PT Jornal Oficial da União Europeia C 216/9

Parecer da Autoridade Europeia para a Protecção de Dados sobre a proposta de Regulamento do Parlamento Europeu e do Conselho relativo aos derivados OTC, às contrapartes centrais e aos repositórios de transacções

2011/C 216/04

A AUTORIDADE EUROPEIA PARA A PROTECÇÃO DE DADOS,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 16.o,

Tendo em conta a Carta dos Direitos Fundamentais da União Europeia, nomeadamente os artigos 7.o e 8.o,

Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1),

Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (2), nomeadamente o artigo 41.o,

ADOPTOU O SEGUINTE PARECER:

1. INTRODUÇÃO

1. Em 15 de Setembro de 2010, a Comissão adoptou uma proposta de regulamento do Parlamento Europeu e do Conselho relativo aos derivados OTC, às contrapartes centrais e aos repositórios de transacções (a seguir designada por «a Proposta») (3). O principal objectivo da Proposta é o estabelecimento de regras comuns para aumentar a segurança e a eficiência do mercado de balcão para os instrumentos derivados.

2. A AEPD não foi consultada pela Comissão, apesar de tal consulta ser exigida no artigo 28.o, n.o 2, do Regulamento (CE) n.o 45/2001 [«Regulamento (CE) n.o 45/2001»]. Por iniciativa própria, a AEPD adoptou o presente parecer com base no artigo 41.o, n.o 2, do mesmo regulamento.

3. A AEPD está ciente de que o parecer surge numa fase tardia do processo legislativo. Ainda assim, considera que é adequado e útil formulá-lo. Em primeiro lugar, destaca as potenciais implicações da Proposta a nível da protecção de dados. Em segundo lugar, a análise apresentada no presente parecer tem relevância directa para a aplicação da legislação em vigor e para outras propostas pendentes e futuras que contenham disposições semelhantes, como será explicado na Secção 3.4 do parecer.

2. ANTECEDENTES E PRINCIPAIS ELEMENTOS DA PROPOSTA

4. Na sequência da crise financeira, a Comissão iniciou e propôs uma revisão do actual quadro jurídico de supervisão financeira, a fim de solucionar as importantes falhas identificadas neste domínio, tanto em casos específicos como em relação ao sistema financeiro no seu conjunto. Recentemente, foram adoptadas várias propostas legislativas neste domínio, tendo em vista reforçar as disposições de supervisão existentes e melhorar a coordenação e a cooperação a nível da UE.

5. A reforma introduziu, designadamente, um enquadramento melhorado da supervisão financeira europeia, composto por um Comité Europeu do Risco Sistémico (4) e um Sistema Europeu de Supervisores Financeiros (SESF). O SESF é constituído por uma rede de autoridades nacionais de supervisão financeira que trabalham em conjunto com três novas autoridades europeias de supervisão, ou seja, a Autoridade Bancária Europeia (ABE) (5), a Autoridade Europeia dos Seguros e Pensões Complementares de Reforma (AESPCR) (6) e a Autoridade Europeia dos Valores Mobiliários e dos Mercados (AEVMM) (7). Além disso, a Comissão adoptou uma série de iniciativas específicas para aplicar a reforma regulamentar relativamente a domínios ou produtos financeiros específicos.

6. Uma dessas iniciativas é a presente proposta relativa aos «derivados do mercado de balcão», ou seja, produtos derivados (8) que não são transaccionados em Bolsas, mas sim negociados a título privado entre duas partes. Ela introduz a obrigação, aplicável a todas contrapartes financeiras e não-financeiras que preencham determinadas condições-limiar, de compensarem todos os derivados OTC normalizados através das contrapartes centrais (CCP). Além disso, a proposta de regulamento obriga essas contrapartes financeiras e não financeiras a comunicarem os dados respeitantes aos contratos de derivados e a qualquer alteração aos mesmos a um repositório de transacções registado. A Proposta também prevê requisitos prudenciais e em matéria de organização harmonizados para as CCP e requisitos operacionais e em matéria de organização para os repositórios de transacções. Embora as autoridades nacionais competentes continuem a ser responsáveis pela autorização e supervisão das CCP, o registo e a fiscalização dos repositórios de transacções compete inteiramente à AEVMM, nos termos da proposta de regulamento.

3. ANÁLISE DAS DISPOSIÇÕES RELATIVAS AO ACESSO AOS REGISTOS TELEFÓNICOS E DE TRANSMISSÃO DE DADOS

3.1. Observações gerais

7. O artigo 61.o, n.o 2, alínea d), da Proposta dota a AEVMM do poder de «exigir a apresentação dos registos telefónicos e de transmissão de dados» (itálico acrescentado). Como a seguir se explica mais detalhadamente, o âmbito de aplicação da disposição e, em especial, o significado exacto da expressão «registos telefónicos e de transmissão de dados» não são claros. Todavia, afigura-se provável, ou pelo menos não se pode excluir, que os registos telefónicos e de transmissão de dados em causa incluam dados pessoais na acepção da Directiva 95/46/CE e do Regulamento (CE) n.o 45/2001 e, na medida adequada, da Directiva 2002/58/CE (agora denominada, tal como alterada pela Directiva 2009/136/CE, «Directiva Privacidade e Comunicações Electrónicas»), ou seja, dados relativos ao tráfego telefónico e de transmissão de dados de pessoas singulares identificadas ou identificáveis (9). Se assim for, há que garantir que as condições de tratamento lícito e equitativo dos dados pessoais, estabelecidas nas directivas e no regulamento, são plenamente respeitadas.

8. Os dados relacionados com a utilização de meios de comunicação electrónica podem transmitir uma grande variedade de informações de carácter pessoal, como a identidade das pessoas que realizam ou recebem a chamada, a hora e a duração da chamada, a rede utilizada, a localização geográfica do utilizador no caso dos dispositivos portáteis, etc. Alguns dados relativos ao tráfego pela Internet e à utilização do correio electrónico (por exemplo, a lista de sítios Web visitados) podem revelar, adicionalmente, pormenores importantes do teor da comunicação. Além disso, o tratamento desses dados entra em conflito com o segredo das correspondências. Tendo isto em conta, a Directiva 2002/58/CE estabeleceu o princípio de que os dados de tráfego devem ser eliminados ou tornados anónimos quando deixem de ser necessários para efeitos da transmissão da comunicação (10). Os Estados-Membros podem incluir na legislação nacional algumas derrogações para fins concretos e legítimos, mas elas devem constituir uma medida necessária, adequada e proporcionada numa sociedade democrática para atingir esses fins (11).

9. A AEPD reconhece que os objectivos prosseguidos pela Comissão no presente caso são legítimos. Compreende a necessidade de iniciativas destinadas a reforçar a supervisão dos mercados financeiros, a fim de preservar a sua solidez e proteger melhor os investidores e a economia em geral. Contudo, os poderes de investigação directamente relacionados com os dados de tráfego, dado o seu carácter potencialmente intrusivo, devem respeitar os requisitos da necessidade e da proporcionalidade, ou seja, serem aptos a realizar o objectivo prosseguido e não irem além do que é necessário para o alcançar (12). Nesta perspectiva é, portanto, fundamental que eles sejam claramente formulados no que respeita ao seu âmbito de aplicação pessoal e material, bem como às circunstâncias e condições em que podem ser utilizados. Além disso, devem prever-se garantias adequadas contra o risco de abuso.

3.2. O âmbito de aplicação do poder da AEVMM não é claro

10. O artigo 61.o, n.o 2, alínea d), dispõe que «para efeitos do cumprimento das obrigações estabelecidas nos artigos 51.o a 60.o, 62.o e 63.o [ou seja, as obrigações relativas à fiscalização dos repositórios de transacções], a AEVMM é dotada […] (do poder) de exigir a apresentação dos registos telefónicos e de transmissão de dados». Devido à sua formulação ampla, esta disposição suscita várias dúvidas a respeito do seu âmbito de aplicação material e pessoal.

11. Em primeiro lugar, o significado da expressão «registos telefónicos e de transmissão de dados» não é inteiramente claro e necessita, por isso, de ser esclarecido. A disposição pode referir-se aos registos telefónicos e de transmissão de dados que os repositórios de transacções são obrigados a conservar no decurso das suas actividades. A proposta de regulamento contém várias disposições respeitantes aos requisitos de conservação de dados dos repositórios de transacções (13). Contudo, nenhuma destas disposições especifica se e que registos telefónicos e de transmissão de dados devem ser conservados pelos repositórios de transacções (14). Assim, se a disposição se referir aos registos na posse destes últimos, é essencial definir com precisão as categorias de registos telefónicos e de transmissão de dados que devem ser conservadas e podem ser exigidas pela AEVMM. Segundo o princípio da proporcionalidade, esses dados devem ser adequados, pertinentes e não excessivos relativamente às finalidades de supervisão para que são tratados (15).

12. É necessário usar de maior precisão, sobretudo no caso em apreço, tendo em conta as pesadas multas e sanções pecuniárias em que os repositórios de transacções e outras pessoas (incluindo pessoas singulares, no caso das sanções pecuniárias) envolvidas podem incorrer por infracção ao disposto na proposta de regulamento (ver artigos 55.o e 56.o). Essas multas podem elevar-se a 20 % do rendimento ou do volume de negócios anual do repositório de transacções no exercício precedente, ou seja, o dobro do limiar máximo previsto para as violações do direito europeu da concorrência.

13. Importa notar também que o supracitado artigo 67.o, n.o 4, delega à Comissão o poder para adoptar normas técnicas regulamentares que especifiquem as informações que os repositórios de transacções são obrigados a facultar à AEVMM e a outras autoridades. Esta disposição poderia ser, assim, utilizada para especificar melhor os requisitos de conservação de dados dos repositórios de transacções e portanto, de forma indirecta, o poder concedido pela AEVMM para aceder aos registos telefónicos e de transmissão de dados. O artigo 290.o do TFUE dispõe que um acto legislativo pode delegar na Comissão o poder de adoptar actos não legislativos de alcance geral que completem ou alterem certos elementos não essenciais do acto legislativo. No entender da AEPD, não se pode considerar que a delimitação exacta do poder para aceder aos dados de tráfego seja um elemento não essencial do regulamento. O seu âmbito de aplicação material deve ser, por isso, directamente especificado no texto do regulamento e não adiado para futuros actos delegados.

14. O âmbito de aplicação pessoal da disposição em causa também é afectado por dúvidas semelhantes. Em especial, os potenciais destinatários de um pedido de fornecimento dos registos telefónicos e de transmissão de dados não são especificados no artigo 61.o, n.o 2, alínea d). Não é, sobretudo, claro que os poderes para exigir a apresentação de registos telefónicos e de transmissão de dados estejam limitados aos repositórios de transacções (16). Como a finalidade da disposição é permitir que a AEVMM supervisione os repositórios de transacções, a AEPD considera que esse poder deve estar estritamente limitado a estes últimos.

15. Por último, a AEPD compreende que o objectivo do artigo 61.o, n.o 2, alínea d), não é permitir que a AEVMM aceda aos dados de tráfego directamente através das empresas de telecomunicações. Esta parece ser a conclusão lógica, sobretudo considerando o facto de a proposta não fazer qualquer referência aos dados na posse das empresas de telecomunicações nem aos requisitos estabelecidos pela Directiva Privacidade e Comunicações Electrónicas, mencionados no ponto 8 supra (17). Contudo, por uma questão de clareza, recomenda que se explicite melhor essa conclusão no artigo 61.o, n.o 2, ou pelo menos num considerando da proposta de regulamento.

3.3. A Proposta não indica as circunstâncias e condições em que o acesso pode ser exigido

16. O artigo 61.o, n.o 2, alínea d), não indica em que circunstâncias e condições o acesso pode ser exigido, nem prevê garantias processuais e salvaguardas importantes contra o risco de abusos. Nos pontos seguintes, a AEPD apresentará algumas sugestões concretas nesse sentido. a) Nos termos do artigo 61.o, n.o 2, a AEVMM pode exigir o acesso aos registos telefónicos e de transmissão de dados «para efeitos do cumprimento das obrigações estabelecidas nos artigos 51.o a 60.o, 62.o e 63.o». Estes artigos abrangem a totalidade do Título relativo ao registo e fiscalização dos repositórios de transacções da proposta de regulamento. No entender da AEPD, as circunstâncias e condições para utilizar esse poder devem ser definidas de forma mais clara. A AEPD recomenda que se limite o acesso aos registos telefónicos e de transmissão de dados às violações especificamente identificadas e graves da proposta de regulamento e aos casos em que exista uma suspeita razoável (sustentada por indícios de prova concretos) de que foi cometida uma infracção. Essa limitação também é particularmente importante para evitar que o poder de acesso seja utilizado para «operações de pesca», prospecção de dados ou finalidades diferentes. b) A Proposta não exige uma autorização judicial prévia para que a AEVMM solicite o acesso aos registos telefónicos e de transmissão de dados. A AEPD considera que essa exigência de carácter geral se justificaria tendo em conta o risco de intrusão do poder em causa. Também se deveria tomar em consideração que as legislações de alguns Estados-Membros sujeitam a autorização judicial prévia qualquer tipo de interferência no segredo das correspondências e, por isso, se opõem a que outros organismos responsáveis pela aplicação da lei (ou seja, forças policiais) e instituições de natureza administrativa façam tal interferência sem essa supervisão rigorosa (18). No mínimo, a AEPD considera inevitável tornar-se a autorização judicial obrigatória sempre que essa autorização seja exigida pela legislação nacional (19). c) A AEPD recomenda que se introduza o requisito de que a AEVMM solicite os registos telefónicos e de transmissão de dados por meio de uma decisão formal que especifique a base jurídica e a finalidade do pedido, bem como as informações exigidas, o prazo em que elas devem ser fornecidas e o direito de recurso da decisão para o Tribunal de Justiça por parte do destinatário. Qualquer pedido apresentado sem uma decisão formal não será vinculativo para o destinatário. d) Devem conceder-se garantias processuais adequadas contra eventuais abusos. Neste aspecto, a Proposta poderá solicitar à Comissão que adopte medidas de execução que definam de forma pormenorizada os procedimentos a seguir pelos repositórios de transacções e pela AEVMM no tratamento desses dados. Estes actos deveriam especificar, em especial, medidas de segurança adequadas e garantias apropriadas contra o risco de abusos, incluindo, entre outras, as normas profissionais que as pessoas competentes para a gestão desses dados devem observar, bem como os procedimentos internos que asseguram uma observância correcta das disposições relativas à confidencialidade e ao sigilo profissional. A AEPD deverá ser consultada durante o processo de adopção dessas medidas.

3.4. Pertinência do presente parecer para outros instrumentos jurídicos que contenham disposições semelhantes

17. O poder das autoridades de supervisão para exigir acesso aos registos telefónicos e de transmissão de dados não é novo na legislação europeia, uma vez que já se encontra previsto em várias directivas e regulamentos aplicáveis ao sector financeiro. Em especial, a Directiva relativa ao abuso de mercado (20), a Directiva MiFID (21), a Directiva OICVM (22) e o actual Regulamento relativo às agências de notação de risco (23) contêm, todos eles, disposições formuladas de modo semelhante. O mesmo se aplica em relação a várias propostas recentemente adoptadas pela Comissão, nomeadamente a proposta de Directiva relativa aos gestores de fundos de investimento alternativos (24), um regulamento que altera o actual Regulamento relativo às agências de notação do risco (25), um Regulamento relativo às vendas a descoberto e a certos aspectos dos swaps de risco de incumprimento (26) e um Regulamento relativo à integridade e à transparência nos mercados da energia (27).

18. No que respeita a estes instrumentos legislativos existentes e propostos, há que estabelecer uma distinção entre os poderes de investigação concedidos às autoridades nacionais e a concessão desses poderes às autoridades da UE. Vários instrumentos obrigam os Estados-Membros a outorgar o poder de exigir registos telefónicos e de transmissão de dados às autoridades nacionais «de harmonia com o direito nacional» (28). Em consequência, a execução desta obrigação na prática está necessariamente sujeita ao direito nacional, incluindo as disposições de aplicação das Directivas 95/46/CE e 2002/58/CE e outras leis nacionais que contêm garantias processuais suplementares para as autoridades nacionais de supervisão e de investigação.

19. Não existem quaisquer condições desse tipo nos instrumentos que outorgam o poder de exigir registos telefónicos e de transmissão de dados directamente às autoridades da UE, como acontece na presente proposta sobre os derivados OTC e na supracitada proposta de regulamento que altera o Regulamento (CE) n.o 1060/2009 relativo às agências de notação do risco («Proposta ANR»). Por conseguinte, nestes casos existe uma necessidade ainda mais forte de clarificar no próprio instrumento legislativo, o âmbito de aplicação pessoal e material deste poder e as circunstâncias e condições em que pode ser utilizado, e garantir a existência de garantias adequadas contra o abuso.

20. Neste aspecto, as observações formuladas no presente parecer, embora se destinem à proposta sobre os derivados OTC, possuem uma pertinência mais geral. A AEPD está ciente de que, no que respeita à legislação já adoptada ou prestes a sê-lo, estas observações podem chegar tarde de mais. No entanto, convida as instituições a reflectirem sobre a necessidade de alterar as propostas pendentes de modo a ter em conta as preocupações expressas no presente parecer. Quanto aos textos já adoptados, a AEPD convida as instituições a estudarem as possibilidades de esclarecer essas questões, por exemplo quando o âmbito de aplicação da disposição em causa puder ser especificado, de forma directa ou indirecta, em actos delegados ou em actos de execução, por exemplo actos que pormenorizem os requisitos de conservação de dados, documentos interpretativos ou outros documentos comparáveis (29). A AEPD espera que a Comissão a consulte em tempo útil no contexto destes processos conexos.

4. PREOCUPAÇÕES EM MATÉRIA DE PROTECÇÃO DE DADOS RELATIVAS A OUTRAS PARTES DA PROPOSTA

21. A AEPD considera conveniente formular algumas observações adicionais sobre outros aspectos da Proposta que estão relacionados com os direitos das pessoas singulares em matéria de privacidade e protecção de dados.

4.1. Aplicabilidade da Directiva 95/46/CE e do Regulamento (CE) n.o 45/2001

22. O considerando 48 afirma, correctamente, que é fundamental que os Estados-Membros e a AEVMM protejam o direito à privacidade das pessoas singulares no que respeita ao tratamento dos seus dados pessoais, em conformidade com a Directiva 95/46/CE. A AEPD congratula-se com a referência à directiva neste considerando. Contudo, o sentido do considerando poderia ser clarificado, especificando-se melhor que as disposições do regulamento não prejudicam as regras nacionais de aplicação da Directiva 95/46/CE. Preferencialmente, essa referência também deveria ser incluída numa disposição substantiva.

23. Além disso, a AEPD constata que a AEVMM é um organismo europeu sujeito ao Regulamento (CE) n.o 45/2001 e à supervisão da AEPD. Recomenda-se, por conseguinte, que seja introduzida uma referência explícita a este regulamento, especificando igualmente que as disposições da proposta não o prejudicam.

4.2. Limitação da finalidade, necessidade e qualidade dos dados

24. Um dos principais objectivos da proposta de regulamento é reforçar a transparência nos mercados de derivados OTC e melhorar a fiscalização regulamentar desses mercados. Tendo em conta este objectivo, a Proposta obriga as contrapartes financeiras e não-financeiras que preenchem determinadas condições-limiar a comunicarem a um repositório de transacções os dados respeitantes a qualquer contrato OTC sobre derivados que tenham celebrado, bem como qualquer alteração ou denúncia do mesmo (artigo 6.o) (30). Essas informações devem ser conservadas pelos repositórios de transacções e por eles disponibilizadas a várias autoridades para fins de regulamentação (artigo 67.o) (31).

25. Caso uma das partes num contrato de derivados sujeito às obrigações de compensação e de prestação de informações acima mencionadas seja uma pessoa singular, as informações sobre essa pessoa singular constituem dados pessoais na acepção do artigo 2.o, alínea a), da Directiva 95/46/CE. O cumprimento das ditas obrigações constitui, por conseguinte, tratamento de dados pessoais na acepção do artigo 2.o, alínea b), da mesma directiva. Ainda que as partes na transacção não sejam pessoas singulares, é possível que sejam tratados dados pessoais no âmbito dos artigos 6.o e 67.o, como por exemplo os nomes e os contactos dos directores das empresas. As disposições da Directiva 95/46/CE [ou do Regulamento (CE) n.o 45/2001, consoante os casos] seriam, por conseguinte, aplicáveis às presentes operações.

26. Um requisito essencial da legislação em matéria de protecção de dados é aquele que estipula que os dados pessoais devem ser tratados para finalidades determinadas, explícitas e legítimas e não ser posteriormente tratados de forma incompatível com essas finalidades (32). Os dados utilizados para atingir os fins em vista devem ainda ser adequados, pertinentes e não excessivos para os fins a que se destinam. Após análise da proposta de regulamento, a AEPD conclui que o sistema estabelecido pela Proposta não satisfaz estes requisitos.

27. No que respeita à limitação das finalidades, importa salientar que a Proposta não especifica as finalidades do sistema de comunicação de informações nem, mais importante ainda, para que fins as informações conservadas pelos repositórios de transacções podem ser acedidas pelas autoridades competentes ao abrigo do artigo 67.o da Proposta. Uma referência geral à necessidade de reforçar a transparência nos mercados de derivados OTC não é claramente suficiente para satisfazer o princípio de limitação da finalidade. Este princípio é ainda mais questionado pelo artigo 20.o, n.o 3.o, da proposta de regulamento, referente ao «Sigilo profissional», que na sua formulação actual, parece permitir a utilização das informações confidenciais recebidas ao abrigo da proposta de regulamento para vários fins adicionais, que não estão claramente indicados (33).

28. A Proposta também não indica o tipo de dados que serão registados, comunicados e acedidos, incluindo dados pessoais de pessoas identificadas ou identificáveis. Os supramencionados artigos 6.o e 67.o delegam à Comissão poderes para especificar melhor o conteúdo dos dados comunicados e as obrigações de conservação de dados em actos delegados. Embora compreenda a necessidade prática de recorrer a esse procedimento, a AEPD gostaria de sublinhar que, desde que as informações tratadas ao abrigo dos artigos acima referidos digam respeito a pessoas singulares, as principais regras e garantias em matéria de protecção de dados devem ser estabelecidas no acto legislativo de base.

29. Por último, o artigo 6.o da Directiva 46/95/CE e o artigo 4.o do Regulamento (CE) n.o 45/2001 exigem que os dados pessoais sejam conservados de forma a permitir a identificação das pessoas em causa apenas durante o período necessário para a prossecução das finalidades para que foram recolhidos. A AEPD observa que a Proposta não define um prazo de prescrição concreto para a conservação dos dados pessoais potencialmente tratados ao abrigo dos artigos 6.o, 27.o e 67.o da proposta de regulamento. Os artigos 27.o e 67.o limitam-se a dispor que os registos em causa são conservados durante pelo menos dez anos. Contudo, trata-se apenas de um período mínimo de conservação, o que está em clara contradição com os requisitos estabelecidos pela legislação em matéria de protecção de dados.

30. Com base no que precede, a AEPD insta o legislador a especificar o tipo de dados pessoais que podem ser tratados ao abrigo da Proposta, a definir as finalidades para as quais os dados pessoais podem ser tratados pelas várias entidades envolvidas e a fixar um período exacto, necessário e proporcionado de conservação dos dados para o tratamento acima referido.

4.3. Inspecções no local

31. O artigo 61.o, n.o 2, alínea c), dota a AEVMM de poderes para realizar inspecções no local, com ou sem aviso prévio. Não é claro se estas inspecções estarão limitadas às instalações empresariais dos repositórios de transacções ou se também se aplicam às instalações ou propriedades privativas de pessoas singulares. O artigo 56.o, n.o 1, alínea d), que permite à Comissão, a pedido da AEVMM, aplicar sanções pecuniárias aos trabalhadores de um repositório de transacções ou outras pessoas relacionadas com um repositório de transacções, para os obrigar a sujeitar-se a uma inspecção no local ordenada pela AEVMM nos termos do artigo 61.o, n.o 2, pode sugerir (involuntariamente) o contrário.

32. Sem aprofundar esta questão, a AEPD recomenda que se limite o poder de realizar inspecções no local (e o poder conexo de aplicar sanções pecuniárias nos termos do artigo 56.o) apenas às instalações empresariais dos repositórios de transacções e de outras pessoas colectivas comprovada e claramente relacionados com eles (34). Caso a Comissão tencione, realmente, permitir a realização de inspecções em instalações não empresariais de pessoas singulares, essa intenção deve ficar clara e devem prever-se requisitos mais rigorosos para garantir o cumprimento dos princípios da necessidade e da proporcionalidade (sobretudo no que se refere à indicação das circunstâncias e condições em que tais inspecções podem ser realizadas).

4.4. Intercâmbio de dados e princípio de limitação da finalidade

33. Várias disposições da proposta de regulamento permitem um amplo intercâmbio de dados e de informações entre a AEVMM, as autoridades competentes dos Estados-Membros e as autoridades competentes de países terceiros (ver, em especial, os artigos 21.o, 23.o e 62.o). Também podem verificar-se transferências de dados para países terceiros quando uma CCP ou um repositório de transacções reconhecidos de um país terceiro prestam serviços a entidades reconhecidas na União. Na medida em que as informações e os dados trocados digam respeito a pessoas singulares identificadas ou identificáveis, são aplicáveis os artigos 7.o a 9.o do Regulamento (CE) n.o 45/2001 e os artigos 25.o e 26.o da Directiva 95/46/CE, consoante os casos. Em especial, as transferências para países terceiros só podem ter lugar se for garantido um nível de protecção adequado nesses países, ou se uma das derrogações pertinentes previstas pela legislação em matéria de protecção de dados for aplicável. Por razões de clareza, deverá ser incluída no texto uma referência explícita ao Regulamento (CE) n.o 45/2001 e à Directiva 95/46/CE, indicando que essas transferências devem observar as regras aplicáveis previstas, respectivamente, no regulamento ou na directiva.

34. Em conformidade com o princípio de limitação da finalidade (35), a AEPD também recomenda que se introduzam limites claros em relação ao tipo de informações pessoais que podem ser trocadas e que se definam os fins para que podem ser trocados dados pessoais.

4.5. Prestação de contas e apresentação de relatórios

35. O artigo 68.o da Proposta prevê uma série de obrigações da Comissão no que respeita à apresentação de relatórios sobre a aplicação de vários elementos da proposta de regulamento. A AEPD recomenda que se introduza também a obrigação de a AEVMM apresentar relatórios periódicos sobre a utilização dos seus poderes de investigação e, em especial, sobre o poder de exigir registos telefónicos e de transmissão de dados. À luz das conclusões do relatório, a Comissão também deverá poder formular recomendações, nomeadamente propostas de revisão do regulamento, se necessário.

5. CONCLUSÕES

36. A presente proposta dota a AEVMM de poder para «exigir a apresentação dos registos telefónicos e de transmissão de dados» para efeitos do cumprimento das obrigações relacionadas com a supervisão dos repositórios de transacções. Para ser considerado necessário e proporcionado, esse poder deve ser limitado ao que é adequado para realizar o objectivo prosseguido e não ir além do que é necessário para o alcançar. Na sua redacção actual, a disposição em causa não satisfaz estes requisitos por estar formulada de forma demasiado ampla. Em especial, o âmbito de aplicação pessoal e material do poder, bem como as circunstâncias e condições em que pode ser utilizado, não são suficientemente especificados.

37. As observações formuladas no presente parecer, embora se destinem à proposta sobre os derivados OTC, também são pertinentes para a aplicação da legislação em vigor e para outras propostas pendentes e futuras que contenham disposições equivalentes. É o que acontece, em especial, quando o poder em questão é outorgado, como na presente proposta, a uma autoridade da UE sem referir as condições e os procedimentos específicos estabelecidos nas legislações nacionais (por exemplo, a Proposta ANR).

38. Tendo em conta o que precede, a AEPD aconselha o legislador a: — Indicar claramente as categorias de registos telefónicos e de transmissão de dados que os repositórios de transacções são obrigados a conservar e/ou a fornecer às autoridades competentes. Esses dados devem ser adequados, pertinentes e não excessivos relativamente à finalidade para que são tratados; — Limitar o poder de exigir acesso aos registos telefónicos e de transmissão de dados aos repositórios de transacções; — Explicitar que o acesso aos registos telefónicos e de transmissão de dados directamente através das empresas de telecomunicações se encontra excluído; — Limitar o acesso aos registos telefónicos e de transmissão de dados às violações especificamente identificadas e graves da proposta de regulamento e aos casos em que exista uma suspeita razoável (sustentada por indícios de prova concretos) de que foi cometida uma infracção; — Esclarecer que os repositórios de transacções só devem fornecer registos telefónicos e de transmissão de dados quando isso for solicitado através de uma decisão formal que especifique, nomeadamente, o direito de recurso da decisão para o Tribunal de Justiça; — Exigir que a decisão não seja executada sem uma autorização judicial prévia da autoridade judiciária nacional do Estado-Membro em causa (pelo menos nos casos em que tal autorização seja exigida pela legislação nacional); — Exigir à Comissão que adopte medidas de aplicação que estabeleçam de forma pormenorizada os procedimentos a seguir, incluindo medidas e garantias de segurança adequadas.

39. Relativamente a outros aspectos da Proposta, a AEPD gostaria de remeter para as observações formuladas na Secção 4 do presente parecer. Em especial, a AEPD aconselha o legislador a: — Incluir uma referência à Directiva 95/46/CE e ao Regulamento (CE) n.o 45/2001 pelo menos nos considerandos da proposta de regulamento e, preferencialmente, também numa disposição substantiva, deixando claro que as disposições da proposta de regulamento não prejudicam, respectivamente, a directiva e o regulamento; — Especificar o tipo de informações pessoais que podem ser tratadas ao abrigo da Proposta em conformidade com o princípio da necessidade (sobretudo em relação aos artigos 6.o e 67.o), definir os fins para que os dados pessoais podem ser tratados pelas várias autoridades/entidades envolvidas e fixar períodos precisos, necessários e proporcionados de conservação de dados tendo em vista o tratamento acima referido; — Limitar o poder de realizar inspecções no local ao abrigo do artigo 61.o, n.o 2, c), e de aplicar sanções pecuniárias ao abrigo do artigo 56.o exclusivamente aos repositórios de transacções e a outras pessoas colectivas clara e comprovadamente relacionadas com eles; — Explicitar que as transferências internacionais de dados pessoais devem estar conformes com as regras pertinentes do Regulamento (CE) n.o 45/2001 e da Directiva 95/46/CE, introduzir limites claros a respeito do tipo de informações pessoais que podem ser trocadas e definir os fins para que podem ser trocados dados pessoais.

Feito em Bruxelas, em 19 de Abril de 2011. Giovanni BUTTARELLI Autoridade Adjunta Europeia para a Protecção de Dados

(1) JO L 281 de 23.11.1995, p. 31.

(2) JO L 8 de 12.1.2001, p. 1.

(3) COM(2010) 484 final.

(4) Regulamento (UE) n.o 1092/2010 do Parlamento Europeu e do Conselho, de 24 de Novembro de 2010, relativo à supervisão macroprudencial do sistema financeiro na União Europeia e que cria o Comité Europeu do Risco Sistémico, (JO L 331 de 15.12.2010, p. 1).

(5) Regulamento (UE) n.o 1093/2010 do Parlamento Europeu e do Conselho, de 24 de Novembro de 2010, que cria uma Autoridade Europeia de Supervisão (Autoridade Bancária Europeia), altera a Decisão n.o 716/2009/CE e revoga a Decisão 2009/78/CE da Comissão, (JO L 331 de 15.12.2010, p. 12).

(6) Regulamento (UE) n.o 1094/2010 do Parlamento Europeu e do Conselho, de 24 de Novembro de 2010, que cria uma Autoridade Europeia de Supervisão (Autoridade Europeia dos Seguros e Pensões Complementares de Reforma), altera a Decisão n.o 716/2009/CE e revoga a Decisão 2009/79/CE da Comissão, (JO L 331 de 15.12.2010, p. 48).

(7) Regulamento (UE) n.o 1095/2010 do Parlamento Europeu e do Conselho, de 24 de Novembro de 2010, que cria uma Autoridade Europeia de Supervisão (Autoridade Europeia dos Valores Mobiliários e dos Mercados), altera a Decisão n.o 716/2009/CE e revoga a Decisão 2009/77/CE da Comissão, (JO L 331 de 15.12.2010, p. 84).

(8) Um derivado é um contrato financeiro ligado ao valor ou estatuto futuros do activo subjacente a que se refere (por exemplo, o desenvolvimento das taxas de juro ou do valor de uma moeda).

(9) Normalmente os trabalhadores a quem o tráfego telefónico e de dados pode ser imputado, bem como os destinatários e outros utilizadores envolvidos.

(10) Ver artigo 6.o, n.o 1, da Directiva 2002/58/CE, (JO L 201 de 31.7.2002, p. 45).

(11) Ver artigo 15.o, n.o 1, da Directiva 2002/58/CE, que dispõe que tais restrições devem constituir uma medida necessária, adequada e proporcionada numa sociedade democrática para salvaguardar a segurança nacional (ou seja, a segurança do Estado), a defesa, a segurança pública, e a prevenção, a investigação, a detecção e a repressão de infracções penais ou a utilização não autorizada do sistema de comunicações electrónicas, tal como referido no artigo 13.o, n.o 1, da Directiva 95/46/CE. Para o efeito, os Estados-Membros podem designadamente adoptar medidas legislativas prevendo que os dados sejam conservados durante um período limitado, pelas razões enunciadas no presente número.

(12) Ver, por exemplo, Processos apensos C-92/09 e C-93/09, Volker und Markus Schecke GbR (C-92/09), Hartmut Eifert (C-92/09) contra Land Hessen, ainda não publicado na Colectânea, ponto 74.

(13) Por exemplo, o considerando 44 afirma que os repositórios de transacções devem ser objecto de requisitos estritos em termos de conservação e gestão dos dados. O artigo 66.o especifica que os repositórios de transacções «registam prontamente as informações recebidas nos termos do artigo 6.o e conservam-nas por um período mínimo de 10 anos a contar da cessação dos respectivos contratos. Devem aplicar procedimentos de registo atempado e eficaz das alterações à informação registada». O artigo 67.o acrescenta que «os repositórios de transacções devem disponibilizar a informação necessária» à AEVMM e a várias outras entidades competentes.

(14) A expressão «registos telefónicos e de transmissão de dados» é susceptível de incluir uma grande variedade de informações, nomeadamente em relação à duração, ao tempo ou ao volume de uma comunicação, ao protocolo utilizado, à localização do equipamento terminal do expedidor ou do destinatário, à rede de onde provém ou onde termina a comunicação, ao início, fim ou duração de uma ligação ou mesmo a lista de sítios Web visitados e os conteúdos das próprias comunicações, caso sejam gravadas. Na medida em que digam respeito a pessoas singulares identificadas ou identificáveis, todas estas informações constituem dados pessoais.

(15) Ver artigo 6.o, n.o 1, alínea c), da Directiva 95/46/CE e artigo 4.o, n.o 1, alínea c), do Regulamento (CE) n.o 45/2001. Também se deve analisar se é possível conceber garantias específicas para evitar que os dados referentes a uma utilização verdadeiramente privada sejam captados e tratados.

(16) O artigo 56.o, n.o 1, alínea c), que permite que a Comissão, a pedido da AEVMM aplique sanções pecuniárias a qualquer pessoa empregada por um repositório de transacções ou a qualquer outra pessoas relacionada com um repositório de transacções, para a obrigar a sujeitar-se a uma investigação lançada pela AEVMM nos termos do artigo 61.o, n.o 2, pode sugerir (involuntariamente) o contrário.

(17) Como se disse, a Directiva Privacidade e Comunicações Electrónicas estabelece o princípio geral de que os dados de tráfego devem ser eliminados ou tornados anónimos quando deixem de ser necessários para efeitos da transmissão de uma comunicação. Esses dados só podem ser objecto de tratamento adicional para efeitos de facturação e de pagamento de interligações e apenas até ao final do período durante o qual a factura pode ser legalmente contestada ou o pagamento reclamado. Qualquer derrogação deste princípio deve ser necessária, adequada e proporcionada numa sociedade democrática, por razões específicas de ordem pública, isto é, para salvaguardar a segurança nacional (ou seja, a segurança do Estado), a defesa, a segurança pública e a prevenção, a investigação, a detecção e a repressão de infracções penais ou a utilização não autorizada do sistema de comunicações electrónicas.

(18) A Constituição italiana, por exemplo, exige que qualquer interferência no segredo das correspondências, incluindo o acesso a dados de tráfego que não revelem o teor das comunicações, seja ordenada ou autorizada por um membro do sistema judiciário.

(19) Foi introduzido um requisito semelhante na versão alterada da Proposta ANR votada pelo Parlamento Europeu em Dezembro de 2010.

(20) Directiva 2003/6/CE do Parlamento Europeu e do Conselho, de 28 de Janeiro de 2003, relativa ao abuso de informação privilegiada e à manipulação de mercado (abuso de mercado), (JO L 96 de 12.4.2003, p. 16).

(21) Directiva 2004/39/CE do Parlamento Europeu e do Conselho, de 21 de Abril de 2004, relativa aos mercados de instrumentos financeiros, que altera as Directivas 85/611/CEE e 93/6/CEE do Conselho e a Directiva 2000/12/CE do Parlamento Europeu e do Conselho e que revoga a Directiva 93/22/CEE do Conselho, (JO L 145 de 30.4.2004, p. 1).

(22) Directiva 2009/65/CE do Parlamento Europeu e do Conselho, de 13 de Julho de 2009, que coordena as disposições legislativas, regulamentares e administrativas respeitantes a alguns organismos de investimento colectivo em valores mobiliários (OICVM), (JO L 302 de 17.11.2009, p. 32).

(23) Regulamento (CE) n.o 1060/2009 do Parlamento Europeu e do Conselho, de 16 de Setembro de 2009, relativo às agências de notação de risco, (JO L 302 de 17.11.2009, p. 1).

(24) Proposta de 30 de Abril de 2009 de Directiva do Parlamento Europeu e do Conselho relativa aos gestores de fundos de investimento alternativos e que altera as Directivas 2004/39/CE e 2009/…/CE, COM(2009) 207.

(25) Proposta de 2 de Junho de 2010 de Regulamento do Parlamento Europeu e do Conselho que altera o Regulamento (CE) n.o 1060/2009 relativo às agências de notação de risco, COM(2010) 289.

(26) Proposta de 15 de Setembro de 2010 de Regulamento do Parlamento Europeu e do Conselho relativo às vendas a descoberto e a certos aspectos dos swaps de risco de incumprimento, COM(2010) 482.

(27) Proposta de Regulamento do Parlamento Europeu e do Conselho relativo à integridade e à transparência nos mercados da energia, COM(2010) 726.

(28) Ver, por exemplo, o artigo 12.o, n.o 2, da Directiva relativa ao abuso de mercado mencionada na nota de rodapé 20. Ver também o artigo 50.o da Directiva MiFID, mencionado na nota de rodapé 21.

(29) Por exemplo, o artigo 37.o da Proposta ANR permite que a Comissão altere os anexos do regulamento, que contêm os pormenores dos requisitos de conservação de dados impostos às agências de notação do risco; ver também o considerando 10 da Proposta ANR que refere o poder da AEVMM para formular e actualizar orientações não vinculativas em questões relacionadas com a aplicação do Regulamento ANR.

(30) O artigo 6.o, n.o 4, da Proposta delega à Comissão o poder para determinar os dados e o tipo de relatórios para as diferentes categorias de derivados, especificando que esses relatórios devem conter pelo menos: a) A identificação apropriada das partes no contrato e, se forem diferentes, dos beneficiários dos direitos e obrigações decorrentes do mesmo; e b) As principais características do contrato, nomeadamente a respectiva natureza, o activo subjacente, o prazo de vencimento e o valor nocional.

(31) Ver Exposição de Motivos, p. 11. O artigo 67.o concretiza esta obrigação dispondo que os repositórios de transacções devem disponibilizar a informação necessária a várias entidades, nomeadamente à AEVMM, às autoridades competentes que supervisionam as empresas sujeitas às obrigações de comunicação, às autoridades competentes que supervisionam as CCP e aos bancos centrais relevantes do SEBC.

(32) Ver, por exemplo, o Parecer da AEPD, de 6 de Janeiro de 2010, sobre a proposta de directiva do Conselho relativa à cooperação administrativa no domínio da fiscalidade, (JO C 101 de 20.4.2010, p. 1).

(33) O artigo 20.o, n.o 3, dispõe o seguinte: «Sem prejuízo dos casos abrangidos pelo direito penal, as autoridades competentes, a AEVMM, os organismos ou as pessoas singulares ou colectivas que não sejam autoridades competentes e que recebam informações confidenciais ao abrigo do presente regulamento só as podem utilizar para o desempenho das suas funções no âmbito do presente regulamento, no caso das autoridades competentes, ou, no caso de outras autoridades, organismos ou pessoas singulares ou colectivas, para os efeitos para os quais essas informações lhes tenham sido facultadas, no contexto de processos administrativos ou judiciais relacionados especificamente com o desempenho dessas funções ou ambos. No entanto, sempre que a AEVMM, a autoridade competente ou outra autoridade, organismo ou pessoa que comunica as informações dê o seu consentimento, a autoridade que recebe as informações pode utilizá-las para outros fins».

(34) Foi introduzida uma especificação semelhante na versão alterada da Proposta ANR votada pelo PE em Dezembro de 2010.

(35) Ver artigo 6.o, n.o 1, alínea b), da Directiva 95/46/CE e artigo 4.o, n.o 1, alínea b), do Regulamento (CE) n.o 45/2001.