Síntese do parecer da Autoridade Europeia para a Proteção de Dados sobre a proposta de derrogações temporárias à Diretiva 2002/58/CE para efeitos de luta contra o abuso sexual de crianças em linha

(O texto integral do presente parecer encontra-se disponível em alemão, francês e inglês no sítio Web da AEPD em www.edps.europa.eu)

(2021/C 102/04)

Em 10 de setembro de 2020, a Comissão publicou uma proposta de Regulamento relativo a uma derrogação temporária de determinadas disposições da Diretiva 2002/58/CE («Diretiva Privacidade Eletrónica») no que respeita à utilização de tecnologias por parte de fornecedores de serviços de comunicações interpessoais independentes do número para o tratamento de dados pessoais ou de outro tipo para efeitos de luta contra o abuso sexual de crianças em linha. A derrogação diz respeito ao artigo 5.o, n.o 1, e ao artigo 6.o da Diretiva Privacidade Eletrónica no que se refere ao tratamento de dados pessoais no âmbito do fornecimento de «serviços de comunicações interpessoais independentes do número» quando esse tratamento for necessário para utilizar tecnologias com a única finalidade de detetar, remover ou denunciar materiais com imagens de abusos sexuais de crianças em linha a autoridades.

No presente parecer, a Autoridade Europeia para a Proteção de Dados (AEPD) apresenta as suas recomendações relativamente à proposta, em resposta a uma consulta formal efetuada pela Comissão nos termos do artigo 42.o do Regulamento (UE) 2018/1725.

Nomeadamente, a AEPD observa que as medidas previstas na proposta constituiriam uma interferência com os direitos fundamentais ao respeito pela vida privada e à proteção dos dados pessoais de todos os utilizadores de serviços de comunicações eletrónicas muito populares, tais como plataformas e aplicações de mensagens instantâneas. A confidencialidade das comunicações é um dos pilares dos direitos fundamentais ao respeito pela vida privada e familiar. Até as medidas voluntárias aplicadas por empresas privadas constituem uma interferência com estes direitos quando as mesmas implicam a monitorização e análise do conteúdo das comunicações e o tratamento dos dados pessoais.

A AEPD pretende salientar que as questões em causa não são específicas da luta contra o abuso de crianças, sendo, pelo contrário, do domínio de qualquer iniciativa que vise a colaboração do setor privado para fins de aplicação da lei. Caso a proposta seja adotada, servirá, inevitavelmente, de precedente para a futura legislação neste domínio. Por conseguinte, a AEPD considera essencial que a proposta não seja adotada, nem mesmo sob a forma de uma derrogação temporária, antes de serem incorporadas todas as garantias necessárias estabelecidas no presente parecer.

Em particular, para efeitos de segurança jurídica, a AEPD considera necessário esclarecer se a própria proposta visa ou não estabelecer uma base jurídica para o tratamento na aceção do RGPD. Se não for esse o caso, a AEPD recomenda esclarecer explicitamente na proposta qual seria a base jurídica ao abrigo do RGPD aplicável neste caso específico. Neste sentido, a AEPD realça que as orientações emitidas pelas autoridades de proteção de dados não podem substituir a observância do princípio da legalidade. Não é suficiente estabelecer que a derrogação temporária deve ser aplicável «sem prejuízo» do RGPD e exigir que as autoridades de proteção de dados sejam consultadas previamente. Os colegisladores devem assumir a sua responsabilidade e garantir que a derrogação proposta cumpre os requisitos previstos no artigo 15.o, n.o 1, na interpretação efetuada pelo TJUE.

A fim de respeitar o princípio da proporcionalidade, a legislação deve estabelecer regras claras e precisas que especifiquem o âmbito e a aplicação das medidas em causa e que introduzam garantias mínimas, de modo que as pessoas cujos dados pessoais são afetados disponham de garantias suficientes de que os mesmos serão protegidos eficazmente contra o risco de abuso.

Por fim, a AEPD entende que o período de cinco anos proposto não parece proporcional, dada a ausência de a) uma demonstração prévia da proporcionalidade da medida prevista e b) a inclusão de garantias suficientes no texto da legislação. A AEPD considera que a validade de qualquer medida de transição não deve ser superior a 2 anos.

I. INTRODUÇÃO

1.1. Contexto

1. o , n. o 1, da Diretiva Privacidade Eletrónica) de prosseguirem as suas próprias medidas voluntárias de deteção, remoção e denúncia de abusos sexuais de crianças em linha Em 24 de julho de 2020, a Comissão adotou uma comunicação intitulada «Estratégia da UE para uma luta mais eficaz contra o abuso sexual das crianças» ( 1 ) . A comunicação assinala que, a partir de dezembro de 2020, a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho («Diretiva Privacidade Eletrónica») ( 2 ) terá um âmbito alargado em consequência do já adotado Código das Comunicações Eletrónicas ( 3 ) . O Código das Comunicações Eletrónicas alarga o âmbito de aplicação da Diretiva Privacidade Eletrónica aos serviços de comunicações interpessoais pela Internet, como os serviços de mensagens instantâneas e o correio eletrónico. De acordo com a comunicação, tal impediria certas empresas (na ausência de medidas legislativas nacionais adotadas em conformidade com o artigo 15., n.1, da Diretiva Privacidade Eletrónica) de prosseguirem as suas próprias medidas voluntárias de deteção, remoção e denúncia de abusos sexuais de crianças em linha ( 4 )

2. o , n. o 1, e ao artigo 6. o da Diretiva Privacidade Eletrónica («a proposta»). A Comissão considera que tal derrogação é necessária para permitir que as atuais atividades numa base voluntária prossigam após dezembro de 2020. A derrogação seria aplicável ao tratamento de dados pessoais no âmbito do fornecimento de « serviços de comunicações interpessoais independentes do número » Em 10 de setembro de 2020, a Comissão publicou ( 5 ) uma proposta de Regulamento provisório relativo ao tratamento de dados pessoais ou de outro tipo para efeitos de luta contra o abuso sexual de crianças, que estabelece uma derrogação temporária ao artigo 5., n.1, e ao artigo 6.da Diretiva Privacidade Eletrónica («a proposta»). A Comissão considera que tal derrogação é necessária para permitir que as atuais atividades numa base voluntária prossigam após dezembro de 2020. A derrogação seria aplicável ao tratamento de dados pessoais no âmbito do fornecimento de « ( 6 ) (por exemplo, voz sobre IP, serviços de mensagens e correio eletrónico baseado na Web) quando esse tratamento fosse estritamente necessário para utilizar tecnologias com a única finalidade de detetar, remover ou denunciar materiais com imagens de abusos sexuais de crianças em linha a autoridades policiais e a organizações que atuam no interesse público contra o abuso sexual de crianças. A proposta enumera um conjunto de condições para que a derrogação seja aplicável, que serão posteriormente analisadas no presente parecer.

3. A AEPD foi consultada formalmente pela Comissão em 16 de setembro de 2020. Em 30 de setembro, a Comissão lançou uma consulta pública, convidando ao envio de observações sobre a presente proposta.

1.2. Relação com a Diretiva 2011/93/UE

4. A UE adotou anteriormente um instrumento jurídico abrangente para lutar contra o abuso sexual e a exploração sexual de crianças e a pornografia infantil, nomeadamente a Diretiva 2011/93/UE do Parlamento Europeu e do Conselho («Diretiva relativa ao abuso sexual de crianças») ( 7 )

5. A Diretiva relativa ao abuso sexual de crianças estabelece regras mínimas relativamente à definição dos crimes e sanções no domínio do abuso sexual e da exploração sexual de crianças e do material com imagens de abusos sexuais de crianças. A referida diretiva exige que os Estados-Membros assegurem que, entre outros, os seguintes comportamentos intencionais, quando praticados ilegitimamente ( 8 ) , sejam puníveis: — A obtenção intencional de acesso a pornografia infantil com conhecimento de causa e por meio das tecnologias da informação e da comunicação; — A distribuição, difusão ou transmissão de pornografia infantil; — A oferta, fornecimento ou disponibilização de pornografia infantil (9).

6. A Diretiva relativa ao abuso sexual de crianças obriga igualmente os Estados-Membros a tomar as medidas necessárias para garantir que certos comportamentos equivalentes ao aliciamento de crianças para fins sexuais, incluindo por meio de tecnologias da informação e da comunicação, sejam puníveis.

7. A Diretiva relativa ao abuso sexual de crianças exige que os Estados-Membros tomem as medidas necessárias para garantir a supressão imediata das páginas eletrónicas que contenham ou difundam pornografia infantil sediadas no seu território e para procurar obter a supressão das mesmas páginas sediadas fora do seu território, bem como para apreender os instrumentos e produtos de tais crimes ( 10 ) . Além disso, os Estados-Membros podem tomar medidas para bloquear o acesso a páginas eletrónicas que contenham ou difundam pornografia infantil aos utilizadores da Internet no seu território ( 11 )

8. Em 2010, a AEPD emitiu um parecer de iniciativa sobre a proposta de Diretiva relativa à luta contra o abuso e a exploração sexual de crianças e a pornografia infantil ( 12 ) . O parecer contém considerações e recomendações que são igualmente pertinentes para a proposta de regulamento provisório. Sempre que adequado, a AEPD deve reiterar e/ou remeter para o seu parecer de 2010.

III. CONCLUSÕES

52. As medidas previstas na proposta constituiriam uma interferência com os direitos fundamentais ao respeito pela vida privada e à proteção dos dados pessoais de todos os utilizadores de serviços de comunicações eletrónicas muito populares, tais como plataformas e aplicações de mensagens instantâneas. Até as medidas voluntárias aplicadas por empresas privadas constituem uma interferência com estes direitos quando as mesmas implicam a monitorização e análise do conteúdo das comunicações e o tratamento dos dados pessoais.

53. As questões em causa não são específicas da luta contra o abuso de crianças, sendo, pelo contrário, do domínio de qualquer iniciativa que vise a colaboração do setor privado para fins de aplicação da lei. Caso a proposta seja adotada, servirá, inevitavelmente, de precedente para a futura legislação neste domínio. Por conseguinte, a AEPD considera essencial que a proposta não seja adotada, nem mesmo sob a forma de uma derrogação temporária, antes de serem incorporadas todas as garantias necessárias estabelecidas no presente parecer.

54. Para efeitos de segurança jurídica, a AEPD considera necessário esclarecer se a própria proposta visa ou não estabelecer uma base jurídica para o tratamento na aceção do RGPD. Se não for esse o caso, a AEPD recomenda esclarecer explicitamente na proposta qual seria a base jurídica ao abrigo do RGPD aplicável neste caso específico. Neste sentido, a AEPD realça que as orientações emitidas pelas autoridades de proteção de dados não podem substituir a observância do princípio da legalidade. Não é suficiente estabelecer que a derrogação temporária deve ser aplicável «sem prejuízo» do RGPD e exigir que as autoridades de proteção de dados sejam consultadas previamente. Os colegisladores devem assumir a sua responsabilidade e garantir que a derrogação proposta cumpre os requisitos previstos no artigo 15. o , n. o 1, na interpretação efetuada pelo TJUE.

55. A fim de respeitar o princípio da proporcionalidade, a legislação deve estabelecer regras claras e precisas que especifiquem o âmbito e a aplicação das medidas em causa e que introduzam garantias mínimas, de modo que as pessoas cujos dados pessoais são afetados disponham de garantias suficientes de que os mesmos serão protegidos eficazmente contra o risco de abuso.

56. A ausência de uma identificação precisa das medidas sujeitas à derrogação poderá comprometer a segurança jurídica.

57. Por fim, a AEPD entende que o período de cinco anos proposto não parece proporcional, dada a ausência de a) uma demonstração prévia da proporcionalidade da medida prevista e b) a inclusão de garantias suficientes no texto da legislação. A AEPD considera que a validade de qualquer medida de transição não deve ser superior a 2 anos.

Bruxelas, 10 de novembro de 2020. Wojciech WIEWIOROWSKI

(1) COM(2020) 607 final, https://ec.europa.eu/home-affairs/sites/homeaffairs/files/what-we-do/policies/european-agenda-security/20200724_com-2020-607-commission-communication_en.pdf

(2) Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no sector das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas) (JO L 201 de 31.7.2002, p. 37).

(3) Diretiva (UE) 2018/1972 do Parlamento Europeu e do Conselho, de 11 de dezembro de 2018, que estabelece o Código Europeu das Comunicações Eletrónicas (reformulação) (JO L 321 de 17.12.2018, p. 36).

(4) COM(2020) 607 final, p. 4. A comunicação constata que, uma vez que a Diretiva Privacidade Eletrónica não contém uma base jurídica para o tratamento voluntário de conteúdos e dados de tráfego para efeitos da deteção do abuso sexual de crianças, os fornecedores de serviços só podem aplicar essas medidas se estas assentarem numa medida legislativa nacional que satisfaça os requisitos do artigo 15.o da Diretiva Privacidade Eletrónica para restringir o direito à confidencialidade. Na ausência de tais medidas legislativas, as ações voluntárias levadas a cabo por estes fornecedores, que tratam dados de conteúdo ou de tráfego, com vista a detetar o abuso sexual de crianças, careceriam de base jurídica.

(5) COM(2020) 568 final, 2020/0259 (COD), Proposta de Regulamento do Parlamento Europeu e do Conselho relativo a uma derrogação temporária de determinadas disposições da Diretiva 2002/58/CE do Parlamento Europeu e do Conselho no que respeita à utilização de tecnologias por parte de fornecedores de serviços de comunicações interpessoais independentes do número para o tratamento de dados pessoais ou de outro tipo para efeitos de luta contra o abuso sexual de crianças em linha, https://ec.europa.eu/digital-single-market/en/news/interim-regulation-processing-personal-and-other-data-purpose-combatting-child-sexual-abuse

(6) O artigo 2.o, ponto 5, do Código Europeu das Comunicações Eletrónicas define «serviço de comunicações interpessoais» como «o serviço oferecido, em geral mediante remuneração, que permite o intercâmbio interpessoal direto e interativo de informações através de redes de comunicações eletrónicas entre um número finito de pessoas, através do qual as pessoas que participam ou dão início à comunicação determinam o(s) seu(s) destinatário(s) e não inclui serviços que permitem a comunicação interpessoal e interativa que funcionem de modo acessório e que estejam intrinsecamente ligados a outro serviço». Por «serviço de comunicações interpessoais independentes do número» entende-se um serviço de comunicações interpessoais que não estabelece a ligação, ou que não permite a comunicação, com recursos de numeração atribuídos publicamente, a saber, com um número ou números incluídos nos planos nacionais ou internacionais de numeração (artigo 2.o, ponto 7, do Código das Comunicações Eletrónicas).

(7) Diretiva 2011/93/UE do Parlamento Europeu e do Conselho, de 13 de dezembro de 2011, relativa à luta contra o abuso sexual e a exploração sexual de crianças e a pornografia infantil, e que substitui a Decisão-Quadro 2004/68/JAI do Conselho (JO L 335 de 17.12.2011, p. 1).

(8) O termo «ilegitimamente» permite que os Estados-Membros prevejam uma causa de exclusão da ilicitude em relação a comportamentos associados a material pornográfico com fins, por exemplo, médicos, científicos ou similares. Permite igualmente atividades realizadas no âmbito do exercício da competência nacional, tais como a posse legítima de pornografia infantil pelas autoridades para a condução de processos penais ou para prevenir, detetar e investigar crimes. Além disso, não exclui causas de exclusão ou os princípios análogos relevantes que exoneram uma pessoa de responsabilidade em circunstâncias específicas, por exemplo quando linhas de emergência de telefone ou de Internet realizam atividades para denunciar esses casos. Considerando 25 da Diretiva 2011/93/UE.

(9) Artigo 5.o, n.os 3, 4 e 5, da Diretiva 2011/93/UE.

(10) Artigos 11.o e 25.o, n.o 1, da Diretiva 2011/93/UE.

(11) Artigo 25.o, n.o 2, da Diretiva 2011/93/UE.

(12) Parecer da Autoridade Europeia para a Proteção de Dados sobre a proposta de Diretiva do Parlamento Europeu e do Conselho relativa à luta contra o abuso e a exploração sexual de crianças e a pornografia infantil e que revoga a Decisão-Quadro 2004/68/JAI, de 10 de maio de 2010, https://edps.europa.eu/sites/edp/files/publication/10-05-10_child_abuse_en.pdf.