ser melhorada. A EDPS é membro do Grupo de Trabalho e contribui no seu seio para as posições relativas aos principais avanços estratégicos da UE, ao mesmo tempo que garante a coerência com as suas próprias posições. A EDPS observa o número crescente de questões de privacidade, tanto no sector privado como no sector público, que têm implicações a nível nacional em muitos Estados-Membros e em que o Grupo de Trabalho tem um papel específico a desempenhar.

| 153. | A EDPS desempenha a função complementar de emitir pareceres sobre a evolução no contexto da UE, a qual deve ser mantida. Como organismo europeu, exerce a sua competência consultiva junto das Instituições da UE da mesma forma que as APD aconselham os respectivos governos. |
| --- | --- |

153.

A EDPS desempenha a função complementar de emitir pareceres sobre a evolução no contexto da UE, a qual deve ser mantida. Como organismo europeu, exerce a sua competência consultiva junto das Instituições da UE da mesma forma que as APD aconselham os respectivos governos.

| 154. | A EDPS e o Grupo de Trabalho actuam de uma perspectiva diferente, mas complementar. É, por isso, necessário preservar e talvez melhorar a coordenação entre o Grupo de Trabalho e a EDPS, a fim de assegurar que colaboram nas principais questões de protecção de dados, por exemplo coordenando as suas agendas regularmente (61) e garantindo a transparências nas questões que têm um aspecto mais nacional ou mais especificamente da UE. |
| --- | --- |

154.

A EDPS e o Grupo de Trabalho actuam de uma perspectiva diferente, mas complementar. É, por isso, necessário preservar e talvez melhorar a coordenação entre o Grupo de Trabalho e a EDPS, a fim de assegurar que colaboram nas principais questões de protecção de dados, por exemplo coordenando as suas agendas regularmente (61) e garantindo a transparências nas questões que têm um aspecto mais nacional ou mais especificamente da UE.

| 155. | A coordenação não é mencionada na actual directiva pela simples razão de que a EDPS não existia na altura em que ela foi adoptada, mas ao fim de seis anos de existência, as complementaridades da EDPS e do Grupo de Trabalho são visíveis e poderiam ser formalmente reconhecidas. A EDPS recorda que, nos termos do Regulamento (CE) n.o 45/2001, tem o dever de cooperar com as APD nacionais e de participar nas actividades do Grupo de Trabalho. Recomenda, assim, que se mencione explicitamente a cooperação no novo diploma e que ela seja estruturada na medida do necessário, por exemplo, prevendo um procedimento de cooperação. |
| --- | --- |

155.

A coordenação não é mencionada na actual directiva pela simples razão de que a EDPS não existia na altura em que ela foi adoptada, mas ao fim de seis anos de existência, as complementaridades da EDPS e do Grupo de Trabalho são visíveis e poderiam ser formalmente reconhecidas. A EDPS recorda que, nos termos do Regulamento (CE) n.o 45/2001, tem o dever de cooperar com as APD nacionais e de participar nas actividades do Grupo de Trabalho. Recomenda, assim, que se mencione explicitamente a cooperação no novo diploma e que ela seja estruturada na medida do necessário, por exemplo, prevendo um procedimento de cooperação.

10.6.   Cooperação entre a EDPS e as APD na supervisão dos sistemas da UE

| 156. | Estas considerações são igualmente aplicáveis a domínios em que a supervisão deve ser coordenada entre o nível europeu e o nível nacional. É o caso dos organismos da UE que tratam significativas quantidades de dados entregues pelas autoridades nacionais ou dos sistemas de informação de grande dimensão com uma componente europeia ou nacional. |
| --- | --- |

156.

Estas considerações são igualmente aplicáveis a domínios em que a supervisão deve ser coordenada entre o nível europeu e o nível nacional. É o caso dos organismos da UE que tratam significativas quantidades de dados entregues pelas autoridades nacionais ou dos sistemas de informação de grande dimensão com uma componente europeia ou nacional.

| 157. | O actual sistema de alguns organismos da UE e sistemas de informação de grande dimensão — por exemplo, a Europol, a Eurojust e a primeira geração do Sistema de Informação Schengen (SIS) têm instâncias comuns de controlo com representantes das APD nacionais — é uma reminiscência da cooperação intergovernamental da era anterior ao Tratado de Lisboa e não respeita a estrutura institucional da UE, de que a Europol e a Eurojust são agora uma parte integrante e na qual o «acervo de Schengen» também já foi integrado (62). |
| --- | --- |

157.

O actual sistema de alguns organismos da UE e sistemas de informação de grande dimensão — por exemplo, a Europol, a Eurojust e a primeira geração do Sistema de Informação Schengen (SIS) têm instâncias comuns de controlo com representantes das APD nacionais — é uma reminiscência da cooperação intergovernamental da era anterior ao Tratado de Lisboa e não respeita a estrutura institucional da UE, de que a Europol e a Eurojust são agora uma parte integrante e na qual o «acervo de Schengen» também já foi integrado (62).

| 158. | A Comunicação anuncia que a Comissão irá lançar em 2011 uma consulta das partes interessadas sobre a revisão destes sistemas de supervisão. A EDPS insta a Comissão a tomar posição, o mais rapidamente possível (num prazo curto e especificado, ver supra), no actual debate sobre a supervisão. Nesse debate, a EDPS assumirá o seguinte ponto de vista. |
| --- | --- |

158.

A Comunicação anuncia que a Comissão irá lançar em 2011 uma consulta das partes interessadas sobre a revisão destes sistemas de supervisão. A EDPS insta a Comissão a tomar posição, o mais rapidamente possível (num prazo curto e especificado, ver supra), no actual debate sobre a supervisão. Nesse debate, a EDPS assumirá o seguinte ponto de vista.

| 159. | Como ponto de partida, deve garantir-se que todos os organismos de supervisão preenchem os indispensáveis critérios de independência, recursos e poderes de execução. Além disso, deve assegurar-se que as perspectivas e os conhecimentos especializados existentes a nível da UE são tidos em conta. Isto significa que a cooperação se deve verificar não só entre as autoridades nacionais, mas também com a APD europeia (actual EDPS). A EDPS considera necessário seguir um modelo que preencha estes requisitos (63). |
| --- | --- |

159.

Como ponto de partida, deve garantir-se que todos os organismos de supervisão preenchem os indispensáveis critérios de independência, recursos e poderes de execução. Além disso, deve assegurar-se que as perspectivas e os conhecimentos especializados existentes a nível da UE são tidos em conta. Isto significa que a cooperação se deve verificar não só entre as autoridades nacionais, mas também com a APD europeia (actual EDPS). A EDPS considera necessário seguir um modelo que preencha estes requisitos (63).

| 160. | Nos últimos anos, foi desenvolvido o modelo de «supervisão coordenada». Este modelo de supervisão, presentemente em vigor no Eurodac e em partes do Sistema de Informações Aduaneiras, em breve será alargado ao Sistema de Informação sobre Vistos (SIV) e à segunda geração do Sistema de Informação Schengen (SIS II). Este modelo tem três níveis: (1) a supervisão a nível nacional é assegurada pelas APD; (2) a supervisão a nível da UE é assegurada pela EDPS; (3) a coordenação é assegurada através de reuniões regulares organizadas pela EDPS, actuando como secretariado deste mecanismo de coordenação. Este modelo já provou ser bem-sucedido e eficaz, devendo ser futuramente considerado para outros sistemas de informação. |
| --- | --- |

160.

Nos últimos anos, foi desenvolvido o modelo de «supervisão coordenada». Este modelo de supervisão, presentemente em vigor no Eurodac e em partes do Sistema de Informações Aduaneiras, em breve será alargado ao Sistema de Informação sobre Vistos (SIV) e à segunda geração do Sistema de Informação Schengen (SIS II). Este modelo tem três níveis: (1) a supervisão a nível nacional é assegurada pelas APD; (2) a supervisão a nível da UE é assegurada pela EDPS; (3) a coordenação é assegurada através de reuniões regulares organizadas pela EDPS, actuando como secretariado deste mecanismo de coordenação. Este modelo já provou ser bem-sucedido e eficaz, devendo ser futuramente considerado para outros sistemas de informação.

C.   COMO MELHORAR A APLICAÇÃO DO QUADRO ACTUAL?

11.   A curto prazo

| 161. | Embora o processo de revisão esteja em curso, há que envidar esforços para aplicar as normas actuais de forma plena e efectiva. Estas normas continuarão a ser aplicáveis até o futuro quadro ser adoptado e transposto para as legislações nacionais dos Estados-Membros. Neste sentido, é possível identificar várias linhas de acção. |
| --- | --- |

161.

Embora o processo de revisão esteja em curso, há que envidar esforços para aplicar as normas actuais de forma plena e efectiva. Estas normas continuarão a ser aplicáveis até o futuro quadro ser adoptado e transposto para as legislações nacionais dos Estados-Membros. Neste sentido, é possível identificar várias linhas de acção.

| 162. | Em primeiro lugar, a Comissão deverá continuar a acompanhar o cumprimento da Directiva 95/46/CE pelos Estados-Membros e, quando necessário, a utilizar os poderes que lhe são conferidos pelo artigo 258.o TFUE. Recentemente, foram instaurados processos por infracção devido à incorrecta aplicação do artigo 28.o da Directiva no que respeita ao requisito de independência das APD (64), mas é necessário fiscalizar e assegurar o pleno cumprimento também noutros domínios. (65) A EDPS acolhe, assim, favoravelmente e apoia inteiramente o compromisso formulado na Comunicação da Comissão de prosseguir uma política de repressão das infracções. A Comissão também deverá prosseguir o diálogo estrutural com os Estados-Membros sobre a implementação da directiva (66). |
| --- | --- |

162.

Em primeiro lugar, a Comissão deverá continuar a acompanhar o cumprimento da Directiva 95/46/CE pelos Estados-Membros e, quando necessário, a utilizar os poderes que lhe são conferidos pelo artigo 258.o TFUE. Recentemente, foram instaurados processos por infracção devido à incorrecta aplicação do artigo 28.o da Directiva no que respeita ao requisito de independência das APD (64), mas é necessário fiscalizar e assegurar o pleno cumprimento também noutros domínios. (65) A EDPS acolhe, assim, favoravelmente e apoia inteiramente o compromisso formulado na Comunicação da Comissão de prosseguir uma política de repressão das infracções. A Comissão também deverá prosseguir o diálogo estrutural com os Estados-Membros sobre a implementação da directiva (66).

| 163. | Em segundo lugar, a aplicação a nível nacional deve ser incentivada de modo a garantir a aplicação na prática das normas de protecção de dados, nomeadamente no que diz respeito aos novos fenómenos tecnológicos e aos intervenientes a nível mundial. As APD devem utilizar plenamente os seus poderes de investigação e sanção. É igualmente importante que os actuais direitos das pessoas em causa, em especial os direitos de acesso, sejam cabalmente postos em prática. |
| --- | --- |

163.

Em segundo lugar, a aplicação a nível nacional deve ser incentivada de modo a garantir a aplicação na prática das normas de protecção de dados, nomeadamente no que diz respeito aos novos fenómenos tecnológicos e aos intervenientes a nível mundial. As APD devem utilizar plenamente os seus poderes de investigação e sanção. É igualmente importante que os actuais direitos das pessoas em causa, em especial os direitos de acesso, sejam cabalmente postos em prática.

| 164. | Em terceiro lugar, afigura-se necessário assegurar uma maior coordenação da aplicação a curto prazo. O papel do G29 e dos seus documentos interpretativos nesta matéria é crucial, mas as APD também devem esforçar-se ao máximo para os pôr em prática. É necessário evitar resultados divergentes nos casos a nível da UE ou a nível mundial, sendo possível e desejável que se consiga chegar a posições comuns no âmbito do Grupo de Trabalho. As investigações coordenadas a nível da UE sob a égide do Grupo de Trabalho também podem trazer um valor acrescentado significativo. |
| --- | --- |

164.

Em terceiro lugar, afigura-se necessário assegurar uma maior coordenação da aplicação a curto prazo. O papel do G29 e dos seus documentos interpretativos nesta matéria é crucial, mas as APD também devem esforçar-se ao máximo para os pôr em prática. É necessário evitar resultados divergentes nos casos a nível da UE ou a nível mundial, sendo possível e desejável que se consiga chegar a posições comuns no âmbito do Grupo de Trabalho. As investigações coordenadas a nível da UE sob a égide do Grupo de Trabalho também podem trazer um valor acrescentado significativo.

| 165. | Em quarto lugar, os princípios de protecção de dados devem ser «incorporados» de forma proactiva nas novas regulamentações que possam ter um impacto directo ou indirecto na protecção de dados. A nível da UE, a EDPS realiza esforços consideráveis no sentido de contribuir para melhorar a legislação da UE, e esses esforços devem ser desenvolvidos também a nível nacional. As autoridades responsáveis pela protecção de dados devem, pois, utilizar plenamente as suas competências consultivas para garantirem essa abordagem proactiva. As autoridades responsáveis pela protecção de dados, incluindo a EDPS, também podem desempenhar um papel proactivo no acompanhamento dos avanços tecnológicos. Esse acompanhamento é importante para identificar precocemente as tendências emergentes, revelando as suas eventuais implicações para a protecção de dados, apoiando soluções favoráveis a essa protecção e sensibilizando para ela as partes interessadas. |
| --- | --- |

165.

Em quarto lugar, os princípios de protecção de dados devem ser «incorporados» de forma proactiva nas novas regulamentações que possam ter um impacto directo ou indirecto na protecção de dados. A nível da UE, a EDPS realiza esforços consideráveis no sentido de contribuir para melhorar a legislação da UE, e esses esforços devem ser desenvolvidos também a nível nacional. As autoridades responsáveis pela protecção de dados devem, pois, utilizar plenamente as suas competências consultivas para garantirem essa abordagem proactiva. As autoridades responsáveis pela protecção de dados, incluindo a EDPS, também podem desempenhar um papel proactivo no acompanhamento dos avanços tecnológicos. Esse acompanhamento é importante para identificar precocemente as tendências emergentes, revelando as suas eventuais implicações para a protecção de dados, apoiando soluções favoráveis a essa protecção e sensibilizando para ela as partes interessadas.

| 166. | Por último, é necessário promover activamente uma cooperação aprofundada entre os diversos intervenientes a nível internacional, sendo, por isso, importante reforçar os instrumentos de cooperação internacionais. Iniciativas como as normas de Madrid e o trabalho em curso no âmbito do Conselho da Europa e da OCDE merecem todo o apoio. Neste contexto, é muito positivo que a Comissão Federal do Comércio dos EUA também tenha aderido agora à «família» dos Comissários para a Protecção dos Dados e da Vida Privada no âmbito da sua Conferência Internacional. |
| --- | --- |

166.

Por último, é necessário promover activamente uma cooperação aprofundada entre os diversos intervenientes a nível internacional, sendo, por isso, importante reforçar os instrumentos de cooperação internacionais. Iniciativas como as normas de Madrid e o trabalho em curso no âmbito do Conselho da Europa e da OCDE merecem todo o apoio. Neste contexto, é muito positivo que a Comissão Federal do Comércio dos EUA também tenha aderido agora à «família» dos Comissários para a Protecção dos Dados e da Vida Privada no âmbito da sua Conferência Internacional.

D.   CONCLUSÕES

OBSERVAÇÕES GERAIS

| 167. | A EDPS congratula-se com a Comunicação da Comissão em geral, pois considerar que a revisão do actual quadro normativo em matéria de protecção de dados é necessária para assegurar uma protecção eficaz numa sociedade da informação cada vez mais desenvolvida e globalizada. |
| --- | --- |

167.

A EDPS congratula-se com a Comunicação da Comissão em geral, pois considerar que a revisão do actual quadro normativo em matéria de protecção de dados é necessária para assegurar uma protecção eficaz numa sociedade da informação cada vez mais desenvolvida e globalizada.

| 168. | A Comunicação identifica as questões e os desafios principais. A EDPS concorda com a opinião da Comissão de que, no futuro, continuará a ser necessário um sistema de protecção de dados forte, com base na ideia de que os actuais princípios gerais de protecção de dados permanecem válidos numa sociedade sujeita a profundas mutações. A EDPS subscreve a afirmação da Comunicação de que os desafios são enormes e sublinha que, em consequência, as soluções propostas devem ter um nível de ambição correspondente e aumentar a eficácia da protecção. Por conseguinte, solicita uma abordagem mais ambiciosa em vários aspectos. |
| --- | --- |

168.

A Comunicação identifica as questões e os desafios principais. A EDPS concorda com a opinião da Comissão de que, no futuro, continuará a ser necessário um sistema de protecção de dados forte, com base na ideia de que os actuais princípios gerais de protecção de dados permanecem válidos numa sociedade sujeita a profundas mutações. A EDPS subscreve a afirmação da Comunicação de que os desafios são enormes e sublinha que, em consequência, as soluções propostas devem ter um nível de ambição correspondente e aumentar a eficácia da protecção. Por conseguinte, solicita uma abordagem mais ambiciosa em vários aspectos.

| 169. | A EDPS apoia totalmente a abordagem global da protecção de dados. No entanto, lamenta que a Comunicação exclua certos domínios do diploma geral, designadamente o tratamento de dados pelas instituições e os organismos da UE. Caso a Comissão efectivamente decida deixar de fora alguns domínios, a EDPS exorta-a a adoptar uma proposta para o nível da UE no mais curto prazo possível, mas de preferência até finais de 2011. |
| --- | --- |

169.

A EDPS apoia totalmente a abordagem global da protecção de dados. No entanto, lamenta que a Comunicação exclua certos domínios do diploma geral, designadamente o tratamento de dados pelas instituições e os organismos da UE. Caso a Comissão efectivamente decida deixar de fora alguns domínios, a EDPS exorta-a a adoptar uma proposta para o nível da UE no mais curto prazo possível, mas de preferência até finais de 2011.

PERSPECTIVAS PRINCIPAIS

| 170. | Para a EDPS os pontos de partida do processo de revisão são os seguintes:






  — | as disposições relativas à protecção de dados devem, tanto quanto possível, apoiar activamente outros interesses legítimos e não dificultá-los (como é o caso da economia europeia, da segurança das pessoas e da responsabilização dos governos), |
| --- | --- | --- |

170.

Para a EDPS os pontos de partida do processo de revisão são os seguintes:

—

as disposições relativas à protecção de dados devem, tanto quanto possível, apoiar activamente outros interesses legítimos e não dificultá-los (como é o caso da economia europeia, da segurança das pessoas e da responsabilização dos governos),

| — | os princípios gerais de protecção de dados não devem nem podem ser alterados, |
| --- | --- |

—

os princípios gerais de protecção de dados não devem nem podem ser alterados,

| — | a maior harmonização deve ser um dos principais objectivos da revisão, |
| --- | --- |

—

a maior harmonização deve ser um dos principais objectivos da revisão,

| — | a perspectiva dos direitos fundamentais deve estar no centro do processo de revisão. Um direito fundamental visa proteger os cidadãos em todas as circunstâncias, |
| --- | --- |

—

a perspectiva dos direitos fundamentais deve estar no centro do processo de revisão. Um direito fundamental visa proteger os cidadãos em todas as circunstâncias,

| — | o novo diploma deve incluir o sector policial e judiciário, |
| --- | --- |

—

o novo diploma deve incluir o sector policial e judiciário,

| — | o novo diploma deve ser, tanto quanto possível, formulado de forma tecnologicamente neutra e procurar gerar segurança jurídica a longo prazo. |
| --- | --- |

—

o novo diploma deve ser, tanto quanto possível, formulado de forma tecnologicamente neutra e procurar gerar segurança jurídica a longo prazo.

ELEMENTOS DE UM NOVO QUADRO

Harmonização e simplificação

| 171. | A EDPS congratula-se com o compromisso da Comissão de analisar os meios de conseguir maior harmonização das normas de protecção de dados a nível da UE. A EDPS aponta os domínios em que é urgente uma maior e melhor harmonização: definições, motivos para o tratamento de dados, direitos das pessoas em causa, transferências internacionais e autoridades responsáveis pela aplicação dos dados. |
| --- | --- |

171.

A EDPS congratula-se com o compromisso da Comissão de analisar os meios de conseguir maior harmonização das normas de protecção de dados a nível da UE. A EDPS aponta os domínios em que é urgente uma maior e melhor harmonização: definições, motivos para o tratamento de dados, direitos das pessoas em causa, transferências internacionais e autoridades responsáveis pela aplicação dos dados.

| 172. | A EDPS sugere que se ponderem as seguintes alternativas para simplificar e/ou reduzir o âmbito dos requisitos de notificação:






  — | limitar a obrigação de notificação a alguns tipos de operações de tratamento que impliquem riscos específicos, |
| --- | --- | --- |

172.

A EDPS sugere que se ponderem as seguintes alternativas para simplificar e/ou reduzir o âmbito dos requisitos de notificação:

—

limitar a obrigação de notificação a alguns tipos de operações de tratamento que impliquem riscos específicos,

| — | uma obrigação de registo simples exigindo que os responsáveis pelo tratamento se registem (em lugar de se registarem todas as operações de tratamento de dados), |
| --- | --- |

—

uma obrigação de registo simples exigindo que os responsáveis pelo tratamento se registem (em lugar de se registarem todas as operações de tratamento de dados),

| — | a introdução de um formulário de notificação normalizado a nível pan-europeu. |
| --- | --- |

—

a introdução de um formulário de notificação normalizado a nível pan-europeu.

| 173. | No entender da EDPS, um regulamento, instrumento único directamente aplicável nos Estados-Membros, é o meio mais eficaz para proteger o direito fundamental à protecção de dados e alcançar uma maior convergência no mercado interno. |
| --- | --- |

173.

No entender da EDPS, um regulamento, instrumento único directamente aplicável nos Estados-Membros, é o meio mais eficaz para proteger o direito fundamental à protecção de dados e alcançar uma maior convergência no mercado interno.

Reforço dos direitos das pessoas

| 174. | A EDPS subscreve a Comunicação quando propõe que se reforcem os direitos das pessoas e apresenta as seguintes sugestões:






  — | pode introduzir-se na lei um princípio de transparência. Contudo, é mais importante reforçar as actuais disposições relativas à transparência (como os actuais artigos 10.o e 11.o da Directiva 95/46/CE), |
| --- | --- | --- |

174.

A EDPS subscreve a Comunicação quando propõe que se reforcem os direitos das pessoas e apresenta as seguintes sugestões:

—

pode introduzir-se na lei um princípio de transparência. Contudo, é mais importante reforçar as actuais disposições relativas à transparência (como os actuais artigos 10.o e 11.o da Directiva 95/46/CE),

| — | deve introduzir-se no diploma geral uma disposição sobre a notificação da violação dos dados pessoais, que alargue a todos os responsáveis pelo tratamento a obrigação aplicável a alguns prestadores que foi incluída na Directiva Privacidade e Comunicações Electrónicas revista, |
| --- | --- |

—

deve introduzir-se no diploma geral uma disposição sobre a notificação da violação dos dados pessoais, que alargue a todos os responsáveis pelo tratamento a obrigação aplicável a alguns prestadores que foi incluída na Directiva Privacidade e Comunicações Electrónicas revista,

| — | os limites do consentimento devem ser clarificados. Deve ponderar-se a possibilidade de prever um maior número de situações em que o consentimento explícito seja exigido, bem como a adopção de normas adicionais para o ambiente em linha, |
| --- | --- |

—

os limites do consentimento devem ser clarificados. Deve ponderar-se a possibilidade de prever um maior número de situações em que o consentimento explícito seja exigido, bem como a adopção de normas adicionais para o ambiente em linha,

| — | devem ser introduzidos direitos adicionais, como a portabilidade dos dados e o direito a ser esquecido, sobretudo para os serviços da sociedade da informação na Internet, |
| --- | --- |

—

devem ser introduzidos direitos adicionais, como a portabilidade dos dados e o direito a ser esquecido, sobretudo para os serviços da sociedade da informação na Internet,

| — | os interesses das crianças devem ser mais eficazmente protegidos com várias disposições suplementares, especificamente direccionadas para a recolha e o tratamento de dados relativos a crianças, |
| --- | --- |

—

os interesses das crianças devem ser mais eficazmente protegidos com várias disposições suplementares, especificamente direccionadas para a recolha e o tratamento de dados relativos a crianças,

| — | devem introduzir-se na legislação da UE mecanismos colectivos de recurso para a violação das normas de protecção de dados, a fim de outorgar poderes a entidades qualificadas para intentarem acções em nome de grupos de pessoas. |
| --- | --- |

—

devem introduzir-se na legislação da UE mecanismos colectivos de recurso para a violação das normas de protecção de dados, a fim de outorgar poderes a entidades qualificadas para intentarem acções em nome de grupos de pessoas.

Reforço das obrigações das organizações/responsáveis pelo tratamento

| 175. | O novo quadro deve conter incentivos para que os responsáveis pelo tratamento tomem a iniciativa de incluir medidas de protecção de dados nos seus processos operacionais. A EDPS propõe que se introduzam disposições gerais em matéria de responsabilização e de «privacidade desde a concepção». Também deve ser introduzida uma disposição relativa aos regimes de certificação da privacidade. |
| --- | --- |

175.

O novo quadro deve conter incentivos para que os responsáveis pelo tratamento tomem a iniciativa de incluir medidas de protecção de dados nos seus processos operacionais. A EDPS propõe que se introduzam disposições gerais em matéria de responsabilização e de «privacidade desde a concepção». Também deve ser introduzida uma disposição relativa aos regimes de certificação da privacidade.

Globalização e lei aplicável

| 176. | A EDPS apoia o ambicioso trabalho realizado no âmbito da Conferência Internacional dos Comissários para a Protecção dos Dados e da Vida Privada com o intuito de desenvolver as denominadas «normas de Madrid», tendo em vista a sua integração num instrumento vinculativo e o possível lançamento de uma conferência intergovernamental. A EDPS solicita à Comissão que tome medidas concretas nesse sentido, em estreita cooperação com a OCDE e o Conselho da Europa. |
| --- | --- |

176.

A EDPS apoia o ambicioso trabalho realizado no âmbito da Conferência Internacional dos Comissários para a Protecção dos Dados e da Vida Privada com o intuito de desenvolver as denominadas «normas de Madrid», tendo em vista a sua integração num instrumento vinculativo e o possível lançamento de uma conferência intergovernamental. A EDPS solicita à Comissão que tome medidas concretas nesse sentido, em estreita cooperação com a OCDE e o Conselho da Europa.

| 177. | Um novo diploma deve clarificar os critérios que determinam a lei aplicável. Deve garantir-se que os dados tratados fora das fronteiras da UE não escapam à jurisdição da União quando a aplicação da sua legislação se justificar. Se o quadro normativo assumir a forma de um regulamento, existirão normas idênticas em todos os Estados-Membros e tornar-se-á menos relevante determinar a lei aplicável (na UE). |
| --- | --- |

177.

Um novo diploma deve clarificar os critérios que determinam a lei aplicável. Deve garantir-se que os dados tratados fora das fronteiras da UE não escapam à jurisdição da União quando a aplicação da sua legislação se justificar. Se o quadro normativo assumir a forma de um regulamento, existirão normas idênticas em todos os Estados-Membros e tornar-se-á menos relevante determinar a lei aplicável (na UE).

| 178. | A EDPS apoia totalmente o objectivo de garantir uma abordagem mais uniforme e coerente face a países terceiros e a organizações internacionais. No diploma devem incluir-se normas vinculativas para as empresas. |
| --- | --- |

178.

A EDPS apoia totalmente o objectivo de garantir uma abordagem mais uniforme e coerente face a países terceiros e a organizações internacionais. No diploma devem incluir-se normas vinculativas para as empresas.

O domínio da polícia e da justiça

| 179. | Um instrumento global que inclua a polícia e a justiça pode prever normas especiais que tenham devidamente em conta as especificidades deste sector, em conformidade com a Declaração 21 anexada ao Tratado de Lisboa. É necessário adoptar garantias específicas, para compensar as pessoas em causa dando-lhes uma protecção adicional num domínio em que o tratamento de dados pessoais é, por natureza, mais invasivo. |
| --- | --- |

179.

Um instrumento global que inclua a polícia e a justiça pode prever normas especiais que tenham devidamente em conta as especificidades deste sector, em conformidade com a Declaração 21 anexada ao Tratado de Lisboa. É necessário adoptar garantias específicas, para compensar as pessoas em causa dando-lhes uma protecção adicional num domínio em que o tratamento de dados pessoais é, por natureza, mais invasivo.

| 180. | O novo quadro normativo deve, na medida do possível, ser claro, simples e coerente. Há que evitar a proliferação de diferentes regimes aplicáveis, por exemplo, à Europol, à Eurojust, ao SIS e à Decisão Prüm. A EDPS compreende que a harmonização das normas dos diversos sistemas terá de ser realizada de forma cuidadosa e gradual. |
| --- | --- |

180.

O novo quadro normativo deve, na medida do possível, ser claro, simples e coerente. Há que evitar a proliferação de diferentes regimes aplicáveis, por exemplo, à Europol, à Eurojust, ao SIS e à Decisão Prüm. A EDPS compreende que a harmonização das normas dos diversos sistemas terá de ser realizada de forma cuidadosa e gradual.

As APD e a cooperação entre APD

| 181. | A EDPS apoia inteiramente o objectivo da Comissão de abordar a questão do estatuto das autoridades responsáveis pela protecção de dados (APD) e de reforçar a sua independência, os seus recursos e os seus poderes de execução. Recomenda:






  — | que se codifique no novo diploma o conceito essencial de independência das APD, tal como é especificado pelo Tribunal de Justiça Europeu, |
| --- | --- | --- |

181.

A EDPS apoia inteiramente o objectivo da Comissão de abordar a questão do estatuto das autoridades responsáveis pela protecção de dados (APD) e de reforçar a sua independência, os seus recursos e os seus poderes de execução. Recomenda:

—

que se codifique no novo diploma o conceito essencial de independência das APD, tal como é especificado pelo Tribunal de Justiça Europeu,

| — | que se consagre na legislação que as APD devem ser dotadas de recursos suficientes, |
| --- | --- |

—

que se consagre na legislação que as APD devem ser dotadas de recursos suficientes,

| — | que se outorguem às autoridades poderes harmonizados de investigação e sanção. |
| --- | --- |

—

que se outorguem às autoridades poderes harmonizados de investigação e sanção.

| 182. | A EDPS sugere que se introduzam novas melhorias no funcionamento do Grupo de Trabalho do artigo 29.o, nomeadamente quanto à sua independência e infra-estrutura. O Grupo de Trabalho também deve ser dotado de recursos suficientes e de um secretariado reforçado. |
| --- | --- |

182.

A EDPS sugere que se introduzam novas melhorias no funcionamento do Grupo de Trabalho do artigo 29.o, nomeadamente quanto à sua independência e infra-estrutura. O Grupo de Trabalho também deve ser dotado de recursos suficientes e de um secretariado reforçado.

| 183. | A EDPS sugere que se reforce o papel consultivo do Grupo de Trabalho mediante a introdução de uma obrigação para que as APD e a Comissão tenham na melhor conta os pareceres e as posições comuns emitidos pelo Grupo de Trabalho. A EDPS não é favorável a que as posições do Grupo de Trabalho se tornem vinculativas, sobretudo devido ao estatuto independente das diversas APD. A EDPS recomenda que a Comissão introduza disposições específicas para aumentar a cooperação com a EDPS no novo diploma. |
| --- | --- |

183.

A EDPS sugere que se reforce o papel consultivo do Grupo de Trabalho mediante a introdução de uma obrigação para que as APD e a Comissão tenham na melhor conta os pareceres e as posições comuns emitidos pelo Grupo de Trabalho. A EDPS não é favorável a que as posições do Grupo de Trabalho se tornem vinculativas, sobretudo devido ao estatuto independente das diversas APD. A EDPS recomenda que a Comissão introduza disposições específicas para aumentar a cooperação com a EDPS no novo diploma.

| 184. | A EDPS insta a Comissão a tomar posição, o mais rapidamente possível, sobre a questão da supervisão dos organismos da UE e dos sistemas de informação de grande dimensão, tomando em consideração que todos os organismos de supervisão devem satisfazer os indispensáveis critérios de independência, recursos suficientes e poderes de execução, e que se deve garantir que a perspectiva da UE está devidamente representada. A EDPS apoia o modelo de «supervisão coordenada». |
| --- | --- |

184.

A EDPS insta a Comissão a tomar posição, o mais rapidamente possível, sobre a questão da supervisão dos organismos da UE e dos sistemas de informação de grande dimensão, tomando em consideração que todos os organismos de supervisão devem satisfazer os indispensáveis critérios de independência, recursos suficientes e poderes de execução, e que se deve garantir que a perspectiva da UE está devidamente representada. A EDPS apoia o modelo de «supervisão coordenada».

Melhorias no âmbito do actual sistema:

| 185. | A EDPS incentiva a Comissão a:






  — | continuar a acompanhar o cumprimento da Directiva 95/46/CE pelos Estados-Membros e, sempre que necessário, a utilizar os poderes de execução que lhe são conferidos pelo artigo 258.o TFUE, |
| --- | --- | --- |

185.

A EDPS incentiva a Comissão a:

—

continuar a acompanhar o cumprimento da Directiva 95/46/CE pelos Estados-Membros e, sempre que necessário, a utilizar os poderes de execução que lhe são conferidos pelo artigo 258.o TFUE,

| — | incentivar a aplicação a nível nacional e a coordenação da aplicação, |
| --- | --- |

—

incentivar a aplicação a nível nacional e a coordenação da aplicação,

| — | incorporar de forma proactiva os princípios de protecção de dados nas novas regulamentações que possam ter impacto, directa ou indirectamente, na protecção de dados, |
| --- | --- |

—

incorporar de forma proactiva os princípios de protecção de dados nas novas regulamentações que possam ter impacto, directa ou indirectamente, na protecção de dados,

| — | prosseguir e aprofundar a cooperação entre os vários intervenientes a nível internacional. |
| --- | --- |

—

prosseguir e aprofundar a cooperação entre os vários intervenientes a nível internacional.

Feito em Bruxelas, em 14 de Janeiro de 2011.

Peter HUSTINX

Supervisor Europeu para a Protecção de Dados

---

(1)  JO L 281, 23.11.1995, p. 31.

1

(2)  JO L 8, 12.1.2001, p. 1.

2

(3)  COM(2010) 609 final.

3

(4)  Ver pág. 5 da Comunicação, n.o 1.

4

o

(5)  Parecer da Autoridade Europeia para a Protecção de Dados, de 25 de Julho de 2007, respeitante à Comunicação da Comissão ao Parlamento Europeu e ao Conselho sobre o acompanhamento do programa de trabalho para uma melhor aplicação da directiva relativa à protecção de dados, JO C 255 de 27.10.2007, p. 1.

5

(6)  Nomeadamente (ver ponto 77 do parecer): não há necessidade de alterar os princípios existentes, mas é claramente necessário estabelecer outras disposições administrativas; não deve ser alterado o vasto âmbito de aplicação da lei aplicável a todas as utilizações de dados pessoais; a legislação em matéria de protecção de dados deve permitir uma abordagem equilibrada em casos concretos, devendo igualmente permitir a definição de prioridades por parte das autoridades responsáveis na matéria; o sistema deverá aplicar-se plenamente à utilização de dados pessoais para efeitos de aplicação da lei, embora possam ser necessárias medidas suplementares adequadas para fazer face a problemas especiais neste domínio.

6

(7)  Documento WP 168 (http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2009/wp168_en.pdf). A sua mensagem principal é de que uma alteração legislativa constitui uma boa oportunidade para clarificar algumas normas e princípios fundamentais (por exemplo, o consentimento e a transparência), introduzir princípios novos (por exemplo, a privacidade desde a concepção e a responsabilização), reforçar a eficácia mediante a modernização das disposições (por exemplo, limitando os actuais requisitos de notificação) e incluir todos os domínios num único quadro normativo global (incluindo a cooperação policial e judiciária).

7

(8)  Os pontos abordados na conferência de imprensa estão disponíveis no sítio Web da EDPS, no endereço: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/Publications/Speeches/2010/10-11-15_Press_conf_speaking_points_PHBG_EN.pdf

8

Web

(9)  Programa de Estocolmo — Uma Europa aberta e segura que sirva e proteja os cidadãos, JO C 115 de 4.5.2010, p. 1, na p. 10.

9

(10)  Convenção 108 do Conselho da Europa para a Protecção das Pessoas relativamente ao Tratamento Automatizado de Dados de Carácter Pessoal, ETS n.o 108, 28 Janeiro 1981.

10

o

(11)  Directrizes sobre a protecção da privacidade e os fluxos transfronteiras de dados pessoais, publicadas em http://www.oecd.org

11

(12)  Essa importância da protecção de dados e a sua ligação à vida privada na Carta dos Direitos Fundamentais foram salientadas pelo Tribunal de Justiça no seu Acórdão de 9 de Novembro de 2010, Processos apensos C-92/09 e C-93/09, Schecke, ainda não publicados na Colectânea de Jurisprudência.

12

Schecke

(13)  Ver Parecer da Autoridade Europeia para a Protecção de Dados, de 18 de Março de 2010, sobre a promoção da confiança na sociedade da informação através do reforço da protecção dos dados e da privacidade, JO C 280 de 16.10.2010, p. 1, ponto 113.

13

(14)  Ver, por exemplo, o Parecer da EDPS, de 10 de Julho de 2009, sobre a Comunicação da Comissão ao Parlamento Europeu e ao Conselho «Um espaço de liberdade, de segurança e de justiça ao serviço dos cidadãos», JO C 276 de 17.9.2009, p. 8.

14

(15)  O conceito de segurança ultrapassa a mera segurança física, mas para ilustrar os argumentos em apreço é aqui utilizado na sua acepção mais limitada.

15

(16)  Ver também o Parecer da EDPS, de 25 de Julho de 2007, respeitante à Comunicação da Comissão ao Parlamento Europeu e ao Conselho sobre o acompanhamento do programa de trabalho para uma melhor aplicação da directiva relativa à protecção de dados, ponto 17, que se baseia na jurisprudência do Tribunal Europeu dos Direitos do Homem e do Tribunal de Justiça Europeu.

16

(17)  Ver nota de pé-de-paginá 7.

17

(18)  O presente parecer concentrar-se-á principalmente no antigo terceiro pilar (cooperação policial e judiciária em matéria penal), uma vez que o antigo segundo pilar é um domínio do direito da UE não só mais complicado (tal como reconhecem o artigo 16.o TFUE e o artigo 39.o TUE), mas também menos pertinente para o tratamento de dados.

18

o

o

(19)  Ver, por exemplo, a Comunicação da Comissão sobre a abordagem global relativa à transferência dos dados do registo de identificação dos passageiros (PNR) para países terceiros, COM(2010) 492 final.

19

(20)  Directiva 2006/24/CE do Parlamento Europeu e do Conselho, de 15 de Março de 2006, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações electrónicas publicamente disponíveis ou de redes públicas de comunicações, e que altera a Directiva 2002/58/CE (JO L 105 de 13.4.2006, p. 54).

20

(21)  Decisão-Quadro 2008/977/JAI do Conselho, de 27 de Novembro de 2008, relativa à protecção dos dados pessoais tratados no âmbito da cooperação policial e judiciária em matéria penal JO L 350 de 30.12.2008, p. 60.

21

(22)  Definido em «A Internet das coisas: um plano de acção para a Europa», COM(2009) 278 Final.

22

(23)  Ver pág. 14 da Comunicação e secção 3.2.5 do presente parecer.

23

(24)  Ver também Parecer da EDPS, de 24 de Novembro de 2010, sobre a Comunicação da Comissão ao Parlamento Europeu e ao Conselho — «A política de luta contra o terrorismo da UE: principais realizações e desafios futuros», ponto 31,

24

(25)  Ver também documento do Grupo de Trabalho sobre o Futuro da Privacidade (nota de rodapé 7), n.os 18-21.

25

os

(26)  Comunicação, pág. 10.

26

(27)  Ver documento do Grupo de Trabalho sobre o Futuro de Privacidade (nota de rodapé 7), ponto 70. O documento refere, em particular, as disposições relativas à responsabilidade e à possibilidade de pedir indemnizações por danos morais.

27

(28)  Também existem abordagens divergentes no que se refere aos dados tratados manualmente.

28

(29)  Ver Parecer 1 de 2010 do Grupo de Trabalho do Artigo 29.o sobre os conceitos de «responsável pelo tratamento» e «subcontratante» (WP 169).

29

o

(30)  O artigo 8.o, n.os 4 e 5, autoriza actualmente, em determinadas condições, que os Estados-Membros prevejam outras derrogações em relação aos dados sensíveis.

30

o

o

(31)  Ver, a este respeito, o Primeiro Relatório da Comissão sobre a implementação da Directiva relativa à protecção de dados, atrás citado, pág. 14.

31

(32)  Documento do Grupo de Trabalho sobre o Futuro da Privacidade, n.o 87.

32

o

(33)  Processo C-518/07, Comissão das Comunidades Europeias contra República Federal da Alemanha, ainda não publicado na Colectânea de Jurisprudência.

33

Comissão das Comunidades Europeias

República Federal da Alemanha

(34)  Ver nota de pé-de-página 26.

34

(35)  Ver nota de pé-de-página 26.

35

(36)  Relatório do Grupo de Trabalho do Artigo 29.o sobre a obrigação de notificar as autoridades nacionais de supervisão, a melhor utilização das excepções e simplificações e o papel dos responsáveis pela protecção de dados na União Europeia, WP 106, 2005, p. 7.

36

o

(37)  Ver artigo 27.o do Regulamento, JO L 8 de 12.1.2001, p. 1.

37

o

(38)  Ver Comunicação, pág. 6.

38

(39)  O Grupo de Trabalho do Artigo 29.o está a trabalhar num parecer sobre o «consentimento». Esse parecer poderá dar lugar a sugestões suplementares.

39

o

(40)  O consentimento está normalmente ligado à idade em que as crianças podem assumir obrigações contratuais, partindo-se do pressuposto de que as crianças já atingiram um certo nível de maturidade. Por exemplo, a legislação espanhola exige uma autorização parental para recolher os dados de crianças de idade inferior a 14 anos. Acima desta idade, considera-se que as crianças podem dar o seu consentimento. No Reino Unido, a Lei da protecção de dados não refere idades ou limites de idade específicos. Contudo, a autoridade de protecção de dados do Reino Unido interpreta-a no sentido de que as crianças com mais de 12 anos já possam dar o seu consentimento. Em contrapartida, as crianças com menos de 12 anos não o podem fazer e para obter os seus dados pessoais é necessário obter a autorização prévia dos pais ou de um tutor.

40

(41)  Nos EUA, a COPPA (Children's Online Privacy Protection Act Rule) requer que os operadores de sítios Internet ou de serviços em linha comerciais dirigidos a crianças com menos de 13 anos de idade obtenham o consentimento dos pais antes de recolherem informações pessoais e que os operadores de sítios Internet comerciais com um público generalista tenham um conhecimento efectivo de que determinados visitantes são crianças.

41

(42)  Ver também o Parecer da EDPS, de 25 de Julho de 2007, respeitante à Comunicação da Comissão ao Parlamento Europeu e ao Conselho sobre o acompanhamento do programa de trabalho para uma melhor aplicação da directiva relativa à protecção de dados, JO C 255 de 27.10.2007, p. 10.

42

(43)  Algumas legislações nacionais já prevêem mecanismos semelhantes.

43

(44)  Resolução sobre a Privacidade desde a Concepção, aprovada pela 32.a Conferência Internacional dos Comissários para a Protecção dos Dados e da Vida Privada, Jerusalém, 27-29 de Outubro de 2010.

44

a

(45)  A Directiva inclui disposições que exigem indirectamente a aplicação da privacidade desde a concepção, em diversas situações. Em especial, o artigo 17.o exige que os responsáveis pelo tratamento ponham em prática medidas técnicas e organizativas para impedir o tratamento ilícito de dados. A Directiva Privacidade e Comunicações Electrónicas é mais explícita. No artigo 14.o, n.o 3, prevê que «Caso seja necessário, poderão ser adoptadas medidas para garantir que o equipamento terminal seja construído de uma forma compatível com o direito de os utilizadores protegerem e controlarem a utilização dos seus dados pessoais, em conformidade com o disposto na Directiva 1999/5/CE e na Decisão 87/95/CEE do Conselho, de 22 de Dezembro de 1986, relativa à normalização no domínio das tecnologias da informação e das telecomunicações».

45

o

o

o

(46)  No quadro actual, o considerando 46 incentiva os responsáveis pelo tratamento a aplicarem tais medidas, mas é claro que um considerando não é vinculativo.

46

(47)  Tal como é sugerido na Resolução sobre as normas internacionais, aprovada pela 32.a Conferência dos Comissários para a Protecção de Dados e da Vida Privada, Jerusalém 27-29 de Outubro de 2010.

47

a

(48)  Parecer 8/2010 do Grupo de Trabalho do Artigo 29.o sobre a lei aplicável, WP 179.

48

o

(49)  Relativamente às transferências internacionais, ver também o Capítulo 8 do parecer.

49

(50)  Ver a este respeito o Parecer da EDPS, de 30 de Setembro de 2010, sobre a Comunicação da Comissão ao Parlamento Europeu e ao Conselho — «Apresentação geral da gestão da informação no domínio da liberdade, segurança e justiça», pontos 9-19.

50

(51)  Ver secção 3.2.5 supra.

51

supra

(52)  Este é, actualmente, o âmbito limitado da Decisão-Quadro 2008/977/JAI.

52

(53)  Neste sentido, ver documento do Grupo de Trabalho sobre o Futuro da Privacidade, n.o 112.

53

o

(54)  Processo C-518/07, Comissão contra República Federal da Alemanha, ainda não publicado na Colectânea de Jurisprudência.

54

Comissão

República Federal da Alemanha

(55)  Ver, por exemplo, o artigo 43.o, n.o 2, do Regulamento (CE) n.o 45/2001, que contém esse requisito em relação à EDPS.

55

o

o

o

(56)  Regulamento (CE) n.o 1211/2009 do Parlamento Europeu e do Conselho, de 25 de Novembro de 2009, que cria o Organismo de Reguladores Europeus das Comunicações Electrónicas (ORECE) e o Gabinete, JO L 337 de 18.12.2009, p. 1.

56

o

(57)  Para além do Grupo de Trabalho do Artigo 29.o, a Conferência Europeia dos Comissários para a Protecção dos Dados e da Vida Privada criou, há cerca de dez anos, um workshop permanente destinado a abordar as queixas transfronteiriças de forma coordenada. Embora este workshop represente um valor acrescentado indiscutível em termos de intercâmbio entre o pessoal das APD e ofereça uma rede fiável de pontos de contacto, não pode ser considerado como um mecanismo de coordenação para a tomada de decisões.

57

o

workshop

workshop

(58)  Ver as cartas do Grupo de Trabalho do Artigo 29.o de 12 de Maio de 2010 e 26 de Maio de 2010, publicadas no sítio Internet do Grupo (http://ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/2010-others_en.htm).

58

o

(59)  Como já foi mencionado, está prevista uma obrigação semelhante no Regulamento (CE) n.o 1211/2009 que especifica as funções do Organismo de Reguladores Europeus das Comunicações Electrónicas (ORECE).

59

o

(60)  Ver, a este respeito, o artigo 3.o do Regulamento (CE) n.o 1211/2009, atrás citado.

60

o

o

(61)  Por exemplo, com base no Inventário dos actos regulamentares, publicado anualmente e regularmente actualizado, que está disponível no sítio Internet da EDPS.

61

(62)  Nos termos do Regulamento (CE) n.o 45/2001, a EDPS tem o dever de cooperar com estes organismos.

62

o

(63)  No caso da Eurojust, o modelo também deve prever que a supervisão da protecção de dados respeite a independência do sistema judiciário, na medida em que a Eurojust trata dados no contexto dos processos penais.

63

(64)  Ver Processo C-518/07, atrás citado e o Comunicado de Imprensa da Comissão de 28 de Outubro de 2010 (IP/10/1430).

64

(65)  A Comissão instaurou um processo por infracção contra o Reino Unido devido à alegada violação de várias disposições de protecção de dados, incluindo o requisito de confidencialidade das comunicações electrónicas no que diz respeito à publicidade comportamental. Ver Comunicado de Imprensa da Comissão de 9 de Abril de 2009 (IP/09/570).

65

(66)  Ver, a este respeito, o Primeiro Relatório da Comissão sobre a implementação da Directiva relativa à protecção de dados, atrás citado, pp. 22 et seq.

66

et seq

---

| 22.6.2011 | PT | Jornal Oficial da União Europeia | C 181/24 |
| --- | --- | --- | --- |

22.6.2011

PT

Jornal Oficial da União Europeia

C 181/24

---

Parecer da Autoridade Europeia para a Protecção de Dados sobre a Proposta de Directiva do Parlamento Europeu e do Conselho relativa à utilização dos dados dos registos de identificação dos passageiros para efeitos de prevenção, detecção, investigação e repressão das infracções terroristas e da criminalidade grave

2011/C 181/02

A AUTORIDADE EUROPEIA PARA A PROTECÇÃO DE DADOS,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 16.o,

Tendo em conta a Carta dos Direitos Fundamentais da União Europeia, nomeadamente os artigos 7.o e 8.o,

Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1),

Tendo em conta o pedido de parecer apresentado nos termos do artigo 28.o, n.o 2, do Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (2),

ADOPTOU O SEGUINTE PARECER:

I.   INTRODUÇÃO

I.1.   Consulta da AEPD

| 1. | Em 2 de Fevereiro de 2011, a Comissão adoptou uma Proposta de Directiva do Parlamento Europeu e do Conselho relativa à utilização dos dados dos registos de identificação dos passageiros para efeitos de prevenção, detecção, investigação e repressão das infracções terroristas e da criminalidade grave (a seguir designada «a Proposta») (3). A Proposta foi enviada à AEPD para consulta no mesmo dia. |
| --- | --- |

1.

Em 2 de Fevereiro de 2011, a Comissão adoptou uma Proposta de Directiva do Parlamento Europeu e do Conselho relativa à utilização dos dados dos registos de identificação dos passageiros para efeitos de prevenção, detecção, investigação e repressão das infracções terroristas e da criminalidade grave (a seguir designada «a Proposta») (3). A Proposta foi enviada à AEPD para consulta no mesmo dia.

| 2. | A AEPD congratula-se com o facto de ter sido consultada pela Comissão. Ainda antes da adopção da Proposta, já lhe tinha sido oferecida a possibilidade de formular observações informais. Algumas dessas observações foram tidas em conta na Proposta, e a AEPD constata que, em termos globais, as garantias de protecção de dados nela incluídas foram reforçadas. Subsistem, todavia, algumas preocupações a respeito de várias questões, nomeadamente em relação à escala e aos objectivos da recolha de dados pessoais. |
| --- | --- |

2.

A AEPD congratula-se com o facto de ter sido consultada pela Comissão. Ainda antes da adopção da Proposta, já lhe tinha sido oferecida a possibilidade de formular observações informais. Algumas dessas observações foram tidas em conta na Proposta, e a AEPD constata que, em termos globais, as garantias de protecção de dados nela incluídas foram reforçadas. Subsistem, todavia, algumas preocupações a respeito de várias questões, nomeadamente em relação à escala e aos objectivos da recolha de dados pessoais.

I.2.   A proposta no seu contexto

| 3. | Os debates sobre um eventual sistema PNR na União Europeia têm vindo a desenvolver-se desde 2007, ano em que a Comissão adoptou uma proposta de decisão-quadro do Conselho sobre esta questão (4). O objectivo principal de um sistema PNR da UE é obrigar as transportadoras aéreas que operam voos internacionais entre a União Europeia e países terceiros a transmitir dados PNR de todos os passageiros às autoridades competentes para efeitos de prevenção, detecção, investigação e repressão das infracções terroristas e da criminalidade grave. Os dados seriam centralizados e analisados por unidades de informações de passageiros e os resultados da análise transmitidos às autoridades nacionais competentes de cada Estado-Membro. |
| --- | --- |

3.

Os debates sobre um eventual sistema PNR na União Europeia têm vindo a desenvolver-se desde 2007, ano em que a Comissão adoptou uma proposta de decisão-quadro do Conselho sobre esta questão (4). O objectivo principal de um sistema PNR da UE é obrigar as transportadoras aéreas que operam voos internacionais entre a União Europeia e países terceiros a transmitir dados PNR de todos os passageiros às autoridades competentes para efeitos de prevenção, detecção, investigação e repressão das infracções terroristas e da criminalidade grave. Os dados seriam centralizados e analisados por unidades de informações de passageiros e os resultados da análise transmitidos às autoridades nacionais competentes de cada Estado-Membro.

| 4. | Desde 2007 que a AEPD tem vindo a acompanhar atentamente a evolução relativa a um possível sistema PNR da UE, em paralelo com a dos sistemas PNR de países terceiros. Em 20 de Dezembro de 2007, a AEPD adoptou um parecer sobre essa proposta da Comissão (5). Em muitas outras ocasiões, foram formuladas observações consistentes, não só pela AEPD mas também pelo Grupo de Trabalho do Artigo 29.o
   (6), sobre a questão da conformidade do tratamento de dados PNR para efeitos de aplicação da lei com os princípios da necessidade e da proporcionalidade, bem como com outras garantias essenciais de protecção de dados. |
| --- | --- |

4.

Desde 2007 que a AEPD tem vindo a acompanhar atentamente a evolução relativa a um possível sistema PNR da UE, em paralelo com a dos sistemas PNR de países terceiros. Em 20 de Dezembro de 2007, a AEPD adoptou um parecer sobre essa proposta da Comissão (5). Em muitas outras ocasiões, foram formuladas observações consistentes, não só pela AEPD mas também pelo Grupo de Trabalho do Artigo 29.o
   (6), sobre a questão da conformidade do tratamento de dados PNR para efeitos de aplicação da lei com os princípios da necessidade e da proporcionalidade, bem como com outras garantias essenciais de protecção de dados.

| 5. | A principal questão persistentemente levantada pela AEPD centra-se na justificação da necessidade de um sistema PNR europeu adicionalmente a vários outros instrumentos que permitem o tratamento de dados pessoais para efeitos de aplicação da lei. |
| --- | --- |

5.

A principal questão persistentemente levantada pela AEPD centra-se na justificação da necessidade de um sistema PNR europeu adicionalmente a vários outros instrumentos que permitem o tratamento de dados pessoais para efeitos de aplicação da lei.

| 6. | A AEPD reconhece que na proposta em apreço há visíveis melhorias em termos de protecção de dados, comparativamente à versão que foi objecto dos seus pareceres anteriores. Essas melhorias estão, designadamente, relacionadas com o âmbito de aplicação da Proposta, a definição do papel dos diversos intervenientes (unidades de informações de passageiros), a exclusão do tratamento de dados sensíveis, a mudança para um sistema «push» sem um período de transição (7) e a limitação da conservação de dados. |
| --- | --- |

6.

A AEPD reconhece que na proposta em apreço há visíveis melhorias em termos de protecção de dados, comparativamente à versão que foi objecto dos seus pareceres anteriores. Essas melhorias estão, designadamente, relacionadas com o âmbito de aplicação da Proposta, a definição do papel dos diversos intervenientes (unidades de informações de passageiros), a exclusão do tratamento de dados sensíveis, a mudança para um sistema «push» sem um período de transição (7) e a limitação da conservação de dados.

| 7. | A AEPD também se congratula com os progressos adicionais registados na avaliação de impacto em relação às razões da existência de um sistema PNR da UE. Todavia, apesar de existir uma clara vontade de clarificar a necessidade do sistema, a AEPD continua a não considerar que essas novas justificações constituem uma base convincente para o desenvolvimento do sistema, sobretudo no que diz respeito à «avaliação prévia» em larga escala de todos os passageiros. A necessidade e a proporcionalidade serão a seguir analisadas no capítulo II. O capítulo III concentrar-se-á em aspectos mais específicos da proposta. |
| --- | --- |

7.

A AEPD também se congratula com os progressos adicionais registados na avaliação de impacto em relação às razões da existência de um sistema PNR da UE. Todavia, apesar de existir uma clara vontade de clarificar a necessidade do sistema, a AEPD continua a não considerar que essas novas justificações constituem uma base convincente para o desenvolvimento do sistema, sobretudo no que diz respeito à «avaliação prévia» em larga escala de todos os passageiros. A necessidade e a proporcionalidade serão a seguir analisadas no capítulo II. O capítulo III concentrar-se-á em aspectos mais específicos da proposta.

II.   NECESSIDADE E PROPORCIONALIDADE DA PROPOSTA

II.1.   Observações preliminares sobre a necessidade e a proporcionalidade

| 8. | A demonstração da necessidade e da proporcionalidade do tratamento de dados é um requisito absoluto para o desenvolvimento do sistema PNR. A AEPD já insistiu em ocasiões anteriores, nomeadamente no contexto da eventual revisão da Directiva 2006/24/CE (a «Directiva relativa à conservação de dados»), no facto de a necessidade de tratar ou armazenar quantidades maciças de informações dever assentar numa demonstração clara da relação entre utilização e resultado, e permitir a avaliação sine qua non da possibilidade de se obterem resultados comparáveis com meios alternativos, menos invasivos da privacidade (8). |
| --- | --- |

8.

A demonstração da necessidade e da proporcionalidade do tratamento de dados é um requisito absoluto para o desenvolvimento do sistema PNR. A AEPD já insistiu em ocasiões anteriores, nomeadamente no contexto da eventual revisão da Directiva 2006/24/CE (a «Directiva relativa à conservação de dados»), no facto de a necessidade de tratar ou armazenar quantidades maciças de informações dever assentar numa demonstração clara da relação entre utilização e resultado, e permitir a avaliação sine qua non da possibilidade de se obterem resultados comparáveis com meios alternativos, menos invasivos da privacidade (8).

| 9. | A fim de justificar o sistema, a Proposta e, sobretudo, a avaliação do seu impacto incluem uma vasta documentação e argumentos jurídicos para justificar que o sistema é necessário e que cumpre os requisitos de protecção de dados. A proposta vai, aliás, mais longe ao afirmar que ele traz valor acrescentado em termos de harmonização das normas relativas à protecção de dados. |
| --- | --- |

9.

A fim de justificar o sistema, a Proposta e, sobretudo, a avaliação do seu impacto incluem uma vasta documentação e argumentos jurídicos para justificar que o sistema é necessário e que cumpre os requisitos de protecção de dados. A proposta vai, aliás, mais longe ao afirmar que ele traz valor acrescentado em termos de harmonização das normas relativas à protecção de dados.

| 10. | Depois de analisar estes elementos, a AEPD considera que a Proposta, com o seu conteúdo actual, não cumpre os requisitos de necessidade e proporcionalidade impostos pelo artigo 8.o da Carta dos Direitos Fundamentais da União Europeia, o artigo 8.o da CEDH e o artigo 16.o do TFUE. O raciocínio subjacente a esta consideração é a seguir desenvolvido. |
| --- | --- |

10.

Depois de analisar estes elementos, a AEPD considera que a Proposta, com o seu conteúdo actual, não cumpre os requisitos de necessidade e proporcionalidade impostos pelo artigo 8.o da Carta dos Direitos Fundamentais da União Europeia, o artigo 8.o da CEDH e o artigo 16.o do TFUE. O raciocínio subjacente a esta consideração é a seguir desenvolvido.

II.2.   Documentos e estatísticas fornecidos pela Comissão

| 11. | A AEPD constata que a avaliação de impacto inclui amplas explicações e estatísticas para justificar a Proposta. Todavia, esses elementos não são convincentes. A título ilustrativo, a descrição da ameaça de terrorismo e criminalidade grave na avaliação de impacto e na exposição de motivos da Proposta (9) cita o número de 14 000 crimes por 100 000 habitantes nos Estados-Membros. em 2007. Embora este número se possa considerar impressionante, diz respeito a tipos de crimes indiferenciados e não pode servir para justificar uma proposta que visa combater apenas um tipo limitado de criminalidade transnacional grave e o terrorismo. Também a título de exemplo, a citação de um relatório sobre os «problemas» de droga sem ligar os dados estatísticos ao tipo de tráfico de droga visado pela proposta não constitui, no entender da AEPD, uma referência válida. O mesmo se aplica às indicações das consequências de crimes, referindo o «valor dos bens roubados» e o impacto psicológico e físico nas vítimas, que não são dados directamente relacionados com a finalidade da Proposta. |
| --- | --- |

11.

A AEPD constata que a avaliação de impacto inclui amplas explicações e estatísticas para justificar a Proposta. Todavia, esses elementos não são convincentes. A título ilustrativo, a descrição da ameaça de terrorismo e criminalidade grave na avaliação de impacto e na exposição de motivos da Proposta (9) cita o número de 14 000 crimes por 100 000 habitantes nos Estados-Membros. em 2007. Embora este número se possa considerar impressionante, diz respeito a tipos de crimes indiferenciados e não pode servir para justificar uma proposta que visa combater apenas um tipo limitado de criminalidade transnacional grave e o terrorismo. Também a título de exemplo, a citação de um relatório sobre os «problemas» de droga sem ligar os dados estatísticos ao tipo de tráfico de droga visado pela proposta não constitui, no entender da AEPD, uma referência válida. O mesmo se aplica às indicações das consequências de crimes, referindo o «valor dos bens roubados» e o impacto psicológico e físico nas vítimas, que não são dados directamente relacionados com a finalidade da Proposta.

| 12. | Como último exemplo, a avaliação de impacto afirma que a «Bélgica comunicou que 95 % de todas as apreensões de droga em 2009 foi exclusiva ou predominantemente devido ao tratamento de dados PNR». Convém salientar, todavia, que a Bélgica (ainda) não aplica sistematicamente um sistema PNR comparável ao que é previsto na Proposta. Esse exemplo pode indicar a utilidade dos dados PNR em casos específicos, o que a AEPD não contesta. O que suscita graves problemas de protecção de dados é antes a sua ampla recolha com o objectivo de fazer uma avaliação sistemática de todos os passageiros. |
| --- | --- |

12.

Como último exemplo, a avaliação de impacto afirma que a «Bélgica comunicou que 95 % de todas as apreensões de droga em 2009 foi exclusiva ou predominantemente devido ao tratamento de dados PNR». Convém salientar, todavia, que a Bélgica (ainda) não aplica sistematicamente um sistema PNR comparável ao que é previsto na Proposta. Esse exemplo pode indicar a utilidade dos dados PNR em casos específicos, o que a AEPD não contesta. O que suscita graves problemas de protecção de dados é antes a sua ampla recolha com o objectivo de fazer uma avaliação sistemática de todos os passageiros.

| 13. | A AEPD considera que não há suficiente documentação relevante e precisa que demonstre a necessidade do instrumento. |
| --- | --- |

13.

A AEPD considera que não há suficiente documentação relevante e precisa que demonstre a necessidade do instrumento.

II.3.   Condições para limitar um direito fundamental

| 14. | Embora o documento note a ingerência das medidas de tratamento de dados nos direitos consagrados na Carta, na CEDH e no artigo 16.o do TFUE, refere-se directamente às possíveis limitações desses direitos e manifesta satisfação com a conclusão de que «como as acções propostas se destinariam a combater o terrorismo e outros crimes graves, previstos num diploma legislativo, cumpririam claramente tais requisitos, desde que sejam necessárias numa sociedade democrática e cumpram o princípio da proporcionalidade (10)». Falta, contudo, uma demonstração clara de que as medidas são essenciais e de que não existem alternativas menos invasivas. |
| --- | --- |

14.

Embora o documento note a ingerência das medidas de tratamento de dados nos direitos consagrados na Carta, na CEDH e no artigo 16.o do TFUE, refere-se directamente às possíveis limitações desses direitos e manifesta satisfação com a conclusão de que «como as acções propostas se destinariam a combater o terrorismo e outros crimes graves, previstos num diploma legislativo, cumpririam claramente tais requisitos, desde que sejam necessárias numa sociedade democrática e cumpram o princípio da proporcionalidade (10)». Falta, contudo, uma demonstração clara de que as medidas são essenciais e de que não existem alternativas menos invasivas.

| 15. | Nesse sentido, o facto de objectivos adicionais, como a aplicação da lei no domínio da imigração, das «listas negras» e da segurança sanitária, terem sido previstos mas, finalmente, não incluídos por motivos de proporcionalidade não significa que «limitar» o tratamento de dados PNR à criminalidade grave e ao terrorismo seja de facto proporcionado por ser menos invasivo. A opção de limitar o sistema à luta contra o terrorismo, sem incluir outros crimes, tal como se previa em sistemas PNR anteriores, nomeadamente no anterior sistema PNR australiano, também não foi avaliada. A AEPD salienta que, nesse sistema anterior, sobre o qual o Grupo de Trabalho do Artigo 29.o adoptou um parecer favorável em 2004, os objectivos restringiam-se à «identificação dos passageiros que possam constituir uma ameaça de terrorismo ou actividade criminosa afim» (11). O sistema australiano também não previa qualquer conservação de dados PNR, excepto de passageiros específicos, identificados como constituindo uma ameaça específica (12). |
| --- | --- |

15.

Nesse sentido, o facto de objectivos adicionais, como a aplicação da lei no domínio da imigração, das «listas negras» e da segurança sanitária, terem sido previstos mas, finalmente, não incluídos por motivos de proporcionalidade não significa que «limitar» o tratamento de dados PNR à criminalidade grave e ao terrorismo seja de facto proporcionado por ser menos invasivo. A opção de limitar o sistema à luta contra o terrorismo, sem incluir outros crimes, tal como se previa em sistemas PNR anteriores, nomeadamente no anterior sistema PNR australiano, também não foi avaliada. A AEPD salienta que, nesse sistema anterior, sobre o qual o Grupo de Trabalho do Artigo 29.o adoptou um parecer favorável em 2004, os objectivos restringiam-se à «identificação dos passageiros que possam constituir uma ameaça de terrorismo ou actividade criminosa afim» (11). O sistema australiano também não previa qualquer conservação de dados PNR, excepto de passageiros específicos, identificados como constituindo uma ameaça específica (12).

| 16. | Além disso, no que diz respeito à previsibilidade da vigilância das pessoas em causa, é duvidoso que a Proposta da Comissão preencha os requisitos de uma base jurídica sólida nos termos do direito da UE: a «avaliação» dos passageiros (anteriormente designada «avaliação dos riscos») será realizada com base em critérios que estão em constante evolução e não são transparentes. Como se afirma explicitamente no texto, o principal objectivo do sistema não é o controlo fronteiriço tradicional, mas sim a obtenção de informações (13) e a detenção de pessoas que não são suspeitas, antes da prática de um crime. O desenvolvimento de um tal sistema à escala europeia, envolvendo a recolha de dados sobre todos os passageiros e a tomada de decisões com base em critérios de avaliação desconhecidos e em evolução, suscita sérias questões de transparência e proporcionalidade. |
| --- | --- |

16.

Além disso, no que diz respeito à previsibilidade da vigilância das pessoas em causa, é duvidoso que a Proposta da Comissão preencha os requisitos de uma base jurídica sólida nos termos do direito da UE: a «avaliação» dos passageiros (anteriormente designada «avaliação dos riscos») será realizada com base em critérios que estão em constante evolução e não são transparentes. Como se afirma explicitamente no texto, o principal objectivo do sistema não é o controlo fronteiriço tradicional, mas sim a obtenção de informações (13) e a detenção de pessoas que não são suspeitas, antes da prática de um crime. O desenvolvimento de um tal sistema à escala europeia, envolvendo a recolha de dados sobre todos os passageiros e a tomada de decisões com base em critérios de avaliação desconhecidos e em evolução, suscita sérias questões de transparência e proporcionalidade.

| 17. | A única finalidade que, no entender da AEPD, estaria conforme com os requisitos de transparência e proporcionalidade, seria a utilização de dados PNR caso a caso, como é mencionado no artigo 4.o, n.o 2, alínea c), mas apenas se houver uma ameaça grave e concreta determinada por indicadores concretos. |
| --- | --- |

17.

A única finalidade que, no entender da AEPD, estaria conforme com os requisitos de transparência e proporcionalidade, seria a utilização de dados PNR caso a caso, como é mencionado no artigo 4.o, n.o 2, alínea c), mas apenas se houver uma ameaça grave e concreta determinada por indicadores concretos.

II.4.   O risco de desvirtuamento da função

| 18. | O artigo 4.o, n.o 2, alínea b), prevê que uma unidade de informações de passageiros pode proceder a uma avaliação do risco representado pelos passageiros e que, nessa actividade, pode comparar os dados PNR com «bases de dados pertinentes», como é referido no artigo 4.o, n.o 2, alínea b). Esta disposição não indica quais são as bases de dados pertinentes. Em consequência, a medida não é previsível, o que também constitui um requisito da Carta e da CEDH. A disposição levanta, além do mais, a questão da sua compatibilidade com o princípio de limitação da finalidade: no entender da AEPD, deve ser excluída, por exemplo, em relação a uma base de dados como a do Eurodac, que foi desenvolvida para fins diferentes (14). Além disso, só deve ser possível caso haja uma necessidade específica, num caso específico em que exista uma suspeita prévia em relação a uma pessoa, depois de um crime ter sido cometido. A verificação, por exemplo, da base de dados do Sistema de Informação sobre Vistos (15) de forma sistemática comparando-a com todos os dados PNR seria excessiva e desproporcionada. |
| --- | --- |

18.

O artigo 4.o, n.o 2, alínea b), prevê que uma unidade de informações de passageiros pode proceder a uma avaliação do risco representado pelos passageiros e que, nessa actividade, pode comparar os dados PNR com «bases de dados pertinentes», como é referido no artigo 4.o, n.o 2, alínea b). Esta disposição não indica quais são as bases de dados pertinentes. Em consequência, a medida não é previsível, o que também constitui um requisito da Carta e da CEDH. A disposição levanta, além do mais, a questão da sua compatibilidade com o princípio de limitação da finalidade: no entender da AEPD, deve ser excluída, por exemplo, em relação a uma base de dados como a do Eurodac, que foi desenvolvida para fins diferentes (14). Além disso, só deve ser possível caso haja uma necessidade específica, num caso específico em que exista uma suspeita prévia em relação a uma pessoa, depois de um crime ter sido cometido. A verificação, por exemplo, da base de dados do Sistema de Informação sobre Vistos (15) de forma sistemática comparando-a com todos os dados PNR seria excessiva e desproporcionada.

II.5.   O valor acrescentado da proposta em termos de protecção de dados

| 19. | A ideia de que a proposta reforçaria a protecção de dados ao criar condições uniformes no que diz respeito aos direitos das pessoas é questionável. A AEPD reconhece que, caso a necessidade e a proporcionalidade do sistema sejam estabelecidas, a existência de normas uniformes na UE, incluindo em relação à protecção de dados, reforçaria a segurança jurídica. No entanto, a actual redacção da proposta, no seu considerando 28, menciona que a «directiva não obsta a que os Estados-Membros possam prever, ao abrigo do direito nacional, um sistema de recolha e tratamento dos dados PNR para objectivos diferentes dos previstos na presente directiva, ou recolher, junto de outros transportadores para além dos especificados na directiva, dados relativos aos voos internos (...)». |
| --- | --- |

19.

A ideia de que a proposta reforçaria a protecção de dados ao criar condições uniformes no que diz respeito aos direitos das pessoas é questionável. A AEPD reconhece que, caso a necessidade e a proporcionalidade do sistema sejam estabelecidas, a existência de normas uniformes na UE, incluindo em relação à protecção de dados, reforçaria a segurança jurídica. No entanto, a actual redacção da proposta, no seu considerando 28, menciona que a «directiva não obsta a que os Estados-Membros possam prever, ao abrigo do direito nacional, um sistema de recolha e tratamento dos dados PNR para objectivos diferentes dos previstos na presente directiva, ou recolher, junto de outros transportadores para além dos especificados na directiva, dados relativos aos voos internos (...)».

| 20. | A harmonização efectuada pela proposta é, por conseguinte, limitada. Pode abranger os direitos das pessoas em causa, mas não a limitação da finalidade, e pode presumir-se que, de acordo com esta redacção, os sistemas PNR já utilizados para combater, por exemplo, a imigração ilegal podem continuar a fazê-lo ao abrigo da Directiva. |
| --- | --- |

20.

A harmonização efectuada pela proposta é, por conseguinte, limitada. Pode abranger os direitos das pessoas em causa, mas não a limitação da finalidade, e pode presumir-se que, de acordo com esta redacção, os sistemas PNR já utilizados para combater, por exemplo, a imigração ilegal podem continuar a fazê-lo ao abrigo da Directiva.

| 21. | Isto significa que, por um lado, subsistiriam algumas diferenças entre os Estados-Membros que já desenvolveram um sistema PNR e que, por outro lado, a grande maioria dos Estados-Membros que não recolhem sistematicamente dados PNR (21 dos 27 Estados-Membros) seria obrigada a fazê-lo. A AEPD considera que, deste ponto de vista, qualquer valor acrescentado em termos de protecção de dados é muito questionável. |
| --- | --- |

21.

Isto significa que, por um lado, subsistiriam algumas diferenças entre os Estados-Membros que já desenvolveram um sistema PNR e que, por outro lado, a grande maioria dos Estados-Membros que não recolhem sistematicamente dados PNR (21 dos 27 Estados-Membros) seria obrigada a fazê-lo. A AEPD considera que, deste ponto de vista, qualquer valor acrescentado em termos de protecção de dados é muito questionável.

| 22. | Pelo contrário, as consequências do considerando 28 constituem uma grave violação do princípio de limitação da proporcionalidade. No entender da AEPD, a proposta deveria dispor explicitamente que os dados PNR não podem ser utilizados para outros fins. |
| --- | --- |

22.

Pelo contrário, as consequências do considerando 28 constituem uma grave violação do princípio de limitação da proporcionalidade. No entender da AEPD, a proposta deveria dispor explicitamente que os dados PNR não podem ser utilizados para outros fins.

| 23. | A AEPD chega a uma conclusão semelhante à que foi extraída da avaliação da Directiva relativa à conservação de dados: em ambos os contextos, a ausência de uma harmonização efectiva faz-se acompanhar pela ausência de segurança jurídica. Além disso, a recolha e o tratamento adicionais de dados pessoais tornam-se obrigatórios para todos os Estados-Membros, onde a real necessidade do sistema não foi demonstrada. |
| --- | --- |

23.

A AEPD chega a uma conclusão semelhante à que foi extraída da avaliação da Directiva relativa à conservação de dados: em ambos os contextos, a ausência de uma harmonização efectiva faz-se acompanhar pela ausência de segurança jurídica. Além disso, a recolha e o tratamento adicionais de dados pessoais tornam-se obrigatórios para todos os Estados-Membros, onde a real necessidade do sistema não foi demonstrada.

II.6.   Ligação com a Comunicação sobre a gestão da informação no domínio da liberdade, da segurança e justiça

| 24. | A AEPD constata ainda que a evolução em relação ao sistema PNR está ligada à avaliação geral em curso de todos os instrumentos da UE no domínio da gestão do intercâmbio de informações, lançada pela Comissão em Janeiro de 2010 e desenvolvida na recente Comunicação intitulada «Apresentação geral da gestão da informação no domínio da liberdade, segurança e justiça» (16). Existe, nomeadamente, uma ligação clara com o presente debate sobre a Estratégia Europeia de Gestão da Informação. A AEPD considera, a este respeito, que os resultados do actual trabalho sobre o modelo europeu de intercâmbio de informações, previstos para 2012, devem ser tidos em conta na avaliação da necessidade de um sistema PNR da União Europeia. |
| --- | --- |

24.

A AEPD constata ainda que a evolução em relação ao sistema PNR está ligada à avaliação geral em curso de todos os instrumentos da UE no domínio da gestão do intercâmbio de informações, lançada pela Comissão em Janeiro de 2010 e desenvolvida na recente Comunicação intitulada «Apresentação geral da gestão da informação no domínio da liberdade, segurança e justiça» (16). Existe, nomeadamente, uma ligação clara com o presente debate sobre a Estratégia Europeia de Gestão da Informação. A AEPD considera, a este respeito, que os resultados do actual trabalho sobre o modelo europeu de intercâmbio de informações, previstos para 2012, devem ser tidos em conta na avaliação da necessidade de um sistema PNR da União Europeia.

| 25. | Neste contexto, e atendendo às insuficiências da Proposta e sobretudo da sua avaliação de impacto, a AEPD considera ser necessário avaliar especificamente o impacto em matéria de privacidade e de protecção de dados em casos como este, em que a substância da Proposta afecta os direitos fundamentais à privacidade e à protecção de dados. Uma avaliação de impacto genérica não é suficiente. |
| --- | --- |

25.

Neste contexto, e atendendo às insuficiências da Proposta e sobretudo da sua avaliação de impacto, a AEPD considera ser necessário avaliar especificamente o impacto em matéria de privacidade e de protecção de dados em casos como este, em que a substância da Proposta afecta os direitos fundamentais à privacidade e à protecção de dados. Uma avaliação de impacto genérica não é suficiente.

III.   OBSERVAÇÕES ESPECÍFICAS

III.1.   Âmbito de aplicação

| 26. | Os termos «infracções terroristas», «criminalidade grave» e «criminalidade transnacional grave» são definidos no artigo 2.o, alíneas g), h) e i), da Proposta. A AEPD congratula-se com o facto de as definições — e o seu âmbito — terem sido explicitadas, fazendo-se uma diferenciação entre a criminalidade grave e a criminalidade transnacional grave. Esta distinção é bem-vinda, sobretudo por implicar um tratamento diferente dos dados pessoais, excluindo a avaliação com base em critérios pré-determinados no caso da criminalidade grave que não seja transnacional. |
| --- | --- |

26.

Os termos «infracções terroristas», «criminalidade grave» e «criminalidade transnacional grave» são definidos no artigo 2.o, alíneas g), h) e i), da Proposta. A AEPD congratula-se com o facto de as definições — e o seu âmbito — terem sido explicitadas, fazendo-se uma diferenciação entre a criminalidade grave e a criminalidade transnacional grave. Esta distinção é bem-vinda, sobretudo por implicar um tratamento diferente dos dados pessoais, excluindo a avaliação com base em critérios pré-determinados no caso da criminalidade grave que não seja transnacional.

| 27. | A definição de criminalidade grave ainda é, todavia, demasiado ampla, no entender da AEPD. Este facto é reconhecido pela Proposta, onde se diz que os Estados-Membros podem excluir infracções menores abrangidas pela definição de criminalidade grave (17) mas cujo tratamento seria contrário ao princípio da proporcionalidade. Esta redacção implica que a definição contida na Proposta pode incluir infracções menores, cujo tratamento seria desproporcionado. Aquilo que ficaria exactamente abrangido pelo conceito de infracções menores não é claro. Em lugar de se deixar aos Estados-Membros a faculdade de reduzir o âmbito de aplicação, a AEPD considera que a Proposta deveria enumerar explicitamente as infracções que devem ser incluídas no seu âmbito e aquelas que devem ser excluídas por serem consideradas menores e não preencherem o critério da proporcionalidade. |
| --- | --- |

27.

A definição de criminalidade grave ainda é, todavia, demasiado ampla, no entender da AEPD. Este facto é reconhecido pela Proposta, onde se diz que os Estados-Membros podem excluir infracções menores abrangidas pela definição de criminalidade grave (17) mas cujo tratamento seria contrário ao princípio da proporcionalidade. Esta redacção implica que a definição contida na Proposta pode incluir infracções menores, cujo tratamento seria desproporcionado. Aquilo que ficaria exactamente abrangido pelo conceito de infracções menores não é claro. Em lugar de se deixar aos Estados-Membros a faculdade de reduzir o âmbito de aplicação, a AEPD considera que a Proposta deveria enumerar explicitamente as infracções que devem ser incluídas no seu âmbito e aquelas que devem ser excluídas por serem consideradas menores e não preencherem o critério da proporcionalidade.

| 28. | A mesma preocupação se aplica à possibilidade deixada em aberto no artigo 5.o, n.o 5, de se tratarem dados relacionados com quaisquer outros tipos de infracções que sejam detectadas no decurso de acções repressivas, bem como à possibilidade mencionada no considerando 28 de alargar o âmbito de aplicação a outros objectivos diferentes dos previstos na Proposta, ou a outros transportadores. |
| --- | --- |

28.

A mesma preocupação se aplica à possibilidade deixada em aberto no artigo 5.o, n.o 5, de se tratarem dados relacionados com quaisquer outros tipos de infracções que sejam detectadas no decurso de acções repressivas, bem como à possibilidade mencionada no considerando 28 de alargar o âmbito de aplicação a outros objectivos diferentes dos previstos na Proposta, ou a outros transportadores.

| 29. | A AEPD também está preocupada com a possibilidade prevista no artigo 17.o de incluir os voos internos no âmbito de aplicação da directiva, à luz da experiência adquirida pelos Estados-Membros que já recolhem dados PNR. Um tal alargamento do âmbito do sistema PNR ameaçaria ainda mais os direitos fundamentais das pessoas e não deveria ser previsto antes de uma análise adequada, incluindo uma avaliação de impacto exaustiva. |
| --- | --- |

29.

A AEPD também está preocupada com a possibilidade prevista no artigo 17.o de incluir os voos internos no âmbito de aplicação da directiva, à luz da experiência adquirida pelos Estados-Membros que já recolhem dados PNR. Um tal alargamento do âmbito do sistema PNR ameaçaria ainda mais os direitos fundamentais das pessoas e não deveria ser previsto antes de uma análise adequada, incluindo uma avaliação de impacto exaustiva.

| 30. | Para concluir, deixar o âmbito de aplicação em aberto e conceder aos Estados-Membros a possibilidade de alargarem a finalidade é algo que contraria o requisito de que os dados só devem ser recolhidos para finalidades determinadas e explícitas. |
| --- | --- |

30.

Para concluir, deixar o âmbito de aplicação em aberto e conceder aos Estados-Membros a possibilidade de alargarem a finalidade é algo que contraria o requisito de que os dados só devem ser recolhidos para finalidades determinadas e explícitas.

III.2.   Unidades de informações de passageiros

| 31. | O papel das unidades de informações de passageiros (UIP) e as garantias que rodeiam o tratamento de dados PNR levantam questões específicas, principalmente tendo em conta que essas unidades recebem dados de todos os passageiros das transportadoras aéreas e possuem — nos termos da Proposta — amplas competências para tratar esses dados. Isto inclui a avaliação do comportamento de passageiros que não são suspeitos de qualquer crime e a possibilidade de comparar os dados PNR com bases de dados indeterminadas (18). A AEPD observa que na Proposta estão previstas condições de «acesso restritivo», mas considera que tais condições não são, só por si, suficientes, tendo em conta as amplas competências das UIP. |
| --- | --- |

31.

O papel das unidades de informações de passageiros (UIP) e as garantias que rodeiam o tratamento de dados PNR levantam questões específicas, principalmente tendo em conta que essas unidades recebem dados de todos os passageiros das transportadoras aéreas e possuem — nos termos da Proposta — amplas competências para tratar esses dados. Isto inclui a avaliação do comportamento de passageiros que não são suspeitos de qualquer crime e a possibilidade de comparar os dados PNR com bases de dados indeterminadas (18). A AEPD observa que na Proposta estão previstas condições de «acesso restritivo», mas considera que tais condições não são, só por si, suficientes, tendo em conta as amplas competências das UIP.

| 32. | Em primeiro lugar, a natureza da autoridade designada como unidade de informações de passageiros e a sua composição continuam a não ser claras. A Proposta menciona a possibilidade de os membros do pessoal poderem «ser agentes destacados pelas autoridades competentes», mas não oferece quaisquer garantias em termos de competência e de integridade do pessoal da UIP. A AEPD recomenda que se incluam tais requisitos no texto da directiva, tendo em conta o carácter sensível do tratamento efectuado por essas unidades. |
| --- | --- |

32.

Em primeiro lugar, a natureza da autoridade designada como unidade de informações de passageiros e a sua composição continuam a não ser claras. A Proposta menciona a possibilidade de os membros do pessoal poderem «ser agentes destacados pelas autoridades competentes», mas não oferece quaisquer garantias em termos de competência e de integridade do pessoal da UIP. A AEPD recomenda que se incluam tais requisitos no texto da directiva, tendo em conta o carácter sensível do tratamento efectuado por essas unidades.

| 33. | Em segundo lugar, a proposta prevê a possibilidade de se designar uma UIP para vários Estados-Membros, o que abre as portas a riscos de utilização abusiva dos dados e da sua transmissão em condições diferentes das previstas na Proposta. A AEPD reconhece que podem existir razões de eficiência para essa união de esforços, sobretudo no caso dos Estados-Membros mais pequenos, mas recomenda que se incluam no texto condições aplicáveis a esta opção. Essas condições devem visar a cooperação com as autoridades competentes e a supervisão, nomeadamente no que diz respeito à autoridade em matéria de protecção de dados responsável pela mesma e ao exercício dos direitos das pessoas em causa, uma vez que várias autoridades podem ser competentes para supervisionar uma UIP. |
| --- | --- |

33.

Em segundo lugar, a proposta prevê a possibilidade de se designar uma UIP para vários Estados-Membros, o que abre as portas a riscos de utilização abusiva dos dados e da sua transmissão em condições diferentes das previstas na Proposta. A AEPD reconhece que podem existir razões de eficiência para essa união de esforços, sobretudo no caso dos Estados-Membros mais pequenos, mas recomenda que se incluam no texto condições aplicáveis a esta opção. Essas condições devem visar a cooperação com as autoridades competentes e a supervisão, nomeadamente no que diz respeito à autoridade em matéria de protecção de dados responsável pela mesma e ao exercício dos direitos das pessoas em causa, uma vez que várias autoridades podem ser competentes para supervisionar uma UIP.

| 34. | Há um risco de desvirtuamento da função associado aos elementos acima mencionados e, em especial, no que se refere à qualidade do pessoal competente para analisar os dados e à «partilha» de uma unidade de informações de passageiros entre vários Estados-Membros. |
| --- | --- |

34.

Há um risco de desvirtuamento da função associado aos elementos acima mencionados e, em especial, no que se refere à qualidade do pessoal competente para analisar os dados e à «partilha» de uma unidade de informações de passageiros entre vários Estados-Membros.

| 35. | Em terceiro lugar, a AEPD questiona as garantias previstas contra os abusos. As obrigações de registo são bem-vindas, mas não suficientes. O autocontrolo deve ser complementado por um controlo externo, de forma mais estruturada. A AEPD sugere que as auditorias sejam organizadas de forma sistemática de quatro em quatro anos. Há que desenvolver e aplicar um vasto conjunto de normas de segurança horizontalmente a todas as unidades de informações de passageiros. |
| --- | --- |

35.

Em terceiro lugar, a AEPD questiona as garantias previstas contra os abusos. As obrigações de registo são bem-vindas, mas não suficientes. O autocontrolo deve ser complementado por um controlo externo, de forma mais estruturada. A AEPD sugere que as auditorias sejam organizadas de forma sistemática de quatro em quatro anos. Há que desenvolver e aplicar um vasto conjunto de normas de segurança horizontalmente a todas as unidades de informações de passageiros.

III.3.   Intercâmbio de dados entre Estados-Membros

| 36. | O artigo 7.o da Proposta prevê vários cenários que permitem o intercâmbio de dados entre as unidades de informações de passageiros — que é a situação normal — ou entre as autoridades competentes de um Estado-Membro e as UIP, em situações excepcionais. As condições também são mais rigorosas consoante o acesso seja solicitado à base de dados prevista no artigo 9.o, n.o 1, onde os dados são conservados durante os primeiros 30 dias, ou à base de dados mencionada no artigo 9.o, n.o 1 onde os dados são conservados durante um período adicional de cinco anos. |
| --- | --- |

36.

O artigo 7.o da Proposta prevê vários cenários que permitem o intercâmbio de dados entre as unidades de informações de passageiros — que é a situação normal — ou entre as autoridades competentes de um Estado-Membro e as UIP, em situações excepcionais. As condições também são mais rigorosas consoante o acesso seja solicitado à base de dados prevista no artigo 9.o, n.o 1, onde os dados são conservados durante os primeiros 30 dias, ou à base de dados mencionada no artigo 9.o, n.o 1 onde os dados são conservados durante um período adicional de cinco anos.

| 37. | As condições de acesso são definidas de forma mais rigorosa quando o pedido de acesso vai além do procedimento normal. A AEPD observa, todavia, que a redacção utilizada suscita confusão: o artigo 7.o, n.o 2, é aplicável num «caso específico de prevenção, detecção, investigação ou repressão de infracções terroristas ou de criminalidade grave»; o n.o 3 do mesmo artigo menciona «circunstâncias excepcionais para dar resposta a uma ameaça específica ou a uma investigação ou repressão concreta relacionada com infracções terroristas ou a criminalidade grave», enquanto o n.o 4, se refere a «uma ameaça imediata e grave para a segurança pública» e o n.o 5 menciona «uma ameaça específica e real relacionada com infracções terroristas ou com a criminalidade grave». As condições de acesso às bases de dados por parte dos diversos interessados variam em função desses critérios. Contudo, a diferença entre uma ameaça específica, uma ameaça imediata e grave e uma ameaça específica e real não é clara. A AEPD sublinha a necessidade de especificar melhor as condições exactas em que as transferências de dados serão permitidas. |
| --- | --- |

37.

As condições de acesso são definidas de forma mais rigorosa quando o pedido de acesso vai além do procedimento normal. A AEPD observa, todavia, que a redacção utilizada suscita confusão: o artigo 7.o, n.o 2, é aplicável num «caso específico de prevenção, detecção, investigação ou repressão de infracções terroristas ou de criminalidade grave»; o n.o 3 do mesmo artigo menciona «circunstâncias excepcionais para dar resposta a uma ameaça específica ou a uma investigação ou repressão concreta relacionada com infracções terroristas ou a criminalidade grave», enquanto o n.o 4, se refere a «uma ameaça imediata e grave para a segurança pública» e o n.o 5 menciona «uma ameaça específica e real relacionada com infracções terroristas ou com a criminalidade grave». As condições de acesso às bases de dados por parte dos diversos interessados variam em função desses critérios. Contudo, a diferença entre uma ameaça específica, uma ameaça imediata e grave e uma ameaça específica e real não é clara. A AEPD sublinha a necessidade de especificar melhor as condições exactas em que as transferências de dados serão permitidas.

III.4.   Legislação aplicável

| 38. | A proposta indica como base jurídica geral para os princípios de protecção de dados a Decisão-Quadro 2008/977/JAI do Conselho, e alarga o seu âmbito ao tratamento de dados a nível interno. |
| --- | --- |

38.

A proposta indica como base jurídica geral para os princípios de protecção de dados a Decisão-Quadro 2008/977/JAI do Conselho, e alarga o seu âmbito ao tratamento de dados a nível interno.

| 39. | A AEPD já tinha destacado, em 2007 (19), as lacunas da decisão-quadro no que respeita aos direitos das pessoas em causa. Entre os elementos em falta na decisão-quadro, figuram, nomeadamente, alguns requisitos de informação da pessoa em causa, em caso de pedido de acesso aos seus dados: as informações devem ser dadas de forma inteligível, a finalidade do tratamento deve ser indicada e são necessárias garantias mais desenvolvidas em caso de recurso à autoridade responsável pela protecção de dados, se o acesso directo tiver sido recusado. |
| --- | --- |

39.

A AEPD já tinha destacado, em 2007 (19), as lacunas da decisão-quadro no que respeita aos direitos das pessoas em causa. Entre os elementos em falta na decisão-quadro, figuram, nomeadamente, alguns requisitos de informação da pessoa em causa, em caso de pedido de acesso aos seus dados: as informações devem ser dadas de forma inteligível, a finalidade do tratamento deve ser indicada e são necessárias garantias mais desenvolvidas em caso de recurso à autoridade responsável pela protecção de dados, se o acesso directo tiver sido recusado.

| 40. | A referência à decisão-quadro também tem consequências no que diz respeito à identificação da autoridade responsável pela protecção de dados competente para controlar a aplicação da futura directiva, pois pode não coincidir necessariamente com a autoridade competente nas matérias do (ex) primeiro pilar. A AEPD considera que não é satisfatório tomar-se exclusivamente por base a decisão-quadro no contexto pós-Lisboa, quando um dos principais objectivos é adaptar o quadro jurídico de modo a garantir um nível elevado e harmonizado de protecção em todos os (ex) pilares. Considera necessário introduzir disposições adicionais na Proposta para completar a referência à decisão-quadro do Conselho onde foram identificadas lacunas, nomeadamente em relação às condições de acesso aos dados pessoais. |
| --- | --- |

40.

A referência à decisão-quadro também tem consequências no que diz respeito à identificação da autoridade responsável pela protecção de dados competente para controlar a aplicação da futura directiva, pois pode não coincidir necessariamente com a autoridade competente nas matérias do (ex) primeiro pilar. A AEPD considera que não é satisfatório tomar-se exclusivamente por base a decisão-quadro no contexto pós-Lisboa, quando um dos principais objectivos é adaptar o quadro jurídico de modo a garantir um nível elevado e harmonizado de protecção em todos os (ex) pilares. Considera necessário introduzir disposições adicionais na Proposta para completar a referência à decisão-quadro do Conselho onde foram identificadas lacunas, nomeadamente em relação às condições de acesso aos dados pessoais.

| 41. | Estas preocupações também são totalmente válidas no tocante às disposições relativas às transferências de dados para países terceiros. A Proposta refere o artigo 13.o, n.o 3, alínea ii), da decisão-quadro, que inclui amplas derrogações às garantias de protecção de dados: derroga, em especial, do requisito de adequação em caso de «interesses superiores legítimos, especialmente interesses públicos importantes». Esta derrogação tem uma redacção imprecisa, potencialmente aplicável em muitos casos de tratamento de dados PNR, se fosse interpretada de forma lata. A AEPD considera que a Proposta deve impedir explicitamente a aplicação das derrogações previstas na decisão-quadro no contexto do tratamento de dados PNR e manter a exigência de uma rigorosa avaliação da adequação. |
| --- | --- |

41.

Estas preocupações também são totalmente válidas no tocante às disposições relativas às transferências de dados para países terceiros. A Proposta refere o artigo 13.o, n.o 3, alínea ii), da decisão-quadro, que inclui amplas derrogações às garantias de protecção de dados: derroga, em especial, do requisito de adequação em caso de «interesses superiores legítimos, especialmente interesses públicos importantes». Esta derrogação tem uma redacção imprecisa, potencialmente aplicável em muitos casos de tratamento de dados PNR, se fosse interpretada de forma lata. A AEPD considera que a Proposta deve impedir explicitamente a aplicação das derrogações previstas na decisão-quadro no contexto do tratamento de dados PNR e manter a exigência de uma rigorosa avaliação da adequação.

III.5.   Conservação de dados

| 42. | A proposta prevê um período de 30 dias de conservação, com um período adicional de cinco anos em arquivo. Este período de conservação é consideravelmente reduzido em comparação com as versões anteriores do documento, em que a retenção se prolongava por cinco mais oito anos. |
| --- | --- |

42.

A proposta prevê um período de 30 dias de conservação, com um período adicional de cinco anos em arquivo. Este período de conservação é consideravelmente reduzido em comparação com as versões anteriores do documento, em que a retenção se prolongava por cinco mais oito anos.

| 43. | A AEPD congratula-se com a redução do primeiro período de conservação para trinta dias. Questiona, todavia, o período de conservação adicional de cinco anos: não se lhe afigura claro que haja necessidade de conservar esses dados por mais tempo numa forma que ainda possibilita a identificação das pessoas. |
| --- | --- |

43.

A AEPD congratula-se com a redução do primeiro período de conservação para trinta dias. Questiona, todavia, o período de conservação adicional de cinco anos: não se lhe afigura claro que haja necessidade de conservar esses dados por mais tempo numa forma que ainda possibilita a identificação das pessoas.

| 44. | Salienta igualmente uma questão terminológica do texto que tem consequências jurídicas importantes: o artigo 9.o, n.o 2, refere que os dados dos passageiros serão «ocultados» e, por conseguinte, «tornados anónimos». No entanto, mais adiante, o texto menciona que continua a ser possível aceder à «integralidade dos dados PNR». Se isto for possível, significa que os dados PNR nunca foram totalmente tornados anónimos: embora sejam ocultados, continuam a ser identificáveis. Em consequência, o quadro de protecção de dados continua a ser totalmente aplicável, o que suscita a questão fundamental da necessidade e da proporcionalidade da conservação de dados identificáveis de todos os passageiros durante cinco anos. |
| --- | --- |

44.

Salienta igualmente uma questão terminológica do texto que tem consequências jurídicas importantes: o artigo 9.o, n.o 2, refere que os dados dos passageiros serão «ocultados» e, por conseguinte, «tornados anónimos». No entanto, mais adiante, o texto menciona que continua a ser possível aceder à «integralidade dos dados PNR». Se isto for possível, significa que os dados PNR nunca foram totalmente tornados anónimos: embora sejam ocultados, continuam a ser identificáveis. Em consequência, o quadro de protecção de dados continua a ser totalmente aplicável, o que suscita a questão fundamental da necessidade e da proporcionalidade da conservação de dados identificáveis de todos os passageiros durante cinco anos.

| 45. | A AEPD recomenda que a Proposta seja reformulada, mantendo o princípio de uma efectiva anonimização sem possibilidade de voltar a aceder a dados identificáveis, o que significa que não deve ser permitida qualquer investigação retroactiva. Esses dados poderão ser ainda — e unicamente — utilizados para efeitos de aplicação geral da lei com base na identificação de padrões de terrorismo e de criminalidade com ele relacionada nos fluxos migratórios. Isto deve ser distinguido da conservação de dados numa forma identificável — sujeita a determinadas garantias — em casos que tenham suscitado uma suspeita concreta. |
| --- | --- |

45.

A AEPD recomenda que a Proposta seja reformulada, mantendo o princípio de uma efectiva anonimização sem possibilidade de voltar a aceder a dados identificáveis, o que significa que não deve ser permitida qualquer investigação retroactiva. Esses dados poderão ser ainda — e unicamente — utilizados para efeitos de aplicação geral da lei com base na identificação de padrões de terrorismo e de criminalidade com ele relacionada nos fluxos migratórios. Isto deve ser distinguido da conservação de dados numa forma identificável — sujeita a determinadas garantias — em casos que tenham suscitado uma suspeita concreta.

III.6.   Lista de dados PNR

| 46. | A AEPD congratula-se com o facto de os dados sensíveis não estarem incluídos na lista de dados a tratar. Salienta, todavia, que a Proposta ainda prevê a possibilidade de esses dados serem enviados à unidade de informações de passageiros, que tem posteriormente a obrigação de os apagar (artigo 4.o, n.o 1, artigo 11.o). Desta redacção não se entende claramente se as unidades de informações de passageiros ainda têm a obrigação de filtrar e apagar, por rotina, os dados sensíveis transmitidos pelas companhias aéreas, ou se apenas deverão fazê-lo no caso excepcional de as companhias aéreas os terem transmitido por engano. A AEPD recomenda que o texto seja alterado de modo a deixar claro que as companhias aéreas não devem transmitir dados sensíveis, na própria origem do tratamento de dados. |
| --- | --- |

46.

A AEPD congratula-se com o facto de os dados sensíveis não estarem incluídos na lista de dados a tratar. Salienta, todavia, que a Proposta ainda prevê a possibilidade de esses dados serem enviados à unidade de informações de passageiros, que tem posteriormente a obrigação de os apagar (artigo 4.o, n.o 1, artigo 11.o). Desta redacção não se entende claramente se as unidades de informações de passageiros ainda têm a obrigação de filtrar e apagar, por rotina, os dados sensíveis transmitidos pelas companhias aéreas, ou se apenas deverão fazê-lo no caso excepcional de as companhias aéreas os terem transmitido por engano. A AEPD recomenda que o texto seja alterado de modo a deixar claro que as companhias aéreas não devem transmitir dados sensíveis, na própria origem do tratamento de dados.

| 47. | Para além dos dados sensíveis, a lista de dados que podem ser transferidos corresponde em grande medida à lista PNR dos EUA, que foi criticada por ser demasiado ampla, em vários pareceres do Grupo de Trabalho do Artigo 29.o
   (20). A AEPD considera que essa lista deve ser reduzida em conformidade com o parecer do Grupo de Trabalho e qualquer adição à mesma deve ser devidamente justificada. É o caso, em especial, do campo «observações gerais», que deve ser excluído da lista. |
| --- | --- |

47.

Para além dos dados sensíveis, a lista de dados que podem ser transferidos corresponde em grande medida à lista PNR dos EUA, que foi criticada por ser demasiado ampla, em vários pareceres do Grupo de Trabalho do Artigo 29.o
   (20). A AEPD considera que essa lista deve ser reduzida em conformidade com o parecer do Grupo de Trabalho e qualquer adição à mesma deve ser devidamente justificada. É o caso, em especial, do campo «observações gerais», que deve ser excluído da lista.

III.7.   Decisões individuais automatizadas

| 48. | Nos termos do artigo 4.o, n.o 2, alíneas a) e b), a avaliação das pessoas em função de critérios pré-definidos ou da comparação com bases de dados pertinentes pode envolver um tratamento automatizado, mas este deve ser controlado individualmente por meios não automatizados. |
| --- | --- |

48.

Nos termos do artigo 4.o, n.o 2, alíneas a) e b), a avaliação das pessoas em função de critérios pré-definidos ou da comparação com bases de dados pertinentes pode envolver um tratamento automatizado, mas este deve ser controlado individualmente por meios não automatizados.

| 49. | A AEPD congratula-se com os esclarecimentos introduzidos nesta nova versão do texto. A ambiguidade do anterior âmbito de aplicação da disposição, em relação a decisões automatizadas susceptíveis de produzir «efeitos jurídicos adversos contra uma pessoa ou que a afecte significativamente (...)», foi substituída por uma redacção mais explícita. Fica agora claro que qualquer correspondência positiva será controlada individualmente. |
| --- | --- |

49.

A AEPD congratula-se com os esclarecimentos introduzidos nesta nova versão do texto. A ambiguidade do anterior âmbito de aplicação da disposição, em relação a decisões automatizadas susceptíveis de produzir «efeitos jurídicos adversos contra uma pessoa ou que a afecte significativamente (...)», foi substituída por uma redacção mais explícita. Fica agora claro que qualquer correspondência positiva será controlada individualmente.

| 50. | Fica igualmente claro, na nova versão, que uma avaliação nunca pode ser baseada na origem racial ou étnica de uma pessoa, nas suas convicções religiosas ou filosóficas, opiniões políticas, filiação sindical, situação médica ou vida sexual. Por outras palavras, a AEPD entende desta nova redacção que não se pode tomar nenhuma decisão, nem mesmo parcialmente, com base em dados sensíveis. Isto é compatível com a disposição segundo a qual as unidades de informações de passageiros não podem tratar dados sensíveis, o que também é de louvar. |
| --- | --- |

50.

Fica igualmente claro, na nova versão, que uma avaliação nunca pode ser baseada na origem racial ou étnica de uma pessoa, nas suas convicções religiosas ou filosóficas, opiniões políticas, filiação sindical, situação médica ou vida sexual. Por outras palavras, a AEPD entende desta nova redacção que não se pode tomar nenhuma decisão, nem mesmo parcialmente, com base em dados sensíveis. Isto é compatível com a disposição segundo a qual as unidades de informações de passageiros não podem tratar dados sensíveis, o que também é de louvar.

III.8.   Reexame e dados estatísticos

| 51. | A AEPD considera extremamente importante que se realize uma avaliação minuciosa da aplicação da directiva, como se prevê no artigo 17.o. Considera que o reexame deve avaliar não só o respeito dos níveis de protecção de dados em geral, mas de forma mais fundamental e específica, se os sistemas PNR constituem ou não uma medida necessária. Os dados estatísticos mencionados no artigo 18.o desempenham um papel importante deste ponto de vista. A AEPD considera que nestas informações se deve incluir o número de acções repressivas, como se previa no projecto de texto, mas também o número de condenações efectivas que resultaram, ou não, dessas acções. Tais dados são essenciais para que o resultado do reexame seja conclusivo. |
| --- | --- |

51.

A AEPD considera extremamente importante que se realize uma avaliação minuciosa da aplicação da directiva, como se prevê no artigo 17.o. Considera que o reexame deve avaliar não só o respeito dos níveis de protecção de dados em geral, mas de forma mais fundamental e específica, se os sistemas PNR constituem ou não uma medida necessária. Os dados estatísticos mencionados no artigo 18.o desempenham um papel importante deste ponto de vista. A AEPD considera que nestas informações se deve incluir o número de acções repressivas, como se previa no projecto de texto, mas também o número de condenações efectivas que resultaram, ou não, dessas acções. Tais dados são essenciais para que o resultado do reexame seja conclusivo.

III.9.   Relação com outros instrumentos

| 52. | A proposta não prejudica os acordos já existentes com países terceiros (artigo 19.o). A AEPD considera que esta disposição deve referir mais explicitamente o objectivo de um quadro global que preveja garantias harmonizadas de protecção dos dados PNR, dentro e fora da UE, como foi solicitado pelo Parlamento Europeu e desenvolvido pela Comissão na sua Comunicação de 21 de Setembro de 2010 sobre a abordagem global relativa à transferência dos dados do registo de identificação dos passageiros (PNR) para países terceiros. |
| --- | --- |

52.

A proposta não prejudica os acordos já existentes com países terceiros (artigo 19.o). A AEPD considera que esta disposição deve referir mais explicitamente o objectivo de um quadro global que preveja garantias harmonizadas de protecção dos dados PNR, dentro e fora da UE, como foi solicitado pelo Parlamento Europeu e desenvolvido pela Comissão na sua Comunicação de 21 de Setembro de 2010 sobre a abordagem global relativa à transferência dos dados do registo de identificação dos passageiros (PNR) para países terceiros.

| 53. | Nesse sentido, os acordos com países terceiros não devem incluir disposições com um limiar de protecção de dados inferior ao da directiva. Isto reveste-se de particular importância neste momento em que os acordos com os Estados Unidos, a Austrália e o Canadá estão a ser renegociados nessa perspectiva de um quadro global e harmonizado. |
| --- | --- |

53.

Nesse sentido, os acordos com países terceiros não devem incluir disposições com um limiar de protecção de dados inferior ao da directiva. Isto reveste-se de particular importância neste momento em que os acordos com os Estados Unidos, a Austrália e o Canadá estão a ser renegociados nessa perspectiva de um quadro global e harmonizado.

IV.   CONCLUSÃO

| 54. | O desenvolvimento de um sistema PNR da UE, juntamente com a negociação de acordos PNR com países terceiros, tem sido um projecto moroso. A AEPD reconhece que, em comparação com a Proposta de decisão-quadro do Conselho relativa ao sistema PNR da UE de 2007, o projecto de texto foi visivelmente melhorado. Foram acrescentadas garantias de protecção de dados, para as quais contribuíram os debates e pareceres das diversas partes interessadas, incluindo, nomeadamente, o Grupo de Trabalho do Artigo 29.o, a AEPD e o Parlamento Europeu. |
| --- | --- |

54.

O desenvolvimento de um sistema PNR da UE, juntamente com a negociação de acordos PNR com países terceiros, tem sido um projecto moroso. A AEPD reconhece que, em comparação com a Proposta de decisão-quadro do Conselho relativa ao sistema PNR da UE de 2007, o projecto de texto foi visivelmente melhorado. Foram acrescentadas garantias de protecção de dados, para as quais contribuíram os debates e pareceres das diversas partes interessadas, incluindo, nomeadamente, o Grupo de Trabalho do Artigo 29.o, a AEPD e o Parlamento Europeu.

| 55. | A AEPD congratula-se com estas melhorias e, em especial, com os esforços para restringir o âmbito de aplicação da Proposta e as condições de tratamento de dados PNR. Sente-se, todavia, na obrigação de observar que o requisito essencial para qualquer desenvolvimento de um sistema PNR — isto é, a conformidade com os princípios da necessidade e da proporcionalidade — não se encontra preenchido na Proposta. A AEPD lembra que, no seu entender, os dados PNR podem, certamente, ser necessários para efeitos de aplicação da lei em casos específicos e respeitar os requisitos de protecção de dados. É a sua utilização de forma sistemática e indiscriminada, em relação a todos os passageiros, que suscita preocupações específicas. |
| --- | --- |

55.

A AEPD congratula-se com estas melhorias e, em especial, com os esforços para restringir o âmbito de aplicação da Proposta e as condições de tratamento de dados PNR. Sente-se, todavia, na obrigação de observar que o requisito essencial para qualquer desenvolvimento de um sistema PNR — isto é, a conformidade com os princípios da necessidade e da proporcionalidade — não se encontra preenchido na Proposta. A AEPD lembra que, no seu entender, os dados PNR podem, certamente, ser necessários para efeitos de aplicação da lei em casos específicos e respeitar os requisitos de protecção de dados. É a sua utilização de forma sistemática e indiscriminada, em relação a todos os passageiros, que suscita preocupações específicas.

| 56. | A avaliação de impacto apresenta elementos que procuram justificar a necessidade de dados PNR para combater a criminalidade, mas a natureza dessas informações é demasiado geral e não justifica o tratamento em larga escala de dados PNR para efeitos de aplicação da lei. No entender da AEPD, a única medida conforme com os requisitos de protecção de dados seria a utilização de dados PNR caso a caso, quando exista uma ameaça grave, confirmada por indicadores concretos. |
| --- | --- |

56.

A avaliação de impacto apresenta elementos que procuram justificar a necessidade de dados PNR para combater a criminalidade, mas a natureza dessas informações é demasiado geral e não justifica o tratamento em larga escala de dados PNR para efeitos de aplicação da lei. No entender da AEPD, a única medida conforme com os requisitos de protecção de dados seria a utilização de dados PNR caso a caso, quando exista uma ameaça grave, confirmada por indicadores concretos.

| 57. | Para além desta lacuna fundamental, as observações da AEPD dizem respeito aos seguintes aspectos:






  — | o âmbito de aplicação deve ser muito mais limitado no tocante ao tipo de crimes envolvidos. A AEPD questiona a inclusão na Proposta da criminalidade grave que não tenha ligações com o terrorismo. Em todo o caso, as infracções menores devem ser explicitamente definidas e excluídas. A AEPD recomenda que se exclua a possibilidade de os Estados-Membros alargarem o âmbito de aplicação, |
| --- | --- | --- |

57.

Para além desta lacuna fundamental, as observações da AEPD dizem respeito aos seguintes aspectos:

—

o âmbito de aplicação deve ser muito mais limitado no tocante ao tipo de crimes envolvidos. A AEPD questiona a inclusão na Proposta da criminalidade grave que não tenha ligações com o terrorismo. Em todo o caso, as infracções menores devem ser explicitamente definidas e excluídas. A AEPD recomenda que se exclua a possibilidade de os Estados-Membros alargarem o âmbito de aplicação,

| — | a natureza das diversas ameaças que permitem um intercâmbio de dados entre unidades de informações de passageiros ou com os Estados-Membros não foi suficientemente definida, |
| --- | --- |

—

a natureza das diversas ameaças que permitem um intercâmbio de dados entre unidades de informações de passageiros ou com os Estados-Membros não foi suficientemente definida,

| — | os princípios de protecção de dados aplicáveis não se devem basear apenas na Decisão-quadro 2008/977/JAI do Conselho, que contém lacunas, nomeadamente em termos dos direitos das pessoas em causa e das transferências para países terceiros. A Proposta deve conter um nível de garantias mais elevado, assente nos princípios da Directiva 95/46/CE, |
| --- | --- |

—

os princípios de protecção de dados aplicáveis não se devem basear apenas na Decisão-quadro 2008/977/JAI do Conselho, que contém lacunas, nomeadamente em termos dos direitos das pessoas em causa e das transferências para países terceiros. A Proposta deve conter um nível de garantias mais elevado, assente nos princípios da Directiva 95/46/CE,

| — | os dados não devem ser conservados durante mais de 30 dias sob uma forma identificável, excepto em casos que exijam investigações posteriores, |
| --- | --- |

—

os dados não devem ser conservados durante mais de 30 dias sob uma forma identificável, excepto em casos que exijam investigações posteriores,

| — | a lista de dados PNR a tratar deve ser reduzida, em conformidade com as anteriores recomendações do Grupo de Trabalho do Artigo 29.o e da AEPD. Em especial, o campo «observações gerais» não deve ser incluído, |
| --- | --- |

—

a lista de dados PNR a tratar deve ser reduzida, em conformidade com as anteriores recomendações do Grupo de Trabalho do Artigo 29.o e da AEPD. Em especial, o campo «observações gerais» não deve ser incluído,

| — | a avaliação da directiva deve ser baseada em dados exaustivos, incluindo o número de pessoas efectivamente condenadas — e não apenas objecto de acções judiciais — com base no tratamento dos seus dados. |
| --- | --- |

—

a avaliação da directiva deve ser baseada em dados exaustivos, incluindo o número de pessoas efectivamente condenadas — e não apenas objecto de acções judiciais — com base no tratamento dos seus dados.

| 58. | A AEPD recomenda ainda que a evolução relativa ao sistema PNR da UE seja avaliada numa perspectiva mais ampla, incluindo a avaliação geral em curso de todos os instrumentos da UE no domínio da gestão do intercâmbio de informações, lançada pela Comissão em Janeiro de 2010. Em especial, os resultados do actual trabalho sobre o modelo europeu de intercâmbio de informações, previstos para 2012, devem ser tidos em conta na avaliação da necessidade de um sistema PNR da União Europeia. |
| --- | --- |

58.

A AEPD recomenda ainda que a evolução relativa ao sistema PNR da UE seja avaliada numa perspectiva mais ampla, incluindo a avaliação geral em curso de todos os instrumentos da UE no domínio da gestão do intercâmbio de informações, lançada pela Comissão em Janeiro de 2010. Em especial, os resultados do actual trabalho sobre o modelo europeu de intercâmbio de informações, previstos para 2012, devem ser tidos em conta na avaliação da necessidade de um sistema PNR da União Europeia.

Feito em Bruxelas, em 25 de Março de 2011.

Peter HUSTINX

Supervisor Europeu para a Protecção de Dados

---

(1)  JO L 281 de 23.11.1995, p. 31.

1

(2)  JO L 8 de 12.1.2001, p. 1.

2

(3)  COM(2011) 32 final.

3

(4)  COM(2007) 654 final.

4

(5)  Parecer da AEPD de 20 de Dezembro de 2007 sobre a proposta de decisão-quadro do Conselho relativa à utilização dos dados dos Registos de Identificação dos Passageiros (Passenger Name Record — PNR) para efeitos de aplicação da lei, (JO C 110 de 1.5.2008, p. 1).

5

(6)

6

| — | Parecer de 19 de Outubro de 2010 sobre a abordagem global relativa à transferência dos dados do registo de identificação dos passageiros (PNR) para países terceiros, disponível no endereço: http://www.edps.europa.eu/EDPSWEB/edps/Consultation/OpinionsC/OC2010 |
| --- | --- |

—

Parecer de 19 de Outubro de 2010 sobre a abordagem global relativa à transferência dos dados do registo de identificação dos passageiros (PNR) para países terceiros, disponível no endereço: http://www.edps.europa.eu/EDPSWEB/edps/Consultation/OpinionsC/OC2010

| — | Os pareceres do Grupo de Trabalho do Artigo 29.o estão disponíveis no seguinte endereço: http://ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/index_en.htm#data_transfers |
| --- | --- |

—

Os pareceres do Grupo de Trabalho do Artigo 29.o estão disponíveis no seguinte endereço: http://ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/index_en.htm#data_transfers

o

(7)  Isto significa que os dados PNR serão activamente transmitidos pelas companhias aéreas e não «extraídos» pelas autoridades públicas através de um acesso directo à base de dados das companhias aéreas.

7

(8)  Ver «The moment of truth for the Data Retention Directive» (O momento da verdade para a Directiva relativa à conservação de dados), discurso de Peter Hustinx na conferência «Taking on the Data Retention Directive» (Assumir a Directiva relativa à conservação de dados), Bruxelas, 3 de Dezembro de 2010, disponível em: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/Publications/Speeches/2010/10-12-03_Data_retention_speech_PH_EN.pdf

8

(9)  Avaliação de impacto, Capítulo 2.1.1, e Exposição de Motivos, Capítulo 1, primeiro parágrafo.

9

(10)  Avaliação de impacto, capítulo 3.2, n. 2.

10

(11)  Parecer 1/2004, de 16 de Janeiro de 2004, sobre o nível de protecção assegurado na Austrália à transmissão de dados dos registos de identificação dos passageiros das companhias aéreas, WP85.

11

(12)  O parecer do Grupo de Trabalho do Artigo 29.o explica ainda que «no que respeita à conservação de dados PNR, não é imposta às autoridades aduaneiras uma obrigação legal de conservação desses dados. Do mesmo modo, também não há uma proibição legal que impeça as autoridades aduaneiras de os conservar. Os dados PNR dos passageiros avaliados através do software automático de análise de perfis e considerados de baixo risco (95 % a 97 % dos passageiros) não são conservados, nem se mantém um registo das suas informações PNR. Assim, as autoridades aduaneiras aplicam uma política geral de não conservação desses dados. Em relação aos 0,05 % a 0,1 % dos passageiros que são encaminhados para as autoridades aduaneiras para uma avaliação mais aprofundada, os dados PNR das companhias aéreas são temporariamente conservados, mas não armazenados, enquanto aguardam a avaliação fronteiriça. Subsequentemente, os seus dados PNR são apagados do PC do funcionário aduaneiro em causa e não são introduzidos nas bases de dados australianas».

12

o

software

(13)  Exposição de Motivos, Capítulo 1. Contexto da proposta, Coerência com outras políticas e objectivos da União Europeia.

13

(14)  O objectivo do Eurodac «consiste em ajudar a determinar o Estado-Membro responsável, nos termos da Convenção de Dublim, pela análise de um pedido de asilo apresentado num Estado-Membro e em facilitar noutros aspectos a aplicação da Convenção de Dublim nos termos do presente regulamento», nos termos do artigo 1.o, n.o 1, do Regulamento (CE) n. 2725/2000 do Conselho, de 11 de Dezembro de 2000, relativo à criação do sistema «Eurodac» de comparação de impressões digitais para efeitos da aplicação efectiva da Convenção de Dublim,( JO L 316 de 15.12.2000, p. 1).

14

o

o

(15)  «O VIS tem por objectivo melhorar a aplicação da política comum em matéria de vistos, a cooperação consular e a consulta entre as autoridades centrais responsáveis pelos vistos ao facilitar o intercâmbio de dados entre Estados-Membros sobre os pedidos de vistos e as decisões relativas aos mesmos», nos termos do artigo 2.o do Regulamento (CE) n.o 767/2008 do Parlamento Europeu e do Conselho, de 9 de Julho de 2008, relativo ao Sistema de Informação sobre Vistos (VIS) e ao intercâmbio de dados entre os Estados-Membros sobre os vistos de curta duração (Regulamento VIS), (JO L 218 de 13.8.2008, p. 60).

15

o

o

(16)  COM(2010) 385 final.

16

(17)  A que se referem as Decisões-quadro 2008/841/JAI e 2002/584/JAI do Conselho.

17

(18)  Sobre as unidades de informações de passageiros, ver também o parecer da AEPD de 20 de Dezembro de 2007.

18

(19)  Terceiro parecer da Autoridade Europeia para a Protecção de Dados, de 27 de Abril de 2007, sobre a proposta de decisão-quadro do Conselho relativa à protecção dos dados pessoais tratados no âmbito da cooperação policial e judiciária em matéria penal, (JO C 139 de 23.6.2007, p. 1).

19

(20)  Parecer de 23 de Junho de 2003 sobre o nível de protecção assegurado nos Estados Unidos à transferência de dados dos passageiros, WP78. Este parecer e os pareceres seguintes do Grupo de Trabalho sobre esta questão estão disponíveis no endereço: http://ec.europa.eu/justice_home/fsj/privacy/workinggroup/wpdocs/index_en.htm#data_transfers

20

---

II Comunicações

COMUNICAÇÕES DAS INSTITUIÇÕES, ÓRGÃOS E ORGANISMOS DA UNIÃO EUROPEIA

Comissão Europeia

| 22.6.2011 | PT | Jornal Oficial da União Europeia | C 181/31 |
| --- | --- | --- | --- |

22.6.2011

PT

Jornal Oficial da União Europeia

C 181/31

---

Autorização de auxílios concedidos pelos Estados nos termos dos artigos 107.o e 108.o do TFEU

A respeito dos quais a Comissão não levanta objecções

(Texto relevante para efeitos do EEE)

2011/C 181/03

| Data de adopção da decisão | 29.9.2010 |
| --- | --- |
| Número de referência do auxílio estatal | N 325/08 |
| Estado-Membro | França |
| Região | Saint-Martin |
| Denominação (e/ou nome do beneficiário) | Aide fiscale à l’investissement à Saint-Martin |
| Base jurídica | Articles 199 undecies D, 199 undecies E et 217 septdecies du code général des impôts |
| Tipo de auxílio | Regime de auxílios |
| Objectivo | Desenvolvimento regional |
| Forma do auxílio | Benefício fiscal |
| Orçamento | Despesa anual prevista 3,5 milhões EUR |
| Intensidade | 50 % |
| Duração | 1.1.2009-31.12.2013 |
| Sectores económicos | Todos os sectores |
| Nome e endereço da entidade que concede o auxílio | Collectivité de Saint-Martin |
| Hôtel de collectivité |
| Marigot BP 374 |
| 97054 Saint-Martin Cedex |
| FRANCE |

Data de adopção da decisão

29.9.2010

Número de referência do auxílio estatal

N 325/08

Estado-Membro

França

Região

Saint-Martin

Denominação (e/ou nome do beneficiário)

Aide fiscale à l’investissement à Saint-Martin

Base jurídica

Articles 199 undecies D, 199 undecies E et 217 septdecies du code général des impôts

Tipo de auxílio

Regime de auxílios

Objectivo

Desenvolvimento regional

Forma do auxílio

Benefício fiscal

Orçamento

Despesa anual prevista 3,5 milhões EUR

Intensidade

50 %

Duração

1.1.2009-31.12.2013

Sectores económicos

Todos os sectores

Nome e endereço da entidade que concede o auxílio

Collectivité de Saint-Martin

Hôtel de collectivité

Marigot BP 374

97054 Saint-Martin Cedex

FRANCE

Outras informações

—

O texto da decisão na(s) língua(s) que faz(em) fé, expurgado(s) dos respectivos dados confidenciais, está disponível no site:

http://ec.europa.eu/community_law/state_aids/state_aids_texts_pt.htm

| Data de adopção da decisão | 30.3.2011 |
| --- | --- |
| Número de referência do auxílio estatal | SA.31305 (11/N) |
| Estado-Membro | França |
| Região | — |
| Denominação (e/ou nome do beneficiário) | Notification d’un régime de financement de mesures supplémentaires de PPRT (Plan de Prévention des Risques Technologiques) |
| Base jurídica | 1) | Code de l’Environnement (L.515.15 à L.515.25), et particulièrement les articles L.515.16 et L.515.19 — la codification de la loi no 2003-699 du 30 juillet 2003 relative à la prévention des risques technologiques et naturels et à la réparation des dommages (JORF 31 juillet 2003). |

Data de adopção da decisão

30.3.2011

Número de referência do auxílio estatal

SA.31305 (11/N)

Estado-Membro

França

Região

—

Denominação (e/ou nome do beneficiário)

Notification d’un régime de financement de mesures supplémentaires de PPRT (Plan de Prévention des Risques Technologiques)

Base jurídica

1)

Code de l’Environnement (L.515.15 à L.515.25), et particulièrement les articles L.515.16 et L.515.19 — la codification de la loi no 2003-699 du 30 juillet 2003 relative à la prévention des risques technologiques et naturels et à la réparation des dommages (JORF 31 juillet 2003).

| 2) | Décret no 2005-1130 du 7 septembre 2005 relatif aux PPRT (JORF du 9 septembre 2005); cf en particulier les articles 3.II.1 et 9 |
| --- | --- |

2)

Décret no 2005-1130 du 7 septembre 2005 relatif aux PPRT (JORF du 9 septembre 2005); cf en particulier les articles 3.II.1 et 9

Tipo de auxílio

Regime de auxílios

Objectivo

Protecção do ambiente

Forma do auxílio

Subvenção directa

Orçamento

Montante global do auxílio previsto 250 milhões EUR

Intensidade

67 %

Duração

até 31.12.2018

Sectores económicos

Todos os sectores

Nome e endereço da entidade que concede o auxílio

| Ministère de l'écologie, du développement durable, des transports et du logement |
| --- |
| Grande Arche |
| Paroi Nord |
| 92055 Paris-La Défense Cedex |
| FRANCE |

Ministère de l'écologie, du développement durable, des transports et du logement

Grande Arche

Paroi Nord

92055 Paris-La Défense Cedex

FRANCE

Outras informações

—

O texto da decisão na(s) língua(s) que faz(em) fé, expurgado(s) dos respectivos dados confidenciais, está disponível no site:

http://ec.europa.eu/community_law/state_aids/state_aids_texts_pt.htm

| Data de adopção da decisão | 19.4.2011 |
| --- | --- |
| Número de referência do auxílio estatal | SA.32549 (11/N) |
| Estado-Membro | Espanha |
| Região | País Vasco |
| Denominação (e/ou nome do beneficiário) | Subvenciones para la promoción, difusión y/o normalización del euskera en la sociedad |
| Base jurídica | Orden de ... de ... de 2011, de la Consejera de Cultura, por la que se regula la concesión de subvenciones para la promoción, difusión y/o normalización del euskera en la sociedad (Convocatoria EUSKALGINTZA) |
| Tipo de auxílio | Regime de auxílios |
| Objectivo | Promoção da cultura |
| Forma do auxílio | Subvenção directa |
| Orçamento | | Despesa anual prevista 1,2 milhões EUR |

Data de adopção da decisão

19.4.2011

Número de referência do auxílio estatal

SA.32549 (11/N)

Estado-Membro

Espanha

Região

País Vasco

Denominação (e/ou nome do beneficiário)

Subvenciones para la promoción, difusión y/o normalización del euskera en la sociedad

Base jurídica

Orden de ... de ... de 2011, de la Consejera de Cultura, por la que se regula la concesión de subvenciones para la promoción, difusión y/o normalización del euskera en la sociedad (Convocatoria EUSKALGINTZA)

Tipo de auxílio

Regime de auxílios

Objectivo

Promoção da cultura

Forma do auxílio

Subvenção directa

Orçamento

Despesa anual prevista 1,2 milhões EUR

| | Montante global do auxílio previsto 3,8 milhões EUR |
| --- | --- |

Montante global do auxílio previsto 3,8 milhões EUR

Intensidade

45 %

Duração

24.5.2011-31.12.2013

Sectores económicos

Actividades recreativas, culturais e desportivas

Nome e endereço da entidade que concede o auxílio

| Departamento de Cultura del Gobierno Vasco |
| --- |
| Donostia — San Sebastián, 1 |
| 01010 Vitoria — Gasteiz |
| ESPAÑA |

Departamento de Cultura del Gobierno Vasco

Donostia — San Sebastián, 1

01010 Vitoria — Gasteiz

ESPAÑA

Outras informações

—

O texto da decisão na(s) língua(s) que faz(em) fé, expurgado(s) dos respectivos dados confidenciais, está disponível no site:

http://ec.europa.eu/community_law/state_aids/state_aids_texts_pt.htm

---

IV Informações

INFORMAÇÕES DAS INSTITUIÇÕES, ÓRGÃOS E ORGANISMOS DA UNIÃO EUROPEIA

Comissão Europeia

| 22.6.2011 | PT | Jornal Oficial da União Europeia | C 181/34 |
| --- | --- | --- | --- |

22.6.2011

PT

Jornal Oficial da União Europeia

C 181/34

---

Taxas de câmbio do euro (1)

21 de Junho de 2011

2011/C 181/04

1 euro =

| | Moeda | Taxas de câmbio |
| --- | --- | --- |
| USD | dólar americano | 1,4373 |
| JPY | iene | 115,20 |
| DKK | coroa dinamarquesa | 7,4587 |
| GBP | libra esterlina | 0,88670 |
| SEK | coroa sueca | 9,1564 |
| CHF | franco suíço | 1,2127 |
| ISK | coroa islandesa | |
| NOK | coroa norueguesa | 7,9120 |
| BGN | lev | 1,9558 |
| CZK | coroa checa | 24,213 |
| HUF | forint | 266,93 |
| LTL | litas | 3,4528 |
| LVL | lats | 0,7088 |
| PLN | zloti | 3,9762 |
| RON | leu | 4,2355 |
| TRY | lira turca | 2,3090 |
| AUD | dólar australiano | 1,3568 |
| CAD | dólar canadiano | 1,4023 |
| HKD | dólar de Hong Kong | 11,1957 |
| NZD | dólar neozelandês | 1,7694 |
| SGD | dólar de Singapura | 1,7731 |
| KRW | won sul-coreano | 1 550,02 |
| ZAR | rand | 9,7082 |
| CNY | yuan-renminbi chinês | 9,2926 |
| HRK | kuna croata | 7,3833 |
| IDR | rupia indonésia | 12 361,23 |
| MYR | ringgit malaio | 4,3586 |
| PHP | peso filipino | 62,568 |
| RUB | rublo russo | 40,1950 |
| THB | baht tailandês | 43,881 |
| BRL | real brasileiro | 2,2870 |
| MXN | peso mexicano | 17,0106 |
| INR | rupia indiana | 64,4590 |

Moeda

Taxas de câmbio

USD

dólar americano

1,4373

JPY

iene

115,20

DKK

coroa dinamarquesa

7,4587

GBP

libra esterlina

0,88670

SEK

coroa sueca

9,1564

CHF

franco suíço

1,2127

ISK

coroa islandesa

NOK

coroa norueguesa

7,9120

BGN

lev

1,9558

CZK

coroa checa

24,213

HUF

forint

266,93

LTL

litas

3,4528

LVL

lats

0,7088

PLN

zloti

3,9762

RON

leu

4,2355

TRY

lira turca

2,3090

AUD

dólar australiano

1,3568

CAD

dólar canadiano

1,4023

HKD

dólar de Hong Kong

11,1957

NZD

dólar neozelandês

1,7694

SGD

dólar de Singapura

1,7731

KRW

won sul-coreano

1 550,02

ZAR

rand

9,7082

CNY

yuan-renminbi chinês

9,2926

HRK

kuna croata

7,3833

IDR

rupia indonésia

12 361,23

MYR

ringgit malaio

4,3586

PHP

peso filipino

62,568

RUB

rublo russo

40,1950

THB

baht tailandês

43,881

BRL

real brasileiro

2,2870

MXN

peso mexicano

17,0106

INR

rupia indiana

64,4590

---

(1)  Fonte: Taxas de câmbio de referência publicadas pelo Banco Central Europeu.

---

INFORMAÇÕES DOS ESTADOS-MEMBROS

| 22.6.2011 | PT | Jornal Oficial da União Europeia | C 181/35 |
| --- | --- | --- | --- |

22.6.2011

PT

Jornal Oficial da União Europeia

C 181/35

---

Informações comunicadas pelos Estados-Membros relativas a auxílios estatais concedidos em conformidade com o Regulamento (CE) n.o 1857/2006 da Comissão relativo à aplicação dos artigos 87.o e 88.o do Tratado aos auxílios estatais a favor das pequenas e médias empresas que se dedicam à produção de produtos agrícolas e que altera o Regulamento (CE) n.o 70/2001

2011/C 181/05

N.o do auxílio: SA.32914 (11/XA)

Estado-Membro: Itália

Região: Lombardia

Denominação do regime de auxílios ou nome da empresa que recebe o auxílio individual concedido: Iniziative per la promozione dei prodotti agroalimentari — anno 2011

Base jurídica: DGR n. 1583 del 20 aprile 2011 Programma di iniziative regionali per la promozione dei prodotti agroalimentari — anno 2011 (art. 12, L.R. 31/2008)

L.R. 31/2008 (Testo unico Leggi Agricoltura) art. 12

Despesas anuais previstas a título do regime ou montante total do auxílio individual concedido à empresa: Montante global anual do orçamento previsto no âmbito do regime: 1 EUR (em milhões)

Intensidade máxima dos auxílios: 100 %

Data de execução: —

Duração do regime ou do auxílio individual: 9 de Junho de 2011-31 de Dezembro de 2012

Objectivo do auxílio: Assistência técnica [art. 15.o do Regulamento (CE) n.o 1857/2006]

Sector(es) em causa: Agricultura, floresta e pesca

Nome e endereço da autoridade responsável pela concessão:

| Regione Lombardia |
| --- |
| DG Agricoltura |
| Piazza Città di Lombardia 1 |
| 20124 Milano MI |
| ITALIA |

Regione Lombardia

DG Agricoltura

Piazza Città di Lombardia 1

20124 Milano MI

ITALIA

Endereço do sítio web: http://www.agricoltura.regione.lombardia.it/cs/Satellite?c=Page&childpagename=DG_Agricoltura%2FDGLayout&cid=1213337053885&p=1213337053885&pagename=DG_AGRWrapper

http://www.regione.lombardia.it, clicca di seguito «Settori e politiche», «Agricoltura», «Argomenti», «Aiuti di stato nel settore agricolo: pubblicazione dei regimi di aiuto»

Outras informações: —

N.o do auxílio: SA.33089 (11/XA)

Estado-Membro: França

Região: France

Denominação do regime de auxílios ou nome da empresa que recebe o auxílio individual concedido: aides de FranceAgriMer à des actions d’assistance technique en faveur des producteurs des plantes à parfum, aromatiques et médicinales (PPAM).

Base jurídica:

| — | articles L. 621-1 et suivants du Code rural et de la pêche maritime, |
| --- | --- |

—

articles L. 621-1 et suivants du Code rural et de la pêche maritime,

| — | projet de décision du directeur général de FranceAgriMer |
| --- | --- |

—

projet de décision du directeur général de FranceAgriMer

Despesas anuais previstas a título do regime ou montante total do auxílio individual concedido à empresa: Montante global anual do orçamento previsto no âmbito do regime: 0,75 EUR (em milhões)

Intensidade máxima dos auxílios: 100 %

Data de execução: —

Duração do regime ou do auxílio individual: 1 de Julho de 2011-30 de Junho de 2016

Objectivo do auxílio: Assistência técnica [art. 15.o do Regulamento (CE) n.o 1857/2006]

Sector(es) em causa: Culturas de especiarias e de plantas aromáticas medicinais e farmacêuticas, Outras culturas permanentes

Nome e endereço da autoridade responsável pela concessão:

| FranceAgriMer |
| --- |
| 12 rue Henri Rol Tanguy |
| TSA 20002 |
| 93555 Montreuil sous Bois Cedex |
| FRANCE |

FranceAgriMer

12 rue Henri Rol Tanguy

TSA 20002

93555 Montreuil sous Bois Cedex

FRANCE

Endereço do sítio web: http://www.franceagrimer.fr/Projet-02/05aides/ppam-0511/text-AT-ppam-BUE.pdf

Outras informações: —

N.o do auxílio: SA.33121 (11/XA)

Estado-Membro: Eslovénia

Região: Slovenia

Denominação do regime de auxílios ou nome da empresa que recebe o auxílio individual concedido: Zatiranje varoze pri čebeljih družinah na območju Republike Slovenije, 2011–2013

Base jurídica: Uredba o izvajanju Programa ukrepov na področju čebelarstva v Republiki Sloveniji v letih 2011–2013 (Ur.l. RS, št. 4/11 in 40/2011)

Despesas anuais previstas a título do regime ou montante total do auxílio individual concedido à empresa: Montante global do auxílio ad hoc concedido à empresa: 0,45 EUR (em milhões)

Montante global anual do orçamento previsto no âmbito do regime 0,15 EUR (em milhões)

Intensidade máxima dos auxílios: 100 %

Data de execução: —

Duração do regime ou do auxílio individual: 9 de Junho de 2011-15 de Outubro de 2013

Objectivo do auxílio: Doenças dos animais [art. 10.o do Regulamento (CE) n.o 1857/2006]

Sector(es) em causa: Produção vegetal e animal, caça e actividades dos serviços relacionados

Nome e endereço da autoridade responsável pela concessão:

| Ministrstvo za kmetijstvo, gozdarstvo in prehrano Republike Slovenije |
| --- |
| Dunajska 22 |
| SI-1000 Ljubljana |
| SLOVENIJA |

Ministrstvo za kmetijstvo, gozdarstvo in prehrano Republike Slovenije

Dunajska 22

SI-1000 Ljubljana

SLOVENIJA

Endereço do sítio web: http://www.pisrs.si/predpis.aspx?p_rD=r04&p_predpis=URED5347

Outras informações: —

---

V Avisos

PROCEDIMENTOS RELATIVOS À EXECUÇÃO DA POLÍTICA DE CONCORRÊNCIA

Comissão Europeia

| 22.6.2011 | PT | Jornal Oficial da União Europeia | C 181/37 |
| --- | --- | --- | --- |

22.6.2011

PT

Jornal Oficial da União Europeia

C 181/37

---

Notificação prévia de uma concentração

(Processo COMP/M.6274 — Bridgepoint/Eurazeo/Foncia Groupe)

Processo susceptível de beneficiar do procedimento simplificado

(Texto relevante para efeitos do EEE)

2011/C 181/06

| 1. | A Comissão recebeu, em 15 de Junho de 2011, uma notificação de um projecto de concentração, nos termos do artigo 4.o do Regulamento (CE) n.o 139/2004 do Conselho (1), através da qual as empresas Bridgepoint Europe IV Investments (2) Sàrl (Luxembourg), controlada em última instância por Bridgepoint Capital Group Limited («Bridgepoint», Reino Unido), e Eurazeo SA («Eurazeo», França) adquirem, na acepção do artigo 3.o, n.o 1, alínea b), do Regulamento das concentrações comunitárias, o controlo conjunto do Foncia Groupe SA («Foncia», França), mediante aquisição de acções. |
| --- | --- |

1.

A Comissão recebeu, em 15 de Junho de 2011, uma notificação de um projecto de concentração, nos termos do artigo 4.o do Regulamento (CE) n.o 139/2004 do Conselho (1), através da qual as empresas Bridgepoint Europe IV Investments (2) Sàrl (Luxembourg), controlada em última instância por Bridgepoint Capital Group Limited («Bridgepoint», Reino Unido), e Eurazeo SA («Eurazeo», França) adquirem, na acepção do artigo 3.o, n.o 1, alínea b), do Regulamento das concentrações comunitárias, o controlo conjunto do Foncia Groupe SA («Foncia», França), mediante aquisição de acções.

| 2. | As actividades das empresas em causa são:






  — | Bridgepoint: empresa de capitais de investimento (private equity), cuja carteira inclui participações numa gama alargada de sectores, incluindo os serviços financeiros, os cuidados de saúde e os meios de comunicação social, |
| --- | --- | --- |

2.

As actividades das empresas em causa são:

—

Bridgepoint: empresa de capitais de investimento (private equity), cuja carteira inclui participações numa gama alargada de sectores, incluindo os serviços financeiros, os cuidados de saúde e os meios de comunicação social,

| — | Eurazeo: sociedade de investimento que exerce a sua actividade numa gama alargada de sectores, incluindo o aluguer automóvel, gestão de parques de estacionamento, investimentos imobiliários e aluguer/limpeza de têxteis, |
| --- | --- |

—

Eurazeo: sociedade de investimento que exerce a sua actividade numa gama alargada de sectores, incluindo o aluguer automóvel, gestão de parques de estacionamento, investimentos imobiliários e aluguer/limpeza de têxteis,

| — | Foncia: grupo especializado na prestação de serviços de gestão de prédios de habitação, principalmente em França. |
| --- | --- |

—

Foncia: grupo especializado na prestação de serviços de gestão de prédios de habitação, principalmente em França.

| 3. | Após uma análise preliminar, a Comissão considera que a operação de concentração notificada pode encontrar-se abrangida pelo âmbito de aplicação do Regulamento das concentrações comunitárias. Contudo, a Comissão reserva-se a faculdade de tomar uma decisão final sobre este ponto. De acordo com a Comunicação da Comissão relativa a um procedimento simplificado de tratamento de certas operações de concentração nos termos do Regulamento das concentrações comunitárias (2), o referido processo é susceptível de beneficiar da aplicação do procedimento previsto na Comunicação. |
| --- | --- |

3.

Após uma análise preliminar, a Comissão considera que a operação de concentração notificada pode encontrar-se abrangida pelo âmbito de aplicação do Regulamento das concentrações comunitárias. Contudo, a Comissão reserva-se a faculdade de tomar uma decisão final sobre este ponto. De acordo com a Comunicação da Comissão relativa a um procedimento simplificado de tratamento de certas operações de concentração nos termos do Regulamento das concentrações comunitárias (2), o referido processo é susceptível de beneficiar da aplicação do procedimento previsto na Comunicação.

| 4. | A Comissão solicita aos terceiros interessados que lhe apresentem as suas eventuais observações sobre o projecto de concentração em causa.
  As observações devem ser recebidas pela Comissão no prazo de 10 dias após a data de publicação da presente comunicação. Podem ser enviadas por fax (+32 22964301), por correio electrónico para COMP-MERGER-REGISTRY@ec.europa.eu ou por via postal, com a referência COMP/M.6274 — Bridgepoint/Eurazeo/Foncia Groupe, para o seguinte endereço:





  Comissão Europeia |
| --- | --- |
| Direcção-Geral da Concorrência |
| Registo das Concentrações |
| J-70 |
| 1049 Bruxelles/Brussel |
| BELGIQUE/BELGIË |

4.

A Comissão solicita aos terceiros interessados que lhe apresentem as suas eventuais observações sobre o projecto de concentração em causa.

As observações devem ser recebidas pela Comissão no prazo de 10 dias após a data de publicação da presente comunicação. Podem ser enviadas por fax (+32 22964301), por correio electrónico para COMP-MERGER-REGISTRY@ec.europa.eu ou por via postal, com a referência COMP/M.6274 — Bridgepoint/Eurazeo/Foncia Groupe, para o seguinte endereço:

Comissão Europeia

Direcção-Geral da Concorrência

Registo das Concentrações

J-70

1049 Bruxelles/Brussel

BELGIQUE/BELGIË

---

(1)  JO L 24 de 29.1.2004, p. 1 («Regulamento das concentrações comunitárias»).

(2)  JO C 56 de 5.3.2005, p. 32 («Comunicação relativa ao procedimento simplificado»).

---

| 22.6.2011 | PT | Jornal Oficial da União Europeia | C 181/39 |
| --- | --- | --- | --- |

22.6.2011

PT

Jornal Oficial da União Europeia

C 181/39

---

Notificação prévia de uma concentração

(Processo COMP/M.6265 — CSN/AG Cementos Balboa/Corrugados Azpeitia/Corrugados Lasao/Stahlwerk Thuringen)

Processo susceptível de beneficiar do procedimento simplificado

(Texto relevante para efeitos do EEE)

2011/C 181/07

| 1. | A Comissão recebeu, em 14 de Junho de 2011, uma notificação de um projecto de concentração, nos termos do artigo 4.o do Regulamento (CE) n.o 139/2004 do Conselho (1), através da qual a empresa CSN Steel S.L., (Espanha), pertencente ao Grupo Companhia Siderúrgica Nacional, adquire, na acepção do artigo 3.o, n.o 1, alínea b), do Regulamento das concentrações comunitárias, o controlo exclusivo das seguintes empresas:






  — | AG Cementos Balboa, SA, (Espanha), |
| --- | --- | --- |

1.

A Comissão recebeu, em 14 de Junho de 2011, uma notificação de um projecto de concentração, nos termos do artigo 4.o do Regulamento (CE) n.o 139/2004 do Conselho (1), através da qual a empresa CSN Steel S.L., (Espanha), pertencente ao Grupo Companhia Siderúrgica Nacional, adquire, na acepção do artigo 3.o, n.o 1, alínea b), do Regulamento das concentrações comunitárias, o controlo exclusivo das seguintes empresas:

—

AG Cementos Balboa, SA, (Espanha),

| — | Corrugados Azpeitia, S.L., (Espanha), |
| --- | --- |

—

Corrugados Azpeitia, S.L., (Espanha),

| — | Corrugados Lasao, S.L., (Espanha), e |
| --- | --- |

—

Corrugados Lasao, S.L., (Espanha), e

| — | Stahlwerk Thüringen GmbH (Alemanha), |
| --- | --- |

—

Stahlwerk Thüringen GmbH (Alemanha),

mediante aquisição de acções.

| 2. | As actividades das empresas em causa são:






  — | CSN: a sua actividade centra-se na produção de aço (em especial produtos planos), extracção mineira, infra-estruturas, cimento e produtos carboquímicos, |
| --- | --- | --- |

2.

As actividades das empresas em causa são:

—

CSN: a sua actividade centra-se na produção de aço (em especial produtos planos), extracção mineira, infra-estruturas, cimento e produtos carboquímicos,

| — | AG Cementos Balboa, SA: em especial, fabrico de cimento, |
| --- | --- |

—

AG Cementos Balboa, SA: em especial, fabrico de cimento,

| — | Corrugados Azpeitia, S.L.: em especial, fabrico de produtos siderúrgicos semiacabados e armaduras em aço, |
| --- | --- |

—

Corrugados Azpeitia, S.L.: em especial, fabrico de produtos siderúrgicos semiacabados e armaduras em aço,

| — | Corrugados Lasao, S.L.: em especial, fabrico de redes de aço electrossoldadas, |
| --- | --- |

—

Corrugados Lasao, S.L.: em especial, fabrico de redes de aço electrossoldadas,

| — | Stahlwerk Thüringen GmbH: em especial, fabrico de produtos siderúrgicos semiacabados e de certos produtos longos de aço (principalmente perfis). |
| --- | --- |

—

Stahlwerk Thüringen GmbH: em especial, fabrico de produtos siderúrgicos semiacabados e de certos produtos longos de aço (principalmente perfis).

| 3. | Após uma análise preliminar, a Comissão considera que a operação de concentração notificada pode encontrar-se abrangida pelo âmbito de aplicação do Regulamento das concentrações comunitárias. Contudo, a Comissão reserva-se a faculdade de tomar uma decisão final sobre este ponto. De acordo com a Comunicação da Comissão relativa a um procedimento simplificado de tratamento de certas operações de concentração nos termos do Regulamento das concentrações comunitárias (2), o referido processo é susceptível de beneficiar da aplicação do procedimento previsto na Comunicação. |
| --- | --- |

3.

Após uma análise preliminar, a Comissão considera que a operação de concentração notificada pode encontrar-se abrangida pelo âmbito de aplicação do Regulamento das concentrações comunitárias. Contudo, a Comissão reserva-se a faculdade de tomar uma decisão final sobre este ponto. De acordo com a Comunicação da Comissão relativa a um procedimento simplificado de tratamento de certas operações de concentração nos termos do Regulamento das concentrações comunitárias (2), o referido processo é susceptível de beneficiar da aplicação do procedimento previsto na Comunicação.

| 4. | A Comissão solicita aos terceiros interessados que lhe apresentem as suas eventuais observações sobre o projecto de concentração em causa.
  As observações devem ser recebidas pela Comissão no prazo de 10 dias após a data de publicação da presente comunicação. Podem ser enviadas por fax (+32 22964301), por correio electrónico para COMP-MERGER-REGISTRY@ec.europa.eu ou por via postal, com a referência COMP/M.6265 — CSN/AG Cementos Balboa/Corrugados Azpeitia/Corrugados Lasao/Stahlwerk Thuringen, para o seguinte endereço:





  Comissão Europeia |
| --- | --- |
| Direcção-Geral da Concorrência |
| Registo das Concentrações |
| J-70 |
| 1049 Bruxelles/Brussel |
| BELGIQUE/BELGIË |

4.

A Comissão solicita aos terceiros interessados que lhe apresentem as suas eventuais observações sobre o projecto de concentração em causa.

As observações devem ser recebidas pela Comissão no prazo de 10 dias após a data de publicação da presente comunicação. Podem ser enviadas por fax (+32 22964301), por correio electrónico para COMP-MERGER-REGISTRY@ec.europa.eu ou por via postal, com a referência COMP/M.6265 — CSN/AG Cementos Balboa/Corrugados Azpeitia/Corrugados Lasao/Stahlwerk Thuringen, para o seguinte endereço:

Comissão Europeia

Direcção-Geral da Concorrência

Registo das Concentrações

J-70

1049 Bruxelles/Brussel

BELGIQUE/BELGIË

---

(1)  JO L 24 de 29.1.2004, p. 1 («Regulamento das concentrações comunitárias»).

(2)  JO C 56 de 5.3.2005, p. 32 («Comunicação relativa ao procedimento simplificado»).

---

| 22.6.2011 | PT | Jornal Oficial da União Europeia | C 181/40 |
| --- | --- | --- | --- |

22.6.2011

PT

Jornal Oficial da União Europeia

C 181/40

---

Notificação prévia de uma concentração

(Processo COMP/M.6253 — Talis International Holding/Raphael Valves Industries)

Processo susceptível de beneficiar do procedimento simplificado

(Texto relevante para efeitos do EEE)

2011/C 181/08

| 1. | A Comissão Europeia recebeu, em 14 de Junho de 2011, uma notificação de um projecto de concentração, nos termos do artigo 4.o do Regulamento (CE) n.o 139/2004 do Conselho (1), através da qual a empresa Talis International Holding GmbH (Alemanha), a sociedade holding do Grupo Talis («Talis»), adquire, na acepção do artigo 3.o, n.o 1, alínea b), do Regulamento das concentrações, o controlo exclusivo da empresa Raphael Valves Industries (1975) («Raphael», Israel), mediante aquisição de acções. |
| --- | --- |

1.

A Comissão Europeia recebeu, em 14 de Junho de 2011, uma notificação de um projecto de concentração, nos termos do artigo 4.o do Regulamento (CE) n.o 139/2004 do Conselho (1), através da qual a empresa Talis International Holding GmbH (Alemanha), a sociedade holding do Grupo Talis («Talis»), adquire, na acepção do artigo 3.o, n.o 1, alínea b), do Regulamento das concentrações, o controlo exclusivo da empresa Raphael Valves Industries (1975) («Raphael», Israel), mediante aquisição de acções.

| 2. | As actividades das entidades envolvidas, isto é, tanto da Talis como da Raphael, consistem no desenvolvimento, fabrico e distribuição de válvulas e outros produtos e equipamentos para o sector da água, nomeadamente para o transporte, transmissão, distribuição e evacuação. |
| --- | --- |

2.

As actividades das entidades envolvidas, isto é, tanto da Talis como da Raphael, consistem no desenvolvimento, fabrico e distribuição de válvulas e outros produtos e equipamentos para o sector da água, nomeadamente para o transporte, transmissão, distribuição e evacuação.

| 3. | Após uma análise preliminar, a Comissão Europeia considera que a operação notificada pode encontrar-se abrangida pelo âmbito de aplicação do Regulamento das concentrações. Contudo, reserva-se a faculdade de tomar uma decisão final sobre este ponto. De acordo com a Comunicação da Comissão relativa a um procedimento simplificado de tratamento de certas operações de concentração nos termos do Regulamento (CE) n.o 139/2004 do Conselho (2), o referido processo é susceptível de beneficiar do procedimento previsto na Comunicação. |
| --- | --- |

3.

Após uma análise preliminar, a Comissão Europeia considera que a operação notificada pode encontrar-se abrangida pelo âmbito de aplicação do Regulamento das concentrações. Contudo, reserva-se a faculdade de tomar uma decisão final sobre este ponto. De acordo com a Comunicação da Comissão relativa a um procedimento simplificado de tratamento de certas operações de concentração nos termos do Regulamento (CE) n.o 139/2004 do Conselho (2), o referido processo é susceptível de beneficiar do procedimento previsto na Comunicação.

| 4. | A Comissão Europeia solicita aos terceiros interessados que lhe apresentem as suas eventuais observações sobre o projecto de concentração em causa.
  As observações devem ser recebidas pela Comissão Europeia no prazo de 10 dias a contar da data de publicação da presente comunicação. Podem ser enviadas por fax (+32 22964301), por correio electrónico para COMP-MERGER-REGISTRY@ec.europa.eu ou por via postal, com a referência COMP/M.6253 — Talis International Holding/Raphael Valves Industries (1975) Ltd, para o seguinte endereço:





  Comissão Europeia |
| --- | --- |
| Direcção-Geral da Concorrência |
| Registo das Concentrações |
| J-70 |
| B-1049 Bruxelles/Brussel |
| BELGIQUE/BELGIË |

4.

A Comissão Europeia solicita aos terceiros interessados que lhe apresentem as suas eventuais observações sobre o projecto de concentração em causa.

As observações devem ser recebidas pela Comissão Europeia no prazo de 10 dias a contar da data de publicação da presente comunicação. Podem ser enviadas por fax (+32 22964301), por correio electrónico para COMP-MERGER-REGISTRY@ec.europa.eu ou por via postal, com a referência COMP/M.6253 — Talis International Holding/Raphael Valves Industries (1975) Ltd, para o seguinte endereço:

Comissão Europeia

Direcção-Geral da Concorrência

Registo das Concentrações

J-70

B-1049 Bruxelles/Brussel

BELGIQUE/BELGIË

---

(1)  JO L 24 de 29.1.2004, p. 1 («Regulamento das concentrações»).

(2)  JO C 56 de 5.3.2005, p. 32 («Comunicação relativa ao procedimento simplificado»).

---