Síntese do Parecer da Autoridade Europeia para a Proteção de Dados sobre a proposta de Regulamento Serviços Digitais

(O texto integral sobre este Parecer poderá ser consultado nas versões alemão, francês e inglês no sítio Web da AEPD em: www.edps.europa.eu)

(2021/C 149/03)

Em 15 de dezembro de 2020, a Comissão adotou uma proposta de Regulamento do Parlamento Europeu e do Conselho relativo a um mercado único de serviços digitais (Regulamento Serviços Digitais) e que altera a Diretiva 2000/31/CE («RSD»).

A AEPD apoia o objetivo da Comissão de promover um ambiente em linha transparente e seguro, definindo as responsabilidades e a responsabilização dos serviços intermediários, em particular das plataformas em linha, tais como as redes sociais e os mercados.

A AEPD congratula-se com o facto de que a proposta pretende complementar, e não substituir, as proteções existentes ao abrigo do Regulamento (UE) 2016/679 e da Diretiva 2002/58/CE. Assim sendo, a proposta terá claramente impacto no tratamento dos dados pessoais. A AEPD considera necessário garantir a complementaridade em termos de supervisão e controlo das plataformas em linha e outros prestadores de serviços de armazenagem em servidor.

Determinadas atividades no contexto das plataformas em linha representam riscos cada vez maiores não só para os direitos das pessoas singulares, como também para toda a sociedade. Embora a proposta inclua um conjunto de medidas de atenuação dos riscos, justificam-se garantias adicionais, em particular no que respeita à moderação de conteúdos, à publicidade em linha e aos sistemas de recomendação.

A moderação de conteúdos deve ser realizada em conformidade com o Estado de direito. Tendo em conta o já endémico controlo do comportamento das pessoas singulares, nomeadamente no contexto das plataformas em linha, o RSD deve delimitar as situações em que os esforços para combater os «conteúdos ilegais» legitimam a utilização de meios automatizados para detetar, identificar e lutar contra os conteúdos ilegais. A definição de perfis para fins de moderação de conteúdos deve ser proibida, a menos que o prestador possa demonstrar que tais medidas são estritamente necessárias para enfrentar os riscos sistémicos explicitamente identificados pelo RSD.

Dado o grande número de riscos associados à publicidade direcionada em linha, a AEPD exorta os colegisladores a considerar regras adicionais para além da transparência. Tais medidas devem incluir uma eliminação gradual que conduza a uma proibição da publicidade direcionada com base em rastreamento generalizado, bem como restrições relativamente às categorias de dados que podem ser tratados para fins de direcionamento e às categorias de dados que podem ser divulgados a anunciantes ou terceiros para permitir ou facilitar a publicidade direcionada.

Em conformidade com as exigências em matéria de proteção de dados desde a conceção e por defeito, os sistemas de recomendação não devem, por defeito, basear-se na definição de perfis. Em virtude do seu impacto significativo, a AEPD recomenda igualmente medidas adicionais para continuar a promover a transparência e o controlo dos utilizadores relativamente aos sistemas de recomendação.

Em termos mais gerais, a AEPD recomenda a introdução de requisitos mínimos de interoperabilidade para plataformas em linha de muito grande dimensão e a promoção do desenvolvimento de normas técnicas a nível europeu, em conformidade com a legislação da União aplicável em matéria de normalização europeia.

Tendo em conta a experiência e a evolução associadas às câmaras de compensação digital, a AEPD recomenda veementemente que se preveja uma base jurídica explícita e abrangente para a cooperação e o intercâmbio de informações pertinentes entre as autoridades de supervisão, cada uma agindo no âmbito das respetivas competências. O Regulamento Serviços Digitais deve garantir uma cooperação institucionalizada e estruturada entre as autoridades de controlo competentes, incluindo as autoridades de proteção de dados, as autoridades de defesa dos consumidores e as autoridades da concorrência.

1. INTRODUÇÃO E CONTEXTO

1. Em 15 de dezembro de 2020, a Comissão adotou uma proposta de Regulamento do Parlamento Europeu e do Conselho relativo a um mercado único de serviços digitais (Regulamento Serviços Digitais) e que altera a Diretiva 2000/31/CE ( 1 )

2. Construir o futuro digital da Europa , na qual a Comissão confirmou a sua intenção de estabelecer regras novas e alteradas no intuito de aprofundar o mercado interno dos serviços digitais, aumentando e harmonizando as responsabilidades das plataformas em linha e dos prestadores de serviços de informação e reforçando o controlo exercido sobre as políticas prosseguidas pelas plataformas em matéria de conteúdos na UE A proposta surge na sequência da Comunicação, na qual a Comissão confirmou a sua intenção de estabelecer regras novas e alteradas no intuito de aprofundar o mercado interno dos serviços digitais, aumentando e harmonizando as responsabilidades das plataformas em linha e dos prestadores de serviços de informação e reforçando o controlo exercido sobre as políticas prosseguidas pelas plataformas em matéria de conteúdos na UE ( 2 )

3. De acordo com a exposição de motivos, novos e inovadores serviços digitais contribuíram profundamente para as transformações sociais e económicas que ocorreram na União e em todo o mundo. Simultaneamente, a utilização desses serviços tornou-se igualmente fonte de novos riscos e desafios, tanto para a sociedade no seu conjunto como para os cidadãos que utilizam esses serviços ( 3 )

4. A proposta visa assegurar as melhores condições para a prestação de serviços digitais inovadores no mercado interno, contribuir para a segurança em linha e para a proteção dos direitos fundamentais e criar uma estrutura de governação sólida e duradoura para a supervisão eficaz dos prestadores de serviços intermediários ( 4 ) . Neste sentido, a proposta: — contém disposições relativas à isenção de responsabilidade dos prestadores de serviços intermediários (capítulo II); — estabelece «obrigações de devida diligência», adaptadas ao tipo e à natureza do serviço intermediário em causa (capítulo II); e — inclui disposições relativas à aplicação e execução do regulamento proposto (capítulo IV).

5. A AEPD foi consultada informalmente sobre o projeto de proposta de Regulamento Serviços Digitais em 27 de novembro de 2020. A AEPD congratula-se por ter sido consultada nesta fase inicial do procedimento.

6. o , n. o 1, do Regulamento (UE) 2018/1725, a AEPD foi também consultada sobre a proposta de Regulamento Mercados Digitais, que consiste no objeto de um outro parecer. Além da proposta de Regulamento Serviços Digitais, a Comissão adotou igualmente uma proposta de Regulamento do Parlamento Europeu e do Conselho relativo à disputabilidade e equidade dos mercados no setor digital (Regulamento Mercados Digitais) ( 5 ) . Em conformidade com o artigo 42., n.1, do Regulamento (UE) 2018/1725, a AEPD foi também consultada sobre a proposta de Regulamento Mercados Digitais, que consiste no objeto de um outro parecer.

3. CONCLUSÕES

93. Tendo em conta o supramencionado, a AEPD formula as seguintes recomendações:

Relativamente à relação com o Regulamento (UE) 2016/679 e a Diretiva 2002/58/CE:

— Alinhar a formulação do artigo 1.o, n.o 5, alínea i), da proposta com a atual formulação do artigo 1.o, n.o 5, alínea b), da Diretiva 2000/31/CE; e

— Esclarecer que a proposta não é aplicável a questões relacionadas com a responsabilidade dos responsáveis pelo tratamento e dos subcontratantes.

Relativamente à moderação de conteúdos e à notificação de suspeitas de crime:

— Esclarecer que nem todas as formas de moderação de conteúdos exigem a atribuição a um titular de dados específico e que, de acordo com os requisitos de minimização dos dados e de proteção dos dados desde a conceção e por defeito, a moderação de conteúdos não deve, na medida do possível, implicar qualquer tratamento de dados pessoais;

— Garantir que a moderação de conteúdos é realizada em conformidade com o Estado de direito, delimitando as situações em que os esforços para combater os «conteúdos ilegais» legitimam a utilização de meios automatizados e o tratamento de dados pessoais para detetar, identificar e lutar contra os conteúdos ilegais;

— Especificar que a definição de perfis para fins de moderação de conteúdos deve ser proibida, a menos que o prestador possa demonstrar que tais medidas são estritamente necessárias para enfrentar os riscos sistémicos explicitamente identificados pela proposta;

— Esclarecer se e em que medida os prestadores de serviços intermediários estão autorizados a proceder voluntariamente à notificação de suspeitas de crime às autoridades policiais ou judiciárias, fora do caso previsto no artigo 21.o da proposta;

— Especificar que qualquer prestador de serviços de armazenagem em servidor que utilize meios automatizados de moderação de conteúdos deve garantir que tais meios não produzem resultados discriminatórios ou injustificados;

— Alargar o requisito previsto no artigo 12.o, n.o 2, da proposta a todas as formas de moderação de conteúdos, independentemente de tal moderação ser realizada de acordo com os termos e condições do prestador ou sob qualquer outra indicação; e especificar que as medidas devem ser «necessárias» além de «proporcionadas» para os objetivos prosseguidos;

— Reforçar os requisitos de transparência estabelecidos no artigo 14.o, n.o 6, e no artigo 15.o, n.o 2, alínea c), da proposta, especificando em mais pormenor as informações que devem ser fornecidas às pessoas em causa, nomeadamente no caso de utilização de meios automatizados para a moderação de conteúdos, sem prejuízo do dever de informar e dos direitos dos titulares dos dados ao abrigo do Regulamento (UE) 2016/679;

— Alterar o artigo 15.o, n.o 2, da proposta, a fim de estipular de forma inequívoca que devem ser fornecidas, em qualquer caso, informações sobre os meios automatizados utilizados para a deteção e identificação de conteúdos ilegais, independentemente de a decisão posterior ter ou não implicado a utilização de meios automatizados;

— Exigir que todos os prestadores de serviços de armazenagem em servidor, e não apenas as plataformas em linha, proporcionem um mecanismo de reclamação facilmente acessível, conforme previsto no artigo 17.o da proposta;

— Introduzir um prazo no artigo 17.o da proposta relativamente à decisão da plataforma sobre a reclamação, bem como a indicação de que o mecanismo de reclamação a estabelecer não prejudica os direitos e recursos à disposição dos titulares de dados em conformidade com o Regulamento (UE) 2016/679 e a Diretiva 2002/58/CE;

— Especificar em mais pormenor, mediante enumeração num anexo, quaisquer outras infrações penais (diferentes de pornografia infantil) que cumpram o limiar previsto no artigo 21.o da proposta e possam obrigar à notificação;

— Considerar a introdução de medidas adicionais para garantir a transparência e o exercício dos direitos dos titulares dos dados, sujeitas, quando estritamente necessárias, a restrições estreitamente definidas (por exemplo, sempre que necessário para proteger a confidencialidade de uma investigação em curso) em conformidade com os requisitos estabelecidos no artigo 23.o, n.os 1 e 2, do Regulamento (UE) 2016/679; e

— Definir de forma clara a expressão «informações pertinentes», referida no artigo 21.o da proposta, fornecendo uma lista exaustiva das categorias de dados que devem ser comunicados, bem como de quaisquer categorias de dados que devem ser conservados com vista a apoiar posteriores investigações por parte das autoridades policiais competentes, se necessário.

Relativamente à publicidade em linha:

— Ter em consideração regras adicionais para além da transparência, incluindo uma eliminação gradual que conduza a uma proibição da publicidade direcionada com base em rastreamento generalizado;

— Ter em consideração restrições em relação a) às categorias de dados que podem ser tratados para fins de direcionamento; b) às categorias de dados ou critérios com base nos quais os anúncios publicitários podem ser direcionados ou oferecidos; e c) às categorias de dados que podem ser divulgados a anunciantes ou terceiros para permitir ou facilitar a publicidade direcionada; e

— Esclarecer melhor a referência nos artigos 24.o e 30.o da proposta à pessoa singular ou coletiva em cujo nome o anúncio publicitário é exibido;

— Adicionar aos requisitos previstos no artigo 24.o um novo ponto que exija que o fornecedor de plataformas informe os titulares de dados sobre se a publicidade foi selecionada com recurso a um sistema automatizado (por exemplo, bolsa de publicidade ou plataforma) e, em tal caso, a identidade da ou das pessoas singulares ou coletivas responsáveis pelo(s) sistema(s);

— Especificar no artigo 30.o, n.o 2, alínea d), que o registo deve incluir igualmente informações sobre se um ou mais grupos específicos de destinatários do serviço foram excluídos do grupo-alvo de publicidade;

— Substituir a referência a «principais parâmetros» por «parâmetros» e esclarecer melhor que parâmetros necessitariam de ser divulgados, no mínimo, para constituírem «informações pertinentes» na aceção dos artigos 24.o e 30.o da proposta; e

— Ter em consideração requisitos semelhantes que sejam aplicáveis para garantir a rastreabilidade dos comerciantes (artigo 22.o da proposta) em relação aos utilizadores de serviços de publicidade em linha (artigos 24.o e 30.o da proposta).

Relativamente aos sistemas de recomendação:

— Esclarecer que, em conformidade com as exigências em matéria de proteção de dados desde a conceção e por defeito, os sistemas de recomendação não devem, por defeito, basear-se na «definição de perfis» na aceção do artigo 4.o, ponto 4, do Regulamento (UE) 2016/679;

— Prever que as informações relativas à função e ao funcionamento dos sistemas de recomendação sejam apresentadas separadamente, de uma forma que deve ser facilmente acessível, clara para o cidadão comum e concisa;

— Prever que, em conformidade com as exigências em matéria de proteção de dados desde a conceção e por defeito, os sistemas de recomendação não devem, por defeito, basear-se na «definição de perfis» na aceção do artigo 4.o, ponto 4, do Regulamento (UE) 2016/679; e

— Incluir os seguintes requisitos adicionais no artigo 29.o da proposta: — Indicar numa parte destacada da plataforma o facto de que a plataforma utiliza um sistema de recomendação e um controlo com as opções disponíveis apresentadas de uma forma fácil de utilizar; — Informar o utilizador da plataforma sobre se o sistema de recomendação é um sistema de decisão automatizada e, em tal caso, a identidade da pessoa singular ou coletiva responsável pela decisão; — Permitir que os titulares de dados visualizem, de uma forma fácil de utilizar, qualquer perfil ou perfis associados que sejam utilizados para efetuar a curadoria digital dos conteúdos da plataforma para o destinatário do serviço; — Permitir que os destinatários do serviço personalizem os sistemas de recomendação com base, pelo menos, em critérios básicos naturais (por exemplo, data, tópicos de interesse, etc.); e — Proporcionar aos utilizadores uma opção facilmente acessível para eliminar qualquer perfil ou perfis utilizados para efetuar a curadoria digital dos conteúdos que visualizam.

Relativamente ao acesso por investigadores habilitados:

— Prever que, em conformidade com as exigências em matéria de proteção de dados desde a conceção e por defeito, os sistemas de recomendação não devem, por defeito, basear-se na «definição de perfis» na aceção do artigo 4.o, ponto 4, do Regulamento (UE) 2016/679;

— Reformular o artigo 26.o, n.o 1, alínea c), da proposta, a fim de fazer referência a um efeito negativo sistémico real ou previsível na proteção da saúde pública, nos menores e no discurso cívico, ou a efeitos reais ou previsíveis no que respeita aos processos eleitorais e à segurança pública, nomeadamente em relação ao risco de manipulação intencional do seu serviço, inclusive através de uma utilização não autêntica ou da exploração automatizada do serviço;

— Ampliar o artigo 31.o para permitir, pelo menos, a verificação da eficácia e proporcionalidade das medidas de atenuação; e

— Considerar uma forma para facilitar a investigação de interesse público em termos mais gerais, incluindo fora do âmbito do controlo do cumprimento da proposta.

Relativamente à interoperabilidade de plataformas:

— Considerar a introdução de requisitos mínimos de interoperabilidade para plataformas em linha de muito grande dimensão e a promoção do desenvolvimento de normas técnicas a nível europeu, em conformidade com a legislação da União aplicável em matéria de normalização europeia.

Relativamente à aplicação, à cooperação, às sanções e à execução:

— Garantir a complementaridade em termos de supervisão e controlo das plataformas em linha e outros prestadores de serviços de armazenagem em servidor, em particular mediante o seguinte: — Previsão de uma base jurídica explícita para a cooperação entre as autoridades competentes, cada uma agindo no âmbito das respetivas competências; — Exigência de uma cooperação institucionalizada e estruturada entre as autoridades de controlo competentes, incluindo as autoridades de proteção de dados; e — Referência explícita às autoridades competentes envolvidas na cooperação e identificação das circunstâncias em que a cooperação deve ocorrer.

— Referir as autoridades competentes no domínio do direito da concorrência, bem como o Comité Europeu de Proteção de Dados, nos considerandos da proposta;

— Garantir que os coordenadores dos serviços digitais, as autoridades competentes e a Comissão tenham igualmente a competência e o dever de consultar as autoridades competentes pertinentes, incluindo as autoridades de proteção de dados, no âmbito das suas investigações e avaliações da conformidade com a proposta;

— Esclarecer que as autoridades de supervisão competentes ao abrigo da proposta devem ser capazes de fornecer, a pedido das autoridades de supervisão competentes ao abrigo do Regulamento (UE) 2016/679 ou por sua própria iniciativa, quaisquer informações obtidas no âmbito de auditorias e investigações relacionadas com o tratamento de dados pessoais, bem como incluir uma base jurídica explícita para o efeito;

— Garantir uma maior coerência entre os critérios previstos no artigo 41.o, n.o 5, no artigo 42.o, n.o 2, e no artigo 59.o da proposta; e

— Permitir que o Comité Europeu dos Serviços Digitais emita pareceres de iniciativa, bem como pareceres sobre outras questões que não as medidas tomadas pela Comissão.

Bruxelas, 10 de fevereiro de 2021. Wojciech Rafał WIEWIÓROWSKI

(1) COM(2020) 825 final.

(2) COM(2020) 67 final, p. 12.

(3) COM(2020) 825 final, p. 1.

(4) COM(2020) 825 final, p. 2.

(5) COM(2020) 842 final.