PT Jornal Oficial da União Europeia C 164/2

Síntese do Parecer da AEPD sobre a Proposta de regulamento do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições, órgãos, organismos e agências da União e à livre circulação desses dados e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE

(O texto integral do presente parecer encontra-se disponível em inglês, francês e alemão no sítio web da AEPD em www.edps.europa.eu)

(2017/C 164/02)

A União Europeia está a promulgar uma nova geração de normas em matéria de proteção de dados. A adoção, há quase um ano, do Regulamento Geral sobre a Proteção de Dados e da Diretiva relativa à proteção de dados nos setores da polícia e da justiça representou o esforço mais ambicioso do legislador da UE até ao momento para assegurar os direitos fundamentais das pessoas singulares na era digital. Agora, é chegada a altura de as próprias Instituições da UE darem o exemplo nas regras que aplicam a si mesmas enquanto responsáveis pelo tratamento dos dados e subcontratantes. Ao longo dos últimos 18 meses, a AEPD encetou um diálogo com as Instituições da UE ao mais alto nível com o propósito de as preparar para os novos desafios relacionados com o cumprimento em matéria de proteção dos dados, sublinhando o novo princípio de responsabilização pelo modo como os dados são objeto de tratamento. Com o presente Parecer, a AEPD pretende trazer doze anos de experiência de supervisão, aconselhamento político e intermediação independentes na sugestão de melhorias à proposta de regulamento sobre o tratamento de dados pessoais pelas instituições e órgãos da UE.

O Regulamento (CE) n.o 45/2001 serviu de guia, prevendo obrigações diretamente aplicáveis aos responsáveis pelo tratamento, direitos para os titulares dos dados e um órgão de supervisão claramente independente. Agora, a UE deve assegurar a coerência com o RGPD com uma ênfase na responsabilização e em garantias para as pessoas singulares e não para os procedimentos. Justifica-se alguma divergência nas regras do tratamento de dados aplicáveis às instituições da UE, do mesmo modo que foram incluídas exceções ao setor público no RGPD, mas tal deve limitar-se ao mínimo.

No entanto, torna-se imprescindível, da perspetiva da pessoa singular, que os princípios comuns do quadro da UE relativo à proteção dos dados sejam aplicados de forma consistente, independentemente de quem seja o responsável pelo tratamento. Afigura-se igualmente essencial que o quadro seja aplicado na íntegra ao mesmo tempo, ou seja, em maio de 2018, data-limite para o RGPD se tornar plenamente aplicável.

A AEPD foi consultada pela Comissão sobre o projeto de proposta em consonância com um acordo há muito existente entre as nossas Instituições. Consideramos que a Comissão conseguiu um bom equilíbrio geral dos vários interesses em causa. O presente Parecer aponta um conjunto de domínios nos quais a Proposta ainda poderia ser melhorada. Defendemos melhorias à proposta de regulamento, designadamente no tocante às restrições aos direitos do titular dos dados e à disposição relativa à utilização por parte das instituições da UE de procedimentos de certificação em determinados contextos. Relativamente às nossas próprias funções e poderes enquanto órgão independente, a Proposta parece alcançar um equilíbrio razoável e refletir as funções normais de uma Autoridade de Proteção de Dados independente ao abrigo da Carta dos Direitos Fundamentais e conforme corroborado na jurisprudência recente do Tribunal de Justiça, seja como responsável pela aplicação, gestor de reclamações e consultor do legislador sobre políticas que afetam a proteção dos dados e a privacidade.

Instamos o legislador da UE a alcançar um acordo sobre a proposta com a maior brevidade possível, de modo a permitir que as instituições da UE beneficiem de um período razoável de transição antes de o novo regulamento se tornar aplicável.

1. INTRODUÇÃO E CONTEXTO

1.1. Contexto

1. Em 10 de janeiro de 2017, a Comissão Europeia adotou uma Proposta de regulamento do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições, órgãos, organismos e agências da União e à livre circulação desses dados e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (1) (a «Proposta»).

2. O direito fundamental à proteção dos dados pessoais está consagrado no artigo 8.o da Carta dos Direitos Fundamentais da União Europeia (a «Carta») e no artigo 16.o do Tratado sobre o Funcionamento da União Europeia (o «TFUE»).

3. A Autoridade Europeia para a Proteção de Dados («AEPD») é a autoridade de supervisão independente responsável por garantir que as instituições, órgãos, organismos e agências da União («instituições da UE») cumprem a legislação em matéria de proteção dos dados aquando do tratamento de dados pessoais (2). O requisito de prever um controlo independente no sistema de proteção de dados da UE está consagrado no direito primário, tanto no artigo 16.o, n.o 2, do TFUE quanto no artigo 8.o, n.o 3, da Carta. O Tribunal de Justiça salientou consistentemente que o controlo por parte uma autoridade independente constitui uma componente essencial do direito à proteção dos dados e estabeleceu os critérios para essa independência (3). Concretamente, a autoridade de supervisão deve atuar com total independência, o que implica um poder decisório isento de qualquer influência, direta ou indireta, externa (4) e isenção de qualquer suspeita ou parcialidade (5).

4. O principal instrumento jurídico aplicável ao tratamento de dados pessoais pelas instituições da UE é o Regulamento (CE) n.o 45/2001 (6) («Regulamento 45/2001»), complementado pela Decisão n.o 1247/2002/CE (7).

5. Após a conclusão, em 27 de abril de 2016, das longas negociações sobre o novo quadro da UE em matéria de proteção dos dados – o Regulamento Geral sobre a Proteção de Dados («RGPD» e a Diretiva relativa à proteção de dados nos setores da polícia e da justiça - esta Proposta (juntamente com a proposta da Comissão sobre a um Regulamento relativo à privacidade e às comunicações eletrónicas («Regulamento relativo à privacidade eletrónica» (8)) assinala o início de uma fase crucial no processo de completar este quadro da UE em matéria de proteção dos dados. A mesma visa harmonizar as disposições do Regulamento (CE) n.o 45/2011 com as regras estabelecidas no RGPD, a fim de criar um quadro de proteção dos dados mais forte e mais coerente na União e permitir que ambos os instrumentos sejam simultaneamente aplicáveis. (9). Além disso, a Proposta também integra novas regras para a proteção dos equipamentos terminais dos utilizadores finais, estabelecidas na proposta da Comissão sobre o novo Regulamento relativo à privacidade eletrónica.

6. Na Estratégia 2015-2019, a AEPD comprometeu-se a trabalhar com o Parlamento Europeu, o Conselho e a Comissão para assegurar que as regras em vigor definidas no Regulamento 45/2001 são harmonizadas com o RGPD e que um quadro revisto entra em vigor o mais tardar no início de 2018. A AEPD saúda o facto de ter sido consultada a título informal pela Comissão antes da adoção da Proposta e de a proposta parecer ter tido em conta muitos dos elementos suscitados nas suas contribuições informais até à data. Considera que a Proposta atual é mais do que satisfatória do ponto de vista da harmonização máxima com o RGPD, salvo se especificidades estritamente definidas do setor público da UE justificarem o contrário, e aprecia especialmente o equilíbrio dos vários interesses em causa alcançado pela Comissão.

7. Embora o presente Parecer indique alguns domínios nos quais a Proposta ainda poderia ser melhorada, a AEPD incentiva o legislador da UE a alcançar um acordo sobre a Proposta com a maior brevidade possível, de modo a permitir que as instituições da UE beneficiem de um período razoável de transição antes de o novo regulamento poder tornar-se plenamente aplicável.

1.2. Objetivos da Proposta e calendarização

8. No passado, a AEPD recomendou que as regras substantivas para as instituições da UE fossem incorporadas no (então) projeto do RGPD (10). O legislador da UE escolheu outra via: um instrumento jurídico separado aplicável às instituições da UE harmonizado e aplicável simultaneamente com o RGPD. A AEPD apoia esta abordagem: seria inaceitável se a Comissão Europeia e as demais instituições da UE não estivessem vinculadas por regras equivalentes às que a breve trecho se tornarão aplicáveis a nível dos Estados-Membros. Além disso, não seria desejável para a AEPD supervisionar a conformidade das instituições da UE com regras substantivas que seriam inferiores às regras supervisionadas pelos seus homólogos a nível nacional, sobretudo pelo facto de que a AEPD se tornará membro do futuro Comité Europeu para a Proteção de Dados (CEPD) (11).

9. As futuras regras aplicáveis ao tratamento de dados pessoais por parte das instituições da UE devem, por conseguinte, ser harmonizadas com as disposições do RGPD, salvo se especificidades do setor público interpretadas de forma mais estrita justificarem o contrário. A este respeito, a AEPD congratula-se com o considerando 5 da Proposta que salienta a necessidade de harmonizar o mais possível e esclarece que, «[s]empre que as disposições do presente regulamento sejam baseadas no mesmo conceito que as disposições do [RGPD], essas duas disposições devem ser interpretadas de forma homogénea, sobretudo porque o sistema do presente regulamento deve ser entendido como equivalente ao sistema do [RGPD].».

10. Ao mesmo tempo, a harmonização com o RGPD não pode ser plena, nem automática. O RGPD inclui várias cláusulas que permitem aos Estados-Membros manter ou introduzir legislação específica em certos domínios, nomeadamente para as autoridades públicas (12). Nos casos em que o RGPD prevê regras específicas para as autoridades públicas (13) ou deixa margem para a execução das suas disposições por parte dos Estados-Membros, a Proposta pode ser considerada desempenhar um papel comparável a uma legislação nacional que «dá execução» ao RGPD, como por exemplo no artigo 9.o«Transmissões de dados pessoais a destinatários diferentes das instituições e organismos da União» ou no artigo 66.o«Coimas» da Proposta (ver secção 2.8.1 infra). Além disso, é importante assegurar que é mantido o elevado nível de proteção atualmente aplicável às instituições da UE. Daí a necessidade de manter certas especificidades do Regulamento (CE) n.o 45/2001, tais como no artigo 25.o Limitações (consultar a secção 2.3.1 infra) e no artigo 44.o Designação do encarregado da proteção de dados (consultar a secção 2.4.5.1 infra).

11. Além da harmonização substantiva com o RGPD, é essencial que as regras revistas se tornem plenamente aplicáveis ao mesmo tempo que o RGPD, ou seja, em 25 de maio de 2018. A rede existente de encarregados da proteção de dados (EPD) proporciona um canal eficiente de intercâmbio de informações e cooperação. Consequentemente, a AEPD está convicta de que poderá ser alcançada conformidade após um período de transição relativamente curto, por exemplo, três meses.

12. O princípio da responsabilização subjacente ao RGPD - bem como à presente Proposta – vai além da simples conformidade com as regras e implica uma mudança de cultura. A fim de facilitar a transição, a AEPD lançou um «projeto de responsabilização». Neste contexto, a AEPD esteve em contacto ao longo de 2016 e 2017 com sete instituições e órgãos importantes da UE para ajudar a preparar em tempo oportuno a aplicação do RGPD.

1.3. Âmbito de aplicação e relação com outros instrumentos jurídicos

13. No passado, a AEPD exortou por várias vezes a Comissão a propor um sistema robusto e abrangente que fosse ambicioso e reforçasse a eficácia e a coerência da proteção dos dados na UE, de molde a assegurar um ambiente sólido para prosseguir o desenvolvimento nos próximos anos (14). A Comissão optou por uma abordagem diferente e propôs um instrumento jurídico separado para a proteção dos dados no domínio da aplicação da legislação (15). Seguiram-se várias propostas de atos jurídicos que introduzem regimes separados «autónomos» de proteção dos dados (16).

14. A AEPD reconhece que o atual, embora fragmentado, quadro jurídico de proteção de dados pessoais é o melhor resultado possível presentemente (17). A AEPD reconhece que a presente Proposta continuaria a aplicar-se às instituições da UE atualmente abrangidas pelo âmbito de aplicação do Regulamento 45/2001 (18) (essencialmente, todas as antigas (19) instituições, órgãos, organismos e agências do 1.o e 2.o«pilar»), mas não iria, como tal, afetar os regimes existentes ou pendentes «autónomos» (20). Esses regimes apenas serão afetados pela presente proposta se e na medida em que tal for explicitamente previsto no instrumento jurídico relevante. A AEPD regista esta abordagem, mas sugere que este facto seja indicado de forma mais explícita no preâmbulo da Proposta e, eventualmente, também no artigo 2.o Âmbito de aplicação. Ao mesmo tempo, a AEPD salientaria que a fragmentação e a complexidade crescente do quadro jurídico para o tratamento de dados por parte das várias instituições da UE ativas nos antigos primeiro e terceiro «pilares» não representa um resultado plenamente satisfatório e poderá ter de ser abordado pelo legislador da UE a médio prazo.

15. O Regulamento (CE) n.o 45/2001 prevê medidas destinadas a proteger a privacidade e a confidencialidade das comunicações nos casos em que as instituições da UE controlam a infraestrutura utilizada para comunicação. Para o efeito, inclui algumas disposições que abrangem partes do âmbito regulamentar da Diretiva 2002/58/CE («Diretiva relativa à privacidade eletrónica») (21), e estabelece o princípio de que as regras para a proteção dos direitos fundamentais devem ser aplicadas de modo consistente e harmonioso em toda a União, fazendo referência aos vários instrumentos, tais como a Diretiva relativa à privacidade eletrónica (22). A necessidade de assegurar o mesmo nível de privacidade e confidencialidade das comunicações que envolvam instituições da UE mantém-se inalterada, pelo que deve ser mantido o princípio da aplicação consistente e harmoniosa. Por conseguinte, a AEPD considera que a Proposta deve assegurar que as regras pertinentes do RGPD e do futuro Regulamento relativo à privacidade eletrónica aplicar-se-ão a todas as instituições da UE mutatis mutandis. Tal deve incluir a preservação da confidencialidade e da privacidade em relação aos serviços de comunicação controlados pelas instituições da UE, bem como outros princípios do futuro Regulamento relativo à privacidade eletrónica, tais como a proteção dos dispositivos terminais e outras regras, por exemplo, relacionadas com rastreamento e spam.

16. Por último, embora a legislação da UE em matéria de proteção de dados também se aplique ao Espaço Económico Europeu e os países participantes na EFTA sejam obrigados a criar autoridades de supervisão independentes de acordo com o RGPD, as instituições da EFTA não estão sujeitas a quaisquer regras e supervisão específicas de proteção de dados, apesar de trocarem dados com as instituições da UE. A AEPD considera que a presente Proposta poderá ser uma oportunidade para abordar esta questão.

3. CONCLUSÕES

90. Em termos gerais, a AEPD considera a Proposta bem-sucedida na harmonização das regras para as instituições da UE com o RGPD, tendo simultaneamente em conta as especificidades do setor público da UE. O alto nível de proteção relativamente ao tratamento de dados por parte das instituições da UE é, de um modo geral, preservado na Proposta. A AEPD aprecia particularmente o equilíbrio dos vários interesses em jogo alcançado pela Comissão.

91. A AEPD considera que a Proposta deveria ser melhorada, nomeadamente no que diz respeito às modalidades para as limitações previstas no artigo 25.o. A fim de assegurar conformidade com a qualidade dos requisitos da legislação referidos anteriormente, o artigo 25.o, n.o 1, da Proposta necessitaria de ser alterado no sentido de que apenas os atos jurídicos adotados com base nos Tratados devem poder restringir os direitos fundamentais, impondo, assim, às instituições da UE as mesmas normas aplicáveis aos Estados-Membros nos termos do RGPD. Na medida em que as restrições previstas no artigo 34.o Confidencialidade das comunicações eletrónicas são contempladas, a AEPD insta o legislador da UE a assegurar que as eventuais restrições do direito fundamental à privacidade das comunicações por parte das instituições da UE nas suas próprias operações seguem as mesmas normas estabelecidas no direito da União conforme interpretadas pelo Tribunal de Justiça neste domínio.

92. A AEPD saúda o facto de a Proposta incluir um artigo separado dedicado ao papel da AEPD enquanto órgão consultivo das instituições da UE (artigo 42.o da Proposta). No entanto, manifesta preocupação relativamente ao facto de que a redação «[a]pós a adoção das propostas» [em vez de «[q]uando aprovar uma proposta legislativa» no artigo 28.o, n.o 2 do Regulamento (CE) n.o 45/2001] pode pôr em causa o compromisso de longa data da Comissão Europeia de consultar a AEPD sobre projetos de propostas a título informal, normalmente na fase da consulta interserviços. Atendendo à importância da consulta informal, a AEPD saudaria um considerando no qual a Comissão reiterasse o seu compromisso em relação a esta prática de longa data. Apoiaria igualmente que a Proposta mantivesse a redação do artigo 28.o, n.o 2, do Regulamento 45/2001 («quando aprovar»), que confere uma maior margem de manobra a este respeito. Considera que o artigo 42.o tal como proposto esclarece suficientemente em relação às respetivas funções da AEPD e do CEPD, a fim de evitar uma duplicação desnecessária no futuro.

93. A AEPD considera que a possibilidade de externalizar a função de um EPD não é adequada para as instituições da UE que exercem autoridade pública. Consequentemente, a segunda alternativa do artigo 44.o, n.o 4, («ou exercer as suas funções com base num contrato de prestação de serviços») deve ser suprimida.

94. A AEPD congratula-se com o artigo 66.o da Proposta que concede à AEPD o poder de impor coimas. Considera que privar a autoridade de supervisão da UE da possibilidade de impor coimas, quando adequado, faria com que as instituições da UE usufruíssem de uma posição privilegiada comparativamente às instituições do setor público em muitos Estados-Membros.

95. A AEPD considera que os procedimentos de certificação podem ser um instrumento bastante útil para as instituições da UE e já se encontram a ser utilizados em determinados contextos, por exemplo, na certificação da conformidade com as normas geralmente aceites. Por conseguinte, devem ser aditadas referências à utilização da certificação (mas não códigos de conduta) ao artigo 26.o Responsabilidade do responsável pelo tratamento, ao artigo 27.o Proteção de dados desde a conceção e por defeito, bem como ao artigo 33.o Segurança.

96. Embora o presente Parecer indique alguns domínios nos quais a Proposta ainda poderia ser melhorada, a AEPD incentivaria o legislador da UE a alcançar um acordo sobre a Proposta com a maior brevidade possível, de modo a permitir que as instituições da UE beneficiem de um período razoável de transição antes de o novo regulamento se tornar plenamente aplicável ao mesmo tempo que o RGPD, em maio de 2018.

Bruxelas, 15 de março de 2017. Giovanni BUTTARELLI Supervisor Europeu para a Proteção de Dados

(1) COM(2017) 8 final; 2017/0002 (COD) (later, “the Proposal”).

(2) Article 286 EC rendered the (then) Community rules on data protection applicable to EU institutions and bodies and mandated the creation of a dedicated independent supervisory authority (later, the EDPS).

(3) Case C-518/07 Commission v Germany, EU:C:2010:125; Case C-614/10 Commission v Austria, EU:C:2012:631; Case C-288/12 Commission v Hungary, EU:C:2014:237; Case C-362/14 Maximilian Schrems v Data Protection Commissioner, ECLI:EU:C:2015:650.

(4) Case C-518/07 Commission v Germany, supra para. 19.

(5) Case C-288/12 Commission v Hungary, supra para. 53.

(6) See supra note 3.

(7) Decision No 1247/2002/EC of the European Parliament, of the Council and of the Commission of 1 July 2002 on the regulations and general conditions governing the performance of the European Data Protection Supervisor’s duties (OJ L 183, 12.7.2002, p. 1).

(8) Proposal for a Regulation of the European Parliament and of the Council concerning the respect for private life and the protection of personal data in electronic communications and repealing Directive 2002/58/EC (Regulation on Privacy and Electronic Communications), COM(2017) 10 final, 2017/0003 (COD).

(9) See Article 98 and recital 17 of the GDPR.

(10) See e.g. the EDPS Opinion of 7 March 2012 on the data protection reform package (OJ C 192, 30.6.2012, p. 7).

(11) EDPS Opinion of 7 March 2012 on the data protection reform package, p. 6.

(12) See in particular Article 6(3) and recital 10 to the GDPR: “Regarding the processing of personal data for compliance with a legal obligation, for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller, Member States should be allowed to maintain or introduce national provisions to further specify the application of the rules of this Regulation. In conjunction with the general and horizontal law on data protection implementing Directive 95/46/EC, Member States have several sector-specific laws in areas that need more specific provisions. This Regulation also provides a margin of manoeuvre for Member States to specify its rules, including for the processing of special categories of personal data (‘sensitive data’). To that extent, this Regulation does not exclude Member State law that sets out the circumstances for specific processing situations, including determining more precisely the conditions under which the processing of personal data is lawful.”

(13) E.g. last sentence of Article 6(1), Article 20(5), Article 27, Article 37, Article 41 or Article 46(2)(a) of the GDPR.

(14) See in particular the EDPS Opinion of 14 January 2011 on the Communication “A comprehensive approach on personal data in the European Union” (OJ L 181, 22.6.2011, p. 1).

(15) See supra note 5.

(16) Proposal for a Regulation of the European Parliament and of the Council on the European Union Agency for Law Enforcement Cooperation and Training (Europol) and repealing Decisions 2009/371/JHA and 2005/681/JHA, COM(2013) 173 final, now adopted as Regulation 2016/794 and published in OJ L 135 24.05.2016, p. 53; Proposal for a Council Regulation on the establishment of the European Public Prosecutor's Office, COM(2013) 534 final. See also the Council General approach [First reading] on the Proposal for a Regulation on the European Union Agency for Criminal Justice Cooperation (Eurojust) available at: http://data.consilium.europa.eu/doc/document/ST-6643-2015-INIT/en/pdf.

(17) EDPS Opinion 3/2015 “Europe’s big opportunity - EDPS recommendations on the EU’s options for data protection reform”, available at: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-10-09_GDPR_with_addendum_EN.pdf.

(18) See the list of EU institutions and bodies available at: http://publications.europa.eu/code/en/en-390500.htm.

(19) Regulation 45/2001 already today applies to, inter alia, the European Defence Agency, European Union Institute for Security Studies, and the European Union Satellite Centre.

(20) Europol, Eurojust, EPPO, supra note 21.

(21) Directive 2002/58/EC of the European Parliament and of theCouncil of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications (OJ L 201, 31.7.2002, p. 37), as amended (later, “the ePrivacy Directive”).

(22) Recitals 10-12 ePrivacy Directive.