Resumo do parecer da Autoridade Europeia para a Proteção de Dados sobre a proposta de regulamento do Parlamento Europeu e do Conselho relativo aos requisitos horizontais de cibersegurança dos produtos com elementos digitais e que altera o Regulamento (UE) 2019/1020

(2022/C 452/07)

(O texto integral do presente parecer está disponível em alemão, francês e inglês no sítio Web da AEPD https://edps.europa.eu)

Em 15 de setembro de 2022, a Comissão Europeia apresentou uma proposta de regulamento do Parlamento Europeu e do Conselho relativo aos requisitos horizontais de cibersegurança dos produtos com elementos digitais e que altera o Regulamento (UE) 2019/1020 (1) (a seguir designada por «Proposta»).

A AEPD congratula-se com a Proposta e apoia plenamente o seu objetivo geral de melhorar o funcionamento do mercado interno através do estabelecimento de um quadro jurídico uniforme para os requisitos essenciais de cibersegurança para a colocação de produtos com elementos digitais no mercado da União.

A AEPD recorda que o artigo 5.o, n.o 1, alínea f), do RGPD estabeleceu a segurança como um dos princípios fundamentais relacionados com o tratamento de dados pessoais. O artigo 32.o do RGPD define ainda esta obrigação, aplicável tanto aos responsáveis pelo tratamento como aos subcontratantes, de garantir um nível de segurança adequado. Por conseguinte, a AEPD congratula-se com o facto de os princípios da segurança e da minimização dos dados já estarem incorporados nos requisitos essenciais de cibersegurança enumerados no anexo I da Proposta. Além disso, a AEPD recomenda vivamente a inclusão do princípio da proteção de dados desde a conceção e por defeito nos requisitos essenciais de cibersegurança dos produtos com elementos digitais.

O considerando 17 prevê disposições de governação importantíssimas que não estão refletidas na parte operacional da Proposta. Por conseguinte, a AEPD recomenda que se especifiquem, na parte operacional da Proposta, todos os aspetos relacionados com a criação de sinergias na área da normalização e certificação em matéria de cibersegurança, bem como sinergias entre a Proposta e a legislação da União em matéria de proteção de dados no domínio da fiscalização do mercado e da aplicação da legislação. Além disso, a AEPD considera necessário esclarecer que a Proposta não pretende afetar a aplicação da legislação da UE em vigor que rege o tratamento de dados pessoais, incluindo as funções e competências das autoridades de controlo independentes competentes para controlar o cumprimento desses instrumentos.

A AEPD congratula-se com o facto de esta disposição reconhecer que o tratamento de dados pessoais é uma função crítica e sensível e que, como tal, pode exigir que os produtos críticos correspondentes com elementos digitais obtenham um certificado europeu de cibersegurança ao abrigo de um sistema europeu de certificação da cibersegurança. Ao mesmo tempo, a AEPD recomenda que se esclareça num considerando da Proposta que a obtenção da certificação europeia da cibersegurança ao abrigo da Proposta não garante a conformidade com o RGPD.

Por último, a AEPD congratula-se com as sanções propostas, que são semelhantes às do RGPD para uma violação do artigo 32.o do RGPD sobre a segurança do tratamento, com uma coima máxima de 2,5 % do volume de negócios anual global. Consequentemente, a Proposta poderá constituir mais uma forma de proteção das pessoas singulares residentes nos Estados-Membros da UE, em conjugação com as disposições do RGPD.

1. INTRODUÇÃO

1. Em 15 de setembro de 2022, a Comissão Europeia apresentou uma proposta de regulamento do Parlamento Europeu e do Conselho relativo aos requisitos horizontais de cibersegurança dos produtos com elementos digitais e que altera o Regulamento (UE) 2019/1020 (a seguir designada por «Proposta»).

2. hardware e software são colocados no mercado com menos vulnerabilidades e que os fabricantes levam a sério a segurança ao longo do ciclo de vida de um produto. Visa igualmente criar condições que permitam aos utilizadores ter em conta a cibersegurança aquando da seleção e utilização de produtos com elementos digitais O objetivo da Proposta consiste em melhorar o funcionamento do mercado interno através do estabelecimento de um quadro jurídico uniforme para os requisitos essenciais de cibersegurança para a colocação de produtos com elementos digitais no mercado da União ( 2 ) . Em especial, a Proposta visa estabelecer as condições-limite para o desenvolvimento de produtos seguros com elementos digitais, assegurando que os produtos desão colocados no mercado com menos vulnerabilidades e que os fabricantes levam a sério a segurança ao longo do ciclo de vida de um produto. Visa igualmente criar condições que permitam aos utilizadores ter em conta a cibersegurança aquando da seleção e utilização de produtos com elementos digitais ( 3 )

3. Para este efeito, a Proposta estabelece ( 4 ) — regras para a colocação no mercado de produtos com elementos digitais, a fim de garantir a cibersegurança desses produtos; — requisitos essenciais para a conceção, o desenvolvimento e a produção de produtos com elementos digitais e as obrigações dos operadores económicos em relação a esses produtos no que diz respeito à cibersegurança; — requisitos essenciais para os processos de tratamento da vulnerabilidade criados pelos fabricantes para assegurar a cibersegurança dos produtos com elementos digitais durante todo o ciclo de vida, bem como as obrigações dos operadores económicos em relação a esses processos; — regras relativas à fiscalização do mercado e à aplicação das regras e dos requisitos referidos acima.

4. O quadro da UE inclui vários atos legislativos horizontais que abrangem determinados aspetos relacionados com a cibersegurança de diferentes ângulos (produtos, serviços, gestão de crises e crimes). Em 2013, entrou em vigor a Diretiva relativa a ataques contra os sistemas de informação ( 5 ) , que harmoniza a criminalização e as sanções aplicáveis a uma série de infrações contra os sistemas de informação. Em agosto de 2016, a Diretiva (UE) 2016/1148 ( 6 ) relativa à segurança das redes e da informação (Diretiva SRI) entrou em vigor como o primeiro ato legislativo a nível da UE em matéria de cibersegurança. A sua revisão, que resultou na Diretiva SRI 2, aumenta o nível comum de ambição da UE em matéria de cibersegurança dos serviços de TIC. Em 2019, entrou em vigor o Regulamento Cibersegurança da UE ( 7 ) , que visa reforçar a segurança dos produtos, serviços e processos de TIC através da introdução de um quadro europeu voluntário de certificação da cibersegurança.

5. O presente parecer da AEPD é emitido em resposta a uma consulta da Comissão Europeia de 15 de setembro de 2022, nos termos do artigo 42. o , n. o 1, do RGPD. A AEPD congratula-se com a referência a esta consulta no considerando 71 da Proposta. A este respeito, a AEPD regista igualmente com agrado que já tinha sido consultada informalmente nos termos do considerando 60 do RGPD.

3. CONCLUSÕES

31. Tendo em conta o supramencionado, a AEPD formula as seguintes recomendações: (1) incluir o princípio da proteção de dados desde a conceção e por defeito nos requisitos essenciais de cibersegurança dos produtos com elementos digitais; (2) explicar no preâmbulo a importância dos produtos com elementos digitais que realizam operações criptográficas, incluindo a encriptação em repouso e em trânsito e a pseudonimização, que são necessárias para a eficácia da segurança da informação, a cibersegurança, a proteção de dados e a privacidade; (3) aditar ao anexo II produtos materiais e imateriais com elementos digitais que realizem operações criptográficas; (4) suprimir o Regulamento (UE) 2017/745 (8) da lista da legislação excluída da aplicação da Proposta; (5) esclarecer expressamente na Proposta os elementos dos requisitos essenciais referidos no artigo 3.o, n.o 3, alínea e), da Diretiva 2014/53/UE (9), relativo aos dados pessoais e à privacidade; (6) especificar na parte operacional da Proposta os aspetos práticos relacionados com a criação de sinergias na área da normalização e certificação em matéria de cibersegurança, bem como sinergias entre a Proposta e a legislação da União em matéria de proteção de dados no domínio da fiscalização do mercado e da aplicação da legislação; (7) esclarecer que a Proposta não pretende afetar a aplicação da legislação da UE em vigor que rege o tratamento de dados pessoais, incluindo as funções e competências das autoridades de controlo independentes competentes para controlar o cumprimento desses instrumentos; (8) aditar as definições pertinentes de «software livre», «software de código aberto» e «software livre e de código aberto»; (9) esclarecer num considerando da Proposta que a obtenção da certificação europeia da cibersegurança ao abrigo da Proposta não garante a conformidade com o RGPD.

Bruxelas, 9 de novembro de 2022 Wojciech Rafał WIEWIÓROWSKI

(1) COM/2022/454 final.

(2) Considerando 1 da Proposta.

(3) Considerando 2 da Proposta.

(4) Artigo 1.o da Proposta.

(5) Diretiva 2013/40/UE do Parlamento Europeu e do Conselho, de 12 de agosto de 2013, relativa a ataques contra os sistemas de informação e que substitui a Decisão-Quadro 2005/222/JHA do Conselho (JO L 218 de 14.8.2013, p. 8).

(6) Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho, de 6 de julho de 2016, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União (JO L 194/1 de 19.7.2016, p. 1).

(7) Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho, de 17 de abril de 2019, relativo à ENISA (Agência da União Europeia para a Cibersegurança) e à certificação da cibersegurança das tecnologias da informação e comunicação e que revoga o Regulamento (UE) n.o 526/2013 (Regulamento Cibersegurança) (JO L 151 de 7.6.2019, p. 15).

(8) Regulamento (UE) 2017/745 do Parlamento Europeu e do Conselho, de 5 de abril de 2017, relativo a dispositivos médicos, que altera a Diretiva 2001/83/CE, o Regulamento (CE) n.o 178/2002 e o Regulamento (CE) n.o 1223/2009 e revoga Diretivas 90/385/CEE e 93/42/CEE do Conselho (JO L 117 de 5.5.2017, p. 1).

(9) Diretiva 2014/53/UE do Parlamento Europeu e do Conselho, de 16 de abril de 2014, relativa à harmonização das legislações dos Estados-Membros relativas à disponibilização no mercado de equipamentos de rádio e revoga a Diretiva 1999/5/CE (JO L 153, 22.5.2014, p. 62).