PT Jornal Oficial da União Europeia C 37/1

Parecer da Autoridade Europeia para a Proteção de Dados sobre o Regulamento de Execução (UE) n.o 404/2011 da Comissão que estabelece as regras de execução do Regulamento (CE) n.o 1224/2009 do Conselho que institui um regime comunitário de controlo a fim de assegurar o cumprimento das regras da política comum das pescas

2012/C 37/01

A AUTORIDADE EUROPEIA PARA A PROTEÇÃO DE DADOS,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 16.o,

Tendo em conta a Carta dos Direitos Fundamentais da União Europeia, nomeadamente os artigos 7.o e 8.o,

Tendo em conta a Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1),

Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de dezembro de 2000, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (2), nomeadamente o artigo 41.o, n.o 2,

EMITIU O SEGUINTE PARECER:

1. INTRODUÇÃO

1.1. Antecedentes

1. Em 8 de abril de 2011, a Comissão adotou o Regulamento de Execução (UE) n.o 404/2011 da Comissão, de 8 de abril de 2011, que estabelece as regras de execução do Regulamento (CE) n.o 1224/2009 do Conselho que institui um regime comunitário de controlo a fim de assegurar o cumprimento das regras da política comum das pescas (o «Regulamento de Execução») (3).

2. A AEPD não foi consultada nos termos do artigo 28.o, n.o 2, do Regulamento (CE) n.o 45/2001, apesar de a iniciativa legislativa estar incluída no inventário de prioridades da AEPD para consulta legislativa (4). Em consequência, o presente parecer é emitido ao abrigo do artigo 41.o, n.o 2, do mesmo regulamento.

1.2. Objetivos do Regulamento de Execução

3. O Regulamento (CE) n.o 1224/2009 do Conselho, de 20 de novembro de 2009, que institui um regime comunitário de controlo a fim de assegurar o cumprimento das regras da política comum das pescas (o «Regulamento Controlo») (5) tem por objetivo instaurar um sistema europeu de controlo, inspeção e execução que garanta o cumprimento de todas as regras da política comum das pescas.

4. O Regulamento Controlo obrigou a Comissão a adotar regras e medidas especiais para a execução de algumas das suas disposições. O Regulamento de Execução estabelece essas regras de execução para os seguintes domínios: condições gerais de acesso às águas e aos recursos (Título II), controlo das pescas (Título III), controlo da comercialização (Título IV), vigilância (Título V), inspeção (Título VI), execução (Título VII), medidas para garantir o cumprimento dos objetivos da política comum das pescas por parte dos Estados-Membros (Título VIII), dados e informações (Título IX) e aplicação (Título X).

1.3. Objetivo do presente parecer

5. Em março de 2009, a AEPD emitiu um parecer sobre o Regulamento Controlo (6). O parecer sublinhava que a proposta previa o tratamento de várias categorias de dados que, em certos casos, se poderiam considerar de caráter pessoal. Em princípio, os dados pessoais seriam tratados sempre que o capitão, o armador ou qualquer pescador ou membro da tripulação do navio de pesca fosse identificado ou identificável. Nesta base, a AEPD formulou recomendações em relação a algumas disposições da proposta.

6. A AEPD salientou ainda que diversos artigos do regulamento proposto faziam referência a um procedimento de comitologia para a adoção de normas de execução e que algumas dessas normas poderiam ter impacto na proteção de dados (7). Em razão do impacto que essas normas de execução poderiam ter na proteção de dados, a AEPD recomendou à Comissão que a consultasse antes de as mesmas serem aprovadas. O Regulamento de Execução foi adotado em 8 de abril de 2011, mas a AEPD não foi consultada antes da sua adoção.

7. A AEPD lamenta que o Regulamento de Execução não lhe tenha sido previamente submetido para consulta, conforme recomendado no parecer de 2009. Não obstante, gostaria de chamar a atenção da Comissão para alguns aspetos do Regulamento de Execução passíveis de suscitar preocupação do ponto de vista da proteção de dados. Por este motivo, a AEPD decidiu emitir o presente parecer sucinto. As observações da AEPD irão concentrar-se, essencialmente, nos seguintes aspetos: a) monitorização das atividades dos navios de pesca e proteção de dados, b) sistemas de localização dos navios à distância, c) conservação de dados pessoais pela Comissão e as autoridades competentes e d) aplicabilidade do Regulamento (CE) n.o 45/2001.

2. ANÁLISE DO REGULAMENTO DE EXECUÇÃO

2.1. Monitorização das atividades dos navios de pesca e proteção de dados

8. O considerando 31 estipula que o tratamento de dados pessoais no âmbito do Regulamento de Execução é regido pela Diretiva 95/46/CE e pelo Regulamento (CE) n.o 45/2001, «nomeadamente no que diz respeito aos requisitos de confidencialidade e segurança do tratamento, à transferência de dados pessoais de sistemas nacionais dos Estados-Membros para a Comissão, à licitude do tratamento e aos direitos das pessoas em causa à informação, ao acesso e à retificação dos seus dados pessoais». A AEPD saúda esta referência à legislação aplicável em matéria de proteção de dados.

9. As atividades dos navios de pesca são objeto de uma monitorização sistemática e rigorosa através de meios tecnológicos avançados, incluindo dispositivos de localização por satélite e bases de dados informatizadas (8). A posição geográfica, o rumo e a velocidade dos navios de pesca são regularmente acompanhados pelo sistema de monitorização dos navios (VMS) (9) e, se for caso disso, pelo sistema de identificação automática (AIS) (10) ou pelo sistema de deteção de navios (VDS) (11). Todos estes dados são sistematicamente cruzados, analisados e verificados através de algoritmos informáticos e mecanismos automatizados, no intuito de detetar incoerências e presumíveis infrações. Como o demonstra o artigo 145.o, n.o 3, do Regulamento de Execução, este tratamento permite, se for caso disso, atividades de prospeção de dados e de criação de perfis (12).

10. Enquanto estes dados puderem ser associados a indivíduos identificados ou identificáveis (por exemplo, o capitão do navio, o armador do navio ou os membros da tripulação), a monitorização implica o tratamento de dados pessoais. É, pois, importante que o sistema de controlo seja equilibrado e que sejam tomadas as medidas de proteção adequadas para evitar restringir indevidamente os direitos das pessoas envolvidas. Isto implica, por exemplo, uma clara delimitação das finalidades para que os dados pertinentes podem ser tratados, a minimização dos dados (pessoais) tratados e a fixação de períodos máximos para a conservação desses dados. Tal é especialmente importante no caso em apreço, dado que as operações de tratamento incidem, potencialmente, em dados relativos a infrações ou presumíveis infrações, suscetíveis de serem associadas aos dados pessoais do armador e/ou capitão do navio.

11. Atento o âmbito e a escala das atividades de monitorização, afigura-se que o Regulamento de Execução nem sempre consegue garantir o justo equilíbrio entre o objetivo de assegurar o cumprimento das regras e a proteção da privacidade e dos dados pessoais dos indivíduos em causa. Dado que o Regulamento de Execução já foi adotado, a AEPD considera importante que a Comissão clarifique ex post, sempre que possível, o âmbito e os limites das atividades de tratamento e, se for caso disso, preveja salvaguardas específicas. Para o efeito, pode, por exemplo, adotar orientações ou regras internas específicas, destinadas a clarificar determinados aspetos das atividades de tratamento no que respeita à proteção de dados pessoais, ou consultar previamente a AEPD, ao abrigo do artigo 27.o do Regulamento (CE) n.o 45/2001.

12. Os principais aspetos que, na opinião da AEPD, devem ser mais especificados são abordados em seguida.

2.2. Utilização de dados obtidos com recurso a VMS, AIS e VDS e princípio da limitação da finalidade

13. Um dos princípios essenciais do direito fundamental à proteção de dados é o de os dados apenas serem tratados para fins determinados, explícitos e legítimos (13). O princípio da limitação da finalidade atribui uma responsabilidade especial para os responsáveis pelo tratamento dos dados, mas estabelece igualmente um requisito para os legisladores, ao exigir que as disposições legislativas não sejam formuladas em termos suficientemente genéricos para justificar a utilização de dados pessoais para fins não devidamente definidos. São possíveis derrogações ao princípio da limitação da finalidade, desde que tais derrogações sejam necessárias e proporcionadas e sejam cumpridos os demais requisitos enunciados no artigo 52.o da Carta dos Direitos Fundamentais da União Europeia.

14. Conforme já se referiu, o Regulamento Controlo e o Regulamento de Execução prevêem a monitorização sistemática e rigorosa das atividades de pesca por intermédio de VMS, AIS e VDS. Nos termos do artigo 12.o do Regulamento Controlo, os dados do sistema de monitorização dos navios (VMS), do sistema de identificação automática (AIS) e do sistema de deteção dos navios (VDS) podem ser transmitidos a agências da União e às autoridades competentes dos Estados-Membros que participem em operações de vigilância para efeitos de «segurança e proteção marítimas, controlo das fronteiras, proteção do ambiente marinho e aplicação geral da legislação». O artigo 27.o do Regulamento de Execução especifica ainda que os Estados-Membros utilizam os dados do VMS «para uma monitorização efetiva das atividades dos navios de pesca» e que os Estados-Membros devem «adotar todas as medidas necessárias para garantir que apenas sejam usados para fins oficiais».

15. Atento o princípio da limitação da finalidade, a AEPD considera que a formulação do artigo 12.o do Regulamento Controlo e do artigo 27.o do Regulamento de Execução é demasiado genérica. Se não forem objeto de uma interpretação estrita, as expressões «aplicação geral da legislação», «monitorização efetiva das atividades dos navios de pesca» e «fins oficiais» são suscetíveis de abranger uma vastíssima gama de atividades de tratamento, nem mesmo remotamente relacionadas com os objetivos do Regulamento Controlo. Esta abordagem aberta suscita preocupação no que respeita ao princípio da limitação da finalidade.

16. À luz do que precede, a AEPD aconselha a Comissão a emitir orientações concretas para a interpretação do artigo 27.o do Regulamento de Execução. A Comissão deve, nomeadamente, clarificar o significado e limitar o âmbito do tratamento de dados do VMS, AIS e VDS para a «aplicação geral da legislação» ou para outros fins não relacionados com a política comum das pescas.

2.3. Períodos de conservação

17. Outro princípio fundamental de proteção de dados é o de que os dados pessoais devem ser conservados de forma a permitir a identificação das pessoas em causa apenas durante o período necessário para a prossecução das finalidades para que foram recolhidos (14). Este princípio está também diretamente relacionado com a limitação da finalidade. Quando os dados pessoais deixam de ser necessários para a finalidade inicial, a conservação desses dados deixa de ser admissível, porquanto constitui um tratamento incompatível com a finalidade original.

18. O Regulamento de Execução estabelece um período de conservação mínimo de três anos para uma série de dados. Para os dados do VMS, por exemplo, o artigo 27.o, n.o 2, alínea a), prevê que os Estados-Membros garantam que os dados em causa sejam registados em suporte informático e armazenados de forma segura em bases de dados informáticas «durante pelo menos três anos». Por seu turno, o artigo 92.o, n.o 3, prevê que os dados dos relatórios de vigilância fiquem disponíveis na base de dados «durante pelo menos três anos». O artigo 118.o estabelece ainda que os dados dos relatórios de inspeção devem ficar disponíveis na base de dados «durante pelo menos três anos».

19. Em termos gerais, a AEPD considera que o período de armazenamento deveria ter sido definido com maior precisão, mediante o estabelecimento de um período de conservação máximo (em vez de apenas um período mínimo). De qualquer modo, considera que as disposições supramencionadas devem ser objeto de uma interpretação coerente com o artigo 6.o, n.o 1, alínea e), da Diretiva 95/46/CE e com o artigo 4.o, n.o 1, alínea e), do Regulamento (CE) n.o 45/2001, o que implica que o período de conservação de três anos deve ser interpretado, em princípio, como o período de conservação máximo, a menos que a necessidade de conservar os dados por um período mais longo possa ser adequadamente demonstrada, com base em provas convincentes.

2.4. Cooperação administrativa e transferências de dados para países terceiros

20. O artigo 164.o do Regulamento de Execução rege o intercâmbio de informações com países terceiros. Nomeadamente, o artigo 164.o, n.o 2, aborda a transmissão de informações de um Estado-Membro a um país terceiro ou a uma organização regional de gestão das pescas, ao abrigo de um acordo bilateral com esse país ou em conformidade com as regras da organização regional de gestão das pescas em causa. O artigo 164.o, n.o 3, incide na transmissão de informações relativas a situações de incumprimento das regras da política comum das pescas pela Comissão ou pelo organismo por esta designado, no âmbito de acordos de pesca concluídos entre a União e países terceiros ou no quadro de organizações regionais de gestão das pescas ou de acordos semelhantes.

21. Enquanto o artigo 164.o, n.o 2, especifica que a transmissão de informações pelos Estados-Membros a países terceiros tem lugar «em conformidade com a legislação da UE e nacional relativa à proteção das pessoas singulares no que diz respeito ao tratamento dos dados pessoais», o n.o 3 não contém qualquer referência desta natureza em relação à transmissão de informações pela Comissão. Nos termos do n.o 3, as informações são transmitidas sob reserva, unicamente, do consentimento do Estado-Membro que forneceu as informações.

22. A este propósito, a AEPD salienta que a Comissão ou outra instituição ou organismo europeu apenas podem comunicar dados pessoais a países terceiros ao abrigo do artigo 164.o se estiverem satisfeitos os requisitos do Regulamento (CE) n.o 45/2001, nomeadamente do seu artigo 9.o

2.5. A Comissão deve considerar a necessidade de controlo prévio

23. O Regulamento Controlo e o Regulamento de Execução podem implicar o tratamento de dados pessoais pela Comissão ou por outros organismos da União, o que desencadeia a aplicação do Regulamento (CE) n.o 45/2001 a essas operações de tratamento. Se essas operações de tratamento de dados forem suscetíveis de apresentar riscos específicos para os direitos e liberdades das pessoas em causa, são sujeitas a controlo prévio pela AEPD, ao abrigo do artigo 27.o do Regulamento (CE) n.o 45/2001.

24. Nomeadamente, afigura-se que as operações de tratamento realizadas ao abrigo do Regulamento Controlo e do Regulamento de Execução podem implicar o tratamento de dados relacionados com infrações ou presumíveis infrações cometidas por um navio. Ora, estes dados são suscetíveis de estar ligados aos dados pessoais do armador ou do capitão do navio (ou de um membro da tripulação), no contexto das infrações às regras aplicáveis.

25. Em consequência, a AEPD convida a Comissão (e os demais organismos pertinentes da União) a considerar a necessidade de controlo prévio das operações de tratamento de dados realizadas ao abrigo do Regulamento Controlo e do Regulamento de Execução e a apresentar as notificações necessárias subsequentes a essa avaliação (15).

CONCLUSÕES

26. A AEPD lamenta que o texto do Regulamento de Execução não lhe tenha sido submetido para consulta legislativa ao abrigo do artigo 28.o, n.o 2, do Regulamento (CE) n.o 45/2001, conforme recomendado no parecer de 2009. Embora se congratule com a referência à legislação aplicável em matéria de proteção de dados no considerando 31 do Regulamento de Execução, a AEPD considera que determinadas disposições deste regulamento são passíveis de suscitar preocupações em matéria de proteção de dados.

27. Dado que o Regulamento de Execução já foi adotado, a AEPD aconselha a Comissão a clarificar ex post, sempre que possível, o âmbito e os limites das atividades de tratamento e, se for caso disso, preveja salvaguardas específicas. Para o efeito, podem ser adotadas orientações ou regras internas gerais ou específicas ou efetuadas consultas prévias da AEPD ao abrigo do artigo 27.o do Regulamento (CE) n.o 45/2001.

28. Em especial, a AEPD aconselha a Comissão e os outros organismos da União pertinentes a: — Emitir orientações concretas para a interpretação do artigo 27.o do Regulamento de Execução. A Comissão deve, nomeadamente, clarificar o significado e limitar o âmbito do tratamento de dados do VMS, AIS e VDS para a «aplicação geral da legislação» ou para outros fins não relacionados com a política comum das pescas; — Sempre que o Regulamento de Execução fixa um período mínimo de conservação para categorias específicas de dados (ver os exemplos apresentados no ponto 19), os dados pessoais apenas devem ser conservados por períodos mais longos se a necessidade de o fazer puder ser adequadamente demonstrada; — Assegurar que a transferência de dados pessoais da Comissão ou de outra instituição ou organismo da União ao abrigo do artigo 164.o satisfaz os requisitos do Regulamento (CE) n.o 45/2001, nomeadamente do seu artigo 9.o; — Considerar a necessidade de controlo prévio das operações de tratamento de dados realizadas ao abrigo do Regulamento Controlo e do Regulamento de Execução por parte da AEPD e a apresentar as notificações necessárias subsequentes a essa avaliação.

Feito em Bruxelas, em 28 de outubro de 2011. Giovanni BUTTARELLI Autoridade Adjunta Europeia para a Proteção de Dados

(1) JO L 281 de 23.11.1995, p. 31.

(2) JO L 8 de 12.1.2001, p. 1.

(3) JO L 112 de 30.4.2011, p. 1.

(4) Disponível no sítio Internet da AEPD (http://www.edps.europa.eu), na secção Consultation/Priorities (Consulta/Prioridades).

(5) JO L 343 de 22.12.2009, p. 1.

(6) Parecer da Autoridade Europeia para a Proteção de Dados sobre a proposta de Regulamento do Conselho que institui um regime comunitário de controlo do cumprimento das regras da política comum das pescas (JO C 151 de 3.7.2009, p. 11).

(7) Ver Parecer da Autoridade Europeia para a Proteção de Dados sobre a proposta de Regulamento do Conselho que institui um regime comunitário de controlo do cumprimento das regras da política comum das pescas supramencionado, pontos 29-30.

(8) Ver, a este propósito, o memorando da Comissão de 12.4.2011, MEMO/11/234.

(9) O sistema de monitorização dos navios (VMS) consiste num dispositivo de localização por satélite instalado a bordo dos navios de pesca que recolhe dados relativos à identificação, posição geográfica, data, hora, rumo e velocidade do navio de pesca e os transmite ao centro de monitorização da pesca do Estado de pavilhão (ver artigo 4.o, n.o 12, do Regulamento Controlo).

(10) O sistema de identificação automática (AIS) consiste num sistema de identificação e monitorização de navios autónomo e contínuo, que permite aos navios transmitir dados relativos ao navio, incluindo a identificação, posição, rumo e velocidade, por via eletrónica, com outros navios que se encontrem próximos e com as autoridades em terra (ver artigo 4.o, n.o 11, do Regulamento Controlo).

(11) O sistema de deteção de navios (VDS) consiste numa tecnologia de teledeteção por satélite capaz de identificar os navios e de detetar as suas posições no mar (ver artigo 4.o, n.o 13, do Regulamento Controlo).

(12) Nos termos do artigo 145.o, n.o 3, «todos os resultados do sistema de validação informática, tanto positivos como negativos, são armazenados numa base de dados. Deve ser possível identificar de forma imediata qualquer problema de incoerência e de incumprimento detetado pelos procedimentos de validação, assim como o seguimento dessas incoerências. Deve também ser possível extrair a identificação dos navios de pesca, capitães ou operadores relativamente aos quais foram detetados problemas de incoerência e eventual incumprimento no decurso dos últimos três anos».

(13) Ver artigo 8.o da Carta dos Direitos Fundamentais da União Europeia, artigo 6.o, n.o 1, alínea b), da Diretiva 95/46/CE e artigo 4.o, n.o 1, alínea b), do Regulamento (CE) n.o 45/2001.

(14) Artigo 6.o, n.o 1, alínea e), da Diretiva 95/46/CE e artigo 4.o, n.o 1, alínea e), do Regulamento (CE) n.o 45/2001.

(15) Conforme já recomendado no parecer de 2009, ver ponto 22.