PT Jornal Oficial da União Europeia C 38/14

Sumário Executivo do Parecer da Autoridade Europeia de Proteção de Dados sobre uma proposta de diretiva do Parlamento Europeu e do Conselho relativa aos serviços de pagamento no mercado interno, que altera as Diretivas 2002/65/CE, 2006/48/CE e 2009/110/CE e que revoga a Diretiva 2007/64/CE, e uma proposta de Regulamento do Parlamento Europeu e do Conselho relativo a comissões de intercâmbio aplicáveis a operações de associadas a cartões

(O texto integral do presente parecer está disponível em EN, FR e DE no sítio web da AEPD http://www.edps.europa.eu)

(2014/C 38/07)

1. Introdução

1.1. Consulta à AEPD

1. Em 27 de julho de 2013, a Comissão adotou um projeto de proposta de diretiva do Parlamento Europeu e do Conselho relativa aos serviços de pagamento no mercado interno, que altera as Diretivas 2002/65/CE, 2006/48/CE e 2009/110/CE e que revoga Diretiva 2007/64/CE (a diretiva proposta), bem como um projeto de proposta de um Regulamento do Parlamento Europeu e do Conselho relativo a comissões de intercâmbio aplicáveis a operações de associadas a cartões. (1) Estas propostas foram enviadas à AEPD para consulta em 28 de julho de 2013.

2. A AEPD congratula-se por ter sido consultada pela Comissão e por ter sido incluída no preâmbulo dos instrumentos uma referência ao presente parecer.

3. Antes da aprovação da proposta de regulamento, foi dada à AEPD a possibilidade de apresentar as suas observações informais à Comissão. Algumas dessas observações foram tidas em conta. Em resultado disso, foram reforçadas as salvaguardas de proteção de dados na proposta de regulamento.

4. Uma vez que a proposta de regulamento não suscita quaisquer questões do ponto de vista da Proteção de dados, a AEPD irá concentrar as suas observações na proposta de diretiva.

1.2. Objetivos e âmbito da proposta de diretiva

5. A proposta de diretiva tem como objetivo contribuir para um maior desenvolvimento do mercado de pagamentos eletrónicos à escala da UE, com vista a permitir aos consumidores, aos retalhistas e a outros operadores no mercado beneficiar plenamente das vantagens inerentes ao mercado interno da UE, em consonância com a estratégia Europa 2020 e a Agenda Digital. A fim de atingir esse objetivo e promover uma maior concorrência, eficiência e inovação no domínio dos pagamentos eletrónicos, impõe-se clareza jurídica e a igualdade das condições de concorrência, conducentes a uma convergência no sentido da descida dos custos e dos preços para os utilizadores de serviços de pagamento, a um maior leque de escolha e transparência dos serviços de pagamento, que facilitem a prestação de serviços de pagamento inovadores e assegurem serviços de pagamento seguros e transparentes.

6. A Comissão preconiza que estes objetivos serão atualizando e complementando o quadro existente relativo aos serviços de pagamento; estabelecendo regras que reforcem a transparência, a inovação e a segurança no domínio dos pagamentos de pequeno montante e melhorando a coerência entre as regras nacionais, com especial ênfase nas necessidades legítimas dos consumidores.

3. Conclusões

A AEPD congratula-se com a introdução, no artigo 84.o, de uma disposição substantiva que estipula que qualquer tratamento de dados pessoais que ocorra no quadro da proposta de diretiva deve ser realizado respeitando integralmente as leis nacionais que transpõem a Diretiva 95/46/CE e a Diretiva 2002/58/CE, assim como o Regulamento (CE) n.o 45/2001.

A AEPD recomenda que:

— as referências à legislação aplicável à proteção de dados sejam especificadas através de salvaguardas concretas aplicáveis a qualquer situação em que se preveja o processamento de dados pessoais.

— fique claro na proposta de diretiva que a prestação de serviços de pagamento pode implicar o tratamento de dados pessoais.

— seja expressamente esclarecido na proposta de diretiva que pode ocorrer tratamento de dados pessoais na medida do necessário para a execução de serviços de pagamento.

— se acrescente uma disposição substantiva estipulando a obrigação de a «privacidade desde a conceção/privacidade por defeito» ser incorporada em todos os sistemas de processamento de dados desenvolvidos e utilizados no quadro da proposta de diretiva.

— no que se refere ao intercâmbio de informações: (i) se mencione os fins para os quais os dados pessoais podem ser tratados pelas autoridades nacionais competentes, o banco central da UE, os bancos centrais nacionais e as outras autoridades referidas no artigo 25.o, (ii) se especifique o tipo de informações pessoais que podem ser processados ao abrigo da proposta de diretiva e (iii) se fixe um período proporcionado de retenção de dados para processamento ou pelo menos introduzir critérios precisos para a sua fixação.

— seja introduzido no artigo 22.o a obrigação de as autoridades competentes solicitarem documentos e informações por decisão formal, especificando a base jurídica e a finalidade do pedido e as informações necessárias, bem como o prazo no qual as informações devem ser fornecidas.

— seja introduzido no artigo 31.o uma alteração prevendo que as modalidades estabelecidas no que respeita à prestação de informações aos utilizadores também se aplicam à prestação de informações relativas ao tratamento de dados pessoais nos termos dos artigos 10.o e 11.o da Diretiva 95/46/CE.

— no caso da expressão «disponibilidade de fundos suficientes» nos artigos 58.o e 59.o, seja clarificado que a informação transmitida a terceiros deve consistir num «sim» ou «não» em resposta simples à questão da existência ou não de fundos suficientes disponíveis — não, por exemplo, numa declaração do saldo da conta.

— no caso da expressão «dados sensíveis em matéria de pagamentos», constante no artigo 58.o, que a palavra «sensíveis» seja excluída e que a expressão «dados de pagamento» seja usada em seu lugar.

— se esclareça num considerando que as obrigações de notificação de incidentes de segurança não prejudicam outras obrigações de notificação de incidentes previstas noutros diplomas, em particular os requisitos em matéria de violação de dados pessoais que constam da lei de Proteção de dados (na Diretiva 2002/58/CE e no Regulamento Geral de Proteção de Dados proposto) e os requisitos de notificação de incidentes de segurança previstos no âmbito da proposta de diretiva relativa a segurança das redes e da informação.

— se assegure que o tratamento de dados pessoais e a passagem destes por diferentes intermediários respeita os princípios de confidencialidade e segurança, em conformidade com os artigos 16.o e 17.o da Diretiva 95/46/CE.

— seja adicionada à proposta de diretiva uma disposição substantiva prevendo a obrigação de serem definidos padrões com base em avaliações de impacto de privacidade.

— seja incluída na proposta de diretiva uma referência à necessidade de se consultar a AEPD na medida em que as diretrizes da EBA relativas a métodos atualizados de autenticação do cliente e qualquer isenção à utilização de autenticação sólida do cliente abranjam o tratamento de dados pessoais.

Feito em Bruxelas, em 5 de dezembro de 2013. Giovanni BUTTARELLI Autoridade Adjunta Europeia para a Proteção de Dados

(1) COM(2013) 547 final e COM(2013) 550 final.