PT Jornal Oficial da União Europeia C 55/4

Síntese do Parecer da Autoridade Europeia para a Proteção de Dados sobre a proposta de regulamento relativo ao sistema ECRIS-TCN

(O texto integral do presente parecer encontra-se disponível em alemão, francês e inglês no sítio Web da AEPD em www.edps.europa.eu)

(2018/C 55/05)

O atual sistema ECRIS (Sistema Europeu de Informação sobre Registos Criminais), criado pela Decisão-Quadro 2009/315/JAI do Conselho (1), suporta o intercâmbio de informações sobre condenações penais, sobretudo, no contexto da cooperação judicial. O ECRIS pode ser utilizado não só para efeitos da ação penal, mas também para outros fins, em conformidade com a legislação nacional do Estado-Membro requerente e do Estado-Membro requerido. Embora o atual sistema ECRIS possa ser utilizado para nacionais de países terceiros e apátridas («TCN»), tal uso não é eficiente. É por isso que se justifica a introdução de melhorias.

A eficácia do ECRIS para nacionais de países terceiros e apátridas (TCN) mereceu destaque na Agenda Europeia para a Segurança e tornou-se uma prioridade legislativa para 2017. Já em 2016, a Comissão adotou uma proposta de diretiva que altera a legislação em vigor e introduz melhorias para os TCN, através de um sistema descentralizado de utilização de um índice-filtro, com impressões digitais conservadas sob a forma de «hashed templates». Esta solução veio a revelar problemas técnicos. A Proposta de Regulamento relativa ao sistema ECRIS-TCN, adotada em 29 de junho de 2017, cria uma base de dados central da União onde é armazenada informação sobre a identidade dos TCN, incluindo impressões digitais e imagens faciais, a qual é destinada a ser usada mediante uma pesquisa de «respostas afirmativas/negativas» que permite identificar o Estado-Membro que possui informação criminal sobre os TCN. Além disso, a proposta de um sistema ECRIS-TCN central é parcialmente justificada como suporte da futura interoperabilidade dos sistemas de grande escala da UE no espaço de liberdade, segurança e justiça.

A AEPD (Autoridade Europeia para a Proteção de Dados) acompanha, desde o início das negociações, o processo para a criação do ECRIS. Já emitiu dois pareceres e reconheceu a importância de um intercâmbio eficiente de informações, tanto para os nacionais da UE como para os TCN. Esta posição permanece inalterada.

O presente parecer aborda questões específicas levantadas pela proposta de regulamento. Sempre que necessário, refere-se também à proposta de diretiva uma vez que estas duas propostas destinam-se a ser complementares. A AEPD suscita quatro grandes preocupações e faz recomendações adicionais, a seguir desenvolvidas no parecer. Em resumo, a AEPD recomenda que, tendo o ECRIS sido adotado antes do Tratado de Lisboa, as novas propostas de diretiva e de regulamento adeqúem o sistema às exigências do artigo 16.o TFUE (Tratado sobre o Funcionamento da União Europeia) e da Carta dos Direitos Fundamentais da União Europeia, incluindo o cumprimento dos requisitos aplicáveis a qualquer limitação legal dos direitos fundamentais.

A necessidade de um sistema central da UE deve ser sujeita a uma avaliação de impacto, que também deve ter em conta o impacto da concentração numa única agência da gestão de todas as bases de dados de grande escala da UE no espaço de liberdade, segurança e justiça. Antecipar a interoperabilidade neste contexto seria prematuro, uma vez que este conceito deve, primeiro, ser enquadrado juridicamente, e a sua conformidade com os princípios da proteção de dados deve ser assegurada.

As finalidades do tratamento de dados, diferentes da finalidade da ação penal, para as quais o ECRIS e o ECRIS-TCN foram concebidos, devem ser definidas com clareza em conformidade com o princípio da proteção de dados da limitação da finalidade. Tal aplica-se igualmente ao acesso por parte de organismos da União, o qual deve também ser avaliado à luz do direito à igualdade de tratamento de nacionais da UE e de TCN. Qualquer acesso por parte de organismos da UE deve ser demonstrado como sendo necessário, proporcional, conforme à finalidade do ECRIS e estritamente limitado a tarefas relevantes no âmbito do mandato desses organismos da UE.

O tratamento dos dados pessoais em causa, de natureza muito delicada, deve respeitar rigorosamente o princípio da necessidade: uma «resposta afirmativa» só deve ser desencadeada quando o Estado-Membro requerido puder, nos termos da sua legislação nacional, fornecer informações sobre condenações penais para fins diferentes dos da ação penal. O tratamento de impressões digitais deve ter um âmbito de aplicação limitado e ter lugar apenas quando a identidade de um determinado TCN não puder ser determinada por outros meios. No que diz respeito às imagens faciais, a AEPD recomenda a realização — ou (se já realizada) a disponibilização — de uma avaliação baseada em provas da necessidade de recolha e de utilização dos dados para fins de verificação ou também de identificação.

A proposta de regulamento qualifica, de forma incorreta, a eu-LISA (Agência Europeia para a Gestão Operacional de Sistemas Informáticos de Grande Escala no Espaço de Liberdade, Segurança e Justiça) como «subcontratante». A AEPD recomenda que se designe a eu-LISA e as autoridades centrais dos Estados-Membros como corresponsáveis pelo tratamento de dados. Além disso, recomenda que se declare de forma clara, numa disposição substantiva, a responsabilidade da eu-LISA por qualquer violação da presente proposta de regulamento e do Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho (2).

1. INTRODUÇÃO E CONTEXTO

1. Em 29 de junho de 2017, a Comissão Europeia publicou uma proposta de regulamento que cria um sistema centralizado para a determinação dos Estados-Membros que possuem informações sobre condenações de nacionais de países terceiros e de apátridas (TCN) tendo em vista completar e apoiar o Sistema Europeu de Informação sobre Registos Criminais (sistema ECRIS-TCN) e que altera o Regulamento (UE) n.o 1077/2011 (a seguir «proposta de regulamento») (3). A proposta é acompanhada por um Documento de Análise de Apoio (4). Na mesma data, a Comissão Europeia aprovou o primeiro relatório relativo ao intercâmbio através do Sistema Europeu de Informação sobre Registos Criminais (ECRIS) de informações extraídas dos registos criminais entre os Estados-Membros, conforme previsto no artigo 7.o da Decisão 2009/316/JAI (5).

2. A proposta de regulamento visa melhorar o intercâmbio de informações de TCN e de cidadãos da UE que também tenham nacionalidade de um país terceiro. O princípio subjacente ao ECRIS é a possibilidade de obter informações sobre as condenações anteriores de um cidadão da UE junto do Estado-Membro da nacionalidade dessa pessoa, que armazena todas as condenações penais independentemente do local na UE onde as condenações tenham sido proferidas. No que diz respeito aos TCN, cada Estado-Membro armazena as condenações que proferiu e, portanto, deve ser enviado um pedido de informação a todos os Estados-Membros. A resposta aos «pedidos genéricos» causa, de acordo com a Comissão, encargos administrativos e custos elevados se o ECRIS for utilizado sistematicamente para extrair informações sobre TCN. Os Estados-Membros estão relutantes em utilizar o sistema — de acordo com o relatório estatístico, 10 % dos pedidos referem-se a TCN (6) — e, deste modo, o histórico penal do TCN não está disponível conforme previsto (7). O objetivo de melhorar a eficácia do ECRIS em relação aos TCN foi acelerado pela Agenda Europeia para a Segurança (8) e constitui uma das prioridades legislativas para 2017 (9).

3. A proposta de regulamento complementa a proposta de diretiva da Comissão, de 19 de janeiro de 2016, que altera a Decisão-Quadro 2009/315/JAI do Conselho, no que diz respeito ao intercâmbio de informações sobre nacionais de países terceiros e ao sistema europeu de informação sobre os registos criminais (ECRIS), e que substitui a Decisão 2009/316/JAI do Conselho (a seguir «proposta de diretiva»).

4. As duas propostas têm em comum a criação de um sistema de identificação dos Estados-Membros que possuem informações sobre condenações penais de nacionais de países terceiros e de cidadãos da UE que também têm a nacionalidade de um país terceiro. A Proposta de Diretiva prevê um sistema descentralizado, o que significa que não haverá uma base de dados única da UE com as informações relevantes, mas cada Estado-Membro manterá um ficheiro «índice-filtro». Considerou-se que este arquivo seria alimentado com informações sobre os TCN, codificadas, provenientes dos registos criminais dos Estados-Membros, que seriam distribuídas a todos os Estados-Membros. Os Estados-Membros comparariam depois os seus próprios dados com o arquivo e, com base num sistema de respostas afirmativas/negativas, ficariam a saber qual o Estado-Membro que possui informação sobre os antecedentes criminais de um TCN. A proposta de diretiva já previa o tratamento de impressões digitais, mas a sua utilização era considerada uma das opções possíveis na Avaliação de Impacto de 2016 ao contrário da proposta de regulamento que torna a sua utilização obrigatória. A Comissão explica que os ataques terroristas vieram contribuir para acelerar o apoio ao uso sistemático de impressões digitais para fins de identificação (10). Após a adoção da proposta de diretiva, um estudo de viabilidade revelou que, atualmente, não existe uma tecnologia madura para a combinação de várias impressões digitais usando hashed templates.

5. A proposta de regulamento, como resposta aos problemas técnicos encontrados, prevê um sistema centralizado que inclui dados alfanuméricos, impressões digitais e imagens faciais dos TCN. Os dados alfanuméricos e as impressões digitais podem ser utilizados para a identificação de TCN. As imagens faciais podem inicialmente ser utilizadas para efeitos de verificação e, quando a tecnologia o permitir, também para efeitos de identificação. A «autoridade central» do Estado-Membro de condenação introduz os dados no sistema ECRIS-TCN local que os transmite para um sistema central da UE. Com base no sistema de «respostas afirmativas/negativas», o Estado-Membro requerente pode identificar o Estado-Membro ou Estados-Membros que detêm informações sobre os antecedentes criminais do TCN e, em seguida, solicitar essas informações mediante utilização do atual ECRIS melhorado pela proposta de diretiva. Sempre que as impressões digitais sejam utilizadas para identificação, podem também ser disponibilizados os dados alfanuméricos correspondentes. A base de dados da UE é confiada à eu-LISA e, para o efeito, a proposta de Regulamento altera o Regulamento (UE) n.o 1077/2011 da eu-LISA.

6. Além disso, a solução de um sistema centralizado é considerada no contexto da interoperabilidade prevista de todos os sistemas de informação para a gestão da segurança, das fronteiras e da migração. Na verdade, entre as razões que justificam a opção por um sistema centralizado é destacada a interoperabilidade, mais do que os problemas técnicos encontrados (11). O ECRIS está também incluído no roteiro do Conselho para melhorar a gestão e o intercâmbio de informações e realizar a interoperabilidade (12). A interoperabilidade com o ECRIS está também prevista na proposta de regulamento relativa ao ETIAS (Sistema Europeu de Informação e Autorização de Viagem) (13).

7. Uma vez alinhadas, as duas propostas pretendem ser complementares. Enquanto a proposta de regulamento deve abranger as questões relativas ao sistema centralizado, a Proposta de Diretiva deve regular as questões de natureza geral relacionadas com o funcionamento do ECRIS tanto para os TCN como para os nacionais da UE (14). A Comissão LIBE do Parlamento Europeu (Comissão das Liberdades Cívicas, da Justiça e dos Assuntos Internos) aprovou o relatório sobre a proposta de diretiva em 2016 (15), ao passo que o projeto de relatório da proposta de regulamento foi aprovado em 30 de outubro de 2017 (16). O Conselho suspendeu as negociações da proposta de diretiva, na sequência do pedido de Estados-Membros à Comissão, no Conselho de 9 de junho de 2016, de apresentação de uma proposta para a criação de um sistema centralizado (17). Atualmente, está a examinar as duas propostas em paralelo (18).

8. O ECRIS-TCN constitui uma iniciativa importante relativa aos sistemas de informação no espaço de liberdade, segurança e justiça. A AEPD (Autoridade Europeia para a Proteção de Dados) acompanha, desde o início das negociações, o processo para a criação do ECRIS. O primeiro parecer sobre o ECRIS foi publicado em 2006 (19), tal como depois criado pela Decisão-Quadro 2009/315/JAI do Conselho, e em 2016, a AEPD abordou, no Parecer 3/2016, a proposta de diretiva (20).

9. Nos dois pareceres, a AEPD reconhece a importância de um eficiente intercâmbio de informações extraídas a partir dos registos criminais dos condenados, bem como a necessidade de um sistema que possa funcionar eficazmente para os nacionais de países terceiros, em especial no contexto da adoção da Agenda Europeia para a Segurança (21). Esta posição permanece inalterada.

10. O presente parecer baseia-se no Parecer 3/2016 e aborda questões específicas suscitadas pela proposta de regulamento. Sempre que necessário, o parecer também faz referência à proposta de diretiva. Na secção 2, a AEPD indica as suas principais preocupações e apresenta recomendações sobre como resolvê-las. A secção 3 contém outras preocupações e recomendações de melhorias adicionais.

3. CONCLUSÃO

66. Após analisar cautelosamente a proposta de regulamento relativa ao ECRIS-TCN, a AEPD formula as seguintes recomendações:

67. A AEPD recomenda que, na criação de uma nova base de dados central da União e na alteração da legislação existente sobre o ECRIS, se tenha em conta os requisitos da Carta dos Direitos Fundamentais da União Europeia relativos à limitação legal dos direitos fundamentais e se assegure um nível suficiente de proteção dos dados pessoais no contexto da proposta de regulamento.

68. Em especial, a AEPD recorda a necessidade de fornecer dados objetivos relativos à necessidade de criar um sistema centralizado a nível da União. Neste contexto, a interoperabilidade deve ser avaliada em primeiro lugar em relação ao seu impacto sobre os direitos fundamentais e os seus objetivos devem ser claramente definidos a par dos objetivos do ECRIS. A proposta de regulamento deveria ser acompanhada de uma avaliação do impacto sobre a privacidade e a proteção de dados em relação a este aspeto, bem como sobre a concentração de todos os sistemas numa única agência.

69. A criação de uma nova base de dados central da União e a alteração da legislação existente sobre o ECRIS deve cumprir os requisitos aplicáveis a qualquer limitação legal dos direitos fundamentais em conformidade com a jurisprudência assente. Para tal, as finalidades do tratamento de dados, diferentes da finalidade da ação penal, para as quais o ECRIS e o ECRIS-TCN foram concebidos, devem ser avaliadas do ponto de vista da sua necessidade e proporcionalidade e claramente definidas em conformidade com o princípio da proteção de dados da limitação da finalidade. Acresce que o acesso ao ECRIS-TCN por organismos da União, como a Europol, deve estar em conformidade com a finalidade do ECRIS e com o direito à igualdade de tratamento de nacionais da UE e de TCN e estar limitado às tarefas no âmbito do mandato desses organismos para as quais o acesso seja estritamente necessário. Qualquer ampliação pretendida dos fins atualmente previstos deve ser introduzida por uma disposição substantiva (a previsão no preâmbulo não é suficiente).

70. Uma vez que o ECRIS-TCN implica o tratamento de dados pessoais que são de natureza muito delicada, a AEPD recomenda que sejam inseridas condições adequadas para o tratamento de dados pessoais em conformidade com o princípio da necessidade: uma «resposta afirmativa» deve ser desencadeada apenas quando o Estado-Membro requerido puder, nos termos da sua legislação nacional, fornecer informações sobre condenações penais para fins diferentes dos da ação penal. O tratamento de impressões digitais deve ter um âmbito de aplicação limitado e só deve ter lugar quando a identificação de um determinado TCN não puder ser assegurada por outros meios. No que diz respeito às imagens faciais, a AEPD recomenda a realização ou a disponibilização de uma avaliação baseada em provas da necessidade de recolha e de utilização dos dados para fins de verificação e/ou de identificação.

71. Além disso, a eu-LISA e as autoridades centrais dos Estados-Membros devem ser designadas corresponsáveis pelo tratamento de dados pessoais, uma vez que partilham a responsabilidade pela definição dos fins e dos meios das atividades de tratamento de dados em causa. A designação da eu-LISA como «subcontratante» não reflete de forma adequada o status quo e não contribui para garantir um nível elevado de proteção dos dados, nem é benéfico para os interesses legítimos dos Estados-Membros. Além disso, a proposta de regulamento relativa ao ECRIS-TCN deve indicar claramente a responsabilidade da eu-LISA por qualquer violação da presente proposta de regulamento e do Regulamento (CE) n.o 45/2001.

72. Para além das principais preocupações acima identificadas, as recomendações da AEPD no presente parecer referem-se a aperfeiçoamentos dos seguintes aspetos das disposições propostas: — referências à aplicabilidade da Diretiva (UE) 2016/680 e do Regulamento (CE) n.o 45/2001; — direitos das pessoas em causa; — estatísticas, repositório central e controlo; — segurança dos dados; — função da AEPD; — autoridades nacionais de controlo.

73. A AEPD disponibiliza-se a emitir novos pareceres sobre a proposta de regulamento e de diretiva, também em relação a qualquer ato delegado ou de execução que possa ser adotado nos termos dos atos propostos e que seja relativo ao tratamento de dados pessoais.

Feito em Bruxelas, em 12 de dezembro de 2018. Giovanni BUTTARELLI Autoridade Europeia para a Proteção de Dados

(1) JO L 93 de 7.4.2009, p. 23

(2) JO L 8 de 12.1.2001, p. 1.

(3) COM(2017) 344 final.

(4) COM(2017) 248 final.

(5) COM(2017) 341 final. Este relatório é acompanhado de um documento de trabalho dos serviços da Comissão, SWD(2017) 242 final.

(6) COM(2017) 341 final, p. 15 a 16.

(7) Exposição de motivos da proposta, COM(2017) 344 final, p. 2.

(8) COM (2015) 185 final.

(9) Declaração comum sobre as prioridades legislativas da UE para 2017, https://ec.europa.eu/commission/sites/beta-political/files/joint-declaration-legislative-priorities-2017-jan2017_pt.pdf

(10) Exposição de motivos da proposta, COM(2017) 344 final, p. 3; Documento de análise de apoio, SWD(2017) 248 final, p. 3.

(11) Exposição de motivos da proposta, COM(2017) 344 final, p. 9.

(12) Roteiro para intensificar o intercâmbio e a gestão de informações, incluindo soluções de interoperabilidade no domínio da Justiça e Assuntos Internos, 9368/1/16, http://data.consilium.europa.eu/doc/document/ST-9368-2016-REV-1/pt/pdf; Primeiro relatório do Conselho de 8 de novembro de 2016, http://statewatch.org/news/2016/dec/eu-council-info-exhang-interop-sop-13554-REV-1-16.pdf; Segundo relatório do Conselho de 11 de maio de 2017, http://www.statewatch.org/news/2017/may/eu-council-information-management-strategy-second-implementation-report-8433-17.pdf

(13) COM(2016) 731 final.

(14) Exposição de motivos da proposta, COM(2017) 344 final, p. 4.

(15) A8-0219/2016.

(16) PE 612.310v01-00.

(17) Resultados da reunião do Conselho (JAI), 9979/16, http://data.consilium.europa.eu/doc/document/ST-9979-2016-INIT/en/pdf

(18) V. a agenda do Coreper de 29 de novembro de 2017, http://data.consilium.europa.eu/doc/document/CM-5236-2017-INIT/en/pdf.

(19) Parecer da AEPD sobre a proposta de decisão-quadro do Conselho relativa à organização e ao conteúdo do intercâmbio de informações extraídas do registo criminal entre os Estados-Membros [COM (2005) 690 final], (JO C 313 de 30.12.2006. p. 26), https://edps.europa.eu/sites/edp/files/publication/06-05-29_criminal_records_pt.pdf

(20) Parecer da AEPD 3/2016 sobre o ECRIS, https://edps.europa.eu/sites/edp/files/publication/16-04-13_ecris_en.pdf

(21) Parecer da AEPD 3/2016 sobre o ECRIS, p. 12 com remissão no nota 38 para o parecer da AEPD de 2006.