PT Jornal Oficial da União Europeia C 91/9

Segundo parecer da Autoridade Europeia para a Protecção de Dados sobre a proposta de decisão-quadro do Conselho relativa à protecção dos dados pessoais tratados no âmbito da cooperação policial e judiciária em matéria penal

(2007/C 91/02)

A AUTORIDADE EUROPEIA PARA A PROTECÇÃO DE DADOS,

Tendo em conta o Tratado que institui a Comunidade Europeia, nomeadamente o artigo 286.o,

Tendo em conta a Carta dos Direitos Fundamentais da União Europeia, nomeadamente o artigo 8.o,

Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1),

Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados (2) pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados, nomeadamente, o artigo 41.o

ADOPTOU O SEGUINTE PARECER:

1. Em 19 de Dezembro de 2005, a AEPD emitiu um parecer (3) sobre a proposta de decisão-quadro do Conselho relativa à protecção dos dados pessoais tratados no âmbito da cooperação policial e judiciária em matéria penal, apresentada pela Comissão. Nesse parecer, sublinhou a importância da proposta como instrumento eficaz da protecção de dados no domínio abrangido pelo Título VI do Tratado UE. Este instrumento deveria não só respeitar os princípios relativos à protecção de dados estabelecidos na Convenção n.o 108 (4) do Conselho da Europa e mais especificamente na Directiva 95/46/CE, mas também proporcionar um conjunto de regras suplementar que tivesse em conta a especificidade do domínio da aplicação da lei. Para a AEPD é essencial que a decisão-quadro abranja todos os dados policiais e judiciários, ainda que estes não sejam transmitidos ou disponibilizados pelas autoridades competentes de outros Estados-Membros. Importa assegurar a coerência da protecção de dados, independentemente do local, da pessoa responsável ou da finalidade para a qual são tratados. A AEPD apresentou diversas propostas para aumentar o nível de protecção.

2. Em 27 de Setembro de 2006, o Parlamento Europeu aprovou uma resolução legislativa relativa à comunicação da Comissão. Em termos gerais, a resolução tem os mesmos objectivos que o parecer da AEPD, ou seja, apoiar a proposta de um modo geral e as alterações tendentes a aumentar o nível de protecção proporcionado pela decisão-quadro.

3. A proposta da Comissão está a ser discutida no Conselho e fontes informais (5) apontam para a progressão dos trabalhos e a alteração de elementos essenciais do texto da proposta. A Presidência do Conselho está seriamente empenhada em alcançar progressos ainda mais significativos, esperando chegar a definir uma abordagem comum em relação aos principais elementos até Dezembro de 2006.

4. A AEPD congratula-se com a atenção que o Conselho está a prestar a esta proposta importante. Todavia, manifesta a sua preocupação com o rumo que os trabalhos estão a tomar. Os textos actualmente em debate no Conselho não integram as alterações propostas pelo Parlamento Europeu, nem tão pouco os pareceres da AEPD e da Conferência da Primavera das Autoridades Europeias para a Protecção de Dados. Pelo contrário, em não poucos casos, as disposições da proposta da Comissão que oferecem salvaguardas aos cidadãos são suprimidas ou substancialmente enfraquecidas. Resulta daí um risco substancial de que o nível de protecção acabará por ser inferior ao proporcionado pela Directiva 95/46/CE ou no âmbito da Convenção n.o 108 do Conselho da Europa, formulada em termos mais gerais e que obriga os Estados-Membros.

5. A AEPD regista que também a Comissão LIBE do Parlamento Europeu manifestou recentemente receios quanto às escolhas do Conselho relativas a esta proposta de decisão-quadro.

6. São essas as razões que levaram a AEPD a emitir este segundo parecer. O presente parecer destaca algumas preocupações essenciais, mas não retoma todos os aspectos abordados no seu parecer de Dezembro de 2005 embora continuem válidos.

Considerações gerais

7. No domínio da criação gradual de um espaço de liberdade, segurança e justiça, o intercâmbio de informações policiais e judiciárias entre Estados-Membros é cada vez mais importante. São propostos ou já foram aprovados diversos instrumentos jurídicos para facilitar este intercâmbio de informação. A AEPD sublinha mais uma vez que, neste contexto, é indispensável um quadro jurídico sólido que protege as pessoas concernidas a fim de garantir o respeito pelos direitos fundamentais dos cidadãos. A presente (proposta de) decisão-quadro está directamente ligada às propostas destinadas a facilitar este intercâmbio de informação.

8. Embora a AEPD reconheça a importância de que ser reveste a aprovação o mais rapidamente possível da decisão-quadro pelo Conselho, chama, contudo, a atenção para o facto de que a celeridade do processo de tomada de decisão não deve redundar na redução das normas de protecção. Os textos actualmente debatidos no Conselho levantam dúvidas quanto ao resultado. Será sólido o suficiente para proporcionar aos cidadãos um nível eficaz de protecção? Nas circunstâncias actuais, uma consequência do objectivo da celeridade poderá ser a supressão ou o enfraquecimento de disposições controversas. A falta de tempo para chegar a um consenso relativamente a eventuais disposições controversas poderá comprometer a qualidade da decisão-quadro.

9. Posto isto, a AEPD recomenda que o Conselho preveja mais tempo para as negociações a fim de se conseguir um resultado que proporcione uma protecção suficiente.

Aplicabilidade ao tratamento a nível nacional

10. Esta questão constituiu um elemento essencial do parecer de Dezembro de 2005 e, posteriormente, foi objecto de debates exaustivos. As regras comuns em matéria de protecção de dados devem ser aplicáveis a todos os dados no domínio da cooperação policial e judiciária e não cingir-se aos intercâmbios transfronteiras entre Estados-Membros. Um âmbito mais limitado não poderia proporcionar a protecção adequada estipulada na alínea b) do n.o 1 do artigo 30.o do TUE. Este ponto foi sublinhado por diversas vezes tanto pela AEPD como por outras partes interessadas.

11. No seu parecer de Dezembro de 2005, a AEPD afirmou que qualquer limitação aos dados trocados com outros Estados-Membros tornaria o campo de aplicação da decisão-quadro demasiado inseguro e incerto, o que seria contrário ao seu objectivo essencial. Nunca se sabe de antemão — no momento da recolha ou do tratamento de dados pessoais — se esses dados serão relevantes para um intercâmbio de informações com as autoridades competentes de outros Estados-Membros.

12. Por essa razão, um âmbito mais limitado não é viável e obrigaria a distinções difíceis e precisas no interior das bases de dados das autoridades responsáveis pela aplicação da lei, com o consequente aumento da complexidade e dos custos para estas autoridades e, acima de tudo, em detrimento da segurança jurídica das pessoas.

13. Estas consequências podem ser ilustradas com dois exemplos. Em primeiro lugar, a complexidade e os custos suplementares derivam do facto de os ficheiros criminais serem constituídos em muitos casos por dados provenientes de várias autoridades. Limitar o âmbito de aplicação equivaleria a que partes desses ficheiros, nomeadamente as partes que contêm dados provenientes de autoridades de outros Estados-Membros, seriam protegidos ao abrigo da decisão-quadro e outras não. Em segundo lugar, a segurança jurídica das pessoas concernidas sairia prejudicada, em caso de limitação do âmbito de aplicação, uma vez que a decisão-quadro não abrangeria os dados provenientes de países terceiros que não são trocados entre Estados-Membros. Desnecessário será dizer que o tratamento destes dados encerra riscos específicos para as pessoas concernidas, por exemplo, se não estiver prevista nenhuma obrigação legal de verificar a exactidão desses dados. Um bom exemplo seria a utilização de listas de proibição de embarque de países terceiros para efeitos de aplicação da lei num Estado-Membro.

14. A AEPD reitera que é necessário um elevado nível de protecção de dados no domínio da cooperação policial e judiciária, um domínio em que o tratamento de dados pessoais tem pela sua natureza riscos específicos para os cidadãos, o que, aliás, é reconhecido na alínea b) do n.o 1 do artigo 30.o do TUE. Além disso, grandes discrepâncias entre a protecção de dados nos primeiro e terceiro pilares afectariam não só o direito dos cidadãos à protecção de dados pessoais como também a eficácia da aplicação da lei e a confiança mútua entre os Estados-Membros.

15. A proposta vai ao encontro de ambos os objectivos: estabelecer garantias para os cidadãos contra a utilização abusiva dos seus dados pessoas. Com efeito, pouco importa à pessoa concernida se os dados que lhe dizem respeito são tratados no âmbito de um intercâmbio entre Estados-Membros ou a nível exclusivamente interno. E além disso, contribuir para a confiança mútua entre os Estados-Membros que é uma condição indispensável para um intercâmbio bem-sucedido de informações. A aplicação de normas comuns ao tratamento de dados facilitará a aceitação dos dados trocados entre Estados-Membros.

16. A AEPD adverte que uma limitação do âmbito de aplicação da decisão-quadro a dados no contexto de um intercâmbio não é de molde a garantir plenamente o estabelecimento de confiança entre as autoridades dos Estados-Membros. Além disso, um texto limitado não protege devidamente os cidadãos. Nessas circunstâncias, a decisão-quadro deixaria de constituir uma garantia adequada para os cidadãos contra eventuais utilizações abusivas dos seus dados pelas autoridades públicas. No entender da AEPD, esta função de «escudo »da legislação é essencial, quanto mais não seja para assegurar que a União Europeia respeita os direitos fundamentais de acordo com o artigo 6.o do Tratado da UE.

17. Por último, existe um argumento estratégico a favor da aplicação da decisão-quadro a todo o tipo de tratamento. Como mostram as recentes negociações com os Estados Unidos da América relativas a um novo acordo sobre a Transferência de Dados contidos nos Registos de Identificação dos Passageiros pelas Transportadoras Aéreas (6), a existência de uma legislação sólida da UE para proteger os cidadãos em situações a nível interno contribuiria para reforçar a posição da UE nas negociações com países terceiros. Na ausência dessa lei sólida, torna-se difícil insistir num nível adequado de protecção em países terceiros como condição prévia para a transferência de dados pessoais.

Outras considerações

18. Privilegiar a qualidade dos dados. O artigo 4.o da proposta da Comissão não só inclui os mais importantes princípios de qualidade dos dados consagrados na Directiva 95/46/CE como também prevê algumas regras específicas. Estabelece nomeadamente uma distinção entre pessoas concernidas (suspeitos, condenados, vítimas, testemunhas, etc.). Os dados que lhes dizem respeito devem ter um tratamento diferenciado, com salvaguardas específicas, nomadamente em relação a pessoas não suspeitas. Prevê ainda obrigações para os Estados-Membros de diferenciar os dados em função do seu grau de exactidão e fiabilidade. Trata-se de uma disposição importante uma vez que as autoridades responsáveis pela aplicação da lei também utilizam dados indicativos baseados em presunções e não necessariamente em factos. A AEPD considera que estas disposições constituem salvaguardas essenciais que não devem ser suprimidas da proposta nem tornadas facultativas.

19. Tratamento de dados e limitação da finalidade No parecer de Dezembro de 2005, a AEPD analisou a necessidade de melhores disposições jurídicas relativas à utilização posterior de dados recolhidos por uma autoridade para um fim específico. Actualmente, a preocupação da AEPD em relação ao artigo 5.o consiste essencialmente em conciliar dois aspectos: por um lado, o tratamento (posterior) de dados para outros fins mais vastos deve ser autorizado e, por outro lado, a lei deve prever as condições específicas para este tratamento no intuito de proteger as pessoas concernidas. A AEPD desaconselha soluções que deixem a questão plenamente à discrição do direito nacional ou que não limitem as condições que regem o tratamento posterior de acordo com a Directiva 95/46/CE e a Convenção n.o 108 do Conselho da Europa (7). Quanto ao tratamento de categorias específicas de dados, esta questão é tratada no âmbito da Directiva 95/46/CE e da Convenção n.o 108 numa proibição geral com excepções (8). A AEPD receia que na decisão-quadro a proibição geral seja suprimida e que, deste modo, a excepção passe a ser a regra. Esta solução não só não seria compatível com a Directiva 95/46/CE como também não corresponderia à Convenção n.o 108.

20. Intercâmbio de dados com outras autoridades e particulares. A proposta da Comissão contém limitações e salvaguardas específicas para o intercâmbio de informações com outras autoridades que não sejam autoridades policiais e judiciais, com particulares e autoridades de países terceiros. A AEPD salienta a importância destas disposições específicas pelas seguintes razões: Em primeiro lugar, o intercâmbio de informações com «terceiros »encerra riscos específicos (violação da segurança, tratamento posterior para fins diferentes, etc.). Em segundo lugar, a participação de terceiros na aplicação da lei e no tratamento de informações neste domínio é cada vez mais frequente. São disso exemplos, a Directiva 2006/24/CE relativa à conservação de dados (9), o acordo sobre a Transferência de Dados contidos nos Registos de Identificação dos Passageiros pelas Transportadoras Aéreas celebrado com os Estados Unidos da América e o chamado processo Swift (10). Em terceiro lugar, o acórdão PNR do Tribunal de Justiça Europeu, de 30 de Maio de 2006 (11) levanta sérias dúvidas quanto à protecção de dados pessoais recolhidos por particulares para fins comerciais e posteriormente tratados para efeitos de aplicação da lei.

21. Quanto à transferência de e para outras partes, públicas ou privadas, na UE, é importante que a proposta aborde a questão de uma forma precisa e ofereça soluções coerentes com a Directiva 95/46/CE. Estas soluções devem assegurar que as consequências da estrutura de pilares, nomeadamente, a incerteza acerca da delimitação dos dois pilares no que respeita ao intercâmbio de dados pessoais entre autoridades responsáveis pela aplicação da lei e outras partes, não prejudiquem a eficácia da protecção.

22. No tocante à transferência de dados de e para países terceiros, a proposta da Comissão prevê uma decisão de adequação da Comissão. Caso o Conselho não possa aceitar esta solução, cada Estado-Membro teria de decidir ele próprio sobre a adequação ou, pior ainda, transferir os dados sem verificar o nível de protecção no país terceiro. A ausência de um sistema harmonizado de intercâmbio de dados pessoais com países terceiros é igualmente susceptível de: — minar a confiança entre as autoridades dos Estados-Membros, visto que as autoridades de um Estado-Membro podem mostrar-se relutantes em partilhar informações com as autoridades de outro Estado-Membro se existir a possibilidade de essa informação ser partilhada com autoridades de países terceiros sem que haja salvaguardas claramente definidas. — dar origem a situações paradoxais. Se a autoridade de um Estado-Membro não consegue obter informações directamente de outro Estado-Membro devido à protecção prevista na Decisão-Quadro, poderá, por exemplo, solicitar o apoio de uma autoridade de um país terceiro. — permitir a mercagem do foro por parte das autoridades de um país terceiro: estas autoridades poderiam solicitar informações no Estado-Membro onde se aplicam normas jurídicas menos rigorosos às transferências. A AEPD considera que é essencial criar mecanismos que assegurem normas comuns e decisões coordenadas relativas à adequação, também no intuito de cumprir o disposto na Convenção n.o 108 do Conselho da Europa (nomeadamente o artigo 12.o) (12). O texto da decisão-quadro deve prever tais mecanismos.

23. A AEPD compreende que vários Estados-Membros questionem a base jurídica para a inclusão de uma disposição sobre o intercâmbio de dados pessoais com países terceiros em casos em que estes dados não são recebidos ou disponibilizados pela autoridade competente de outro Estado-Membro. Todavia, no seu entender não há razões para tal. Os exemplos aduzidos no parecer de Dezembro de 2005, bem como os argumentos referidos no ponto anterior mostram a ligação directa deste intercâmbio com países terceiros com a cooperação policial e judicial ao abrigo do artigo 29.o do TUE. Uma disposição que regula o intercâmbio de dados pessoais com países terceiros deve ser encarada como um complemento necessário para atingir os objectivos do artigo 29.o em conjugação com o artigo 6.o do TUE, ou seja, uma cooperação mais estreita entre as forças policiais sob reserva do respeito dos direitos fundamentais.

24. Direitos da pessoa concernida A pessoa concernida tem o direito de ser informado sobre o tratamento de dados pessoais que lhe dizem respeito. Este direito está relacionado com o princípio do tratamento leal e lícito de dados pessoais pelo qual se pauta a decisão-quadro e que, além disso, está consignado na Convenção n.o 108 do Conselho da Europa, nomeadamente na alínea a) do artigo 5.o e no artigo 8.o. Um aspecto essencial deste direito reside no facto de esta informação dever ser dada automaticamente pelo responsável pelo controlo. Uma vez que a pessoa em causa normalmente não sabe nem pode saber que estão a ser tratadas informações que lhe dizem respeito, seria contrário à natureza deste direito exigir que apresente um pedido. É evidente que este direito à informação está sujeito a excepções e também é lógico que estas excepções podem desempenhar um papel importante no domínio da aplicação da lei já que as informações sobre investigações criminais podem prejudicar a própria investigação. Todavia, qualquer solução que faça depender o direito à informação de um pedido da pessoa em causa não seria aceitável nem compatível com a Convenção n.o 108 do Conselho da Europa.

25. A AEPD sublinha que a posição das autoridades responsáveis pela protecção de dados deve corresponder à posição que lhes é atribuída ao abrigo da Directiva 95/46/CE. Esta posição é particularmente importante no domínio da cooperação policial e judicial. A cooperação entre as autoridades responsáveis pela aplicação da lei com vista a lutar eficazmente contra o terrorismo e outros crimes graves exige frequentemente o tratamento de dados pessoais sensíveis e implica derrogações aos direitos das pessoas concernidas (cf. ponto anterior sobre o direito à informação).

26. A AEPD assinala, em primeiro lugar, que são necessárias uma vigilância e fiscalização eficazes por parte das autoridades do tratamento dos dados pessoais no âmbito da presente decisão-quadro, em especial quando são trocados dados entre os Estados-Membros no domínio da cooperação policial. Em segundo lugar, o papel consultivo das autoridades deve ser garantido, tanto a nível da jurisdição nacional como no âmbito da rede institucionalizada das autoridades responsáveis pela protecção de dados, o Grupo de autoridades (chamado o Grupo do artigo 29.o na directiva). É necessária a colaboração das autoridades responsáveis pela protecção de dados para aumentar a coerência da protecção ao abrigo deste instrumento com a protecção garantida pela Directiva 95/46/CE a fim de assegurar o cumprimento das obrigações legais e alcançar a plena harmonização entre os Estados-Membros, também a nível prático.

27. O artigo 24.o da proposta da Comissão contém regras pormenorizadas sobre a segurança, comparáveis às regras da Convenção Europol. A AEPD desaconselha vivamente a supressão destas regras da proposta. Um nível harmonizado de segurança constitui um instrumento importante para aumentar a confiança tanto das pessoas concernidas como entre as autoridades dos Estados-Membros.

28. No seu parecer de Dezembro de 2005, a AEPD recomendou a criação de salvaguardas específicas relativas ao tratamento de certas categorias específicas de dados, dados biométricos e perfis de ADN. No domínio da aplicação da lei, a utilização destas categorias de dados é cada vez mais importante; contudo, esta utilização encerra potenciais riscos específicos para a pessoa em causa. São necessárias regras comuns. A AEPD lamenta que esta recomendação não tenha sido tomada em conta pelo Conselho, pelo menos à primeira vista. AEPD insta a Comissão e o Conselho a aprovar uma proposta nesta matéria, quer relacionada com o princípio da disponibilidade quer não.

Conclusão

29. A AEPD recomenda que o Conselho preveja mais tempo para as negociações a fim de se conseguir um resultado que proporcione uma protecção suficiente. Embora a AEPD reconheça a importância da aprovação da decisão-quadro pelo Comissão a curto prazo, chama a atenção para o facto de que a celeridade do processo de tomada de decisão não deve redundar na redução das normas de protecção.

30. Importa assegurar a coerência da protecção, independentemente do local, da pessoa responsável ou da finalidade para a qual os dados são tratados. A AEPD insta o Conselho a respeitar um nível de protecção que não seja inferior ao nível proporcionado pela Directiva 95/46/CE ou ao abrigo da Convenção n.o 108 do Conselho da Europa, formulada em termos mais gerais e que obriga os Estados-Membros.

31. As regras comuns em matéria de protecção de dados devem ser aplicáveis a todos os dados no domínio da cooperação policial e judiciária e não cingir-se às trocas transfronteiras entre Estados-Membros. O presente parecer contém argumentos que mostram que um âmbito mais limitado não é viável e, a ser introduzido, aumentaria a complexidade e os custos para as autoridades responsáveis pela aplicação da lei, em detrimento da segurança jurídica das pessoas.

32. Outros motivos de preocupação da AEPD: — As disposições específicas relativas à qualidade dos dados constantes da proposta da Comissão não devem ser suprimidas da proposta nem tornadas facultativas. — As disposições relativas à utilização posterior dos dados e a categorias especiais de dados devem estar conformes com a Directiva 95/46/CE e corresponder à Convenção n.o 108 do Conselho da Europa. — As disposições específicas relativas ao intercâmbio de dados com outras pessoas para além das autoridades responsáveis pela aplicação da lei na UE não deverão ser suprimidas da proposta nem o seu âmbito limitado. No tocante ao intercâmbio de dados com países terceiros, devem no mínimo ser criados mecanismos que assegurem normas comuns e decisões coordenadas relativas à adequação, também no intuito de cumprir o disposto na Convenção n.o 108 do Conselho da Europa. O texto da decisão-quadro deve prever tais mecanismos. — Qualquer solução que faça depender o direito à informação de um pedido da pessoa concernida não seria aceitável nem compatível com a Convenção n.o 108 do Conselho da Europa. — A posição das autoridades responsáveis pela protecção de dados deve corresponder à posição que lhes é atribuída ao abrigo da Directiva 95/46/CE. — As regras pormenorizadas sobre a segurança, comparáveis às regras da Convenção Europol, não devem ser suprimidas da proposta. — A Comissão e o Conselho devem aprovar uma proposta relativa ao tratamento de categorias específicas de dados, como dados biométricos e perfis de ADN, quer relacionada com o princípio da disponibilidade quer não.

Feito em Bruxelas, em 29 de Novembro de 2006. Peter HUSTINX Autoridade Europeia para a Protecção de Dados

(1) JO L 281 de 23.11.1995, p. 31.

(2) JO L 8 de 12.1.2001, p. 1.

(3) JO C 47 de 25.2.2006, p. 27.

(4) Convenção do Conselho da Europa para a Protecção das Pessoas relativamente ao Tratamento Automatizado de Dados de Carácter Pessoal, 28 de Janeiro de 1981.

(5) Oficialmente, não existem documentos acessíveis ao público e a AEPD não está directamente associada aos trabalhos do grupo do Conselho. No sítio Internet da Statewatch, podem ser consultados documentos que fazem o ponto da situação dos trabalhos no Conselho (www.statewatch.org).

(6) Acordo entre a União Europeia e os Estados Unidos da América sobre a Transferência de Dados contidos nos Registos de Identificação dos Passageiros (PNR) pelas Transportadoras Aéreas para o Departamento da Segurança Interna dos Estados Unidos e sobre o Tratamento dos Dados em causa pelo mesmo Departamento (JO L 298 de 27.10.2006, p. 29).

(7) Ver: artigo 13.o em conjugação com a alínea b) do n.o 1 do artigo 6.o da Directiva 95/46/CE e artigo 9.o em conjugação com a alínea b) do artigo 5.o da Convenção n.o 108.

(8) Ver: Artigo 8.o da Directiva 95/46/CE e o artigo 6.o da Convenção n.o 108.

(9) Directiva 2006/24/CE do Parlamento Europeu e do Conselho, de 15 de Março de 2006, relativa à conservação dos dados tratados em ligação com a oferta de serviços de comunicações electrónicas públicos e que altera a Directiva 2002/58/CE, JO L 105, p. 54.

(10) Ver parecer 10/2006, de 22 de Novembro de 2006 do Grupo do Artigo 29.o (Protecção das Pessoas no que diz respeito ao Tratamento de Dados Pessoais) sobre o tratamento de dados pessoais pela Sociedade Mundial de Telecomunicações Financeiras Interbancárias (SWIFT).

(11) Acórdão nos processos C–317/04 e C–318/04.

(12) Ver também mais concretamente: artigo 2.o do Protocolo adicional (ratificado por vários Estados–Membros) que está alinhado com os artigos 25.o e 26.o da Directiva 95/46/CE.