PT Jornal Oficial da União Europeia C 70/13

Parecer da Autoridade Europeia para a Protecção de Dados sobre a proposta de regulamento do Parlamento Europeu e do Conselho que cria uma Agência para a gestão operacional de sistemas informáticos de grande escala no domínio da liberdade, da segurança e da justiça, e sobre a proposta de decisão do Conselho que atribui à Agência criada pelo Regulamento XX funções de gestão operacional do SIS II e do VIS em aplicação do Título VI do Tratado UE

2010/C 70/02

A AUTORIDADE EUROPEIA PARA A PROTECÇÃO DE DADOS,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 16.o,

Tendo em conta a Carta dos Direitos Fundamentais da União Europeia, nomeadamente o artigo 8.o,

Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1),

Tendo em conta o pedido de parecer apresentado à AEPD em 11 de Agosto de 2009, ao abrigo do n.o 2 do artigo 28.o do Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (2),

ADOPTOU O SEGUINTE PARECER:

I. INTRODUÇÃO — CONTEXTUALIZAÇÃO DO PARECER

Descrição das propostas

1. Em 24 de Junho de 2009, a Comissão adoptou um pacote legislativo para a criação de uma agência responsável pela gestão operacional de sistemas informáticos de grande escala no domínio da liberdade, segurança e justiça. O pacote compreende uma proposta de regulamento do Parlamento Europeu e do Conselho que cria a Agência e uma proposta de decisão do Conselho que atribui à Agência funções de gestão operacional do SIS II e do VIS, em aplicação do Título VI do Tratado UE (3). Ambas as propostas são explicadas em pormenor numa comunicação adoptada na mesma data (4). Em 11 de Agosto de 2009, tanto as propostas como a comunicação foram enviadas à AEPD para consulta, juntamente com a avaliação de impacto e respectiva síntese (5).

2. A base jurídica do regulamento proposto é o Título IV do Tratado CE. Como a utilização do SIS II e do VIS para efeitos de cooperação policial e judiciária em matéria penal tem actualmente como base o Título VI do Tratado UE, o regulamento proposto é completado por uma proposta de decisão do Conselho que se fundamenta nesse mesmo Título VI.

3. Os instrumentos jurídicos que criam, respectivamente, o SIS II, o VIS e o Eurodac confiam à Comissão a responsabilidade pela gestão operacional dos três sistemas (6) — no caso do SIS II e do VIS, apenas durante um período transitório, no termo do qual essa responsabilidade passará a ser assumida por uma Autoridade de Gestão. Numa declaração comum de 7 de Junho de 2007, o Parlamento Europeu e o Conselho convidaram a Comissão a apresentar, após uma avaliação de impacto com análise das alternativas, as propostas legislativas necessárias para confiar a uma agência a gestão operacional a longo prazo do SIS II e do VIS (7). Foi esse convite que conduziu às propostas agora em apreço.

4. A Agência criada pelo regulamento proposto será efectivamente responsável pela gestão operacional do SIS II e do VIS, mas também pelo Eurodac e outros eventuais sistemas informáticos de grande escala. A referência a «outros sistemas informáticos de grande escala» será abordada nos pontos 28 a 31 do presente parecer. De acordo com o preâmbulo do regulamento proposto, o que se pretende ao colocar os três grandes sistemas informáticos, e eventualmente outros sistemas, sob a direcção de uma Agência única é obter sinergias, beneficiar de economias de escala, criar massa crítica e assegurar uma taxa de utilização dos recursos financeiros e humanos o mais elevada possível (8).

5. O regulamento proposto cria uma agência de regulação dotada de autonomia jurídica, administrativa e financeira, bem como de personalidade jurídica. A Agência desempenhará as funções atribuídas à Autoridade de Gestão (ou à Comissão), tal como descritas nos instrumentos jurídicos que criam o SIS II, o VIS e o Eurodac. Além disso, acompanhará a investigação e, a pedido específico e preciso da Comissão, executará projectos-piloto relativos ao desenvolvimento e/ou à gestão operacional de sistemas informáticos de grande escala, em aplicação do Título IV do Tratado CE, e, eventualmente, também no domínio mais geral «Liberdade, Segurança e Justiça» (ver pontos 28 a 31).

6. Da estrutura administrativa e de gestão da Agência farão parte um Conselho de Administração, constituído por um representante de cada Estado-Membro e dois representantes da Comissão, e um Director Executivo, nomeado pelo Conselho de Administração, bem como Grupos Consultivos que facultarão a este último conhecimentos especializados sobre cada um dos sistemas informáticos em causa. Na sua versão actual, a proposta prevê três Grupos Consultivos, um para o SIS II, outro para o VIS e um terceiro para o Eurodac.

7. A proposta de decisão do Conselho atribui à Agência as funções confiadas à Autoridade de Gestão nos termos da Decisão 2007/533/JAI do Conselho, relativa ao SIS II, e da Decisão 2008/633/JAI do Conselho, relativa ao VIS (9). Além disso, a decisão proposta concede à Europol estatuto de observador nas reuniões do Conselho de Administração da Agência, sempre que na ordem de trabalhos figurem questões relacionadas com o SIS II ou o VIS. A Europol pode igualmente designar um representante nos Grupos Consultivos SIS II e VIS (10). Também a Eurojust tem estatuto de observador e pode designar um representante, mas apenas no que se refere ao SIS II.

Consulta à AEPD

8. A AEPD congratula-se por ter sido consultada sobre o tema em apreço e recomenda que seja feita referência a esta consulta nos considerandos da proposta, como habitualmente acontece nos textos legislativos sobre os quais foi chamada a pronunciar-se, em conformidade com o Regulamento (CE) n.o 45/2001.

9. Consultada a título informal antes da adopção da proposta, a AEPD congratulou-se pelo facto, registando agora com satisfação que as suas observações foram, na maior parte, tidas em conta na proposta final.

10. Como é óbvio, a AEPD está a acompanhar atentamente o evoluir do processo de criação da Agência à qual deverá ser confiada a responsabilidade pela correcta exploração e segurança de bases de dados como o SIS II, o VIS e o Eurodac, que contêm grandes volumes de dados pessoais. Tal como adiante se explica em mais pormenor, a AEPD não se opõe à criação de uma Agência desse tipo, contanto que seja dada suficiente atenção, no(s) instrumento(s) jurídico(s) constitutivo(s), a determinados riscos eventuais que podem ter grande impacto na privacidade das pessoas.

11. Antes de passar a uma explicação aprofundada deste ponto de vista, nas Partes III e IV, a AEPD começará por analisar, na Parte II, o impacto do Tratado de Lisboa, entrado em vigor em 1 de Dezembro de 2009, no que se refere às propostas em apreço. Na Parte V, a AEPD tecerá as suas observações sobre várias disposições específicas de ambas as propostas.

II. IMPACTO DO TRATADO DE LISBOA

12. A entrada em vigor do Tratado de Lisboa, em 1 de Dezembro de 2009, veio alterar consideravelmente a estrutura jurídica da União Europeia. Foram assim alargadas as competências da UE e adaptados os processos legislativos, especialmente no domínio «Liberdade, Segurança e Justiça». A AEPD debruçou-se sobre o impacto das alterações dos Tratados nas propostas em apreço.

13. O regulamento proposto menciona como bases jurídicas o artigo 62.o, ponto 2), alínea a) e alínea b), subalínea ii), o artigo 63.o, ponto 1), alínea a) e ponto 3), alínea b), e o artigo 66.o do Tratado CE. O texto dos referidos artigos repete-se agora, em grande medida, no artigo 77.o, n.o 1, alínea b) e n.o 2, alínea a) e alínea b), no artigo 78.o, n.o 2, alínea e), no artigo 79.o, n.o 2, alínea c) e no artigo 74.o do TFUE. Não haverá alterações no processo legislativo a seguir para a adopção de medidas com estas bases jurídicas; o processo de co-decisão era e continua a ser aplicável, só que agora é designado «processo legislativo ordinário». Afigura-se, pois, limitado o impacto dos Tratados alterados no que respeita à base jurídica e ao processo legislativo para o regulamento proposto.

14. As disposições que actualmente servem de base à proposta de decisão do Conselho são o n.o 1, alínea a) e b), do artigo 30.o e o n.o 2, alínea c), do artigo 34.o do Tratado UE. O artigo 34.o do Tratado UE foi revogado pelos novos Tratados. O n.o 1, alínea a), do artigo 30.o foi substituído pelo n.o 2, alínea a), do artigo 87.o do TFUE, que cria a base para as medidas em matéria de recolha, armazenamento, tratamento, análise e intercâmbio de informações pertinentes, adoptadas segundo o processo legislativo ordinário. O n.o 1, alínea b), do artigo 30.o do Tratado UE, que trata da cooperação operacional entre as autoridades competentes, foi substituído pelo n.o 3 do artigo 87.o do TFUE, que prevê um processo legislativo especial de acordo com o qual o Conselho delibera por unanimidade, após consulta ao Parlamento Europeu. Como os dois processos legislativos não são compatíveis entre si, as referidas disposições do artigo 87.o, nomeadamente o n.o 2, alínea a) e o n.o 3, já não podem ser conjugadas como base jurídica da decisão do Conselho. Há, pois, que fazer uma escolha.

15. A AEPD é de opinião que a medida proposta pode ter como base jurídica única o n.o 2, alínea a), do artigo 87.o do TFUE. Seria também esta a opção preferida, uma vez que o recurso ao processo legislativo ordinário pressupõe a plena participação do Parlamento Europeu e garante a legitimidade democrática da proposta (11). Saliente-se, a este propósito, que a proposta diz respeito à criação de uma agência que será responsável pela protecção dos dados pessoais, a qual radica num direito fundamental reconhecido pelo artigo 16.o do TFUE, bem como pelo artigo 8.o da Carta dos Direitos Fundamentais, acto que se tornou vinculativo em 1 de Dezembro de 2009.

16. Acresce que a escolha do n.o 2, alínea a), do artigo 87.o do TFUE como única base jurídica permitirá à Comissão fundir as duas propostas actuais num só instrumento para a criação da Agência, a saber, um regulamento a adoptar de acordo com o processo legislativo ordinário.

17. A AEPD solicita, de qualquer modo, à Comissão que esclareça esta situação a breve trecho.

III. A CRIAÇÃO DA AGÊNCIA SOB O ÂNGULO DA PROTECÇÃO DE DADOS

18. Como se refere no ponto 3, o Parlamento Europeu e o Conselho convidaram a Comissão a analisar as alternativas e a apresentar as propostas legislativas necessárias para confiar a uma agência a gestão operacional a longo prazo do SIS II e do VIS. A Comissão acrescentou um terceiro sistema, o Eurodac. Na avaliação de impacto, a Comissão explora cinco opções para a gestão operacional dos três sistemas: — continuação do actual regime, nomeadamente gestão assegurada pela Comissão, com delegação de tarefas em dois Estados-Membros (Áustria e França) relativamente ao SIS II e ao VIS, — igual à primeira opção, mas com delegação da gestão operacional do Eurodac nas autoridades dos Estados-Membros, — criação de uma nova agência de regulação, — transferência da gestão operacional para a Frontex, — transferência da gestão operacional do SIS II para a Europol, continuando o VIS e o Eurodac a ser geridos pelo Comissão. A Comissão analisou estas opções sob quatro ângulos diferentes: operacional, governação, financeiro e jurídico.

19. No contexto da análise jurídica, a Comissão comparou estas diferentes estruturas para apurar de que forma cada uma delas permitiria salvaguardar efectivamente os direitos e liberdades fundamentais, com particular relevo para a protecção dos dados pessoais. Dessa análise concluiu que as opções 3 e 4 eram as alternativas preferíveis a este respeito (12). Quanto às duas primeiras opções, a Comissão mencionou as eventuais dificuldades quanto à supervisão por parte da AEPD, debatidas durante o desenvolvimento do SIS II. E referiu igualmente a situação problemática em termos de responsabilidade à luz do artigo 288.o do Tratado CE (agora, artigo 340.o do TFUE), caso sejam contestadas operações executadas por agentes nacionais.

20. Tal como a Comissão, também a AEPD considera que, na perspectiva da sua missão de supervisão, seria preferível que houvesse uma entidade europeia responsável pela gestão operacional de grandes sistemas informáticos como o SIS II, o VIS e o Eurodac. A criação de uma entidade única permitiria, além disso, clarificar questões de responsabilidade e de legislação aplicável. O Regulamento (CE) n.o 45/2001 aplicar-se-ia a todas as actividades dessa entidade europeia.

21. Mas a questão seguinte é saber qual ou como deverá ser a entidade europeia. A Comissão pondera a criação de uma nova agência e o recurso a duas entidades existentes, a Frontex e a Europol. Há um argumento de peso contra a atribuição da gestão operacional de grandes sistemas informáticos à Frontex ou à Europol, uma vez que, no desempenho das suas tarefas, cada uma delas tem o seu próprio interesse na utilização de dados pessoais. O acesso da Europol ao SIS II e ao VIS já se encontra previsto, estando agora a ser debatida legislação que o alargue ao Eurodac (13). A AEPD é de opinião que, como alternativa, será preferível confiar a gestão operacional combinada de grandes bases de dados como o SIS II, o VIS e o Eurodac a uma entidade independente que não tenha os seus próprios interesses enquanto utilizadora da base de dados. Será assim reduzido o risco de utilização abusiva dos dados. A este respeito, a AEPD chama a atenção para o princípio fundamental em matéria de protecção de dados, a saber, a limitação da finalidade, segundo o qual os dados pessoais não podem ser utilizados para finalidades incompatíveis com aquelas para as quais tenham sido inicialmente tratados (14).

22. Uma opção que não é abordada pela Comissão é a gestão operacional dos sistemas pela própria Comissão, sem qualquer delegação no nível nacional. Associado a esta opção está o estabelecimento de uma agência de execução, em vez de uma agência de regulação. Se bem que, do ponto de vista da protecção de dados, nada inviabilize, em princípio, que seja a própria Comissão a assumir a tarefa em causa (não é ela que utiliza os sistemas), a AEPD vê vantagens práticas na criação de uma agência separada. Também a escolha de uma agência de regulação, e não de execução, merece ser saudada, porquanto impede que a agência e a sua esfera de acção sejam criadas e determinadas unicamente com base numa decisão da Comissão. A Agência actualmente prevista será criada com base num regulamento adoptado de acordo com o processo legislativo ordinário e subordinado, por conseguinte, a uma decisão democrática.

23. A AEPD está ciente das vantagens oferecidas pela criação de uma agência de regulação independente. Assinala todavia, que, antes de a agência ser criada, há que definir claramente a sua esfera de acção e as suas responsabilidades.

IV. CRIAÇÃO DA AGÊNCIA: DOIS FOCOS GERAIS DE PREOCUPAÇÃO

24. No quadro do actual debate legislativo e público sobre a proposta, têm sido manifestadas preocupações quanto à possível criação de uma «agência Big Brother». Trata-se aqui não só da possibilidade de desvirtuamento da função, mas também da questão da interoperabilidade dos vários sistemas informáticos. Ambas as questões serão abordadas nesta parte do parecer.

25. Antes disso, a AEPD gostaria de dar como assente que o risco de erros ou de utilização indevida de dados pessoais tende a aumentar quanto maior for o número de grandes sistemas informáticos confiados a um mesmo gestor operacional. Por conseguinte, a quantidade total de grandes sistemas informáticos geridos por uma única agência deve ficar limitada a um número que ainda permita oferecer suficientes salvaguardas em matéria de protecção de dados. Por outras palavras, importa não partir da ideia de que se deve confiar a uma só agência a gestão operacional do maior número possível de grandes sistemas informáticos.

IV.1. Desvirtuamento da função

26. No contexto actual, os receios quanto ao desvirtuamento da função prendem-se com a ideia de que a nova Agência poderá, de moto próprio, criar e combinar os grandes sistemas informáticos — os já existentes e os novos —, a uma escala que ainda é impossível de prever. A AEPD considera que isso pode ser evitado se, em primeiro lugar, o âmbito das (possíveis) actividades da Agência for delimitado e claramente definido no instrumento jurídico constitutivo, e se, em segundo lugar, ficar assegurado que essa esfera de acção só será alargada com base num processo decisório democrático, que normalmente será o processo legislativo ordinário.

27. Quanto à limitação do âmbito das (possíveis) actividades da Agência, a proposta actual refere-se, no artigo 1.o, à gestão operacional do SIS II, VIS e do Eurodac, bem como ao «desenvolvimento e [à] gestão de outros sistemas informáticos de grande escala em aplicação do Título IV do Tratado CE». Em termos de determinação do âmbito, esta última parte suscita três questões: o que se entende por «desenvolvimento», o que se entende por «sistemas informáticos de grande escala» e o que significa «em aplicação do Título IV do Tratado CE»? Estas três questões são adiante abordadas pela ordem inversa.

O que significa «em aplicação do Título IV do Tratado CE»?

28. Os termos «em aplicação do Título IV do Tratado CE» impõem uma limitação quanto aos sistemas informáticos de grande escala que podem ficar sob a responsabilidade da Agência. A AEPD constata, todavia, que os termos em questão pressupõem um âmbito de possíveis actividades mais limitado do que aquele que se pode inferir do título do regulamento proposto e dos considerandos 4 e 10. A diferença entre estes últimos textos e o artigo 1.o reside no seu mais vasto alcance: referem-se ao «domínio da liberdade, da segurança e da justiça», e não à esfera de competências, mais limitada, que está estabelecida no Título IV do Tratado CE (vistos, asilo, imigração e outras políticas relativas à livre circulação de pessoas).

29. A distinção entre o Título IV do Tratado CE e a noção mais lata do domínio «Liberdade, Segurança e Justiça» (que também engloba o Título VI do Tratado UE) é reconhecida no artigo 6.o do regulamento proposto, que aborda no n.o 1 e no n.o 2, respectivamente, a possibilidade de a Agência executar, por um lado, projectos-piloto relativos ao desenvolvimento e/ou à gestão operacional de sistemas informáticos de grande escala em aplicação do Título IV do Tratado CE, e, por outro, projectos-piloto relativos a outros sistemas informáticos de grande escala no domínio da liberdade, da segurança e da justiça. O n.o 2 do artigo 6.o não está, a bem dizer, em conformidade com o artigo 1.o do regulamento proposto.

30. Há que resolver o problema da contradição entre, por um lado, o artigo 1.o e, por outro, o título, os considerandos 4 e 10 e o n.o 2 do artigo 6.o do regulamento proposto. Tendo em mente a premissa de base estabelecida no ponto 25 do presente parecer, a AEPD é de opinião que, na fase actual, seria indicado limitar de facto a esfera de competências aos sistemas informáticos de grande escala em aplicação do Título IV do Tratado CE. Desde 1 de Dezembro de 2009, com a entrada em vigor do Tratado de Lisboa, o que daí decorrerá é uma limitação aos domínios mencionados no Capítulo 2 do Título V do TFUE. Uma vez adquirida experiência e efectuada uma avaliação positiva do funcionamento da Agência (ver artigo 27.o da proposta e observações formuladas no ponto 49), a menção que figura no artigo 1.o poderá talvez ser alargada, passando a abranger todo o domínio «Liberdade, Segurança e Justiça», desde que a decisão nesse sentido tenha como base o processo legislativo ordinário.

31. Mas se o legislador decidir optar pelo âmbito decorrente do título e dos considerandos 4 e 10, há então outro problema a esclarecer no que toca ao n.o 2 do artigo 6.o. Contrariamente ao n.o 1, o n.o 2 do artigo 6.o não especifica que a execução do projecto-piloto tem em vista o desenvolvimento e/ou a gestão operacional de sistemas informáticos de grande escala. Perante a distinção deliberada entre os dois números e a ausência, no n.o 2, dos termos adicionais em causa, coloca-se a questão de saber qual era de facto a intenção da Comissão. Queria ela deixar assente que os projectos-piloto referidos no n.o 1 deviam incluir uma avaliação do possível desenvolvimento e gestão operacional por parte da nova Agência, e que o mesmo já não acontecia relativamente aos projectos-piloto mencionados no n.o 2? Se assim é, importa que tal fique mais claro no texto, uma vez que não é por se suprimir a especificação que se está a excluir a execução e a gestão operacional dos ditos sistemas por parte da Agência. E se não era isso que a Comissão tinha em mente, então também há que clarificar qual era a sua intenção.

O que é um «sistema informático de grande escala»?

32. A noção de «sistemas informáticos de grande escala» presta-se a bastante controvérsia. Nem sempre há consenso quanto à questão de saber quais os sistemas que devem ser considerados «sistemas informáticos de grande escala» e quais os que não devem ser incluídos nessa categoria. Trata-se de uma noção cuja interpretação tem importantes implicações para o âmbito das possíveis actividades futuras da Agência. Os três grandes sistemas informáticos explicitamente mencionados na proposta têm como característica comum o armazenamento de dados numa base centralizada pela qual a Comissão é (actualmente) responsável. Não se percebe claramente se as possíveis actividades futuras da Agência se limitam aos grandes sistemas informáticos com semelhante característica, ou se também podem abranger sistemas descentralizados — p. ex., sistema de Prüm e ECRIS (Sistema Europeu de Informação sobre os Registos Criminais) (15) — relativamente aos quais a Comissão apenas é responsável pelo desenvolvimento e manutenção da infra-estrutura comum. A fim de evitar que de futuro surja algum mal-entendido, a AEPD convida o legislador a clarificar a noção de «sistemas informáticos de grande escala» no contexto da criação da Agência.

O que se entende por «desenvolvimento [de sistemas informáticos de grande escala]»?

33. Além da gestão operacional de sistemas informáticos de grande escala, a Agência também desempenhará as tarefas descritas nos artigos 5.o (acompanhamento de actividades de investigação) e 6.o (projectos-piloto). A primeira dessas tarefas consiste em acompanhar a evolução das actividades de investigação pertinentes e em informar a Comissão a esse respeito. Quanto à segunda actividade, trata-se de executar projectos-piloto relativos ao desenvolvimento e/ou à gestão operacional de sistemas informáticos de grande escala (ver, porém, observações formuladas no ponto 31). O artigo 6.o define o que se deve entender por «desenvolvimento». O modo como o termo em causa é empregue no artigo 1.o leva a pensar que a Agência poderá assumir, de moto próprio, a responsabilidade pelo desenvolvimento de sistemas informáticos de grande escala. Tal possibilidade é, contudo, excluída pela redacção dos n.os 1 e 2 do artigo 6.o, nos quais se afirma claramente que a Agência o poderá fazer «a pedido específico e preciso da Comissão». Por outras palavras, é à Comissão que cabe a iniciativa em matéria de desenvolvimento de novos sistemas informáticos de grande escala. Escusado será dizer que toda e qualquer decisão no sentido de efectivamente criar um novo sistema informático de grande escala deverá ter como base os processos legislativos previstos no TFUE. Para reforçar ainda mais a redacção do artigo 6.o do regulamento proposto, o legislador poderá acrescentar a palavra «apenas» no início dos n.os 1 e 2 do artigo 6.o

Em resumo

34. Como já afirmado, o risco de desvirtuamento da função pode ser evitado se, em primeiro lugar, o âmbito das (possíveis) actividades da Agência for delimitado e claramente definido no instrumento jurídico constitutivo, e se, em segundo lugar, ficar assegurado que essa esfera de acção só será alargada com base num processo decisório democrático, que normalmente será o processo legislativo ordinário. O texto actual já contém disposições que limitam o risco de desvirtuamento da função.

35. No entanto, subsistem algumas incertezas quanto ao âmbito preciso das possíveis actividades da nova Agência. Em primeiro lugar, o legislador deverá clarificar e decidir, de forma ponderada, se o âmbito das actividades se limita ao Título V, Capítulo 2 do TFUE ou se deve eventualmente cobrir todos os sistemas informáticos de grande escala desenvolvidos no domínio da liberdade, segurança e justiça. Em segundo lugar, o legislador deverá clarificar a noção de sistemas informáticos de grande escala neste contexto e esclarecer se essa noção se limita aos sistemas informáticos de grande escala que têm como característica o armazenamento de dados numa base de dados centralizada da responsabilidade da Comissão ou da Agência. Em terceiro lugar, embora o artigo 6.o já previna o desenvolvimento de novos sistemas informáticos pela Agência de moto próprio, a redacção desse artigo poderá ser ainda reforçada através do aditamento da palavra «apenas» nos n.os 1 e 2 (se este último se mantiver).

IV.2. Interoperabilidade

36. A noção de «interoperabilidade» não é desprovida de ambiguidade. A AEPD chegou a esta conclusão nas suas observações de 10 de Março de 2006 sobre a comunicação da Comissão relativa à interoperabilidade das bases de dados europeias (16). No que diz respeito à nova Agência, a noção de interoperabilidade deve ser entendida como acarretando o risco de que, se vários sistemas informáticos de grande escala forem colocados sob a gestão operacional de uma única Agência, venham a ser utilizadas tecnologias análogas para todos esses sistemas, que poderão assim ser facilmente interligados. Na generalidade, a AEPD subscreve esta preocupação. Nas suas observações de 10 de Março de 2006, a AEPD afirmou que o facto de tornar a interligação de diferentes sistemas informáticos de grande escala tecnicamente viável constitui um poderoso incentivo à sua efectiva interligação. Trata-se de um motivo forte para realçar uma vez mais a importância das regras de protecção de dados. Por conseguinte, a AEPD sublinhou que a interoperabilidade dos sistemas informáticos de grande escala só pode ser permitida no pleno respeito pelos princípios da protecção de dados, em especial pelo princípio da limitação da finalidade anteriormente mencionado (ver ponto 21 supra).

37. No entanto, a possibilidade de a interoperabilidade dos sistemas informáticos de grande escala ser incentivada pela utilização de tecnologias que facilitam a sua interligação não está necessariamente associada à criação de uma nova Agência. Mesmo sem essa agência, os sistemas poderiam ser desenvolvidos de forma análoga, o que poderia permitir a interoperabilidade.

38. Seja qual for a estrutura de gestão operacional escolhida, a interoperabilidade só poderá ser permitida se estiver em conformidade com as regras de protecção de dados e se a decisão de a permitir se basear no processo legislativo ordinário. Do regulamento proposto ressalta claramente que a decisão de tornar os sistemas informáticos de grande escala interoperáveis não pode ser tomada pela Agência (ver ainda a análise apresentada no ponto 33 supra). Em termos ainda mais cabais, e como também decorre da comunicação da Comissão de 11 de Março de 2008 relativa às agências europeias, a Comissão não está autorizada a delegar numa agência competências para adoptar tal medida regulamentar geral (17). Enquanto não for tomada uma decisão que permita a interoperabilidade, a Agência está obrigada a implementar medidas de segurança adequadas para prevenir qualquer possibilidade de interligação dos sistemas informáticos de grande escala por ela geridos (ver, no que se refere às medidas de segurança, também os pontos 46 e 47).

39. A interoperabilidade (prevista ou susceptível de vir a sê-lo) poderá fazer parte do pedido da Comissão à Agência no sentido de executar um projecto-piloto relativo ao desenvolvimento de novos sistemas informáticos de grande escala, nos termos do artigo 6.o do regulamento proposto. Qual será então o procedimento a seguir pela Comissão para solicitar à Agência um projecto-piloto? O pedido da Comissão deverá em qualquer caso basear-se, no mínimo, numa avaliação prévia que determine se o sistema informático de grande escala enquanto tal e, em particular, a interoperabilidade, estão em conformidade com os requisitos de protecção de dados e, mais geralmente, com a base jurídica subjacente à criação destes sistemas. Além disso, o procedimento relativo ao pedido poderá incluir a consulta obrigatória do Parlamento Europeu e da AEPD. Seja como for, o pedido propriamente dito da Comissão à Agência deverá ser tornado acessível a todas as partes interessadas pertinentes, incluindo o Parlamento e a AEPD. A AEPD insta o legislador a clarificar este procedimento.

V. OBSERVAÇÕES ESPECÍFICAS

Considerando 16 e artigo 25.o do regulamento proposto: referências ao Regulamento (CE) n.o 45/2001

40. O regulamento proposto cria uma agência de regulamentação independente dotada de personalidade jurídica. Segundo o considerando 6 do regulamento proposto, a agência a criar deverá ter estas características, tendo em conta que a autoridade de gestão deve ter autonomia jurídica, administrativa e financeira. Conforme já referido no ponto 20 supra, a criação de uma entidade única permite clarificar questões de responsabilidade e de legislação aplicável.

41. O artigo 25.o do regulamento proposto confirma que o tratamento das informações pela nova Agência está sujeito ao disposto no Regulamento (CE) n.o 45/2001. Além disso, o considerando 16 salienta que isso implica que a AEPD tem competência para obter da Agência acesso a todas as informações necessárias aos seus inquéritos.

42. A AEPD verifica com agrado que a aplicabilidade do Regulamento (CE) n.o 45/2001 às actividades da nova Agência é destacada desta forma. A referência ao Regulamento (CE) n.o 45/2001 não consta da proposta de decisão do Conselho, embora seja manifesto que a Agência ficará também vinculada pelo disposto nesse regulamento sempre que a base de dados for utilizada para actividades abrangidas pela cooperação judiciária e policial em matéria penal. Com a entrada em vigor do Tratado de Lisboa, e se o legislador decidir manter a distinção entre os dois instrumentos jurídicos (ver observações da Parte II supra), não há nada que se oponha à inclusão de uma referência ao Regulamento (CE) n.o 45/2001 também nos considerandos e/ou nas disposições da decisão do Conselho.

N.o 1, alínea o), do artigo 9.o do regulamento proposto: responsável pela protecção de dados

43. A AEPD verifica igualmente com agrado que a nomeação de um responsável pela protecção de dados é explicitamente mencionada no n.o 1, alínea o), do artigo 9.o do regulamento proposto. A AEPD gostaria de realçar, tendo em conta a sua posição escrita sobre os responsáveis pela protecção de dados (18), a importância de o responsável pela protecção de dados ser nomeado rapidamente.

N.o 1, alíneas i) e j), do artigo 9.o do regulamento proposto: programa de trabalho anual e relatório anual de actividades

44. Por força do Regulamento (CE) n.o 45/2001, e dos instrumentos jurídicos que criam os sistemas informáticos, a AEPD tem competências de supervisão da Agência. Essas competências, enumeradas no artigo 47.o do Regulamento (CE) n.o 45/2001, são geralmente invocadas nos casos em que já tenha ocorrido uma violação das regras de protecção de dados. A AEPD deseja ser regularmente informada, não apenas a posteriori mas também antecipadamente, das actividades da Agência, e tem vindo a desenvolver com a Comissão uma prática que permite satisfazer este desejo. A AEPD espera que esta positiva cooperação seja prosseguida com a nova Agência. Assim, a AEPD recomenda que o legislador a inclua na lista dos destinatários do programa de trabalho anual e do relatório anual de actividades previstos no n.o 1, alíneas i) e j), do artigo 9.o do regulamento proposto.

N.o 1, alínea r), do artigo 9.o do regulamento proposto: auditorias pela AEPD

45. O n.o 1, alínea r), do artigo 9.o do regulamento proposto trata do relatório da AEPD em matéria de auditoria, nos termos do artigo 45.o do Regulamento (CE) n.o 1987/2006 relativo ao SIS II e do n.o 2 do artigo 42.o do Regulamento (CE) n.o 767/2008 relativo ao VIS. A redacção actual dá a impressão de que a Agência tem total poder discricionário no que respeita ao seguimento a dar à auditoria, incluindo a possibilidade de pura e simplesmente não seguir as recomendações. Embora a Agência possa formular observações sobre o relatório e tenha liberdade de escolha quanto à forma de executar as recomendações da AEPD, não deve dispor da possibilidade de não seguir as recomendações. Por conseguinte, a AEPD sugere que se suprima este artigo ou se substitua a expressão «e decidir sobre o seguimento a dar à auditoria» por: «e decidir qual a forma mais adequada de executar as recomendações na sequência da auditoria».

N.o 1, alínea n), do artigo 9.o, n.o 6, alínea g), do artigo 14.o e artigo 26.o do regulamento proposto: regras de segurança

46. O regulamento proposto dispõe que o director executivo apresenta ao conselho de administração, para aprovação, o projecto relativo às medidas de segurança necessárias, incluindo um plano de segurança [ver artigo 14.o, n.o 6, alínea g) e artigo 9.o, n.o 1, alínea n)]. A segurança é também mencionada no artigo 26.o, que trata das regras de segurança em matéria de protecção das informações classificadas e das informações sensíveis não classificadas. É feita uma referência à Decisão 2001/844/CE, CECA, Euratom (19) da Comissão, e, no n.o 2, são referidos os princípios de segurança relativos ao tratamento das informações sensíveis não classificadas, tal como adoptados e implementados pela Comissão Europeia. Independentemente das observações que se apresentam no próximo ponto, a AEPD recomenda que o legislador inclua também uma referência a documentos específicos no n.o 2, uma vez que a formulação actual deste número é bastante vaga.

47. A AEPD gostaria de chamar a atenção para o facto de os instrumentos jurídicos subjacentes ao SIS II, ao VIS e ao Eurodac conterem disposições detalhadas em matéria de segurança. Não é óbvio que estas regras específicas sejam perfeitamente análogas ou inteiramente compatíveis com as regras a que se refere o artigo 26.o. Uma vez que o plano de segurança deverá garantir o mais alto nível de segurança, a AEPD recomenda que o legislador transforme o artigo 26.o numa disposição mais global que aborde a questão das regras de segurança de forma mais geral e inclua referências às disposições pertinentes dos instrumentos jurídicos relativos aos três sistemas informáticos de grande escala. Essa disposição deverá ser precedida de uma avaliação do grau de analogia e compatibilidade das regras a que se refere entre elas. Deverá ainda ser estabelecido um elo entre esta disposição mais global e os artigos 14.o, n.o 6, alínea g), e 9.o, n.o 1, alínea n), que tratam da elaboração e adopção de medidas de segurança e de um plano de segurança.

N.o 4 do artigo 7.o e artigo 19.o do regulamento proposto: instalação da Agência

48. A AEPD está ciente de que a decisão relativa à sede da Agência, prevista no n.o 4 do artigo 7.o é em larga medida uma decisão política. Ainda assim, a AEPD recomenda que, à luz do artigo 19.o, relativo ao acordo sobre a sede, a escolha desta última se baseie em critérios objectivos, tais como as instalações disponíveis — que deverão consistir num único edifício consagrado exclusivamente à Agência —, e as possibilidades de garantir a segurança do edifício.

Artigo 27.o do regulamento proposto: avaliação

49. O artigo 27.o do regulamento proposto dispõe que no prazo de três anos a contar da data em que a Agência começar a desempenhar as suas funções e, posteriormente, de cinco em cinco anos, o conselho de administração deve encomendar uma avaliação externa independente com base no caderno de encargos emitido pelo conselho de administração após consulta da Comissão. Para garantir que a protecção de dados faça parte do caderno de encargos, a AEPD recomenda que o legislador se refira explicitamente a isso no n.o 1. A AEPD convida igualmente o legislador a especificar de forma não restritiva as partes interessadas a que se refere o n.o 2 e a incluir a AEPD nessa enumeração. A AEPD recomenda ainda que o legislador inclua também a AEPD na lista das instituições que recebem os documentos a que se refere o n.o 3.

VI. CONCLUSÃO E RECOMENDAÇÕES

50. Antes de mais, a AEPD assinala a impossibilidade de basear a proposta de decisão do Conselho nos dois artigos do TFUE que substituem os artigos do Tratado UE em que a proposta actualmente se baseia. A AEPD convida a Comissão a clarificar a situação e a ponderar a possibilidade de utilizar como base jurídica o artigo que confere os maiores poderes ao Parlamento Europeu e de fundir as duas propostas num único regulamento.

51. A AEPD analisou as diferentes opções relativas à gestão operacional do SIS II, do VIS e do Eurodac, e reconhece as vantagens da criação de uma agência de regulamentação para a gestão operacional de determinados sistemas informáticos de grande escala. Todavia, assinala que, antes de essa agência ser criada, há que definir claramente a sua esfera de acção e as suas responsabilidades.

52. A AEPD debateu dois focos gerais de preocupação relativos à criação de uma agência com relevância em matéria de protecção de dados: o risco de desvirtuamento da função e as consequências para a interoperabilidade dos sistemas.

53. A AEPD considera que o risco de desvirtuamento da função pode ser evitado se, em primeiro lugar, o âmbito das (possíveis) actividades da Agência for delimitado e claramente definido no instrumento jurídico constitutivo e se, em segundo lugar, ficar assegurado que essa esfera de acção só será alargada com base num processo decisório democrático. A AEPD observa que as actuais propostas já contêm disposições nesse sentido, mas que subsistem algumas incertezas. Por conseguinte, recomenda que o legislador: — clarifique e decida, de forma ponderada, se o âmbito das actividades da Agência se limita ao Título V, Capítulo 2 do TFUE ou se deve eventualmente cobrir todos os sistemas informáticos de grande escala desenvolvidos no domínio da liberdade, segurança e justiça, — clarifique a noção de sistemas informáticos de grande escala no contexto da criação da Agência e esclareça se essa noção se limita aos sistemas informáticos de grande escala que têm como característica o armazenamento de dados numa base de dados centralizada da responsabilidade da Comissão ou da Agência, — reforce ainda mais o texto do artigo 6.o através do aditamento da palavra «apenas» nos n.os 1 e 2 (se este último se mantiver).

54. De modo geral, a AEPD está preocupada com as ambiguidades associadas ao eventual desenvolvimento da interoperabilidade dos sistemas informáticos de grande escala. Todavia, é de opinião que a criação da Agência não constitui o principal factor de risco neste contexto. A AEPD constatou que a Agência não poderá tomar decisões em matéria de interoperabilidade de moto próprio. A AEPD incentiva o legislador, no âmbito dos projectos-piloto propostos, a clarificar o procedimento que a Comissão deverá seguir para solicitar um projecto-piloto. Segundo a AEPD, esse procedimento deverá incluir uma avaliação, que poderá requerer a consulta do Parlamento Europeu e da AEPD, do eventual impacto, em termos de protecção de dados, da iniciativa desenvolvida na sequência do pedido apresentado.

55. A AEPD formula ainda as seguintes recomendações específicas: — a AEPD deverá ser incluída na lista dos destinatários do programa de trabalho anual e do relatório anual de actividades previstos no n.o 1, alíneas i) e j), do artigo 9.o do regulamento proposto, — haverá que suprimir o n.o 1, alínea r), do artigo 9.o do regulamento proposto ou, em alternativa, substituir a expressão «e decidir sobre o seguimento a dar à auditoria» por: «e decidir qual a forma mais adequada de executar as recomendações na sequência da auditoria», — o artigo 26.o do regulamento proposto deverá ser transformado numa disposição que aborde a questão das regras de segurança de forma mais geral e inclua referências às disposições pertinentes dos instrumentos jurídicos relativos aos três sistemas informáticos de grande escala; além disso, deverá ser estabelecido um elo entre esta disposição mais global e os artigos 14.o, n.o 6, alínea g) e 9.o, n.o 1, alínea n) do regulamento proposto, — no contexto do travessão anterior, deverá ser incluída uma referência a documentos específicos no n.o 2 do artigo 26.o do regulamento proposto, — deverão ser tidos em conta critérios objectivos e práticos na escolha da sede da Agência, — a AEPD deverá ser incluída na lista das instituições que recebem os documentos a que se refere o n.o 3 do artigo 27.o do regulamento proposto.

Feito em Bruxelas, em 7 de Dezembro de 2009. Peter HUSTINX Autoridade Europeia para a Protecção de Dados

(1) JO L 281 de 23.11.1995, p. 31.

(2) JO L 8 de 12.1.2001, p. 1.

(3) Ver COM(2009) 293 final e COM(2009) 294 final.

(4) Ver COM(2009) 292 final.

(5) Ver SEC(2009) 836 final e SEC(2009) 837 final.

(6) Ver artigo 15.o do Regulamento (CE) n.o 1987/2006 do Parlamento Europeu e do Conselho, relativo ao SIS II (JO L 381 de 28.12.2006, p. 4), artigo 26.o do Regulamento (CE) n.o 767/2008 do Parlamento Europeu e do Conselho, relativo ao VIS (JO L 218 de 13.8.2008, p. 60) e artigo 13.o do Regulamento (CE) n.o 2725/2000 do Conselho, relativo ao Eurodac (JO L 316 de 15.12.2000, p. 1).

(7) Ver declaração comum de 7 de Junho de 2007, anexa à resolução legislativa do Parlamento, da mesma data, sobre a proposta de regulamento VIS.

(8) Ver considerando 5 do regulamento proposto.

(9) JO L 205 de 7.8.2007, p. 63, e JO L 218 de 13.8.2008, p. 129.

(10) Se lhe for concedido acesso ao Eurodac depois da adopção da proposta de decisão do Conselho relativa a pedidos de comparação com os dados Eurodac apresentados pelas autoridades responsáveis dos Estados-Membros e pela Europol para fins de aplicação da lei [ver COM(2009) 344 final], a Europol passará provavelmente a ter direito aos mesmos lugares em relação ao Eurodac. Veja-se, porém, o parecer crítico da AEPD sobre a referida proposta de decisão, com data de 7 de Outubro de 2009: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2009/09-10-07_Access_Eurodac_EN.pdf

(11) No acórdão «Dióxido de Titânio», o TJE atribuiu particular importância à participação do Parlamento Europeu no processo decisório — ver acórdão do TJE de 11 de Junho de 1991 no processo C-300/89, Comissão contra Conselho, Col. 1991 p. I-2867, ponto 20.

(12) Ver avaliação de impacto, pág. 32.

(13) Quanto a este último ponto, ver parecer da AEPD de 7 de Outubro de 2009, referido na nota de rodapé 10.

(14) Ver artigo 4.o, n.o 1 do Regulamento (CE) n.o 45/2001.

(15) Sistema de Prüm: ver Decisão 2008/615/JAI do Conselho, de 23 de Junho de 2008, relativa ao aprofundamento da cooperação transfronteiras, em particular no domínio da luta contra o terrorismo e a criminalidade transfronteiras, e respectiva Decisão de execução 2008/616/JAI (JO L 210 de 6.8.2008, p. 1 e JO L 210 de 6.8.2008, p. 12), bem como pareceres da AEPD de 4 de Abril de 2007 (JO C 169 de 21.7.2007, p. 2) e de 19 de Dezembro de 2007 (JO C 89 de 10.4.2008, p. 1). ECRIS: ver Decisão 2009/316/JAI do Conselho, de 6 de Abril de 2009, relativa à criação do Sistema Europeu de Informação sobre os Registos Criminais (ECRIS) em aplicação do artigo 11.o da Decisão-Quadro 2009/315/JAI (JO L 93 de 7.4.2009, p. 33), bem como parecer da AEPD de 16 de Setembro de 2008 (JO C 42 de 20.2.2009, p. 1).

(16) Observações da AEPD de 10 de Março de 2006, disponíveis no sítio web: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Comments/2006/06-03-10_Interoperability_EN.pdf

(17) COM(2008) 135 final, p. 5.

(18) Posição escrita da AEPD de 28 de Novembro de 2005, disponível no sítio web: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/Publications/Papers/PositionP/05-11-28_DPO_paper_EN.pdf

(19) JO L 317 de 3.12.2001, p. 1.