PT Jornal Oficial da União Europeia C 2/2

Parecer da Autoridade Europeia para a Protecção de Dados sobre a proposta de decisão do Parlamento Europeu e do Conselho que estabelece um programa comunitário plurianual para a protecção das crianças na utilização da Internet e de outras tecnologias das comunicações

(2009/C 2/02)

A AUTORIDADE EUROPEIA PARA A PROTECÇÃO DE DADOS,

Tendo em conta o Tratado que institui a Comunidade Europeia, nomeadamente o artigo 286.o,

Tendo em conta a Carta dos Direitos Fundamentais da União Europeia, nomeadamente o artigo 8.o,

Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1),

Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (2), nomeadamente o artigo 41.o,

Tendo em conta o pedido de parecer apresentado nos termos do n.o 2 do artigo 28.o do Regulamento (CE) n.o 45/2001, recebido em 4 de Março de 2008 da Comissão Europeia,

EMITIU O SEGUINTE PARECER:

I. INTRODUÇÃO

Consulta da AEPD

1. A proposta de decisão do Parlamento Europeu e do Conselho que estabelece um programa comunitário plurianual para a protecção das crianças na utilização da Internet e de outras tecnologias das comunicações (a seguir designada por «proposta») foi transmitida pela Comissão à AEPD para consulta em 4 de Março de 2008, nos termos do n.o 2 do artigo 28.o do Regulamento (CE) n.o 45/2001. A consulta deverá ser explicitamente mencionada no preâmbulo da decisão.

A proposta no seu contexto

2. O novo programa plurianual (a seguir designado por «programa» é apresentado na continuidade dos programas «Para uma Internet mais segura» (1999-2004) e «Para uma Internet mais segura +» («Safer Internet Plus», 2005-2008).

3. São definidas quatro orientações: — reduzir os conteúdos ilícitos e combater os comportamentos prejudiciais em linha, — promover um ambiente em linha mais seguro, — sensibilizar o público, — estabelecer uma base de dados de conhecimentos.

4. O programa é apresentado como sendo coerente e complementar relativamente às políticas, programas e acções pertinentes da Comunidade. Atendendo ao número de medidas regulamentares já existentes em matéria de protecção das crianças no contexto das novas tecnologias, este programa centra-se mais na acção do que na regulamentação. A tónica é posta na eficiência e eficácia das iniciativas a tomar, bem como na adaptação à evolução das novas tecnologias. Nesta perspectiva, o programa prevê uma intensificação do intercâmbio de informações e boas práticas.

5. Enquanto instrumento-quadro, o programa não desce ao pormenor das acções a empreender, mas prevê convites à apresentação de propostas e concursos subordinados às quatro orientações definidas.

Conteúdo essencial do parecer

6. As orientações gerais do programa dizem respeito à protecção das crianças que utilizam a Internet e outras tecnologias da comunicação, sem pôr a tónica nos aspectos da questão que se prendem com a privacidade (3). Embora apoie sem reservas o objectivo da proposta, a AEPD irá privilegiar no presente parecer esta vertente da privacidade.

7. A AEPD considera essencial que as iniciativas planeadas sejam coerentes com o enquadramento jurídico em vigor, aliás citado na proposta (4) e, em especial, com a Directiva 2000/31/CE relativa ao comércio electrónico, a Directiva 2002/58/CE relativa à privacidade e ao comércio electrónico e a Directiva 95/46/CE relativa à protecção de dados (5).

8. A protecção dos dados pessoais deve ser tida em conta relativamente a diversos aspectos e diversos intervenientes no programa: a protecção dos dados pessoais das crianças é obviamente a questão central, mas não a única: devem também ser tomados em consideração os dados pessoais relativos a pessoas e conteúdos examinados para efeitos de protecção das crianças.

9. Estas questões serão desenvolvidas do seguinte modo no presente parecer: — o capítulo II irá desenvolver o nexo entre a protecção de dados e a segurança das crianças, salientando o facto de a protecção dos dados das crianças ser uma medida indispensável para uma maior segurança e para a prevenção de abusos, — no capítulo III, o parecer irá salientar o facto de o tratamento de dados pessoais ser também inerente à comunicação, filtragem ou bloqueio de conteúdos ou pessoas suspeitos na Internet: — num primeiro ponto, será analisada na perspectiva da protecção de dados a questão da denúncia de pessoas ou factos suspeitos, — o segundo ponto centrar-se-á no papel das ferramentas técnicas, — a responsabilidade da indústria, em conexão com o controlo que efectua dos dados dos utilizadores e dos conteúdos, será objecto do último ponto.

II. PROTECÇÃO DOS DADOS PESSOAIS E SEGURANÇA DAS CRIANÇAS

10. A AEPD apoia sem reservas o objectivo do programa e as orientações definidas para reforçar a protecção das crianças em linha. A redução dos conteúdos ilegais e nocivos e a sensibilização das crianças e outros intervenientes são, nomeadamente, medidas decisivas que devem continuar a ser desenvolvidas.

11. A AEPD recorda que uma protecção adequada dos dados pessoais da criança é um requisito preliminar essencial para garantir a segurança em linha. Este nexo entre privacidade e segurança das crianças ficou explícita na recente declaração do Comité de Ministros do Conselho da Europa «sobre a protecção da dignidade, segurança e privacidade das crianças que utilizam a Internet» (6). A declaração recorda o direito das crianças à dignidade, à protecção e aos cuidados especiais necessários para o seu bem-estar, «à protecção contra todas as formas de discriminação ou intervenção ilegal na sua privacidade e contra atentados ilegais à sua honra e reputação».

12. Como exemplos de riscos ligados à protecção da privacidade das crianças, a declaração cita a rastreabilidade das actividades das crianças susceptíveis de as expor a actividades criminosas, como aliciamento sexual ou outras actividades ilegais. A definição de perfis e a retenção de dados pessoais relativos às actividades das crianças são também apresentados como conducentes a um potencial risco de abuso, nomeadamente para fins comerciais ou para pesquisas por parte de estabelecimentos de ensino. A declaração convida pois a que sejam retirados ou suprimidos, num prazo razoavelmente curto, os conteúdos e vestígios deixados pelas crianças em linha, e a que se desenvolva e promova a informação das crianças, especialmente sobre a utilização correcta dos instrumentos de acesso à informação, o desenvolvimento da análise crítica dos conteúdos e a aquisição das competências necessárias no domínio da comunicação.

13. A AEPD subscreve estas conclusões; em particular, considera essencial sensibilizar a criança para os riscos ligados a uma comunicação espontânea de dados pessoais como o nome verdadeiro, a idade ou o lugar de residência.

14. O ponto 3 das medidas (7) propostas pelo programa plurianual é especificamente consagrado ao tema «Sensibilizar o público» — através de acções destinadas às crianças, aos pais, aos educadores e a outros responsáveis por crianças — para as oportunidades e os riscos relacionados com a utilização das tecnologias em linha e para os meios de garantir a segurança em linha. Entre os meios indicados na proposta, a divulgação de uma informação adequada e a criação de pontos de contacto onde os pais e as crianças poderão encontrar respostas para as questões sobre a segurança em linha são dois instrumentos úteis que deverão integrar explicitamente esta dimensão da protecção dos dados pessoais.

15. A AEPD salienta que as autoridades de protecção de dados são interlocutores pertinentes neste contexto, devendo ser mencionadas enquanto tais na proposta, especialmente quando esta prevê a promoção da cooperação e a partilha de informações, experiências e boas práticas a nível nacional e europeu (8).

16. Podem mencionar-se várias iniciativas como ilustração de acções recentes empreendidas nesta perspectiva em Estados-Membros ou membros do EEE. A autoridade de protecção de dados sueca realiza um inquérito anual sobre as atitudes dos jovens perante a Internet e a vigilância, tal como a APD do Reino Unido (9), que realizou um inquérito a 2000 jovens entre os 14 e os 21 anos. Em Janeiro de 2007, a APD norueguesa lançou, em colaboração com o Ministério da Educação, uma campanha educativa destinada às escolas (10). Em Portugal, a APD e o Ministério da Educação assinaram um protocolo destinado a promover uma cultura de protecção de dados na Internet e, em especial, nas redes sociais (11). Na sequência deste projecto, as redes sociais portuguesas integraram uma interface e uma mascote dedicada às crianças entre os 10 e os 15 anos.

17. Estes exemplos ilustram o papel activo e decisivo desempenhado pelos intervenientes da protecção de dados no que toca à protecção das crianças em linha, e a necessidade de os mencionar explicitamente como interlocutores no programa plurianual.

III. PROTECÇÃO DOS DADOS PESSOAIS E DIREITOS DOS OUTROS INTERVENIENTES

I. Comunicação e intercâmbio de informações

18. O primeiro ponto da proposta [«Reduzir os conteúdos ilícitos e combater os comportamentos prejudiciais em linha» (12)] inclui, como uma das principais acções, a disponibilização de pontos de contacto para a comunicação da existência de conteúdos ilícitos e de comportamentos prejudiciais em linha. É incontestável que, para combater eficazmente os conteúdos ilegais ou os comportamentos prejudiciais, estes devem ser levados ao conhecimento das autoridades competentes. Já foram aliás criados pontos de contacto no contexto da protecção das crianças, mas também, nomeadamente, para a luta contra o spam (13).

19. A AEPD faz todavia notar que a noção de conteúdo nocivo continua a não ser clara: não é dada qualquer indicação sobre quem é responsável por definir o que é um conteúdo nocivo, e segundo que critérios. Isto é especialmente preocupante se tivermos em conta as implicações de uma eventual denúncia desses conteúdos.

20. Além disso, como já atrás se referiu, no quadro de um programa como este não são apenas os dados pessoais das crianças que estão em causa, mas também os dados pessoais de todas as pessoas de algum modo ligadas à informação que circula na rede. Poderá tratar-se, por exemplo, dos dados da pessoa suspeita de conduta ilícita e denunciada como suspeita, mas também da pessoa que denuncia um comportamento ou conteúdo ilícitos, ou da vítima do abuso. Se estas informações são necessárias para um sistema de comunicação eficaz, a AEPD considera importante recordar que as mesmas devem sempre ser tratadas em conformidade com os princípios da protecção de dados.

21. Alguns dos dados em causa poderão até exigir protecção específica, se puderem ser considerados dados sensíveis na acepção do artigo 8.o da Directiva 95/46/CE. Poderá ser o caso dos dados relativos a autores de infracções, bem como a vítimas de abusos, em especial no contexto da pornografia infantil. Importa assinalar que, ao nível nacional, alguns sistemas de comunicação de informações implicaram uma alteração da legislação sobre protecção de dados por forma a permitir o tratamento dos dados judiciais dos suspeitos ou das vítimas (14). A AEPD insiste no facto de que qualquer sistema de comunicação que venha a ser criado tenha em conta o enquadramento existente em matéria de protecção de dados. A demonstração de um interesse público, assim como as garantias em matéria de supervisão do sistema, em princípio pelas autoridades de aplicação da lei, são elementos decisivos para que esse enquadramento seja respeitado.

II. Papel das ferramentas técnicas na perspectiva da privacidade

22. A utilização de ferramentas técnicas é promovida como uma das soluções para combater os conteúdos ilícitos e os comportamentos prejudiciais (15). Na avaliação de impacto (16) são dados exemplos dessas ferramentas, tais como tecnologias de reconhecimento de idade, de reconhecimento facial (para a identificação das vítimas pelas autoridades de aplicação da lei) ou de filtragem. Nos termos da proposta, estas ferramentas deveriam ser mais adaptadas às necessidades práticas e estar acessíveis aos intervenientes relevantes.

23. A AEPD já tomou claramente posição (17) a favor da utilização de novas tecnologias para reforçar a protecção dos direitos dos indivíduos; considera que o princípio da integração da protecção de dados na concepção das ferramentas técnicas («privacy by design») deve fazer parte integrante da evolução tecnológica subjacente ao tratamento de dados pessoais. A AEPD é pois resolutamente favorável à elaboração de projectos destinados a desenvolver tecnologias nesse sentido.

24. É especialmente importante desenvolver sistemas que reduzam na medida do possível o grau de exposição dos dados pessoais das crianças, facultando-lhes uma protecção fiável e proporcionando-lhes, por conseguinte, a oportunidade de utilizar novas ferramentas da Sociedade da Informação, como as redes sociais, de uma forma mais segura.

25. Importa no entanto recordar que, em função do modo como são usadas, as ferramentas tecnológicas podem ter impactos muito diferentes sobre os indivíduos. Se utilizadas para filtrar ou bloquear informação, podem impedir o acesso das crianças a conteúdos potencialmente lesivos, mas podem também impedir o acesso a informações legítimas.

26. Se bem que a principal questão seja aqui a liberdade de acesso à informação, há também a assinalar consequências do ponto de vista da privacidade. Com efeito, a filtragem, em especial nas suas modalidades mais recentes, que recorrem à gestão de identidades, pode funcionar com base em determinados critérios, incluindo a idade do indivíduo ligado à rede (por forma a impedir os acesso de adultos ou crianças a conteúdos especificados), o conteúdo da informação e os dados de tráfego associados à identidade do autor da informação. Em função do modo como estes dados pessoais são — automaticamente — tratados, os indivíduos em causa podem sofrer consequências no tocante ao seu direito a comunicar em linha.

27. As ferramentas de filtragem ou bloqueio para controlar o acesso às redes devem portanto ser usadas com prudência, tendo em conta os seus possíveis efeitos adversos, e tirando o máximo proveito das possibilidades de reforço da privacidade proporcionadas pela tecnologia.

28. A AEPD congratula-se com o facto de a avaliação de impacto (18) frisar que nenhuma das opções propostas deve afectar o direito à privacidade e à liberdade de expressão. A AEPD subscreve também o ponto de vista, expresso na avaliação de impacto, de que um dos principais objectivos é o reforço da capacidade dos utilizadores, ou seja, «a aquisição de capacidades para fazer melhores escolhas e tomar as medidas adequadas» para proteger as crianças (19).

III. Responsabilidade dos prestadores de serviços

29. Considera-se na proposta que a colaboração de todos os intervenientes é um elemento necessário para reforçar a protecção das crianças que utilizam as tecnologias da comunicação. Entre esses intervenientes, a proposta (20) prevê a participação e a implicação da indústria, em especial através da auto-regulação.

30. Sendo responsável pelo fornecimento de serviços de telecomunicações e de conteúdos, a indústria do sector pode ter alguma influência na comunicação, filtragem ou bloqueio de dados quando estes sejam considerados ilegais ou prejudiciais. Poderá no entanto ser controversa, do ponto de vista jurídico, a questão de saber em que medida lhe pode ser confiada essa missão.

31. É naturalmente bem-vinda a colaboração da indústria na perspectiva da sensibilização das crianças e dos outros intervenientes, como os pais ou educadores. A introdução de sistemas de alerta e de moderadores nos sítios Web, por forma a permitir a exclusão de conteúdos inadequados, é também um aspecto essencial da responsabilidade dos fornecedores de conteúdos.

32. No que diz respeito aos prestadores de serviços de telecomunicações, a vigilância das telecomunicações é todavia uma questão controversa, quer vise o controlo de conteúdos protegidos por direitos de propriedade intelectual quer de conteúdos ilegais. Levanta-se aqui o problema da intervenção de um agente comercial, que oferece um serviço específico (telecomunicações), numa esfera na qual não deve em princípio intervir, a saber, o controlo do conteúdo das telecomunicações. A AEPD recorda que esse controlo não deve em princípio ser efectuado pelos prestadores de serviços, e seguramente não de uma forma sistemática. Quando necessário em circunstâncias específicas, tal missão deverá em princípio ser confiada às autoridades de aplicação da lei.

33. No seu parecer de 18 de Janeiro de 2005, o Grupo do Artigo 29.o recordou, a este respeito (21), que «nos termos do artigo 15.o da Directiva 2000/31/CE sobre o comércio electrónico, não pode ser imposta aos prestadores de serviços da sociedade da informação uma obrigação sistemática de vigilância e colaboração. (…) Conforme prevê o artigo 8.o da directiva relativa à protecção de dados, o tratamento de dados relativos a infracções, condenações penais ou medidas de segurança só poderá ser efectuado sob condições rigorosas estabelecidas pelos Estados-Membros. Se qualquer indivíduo tem obviamente o direito de tratar dados judiciais no âmbito do seu próprio processo, o princípio não vai ao ponto de permitir a investigação aprofundada, a recolha e a centralização de dados pessoais por terceiros, incluindo, em especial, uma pesquisa sistemática em grande escala, como a exploração da Internet (…). Esse tipo de investigação é da competência das autoridades judiciárias».

34. Num domínio em que estão em jogo a liberdade de expressão, o acesso à informação, a privacidade e outros direitos fundamentais, esta intervenção de agentes privados levanta a questão da proporcionalidade dos meios usados. O Parlamento Europeu adoptou recentemente uma resolução em que salienta a necessidade de uma solução que respeite os direitos fundamentais dos indivíduos (22). No ponto 23 da sua resolução, o PE declara que «a Internet é uma vasta plataforma de expressão cultural, de acesso ao conhecimento e participação democrática na criatividade europeia, lançando pontes entre as gerações na sociedade da informação; (o Parlamento) exorta a Comissão e os Estados-Membros a evitarem adoptar medidas contrárias aos direitos humanos, aos direitos civis e aos princípios da proporcionalidade, da eficácia e da dissuasão, como a interrupção de acesso à Internet».

35. A AEPD considera que importa assegurar um equilíbrio entre o legítimo objectivo de combate aos conteúdos ilegais e a adequação dos meios utilizados; recorda que qualquer acção de vigilância das redes de telecomunicações, quando necessária, em casos específicos, deve ser confiada às autoridades de aplicação da lei.

IV. CONCLUSÃO

36. A APDE apoia a proposta de um programa plurianual para a protecção das crianças que utilizam a Internet e outras tecnologias da comunicação. A AEPD congratula-se com o facto de este programa pretender centrar-se no desenvolvimento de novas tecnologias e na elaboração de acções concretas para aumentar a eficácia da protecção das crianças.

37. A AEPD recorda que a protecção de dados pessoais é um requisito prévio essencial para a segurança das crianças em linha. A utilização abusiva dos dados pessoais das crianças deve ser impedida, mediante as orientações propostas no programa, com especial destaque para: — garantir a sensibilização das crianças e dos outros intervenientes, como pais e educadores, — promover o desenvolvimento de boas práticas por parte da indústria, — promover o desenvolvimento de ferramentas tecnológicas respeitadoras da privacidade, — favorecer o intercâmbio de boas práticas e de experiências concretas entre as autoridades competentes, incluindo as autoridades de protecção de dados.

38. Estas acções devem ser desenvolvidas sem esquecer que a protecção das crianças se efectua num meio onde podem estar em jogo os direitos de outras pessoas. Qualquer iniciativa de recolha, bloqueio ou comunicação de dados só deverá ser tomada no respeito dos direitos fundamentais de todas as pessoas envolvidas, e em conformidade com o enquadramento jurídico da protecção de dados. A AEPD recorda, em particular, que qualquer acção de vigilância das redes de telecomunicações, quando necessária em circunstâncias específicas, deve ser confiada às autoridades de aplicação da lei.

39. A AEPD faz notar que este programa constitui um quadro geral para acções concretas futuras; considera que algumas das observações formuladas no presente parecer representam um primeiro passo e deverão ser desenvolvidas no plano prático, por referência aos projectos ainda a implementar, em conformidade com as orientações do programa. Recomenda que as autoridades de protecção de dados sejam estreitamente associadas ao processo quando chegar o momento de definir estes projectos de ordem prática. A AEPD remete igualmente para a actividade do Grupo do Artigo 29.o sobre esta matéria e, em particular, para os trabalhos do Grupo, neste momento em curso, sobre as redes sociais (23).

Feito em Bruxelas, em 23 de Junho de 2008. Peter HUSTINX Autoridade Europeia para a Protecção de Dados

(1) JO L 281 de 23.11.1995, p. 31.

(2) JO L 8 de 12.1.2001, p. 1.

(3) A avaliação de impacto contém algumas referências à privacidade (3.2. Riscos específicos: revelação de dados pessoais; 3.3. Grupo-salvo; 5.2. Análise do impacto das opções políticas), mas pouco desenvolvidas.

(4) Exposição de motivos: 2.1. Contexto legislativo; síntese da avaliação de impacto: 1.2. Situação actual: legislação.

(5)

— Directiva 2000/31/CE do Parlamento Europeu e do Conselho, de 8 de Junho de 2000, relativa a certos aspectos legais dos serviços da sociedade da informação, em especial do comércio electrónico, no mercado interno («Directiva sobre o comércio electrónico») (JO L 178 de 17.7.2000, p. 1).

— Directiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de Julho de 2002, relativa ao tratamento de dados pessoais e à protecção da privacidade no sector das comunicações electrónicas (Directiva relativa à privacidade e às comunicações electrónicas) (JO L 201 de 31.7.2002, p. 37).

— Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO L 281 de 23.11.1995, p. 31).

(6) Declaração adoptada pelo Comité de Ministros em 20 de Fevereiro de 2008, na 1018.a reunião de Delegados dos Ministros, disponível em: wcd.coe.int/ViewDoc.jsp?Ref=Decl(20.02.2008)&Ver=0001

(7) Anexo I, acções, ponto 3.

(8) Anexo I, acções, ponto 1.

(9) Cf. «www.ico.gov.uk/youngpeople».

(10) Cf. «www.dubestemmer.no».

(11) Cf. «dadus.cnpd.pt/».

(12) Anexo I da proposta.

(13) Cf., por exemplo, o sítio Internet criado pelas autoridades belgas para estes fins: www.ecops.be

(14) Cf. lei belga sobre a protecção da vida privada, de 8 de Dezembro de 1992, n.o 6 do artigo 3.o relativo ao tratamento de dados pelo Centro para as Crianças Desaparecidas ou Sexualmente Exploradas.

(15) Anexo I, acções, ponto 1.

(16) Avaliação de impacto, ponto 3.1.

(17) Relatório anual da AEPD referente a 2006, ponto 3.5.1. Evolução tecnológica.

(18) Avaliação de impacto, ponto 5.2.

(19) Neste contexto, os filtros deverão ser inicializados pelos pais, podendo ser desactivados, de modo a que o adulto conserve o pleno controlo do efeito de filtragem.

(20) Considerando 8 da proposta; anexo I, ponto 1.4; síntese da avaliação de impacto, ponto 3.1.

(21) Documento de trabalho do Grupo do Artigo 29.o sobre as questões de protecção de dados relacionadas com os direitos de propriedade intelectual, WP 104.

(22) Resolução do Parlamento Europeu, de 10 de Abril de 2008, sobre as indústrias culturais na Europa [2007/2153(INI)], ponto 23.

(23) Cf. documento de trabalho do Grupo 1/2008, de 18 de Fevereiro de 2008, sobre a protecção dos dados pessoais das crianças, WP 147, e, para uma panorâmica mais geral, o programa de trabalho do Grupo para 2008-2009, que inclui as redes sociais, disponível em:

http://ec.europa.eu/justice_home/fsj/privacy/workinggroup/wpdocs/2008_en.htm