PT Jornal Oficial da União Europeia C 94/12

Parecer da Autoridade Europeia para a Protecção de Dados sobre: a proposta alterada de regulamento do Conselho que altera o Regulamento (CE, Euratom) n.o 1605/2002 que institui o Regulamento Financeiro aplicável ao Orçamento Geral das Comunidades Europeias (COM(2006) 213 final) a proposta de regulamento da Comissão (CE, Euratom) que altera o Regulamento (CE, Euratom) n.o 2342/2002 que estabelece as normas de execução do Regulamento (CE, Euratom) n.o 1605/2002 do Conselho que institui o Regulamento Financeiro aplicável ao Orçamento Geral das Comunidades Europeias (SEC(2006) 866 final)

(2007/C 94/03)

A AUTORIDADE EUROPEIA PARA A PROTECÇÃO DE DADOS,

Tendo em conta o Tratado que institui a Comunidade Europeia, e designadamente o artigo 286.o,

Tendo em conta a Carta dos Direitos Fundamentais da União Europeia, e designadamente o artigo 8.o,

Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho de 24 de Outubro de 1995 relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1),

Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho de 18 de Dezembro de 2000 relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados (2) pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados, e designadamente o artigo 41.o,

Tendo em conta os pedidos de parecer nos termos do artigo 28.o do Regulamento (CE) n.o 45/2001 enviados em 18 de Maio de 2006 (para a proposta alterada de regulamento financeiro) e 4 de Julho de 2006 (para a proposta de normas de execução) pela Comissão;

ADOPTOU O SEGUINTE PARECER

I. INTRODUÇÃO

1. O Regulamento do Conselho (CE, Euratom) n.o 1605/2002, de 25 de Junho de 2002, que institui o Regulamento Financeiro aplicável ao Orçamento Geral das Comunidades Europeias (3) (a seguir «RF») estabelece os fundamentos jurídicos da reforma da gestão financeira. Em Dezembro de 2002, após uma consulta alargada das instituições, a Comissão adoptou as normas de execução do RF (a seguir «RE»). Ambos os regulamentos, que se aplicam a todas as instituições, vigoram desde 1 de Janeiro de 2003.

2. A proposta alterada de regulamento do Conselho que altera o Regulamento (CE, Euratom) n.o 1605/2002 que institui o Regulamento Financeiro aplicável ao Orçamento Geral das Comunidades Europeias (4) (a seguir «proposta RF») adoptada em 2006 é apresentada para dar cumprimento ao artigo 184.o do RF, que sujeita o Regulamento Financeiro a reapreciação de três em três anos e sempre que tal se afigure necessário. O principal objectivo da proposta de RF consiste em melhorar a eficiência e transparência das regras através de um melhor equilíbrio entre os custos do controlo e os riscos financeiros em jogo, mantendo um nível elevado de protecção dos fundos comunitários. A proposta alterada de RF foi acordada por via de conciliação entre o Parlamento Europeu e o Conselho no final de Novembro de 2006. O presente parecer tem em conta esse texto (5).

3. Com vista a acelerar o processo legislativo, a Comissão tomou a iniciativa de apresentar uma proposta de regulamento (CE, Euratom) da Comissão que altera o Regulamento (CE, Euratom) n.o 2342/2002 que estabelece as normas de execução do Regulamento (CE, Euratom) n.o 1605/2002 do Conselho que institui o Regulamento Financeiro aplicável ao Orçamento Geral das Comunidades Europeias (6) (a seguir 'proposta RE'). A AEPD é consultada no quadro dessas duas propostas.

4. A AEPD considera que é importante analisar estas propostas, porque elas afectarão a forma como são tratados alguns dados pessoais das pessoas singulares, relacionados com actividades financeiras. Um dos principais pontos das propostas é elas preverem a criação e operação pela Comissão de uma base de dados central comum a todas as instituições e organismos, dos candidatos ou proponentes em situações concretas de exclusão em caso de fraude e permitirem a troca de informação contida na base dados com autoridades a diversos níveis. A AEPD sublinha que a base de dados central prevista, que incluiria os candidatos ou proponentes que se encontrem numa das situações referidas nos artigos 93.o e 94.o, na alínea b) do n.o 1 e na alínea a) do n.o 2 do artigo 96.o do regulamento financeiro, já existia antes da alteração do regulamento financeiro (7). A base de dados existente assenta na utilização de alertas de vários níveis (1, 2, 3, 4, 5a e 5b) segundo os respectivos impactos para os candidatos e proponentes. Todavia, a base de dados existente, desenvolvida a nível institucional pela Comissão, possui um âmbito de aplicação mais vasto do que o previsto na proposta de regulamento financeiro (que só contempla alertas de nível 5). Essa base de dados central e outros aspectos das propostas exigem uma análise cuidada do ponto de vista da protecção de dados.

Consulta da AEPD

5. As propostas RF e RE foram enviadas pela Comissão à AEPD para parecer, como previsto no n.o 2 do artigo 28.o do Regulamento (CE) n.o 45/2001 de 18 de Dezembro de 2000 relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (a seguir «Regulamento (CE) n.o 45/2001»). Atento o carácter obrigatório do n.o 2 do artigo 28.o do Regulamento (CE) n.o 45/2001, a AEPD regista com agrado a referência explícita a esta consulta no preâmbulo das propostas.

II. ANÁLISE DAS PROPOSTAS

6. À Comissão, que é responsável pela execução do orçamento geral da União Europeia e por quaisquer outros fundos geridos pelas Comunidades, cabe a obrigação de lutar contra a fraude e quaisquer outras actividades ilegais lesivas dos interesses financeiros das Comunidades. As propostas RF e RE investem na Comissão novas obrigações em matéria de adjudicação de contratos e concessão de subvenções a terceiros no quadro da gestão dos fundos comunitários. Tendo em conta que as propostas enunciam regras a observar para assegurar a protecção dos interesses financeiros das Comunidades, é essencial assegurar que, nesse contexto, sejam devidamente salvaguardados os direitos à protecção de dados e à privacidade dos interessados quando se tratam dados pessoais.

II.1. Transparência

7. A AEPD reconhece que as propostas consagram importantes princípios relacionados com a boa gestão financeira e que novos princípios são introduzidos ou reforçados. A AEPD regista por exemplo que o considerando n.o 1 da proposta de RF prevê que «a transparência, em especial, tem de ser reforçada, fornecendo informações sobre os beneficiários de fundos comunitários». Esse princípio é desenvolvido no n.o 3 do artigo 30.o e no artigo 53.o do RF.

8. Estas disposições, que tratam do princípio da transparência, introduzem a publicação da identidade dos beneficiários de fundos provenientes do orçamento. A AEPD apoia a inclusão deste princípio, na devida observância da Directiva 95/46/CE e do Regulamento (CE) n.o 45/2001, mas deseja sublinhar que há que observar uma abordagem pró-activa dos direitos das pessoas em causa (8), já que haverá divulgação de dados pessoais. Essa abordagem pró-activa poderia consistir em informar previamente as pessoas em causa, aquando da recolha dos dados pessoais, de que esses dados podem ser tornados públicos, e em assegurar à pessoa em causa direitos de acesso e de objecção. Este princípio deve aplicar-se também à publicação ex post da identidade dos beneficiários (artigo 169.o das normas de execução).

II.2. Base de dados central do sistema de alerta rápido (SAR)

9. O artigo 95.o da proposta de RF estipula que uma base de dados central de que constam os elementos pertinentes dos candidatos e proponentes que se encontrem numa situação de exclusão referida nos artigos 93.o e 94.o (9), na alínea b) do n.o 1 e na alínea a) do n.o 2 do artigo 96.o será criada e operada pela Comissão na observância da regulamentação comunitária relativa ao tratamento de dados pessoais. Como se refere na introdução, esta nova versão do artigo 95.o, que frisa o papel condutor da Comissão, não altera substancialmente a prática vigente até agora utilizada (assim, o artigo 95.o do RF reza que cada instituição possui a sua própria base de dados central). Na verdade, as instituições (10) não possuem actualmente uma base de dados separada, mas utilizam a base de dados informatizada da Comissão e trocam informação com esta última (11). Essa base dados é operada segundo o procedimento previsto na decisão da Comissão sobre o sistema de alerta rápido (SAR) (12). A Comissão centraliza toda a informação pertinente e desempenha um papel de passagem entre todas as instituições que participam no dispositivo.

10. O artigo 95.o da proposta de RF mais declara que a base de dados é comum às instituições, agências executivas e organismos referidos no artigo 185.o do RF. Na versão acordada do Regulamento Financeiro, mais declara o artigo 95.o que as autoridades dos Estados-Membros e os países terceiros, assim como os organismos que participam na execução do orçamento comunicarão ao gestor orçamental competente as informações sobre os candidatos e proponentes que se encontrem numa das situações referidas na alínea e) do n.o 1 do artigo 93.o (ou seja, sentença transitada em julgado). Essa informação é comunicada sempre que a conduta do operador em causa seja lesiva dos interesses financeiros das Comunidades (n.o 2 do artigo 95.o). As consequências do envolvimento desses intervenientes serão analisadas seguidamente.

11. A AEPD concorda com o princípio de uma base de dados central dos candidatos ou proponentes que se encontrem numa das situações referidas nos artigos 93.o e 94.o, na alínea b) do n.o 1 e na alínea a) do n.o 2 do artigo 96.o à luz das finalidades do tratamento de dados previstas pelo RF. Consistem essas finalidades em reforçar a eficácia, melhorar a protecção dos interesses financeiros das Comunidades e assegurar a circulação de informações restritas a respeito de terceiros.

12. Todavia, embora as bases de dados centrais e os sistemas de grande escala se utilizem mais amplamente hoje em dia, a AEPD considera que, em cada caso, a necessidade dessa base de dados tem de ser devida e cuidadosamente apreciada e que quando essa base de dados for criada, terão de ser implementadas salvaguardas específicas à luz dos princípios da protecção de dados. O motivo subjacente é evitar quaisquer ocorrências susceptíveis de afectar indevidamente a protecção dos dados de carácter pessoal. No entender da AEPD, toda a proposta que preveja a criação de um depósito central de dados pessoais tem de respeitar o quadro regulamentar europeu da protecção de dados e aplicá-lo concretamente. Por exemplo, os artigos 4.o (qualidade dos dados), 5.o (licitude do tratamento) e 10.o (tratamento de categorias específicas de dados) do Regulamento (CE) n.o 45/2001 são da maior relevância para o tratamento de dados pessoais pelas instituições europeias.

13. Acresce que a AEPD sublinha que os dados pessoais devem ser recolhidos para fins legítimos (alínea b) do n.o 1 do artigo 4.o do Regulamento (CE) n.o 45/2001). Neste contexto, a AEPD considera que se é do interesse legítimo das instituições e organismos instituir o sistema a fim de proteger os interesses financeiros e o bom nome das Comunidades, a inserção de um alerta contra uma pessoa pode ter efeitos negativos graves para a pessoa em causa, razão pela qual se deve dispor de salvaguardas específica para defender os legítimos interesses da pessoa em causa. Essas salvaguardas são realçadas nos parágrafos seguintes.

II.2.a. Pessoas em causa concernidas

14. A base de dados SAR baseia-se no 'Ficheiro das entidades jurídicas' validado centralmente (a seguir FEJ) e utiliza os dados nele contidos. O FEJ é uma base de dados geral que abrange as pessoas colectivas ou singulares que em qualquer momento tenham ou tenham tido relações contratuais e/ou financeiras com um dos serviços da Comissão: prestadores de serviços, pessoal, peritos, beneficiários de subvenções. O artigo 95.o da proposta de RF só se refere aos candidatos e proponentes e não se aplica aos membros do pessoal pois estes não podem ser também candidatos ou proponentes. Neste particular, a AEPD sugere que se clarifique a definição de candidatos e proponentes na proposta RE, por forma a evitar confusões entre as entidades abrangidas.

15. A AEPD sugere também que no seu artigo 134.o-A a proposta RE elucide as categorias de entidades a que respeita a base de dados. O artigo 134.o-A abrange os terceiros, também designados por entidades jurídicas entidades no FEJ, que são pessoas singulares ou pessoas colectivas. Além disso, a proposta acautela uma terceira categoria no sentido em que a informação pode também compreender pessoas singulares com poderes de representação, decisão ou controlo sobre determinadas pessoas colectivas. Portanto, neste último caso, as pessoas singulares são inseridas no sistema desde que possuam capacidade de representação. Na prática actual, são inseridas como nova entrada autónoma da base de dados. As ligações e diferenças entre as pessoas colectivas e as pessoas singulares com poderes de representação, decisão ou controlo sobre determinadas pessoas colectivas devem ser elucidadas.

II.2.b. Actualização da informação registada na base de dados

16. O princípio da qualidade dos dados [artigo 4.o do Regulamento (CE) n.o 45/2001] exige que os dados sejam adequados, pertinentes e não excessivos relativamente às finalidades para que são recolhidos (13). É evidente que só é possível assegurar a qualidade dos dados pessoais se a sua exactidão for periódica e devidamente controlada. O procedimento actualmente previsto no n.o 2 do artigo 134.o-A da proposta RE consiste em a Comissão enviar, regularmente e através de protocolo seguro, os dados validados contidos na base de dados às pessoas designadas no n.o 1 do mesmo artigo. O calendário proposto é impreciso. A AEPD tem conhecimento de que estão a ser ponderadas alternativas que implicam o fornecimento permanente de dados. Todavia, isso não seria suficiente. Com efeito, para a AEPD, a actualização da base de dados central tem de ser frequente, e a frequência tem de ser estruturada e observar um calendário preciso (transferências mensais ou semanais ajudariam a assegurar o rigor e a actualização atempada dos dados).

II.2.c. Gestão e segurança

17. A base de dados central tem de ser protegida adequadamente. A gestão da base de dados central e a observância de um nível óptimo de segurança da mesma constitui um requisito fundamental da protecção adequada dos dados pessoais armazenados na base de dados central e da respectiva actualização. A fim de obter este nível satisfatório de protecção, devem ser implementadas salvaguardas adequadas contra os riscos potenciais inerentes à infra-estrutura do sistema e às pessoas envolvidas.

18. Neste particular, a AEPD defende que é preciso instaurar um sistema coerente de selecção dos gestores orçamentais, que permita proteger adequadamente a informação armazenada na base de dados central e defender a respectiva integridade. Embora o artigo 134.o-A preveja a selecção e a definição de funções do gestor orçamental responsável pelos pedidos de inserção na base de dados e pela recepção dos dados validados contidos na base de dados, tal procedimento só está previsto para as instituições, agências executivas ou organismos referidos no artigo 185.o do RF e é aplicado para a Comissão na decisão da Comissão sobre o sistema de alerta rápido. Não há qualquer preceito específico que acautele a situação dos Estados-Membros, países terceiros ou organizações internacionais. Esta situação pode gerar incoerência na protecção dos dados a que é dado acesso.

19. A AEPD aconselha que se insiram em normas administrativas complementares disposições sobre a forma como o acesso aos dados é concedido às autoridades e organismos dos Estados-Membros, países terceiros e organizações internacionais, assim como a quantidade de dados a que é possível ter acesso. Na verdade, a AEPD considera importante não só que se garanta a segurança da informação armazenada na base de dados, mas também que a informação seja enviada às entidades competentes e autorizadas e, no seio dessas entidades, exclusivamente aos agentes competentes.

II.2.d. Intercâmbio de dados

20. A AEPD reconhece a instituição de um ponto central único de acesso à base de dados, coordenado pela Comissão. Acresce que a proposta de RF alarga o actual âmbito de aplicação do SAR dado que preconiza o acesso a mais autoridades e organismos do que a versão anterior. Portanto, a proposta de RF prevê situações distintas no que respeita ao acesso à informação. As situações concernem autoridades e organismos distintos e têm de ser analisadas separadamente. Do ponto de vista da protecção de dados, a AEPD assinala que este direito de acesso à base de dados, concedido a diversos organismos, leva a uma transferência de dados para cada um dos organismos em causa, apesar de os dados serem armazenados pela Comissão. Por conseguinte, a análise deve ser realizada à luz dos artigos 7.o, 8.o e 9.o do Regulamento (CE) n.o 45/2001 que trata das transferências de dados.

21. A proposta de RF opera uma distinção entre dois casos de transferência de dados. O primeiro concerne a transferência de dados intra ou inter instituições e organismos comunitários. O segundo respeita ao direito de acesso dos Estados-Membros e países terceiros ou organismos internacionais. Para efeitos do presente parecer, a AEPD analisa separadamente a situação dos Estados-Membros e a situação dos países terceiros ou organismos internacionais, dado estes serem contemplados separadamente no Regulamento (CE) n.o 45/2001.

22. A primeira situação é contemplada pelo n.o 1 do artigo 95.o da proposta de RF, que reza que a base de dados criada e operada pela Comissão é comum às instituições, agências executivas e organismos referidos no artigo 185.o RF. A AEPD salienta que, quando se prevê uma transferência de dados pessoais intra ou inter instituições comunitárias, é aplicável o artigo 7.o do Regulamento (CE) n.o 45/2001. Portanto, a AEPD recorda que o destinatário dos dados tratá-los-á unicamente para o efeito com vista ao qual foram transmitidos.

23. O acesso por parte dos Estados-Membros, países terceiros e organizações internacionais é regulado pelo segundo travessão do n.o 2 do artigo 95.o da proposta de RF. Terão acesso às informações contidas na base de dados e poderão tomá-las em consideração, conforme adequado e sob a sua própria responsabilidade, para a adjudicação de contratos associados à execução do orçamento. Por conseguinte, a proposta prevê o acesso automático à base de dados no quadro da adjudicação de contratos associados à execução do orçamento.

24. A AEPD sublinha que quando os Estados-Membros são destinatários dos dados em causa, é aplicável o artigo 8.o do Regulamento (CE) n.o 45/2001. Este artigo trata da transferência de dados pessoais a destinatários que não sejam instituições e organismos comunitários, sujeitos à Directiva 95/46/CR. Neste caso, é provável que a alínea a) do artigo 8.o seja observada, considerando que a 'necessidade' dos dados para a realização das tarefas desempenhadas pelos destinatários se relaciona com a forma de execução do orçamento escolhida pela Comissão. De resto, todos esses organismos agem ao abrigo do direito interno que dá execução à Directiva 95/46 e agem tendo em vista a execução do orçamento comunitário.

25. No que respeita aos países terceiros e organizações internacionais, é aplicável o artigo 9.o do Regulamento (CE) n.o 45/2001 (14). O n.o 1 do artigo 9.o proíbe a transferência de dados pessoais para destinatários distintos das instituições e dos órgãos comunitários que não estejam sujeitos à legislação nacional aprovada por força da Directiva 95/46/CE, salvo se for garantido um nível de protecção adequado no país do destinatário ou no quadro da organização internacional destinatária e os dados forem transferidos exclusivamente para o desempenho de funções da competência do responsável pelo tratamento. O Regulamento (CE) n.o 45/2001 permite derrogações, que contemplam a situação da adjudicação de contratos associados à execução do orçamento. Todavia, a AEPD sublinha que estas excepções têm de ser interpretadas restritivamente. É preferível prever salvaguardas adequadas no caso das transferências estruturais. No contexto das transferências a partir da base de dados central, as transferências são estruturais, de onde a necessidade de salvaguardas, tais como cláusulas contratuais nos acordos de concessão de verbas comunitárias, a fixar nas normas de execução.

26. De resto, os países terceiros não recebem dados só da base de dados central, segundo o artigo 95.o do RF. O artigo 134.o-A do RE também prevê a recepção de dados de países terceiros e organizações internacionais, que nessa medida devem enviar à Comissão uma declaração que certifica que a informação foi obtida e transmitida de acordo com as regras relativas à protecção dos dados pessoais. Neste contexto, a AEPD sublinha a importância do princípio da qualidade dos dados quando ocorrem transferências internacionais de dados. Há que assegurar a observância das disposições do Regulamento (CE) n.o 45/2001 no que se refere à exactidão e actualização dos dados fornecidos à Comissão e registados na base de dados. Portanto, quando são celebrados acordos de financiamento, importa definir os dados que são abrangidos e as garantias que são dadas sobre a respectiva qualidade. A necessidade destas salvaguardas deve também ser integrada nas normas de execução.

II.2.e. Direitos dos candidatos e proponentes

27. Os candidatos e proponentes registados na base de dados central devem beneficiar de salvaguardas relativamente à gestão dos seus dados pessoais na base de dados central. Essas salvaguardas devem designadamente existir no direito das pessoas em causa a serem informadas e a terem acesso aos dados que lhes dizem respeito.

28. O direito à informação está contemplado nos n.os 1 e 3 do artigo 134.o-A da proposta RE. Todavia, a AEPD considera que a redacção deste número deve ser reexaminada e interpretada nestes termos: «As instituições, agências executivas, autoridades e organismos referidos nos n.os 1 e 2 do artigo 95.o do Regulamento Financeiro devem enviar à Comissão uma declaração que certifica que a informação foi obtida e transmitida de acordo com as regras relativas à protecção dos dados pessoais, e que o terceiro em questão foi informado acerca dessa transmissão». A AEPD sublinha que o Regulamento (CE) n.o 45/2001 é aplicável às instituições, agências executivas e organismos, mas que nos Estados-Membros será aplicável o direito interno que dá execução à Directiva 95/46/CE. Todavia, podem surgir problemas a nível nacional quando um país terceiro não confere aos seus cidadãos o direito a serem informados. A AEPD pensa que a Comissão deve providenciar um mecanismo que permita inteirar os candidatos ou proponentes de que foram incluídos na base de dados central.

29. Além disso, a AEPD concorda com uma abordagem pró-activa do direito à informação (15). Na verificação prévia referente à implementação do SAR do Tribunal de Justiça (16), a AEPD regista com agrado que todos os terceiros são informados antecipadamente de que os seus dados pessoais podem não só ser utilizados pelo Tribunal para efeitos internos relacionados com o processo de contrato público, como ser comunicados a outras instituições no contexto dos artigos 93.o e 94.o do RF para fins de inclusão na base de dados da Comissão prevista no artigo 95.o do RF. Nesses casos, o terceiro já foi informado da eventualidade de ser excluído da participação num processo de contrato público ou excluído da adjudicação de um contrato caso conste da base de dados da Comissão. Na mesma óptica, a AEPD também reconhece os esforços envidados para proporcionar direitos de informação suplementares. Por exemplo, o considerando n.o 36 da proposta de RF trata do direito da informação a ser fornecida aos proponentes preteridos após a adjudicação de um contrato. Como já se referiu no presente parecer, a AEPD propõe que este procedimento seja seguido em todas as instituições, autoridades e organismos em causa, e seja consagrado na proposta RE.

30. O artigo 13.o do Regulamento (CE) n.o 45/2001 institui o direito de acesso da pessoa em causa à informação que é tratada pelos controladores dos dados. Portanto, para conferir eficácia a esse direito, deve-se declarar nas normas de execução que qualquer terceiro inserido na base de dados tem direito de aceder aos dados que lhe dizem respeito e que esse direito não deve ser restringido por motivos que não os referidos no artigo 20.o do Regulamento (CE) n.o 45/2001. Aliás, o direito de acesso relaciona-se estreitamente com a abordagem pró-activa acima referida no sentido em que não ter conhecimento da inserção na base de dados acarreta designadamente a impossibilidade de as pessoas exercerem os seus direitos de acesso.

II.2.f. Necessidade do controlo prévio

31. Segundo a alínea b) do n.o 2 do artigo 27.o do Regulamento (CE) n.o 45/2001, as operações de tratamento de dados destinadas a apreciar a personalidade das pessoas em causa, nomeadamente a sua competência, eficácia ou comportamento são susceptíveis de apresentar riscos específicos para os direitos das pessoas em causa. Aliás, o mesmo se aplica quando contêm dados relacionados com tratamento de dados destinado a excluir pessoas do benefício de um direito, de uma prestação ou de um contrato (alínea d) do n.o 2 do artigo 27.o).

32. À data da adopção do presente parecer, tanto a Comissão Europeia como o Tribunal de Justiça Europeu notificaram a AEPD tendo em vista a verificação prévia do sistema de alerta rápido com base na versão vigente do RF. Como a nova versão do RF introduz alterações na gestão da base de dados no tocante à criação e operação de uma base de dados comum à qual os Estados-Membros, países terceiros e organizações internacionais terão acesso e para a qual enviarão dados, a AEPD considera que se trata de uma alteração de fundo abrangida pelo artigo 27.o do Regulamento (CE) n.o 45/2001. Como tal, quando a Comissão tomar as medidas de implementação do novo quadro jurídico, a AEPD verificará previamente o sistema.

III. PRAZOS PARA O ARMAZENAMENTO E O CONTROLO ORÇAMENTAL

33. Embora não seja abrangida pelas alterações presentemente integradas nas propostas, a AEPD gostaria de aproveitar a oportunidade para salientar uma disposição de que tratou em anteriores verificações prévias relacionadas com questões orçamentais.

Quadro vigente

34. O artigo 49.o do presente RE, sobre a conservação dos documentos comprovativos pelos gestores orçamentais prevê que «Os sistemas e procedimentos de gestão relativos à conservação dos documentos comprovativos originais devem prever: (...) d) a conservação destes documentos, pelo menos durante os cinco anos seguintes à data em que o Parlamento Europeu dá quitação do exercício orçamental a que respeitam os documentos. Os documentos relativos a operações não definitivamente encerradas serão conservados para além do período previsto na alínea d) do primeiro parágrafo, ou seja, até ao final do ano seguinte ao do encerramento das referidas operações».

35. O princípio fixado pelo RE para a conservação de documentos comprovativos permite pois um eventual período de conservação de até 7 anos, para efeitos de quitação orçamental das contas das instituições e órgãos comunitários.

36. Os documentos comprovativos na posse dos gestores orçamentais podem conter dados pessoais, e nessa medida aplicam-se igualmente os princípios em matéria de conservação de dados pessoais enunciados no Regulamento (CE) n.o 45/2001 relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados.

37. Enquanto princípio geral, a alínea c) do n.o 1 do artigo 4.o do Regulamento (CE) n.o 45/2001 prevê que os dados pessoais devem ser adequados, pertinentes e não excessivos relativamente às finalidades para que são recolhidos e/ou tratados posteriormente. A mesma alínea e) do n.o 1 do artigo 4.o prevê ainda que os dados pessoais possam ser conservados de forma a permitir a identificação das pessoas em causa apenas durante o período necessário para a prossecução das finalidades para que foram recolhidos ou para que são tratados posteriormente.

38. O artigo 37.o do regulamento rege especificamente a conservação dos dados relativos ao tráfego e à facturação no contexto das redes de comunicações internas. Essas redes são definidas no artigo 34.o como «redes ou equipamentos terminais de telecomunicações que operem sob o controlo de uma instituição ou órgão comunitário». O artigo é pois aplicável a dados relativos ao tráfego e à facturação recolhidos por redes internas das instituições ou organismos comunitários.

39. Segundo o n.o 1 do artigo 37.o, os dados de tráfego tratados e conservados para estabelecer chamadas ou outros tipos de ligações nas redes de telecomunicações devem ser apagados ou tornados anónimos após a conclusão da chamada ou ligação em causa. O princípio consiste pois em apagar os dados assim que deixem de ser necessários para estabelecer a chamada ou ligação.

40. O n.o 2 do artigo 37.o prevê, contudo, que os dados relativos ao tráfego (17), indicados numa lista acordada pela AEPD, podem ser tratados para efeitos de gestão do orçamento e do tráfego, incluindo a verificação da utilização autorizada do sistema de telecomunicações. Devem ser apagados ou tornados anónimos logo que possível e o mais tardar seis meses após a sua recolha, excepto se a sua conservação posterior for necessária para a declaração, o exercício ou a defesa de um direito no âmbito de uma acção judicial pendente num tribunal. Caso se esgote o prazo de seis meses sem que seja instaurada acção, os dados relativos ao tráfego têm de ser apagados ou tornados anónimos. Se dentro desse prazo tiver sido instaurada uma acção, esta interromperá o prazo de prescrição até ao termo da acção, e em seguida até ao termo do prazo de prescrição autorizado para eventual recurso, ou até à conclusão da acção de recurso, consoante for o caso. A conservação de dados relativos ao tráfego ou à facturação para além desses seis meses só pode ser justificada com base no artigo 20.o.

41. O artigo 20.o do Regulamento (CE) n.o 45/2001 dispõe que é possível prever isenções e restrições ao apagamento imediato dos dados relativos ao tráfego previsto no n.o 1 do artigo 37.o num número restrito de casos enumerado no artigo. Os dados relativos ao tráfego podem nomeadamente ser mantidos se isso constituir uma medida necessária para garantir a prevenção, investigação, detecção e repressão de infracções penais; um interesse económico ou financeiro importante de um Estado-Membro ou das Comunidades Europeias, incluindo nos domínios monetário, orçamental ou fiscal; ou a protecção da pessoa em causa ou dos direitos ou liberdades de outrém. O artigo 20.o, enquanto excepção aos princípios de protecção dos dados consagrados no regulamento, tem de ser interpretado restritivamente e só se aplica caso a caso. Aliás, o artigo 20.o só prevê excepções ao apagamento imediato dos dados relativos ao tráfego que determina o n.o 1 do artigo 37.o, e não à limitação de seis meses prevista no n.o 2 do artigo 37.o. O artigo 20.o não pode pois servir para justificar a conservação de dados relativos ao tráfego além de seis meses para fins genéricos de auditoria como prevê o artigo 49.o RE.

Necessidade de reexame

42. A AEPD recomenda por conseguinte que as disposições do RE sobre a conservação de documentos comprovativos sejam reexaminadas por forma a assegurar a observância dos princípios que regem a protecção dos dados pessoais.

43. A fim de assegurar a observância desses princípios, a informação contida nos documentos comprovativos tem de ser controlada. Com efeito, os documentos comprovativos contêm diferentes níveis de informação: informação geral pertinente para a quitação orçamental, incluindo eventual auditoria, e informações pormenorizadas que não são em si mesmas necessárias para o controlo orçamental.

44. O princípio geral deve ser que se os documentos comprovativos contiverem dados pessoais, só os dados pessoais que forem necessários para efeitos de quitação orçamental podem ser processados. Tanto quanto possível, os documentos que contenham dados pessoais que não sejam necessários para esse efeito devem ser suprimidos. A conservação dos dados pertinentes só pode ser mantida o tempo que for necessário para efeitos de quitação orçamental. O prazo de 5-7 anos fixado no artigo 49.o RE tem de ser entendido em quaisquer circunstâncias como o prazo máximo de conservação de documentos comprovativos.

45. No que respeita à conservação de documentos comprovativos que contenham elementos como dados relativos ao tráfego, o princípio deve ser que esses dados relativos ao tráfego sejam apagados por não serem necessários para efeitos de quitação orçamental. Sempre que os documentos comprovativos se encontrem dispostos por estratos, o estrato inferior de maior pormenor que possa conter dados relativos ao tráfego não é necessário e não deve ser conservado para efeitos de quitação orçamental. Se os documentos comprovativos não se encontrarem dispostos por estratos, deve ser encarado o tratamento parcial das informações contidas nos documentos, desde que este não exija esforços desproporcionados.

46. Para ilustrar este ponto, a AEPD gostaria de tomar o exemplo da orçamentação da telefonia fixa nas instituições. No que se refere à telefonia fixa, o princípio enunciado no artigo 37.o implica que dados relativos ao tráfego como o número que chama, o número chamado e a duração da chamada para efeitos de gestão do tráfego, incluindo a verificação da utilização autorizada do sistema de comunicações, podem ser mantidos por um período de até 6 meses. Uma vez devidamente apurada a utilização autorizada das ferramentas de comunicação, todos os dados relativos ao tráfego devem ser apagados ou tornados anónimos. A ser necessário manter os dados para efeitos de auditoria dos custos das comunicações de harmonia com o RE, não é necessário manter dados pormenorizados relativos ao tráfego. Os únicos dados pertinentes que podem ser mantidos para fins orçamentais relacionam-se com os custos das comunicações que não revelam dados relativos ao tráfego subjacentes (18).

Sugestões de alteração do artigo 49.o

47. A fim de sanar esta questão da compatibilidade, a AEPD sugere que se adite ao artigo 49.o RE um número que preveja: «Os dados pessoais contidos em documentos comprovativos devem sempre que possível ser suprimidos quando não forem necessários para efeitos de quitação orçamental. Seja como for, deve ser observado o n. o 2 do artigo 37. o do Regulamento (CE) n.o 45/2001 no que respeita à conservação de dados relativos ao tráfego».

IV. CONCLUSÃO

A AEPD saúda o facto de ser consultada sobre estas propostas, que prevêem uma gestão financeira sólida e mais transparente dos fundos comunitários. Saúda também esta oportunidade de salientar alguns aspectos concretos da protecção de dados relacionados com a respectiva implementação, especialmente no contexto do sistema de alerta rápido.

Quanto ao fundo, a AEPD recomenda o seguinte:

— A inserção nas normas de execução de referências a uma abordagem pró-activa (informação prévia e informação de retorno) que deve ser amplamente aplicada por todas as instituições, autoridades e organismos interessadas à luz do princípio da transparência;

— Têm se ser instauradas salvaguardas específicas à luz dos princípios da protecção de dados quando é criada uma base dados central;

— As normas de execução devem elucidar, no artigo 134.o-A, as noções de candidatos e de proponentes, assim como as categorias de entidades a que respeita a base de dados;

— Deve ser fixado nas normas de execução um cronograma preciso para a actualização da informação contida na base de dados;

— Para obviar a incoerências, deve ser implantado um sistema de selecção dos gestores orçamentais entre Estados-Membros, autoridades e organismos; o seu acesso à informação, assim como a quantidade de dados a que é possível ter acesso segundo o n.o 2 do artigo 95.o devem ser definidos em normas administrativas complementares.

— No contexto das transferências de dados pessoais da base de dados central, essas transferências são estruturais de onde a necessidade de fixar salvaguardas, tais como cláusulas contratuais, nas normas de execução.

— Quando os dados são recebidos de países terceiros e organizações internacionais, importará definir os dados que são abrangidos; as garantias que são dadas sobre a respectiva qualidade, assim como a necessidade de tais salvaguardas, devem pois constar das normas de execução

— A redacção dos n.os 1 e 3 do artigo 134.o-A das normas de execução deve ser revista no sentido de referir as instituições, agências executivas, autoridades e organismos referidos nos n.os 1 e 2 do artigo 95.o do regulamento financeiro;

— Relativamente ao direito de acesso dos candidatos e proponentes, deve ser inserida uma referência ao artigo 13.o do Regulamento (CE) n.o 45/2001;

— A fim de sanar a questão da compatibilidade com o artigo 37.o do Regulamento (CE) n.o 45/2001, a AEPD sugere que se adite um número ao artigo 49.o RE;

Quanto ao procedimento, a AEPD:

— Recomenda que se faça uma referência explícita ao presente parecer no preâmbulo da proposta.

— Recorda que uma vez que as operações de tratamento previstas introduzirão alterações de fundo na gestão da base de dados, e como tal serão abrangidas pelo artigo 27.o do Regulamento (CE) n.o 45/2001, a AEPD tem de verificar previamente o sistema antes de este ser implementado.

Feito em Bruxelas aos 12 de Dezembro de 2006. Peter HUSTINX Autoridade Europeia para a Protecção de Dados

(1) JO L 281 de 23.11.1995, p. 31

(2) JO L 8 de 12.1.2001, p. 1.

(3) JO L 248 de 16.9.2002, p. 1.

(4) Doc. COM(2006) 213 Final — 2005/0090 (CNS)

(5) Os n.os 2 e 3 do artigo 95.o foram suprimidos da proposta alterada, o que constitui uma melhoria do texto do ponto de vista da protecção de dados.

(6) Doc. SEC(2006) 866 Final

(7) Para uma análise da situação actual, ver o parecer da AEPD sobre a verificação prévia do SAR da Comissão. 6 de Dezembro de 2006, disponível em: www.edps.europa.eu

(8) Ver artigos 11.o-13.o e 18.o do Regulamento (CE) n.o 45/2001. Sobre a noção de abordagem pró-activa, ver: Documento de fundo da AEPD: acesso do público aos documentos e protecção de dados, 12 de Julho de 2005 disponível em: http://www.edps.europa.eu/EDPSWEB/edps/lang/en/pid/21

(9) Os artigos 93.o e 94.o (lidos em conjunto com o n.o 2 do artigo 114.o) instituem a obrigação de excluir terceiros da participação num concurso ou adjudicação sempre que se encontrem numa das situações enumeradas no artigo 93.o RF ou proíbem que se adjudique um contrato ou se conceda uma subvenção a terceiros em caso de conflito de interesses ou falsas declarações na prestação de informações exigidas pela entidade adjudicante como condição da participação no concurso ou adjudicação.

(10) Artigo 1.o do RF: para efeitos do RF, o Comité Económico e Social, o Comité das Regiões, o Provedor de Justiça e a Autoridade Europeia para a Protecção de Dados são equiparados a instituições das Comunidades.

(11) Ver o parecer da AEPD sobre a verificação prévia do SAR do Tribunal de Justiça Europeu, a publicar no nosso sítio Web.

(12) C(2004) 193/3 alterada pela corrigenda C(2004)517 e com a última redacção que lhe foi dada pelo regulamento interno de 2006, ver: http://ec.europa.eu/budget/library/sound_fin_mgt/ews_decision_en.pdf .

(13) O sistema SAR contém as seguintes informações: Nome e morada da pessoa — Tipo de alerta SAR — Data de início — data do fim do alerta activo — Serviço da Comissão que pediu a inserção da indicação de alerta.

(14) O artigo 9.o é comparável aos artigos 25.o e 26.o da Directiva 95/46/CE

(15) Ver supra sobre o princípio da transparência.

(16) A publicar em breve no nosso sítio Web: www.europa.edps.eu

(17) Os dados relativos à facturação não são referidos expressamente no n.o 2 do artigo 37.o mas pode-se inclui-los implicitamente.

(18) É possível encontrar um exemplo claro no parecer da AEPD sobre o procedimento TOP 50 do Parlamento Europeu (processo 2004-0126)