PT Jornal Oficial da União Europeia C 139/6

Parecer da Autoridade Europeia para a Proteção de Dados sobre a proposta da Comissão para um Regulamento do Parlamento Europeu e do Conselho que altera o Regulamento (CE) n.o 1060/2009 relativo às agências de notação de risco

2012/C 139/02

A AUTORIDADE EUROPEIA PARA A PROTEÇÃO DE DADOS,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 16.o;

Tendo em conta a Carta dos Direitos Fundamentais da União Europeia, nomeadamente os artigos 7.o e 8.o;

Tendo em conta a Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1);

Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de dezembro de 2000, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (2), nomeadamente o artigo 28.o, n.o 2;

ADOTOU O SEGUINTE PARECER:

1. INTRODUÇÃO

1.1. Consulta da AEPD

1. O presente parecer faz parte de um conjunto de 4 pareceres da AEPD relativos ao setor financeiro, todos adotados no mesmo dia.

2. Em 15 de novembro de 2011, a Comissão adotou uma proposta de alteração do Regulamento (CE) n.o 1060/2009 relativo às agências de notação de risco (adiante designado Regulamento ANR) (3). Esta proposta foi enviada à AEPD para consulta em 18 de novembro de 2011.

3. A AEPD congratula-se com o facto de ter sido consultada pela Comissão e recomenda que seja incluída uma referência ao presente parecer no preâmbulo do instrumento adotado.

4. A AEPD lamenta, no entanto, não ter sido consultada formalmente pela Comissão durante a preparação do Regulamento ANR original que entrou em vigor em 7 de dezembro de 2010, nem a respeito das recentes alterações ao referido regulamento (4).

5. Assim, no presente parecer, a AEPD considera pertinente e útil abordar questões relativas ao Regulamento ANR já em vigor. Em primeiro lugar, salienta as potenciais implicações do Regulamento ANR a nível da proteção de dados. Em segundo lugar, a análise apresentada no presente parecer é diretamente pertinente para a aplicação da legislação em vigor e para outras propostas pendentes ou futuras que contenham disposições semelhantes, tal como referido nos pareceres da AEPD sobre o pacote legislativo relativo à revisão da legislação bancária, aos mercados de instrumentos financeiros (MiFID/MiFIR) e ao abuso de mercado.

1.2. Objetivo e âmbito de aplicação da proposta e do atual Regulamento

6. A Comissão considera que as agências de notação de risco (ANR) têm um papel importante nos mercados financeiros e devem por conseguinte estar sujeitas a um enquadramento jurídico adequado. O primeiro Regulamento ANR entrou em vigor em 7 de dezembro de 2010 e exige às agências de notação de risco (ANR) que se conformem com regras de conduta rigorosas de modo a minimizar eventuais conflitos de interesses e a assegurar que as notações de risco e o processo de emissão dessas notações têm uma elevada qualidade e são suficientemente transparentes. As ANR já existentes tiveram de requerer o respetivo registo e cumprir os requisitos do Regulamento até 7 de setembro de 2010.

7. Em 1 de junho de 2011 entraram em vigor alterações ao Regulamento ANR [Regulamento (UE) n.o 513/2011] confiando à Autoridade Europeia dos Valores Mobiliários e dos Mercados (AEVMM) poderes de supervisão exclusivos sobre as ANR registadas na UE, com vista a centralizar e simplificar o seu registo e supervisão a nível europeu.

8. A atual proposta legislativa propõe alterações ao Regulamento ANR mas não o substitui. O principal objetivo político da proposta de revisão é fazer face a uma série de questões relacionadas com o exercício da atividade de notação de risco e com a utilização das notações que não foram contempladas no atual Regulamento ANR.

1.3. Objetivo do parecer da AEPD

9. Embora a maioria das disposições do Regulamento ANR digam respeito ao exercício das atividades das agências de notação de risco e à sua supervisão, a execução e aplicação do quadro jurídico podem, em determinados casos, afetar os direitos das pessoas singulares relativamente ao tratamento dos seus dados pessoais.

10. O Regulamento ANR prevê o intercâmbio de informações entre a AEVMM, as autoridades competentes, as autoridades setoriais competentes e, possivelmente, países terceiros (5). Estas informações podem também dizer respeito a pessoas singulares como, por exemplo, pessoas envolvidas em atividades de notação de risco e pessoas que de qualquer outra forma estejam estreita e substantivamente relacionadas ou ligadas a agências ou atividades de notação de risco. Estas disposições podem ter implicações para as pessoas singulares em causa a nível da proteção de dados.

11. Face ao exposto, o presente parecer incidirá nos aspetos do Regulamento ANR a seguir referidos relacionados com a proteção de dados e a privacidade: 1. A aplicabilidade da legislação relativa à proteção de dados; 2. As transferências de dados para países terceiros; 3. O acesso a registos telefónicos e de transmissão de dados; e 4. Os requisitos de divulgação relativos aos instrumentos financeiros estruturados e às sanções pecuniárias compulsórias.

2. ANÁLISE DA PROPOSTA

2.1. Aplicabilidade da legislação relativa à proteção de dados (6)

12. Vários considerandos (7) do Regulamento ANR fazem referência à Carta dos Direitos Fundamentais, à Diretiva 95/46/CE e ao Regulamento (CE) n.o 45/2001. No entanto, a referência à legislação relativa à proteção de dados pertinente deve ser inserida num artigo substantivo do Regulamento ANR.

13. Um bom exemplo de disposição substantiva pode ser encontrado no artigo 22.o da proposta de Regulamento do Parlamento Europeu e do Conselho relativo ao abuso de informação privilegiada e à manipulação de mercado (8), que prevê explicitamente como regra geral que a Diretiva 95/46/CE e o Regulamento (CE) n.o 45/2001 sejam aplicáveis ao tratamento de dados pessoais no quadro da proposta. A AEPD apresentou um parecer sobre esta proposta no qual se congratula com este tipo de disposição geral. No entanto, a AEPD sugere que a referência à Diretiva 95/46/CE seja clarificada, especificando que as disposições serão aplicáveis de acordo com as regras nacionais que executam a Diretiva 95/46/CE.

14. Tal é relevante, por exemplo, em relação às várias disposições relativas aos intercâmbios de informações pessoais. Estas disposições são perfeitamente legítimas, mas devem ser aplicadas de forma coerente com a legislação relativa à proteção de dados. O risco deve ser evitado, em especial, o risco de serem consideradas como uma autorização em branco para o intercâmbio de todo o tipo de dados pessoais. A inclusão de uma referência à legislação relativa à proteção de dados também nas disposições substantivas reduziria significativamente esse risco (9).

15. Por conseguinte, a AEPD sugere a inserção de uma disposição substantiva semelhante à do artigo 22.o da proposta de Regulamento do Parlamento Europeu e do Conselho relativo ao abuso de informação privilegiada e à manipulação de mercado (10), sujeita às sugestões que a Agência fez para esta proposta (11), ou seja, salientando a aplicabilidade da legislação relativa à proteção de dados existente e clarificando a referência à Diretiva 95/46/CE ao especificar que as disposições serão aplicadas em conformidade com as regras nacionais que executam a Diretiva 95/46/CE.

2.2. Intercâmbios de informações com países terceiros (12)

16. A AEPD regista a referência ao Regulamento (CE) n.o 45/2001 no artigo 34.o, n.o 3, do Regulamento ANR relativamente à transferência de dados pessoais para países terceiros.

17. No entanto, tendo em conta os riscos inerentes a essas transferências, a AEPD recomenda a inclusão de garantias específicas, à semelhança das que foram introduzidas no artigo 23.o da proposta de Regulamento do Parlamento Europeu e do Conselho relativo ao abuso de informação privilegiada e à manipulação de mercado. No parecer da AEPD sobre essa proposta de regulamento, a Agência congratula-se com a utilização dessa disposição que contém garantias adequadas como, por exemplo, a avaliação caso a caso e a garantia de que a transferência é necessária e de que existe um nível de proteção de dados pessoais adequado no país terceiro que recebe esses dados.

2.3. Competências da AEVMM para solicitar a apresentação de registos telefónicos e de transmissão de dados (13)

2.3.1. Autorização judicial

18. O artigo 23.o-C, n.o 1, alínea e), prevê que, «para o exercício das suas atribuições nos termos do presente regulamento», a AEVMM «pode proceder a todas as investigações necessárias. Para esse efeito, os funcionários da AEVMM e outras pessoas autorizadas por esta autoridade devem ter competência para requerer a apresentação de registos telefónicos e de transmissão de dados.» Devido à sua formulação ampla, esta disposição suscita várias dúvidas a respeito do seu âmbito de aplicação material e pessoal. O Regulamento ANR exige ainda uma autorização judicial prévia para que a AEVMM solicite o acesso aos registos telefónicos e de transmissão de dados caso essa autorização seja exigida de acordo com as regras nacionais (14).

19. Não existe uma definição de «registos telefónicos e de transmissão de dados» na proposta de Regulamento. A Diretiva 2002/58/CE (agora denominada, tal como alterada pela Diretiva 2009/136/CE, «Diretiva e Privacidade») apenas se refere a «dados de tráfego» mas não a «registos telefónicos e de transmissão de dados». Obviamente, a definição exata destes conceitos determina o impacto que o poder de investigação pode ter na proteção da vida privada e dos dados pessoais das pessoas em causa. A AEPD sugere que se utilize a terminologia já em vigor na definição de «dados de tráfego» da Diretiva 2002/58/CE.

20. Os dados relacionados com a utilização de meios de comunicação eletrónica podem transmitir uma grande variedade de informações de caráter pessoal, como a identidade das pessoas que realizam ou recebem a chamada, a hora e a duração da chamada, a rede utilizada, a localização geográfica do utilizador no caso dos dispositivos portáteis, etc. Alguns dados relativos ao tráfego pela Internet e à utilização do correio eletrónico (por exemplo, a lista de sítios Web visitados) podem revelar, adicionalmente, pormenores importantes do teor da comunicação. Além disso, o tratamento desses dados entra em conflito com o sigilo da correspondência. Tendo isto em conta, a Diretiva 2002/58/CE estabeleceu o princípio de que os dados de tráfego devem ser eliminados ou tornados anónimos quando deixem de ser necessários para efeitos da transmissão da comunicação (15). Nos termos do artigo 15.o, n.o 1, desta Diretiva, os Estados-Membros podem incluir na legislação nacional algumas derrogações para fins concretos e legítimos, mas elas devem constituir uma medida necessária, adequada e proporcionada numa sociedade democrática para atingir esses fins (16).

21. A AEPD reconhece que os objetivos prosseguidos pela Comissão no Regulamento ANR são legítimos. Compreende a necessidade de iniciativas destinadas a reforçar a supervisão dos mercados financeiros, a fim de preservar a sua solidez e proteger melhor os investidores e a economia em geral. Contudo, os poderes de investigação diretamente relacionados com os dados de tráfego, dado o seu caráter potencialmente intrusivo, devem respeitar os requisitos da necessidade e da proporcionalidade, ou seja, serem aptos a realizar o objetivo prosseguido e não irem além do que é necessário para o alcançar (17). Nesta perspetiva é, portanto, fundamental que eles sejam claramente formulados no que respeita ao seu âmbito de aplicação pessoal e material, bem como às circunstâncias e condições em que podem ser utilizados. Além disso, devem prever-se garantias adequadas contra o risco de abuso.

22. O artigo 23.o-C confere à AEVMM poderes para investigar pessoas envolvidas em atividades de notação de risco e pessoas que de qualquer outra forma estejam estreita e substantivamente relacionadas ou ligadas a agências ou atividades de notação de risco. De acordo com o artigo 23.o-B, a AEVMM pode também exigir a essas pessoas singulares todas as informações que considerar necessárias.

23. Estas disposições implicam claramente que os intercâmbios de informações pessoais sejam realizados no âmbito do Regulamento ANR. Afigura-se provável, ou pelo menos não se pode excluir, que os registos telefónicos e de transmissão de dados em causa incluam dados pessoais na aceção da Diretiva 95/46/CE e do Regulamento (CE) n.o 45/2001 e, na medida adequada, da Diretiva 2002/58/CE, ou seja, dados relativos ao tráfego telefónico e de transmissão de dados de pessoas singulares identificadas ou identificáveis (18). Se assim for, há que garantir que as condições de tratamento lícito e equitativo dos dados pessoais, estabelecidas nas diretivas e no regulamento, são plenamente respeitadas.

24. A AEPD observa que o artigo 23.o-C, n.o 5, torna a autorização judicial obrigatória sempre que essa autorização seja exigida pela legislação nacional. No entanto, a AEPD considera que se justificaria uma exigência geral de autorização judicial prévia em todos os casos, independentemente de esta ser ou não exigida pela legislação nacional, tendo em conta o risco de intrusão do poder em causa e a escolha de um regulamento como instrumento jurídico adequado. Também se deveria ter em consideração que várias leis dos Estados-Membros preveem garantias especiais em matéria de inviolabilidade do domicílio contra inspeções, buscas e apreensões desproporcionadas e não adequadamente regulamentadas, em especial quando efetuadas por instituições de natureza administrativa.

25. Tal como referido no ponto 2.1. supra, o poder das autoridades de supervisão para exigir acesso aos registos telefónicos e de transmissão de dados não é novo na legislação europeia, uma vez que já se encontra previsto em várias diretivas e regulamentos aplicáveis ao setor financeiro. Em especial, a Diretiva relativa ao abuso de mercado (19), a Diretiva MiFID (20) e a Diretiva OICVM (21) contêm, todas elas, disposições formuladas de modo semelhante. O mesmo se aplica em relação a várias propostas recentemente adotadas pela Comissão, nomeadamente a proposta de Diretiva relativa aos gestores de fundos de investimento alternativos (22), um Regulamento relativo às vendas a descoberto e a certos aspetos dos swaps de risco de incumprimento (23) e um Regulamento relativo à integridade e à transparência nos mercados da energia (24).

26. No que respeita a estes instrumentos legislativos existentes e propostos, há que estabelecer uma distinção entre os poderes de investigação concedidos às autoridades nacionais e a concessão desses poderes às autoridades da UE. Vários instrumentos obrigam os Estados-Membros a outorgar o poder de exigir registos telefónicos e de transmissão de dados às autoridades nacionais de harmonia com o direito nacional (25). Em consequência, a execução desta obrigação na prática está necessariamente sujeita ao direito nacional, incluindo as disposições de aplicação das Diretivas 95/46/CE e 2002/58/CE e outras leis nacionais que contêm garantias processuais suplementares para as autoridades nacionais de supervisão e de investigação.

27. Não existem quaisquer condições desse tipo no Regulamento ANR ou nos outros instrumentos legislativos que outorgam diretamente às autoridades da UE o poder de exigir registos telefónicos e de transmissão de dados. Por conseguinte, nestes casos, existe uma necessidade ainda mais forte de clarificar no próprio instrumento legislativo o âmbito de aplicação pessoal e material deste poder e as circunstâncias e condições em que pode ser utilizado e garantir a existência de garantias adequadas contra o abuso.

28. O artigo 23.o-C, n.o 1, alínea e), do Regulamento confere à AEVMM poderes para exigir registos telefónicos e de transmissão de dados. Tal como será explicado adiante, o âmbito de aplicação da disposição e, em especial, o significado exato da expressão «registos telefónicos e de transmissão de dados» não são claros.

2.3.2. A definição da expressão «registos telefónicos e de transmissão de dados»

29. A definição da expressão «registos telefónicos e de transmissão de dados» não é inteiramente clara e necessita, por isso, de ser esclarecida. A disposição pode referir-se aos registos telefónicos e de transmissão de dados que as ANR são obrigadas a conservar no decurso das suas atividades. Contudo, o regulamento não especifica se e que registos telefónicos e de transmissão de dados devem ser conservados pelas ANR (26). Assim, se a disposição se referir aos registos na posse destas últimas, é essencial definir com precisão as categorias de registos telefónicos e de transmissão de dados que devem ser conservadas e podem ser exigidas pela AEVMM. Segundo o princípio da proporcionalidade, esses dados devem ser adequados, pertinentes e não excessivos relativamente às finalidades de supervisão para que são tratados (27).

30. É necessário usar de maior precisão, sobretudo no caso em apreço, tendo em conta as pesadas multas e sanções pecuniárias compulsórias em que as ANR e outras pessoas (incluindo pessoas singulares, no caso das sanções pecuniárias compulsórias) envolvidas podem incorrer por infração ao disposto no regulamento (ver artigos 36.o-A e 36.o-B).

31. Importa notar também que o supracitado artigo 37.o delega à Comissão o poder de adotar alterações que permitam à Comissão alterar os anexos do regulamento, os quais contêm as informações relativas aos requisitos de conservação de dados impostos às agências de notação de risco e portanto, de forma indireta, o poder concedido pela AEVMM para aceder aos registos telefónicos e de transmissão de dados. O artigo 290.o do TFUE dispõe que um ato legislativo pode delegar na Comissão o poder de adotar atos não legislativos de alcance geral que completem ou alterem elementos não essenciais do ato legislativo. No entender da AEPD, não se pode considerar que a delimitação exata do poder para aceder aos dados de tráfego seja um elemento não essencial do regulamento. O seu âmbito de aplicação material deve ser, por isso, diretamente especificado no texto do regulamento e não adiado para futuros atos delegados.

32. A AEPD compreende que o objetivo do artigo 23.o-C, n.o 1, alínea e), não é permitir que a AEVMM aceda aos dados de tráfego diretamente através das empresas de telecomunicações. Esta parece ser a conclusão lógica, sobretudo considerando o facto de o regulamento não fazer qualquer referência aos dados na posse das empresas de telecomunicações nem aos requisitos estabelecidos pela Diretiva e Privacidade, mencionados no número 36 supra (28). Por conseguinte, por uma questão de clareza, a AEPD recomenda que se explicite melhor essa conclusão no artigo 23.o-C do Regulamento ANR ao excluir especificamente os dados de tráfego conservados pelas empresas de telecomunicações.

33. No entanto, se o objetivo for o direito de acesso aos dados de tráfego diretamente através das empresas de telecomunicações, a AEPD tem sérias dúvidas quanto à necessidade e proporcionalidade desse direito e, por isso, recomenda que esse direito seja explicitamente excluído.

2.3.3. Acesso a dados pessoais

34. O artigo 23.o-C, n.o 1, alínea e), não indica as circunstâncias e condições em que o acesso pode ser exigido e também não prevê garantias ou salvaguardas processuais importantes contra o risco de abusos. A AEPD formulará, nos números seguintes, algumas sugestões concretas neste sentido.

35. O artigo 23.o-C, n.o 1, estabelece que a AEVMM pode exigir o acesso aos registos telefónicos e de transmissão de dados com vista a exercer as suas funções nos termos do Regulamento ANR. No entender da AEPD, as circunstâncias e condições para utilizar esse poder devem ser definidas de forma mais clara. A AEPD recomenda que se limite o acesso aos registos telefónicos e de transmissão de dados às violações especificamente identificadas e graves da proposta de regulamento e aos casos em que exista uma suspeita razoável (sustentada por indícios de prova concretos) de que foi cometida uma infração. Essa limitação também é particularmente importante para evitar que o poder de acesso seja utilizado para operações fraudulentas (phishing), prospeção de dados ou finalidades diferentes.

36. Além disso, a AEPD recomenda que se introduza o requisito de que a AEVMM solicite os registos telefónicos e de transmissão de dados por meio de uma decisão formal que especifique a base jurídica e a finalidade do pedido, bem como as informações exigidas, o prazo em que elas devem ser fornecidas e o direito de recurso da decisão para o Tribunal de Justiça por parte do destinatário.

2.4. Disposições relativas à divulgação de informações

2.4.1. Informações relativas aos instrumentos financeiros estruturados

37. Na atual proposta de alteração do Regulamento ANR (29), o artigo 8.o-A respeitante às informações relativas aos instrumentos financeiros estruturados estabelece que o emitente, a entidade cedente e os patrocinadores de um instrumento financeiro estruturado deverão divulgar ao público informações sobre a qualidade creditícia e o desempenho de cada um dos ativos subjacentes do instrumento financeiro estruturado, a estrutura da operação de titularização, os fluxos de caixa e quaisquer garantias que respaldem uma posição de titularização, bem como todas as informações necessárias para realizar testes de resistência completos e bem fundamentados aos fluxos de caixa e aos valores das garantias que respaldam as exposições subjacentes. A obrigação de divulgação de informações não se estende à prestação de informações suscetíveis de infringir as disposições legais em matéria de proteção da confidencialidade das fontes de informação ou do processamento de dados pessoais.

38. Este artigo visa o emitente, a entidade cedente e os patrocinadores de um instrumento financeiro estruturado. A AEPD congratula-se com o facto de, na atual proposta de alteração ao Regulamento ANR, o artigo 8.o-A estabelecer que a obrigação de divulgar informações ao público não se estende à prestação de informações suscetíveis de infringir as disposições legais em matéria de proteção da confidencialidade das fontes de informação ou do processamento de dados pessoais.

39. Esta forma de salientar as garantias de proteção oferecidas pela legislação que rege o tratamento de dados pessoais é, no entender da AEPD, um passo na direção certa mas, em conformidade com as recomendações supracitadas, deve ser inserida uma referência clara e explícita às regras nacionais de execução da Diretiva 95/46/CE num artigo substantivo do Regulamento ANR.

2.4.2. Informações relativas às sanções pecuniárias compulsórias (30)

40. O artigo 36.o-D do Regulamento ANR estabelece que a AEVMM deve divulgar ao público todas as multas e sanções pecuniárias compulsórias que tenha imposto, a menos que tal divulgação possa afetar gravemente os mercados financeiros ou causar danos desproporcionados aos interessados.

41. Nos termos dos artigos 36.o-B e 23.o-B, n.o 1, as pessoas envolvidas em atividades de notação de risco e as pessoas que de qualquer outra forma estejam estreita e substantivamente relacionadas ou ligadas a agências ou atividades de notação de risco podem estar sujeitas a sanções pecuniárias compulsórias.

42. Deste modo, o Regulamento ANR confere à AEVMM poderes para impor sanções, não só às instituições de crédito como também às pessoas singulares materialmente responsáveis pela infração. Do mesmo modo, o artigo 36.o-D obriga a AEVMM a publicar todas as sanções pecuniárias compulsórias impostas por infração do disposto na proposta de Regulamento.

43. A publicação de sanções contribuiria para aumentar o efeito dissuasor, uma vez que os infratores existentes ou potenciais seriam desencorajados de cometer delitos a fim de evitar danos significativos à sua reputação. Aumentaria igualmente a transparência, uma vez que os operadores de mercado teriam conhecimento de que foi cometida uma infração por uma determinada pessoa. Esta obrigação é atenuada apenas nos casos em que a publicação possa provocar danos desproporcionados às partes envolvidas, caso em que as autoridades competentes devem divulgar as sanções ao abrigo do anonimato.

44. A AEPD não está convicta de que a publicação obrigatória de sanções, tal como está atualmente formulada, cumpra os requisitos da legislação relativa à proteção de dados, nos termos em que foi clarificada pelo Tribunal de Justiça no acórdão Schecke (31). Considera que o objetivo, a necessidade e a proporcionalidade da medida não ficaram suficientemente estabelecidos e que, em qualquer circunstância, devem ser previstas garantias adequadas para os direitos das pessoas singulares.

2.4.3. Necessidade e proporcionalidade das sanções pecuniárias compulsórias

45. No acórdão Schecke, o Tribunal de Justiça anulou as disposições de um regulamento do Conselho e de um regulamento da Comissão que previam a publicação obrigatória das informações relativas aos beneficiários de fundos agrícolas, incluindo a identidade dos beneficiários e os montantes recebidos. O Tribunal decidiu que a referida publicação constituía um tratamento de dados pessoais que integra o âmbito do artigo 8.o, n.o 2, da Carta dos Direitos Fundamentais da União Europeia (a «Carta») e, por conseguinte, uma ingerência nos direitos reconhecidos pelos artigos 7.o e 8.o da Carta.

46. Depois de estabelecer que «as derrogações à proteção dos dados pessoais e as suas limitações devem ocorrer na estrita medida do necessário», o Tribunal analisou o objetivo da publicação e a sua proporcionalidade. Concluiu que, nesse processo, nada indica que o Conselho e a Comissão tenham tomado em consideração, aquando da adoção da legislação em causa, outras formas de publicação de informações relativas aos beneficiários em causa conformes com o objetivo dessa publicação e que fossem ao mesmo tempo menos lesivas dos direitos desses beneficiários.

47. O artigo 36.o-D da proposta de Diretiva parece encerrar os mesmos vícios apontados pelo Tribunal de Justiça Europeu no acórdão Schecke. Importa ter em conta que, para avaliar a conformidade de uma disposição que exija a divulgação pública de informações pessoais com os requisitos relativos à proteção de dados, é essencial ter um objetivo claro e bem definido visado pela publicação de informações pessoais. Apenas com um objetivo claro e bem definido é possível avaliar se a publicação de dados pessoais envolvidos é realmente necessária e proporcionada (32).

48. A AEPD considera, por conseguinte, que o objetivo e, consequentemente, a necessidade desta medida não estão claramente estabelecidos. Os considerandos do Regulamento ANR são omissos quanto a estas questões. Se o objetivo geral consiste em aumentar o efeito dissuasor, parece que a Comissão deveria ter explicado, por exemplo, por que é que sanções financeiras mais pesadas (ou outras sanções que não correspondam à denúncia pública dos incumpridores) não teriam sido suficientes.

49. Além disso, deveriam ter sido tidos em conta métodos menos invasivos, como a publicação limitada às ANR ou a decisão de publicação caso a caso. Mais concretamente, a última opção parece ser, prima facie, uma solução mais proporcionada.

50. No entanto, a AEPD considera que a possibilidade de avaliar o caso à luz das circunstâncias específicas torna esta solução mais proporcionada e, por conseguinte, a opção preferida em comparação com a publicação obrigatória em todos os casos. Deixar a decisão ao critério das autoridades competentes permitiria à AEVMM evitar a publicação nos casos de infrações menos graves, bem como nos casos em que a infração não tenha causado prejuízos significativos ou em que a pessoa singular responsável tenha colaborado com a autoridade competente.

2.4.4. A questão das garantias adequadas

51. O Regulamento ANR deveria ter previsto garantias adequadas de modo a assegurar um equilíbrio justo entre os diferentes interesses envolvidos. Em primeiro lugar, são necessárias garantias que assegurem às pessoas em causa o direito de recurso e o princípio de presunção de inocência. Para este efeito, deveria ter sido incluída linguagem específica no texto do artigo 36.o-D, de modo a obrigar a AEVMM a adotar medidas adequadas no que respeita a situações em que a decisão é objeto de recurso ou eventualmente anulada por um tribunal (33).

52. Em segundo lugar, o Regulamento ANR deve assegurar que os direitos das pessoas em causa são respeitados de uma forma proativa. A AEPD congratula-se com o facto de o Regulamento ANR prever a possibilidade de excluir a publicação nos casos em que esta possa causar danos desproporcionados às partes envolvidas. No entanto, uma abordagem proativa implica que as pessoas em causa sejam previamente informadas de que a decisão que impõe uma sanção pecuniária compulsória será publicada e que têm o direito de oposição nos termos do artigo 14.o da Diretiva 95/46/CE por razões preponderantes e legítimas (34).

53. Em terceiro lugar, embora o Regulamento ANR não especifique o meio de informação que deve ser utilizado para a publicação, na prática, é de supor que a publicação será feita através da Internet. As publicações na Internet suscitam questões e riscos específicos, nomeadamente no que respeita à necessidade de assegurar que a informação é mantida em linha apenas durante o tempo necessário e que não pode ser alterada ou manipulada. A utilização de motores de busca externos também implica o risco de que as informações possam ser retiradas do contexto e veiculadas através e fora da Web de formas que não possam ser facilmente controladas (35).

54. Tendo em conta o acima exposto, é necessário obrigar a AEVMM a garantir que os dados das pessoas em causa são mantidos em linha apenas durante um período razoável de tempo, após o qual serão sistematicamente eliminados (36). Além disso, os Estados-Membros devem ser obrigados a garantir a aplicação de garantias e medidas de segurança adequadas, nomeadamente para proteger contra os riscos relacionados com a utilização de motores de busca externos (37).

2.4.5. Conclusão sobre a divulgação de informações relativas a sanções pecuniárias compulsórias

55. A AEPD considera que a disposição sobre a publicação obrigatória de sanções pecuniárias compulsórias, tal como está atualmente formulada, não respeita o direito fundamental da proteção da vida privada e dos dados pessoais. O legislador deve avaliar cuidadosamente a necessidade do sistema proposto e verificar se a obrigação de publicação não excede o necessário para alcançar o objetivo de interesse público previsto e se não existem medidas menos restritivas para alcançar o mesmo objetivo. Sob reserva do resultado desta verificação de proporcionalidade, a obrigação de publicação deve, em qualquer circunstância, ser apoiada por garantias adequadas que assegurem o respeito pelo princípio da presunção de inocência, o direito de oposição da pessoa em causa, a segurança/exatidão dos dados e a sua eliminação após um período de tempo adequado.

3. CONCLUSÕES

56. A AEPD formula as seguintes recomendações: — inserir uma disposição substantiva no Regulamento ANR com a seguinte redação: «no que diz respeito ao tratamento dos dados pessoais efetuado pelos Estados-Membros no âmbito do presente regulamento, as autoridades competentes e as autoridades setoriais competentes devem aplicar as disposições das regras nacionais que executam a Diretiva 95/46/CE. No que diz respeito ao tratamento dos dados pessoais efetuado pela AEVMM no âmbito do presente regulamento, a AEVMM deve aplicar as disposições do Regulamento (CE) n.o 45/2001»; — incluir garantias específicas no artigo 34.o do Regulamento ANR, à semelhança das que foram introduzidas no artigo 23.o da proposta de Regulamento do Parlamento Europeu e do Conselho relativo ao abuso de informação privilegiada e à manipulação de mercado. No parecer da AEPD sobre essa proposta de regulamento, a Agência congratula-se com a utilização dessa disposição que contém garantias adequadas como, por exemplo, a avaliação caso a caso e a garantia de que a transferência é necessária e de que existe um nível de proteção de dados pessoais adequado no país terceiro que recebe esses dados; — indicar claramente as categorias de registos telefónicos e de transmissão de dados que as ANR são obrigadas a conservar e/ou a fornecer à AEVMM. Esses dados devem ser adequados, pertinentes e não excessivos relativamente à finalidade para que são tratados; — explicitar que o acesso aos registos telefónicos e de transmissão de dados diretamente através das empresas de telecomunicações se encontra excluído; — limitar o acesso aos registos telefónicos e de transmissão de dados às violações identificadas e graves da proposta de regulamento e aos casos em que exista uma suspeita razoável (sustentada por indícios de prova concretos) de que foi cometida uma infração; — avaliar a necessidade do sistema proposto para a publicação obrigatória de sanções pecuniárias compulsórias e verificar se a obrigação de publicação não excede o necessário para alcançar o objetivo de interesse público previsto e se não existem medidas menos restritivas para alcançar o mesmo objetivo. Sob reserva do resultado desta verificação de proporcionalidade, a obrigação de publicação deve, em qualquer circunstância, ser apoiada por garantias adequadas que assegurem o respeito pelo princípio da presunção de inocência, o direito de oposição da pessoa em causa, a segurança/exatidão dos dados e a sua eliminação após um período de tempo adequado.

Feito em Bruxelas, em 10 de fevereiro de 2012. Giovanni BUTTARELLI Autoridade Adjunta Europeia para a Proteção de Dados

(1) JO L 281 de 23.11.1995, p. 31.

(2) JO L 8 de 12.1.2001, p. 1.

(3) COM(2011) 747.

(4) Regulamento (UE) n.o 513/2011, que entrou em vigor em 1 de junho de 2011.

(5) Ver, nomeadamente, os artigos 23.o e 27.o do Regulamento ANR.

(6) Ver também os recentes pareceres da AEPD sobre o pacote legislativo relativo à revisão da legislação bancária (secção 2.1), aos mercados de instrumentos financeiros (MiFID/MiFIR) (secção 2.1) e ao abuso de mercado (secção 2.1).

(7) Ver considerandos 8, 33 e 34 do Regulamento ANR.

(8) COM(2011) 651.

(9) O Regulamento ANR contém disposições que permitem ou exigem às autoridades competentes e às autoridades setoriais competentes o intercâmbio de informações entre si ou com a AEVMM. Em especial, o artigo 27.o do Regulamento exige que a AEVMM, as autoridades setoriais competentes e as autoridades competentes procedam à troca, entre si, das informações necessárias ao exercício das atribuições que lhes incumbem por força do mesmo. Também o artigo 23.o-C confere à AEVMM poderes para investigar pessoas envolvidas em atividades de notação de risco e pessoas que de qualquer outra forma estejam estreita e substantivamente relacionadas ou ligadas a agências ou atividades de notação de risco. De acordo com o artigo 23.o-B, a AEVMM pode também exigir a essas pessoas singulares todas as informações que considerar necessárias. Estas disposições implicam claramente que os intercâmbios de informações pessoais sejam realizados no âmbito do Regulamento ANR.

(10) Proposta da Comissão para um Regulamento do Parlamento Europeu e do Conselho relativo ao abuso de informação privilegiada e à manipulação de mercado, COM(2011) 651.

(11) Ver o parecer da AEPD de 10 de fevereiro de 2012 sobre a proposta para um Regulamento do Parlamento Europeu e do Conselho relativo ao abuso de informação privilegiada e à manipulação de mercado, COM(2011) 651.

(12) Ver também os recentes pareceres da AEPD sobre o pacote legislativo relativo à revisão da legislação bancária (secção 2.2), aos mercados de instrumentos financeiros (MiFID/MiFIR) (secção 2.8) e ao abuso de mercado (secção 2.5).

(13) Ver também os recentes pareceres da AEPD sobre os mercados de instrumentos financeiros (MiFID/MiFIR) (Secção 2.3) e o abuso de mercado (Secção 2.3.2).

(14) Artigo 23.o-C, n.o 5.

(15) Ver o artigo 6.o, n.o 1, da Diretiva 2002/58/CE (JO L 201 de 31.7.2002, p. 37).

(16) O artigo 15.o, n.o 1, da Diretiva 2002/58/CE prevê que tais restrições devem constituir «uma medida necessária, adequada e proporcionada numa sociedade democrática para salvaguardar a segurança nacional (ou seja, a segurança do Estado), a defesa, a segurança pública, e a prevenção, a investigação, a deteção e a repressão de infrações penais ou a utilização não autorizada do sistema de comunicações eletrónicas, tal como referido no artigo 13.o, n.o 1, da Diretiva 95/46/CE. Para o efeito, os Estados-Membros podem designadamente adotar medidas legislativas prevendo que os dados sejam conservados durante um período limitado, pelas razões enunciadas no presente número […]».

(17) Ver, por exemplo, Processos apensos C-92/09 e C-93/09, Volker und Markus Schecke GbR (C-92/09), Hartmut Eifert (C-92/09) contra Land Hessen, ainda não publicados na Coletânea, ponto 74.

(18) Normalmente os trabalhadores a quem o tráfego telefónico e de dados pode ser imputado, bem como os destinatários e outros utilizadores envolvidos.

(19) Diretiva 2003/6/CE do Parlamento Europeu e do Conselho, de 28 de janeiro de 2003, relativa ao abuso de informação privilegiada e à manipulação de mercado (abuso de mercado) (JO L 96 de 12.4.2003, p. 16).

(20) Diretiva 2004/39/CE do Parlamento Europeu e do Conselho, de 21 de abril de 2004, relativa aos mercados de instrumentos financeiros, que altera as Diretivas 85/611/CEE e 93/6/CEE do Conselho e a Diretiva 2000/12/CE do Parlamento Europeu e do Conselho e que revoga a Diretiva 93/22/CEE do Conselho (JO L 145 de 30.4.2004, p. 1).

(21) Diretiva 2009/65/CE do Parlamento Europeu e do Conselho, de 13 de julho de 2009, que coordena as disposições legislativas, regulamentares e administrativas respeitantes a alguns organismos de investimento coletivo em valores mobiliários (OICVM) (JO L 302 de 17.11.2009, p. 32).

(22) Proposta de 30 de abril de 2009 de Diretiva do Parlamento Europeu e do Conselho relativa aos gestores de fundos de investimento alternativos e que altera as Diretivas 2004/39/CE e 2009/65/CE, COM(2009) 207.

(23) Proposta de 15 de setembro de 2010 de Regulamento do Parlamento Europeu e do Conselho relativo às vendas a descoberto e a certos aspetos dos swaps de risco de incumprimento, COM(2010) 482.

(24) Proposta de Regulamento do Parlamento Europeu e do Conselho relativo à integridade e à transparência nos mercados da energia, COM(2010) 726.

(25) Ver, por exemplo, o artigo 12.o, n.o 2, da Diretiva relativa ao abuso de mercado mencionada na nota de rodapé 20. Ver também o artigo 50.o da Diretiva MiFID, mencionado na nota de rodapé 21.

(26) A expressão «registos telefónicos e de transmissão de dados» é suscetível de incluir uma grande variedade de informações, nomeadamente em relação à duração, ao tempo ou ao volume de uma comunicação, ao protocolo utilizado, à localização do equipamento terminal do expedidor ou do destinatário, à rede de onde provém ou onde termina a comunicação, ao início, fim ou duração de uma ligação ou mesmo a lista de sítios Web visitados e os conteúdos das próprias comunicações, caso sejam gravadas. Na medida em que digam respeito a pessoas singulares identificadas ou identificáveis, todas estas informações constituem dados pessoais.

(27) Ver artigo 6.o, n.o 1, alínea c), da Diretiva 95/46/CE e artigo 4.o, n.o 1, alínea c), do Regulamento (CE) n.o 45/2001. Também se deve analisar se é possível conceber garantias específicas para evitar que os dados referentes a uma utilização verdadeiramente privada sejam captados e tratados.

(28) Como anteriormente referido, a Diretiva e Privacidade estabelece o princípio geral de que os dados de tráfego devem ser eliminados ou tornados anónimos quando deixem de ser necessários para efeitos da transmissão de uma comunicação. Esses dados só podem ser objeto de tratamento adicional para efeitos de faturação e de pagamento de interligações e apenas até ao final do período durante o qual a fatura pode ser legalmente contestada ou o pagamento reclamado. Qualquer derrogação deste princípio deve ser necessária, adequada e proporcionada numa sociedade democrática, por razões específicas de ordem pública, isto é, para salvaguardar a segurança nacional (ou seja, a segurança do Estado), a defesa, a segurança pública e a prevenção, a investigação, a deteção e a repressão de infrações penais ou a utilização não autorizada do sistema de comunicações eletrónicas.

(29) COM(2011) 747.

(30) Ver também os recentes pareceres da AEPD sobre o pacote legislativo relativo à revisão da legislação bancária (secção 2.4), aos mercados de instrumentos financeiros (MiFID/MiFIR) (secção 2.5) e ao abuso de mercado (secção 2.6).

(31) Processos apensos C-92/09 e C-93/09, Schecke, números 56 a 64.

(32) Ver também sobre esta matéria o parecer da AEPD de 15 de abril de 2011 sobre a proposta de regulamento do Parlamento Europeu e do Conselho relativo às disposições financeiras aplicáveis ao orçamento anual da União (JO C 215 de 21.7.2011, p. 13).

(33) Por exemplo, as medidas seguintes poderiam ter sido consideradas pelas autoridades nacionais: prorrogar a publicação até ser conhecida a decisão sobre o recurso ou, como sugerido no relatório da avaliação de impacto, indicar claramente que a decisão ainda é objeto de recurso e que a pessoa deve ser presumida inocente até que a decisão se torne definitiva ou publicar uma retificação nos casos em que a decisão é anulada por um tribunal.

(34) Ver o parecer da AEPD de 10 de abril de 2007 sobre o financiamento da Política Agrícola Comum (JO C 134 de 16.6.2007, p. 1).

(35) Ver o documento sobre esta matéria publicado pela autoridade de proteção de dados italiana Personal Data As Also Contained in Records and Documents by Public Administrative Bodies: Guidelines for Their Processing by Public Bodies in Connection with Web-Based Communication and Dissemination (Dados pessoais contidos em registos e documentos administrativos de organismos públicos: orientações para o seu tratamento por organismos públicos no que respeita à comunicação e à divulgação na Web), disponível no sítio Web da autoridade de proteção de dados italiana, http://www.garanteprivacy.it/garante/doc.jsp?ID=1803707

(36) Estas questões estão também relacionadas com «o direito a ser esquecido», de âmbito mais geral, e cuja inclusão no novo quadro legislativo para a proteção de dados pessoais está em discussão.

(37) Estas medidas e garantias poderiam consistir, por exemplo, na exclusão da indexação de dados através de motores de busca externos.