Resumo do parecer preliminar da Autoridade Europeia para a Proteção de Dados sobre o Espaço Europeu de Dados de Saúde

[O texto integral do presente parecer encontra-se disponível em Inglês, Francês e Alemão no sítio Web da AEPD em www.edps.europa.eu]

(2021/C 99/09)

Texto do resumo executivo

A 19 de fevereiro de 2020, a Comissão Europeia apresentou a sua Comunicação sobre «A estratégia Europeia para os Dados». Esta comunicação perspetiva a criação de um espaço comum na área da saúde, nomeadamente o Espaço Europeu de Dados de Saúde («EEDS»), apresentado como uma ferramenta essencial para a prevenção, deteção e cura de doenças, assim como para a tomada de decisões baseadas em provas e para melhorar a eficiência, a acessibilidade e a sustentabilidade dos sistemas de saúde.

Sendo que a AEPD apoia veementemente os objetivos de promoção da troca de dados relativos à saúde e promove a investigação médica, sublinha a necessidade de serem definidas salvaguardas de proteção de dados aquando da criação do EEDS. Assim, este é o parecer preliminar no qual a AEPD sublinha os elementos essenciais que devem ser considerados aquando do desenvolvimento do EEDS da perspetiva da proteção de dados.

A AEPD pede o estabelecimento de uma base jurídica bem ponderada para as operações de processamento sob a alçada do EEDS em consonância com o artigo 6.o, n.o 1, do RGPD e relembra ainda que tal processamento deverá cumprir com o artigo 9.o do RGPD para o processamento de categorias especiais de dados.

Além disso, a AEPD sublinha que devido à sensibilidade dos dados a serem processados dentro do EEDS, os limites do que constitui um processamento legal e um processamento complementar compatível dos dados deverão ser claros para todas as partes interessadas envolvidas. Assim, a transparência e a disponibilidade pública das informações relacionadas com o processamento no EEDS serão a chave para melhorar a confiança pública no EEDS.

A AEPD também pede à Comissão que clarifique os cargos e responsabilidades das partes envolvidas e identifique, de forma clara, as categorias precisas de dados a serem disponibilizados ao EEDS. Além disso, pede aos Estados-Membros que estabeleçam mecanismos para avaliar a validade e a qualidade das fontes dos dados.

A AEPD sublinha a importância de fornecer ao EEDS uma infraestrutura de segurança global, incluindo medidas de segurança técnicas de ponta e organizacionais de modo a proteger os dados que são fornecidos ao EEDS. Neste contexto, relembra que as Avaliações de Impacto da Proteção de Dados poderão ser uma ferramenta muito útil para determinar os riscos das operações de processamento e as medidas de mitigação que devem ser adotadas.

A AEPD recomenda que se tome especial atenção à utilização ética dos dados dentro do enquadramento do EEDS, para o qual sugere que se tenha em conta as comissões de ética existentes e o papel que desempenham no contexto da legislação nacional.

A AEPD está convencida de que o sucesso do EEDS irá depender do estabelecimento de um mecanismo de governação de dados forte que forneça as garantias suficientes de uma gestão ética, responsável e legal alicerçada em valores da UE, incluindo o respeito pelos direitos fundamentais. O mecanismo de governação deverá regular, pelo menos, as entidades que terão autorização para disponibilizar os dados ao EEDS, os utilizadores EEDS, as autoridades de certificação/pontos de contacto nacionais dos Estados-Membros, e o papel das AIPD dentro deste contexto.

A AEPD está interessada em iniciativas de política para atingir a «soberania digital» e tem preferência que os dados sejam processados por entidades que partilhem valores Europeus, incluindo a privacidade e a proteção de dados. Além disso, a AEPD pede à Comissão que assegure que as partes interessadas que participam no EEDS e, em particular, os controladores, não transfiram dados pessoais a menos que as partes interessadas cujos dados pessoais sejam transferidos para um terceiro país tenham um nível de proteção essencialmente equivalente para tal, garantido dentro da União Europeia.

A AEPD pede aos Estados-Membros que garantam uma implementação eficaz dos direitos à portabilidade de dados, especificamente no EEDS, juntamente com o desenvolvimento dos requisitos técnicos necessários. A este respeito, considera que poderá ser necessária uma análise de lacunas relativamente à necessidade de integrar as salvaguardas do RGPD em outras salvaguardas reguladoras, fornecidas, por exemplo, pela lei da concorrência, ou por linhas orientadoras éticas.

I. Introdução e âmbito do parecer

1. A 19 de fevereiro de 2020, a Comissão Europeia («Comissão») apresentou a sua Comunicação sobre «A estratégia Europeia para os Dados» ( 1 ) . Faz parte de um pacote mais vasto de documentos, que inclui também uma Comunicação intitulada «Construir o futuro digital ( 2 ) da Europa» e um Livro Branco sobre a inteligência artificial — Uma abordagem europeia virada para a excelência e a confiança ( 3 )

2. Uma das iniciativas chave da estratégia Europeia para os Dados («Estratégia para os Dados») é criar Espaços Europeus Comuns de dados em setores estratégicos e domínios de interesse público, facto esse que iria aumentar as possibilidades das autoridades públicas e empresas acederem a dados de alta qualidade, promovendo o crescimento e criando valor. De uma forma mais geral, as várias iniciativas da Estratégia para os Dados estão em consonância com a ambição da Comissão em ter «(...) a UE na dianteira da economia de dados ágeis, ao mesmo tempo que respeita e promove os valores fundamentais que são a base das sociedades Europeias». ( 4 )

3. A AEPD deu o seu Parecer 3/2020 sobre a estratégia Europeia para os Dados («Parecer 3/2020») em junho de 2020 ( 5 ) , após uma consulta informal a uma versão esboço da Comissão em janeiro de 2019. O Parecer 3/2020 apresenta os pontos de vista da AEPD sobre a Estratégia para os Dados e toca, particularmente, em determinados conceitos relevantes da perspetiva da proteção de dados, incluindo a noção de «bem público», Dados Públicos, a utilização de dados para investigação científica, intermediários de dados, altruísmo de dados e partilha internacional de dados.

4. A AEPD nota que a e-Saúde é uma área chave do interesse público onde a Estratégia da Comissão para os Dados perspetiva a criação de um espaço comum, nomeadamente, o Espaço Europeu de Dados de Saúde («EEDS»). De acordo com a Estratégia para os Dados, o EEDS será essencial para a prevenção, deteção e cura de doenças, e ainda para decisões baseadas em provas de modo a melhorar a eficiência, a acessibilidade e a sustentabilidade dos sistemas de saúde. ( 6 )

5. Na sua recente reunião de outubro de 2020, também o Conselho Europeu deu as boas-vindas «(...) à Estratégia Europeia para os Dados que apoia as ambições digitais globais da UE de modo a construir uma economia de dados europeia competitiva, ao mesmo tempo que assegura os valores europeus e um elevado nível de segurança de dados, proteção de dados e privacidade. Sublinha a necessidade de tornar os dados de alta qualidade mais disponíveis e promover e permitir a melhor partilha e recolha de dados, e ainda interoperabilidade. O Conselho Europeu dá as boas-vindas à criação de espaços europeus de dados comuns em setores estratégicos e, em particular, convida a Comissão a dar prioridade ao espaço de dados relativos à saúde que deverão ser definidos até ao final de 2021.» ( 7 )

6. Assim, a AEPD apoia veementemente os objetivos da promoção de troca de dados relativos à saúde e promoção de investigação sobre novas estratégias preventivas, tratamentos, medicamentos, dispositivos médicos, e também sublinha a necessidade para salvaguardas de proteção de dados a serem definidas aquando da criação. No contexto da pandemia da Covid-19, a União Europeia viu, mais do que nunca, a necessidade de os princípios de processamento de dados do RGPD serem totalmente aplicados. Em consonância com as recentes conclusões do Conselho Europeu, a AEPD relembra os direitos fundamentais à privacidade e à proteção de dados, e pede que os princípios de proteção de dados sejam integrados no futuro das soluções de e-Saúde que estarão em breve no âmago de todos os sistemas de e-Saúde Europeus. Neste contexto, sublinhamos que as salvaguardas de proteção de dados devem ser incluídas no âmago do futuro EEDS com o objetivo de garantir o respeito pelos direitos humanos fundamentais, incluindo o direito à privacidade e à proteção de dados pessoais indicados nos artigos 7. o e 8. o da Carta de Direitos Fundamentais da União Europeia («a Carta»).

7. o do Regulamento (UE) 2018/1725 sobre propostas legislativas futuras da Comissão. O objetivo deste parecer preliminar é contribuir para o trabalho da Comissão sobre o EEDS futuro, particularmente através da identificação dos elementos essenciais que devem ser considerados aquando do desenvolvimento do EEDS da perspetiva da proteção de dados. Este parecer preliminar deverá ser lido em conjunto com outros pareceres relevantes da AEPD, incluindo o Parecer da Estratégia Europeia para os Dados ( 8 ) , o Parecer preliminar sob investigação científica ( 9 ) , o Parecer sobre Dados Públicos ( 10 ) , o Parecer do Artigo Branco da Comissão Europeia sobre Inteligência Artificial ( 11 ) e o Parecer da AEPD sobre a proposta para reformulação da Diretiva de reutilização de Informações do Setor Público (ISP) ( 12 ) . Vale a pena sublinhar que este parecer preliminar não traz qualquer prejuízo a qualquer parecer futuro da AEPD que possa ser emitido de acordo com o artigo 42.do Regulamento (UE) 2018/1725 sobre propostas legislativas futuras da Comissão.

IV. Conclusões e recomendações

Tendo em conta o supramencionado, a AEPD formula as seguintes recomendações:

46. Apoia a iniciativa de criar um Espaço Europeu de Dados de Saúde comum e reconhece o seu papel chave para melhorar o acesso e a qualidade de cuidados de saúde, ajudando as autoridades competentes na tomada de decisões políticas baseadas em provas e apoiando a investigação científica. No entanto, a AEPD pede a adoção das salvaguardas de proteção de dados necessárias paralelamente aos trabalhos no sentido da criação do EEDS.

47. Relembra que todas as operações de processamento resultantes da criação do EEDS irão necessitar de uma base jurídica robusta em consonância com a legislação de proteção de dados da UE, particularmente o artigo 6.o, n.o 1, do RGPD e o artigo 9.o do RGPD para o processamento de categorias especiais de dados.

48. Considera que a futura iniciativa legislativa sobre o EEDS deverá ainda ter o objetivo de contribuir para uma mitigação da fragmentação atual de regras aplicáveis ao processamento de dados relativos à saúde e à investigação científica, tendo, assim, como objetivo garantir uma utilização e reutilização legal e ética dos dados dentro do EEDS.

49. Defende clareza adicional quanto às limitações do que constituiu um processamento legal e compatível dos dados para todas as partes interessadas envolvidas no processo do EEDS, enquanto reforça a transparência dos dados processados ao criar as condições para a reutilização publicamente disponível.

50. Considera essencial a definição de regras claras para os Estados-Membros para a identificação de controladores dentro do contexto do EEDS, perante o qual os indivíduos poderão exercer os seus direitos de proteção de dados, em consonância com a legislação atual (RGPD e Regulamento 2018/1725).

51. Pede que os principais atores envolvidos e as categorias de dados processados dentro do EEDS sejam claramente identificados e considera fundamental que as Autoridade Europeias de Proteção de Dados («AIPD») se envolvam na sua supervisão e na conformidade da proteção de dados.

52. Pede a adoção de uma infraestrutura de proteção global, incluindo medidas de segurança técnicas de ponta e organizacionais de modo a proteger os dados sensíveis que são fornecidos ao EEDS.

53. Relembra o papel essencial das Avaliações de Impacto de Proteção de Dados («AIPD»), e recomenda, sempre que possível, que se tornem públicos os resultados de tais avaliações, como uma medida de melhoria da confiança e da transparência.

54. Pede o estabelecimento de um mecanismo de governação de dados forte que forneça garantias suficientes de uma gestão legal, responsável e ética dos dados processados dentro do EEDS.

55. Prefere que os dados sejam processados por entidades que partilhem valores Europeus, incluindo a privacidade e a proteção de dados.

56. Apoia, veementemente, a obtenção de soberania de dados no local onde os dados gerados na Europa são convertidos em valor para as empresas Europeias e indivíduos, e processados de acordo com as regras e regulamentos da UE.

57. Pede à Comissão que assegure que as partes interessadas participam no EEDS e, em particular, os controladores, não transfiram dados pessoais a menos que as partes interessadas cujos dados pessoais são transferidos para um terceiro país tenham um nível de proteção essencialmente equivalente para tal garantia dentro da União Europeia.

58. Convida a Comissão a assegurar, na sua proposta legislativa, que os Estados-Membros garantem a aplicação do direito de portabilidade de dados juntamente com o desenvolvimento dos requisitos técnicos necessários no EEDS que permitem o exercício efetivo de tal direito por parte das partes interessadas.

59. Recomenda a realização de uma análise de lacunas relativamente à necessidade de integrar as salvaguardas do RGPD em outras salvaguardas reguladoras fornecidas, por exemplo, pela lei da concorrência, ou por linhas orientadoras éticas.

Bruxelas, 17 de novembro de 2020. Wojciech Rafał WIEWIÓROWSKI

(1) COM 2020 66 final https://ec.europa.eu/info/sites/info/files/communication-european-strategy-data-19feb2020_en.pdf

(2) COM(2020) 67 final, https://ec.europa.eu/info/strategy/priorities-2019-2024/europe-fit-digital-age/shaping-europe-digital-future_pt

(3) COM(2020) 65 final, https://ec.europa.eu/info/strategy/priorities-2019-2024/europe-fit-digital-age/excellence-trustartificial-intelligence_en

(4) COM (2020) 66 final https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:52020DC0066&from=EN, pág. 2.

(5) Parecer da AEPD n.o 3/2020 sobre a Estratégia Europeia para os Dados https://edps.europa.eu/sites/edp/files/publication/20-06-16_opinion_data_strategy_en.pdf

(6) COMM 2020 66 final https://ec.europa.eu/info/sites/info/files/communication-european-strategy-data-19feb2020_en.pdf, p. 22.

(7) Consultar https://data.consilium.europa.eu/doc/document/ST-13-2020-INIT/pt/pdf

(8) Parecer da AEPD n.o 3/2020 sobre a Estratégia Europeia para os Dados https://edps.europa.eu/sites/edp/files/publication/20-06-16_opinion_data_strategy_en.pdf

(9) Parecer preliminar da AEPD sobre proteção de dados e investigação científica https://edps.europa.eu/sites/edp/files/publication/20-01-06_opinion_research_en.pdf

(10) Parecer da AEPD sobre «Pacote dados abertos» da Comissão Europeia, incluindo uma proposta para uma Diretiva que altere a Diretiva 2003/98/CE quanto à reutilização das informações do setor público (ISP), uma Comunicação sobre dados abertos e a Decisão da Comissão 2011/833/UE relativa à reutilização de documentos da Comissão, https://edps.europa.eu/sites/edp/files/publication/12-04-18_open_data_pt.pdf

(11) Parecer da AEPD no. 4/2020 sobre o Livro Branco sobre a inteligência artificial da Comissão Europeia - Uma abordagem europeia virada para a excelência e a confiança https://edps.europa.eu/sites/edp/files/publication/20-06-19_opinion_ai_white_paper_en.pdf

(12) Parecer da AEPD no. 5/2018 sobre a proposta para reformulação da Diretiva de reutilização de Informações do Setor Público (ISP) https://edps.europa.eu/sites/edp/files/publication/18-07-11_psi_directive_opinion_en.pdf