RECOMENDAÇÃO DA COMISSÃO

de 26 de Março de 2009

relativa às orientações sobre a protecção de dados no Sistema de Informação do Mercado Interno (IMI)

[notificada com o número C(2009) 2041]

(Texto relevante para efeitos do EEE)

(2009/329/CE)

A COMISSÃO DAS COMUNIDADES EUROPEIAS,

Tendo em conta o Tratado que institui a Comunidade Europeia, nomeadamente o segundo travessão do artigo 211.o,

Após consulta da Autoridade Europeia para a Protecção de Dados,

Considerando o seguinte:

A Decisão 2004/387/CE do Parlamento Europeu e do Conselho, de 21 de Abril de 2004, sobre a prestação interoperável de serviços pan-europeus de administração em linha (eGovernment) a administrações públicas, empresas e cidadãos (IDABC) (1) , nomeadamente o artigo 4.o, prevê a implementação de projectos de interesse comum, a fim de permitir o intercâmbio eficiente, efectivo e seguro de informações entre administrações públicas a todos os níveis adequados, bem como entre as referidas administrações públicas e as instituições comunitárias ou outras entidades, se for o caso.

Em 17 de Março de 2006, os representantes dos Estados-Membros no Comité Consultivo do Mercado Interno (2) aprovaram o Plano Global de Implementação do Sistema de Informação do Mercado Interno (seguidamente designado «IMI») e o seu desenvolvimento com vista a melhorar a comunicação entre as administrações dos Estados-Membros.

Na sequência desta aprovação, a Comissão decidiu do financiamento e da criação do Sistema de Informação do Mercado Interno como um projecto de interesse comum nas Decisões C(2006) 3606 de 14 de Agosto de 2006, C(2007) 3514 de 25 de Julho de 2007 e C(2008) 1881 de 14 de Maio de 2008.

O IMI tem como objectivo apoiar actos legislativos relevantes que impliquem o intercâmbio de informações entre as administrações dos Estados-Membros, nomeadamente a Directiva 2005/36/CE do Parlamento Europeu e do Conselho, de 7 de Setembro de 2005, relativa ao reconhecimento das qualificações profissionais (3) e a Directiva 2006/123/CE do Parlamento Europeu e do Conselho, de 12 de Dezembro de 2006, relativa aos serviços no mercado interno (4) .

O intercâmbio electrónico de informações entre os Estados-Membros e entre os Estados-Membros e a Comissão deve respeitar as regras em matéria de protecção de dados pessoais estabelecidas na Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (5) e no Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (6) .

O direito à protecção de dados é reconhecido na Carta dos Direitos Fundamentais da União Europeia, nomeadamente no seu artigo 8.o, pelo que sistemas de informação como o IMI devem garantir que sejam claramente definidas as diferentes responsabilidades e obrigações partilhadas entre a Comissão e os Estados-Membros no que respeita às regras de protecção de dados e que sejam postos à disposição das pessoas em causa mecanismos simples e de fácil acesso que lhes permitam fazer valer os seus direitos.

A Decisão 2008/49/CE da Comissão, de 12 de Dezembro de 2007, relativa à protecção dos dados pessoais no âmbito do Sistema de Informação do Mercado Interno (IMI) (7) estabeleceu as funções, os direitos e as obrigações dos participantes e utilizadores do IMI. Esta decisão da Comissão teve em conta o parecer do Grupo de Trabalho instituído ao abrigo do artigo 29.o (8) .

Na sequência da adopção da referida decisão, a Autoridade Europeia para a Protecção de Dados (AEPD) emitiu um parecer (9) em que apela para a adopção de um instrumento jurídico, de preferência sob a forma de um regulamento do Conselho e do Parlamento Europeu, uma vez que se espera um alargamento progressivo do IMI a outros domínios da legislação em matéria de mercado interno, por conseguinte com uma maior complexidade e um número crescente de autoridades participantes e de intercâmbio de dados. Em diversas reuniões e numa troca de cartas entre a AEPD e os serviços da Comissão (10) , foi acordada uma abordagem por fases que se iniciaria com a adopção de orientações sobre a protecção de dados, a elaborar em estreita consulta com a AEPD.

As referidas orientações complementam a Decisão 2008/49/CE e têm em conta as recomendações do Grupo de Trabalho instituído ao abrigo do artigo 29.o e as recomendações da AEPD,

RECOMENDA AOS ESTADOS-MEMBROS QUE:

Tomem as medidas necessárias para assegurar a implementação das orientações constantes do anexo entre os participantes e utilizadores do IMI.

Incentivem os coordenadores nacionais do IMI a estabelecer contactos com as respectivas autoridades nacionais responsáveis pela protecção de dados, para fins de orientação e assistência sobre a melhor forma de implementação dessas orientações ao abrigo da legislação nacional.

Enviem informações à Comissão Europeia sobre a implementação das orientações constantes do anexo, o mais tardar nove meses após a adopção da presente recomendação e com a assistência dos coordenadores nacionais do IMI. Essas informações serão tidas em consideração pela Comissão Europeia num relatório que esta elaborará o mais tardar um ano após a adopção da presente recomendação, no qual avaliará a situação em matéria de protecção de dados no âmbito do IMI, bem como o teor e a oportunidade de eventuais medidas futuras, incluindo a eventual adopção de um instrumento jurídico.

(1) JO L 144 de 30.4.2004, p. 67. Rectificação no JO L 181 de 18.5.2004, p. 25.

(2) Instituído pela Decisão 93/72/CEE da Comissão (JO L 26 de 3.2.1993, p. 18).

(3) JO L 255 de 30.9.2005, p. 22.

(4) JO L 376 de 27.12.2006, p. 36.

(5) JO L 281 de 23.11.1995, p. 31.

(6) JO L 8 de 12.1.2001, p. 1.

(7) JO L 13 de 16.1.2008, p. 18.

(8) Parecer 01911/07/EN, WP 140.

(9) Parecer da Autoridade Europeia para a Protecção de Dados sobre a Decisão 2008/49/CE da Comissão, de 12 de Dezembro de 2007, relativa à protecção dos dados pessoais no âmbito do Sistema de Informação do Mercado Interno (IMI) (JO C 270 de 25.10.2008, p. 1).

(10) http://www.edps.europa.eu/EDPSWEB/edps/site/mySite/pid/87

ANEXO

ORIENTAÇÕES RELATIVAS À IMPLEMENTAÇÃO DAS REGRAS DE PROTECÇÃO DE DADOS NO ÂMBITO DO IMI

1. IMI – UM INSTRUMENTO DE COOPERAÇÃO ADMINISTRATIVA

O IMI é uma aplicação informática acessível através da Internet, criada pela Comissão Europeia em colaboração com os Estados-Membros. O seu principal objectivo é assistir os Estados-Membros na implementação prática da legislação da UE que prevê a assistência mútua e a cooperação administrativa. O IMI não é uma base de dados destinada a armazenar informações por longos períodos de tempo, mas sim um mecanismo centralizado que visa permitir às administrações nacionais dos Estados-Membros do EEE trocar informações, com períodos limitados de conservação dos dados.

Página de início de sessão do IMI

O IMI permite actualmente o intercâmbio de informações ao abrigo da Directiva Qualificações Profissionais e permitirá também o intercâmbio de informações ao abrigo da Directiva Serviços a partir de finais de 2009. No futuro, poderá permitir o intercâmbio de informações noutros domínios legislativos do mercado interno. A lista actualizada desses domínios legislativos consta do anexo à Decisão 2008/49/CE e pode ser consultada em qualquer altura. O referido anexo será alterado conforme necessário. O IMI não pode ser utilizado para o intercâmbio de informações em domínios legislativos não especificamente enumerados nesse anexo.

Exemplo da página referente às autoridades competentes em matéria de qualificações profissionais

A cooperação entre administrações nacionais é vital para o bom funcionamento do mercado interno. Os cidadãos europeus não podem beneficiar dos direitos básicos do mercado interno, como a liberdade de estabelecimento noutro Estado-Membro ou a liberdade de prestação de serviços transfronteiras, sem a existência de modalidades práticas de cooperação administrativa

Alguns exemplos

Uma médica alemã residente em Berlim casa com um francês e decide começar uma nova vida em Paris. A médica alemã deseja exercer a sua profissão em França, pelo que apresenta os seus diplomas e qualificações à Ordem dos Médicos francesa. O responsável pelo tratamento do processo tem dúvidas quanto à autenticidade de um dos diplomas e utiliza o IMI para proceder à sua verificação junto da autoridade competente em Berlim.

Uma empresa francesa de limpeza industrial com actividades em França também presta serviços de limpeza transfronteiras na região da Catalunha (Espanha). Uma ONG espanhola apresenta uma queixa ao Serviço do Ambiente da Catalunha declarando que a empresa francesa não dispõe da mão-de-obra especializada necessária para a utilização de determinados produtos de limpeza. A autoridade competente catalã utiliza o IMI para verificar se a empresa de limpeza exerce legalmente a sua actividade em França.

A cooperação administrativa na UE não é uma tarefa fácil. Há barreiras linguísticas (a UE conta com 23 línguas oficiais), falta de procedimentos administrativos para a cooperação transfronteiras, diferentes estruturas e culturas administrativas e falta de parceiros claramente identificados nos outros Estados-Membros.

Embora incumba aos Estados-Membros assegurar que a legislação em matéria de mercado interno funcione eficazmente nos seus territórios, a Comissão considera que os Estados-Membros necessitam de instrumentos para trabalhar em conjunto. O IMI foi criado com esta ideia em mente: identificar a autoridade competente adequada noutro Estado-Membro (função de pesquisa), gerir o intercâmbio de informações com base em procedimentos simples e unificados e eliminar as barreiras linguísticas com base em listas de perguntas previamente definidas e traduzidas.

Página com as perguntas nas línguas de duas autoridades competentes envolvidas num intercâmbio de informações

2. ÂMBITO E OBJECTIVO DAS PRESENTES ORIENTAÇÕES

Os utilizadores do IMI são peritos nos seus respectivos domínios de competência, quer se trate das regras que regem uma profissão ou da regulamentação em vigor em matéria de prestação de serviços. Contudo, não são peritos no domínio da protecção de dados e podem nem sempre estar suficientemente cientes dos requisitos impostos nessa matéria pela respectiva legislação nacional.

Por conseguinte, é conveniente facultar aos utilizadores do IMI orientações que expliquem o funcionamento do IMI do ponto de vista da protecção de dados, bem como das salvaguardas integradas no sistema e dos possíveis riscos associados à sua utilização (1).

Não se pretende que estas orientações constituam uma análise exaustiva de todas as questões relativas à protecção de dados relacionadas com o IMI, mas sim uma explicação prática e um conjunto de regras a respeitar que todos os utilizadores do IMI possam compreender. Em caso de necessidade, os utilizadores do IMI podem sempre obter orientação e assistência suplementares junto das autoridades responsáveis pela protecção de dados nos Estados-Membros. Uma lista destas autoridades, com os respectivos dados de contacto e sítios web está disponível para consulta em:

http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/index_en.htm

3. UM AMBIENTE CONVIVIAL EM MATÉRIA DE PROTECÇÃO DE DADOS

O IMI foi desenvolvido tendo em conta os requisitos da legislação em matéria de protecção de dados, destinando-se, desde a sua concepção, a facilitar a respectiva protecção.

Os utilizadores do IMI podem estar certos de que o IMI é uma aplicação informática fiável do ponto de vista da protecção de dados e alguns exemplos simples podem facilmente ilustrar este ponto:

a) O IMI é utilizado apenas por autoridades competentes no interior do Espaço Económico Europeu (os Estados-Membros da UE mais a Noruega, a Islândia e o Lichtenstein) e não há transferências de dados pessoais para fora do EEE;

b) A Comissão Europeia e os coordenadores do IMI (2) não têm acesso aos dados pessoais dos profissionais ou prestadores de serviços trocados no âmbito do sistema;

c) Apenas as autoridades competentes envolvidas num pedido de informação estão autorizadas a consultar os dados pessoais do prestador de serviços (3) De facto, a protecção vai ao ponto de só permitir ao destinatário de um pedido a consulta das informações pessoais do prestador de serviços depois de esse destinatário aceitar formalmente o pedido em causa; Exemplo da visualização de um pedido antes da aceitação pelo destinatário

d) Todos os dados pessoais referentes a pedidos são automaticamente eliminados do sistema seis meses após o encerramento do respectivo pedido ou até mesmo antes, quando tal é solicitado pelas autoridades competentes em causa (para mais pormenores, ver o capítulo 12 sobre o período de conservação dos dados).

4. QUEM É QUEM NO IMI? A QUESTÃO DO CONTROLO CONJUNTO

O IMI é um exemplo claro de operações de tratamento conjuntas e de controlo conjunto. Por exemplo, enquanto apenas as autoridades competentes nos Estados-Membros trocam dados pessoais, o armazenamento desses dados nos seus servidores é da responsabilidade da Comissão Europeia. Embora não esteja autorizada a consultar esses dados pessoais, a Comissão Europeia é todavia o operador do sistema que processa fisicamente a eliminação e rectificação dos dados.

Por outras palavras, e em consequência da repartição das diferentes responsabilidades entre a Comissão e os Estados-Membros:

a) Cada autoridade competente e cada coordenador do IMI é responsável pelo tratamento no que diz respeito às suas próprias actividades de tratamento de dados;

b) A Comissão não é um utilizador, mas sim o operador do sistema, responsável primariamente pela manutenção e segurança do sistema (4);

c) Os participantes no IMI partilham responsabilidades no que diz respeito às disposições em matéria de notificação e de direitos de acesso, oposição e rectificação.

Em cenários complexos de controlo conjunto como é o caso do IMI, parece ser mais eficiente, numa perspectiva de conformidade, integrar no sistema, desde o início, os requisitos de protecção de dados (ver secção: «Trabalhos em curso» no capítulo 13: «Cooperação com as autoridades responsáveis pela protecção de dados e a AEPD») e definir um enquadramento de conformidade, como o previsto nas presentes orientações. O respeito deste enquadramento é da responsabilidade de todos os participantes e utilizadores do IMI.

5. PARTICIPANTES E UTILIZADORES DO IMI

Todos os participantes que utilizam o IMI são sujeitos a validação pelos coordenadores do IMI. Os participantes e utilizadores, bem como as suas funções, direitos e obrigações, estão descritos em pormenor nos artigos 6.o a 12.o da Decisão 2008/49/CE, pelo que é desnecessário repeti-los aqui.

É importante compreender que o IMI é um sistema muito flexível no qual os Estados-Membros podem atribuir responsabilidades e funções a autoridades competentes e coordenadores de muitas formas diferentes, a fim de terem em conta a sua estrutura administrativa específica e os domínios legislativos a abranger pela cooperação administrativa.

É igualmente importante não esquecer que os utilizadores do IMI nos Estados-Membros são responsáveis por muitas outras operações de tratamento. As regras em matéria de protecção de dados no âmbito do IMI não precisam de ser desnecessariamente complicadas nem representar uma sobrecarga administrativa excessiva. Também não têm de seguir obrigatoriamente um formato único.

Na maioria dos casos, as autoridades competentes têm simplesmente de efectuar as operações de tratamento no âmbito do IMI seguindo as regras e boas práticas que utilizam normalmente como responsáveis pelo tratamento de dados de acordo com as suas necessidades específicas e com a legislação em matéria de protecção de dados dos seus Estados-Membros.

As autoridades competentes deveriam também aproveitar o ambiente convivial em matéria de protecção de dados proporcionado pelo IMI. Por exemplo, são incentivadas a solicitar a eliminação no IMI dos dados pessoais trocados, mesmo antes do termo do prazo de conservação de seis meses, caso já não precisem de manter o intercâmbio de informações no IMI.

6. FUNDAMENTOS JURÍDICOS PARA O INTERCÂMBIO DE INFORMAÇÕES PESSOAIS NO IMI

A Comissão adoptou a Decisão 2008/49/CE que estabelece as funções, os direitos e as obrigações dos participantes e utilizadores do IMI quanto à implementação do sistema no que diz respeito à protecção de dados pessoais.

Nem todo o intercâmbio de informações no IMI inclui dados pessoais. Por exemplo, a informação trocada pode dizer respeito a pessoas colectivas (5) ou a pergunta e resposta pode não estar especificamente relacionada com um indivíduo (por exemplo, uma pergunta geral para saber se uma profissão está regulamentada num dado Estado-Membro).

Em muitos casos, contudo, o intercâmbio de informações diz respeito a indivíduos e, por conseguinte, deve haver fundamentos jurídicos para o tratamento dos dados pessoais. A utilização do IMI é frequentemente no interesse da pessoa em causa. Não obstante, mesmo que não seja necessariamente no interesse da pessoa em causa, esse intercâmbio de informações pode ser efectuado pelas autoridades competentes no âmbito do IMI, desde que tal seja exigido numa base jurídica específica.

O artigo 7.o da Directiva 95/46/CE enumera os fundamentos jurídicos para o tratamento dos dados pessoais. As alíneas c) e e) do artigo 7.o são as disposições mais relevantes para o intercâmbio de dados no âmbito do IMI.

I) Cumprimento de uma obrigação jurídica (alínea c) do artigo 7.o)

Como princípio geral, os Estados-Membros da UE têm o dever de cooperar entre si e com as instituições comunitárias. O dever de cooperação administrativa está explícita e especificamente estabelecido na Directiva 2005/36/CE (Directiva Qualificações Profissionais) e na Directiva 2006/123/CE (Directiva Serviços).

Os n.os 1 e 2 do artigo 56.o da Directiva Qualificações Profissionais estabelece o seguinte:

«1. As autoridades competentes do Estado-Membro de acolhimento e do Estado-Membro de origem deverão colaborar estreitamente e prestar-se assistência mútua, a fim de facilitar a aplicação da presente directiva. Deverão igualmente assegurar a confidencialidade das informações trocadas entre si. 2. As autoridades competentes do Estado-Membro de acolhimento e de origem deverão trocar informações sobre processos disciplinares ou sanções penais aplicadas ou quaisquer outras circunstâncias específicas graves susceptíveis de ter consequências no exercício das actividades previstas na presente directiva, no respeito pela legislação relativa à protecção dos dados pessoais consignada nas Directivas 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (…), e 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de Julho de 2002, relativa ao tratamento de dados pessoais e à protecção da privacidade no sector das telecomunicações electrónicas (Directiva Privacidade e Comunicações Electrónicas) [JO L 201 de 31.7.2002, p. 37].».

Os n.os 1 e 6 do artigo 28.o da Directiva Serviços estabelecem:

«1. Os Estados-Membros devem prestar-se assistência mútua e tomar medidas para cooperarem eficazmente, a fim de assegurar a fiscalização dos prestadores e dos seus serviços (…).». «6. Os Estados-Membros fornecem, o mais rapidamente possível e por via electrónica, as informações solicitadas por outros Estados-Membros ou pela Comissão.».

O n.o 1 do artigo 34.o da Directiva Serviços estabelece:

«1. A Comissão, em colaboração com os Estados-Membros, deve criar um sistema electrónico de intercâmbio de informações entre Estados-Membros, tendo em conta os sistemas de informação existentes.».

II) A execução de uma missão de interesse público ou o exercício da autoridade pública de que está investido o responsável pelo tratamento (alínea e) do artigo 7.o).

Os participantes e utilizadores do IMI executam tarefas no interesse público ou no exercício da autoridade pública neles investida. Todas as inscrições no IMI são validadas pelo coordenador do IMI após este se certificar que a autoridade competente em questão executa efectivamente missões de interesse público (por exemplo, organismos médicos ou veterinários que asseguram o cumprimento pelos seus membros das regras éticas ou sanitárias) ou de exercício da autoridade pública nela investida (por exemplo, Ministérios da Educação que asseguram que os professores do ensino secundário têm as qualificações adequadas).

Com base no exposto, o IMI pode ser utilizado para trocar dados pessoais ao abrigo da Directiva Qualificações Profissionais e da Directiva Serviços para os fins estabelecidos nas respectivas disposições. As informações relacionadas com outra legislação relativa ao mercado interno não podem ser trocadas no IMI. Se o âmbito do IMI for, em qualquer fase, alargado a fim de incluir legislação adicional, serão então adicionadas referências adequadas aos actos comunitários relevantes no anexo da Decisão 2008/49/CE.

7. A QUESTÃO DA LEGISLAÇÃO APLICÁVEL E DA SUPERVISÃO ADEQUADA

A legislação aplicável em matéria de protecção de dados depende da identidade do participante ou utilizador do IMI. No que diz respeito à Comissão Europeia, por exemplo, é aplicável o Regulamento Protecção de Dados (Regulamento CE n.o 45/2001). No que diz respeito aos utilizadores nacionais (por exemplo, uma autoridade competente), a legislação aplicável é a respectiva legislação nacional em matéria de protecção de dados, a qual deve estar em conformidade com a Directiva 95/46/CE (Protecção de Dados).

A União Europeia dispõe de um quadro jurídico sólido em matéria de protecção de dados proporcionado por esta directiva e pelo Regulamento CE n.o 45/2001 (6). A Directiva Protecção de Dados permite aos Estados-Membros uma certa flexibilidade. Aconselha-se portanto aos coordenadores nacionais do IMI que debatam estas orientações com as respectivas autoridades competentes em matéria de protecção de dados, por exemplo no que diz respeito às informações pormenorizadas a facultar a indivíduos (ver capítulo 9 sobre esta questão) ou ao dever de notificação de determinadas operações de tratamento de dados às autoridades responsáveis pela protecção de dados.

A Directiva 95/46/CE é uma directiva relativa ao mercado interno que tem um duplo objectivo. A harmonização da legislação nacional em matéria de protecção de dados destina-se não só a assegurar um elevado nível de protecção dos dados, como também a proteger os direitos fundamentais dos indivíduos e a permitir assim a livre circulação de dados pessoais entre os Estados-Membros. Por conseguinte, as especificidades nacionais não deveriam ter qualquer impacto prático ou significativo na utilização do IMI e no intercâmbio de informações exigido por outros actos comunitários.

Uma das características mais significativas do quadro jurídico da UE em matéria de protecção de dados é a sua supervisão por autoridades públicas independentes responsáveis pela protecção de dados. Em consequência, os cidadãos podem apresentar queixas a essas autoridades para que os seus problemas no domínio da protecção de dados sejam tratados prontamente fora dos tribunais. O tratamento de dados pessoais a nível nacional é supervisionado pelas autoridades nacionais responsáveis pela protecção de dados e o tratamento de dados pessoais pelas instituições europeias é supervisionado pela Autoridade Europeia para a Protecção de Dados (AEPD). Consequentemente, a Comissão Europeia está sujeita à supervisão da AEPD e outros utilizadores do IMI estão sujeitos à supervisão das respectivas autoridades nacionais responsáveis pela protecção de dados. Para mais pormenores sobre o modo de tratamento das queixas ou pedidos das pessoas em causa, ver o capítulo 10 sobre os direitos de acesso e de rectificação e o capítulo 13 sobre a questão da cooperação com as autoridades responsáveis pela protecção de dados e a AEPD.

8. PRINCÍPIOS RELATIVOS À PROTECÇÃO DE DADOS APLICÁVEIS AO INTERCÂMBIO DE INFORMAÇÕES

O tratamento de dados pessoais ao abrigo do direito comunitário só é possível em determinadas condições (ver capítulo 6: «Fundamentos jurídicos para o intercâmbio de informações pessoais no IMI») e de acordo como alguns princípios que a Directiva Protecção de Dados designa como «princípios relativos à qualidade dos dados» (ver o seu artigo 6.o).

Os responsáveis pelo tratamento de dados deveriam apenas recolher dados pessoais para fins legítimos e específicos e não proceder ao seu tratamento para outros fins que sejam incompatíveis com os indicados no momento da recolha. Um exemplo clássico de objectivos incompatíveis seria a venda, por uma autoridade competente a empresas privadas para fins de marketing, dos dados relativos a endereços recolhidos para fins de tratamento do caso de profissionais migrantes ao abrigo da Directiva Serviços.

Além disso, o tratamento de dados pessoais deve ser proporcional (adequado, pertinente e não excessivo) aos objectivos da recolha e o responsável pelo tratamento deve também tomar medidas razoáveis para assegurar que os dados sejam mantidos actualizados e que sejam destruídos ou tornados anónimos quando a identificação da pessoa em causa já não é necessária. Os princípios de qualidade dos dados são princípios de boa gestão da informação, uma vez que um bom sistema de informação não é um sistema que conserva gigabytes de dados sem razão especial e que depressa fica desactualizado e deixa de ser fiável. Um bom sistema de informação electrónica deveria recolher apenas os dados que são necessários para os objectivos estabelecidos previamente e esses dados deveriam ser mantidos actualizados de forma a poderem ser plenamente fiáveis.

A aplicação destes princípios de qualidade dos dados ao funcionamento do IMI leva à apresentação das seguintes recomendações:

1) A utilização do IMI deveria ser estritamente limitada aos fins estabelecidos na legislação aplicável (por exemplo, em caso de dúvida justificada ou por quaisquer outras razões estabelecidas na legislação aplicável). Por conseguinte, embora se espere que o IMI se torne a forma normal de intercâmbio de informações entre autoridades competentes, deve ficar absolutamente claro que o IMI não deve ser utilizado de forma sistemática para efectuar a verificação dos antecedentes de um profissional ou prestador de serviços migrante;

2) A autoridade competente requerente deveria apresentar apenas os dados pessoais de que a autoridade competente respondente necessita para poder identificar, de forma inequívoca, a pessoa em questão ou para responder às perguntas. Por exemplo, se um profissional migrante puder ser identificado pelo seu nome e número de inscrição num registo profissional, não deveria haver necessidade de fornecer também o seu número de identificação pessoal;

3) Os utilizadores do IMI deveriam seleccionar cuidadosamente as perguntas e não perguntar mais do que é estritamente necessário. Não se trata apenas de respeitar os princípios da qualidade dos dados, trata-se também de reduzir a sobrecarga administrativa. Por questões de transparência, as listas de perguntas predefinidas são publicadas no sítio web do IMI (7). O que são dados sensíveis (8)? São dados que revelam a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a filiação sindical, a saúde, a vida sexual, as infracções, as condenações penais ou medidas de segurança. Alguns Estados-Membros podem também considerar como dados sensíveis informações referentes a sanções ou decisões cíveis.

4) As autoridades competentes devem estar particularmente vigilantes quando o intercâmbio de informações inclui dados sensíveis. O intercâmbio de dados sensíveis só é possível em circunstâncias muito limitadas. Os requisitos mais relevantes para o tratamento de dados sensíveis no IMI são os seguintes: a) O tratamento de dados sensíveis é necessário para o estabelecimento, o exercício ou a defesa de um direito num processo judicial (ver o n.o 2 do artigo 8.o da Directiva Protecção de Dados e as disposições correspondentes na legislação nacional); Esta disposição pode ser aplicável ao intercâmbio de dados no âmbito do IMI quando um profissional ou prestador de serviços migrante reclama o seu direito a exercer a sua profissão ou a estabelecer-se noutro Estado-Membro. As autoridades competentes devem, em cada caso, avaliar cuidadosamente se a utilização dos dados sensíveis é na verdade absolutamente necessária para o estabelecimento desse direito. No que se refere a determinados dados sensíveis específicos trocados no âmbito do IMI, os Estados-Membros adoptaram disposições específicas na Directiva Qualificações Profissionais e da Directiva Serviços: 1) o n.o 2 do artigo 56.o da Directiva Qualificações Profissionais estabelece que «as autoridades competentes do Estado-Membro de acolhimento e de origem deverão trocar informações sobre processos disciplinares ou sanções penais aplicadas ou quaisquer outras circunstâncias específicas graves susceptíveis de ter consequências no exercício das actividades previstas na presente directiva, no respeito pela legislação relativa à protecção dos dados pessoais (…)»; 2) o artigo 33.o da Directiva Serviços prevê regras específicas no que se refere ao intercâmbio de informações em matéria de honorabilidade do prestador de serviços migrante: «Os Estados-Membros comunicam, a pedido de uma autoridade competente de outro Estado-Membro, e em conformidade com a respectiva legislação nacional, as medidas disciplinares ou administrativas ou as sanções penais e as decisões em matéria de insolvência ou falência fraudulentas (…)»; b) A pessoa em causa dá o seu consentimento explícito. Se a cooperação administrativa for do interesse da pessoa em causa, pode não ser difícil obter o seu consentimento explícito para o tratamento dos dados pessoais;

5) Deve ter-se extremo cuidado quando se trata de informações relativas a registos criminais, cuja exactidão e actualização são de importância primordial. Por conseguinte, para além do cumprimento de outros princípios da directiva e do regulamento relativos à protecção dos dados referidos na presente recomendação (9) esta categoria de informações apenas deveria ser solicitada quando autorizada ao abrigo de actos comunitários relevantes e quando absolutamente necessária para permitir uma decisão no caso concreto que está directamente ligado ao pedido. Por outras palavras, o tratamento deve estar directamente relacionado com o exercício da actividade profissional ou a prestação de um serviço e ser necessário para fins da verificação do cumprimento das disposições da directiva relevante. Os utilizadores do IMI deveriam ter sempre em conta que, em muitos casos, as informações necessárias para a tomada de uma decisão não precisam de se referir especificamente ao registo criminal do profissional ou prestador de serviços migrante. De facto, há apenas algumas perguntas na lista de perguntas do IMI que dizem respeito aos registos criminais ou a outros dados sensíveis (10). Para além destes casos limitados, o intercâmbio de dados sensíveis apenas deveria ocorrer nos casos excepcionais em que as circunstâncias concretas do caso sejam tais que os dados sensíveis estão directamente relacionados com o exercício da actividade em questão e são absolutamente necessários para o estabelecimento de um direito num processo judicial. As autoridades competentes não devem utilizar o IMI para verificações de rotina do registo criminal dos profissionais migrantes, uma vez que tal não seria consentâneo com o objectivo para o qual o IMI foi criado. Quaisquer perguntas sobre infracções ou medidas disciplinares devem igualmente estar relacionadas com a profissão ou o serviço em causa e não com quaisquer outras infracções cometidas pelo profissional migrante ou medidas disciplinares a que este possa ter sido sujeito no país de origem. Por exemplo, a fim de determinar se um médico está legalmente inscrito e em regra perante a Ordem dos Médicos, a autoridade competente requerente não precisa de saber se consta do registo criminal do médico alguma infracção rodoviária, dado que essa infracção não o impediria de trabalhar como médico no seu país de origem.

A questão de tratamento e armazenamento ulteriores fora do âmbito do IMI

A utilização do IMI estará frequentemente associada ao fornecimento de informações a outra operação de tratamento que tem lugar no Estado-Membro (por exemplo, a fim de tratar de um pedido de prestação de um serviço ou da autorização de uma determinada actividade). É, por conseguinte, normal que as autoridades competentes procedam a um tratamento ulterior dos dados obtidos para estes fins. Quando os dados são obtidos através do IMI e são objecto de tratamento ulterior fora do sistema, a legislação nacional relativa à protecção de dados continua a ser aplicável. É, por conseguinte, necessário certificar-se de que:

— esse tratamento ulterior não é incompatível com os fins da recolha e intercâmbio que tiveram lugar no âmbito do IMI,

— esse tratamento ulterior é necessário e proporcional (adequado, pertinente e não excessivo) aos fins iniciais da recolha no âmbito do IMI,

— toma as medidas razoáveis para manter os dados actualizados e procede à sua eliminação quando já não são necessários,

— quando os dados são extraídos do IMI para divulgação a um terceiro, a pessoa em causa tem de ser informada desta circunstância a fim de garantir o tratamento leal dos mesmos, a menos que tal seja impossível ou implique um esforço desproporcionado ou se a divulgação estiver expressamente estabelecida por lei (ver o n.o 2 do artigo 11.o da Directiva 95/46/CE (Protecção de Dados). Considerando que a divulgação pode ser exigida apenas pela lei de um dos Estados-Membros em causa, pelo que esta exigência poderá não ser amplamente conhecida, a Comissão sugere que sejam envidados esforços para facultar informações mesmo quando a divulgação é expressamente estabelecida por lei.

9. O FORNECIMENTO DE INFORMAÇÕES ÀS PESSOAS EM CAUSA

Um dos pilares de qualquer regime de protecção de dados é que os responsáveis pelo tratamento dos dados facultam informações às pessoas em causa sobre as operações de tratamento que tencionam realizar que dizem respeito aos seus dados pessoais.

O artigo 10.o da Directiva Protecção de Dados estabelece que, no momento da recolha, devem ser facultadas à pessoa em causa, no mínimo, informações sobre a identidade do responsável pelo tratamento dos dados, os fins a que se destina esse tratamento, os destinatários ou categorias de destinatários dos dados, se as respostas às perguntas são obrigatórias e as consequências possíveis de uma falta de resposta, bem como o direito de acesso e rectificação.

Por conseguinte, ao recolher os dados pessoais de um indivíduo, a autoridade competente deve informar a pessoa em causa que os dados podem ser introduzidos no IMI para fins de correspondência com outras administrações públicas noutros Estados-Membros para os fins do seu pedido e que, em caso de necessidade, a pessoa em causa pode solicitar o acesso ou rectificação dos dados que são objecto do intercâmbio a qualquer uma das autoridades competentes envolvidas no pedido (para mais pormenores sobre este aspecto, ver o capítulo 10 sobre direitos de acesso e rectificação).

Incumbe a cada autoridade competente decidir quanto ao modo de transmissão desta informação às pessoas em causa. Como a maioria das autoridades competentes (se não mesmo todas) procederão a outras operações de tratamento para além do intercâmbio de informações no âmbito do IMI, o modo como informam as pessoas em causa pode, se adequado, ser idêntico ao escolhido para a transmissão de informações semelhantes noutras operações de tratamento ao abrigo da legislação nacional (por exemplo, com anúncios, na correspondência com as pessoas em causa e/ou em sítios web).

O fornecimento de informações na Directiva Protecção de Dados

O artigo 10.o da Directiva Protecção de Dados contém uma lista com um conjunto mínimo de informações que é necessário facultar aos indivíduos, excepto quando estes já dispõem dessas informações:

a) Identidade do(s) responsável(eis) pelo tratamento dos dados (autoridade competente que recolhe os dados e autoridades similares noutros Estados-Membros);

b) Objectivo do tratamento (correspondência com outras autoridades relacionada com o pedido do profissional ou prestador de serviços migrante);

c) Quaisquer outras informações na medida em que essas informações sejam necessárias para garantir um tratamento leal dos dados ou se o fornecimento de informações suplementares for exigido pela legislação nacional como, por exemplo: 1) destinatários ou categorias de destinatários dos dados, 2) existência de direito de acesso e de rectificação dos dados que lhe dizem respeito, modo como esses direitos podem ser exercidos na prática e quaisquer excepções a esses direitos ao abrigo da legislação nacional, 3) direito de recurso (por exemplo, acesso a tribunais e direito a intentar acções de indemnização), 4) período de armazenamento e conservação dos dados, 5) medidas de segurança, 6) ligações a documentos e sítios web relevantes, incluindo o sítio web da Comissão relativo ao IMI.

A Directiva Protecção de Dados prevê dois casos em que as pessoas em causa devem ser informadas: quando os dados são recolhidos directamente junto dessas pessoas e quando os dados foram obtidos de terceiros. Contudo, neste último caso, o artigo 11.o da directiva estabelece um critério de razoabilidade mediante a qual o fornecimento dessas informações não seria necessário caso implicasse um esforço desproporcionado ou caso o registo ou divulgação estivesse expressamente estabelecido por lei (como sucede com o intercâmbio de informações no âmbito do IMI), embora a directiva defina ainda que, nesses casos, os «Estados-Membros estabelecerão as garantias adequadas».

Por conseguinte, as autoridades competentes poderão ter de afinar as disposições relativas ao fornecimento de informações às pessoas em causa com base na respectiva legislação nacional em matéria de protecção de dados, possivelmente em consulta com os coordenadores nacionais do IMI e as autoridades nacionais responsáveis pela protecção de dados. Recomenda-se que seja adoptada uma abordagem por níveis, com o fornecimento de informações de base quando da recolha (por exemplo, em formulários de pedido de informações às autoridades competentes) juntamente com a indicação do modo com as pessoas em causa podem obter informações mais completas, caso estejam interessadas.

No que diz respeito a este segundo, e mais pormenorizado, nível de informações, uma forma eficiente de fornecer informações às pessoas em causa é por meio de declarações de privacidade ou de políticas em matéria de protecção da vida privada publicadas em sítios web.

Se as autoridades competentes já dispuserem dessas declarações de privacidade, deveriam actualizá-las ou complementá-las de modo a incluir especificamente o intercâmbio de dados pessoais no âmbito do IMI. Se tal não for o caso, as autoridades competentes deveriam decidir se a utilização do IMI e o volume de recolha de dados pessoais justificam a elaboração de uma declaração de privacidade em linha.

Nos casos em que a utilização do IMI é muito esporádica, pode ser suficiente informar sucintamente os indivíduos sobre o IMI quando da recolha de informações e também posteriormente em caso de necessidade. Nesses casos, quando a autoridade competente não disponibiliza à pessoa em causa uma declaração de privacidade específica sobre o IMI, a autoridade competente deveria indicar claramente o modo como as pessoas em causa podem obter informações mais completas, por exemplo, no sítio web do coordenador nacional do IMI e no sítio web da Comissão relativo ao IMI.

A secção relativa à protecção de dados do sítio web da Comissão sobre o IMI (11) contém a declaração de privacidade da Comissão no que diz respeito ao IMI. Contém também informações adicionais dirigidas às pessoas em causa sobre o modo de exercer os seus direitos e de obter assistência das autoridades nacionais competentes ou das autoridades responsáveis pela protecção de dados, se necessário:

«Caso pense que os seus dados pessoais figuram no IMI e deseja ter-lhes acesso, suprimi-los ou rectificá-los, pode contactar a administração ou o organismo profissional com os quais teve contacto ou ainda qualquer outro utilizador do IMI que esteve envolvido no pedido. Se não ficou satisfeito com a resposta recebida, pode contactar outro utilizador do IMI envolvido ou apresentar uma queixa junto da entidade responsável pela protecção dos dados de um dos utilizadores do IMI envolvido no pedido, que o ajudará gratuitamente. Está disponível uma lista das entidades responsáveis pela protecção dos dados no seguinte endereço: http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/index_en.htm É de notar que, por vezes, a legislação nacional pode conter excepções ao direito de acesso.».

Recomenda-se vivamente aos grandes participantes no IMI que tratam um elevado volume de pedidos que publiquem as suas políticas de protecção da vida privada nos seus sítios web. Essas políticas de protecção da vida privada deveriam conter uma ligação para a página sobre protecção de dados do sítio web da Comissão relativo ao IMI. No caso de outras autoridades competentes que tratam um pequeno volume de pedidos, poderá ser suficiente uma ligação ao sítio web da Comissão relativo ao IMI.

Os coordenadores nacionais do IMI deveriam prestar assistência às autoridades competentes. Esta pode incluir assistência na elaboração de advertências sobre a protecção da vida privada que podem ser utilizadas como modelo pelas autoridades nacionais competentes. Em alternativa, o coordenador nacional poderia elaborar e publicar na Internet uma advertência sobre a protecção da vida privada e cada autoridade competente poderia simplesmente apresentar uma ligação para esta advertência ao tratar com as pessoas em causa (por exemplo, em formulários de pedido de informações ou em quaisquer outros documentos fornecidos às pessoas em causa).

DECLARAÇÃO DE PRIVACIDADE DA COMISSÃO EUROPEIA

Sistema de Informação do Mercado Interno — IMI

1. Objectivo e agentes do IMI

O Sistema IMI tem como objectivo facilitar a cooperação administrativa e a assistência mútua entre os Estados-Membros, a fim de garantir o bom funcionamento do mercado interno e a livre circulação de pessoas e serviços. Para tal, proporciona uma ferramenta de troca de informações (incluindo determinados dados pessoais) entre as administrações nacionais dos países membros do EEE.

Esta declaração de confidencialidade diz respeito à parte do sistema que é da competência da Comissão, ou seja, a recolha, o registo, o armazenamento e a eliminação dos dados pessoais dos primeiros utilizadores dos coordenadores nacionais do IMI e o armazenamento e a eliminação (mas não a recolha, a recuperação e a visualização) dos dados pessoais dos outros utilizadores do sistema, bem como das pessoas objecto da troca de informações. Por conseguinte, a declaração não respeita às operações de tratamento de dados que são da competência dos países membros.

2. Legislação aplicável

Todas as operações de tratamento de dados que competem à Comissão Europeia são regidas pelo Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados.

Da mesma forma, aplica-se a Decisão 2008/49/CE da Comissão, de 12 de Dezembro de 2007, relativa à protecção dos dados pessoais no âmbito do Sistema de Informação do Mercado Interno (IMI).

3. Quais são os dados do IMI tratados pela Comissão?

A Comissão recolhe as informações de contacto relativas aos primeiros utilizadores dos coordenadores nacionais do IMI (nome, número de telefone profissional, número de fax, endereço electrónico, etc). Estes dados pessoais são armazenados num servidor da Comissão, juntamente com os dos utilizadores dos coordenadores delegados IMI e das entidades competentes.

Os dados pessoais das pessoas que são objecto de uma troca de informações serão armazenados, por razões técnicas, num servidor da Comissão.

4. Para que serve o tratamento de dados no IMI?

As informações de contacto dos coordenadores nacionais do IMI são essenciais para o funcionamento do sistema. A Comissão necessita de ter acesso a estes dados para poder cooperar de forma eficaz com os países membros na gestão do sistema.

O armazenamento temporário dos dados pessoais das pessoas objecto de uma troca de informações entre autoridades nacionais melhora e facilita a cooperação entre as autoridades competentes dos países membros com base na legislação comunitária em matéria de realização do mercado interno, quando são necessárias informações complementares procedentes de outro país membro em caso de prestação transfronteiras de serviços de carácter temporário ou de estabelecimento de um prestador de serviços noutro país membro.

5. Quem tem acesso aos dados?

Os administradores locais de dados da Comissão têm acesso aos dados pessoais dos administradores locais de dados dos coordenadores nacionais do IMI dentro dos limites estabelecidos pelo n.o 7 do artigo 12.o da Decisão 2008/49/CE. Em nenhum caso o pessoal da Comissão pode ter acesso aos dados pessoais das pessoas objecto da troca de informações.

6. Durante quanto tempo são conservados os dados?

Os dados pessoais dos utilizadores das entidades competentes e dos coordenadores do IMI serão conservados enquanto continuarem a ser utilizadores do sistema.

Todos os dados pessoais trocados entre as entidades competentes através do IMI serão automaticamente eliminados pela Comissão seis meses após o encerramento oficial da troca de informações. A troca de informações será conservada no IMI para fins estatísticos, mas todos os dados pessoais passarão a ser anónimos. Todas as entidades competentes que tenham participado numa determinada troca de informações podem pedir à Comissão, após o encerramento da mesma, que elimine dados pessoais específicos. A Comissão dará provimento ao pedido no prazo de dez dias úteis, após consentimento prévio da outra entidade competente participante.

7. Medidas de segurança contra o acesso não autorizado

Foram adoptadas várias medidas técnicas para a protecção do sistema. Os diferentes níveis de acesso à base de dados estão protegidos por um sistema habitual de senha (password) e código de identificação pessoal semelhante ao utilizado em muitos sistemas de banca electrónica por Internet. O acesso aos dados pessoais do IMI está restringido a um número limitado de utilizadores (ver ponto 5. «Quem tem acesso aos dados?» O sistema também está protegido pelo protocolo «https» (protocolo especial de segurança da Internet).

8. Acesso aos seus próprios dados pessoais

Os coordenadores nacionais do IMI podem aceder aos seus próprios dados pessoais através do endereço de contacto que figura no ponto 10.

9. Outras informações

Para além da presente declaração de confidencialidade, aplica-se também a «Advertência jurídica importante» (http://europa.eu/geninfo/legal_notices_en.htm).

Caso pense que os seus dados pessoais figuram no IMI e deseja ter-lhes acesso, suprimi-los ou rectificá-los, pode contactar a administração ou o organismo profissional com os quais teve contacto ou ainda qualquer outro utilizador do IMI que esteve envolvido no pedido. Se não ficou satisfeito com a resposta recebida, pode contactar outro utilizador do IMI envolvido ou apresentar uma queixa junto da entidade responsável pela protecção dos dados de um dos utilizadores do IMI envolvido no pedido, que o ajudará gratuitamente. Está disponível uma lista das entidades responsáveis pela protecção dos dados no seguinte endereço:

http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/index_en.htm

É de notar que, por vezes, a legislação nacional pode conter excepções ao direito de acesso.

10. Contacto

A gestão do IMI é da competência da Unidade E.3 da Direcção-Geral do Mercado Interno e Serviços da Comissão Europeia. O funcionário responsável é Nicholas Leapman, chefe de Unidade. Endereço de contacto do IMI:

Comissão Europeia Direcção-Geral do Mercado Interno e Serviços Unidade E.3 B-1049 Bruxelas markt-imi-dataprotection@ec.europa.eu

Para apresentar uma queixa contra qualquer operação de tratamento de dados levada a cabo sob a responsabilidade da Comissão, deve contactar a Autoridade Europeia para a Protecção de Dados:

Autoridade Europeia para a Protecção de Dados (AEPD) Rue Wiertz 60 (MO 63) B-1047 Bruxelas Telefone: (+32) 2 283 19 00 Fax: (+32) 2 283 19 50 edps@edps.europa.eu

10. DIREITOS DE ACESSO E DE RECTIFICAÇÃO

A transparência face à pessoa em causa é de importância primordial. Esse objectivo é atingido, em primeiro lugar, facultando-lhe as informações referidas no capítulo anterior e, em segundo lugar, concedendo-lhe o direito de acesso aos seus dados pessoais e, quando necessário, o direito à sua eliminação, rectificação ou bloqueio caso sejam inexactos ou tenham sido tratados de forma ilegal.

A complexidade do sistema IMI, com os seus participantes e utilizadores envolvidos em operações de tratamento conjunto e de controlo conjunto, exige uma abordagem directa face às pessoas em causa. As pessoas em causa não estão familiarizadas com os aspectos técnicos das operações de tratamento conjunto ou com o funcionamento do IMI e nem tal é necessário.

É, por conseguinte, indispensável adoptar uma abordagem clara e simples: regra geral, sob reserva apenas de excepções justificadas acordadas entre a pessoa em causa e todas as outras partes envolvidas, as pessoas em causa poderão exercer os seus direitos de acesso, rectificação e eliminação de dados dirigindo-se a qualquer autoridade competente envolvida num pedido. Nenhuma autoridade competente deveria recusar o acesso, rectificação ou eliminação invocando o facto de não ter introduzido os dados no sistema ou que a pessoa em causa deve dirigir-se a outra autoridade competente. A autoridade competente receptora do pedido examiná-lo-á e deferirá ou não o pedido, de acordo com o mérito do mesmo e com as disposições da respectiva legislação nacional em matéria de protecção de dados. Se necessário e adequado, a autoridade competente pode contactar outras autoridades competentes antes de tomar uma decisão. Em caso de desacordo entre autoridades competentes, estas devem recorrer às respectivas autoridades responsáveis pela protecção de dados a fim de chegar a acordo de uma forma eficiente e atempada.

Se não ficar satisfeita com a decisão tomada, a pessoa em causa pode contactar outra autoridade competente envolvida no intercâmbio de informações ou contactar a autoridade nacional responsável pela protecção de dados de uma destas autoridades competentes que lhe pareça mais conveniente: por exemplo, a autoridade do país em que se encontra estabelecido ou a sua própria autoridade nacional responsável pela protecção de dados, ou ainda a autoridade do país em que exerce a sua actividade. Se necessário e adequado, as autoridades responsáveis pela protecção de dados deveriam cooperar entre si no tratamento da queixa (ver o artigo 28.o da Directiva Protecção de Dados).

É de salientar que as pessoas em causa têm sempre o direito de instaurar, em qualquer momento, processos judiciais e de obter reparação, quando adequado (ver os artigos 22.o e 23.o da Directiva Protecção de Dados e as disposições correspondentes nas legislações nacionais).

A alínea c) do artigo 12.o da Directiva Protecção de Dados estabelece que o responsável pelo tratamento notificará terceiros a quem os dados tenham sido divulgados de qualquer rectificação, apagamento ou bloqueio, excepto se tal for impossível ou implicar um esforço desproporcionado. O mesmo se aplica às informações sujeitas a tratamento ulterior fora do IMI.

Na sequência das recomendações do Grupo de Trabalho instituído ao abrigo do artigo 29.o e das recomendações da AEPD, a Comissão está actualmente a trabalhar numa funcionalidade do sistema IMI (com base no procedimento já existente para a eliminação antecipada de dados a pedido das autoridades competentes, ver capítulo 12) que permitiria rectificações dos dados em linha e com notificações automáticas às autoridades competentes envolvidas. Esta funcionalidade apresenta uma certa complexidade técnica, pelo que se propõe que, até esta estar operacional, se houver necessidade de rectificar dados pessoais, a autoridade competente deveria dirija esse pedido de rectificação directamente ao responsável pelo tratamento de dados do IMI na Comissão Europeia (ver a secção precedente «Declaração de privacidade da Comissão Europeia»).

A Directiva Protecção de Dados e as legislações nacionais que a transpõem também concedem às pessoas em causa o direito de se opor ao tratamento dos dados que lhes dizem respeito e de pôr fim a esse tratamento em caso de oposição justificada. Se for contactado por uma pessoa em causa que se opõe ao tratamento dos dados que lhe dizem respeito, é favor contactar a sua autoridade nacional responsável pela protecção de dados a fim de obter mais informações sobre o modo como é exercido esse direito de oposição no seu Estado-Membro.

11. SEGURANÇA DOS DADOS

São utilizadas várias medidas técnicas e organizacionais, semelhantes às utilizadas em alguns sistemas de banca electrónica por Internet, a fim de garantir a segurança do IMI. A comunicação com o IMI pela Internet está protegida por um protocolo especial de segurança da Internet («https»). As medidas técnicas de protecção do IMI têm de ser interoperáveis na União Europeia. A protecção técnica do sistema será objecto de maior desenvolvimento, em função do estado da técnica e do custo de implementação (ver o artigo 17.o da Directiva 95/46/CE e o artigo 22.o do Regulamento CE n.o 45/2001)

Para mais informações sobre as regras relativas à segurança dos sistemas de informação utilizados pela Comissão Europeia, é favor consultar a Decisão C(2006) 3602 da Comissão disponível na secção relativa à protecção de dados do sítio web do IMI:

http://ec.europa.eu/internal_market/imi-net/data_protection_en.html

12. PERÍODO DE CONSERVAÇÃO DOS DADOS

As regras relativas ao período de conservação estão estabelecidas nos artigos 4.o e 5.o da Decisão 2008/49/CE.

Regra geral, todos os dados pessoais contidos no intercâmbio de informações serão automaticamente eliminados seis meses após o encerramento formal desse intercâmbio. A Comissão está actualmente a introduzir algumas modificações no sistema (avisos e listas de urgência) que visam o encerramento formal dos pedidos o mais rapidamente possível.

Há igualmente a possibilidade de uma autoridade competente solicitar a eliminação de dados pessoais antes do fim do período de seis meses. Desde que a outra autoridade competente concorde, a Comissão satisfará esses pedidos no prazo de dez dias úteis.

As autoridades competentes deveriam estar cientes de que os pedidos de eliminação de dados pessoais podem ser efectuados em linha, bastando para tal aceder ao pedido encerrado em causa e pressionar o botão «Solicitar a eliminação dos dados pessoais».

Página de pedido de eliminação antecipada de dados pessoais por uma autoridade competente

Página de confirmação de uma autoridade competente sobre a eliminação antecipada de dados pessoais

A Comissão introduzirá também algumas melhorias no sistema, como avisos automáticos para a recepção de respostas ou para o encerramento formal de pedidos em casos em que a resposta seja satisfatória.

É também importante recordar que as regras nacionais em matéria de protecção de dados são aplicáveis ao armazenamento pelas autoridades competentes de quaisquer dados pessoais fora do âmbito do IMI.

13. COOPERAÇÃO COM AS AUTORIDADES NACIONAIS RESPONSÁVEIS PELA PROTECÇÃO DE DADOS E A AEPD

A rede de autoridades nacionais responsáveis pela protecção de dados e a AEPD constituem uma das garantias mais sólidas do bom funcionamento do nosso sistema de protecção de dados. As autoridades competentes podem confiar nelas para obter conselhos sempre que se vejam confrontadas com uma questão difícil que não esteja contemplada nas presentes orientações. Os coordenadores nacionais do IMI são chamados a desempenhar um papel significativo nesta matéria. Na secção relativa à protecção de dados do sítio web do IMI, está disponível uma lista de contactos das autoridades responsáveis pela protecção de dados.

As autoridades competentes devem estar igualmente cientes que poderão ter de notificar as respectivas autoridades nacionais responsáveis pela protecção de dados antes de participarem no IMI. Em alguns Estados-Membros, poderá ser necessária autorização prévia. Os coordenadores do IMI deveriam desempenhar um papel activo de coordenação, contactando as autoridades responsáveis pela protecção de dados, quando necessário.

Trabalhos em curso

Durante o ano de 2009, serão introduzidas numa futura versão do IMI as seguintes melhorias que favorecem a protecção dos dados:

a) Quando o intercâmbio de informações diz respeito a dados sensíveis (por exemplo, dados sobre saúde, registos criminais ou medidas disciplinares), haverá um aviso de que as informações trocadas são sensíveis e que o responsável pelo tratamento do caso apenas deve solicitar essas informações quando estritamente necessário e directamente relacionado com o exercício da actividade profissional ou a execução de um determinado serviço;

b) Será criado um procedimento em linha (com base no procedimento já existente para a eliminação antecipada de dados a pedido das autoridades competentes) para a rectificação, eliminação ou bloqueio de dados que foram tratados ilegalmente ou são inexactos;

c) Haverá avisos e listas de urgência automatizados para aceitar uma resposta de modo a que os pedidos não permaneçam abertos mais tempo do que o necessário;

d) Medidas adequadas para tratar novos fluxos de informação ao abrigo da Directiva Serviços – trata-se do mecanismo de alerta e das derrogações caso a caso. Regra geral, estas medidas seguirão uma abordagem idêntica à do intercâmbio geral de informações, por exemplo: avisos sobre a natureza sensível destes fluxos de informação, avisos para encerramento de alertas logo que exequível e formas possíveis para informar os indivíduos sobre o intercâmbio de informações e os seus de direitos de acesso aos dados e, se necessário, de fazer com que estes sejam bloqueados, eliminados ou rectificados. É possível que possam ser necessárias salvaguardas adicionais em matéria de protecção de dados. Estas serão elaboradas em consulta com a AEPD.

14. CLÁUSULA DE REVISÃO

O IMI é um sistema de informação pioneiro e o seu desenvolvimento está ainda em curso. A Comissão está continuamente a recolher contributos dos coordenadores e autoridades competentes a fim de melhorar o sistema, pelo que é provável que sejam introduzidas alterações nos próximos meses. Algumas delas poderão não ter consequências na protecção dos dados — outras poderão ter.

Por conseguinte, as presentes orientações não são imutáveis e terão de ser actualizadas com base na experiência adquirida com o funcionamento diário do IMI. O mais tardar um ano após a adopção da presente recomendação, a Comissão elaborará um relatório no qual procederá à avaliação da situação, incluindo a possibilidade de adopção de outra medida de carácter jurídico.

(1) Os Estados-Membros deveriam considerar a inclusão de informações sobre a protecção de dados nas suas acções de formação relativas ao IMI.

(2) Ver artigo 12.o da Decisão 2008/49/CE.

(3) As autoridades competentes podem estar ‘ligadas’ a outras autoridades para fins de supervisão (por exemplo, uma autoridade regional pode estar ligada a uma autoridade federal). Estas ‘autoridades ligadas’ podem assim ser informadas do número e natureza dos pedidos, mas não têm acesso aos dados pessoais dos prestadores de serviços ou dos profissionais migrantes.

(4) Tal como previsto no n.o 3 do artigo 10.o da Decisão 2008/49/CE, está só em casos específicos pode participar em intercâmbios de informações, quando o acto comunitário previr o intercâmbio de informações entre os Estados-Membros e a Comissão. Nesses casos, a Comissão tem obrigações similares às de uma autoridade competente. Por exemplo, está obrigada a proceder à notificação adequadas das pessoas a quem os dados dizem respeito, bem como a facultar o acesso dessas pessoas aos seus próprios dados, se estas o solicitarem.

(5) Embora em alguns Estados-Membros, como a Itália, o Luxemburgo, a Áustria e a Dinamarca, o âmbito da legislação em matéria de protecção de dados abranja também, em certa medida, as pessoas colectivas.

(6) A Directiva 95/46/CE é aplicável aos Estados-Membros, enquanto o Regulamento CE n.o 45/2001 é aplicável às instituições europeias.

(7) http://ec.europa.eu/internal_market/imi-net/docs/questions_and_data_fields_pt.pdf

(8) Para a definição jurídica, ver o artigo 8.o da Directiva 95/46/CE e o artigo 10.o do Regulamento (CE) n.o 45/2001.

(9) Ou seja, deve ser facultada às pessoas em causa a informação adequada, o tratamento deve ser proporcional e os dados não devem ser objecto de tratamento ulterior para fins incompatíveis com a sua recolha.

(10) Uma lista específica destas perguntas está disponível no sítio web do IMI:

http://ec.europa.eu/internal_market/imi-net/docs/questions_and_data_fields_en.pdf

(11) A secção relativa à protecção dos dados do sítio web do IMI contém todos os documentos específicos do IMI em matéria de protecção de dados, bem como uma ligação para uma lista de todos os documentos legislativos em matéria de protecção de dados a nível da UE:

http://ec.europa.eu/internal_market/imi-net/data_protection_en.html