PT Jornal Oficial da União Europeia C 139/1

Terceiro parecer da Autoridade Europeia para a Protecção de Dados sobre a proposta de decisão-quadro do Conselho relativa à protecção dos dados pessoais tratados no âmbito da cooperação policial e judiciária em matéria penal

(2007/C 139/01)

A AUTORIDADE EUROPEIA PARA A PROTECÇÃO DE DADOS,

Tendo em conta o Tratado que institui a Comunidade Europeia, nomeadamente o artigo 286.o,

Tendo em conta a Carta dos Direitos Fundamentais da União Europeia, nomeadamente o artigo 8.o,

Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1),

Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (2), nomeadamente o artigo 41.o,

APROVOU O SEGUINTE PARECER:

I. INTRODUÇÃO

1. Em 19 de Dezembro de 2005 e 29 de Novembro de 2006, a AEPD emitiu dois pareceres (3) sobre a proposta de decisão-quadro do Conselho relativa à protecção dos dados pessoais tratados no âmbito da cooperação policial e judiciária em matéria penal, apresentada pela Comissão. Nesses pareceres, salientou a importância da proposta como instrumento eficaz de protecção dos dados pessoais no domínio abrangido pelo Título VI do Tratado UE. No segundo parecer, em especial, manifestou a preocupação pelo facto de as negociações evoluírem no sentido de se aceitar um nível de protecção dos dados pessoais não só inferior aos padrões estabelecidos na Directiva 95/46/CE, mas também incompatível com a Convenção 108 do Conselho da Europa (4), menos específica.

2. Em Janeiro de 2007, a Presidência Alemã estabeleceu uma série de pontos de base para rever a proposta, tendo em vista eliminar as reservas pendentes e melhorar a protecção dos dados no terceiro pilar (5). O projecto revisto de proposta (6) foi apresentado à AEPD para uma segunda consulta em 13 de Abril de 2007.

3. As alterações substanciais incluídas na proposta revista, bem como a sua importância, exigem um novo parecer da AEPD. O presente parecer concentrar-se-á nas principais preocupações da AEPD e não reiterará os argumentos apresentados em pareceres anteriores, uma vez que estes continuam a ser válidos para esta proposta revista.

II. O NOVO IMPULSO DA PRESIDÊNCIA ALEMÃ

4. A AEPD congratula-se com o facto de a Presidência Alemã dedicar grandes esforços às negociações sobre esta decisão-quadro do Conselho. É do conhecimento geral que as negociações estão bloqueadas a nível do Conselho, devido a diferenças de opinião entre os Estados-Membros sobre questões fundamentais. É por conseguinte uma decisão acertada da Presidência dar novo impulso as estas negociações, apresentando um novo texto.

5. O facto de a Presidência ter dado um novo impulso às negociações é, por si só, um facto muito positivo. No entanto, após uma análise exaustiva do último texto, o seu conteúdo constitui uma desilusão para a AEPD. O texto apresentado pela Presidência Alemã não corresponde às suas expectativas, pelas seguintes razões: — O texto enfraquece o nível de protecção dos cidadãos, uma vez que foram eliminadas várias disposições essenciais para a sua protecção, que faziam parte da proposta da Comissão. — Em muitos aspectos, a proposta revista prevê até níveis de protecção inferiores aos conferidos pela Convenção 108. Além de insatisfatório, o texto é até incompatível com as obrigações internacionais dos Estados-Membros. — O texto acrescenta novos factores de complexidade ao processo, uma vez que abrange o processamento de dados pela Europol, a Eurojust e o Sistema de Informação Aduaneiro do terceiro pilar e abre o debate sobre a supervisão destes organismos. Em particular, o presente parecer avaliará se a decisão-quadro do Conselho constitui ou não o instrumento jurídico adequado para tratar estas questões. — A qualidade legislativa do texto é insuficiente. Além da escolha do instrumento jurídico, várias das disposições não preenchem os requisitos das directrizes comuns sobre a qualidade da redacção da legislação comunitária (7). Em especial, o texto não está redigido de forma clara, simples e precisa, pelo que os cidadãos só dificilmente conseguem identificar sem ambiguidade os seus direitos e obrigações. — O baixo nível de protecção conferido pela proposta não serve convenientemente o objectivo de criar um espaço de liberdade, de segurança e de justiça em que seja possível o intercâmbio de informações sobre a execução da lei entre autoridades policiais e judiciárias, independentemente das fronteiras nacionais. Na realidade, na ausência de um nível elevado e amplamente aplicável de protecção dos dados, a proposta continua a sujeitar as trocas de informação a «regras de origem» e «duplos padrões» nacionais diferentes, que afectam muitíssimo a cooperação em matéria de execução da lei, em nada melhorando a protecção dos dados pessoais (8).

6. A AEPD está perfeitamente consciente da dificuldades de alcançar a unanimidade a nível do Conselho. No entanto, o processo de tomada de decisões não pode justificar uma abordagem de menor denominador comum, que atentaria contra os direitos fundamentais dos cidadãos da UE, prejudicando simultaneamente a eficácia da execução da lei. Neste contexto, seria de desejar fosse plenamente tomada em consideração que a competência em matéria de protecção de dados e que fossem devidamente integradas as recomendações constantes das resoluções do Parlamento Europeu (9).

III. QUADRO JURÍDICO E ENFOQUE DO PRESENTE PARECER

7. Uma decisão-quadro sobre a protecção dos dados pessoais no terceiro pilar constitui um elemento essencial no desenvolvimento de um espaço de liberdade, de segurança e de justiça. A crescente importância da cooperação policial e judiciária em matéria penal, bem como as acções decorrentes do Programa da Haia (10) vieram salientar a necessidade de dispor de padrões comuns em matéria de protecção dos dados pessoais no terceiro pilar.

8. Infelizmente, tal como foi repetidamente afirmado pela AEPD e por outros intervenientes relevantes (11), os instrumentos em vigor a nível europeu não são suficientes. A Convenção 108 do Conselho da Europa, que é vinculativa para os Estados-Membros, estabelece princípios gerais fundamentais em matéria de protecção de dados, mas, embora deva ser interpretada à luz da jurisprudência da CEDH, não tem a precisão necessária, tal como a AEPD afirmou já repetidamente (12). A Directiva 95/46/CE, que integrou e especificou os princípios da Convenção 108 relativamente ao mercado interno, foi adoptada já em 1995. Esta directiva não é aplicável às actividades do âmbito do terceiro pilar. No que se refere às actividades do âmbito da cooperação policial e judiciária, todos os Estados-Membros subscreveram a Recomendação n.O R (87) 15 (13), que especifica que a Convenção 108 se aplica até certo à polícia. Não se trata, porém, de um instrumento vinculativo.

9. Neste contexto, o n.o 1, alínea b), do artigo 30.o do TUE requer que as acções em comum no domínio da cooperação policial que implicam o tratamento da informação pelas autoridades responsáveis pela execução da lei estejam sujeitas a «disposições adequadas relativas à protecção dos dados de carácter pessoal». Tais disposições adequadas não existem, na ausência de uma decisão-quadro do Conselho com um conteúdo satisfatório.

10. Pode facilmente estabelecer-se um paralelo com o desenvolvimento do mercado interno, em que um elevado nível de protecção dos dados pessoais em toda a Comunidade foi considerado um elemento essencial da supressão dos obstáculos à livre circulação dos bens, serviços, capitais e pessoas, e conduziu à adopção da Directiva 95/46/CE. Por analogia, um espaço de liberdade, de segurança e de justiça, em que a informação deve circular livremente entre as autoridades responsáveis pela execução da lei, tanto a nível nacional como comunitário, requer um nível de protecção dos dados pessoais elevado e uniforme em todos os Estados-Membros.

11. Estas considerações contrastam com a situação actual, em que não existe tal enquadramento geral e em que as disposições sobre a protecção dos dados pessoais no terceiro pilar são «específicas a cada sector» e dispersas por vários instrumentos jurídicos (14). Algumas propostas recentes (15) confirmam e reforçam a fragmentação das disposições em matéria de protecção de dados existente nesta área, pondo em risco a sua coerência. Além disso, a ausência de um enquadramento geral afecta a rápida adopção de muitas propostas no domínio da cooperação policial e judiciária.

12. Por estas razões, a AEPD apoiou inequivocamente a proposta da Comissão nos seus pareceres anteriores e apresentou recomendações adequadas a fim de a melhorar, o que se revelava necessário para assegurar um nível adequado de protecção dos cidadãos. A AEPD tem sempre defendido que um enquadramento geral para a protecção dos dados no terceiro pilar deve assegurar um padrão elevado e coerente de protecção dos dados, com base nos princípios estabelecidos pela Convenção 108 e pela Directiva 95/46/CE, tomando simultaneamente em consideração, sempre que necessário, as especificidades das actividades de execução da lei.

13. A coerência deste enquadramento geral com os princípios da protecção de dados do primeiro pilar é tanto mais importante num contexto em que o envolvimento crescente do sector privado na execução da lei implica a transferência de dados pessoais do primeiro pilar para o terceiro pilar (como no caso do PNR), ou do terceiro pilar para o primeiro pilar. É fácil encontrar exemplos pertinentes: a utilização de listas de proibição de embarque que incluem pessoas que não devem ser admitidas a bordo de aviões, elaboradas pelas companhias aéreas para efeitos da execução da lei, com objectivos no âmbito do primeiro pilar (objectivos comerciais, bem como segurança dos voos), assim como a proposta de acesso à base de dados VIS, elaborada como instrumento de uma política comum de vistos, por parte das autoridades de execução da lei (16). Por conseguinte, a AEPD salienta que os princípios da protecção dos dados no primeiro pilar se aplicam igualmente ao terceiro pilar. No entanto, as especificidades das actividades de execução da lei podem tornar necessárias disposições suplementares ou excepcionais (17).

14. Salvaguardas apropriadas, coerentes e geralmente aplicáveis à protecção de dados no terceiro pilar são essenciais, não só para garantir o direito fundamental das pessoas à protecção dos dados como para contribuir para a eficácia da cooperação em matéria de execução da lei no espaço de liberdade, de segurança e de justiça.

15. Neste contexto, o presente parecer avalia em que medida a actual proposta revista estabelece disposições adequadas sobre a protecção dos dados pessoais, nos termos do n.o 1, alínea b), do artigo 30.o do TUE. Para tanto, a AEPD faz referência a algumas das suas recomendações, constantes de pareceres anteriores. O presente parecer avaliará também se a proposta revista respeita as obrigações internacionais dos Estados-Membros, decorrentes da Convenção 108 do Conselho da Europa e da jurisprudência da CEDH, bem como os princípios estabelecidos na Recomendação n.O R (87) 15 sobre a utilização de dados pessoais pela polícia. A AEPD ponderará ainda o eventual impacto das disposições da presente directiva na eficácia da cooperação policial e judiciária.

IV. PRINCIPAIS PREOCUPAÇÕES

IV.1. Aplicabilidade ao tratamento nacional de dados de carácter pessoal

16. A proposta passou a incluir um considerando que declara que os Estados-Membros aplicarão as regras da decisão-quadro ao tratamento de dados a nível nacional para que, já aquando da recolha dos mesmos, as condições para a transmissão possam estar preenchidas (considerando 6-A). Este considerando procura dar resposta às preocupações expressas não só pela AEPD nos seus pareceres anteriores, mas também às de várias outras partes interessadas. Na verdade, o Parlamento Europeu, a Conferência das Autoridades para a Protecção de Dados e até o Comité Consultivo do Conselho da Europa para o tratamento de dados pessoais — constituído por representantes dos governos europeus no domínio da protecção de dados — tornaram claro, em várias ocasiões, que a aplicabilidade da decisão-quadro ao tratamento dos dados pessoais a nível nacional era uma condição essencial não só para assegurar uma protecção suficiente dos dados pessoais como para permitir uma cooperação eficaz entre as autoridades responsáveis pela execução da lei (18).

17. No entanto, o considerando não pode, por si só, impor uma obrigação que não consta explicitamente do articulado. Infelizmente, o artigo 1.o (Objectivo e âmbito de aplicação) limita expressamente a aplicabilidade da proposta aos dados transmitidos entre Estados-Membros ou organismos da UE, garantindo «uma elevada protecção dos direitos e das liberdades fundamentais e nomeadamente da vida privada das pessoas singulares aquando da transmissão de dados pessoais […]».

18. Assim, a versão actual deixa totalmente ao critério dos Estados-Membros na aplicação uniforme dos princípios relativos à protecção de dados ao tratamento de dados pessoais a nível nacional, não os obrigando pôr em prática os mesmos padrões comuns de protecção de dados. Isto passa-se num espaço de cooperação policial e judiciária em que as fronteiras internas são eliminadas. Neste contexto, a AEPD volta a salientar que a possibilidade de coexistirem níveis diferentes de protecção de dados em diferentes Estados-Membros no âmbito do terceiro pilar seria: — incoerente com a criação de um espaço de liberdade, de segurança e de justiça, dentro do qual os cidadãos se deslocam livremente, e com uma correcta aproximação das disposições legislativas e regulamentares nos termos do n.o 2, alínea b), do artigo 34.o do TUE. — não apropriada à protecção dos dados pessoais, nos termos do n.o 1, alínea b), do artigo 30.o do TUE. — ineficaz e ingerível para as autoridades responsáveis pela execução da lei, que seriam indevidamente sobrecarregadas por distinções impossíveis de gerir entre dados nacionais e dados transmitidos ou disponíveis para transmissão, que, na maioria dos casos, farão parte do mesmo processo (19).

19. A AEPD aconselha vivamente o legislador a alargar o âmbito de aplicabilidade obrigando — e não apenas convidando — os Estados-Membros a aplicar a decisão-quadro ao tratamento dos dados a nível nacional. Além disso, não existem argumentos jurídicos prementes em apoio do ponto de vista de que não seria permitida a aplicação aos dados nacionais, nos termos do artigo 34.o do TUE.

IV.2. Limitação das outras finalidades para as quais os dados de carácter pessoal possam ser utilizados

20. O princípio da limitação das finalidades é um dos princípios de base da protecção dos dados Em especial, a Convenção 108 determina que os dados pessoais devem ser «armazenados para fins determinados e legítimos e não serão utilizados de forma incompatível com esses fins» (alínea b) do artigo 5.o). Só são permitidas derrogações a este princípio desde que previstas na lei e que constituam uma medida necessária, numa sociedade democrática, por motivos de interesse público, como por exemplo, «supressão de infracções penais» (artigo 9.o). A jurisprudência do Tribunal Europeu dos Direitos do Homem explicitou claramente que tais derrogações devem ser proporcionadas, precisas e previsíveis, nos termos do n.o 2 do artigo 8.o da Convenção Europeia dos Direitos do Homem (20).

21. Na proposta actual, as disposições sobre a limitação das finalidades encontram-se no artigo 3.o e no artigo 12.o. O artigo 3.o permite o tratamento posterior para fins compatíveis com aquele para o qual os dados foram recolhidos e, a este respeito, está pois em conformidade com os princípios de base da protecção dos dados.

22. No entanto, o artigo 3.o é demasiado lato e não abrange uma limitação adequada dos fins para efeitos de armazenamento, que é também exigida pela alínea b) do artigo 5.o da Convenção 108, atrás referida. A referência geral aos fins do Título VI do Tratado UE não pode ser entendida como fins determinados e legítimos. Os fins da cooperação policial e judiciária não são, por natureza, legítimos (21) nem são, certamente, determinados.

23. O artigo 3.o não contém nenhuma derrogação, como seria possível nos termos do artigo 9.o da Convenção 108. Todavia, o artigo 12.o da proposta estabelece uma série bastante extensa de derrogações, não claramente definida, para o princípio da limitação das finalidades, no âmbito dos dados pessoais recebidos de outro Estado-Membro ou por ele disponibilizados. Em especial, o artigo não estipula explicitamente a necessidade de derrogações. Em segundo lugar, não é claro quais são os «outros processos […] ou administrativos» em relação aos quais a alínea b) do n.o 1 do artigo 12.o autoriza o tratamento de dados pessoais recolhidos e transmitidos para fins diferentes. Além disso, a alínea d) do n.o 1 desse mesmo artigo autoriza o tratamento para «quaisquer outros fins», só com a condição de a autoridade competente que transmitiu os dados pessoais dar o seu consentimento. Neste contexto, há que assinalar que em nenhuma circunstância se pode considerar que o consentimento da autoridade de transmissão substitui o consentimento da pessoa em causa ou que constitui fundamento jurídico para derrogar ao princípio da limitação das finalidades. Por isso, a AEPD gostaria de salientar que esta derrogação ampla e aberta não cumpre os requisitos básicos da protecção adequada dos dados, contrariando mesmo os princípios básicos da Convenção 108, pelo que recomenda ao legislador que reformule as disposições pertinentes.

24. Uma última observação diz respeito ao n.o 2 do artigo 12.o, que prevê a possibilidade de as decisões do Conselho, no âmbito do terceiro pilar, prevalecerem sobre o disposto no n.o 1, nos casos em que estejam previstas condições adequadas para o tratamento de dados pessoais. A AEPD regista que a formulação desse número é muito geral e não faz justiça à natureza da decisão-quadro do Conselho como lex generalis em matéria de cooperação policial e judiciária. Essa lex generalis deve aplicar-se a todo o tratamento de dados pessoais neste domínio.

25. A AEPD considera que as actuais disposições sobre o tratamento posterior de dados pessoais viola o princípio básico da limitação das finalidades, ficando mesmo aquém da norma vigente estabelecida pela Convenção 108. Assim, a AEPD recomenda ao legislador que reformule as disposições pertinentes, à luz das regras internacionais vigentes em matéria de protecção de dados e da jurisprudência pertinente.

IV.3. Protecção adequada do intercâmbio de dados pessoais com países terceiros

26. Na Convenção 108 também estão contempladas as transferências para países terceiros. O Protocolo Adicional no que respeita às autoridades de controlo e aos fluxos de dados transfronteiriços estabelece o princípio geral — sujeito a determinadas derrogações — de que a transmissão de dados pessoais a terceiros só é permitida se eles «garantirem um nível de protecção adequado da transferência de dados pretendida». O princípio da «protecção adequada» foi aplicado e especificado em vários instrumentos jurídicos da União Europeia, não só em instrumentos do primeiro pilar sobre a protecção de dados, como a Directiva 95/46/CE (22), mas também em instrumentos jurídicos no âmbito do terceiro pilar, como sejam os que instituem a Europol e a Eurojust.

27. Lê-se no considerando 12 da actual proposta que, no caso da transmissão de dados pessoais a países terceiros ou organismos internacionais, «estes dados devem, em princípio, beneficiar de um nível adequado de protecção». Além disso, o artigo 14.o permite que os dados pessoais transmitidos por outro Estado-Membro sejam transferidos para países terceiros ou organismos internacionais se a autoridade de transmissão tiver dado o seu consentimento à transferência, respeitando o seu direito nacional. Por isso, as disposições da proposta não estabelecem a necessidade de uma protecção adequada, nem prevêem critérios ou mecanismos comuns para avaliar a adequação, o que significa que cada Estado-Membro avaliará arbitrariamente o nível de adequação previsto pelo país terceiro ou pela organização internacional. Consequentemente, a lista de países e organizações internacionais adequados — para os quais é autorizada a transferência — variará significativamente de Estado-Membro para Estado-Membro.

28. Este quadro jurídico também entravaria a cooperação policial e judiciária. Na verdade, as autoridades de aplicação da lei de um Estado-Membro, ao decidirem sobre o pedido de um país terceiro em relação a um determinado registo criminal, terão não só de analisar a adequação desse país, mas deverão também ter em conta se cada um dos outros Estados-Membros (26 no máximo) que contribuíram para o registo deu ou não o seu consentimento, de acordo com a sua avaliação da adequação do país terceiro em causa.

29. Neste contexto, o artigo 27.o da proposta sobre a relação com convenções com países terceiros vem trazer mais insegurança, ao estipular que a decisão-quadro não prejudica as obrigações nem os compromissos assumidos pelos Estados-Membros ou pela UE, no âmbito de acordos bilaterais e/ou multilaterais com países terceiros. Segundo a AEPD, esta disposição deveria limitar-se claramente aos acordos vigentes e estipular que os futuros acordos estejam em consonância com as disposições da presente proposta.

30. A AEPD considera que as actuais disposições sobre a transmissão de dados pessoais a países terceiros e organizações internacionais não seriam adequadas para proteger os dados pessoais e seriam praticamente ingeríveis para as autoridades de aplicação da lei, pelo que reitera (23) a necessidade de se garantir um nível de protecção adequado aquando da transmissão de dados pessoais a países terceiros ou organizações internacionais e de criar mecanismos que assegurem normas comuns e decisões coordenadas em matéria de adequação. Já o Parlamento Europeu e o Comité do Conselho da Europa relativo ao tratamento de dados pessoais tinham manifestado a mesma opinião.

IV.4. Qualidade dos dados

31. O artigo 5.o da Convenção 108 estabelece os princípios destinados a garantir a qualidade dos dados pessoais. Existem mais pormenores noutros instrumentos vinculativos, como a Recomendação n.O R (87) 15 e nas suas três avaliações efectuadas até agora.

32. Ao comparar a actual proposta com os instrumentos jurídicos acima mencionados, é claro que a versão revista não estabelece algumas garantias importantes, em alguns casos já previstas na proposta da Comissão: — o artigo 3.o da proposta não garante que os dados sejam obtidos e tratados com equidade, como exige o artigo 5.o da Convenção 108. — A proposta deixa de incluir disposições que estipulem — como o exige o princípio 3.2. da Recomendação n.o R (87) 15 — que as diferentes categorias de dados sejam distinguidas em função do seu grau de exactidão e fiabilidade e que os dados baseados em factos sejam distinguidos dos dados baseados em opiniões ou apreciações pessoais (24). A ausência desse requisito comum poderá, com efeito, afectar os dados intercambiados entre as autoridades policiais, pois estas não serão capazes de verificar se os dados podem ser interpretados como «prova», «facto», «informações confirmadas» ou «informações não confirmadas, o que poderá não só dificultar as operações de segurança e a recolha de informações assentes nessas distinções, mas também tornar as condenações mais difíceis para os tribunais». — Não existem distinções entre as diferentes categorias de indivíduos objecto desses dados (criminosos, suspeitos, vítimas, testemunhas, etc.), nem garantias específicas em relação aos dados referentes a não suspeitos, contrariamente ao preconizado no princípio 2 da Recomendação n.O R (87) 15 e nos seus relatórios de avaliação. (25) Mais uma vez, essas distinções são necessárias não só para a protecção dos dados pessoais dos cidadãos, mas também para os destinatários poderem utilizar plenamente os dados recebidos. Sem estas distinções, os serviços policiais receptores não podem utilizar os dados de imediato, mas têm de verificar primeiro como devem ser qualificados e posteriormente como podem ser utilizados e partilhados para os diferentes fins de aplicação da lei. — A revisão periódica prevista no artigo 6.o não garante, nem a verificação periódica da qualidade dos dados, nem que os registos policiais estejam isentos de dados supérfluos ou imprecisos e se mantenham actualizados, como exigido pela Recomendação n.O R (87) 15 (26). É óbvia a importância de que se reveste essa revisão para a protecção de dados, mas mais uma vez também é fundamental para o funcionamento eficaz dos serviços policiais. Na melhor das hipóteses, informações obsoletas e desactualizadas não servem para nada e, na pior, podem desviar os recursos das actuais prioridades para matérias que não são, nem devem ser, o alvo da investigação. — Se se verificar que os dados pessoais — transmitidos por outro Estado-Membro — são inexactos, não existem nem obrigações, nem mecanismos que permitam a sua rectificação no Estado-Membro de origem. Mais uma vez se comprova que a questão da exactidão se reveste de uma importância primordial para o efectivo funcionamento da polícia e do poder judicial. Se não se puder garantir a qualidade dos dados, isso prejudicará a utilidade das transferências de dados, enquanto instrumento para combater a criminalidade transfronteiriça.

33. Neste contexto, a AEPD considera que as disposições da presente proposta relacionadas com a qualidade dos dados não são nem adequadas, nem completas — tendo especificamente em conta a Recomendação n.O R (87) 15 que foi subscrita por todos os Estados-Membros -, podendo mesmo considerar-se aquém do nível de protecção exigido pela Convenção 108. Convém recordar mais uma vez que a exactidão dos dados pessoais é do interesse tanto das autoridades responsáveis pela aplicação da lei como do próprio indivíduo (27)

IV.5. Intercâmbio de dados pessoais com autoridades não competentes e com particulares

34. Segundo o Princípio 5 (Comunicação de dados) da Recomendação n.o R (87) 15, só deverá ser autorizada a comunicação de dados pessoais por parte de autoridades responsáveis pela aplicação da lei a outros organismos públicos ou a particulares em certas condições rigorosas. Estas disposições, estabelecidas na proposta inicial da Comissão e acolhidas favoravelmente pela AEPD e pelo Parlamento Europeu foram suprimidas na versão revista. Por conseguinte, o novo texto não estabelece quaisquer garantias específicas para as transferências de dados pessoais para autoridades não competentes ou para particulares.

35. Além disso, só é autorizado o acesso e posterior utilização por parte das autoridades responsáveis pela aplicação da lei, de dados pessoais controlados por particulares em condições e com limitações bem definidas. Tal como a AEPD já indicou em anteriores pareceres, o acesso das autoridades de aplicação da lei só deverá ser autorizado caso a caso, em determinadas circunstâncias e para fins específicos, ficando sujeito a controlo judicial nos Estados-Membros. Dados recentes, como por exemplo, a Directiva 2006/24/CE (28) relativa à conservação de dados, o Acordo sobre a Transferência de Dados contidos nos Registos de Identificação dos Passageiros pelas Transportadoras Aéreas, celebrado com os Estados Unidos da América (29), e o acesso das autoridades de aplicação da lei aos dados do SWIFT (30) vêm confirmar a importância primordial destas garantias. É de lamentar que a proposta actual não preveja quaisquer garantias específicas no que se refere ao acesso e posterior utilização, por parte das autoridades responsáveis pela aplicação da lei, de dados pessoais controlados por particulares.

36. Neste contexto, a AEPD constata que, em relação ao intercâmbio de dados pessoais com autoridades não competentes e com particulares, a presente proposta não respeita os princípios consignados na Recomendação n.O R (87) 15 e não contempla a questão essencial do acesso e posterior utilização, por parte das autoridades responsáveis pela aplicação da lei, de dados de carácter pessoal controlados por particulares.

IV.6. Outras questões importantes

37. Para além das preocupações acima expressas, a AEPD gostaria de chamar a atenção do legislador para os seguintes aspectos que, na maior parte dos casos, já foram abordados em pormenor em anteriores pareceres: — Categorias especiais de dados. o artigo 7.o da proposta revista contradiz a proibição de princípio estabelecida no artigo 6.o da Convenção 108. Além disso, não faz referência nem aos dados pessoais relativos a condenações penais, que são indubitavelmente importantes no contexto da cooperação policial e judiciária em matéria penal, nem prevê salvaguardas específicas em relação aos dados biométricos e aos perfis de ADN. — Decisões individuais automatizadas: a AEPD regista com agrado que o artigo 8.o integra esta disposição na proposta revista. — Registo e documentação: para ser eficaz para efeitos de verificação da licitude do tratamento dos dados, o artigo 11.o deverá estabelecer os mecanismos adequados para o registo e documentação não apenas de todas as transmissões de dados, mas também de todos os acessos aos dados. — Direito à informação: o artigo 16.o está incompleto porque não dá qualquer informação sobre a identidade do responsável pelo tratamento. Além disso, o considerando 13 («[…] pode ser necessário informar a pessoa em causa […]») dá a entender que essa informação é uma simples possibilidade e não uma obrigação de base do responsável. — Direito de acesso: o artigo 17.o está incompleto, dado que deveria incluir também as finalidades do tratamento de dados e a sua comunicação sob forma inteligível. Além disso, as excepções previstas no n.o 2 — por exemplo, se o acesso«prejudicar os interesses nacionais» — são demasiado amplas e imprevisíveis. Por último, não existe nenhum mecanismo que garanta que o recurso apresentado à autoridade de controlo poderá vir a autorizar o acesso, se este tiver sido recusado ilegitimamente.

V. NOVAS QUESTÕES SUSCITADAS PELA PROPOSTA REVISTA

38. A proposta revista inclui um elemento totalmente novo, em comparação com a proposta da Comissão, que abrange as actividades das instituições e organismos europeus do terceiro pilar (n.o 2 do artigo 1.o da proposta). Nos termos do considerando 20, tal inclui o tratamento de dados efectuado pela Europol, a Eurojust e o Sistema de Informação Aduaneira do terceiro pilar. O n.o 2 do artigo 1.o não se refere apenas a organismos europeus, mas também a instituições, o que significa, por exemplo, que o tratamento de dados a nível do Conselho deveria ser abrangido pela Decisão-Quadro do Conselho. Fica-se na dúvida sobre se os redactores queriam efectivamente estabelecer um âmbito de aplicação tão alargado, ou se tencionavam limitar a aplicação apenas aos três órgãos referidos no considerando 20. Em qualquer caso, isso deverá ser precisado no texto, a fim de evitar a insegurança jurídica.

39. Isto leva-nos a uma observação de carácter mais geral: no entender da AEPD, é da maior importância que seja garantido um nível suficiente de protecção de dados em todo o terceiro pilar, uma vez que só nessas condições se poderá proporcionar um intercâmbio de informações suficiente num espaço de liberdade, segurança e justiça sem fronteiras internas. Tal implica aplicar o enquadramento geral da protecção de dados aos organismos europeus do terceiro pilar. A AEPD já tinha salientado esta necessidade na Parte IV do seu parecer sobre a proposta de decisão do Conselho relativa à Europol.

40. Contudo, e por motivos de eficiência legislativa, a AEPD tem sérias dúvidas sobre se a actual Decisão-Quadro do Conselho deverá abranger as actividades dos organismos europeus que integram o terceiro pilar. O primeiro argumento contra este âmbito de aplicação alargado tem a ver com a política legislativa. A AEPD receia que incluir os organismos europeus no texto actual implique o risco de os debates no Conselho se concentrarem neste novo aspecto e não nas disposições de fundo em matéria de protecção de dados, o que virá complicar todo o processo legislativo. O segundo argumento é de natureza jurídica: à primeira vista, dir-se-ia que uma Decisão-Quadro do Conselho — um instrumento comparável a uma directiva nos termos do Tratado CE — não constitui o instrumento jurídico adequado para regulamentar os direitos e obrigações dos organismos europeus. O artigo 34.o do TUE introduz este instrumento com o objectivo de aproximar as disposições legislativas e regulamentares dos Estados-Membros. De qualquer forma, existe um sério risco de que a base jurídica venha a ser posta em causa durante o processo legislativo ou posteriormente.

41. A AEDP tem a mesma opinião no que diz respeito ao instrumento jurídico escolhido, ao artigo 26.o do texto, que prevê a criação de uma nova instância comum de controlo que substituirá as autoridades que actualmente controlam o tratamento de dados no âmbito dos organismos do terceiro pilar. A intenção de criar essa autoridade pode por si só parecer lógica, visto poder conduzir a um sistema de supervisão mais eficiente e garantir uma maior coerência do nível de protecção nos organismos criados no âmbito do terceiro pilar.

42. Neste momento, porém, não há uma necessidade urgente de uma nova instância de controlo. A supervisão em si funciona satisfatoriamente. Além disso, o Presidente da Eurojust apresentou diversas objecções contra a aplicação deste sistema de supervisão à EUROJUST. Sem querer entrar nas questões de fundo, é óbvio que incluir na Decisão-Quadro do Conselho a questão da supervisão dos organismos da UE tornaria o processo legislativo ainda mais difícil. Além do mais, esta abordagem não seria coerente com outras propostas neste domínio que estão actualmente a ser debatidas (31) ou que foram recentemente adoptadas (32).

43. Resumindo, a AEPD aconselha a que não se incluam no texto da Decisão-Quadro do Conselho disposições relacionadas com o tratamento de dados por parte dos organismos da UE, por motivos de eficiência legislativa. É importante que todos os esforços do Conselho se concentrem nas disposições de fundo em matéria de protecção de dados, para que o cidadão possa beneficiar da necessária protecção.

VI. CONCLUSÕES

44. A AEPD saúda o novo impulso dado pela Presidência Alemã. É fundamental que se adopte um quadro geral para a protecção de dados no âmbito do terceiro pilar, tal como a AEPD e outras partes interessadas já salientaram em várias ocasiões, a fim de apoiar a criação de um espaço de liberdade, segurança e justiça onde o direito dos cidadãos à protecção dos dados de carácter pessoal seja garantido de forma uniforme e a cooperação entre as autoridades responsáveis pela aplicação da lei possa ter lugar sem que as fronteiras nacionais constituam um obstáculo.

45. No entanto, a proposta revista não cumpre nenhum destes objectivos. Na realidade, na ausência de um nível de protecção de dados elevado e aplicável de forma generalizada, a proposta continua a sujeitar ainda as trocas de informação a diferentes «regras de origem» e «critérios duplos» nacionais que afectam muitíssimo a cooperação em matéria de execução da lei, em nada melhorando a protecção dos dados.

46. Para referir um exemplo concreto, isto significaria que uma autoridade responsável pela aplicação da lei, a nível nacional ou da UE, ao lidar com um registo criminal — constituído por dados procedentes de várias autoridades nacionais, de outros Estados-Membros e da UE -, teria de aplicar diferentes regras processuais a diferentes partes do processo, dependendo isso de: os dados de carácter pessoal terem ou não sido recolhidos a nível interno; de cada um dos organismos de transmissão ter ou não dado o seu consentimento para o fim previsto; de a conservação dos dados respeitar ou não os prazos previstos na legislação aplicável a cada um dos organismos de transmissão desses dados; de novas restrições de tratamento requeridas por cada um dos organismos de transmissão não proibirem o tratamento; de, no caso do pedido de um país terceiro, cada organismo de transmissão ter dado o seu consentimento nos termos da sua própria avaliação de adequação e/ou de compromissos internacionais. Além disso, a protecção e os direitos dos cidadãos sofrerão enormes variações e ficarão sujeitas a diferentes derrogações, dependendo do Estado-Membro onde é efectuado o tratamento.

47. Acrescente-se que a AEPD lamenta que a qualidade legislativa do texto não seja satisfatória e que a proposta torne o dossier mais complexo, ao tornar extensiva a aplicabilidade da decisão-quadro à Europol, à Eurojust e ao Sistema de Informação Aduaneiro no âmbito do terceiro pilar, bem como ao propor a criação de uma instância comum de controlo com base num instrumento jurídico inapropriado.

48. A AEPD está preocupada com o facto de os actuais textos retirarem disposições essenciais para a protecção dos dados de carácter pessoal que constavam da proposta da Comissão. Ao proceder desta forma, enfraquece-se significativamente o nível de protecção dos cidadãos. Primeiro, ao não conseguir dar à Convenção 108 o valor que tornaria as suas disposições adequadas do ponto de vista da protecção de dados, tal como previsto no n.o 1 do artigo 30.o do TUE. Segundo, ao também não conseguir cumprir, em muitos aspectos, o nível de protecção exigido pela Convenção 108. Assim sendo, a AEPD considera que esta proposta necessitaria de grandes melhorias antes de poder vir a constituir a base para o debate sobre o quadro geral adequado para a protecção de dados, no âmbito do terceiro pilar. Estas melhorias deveriam conduzir a que este quadro-geral: — Dê valor à Convenção 108, definindo as disposições adequadas em matéria de protecção de dados de carácter pessoal, exigidas pelo n.o 1 do artigo 30.o do TUE — Seja aplicável ao tratamento nacional de dados de carácter pessoal pelas autoridades de aplicação da lei. — Seja coerente com os princípios relativos à protecção de dados de carácter pessoal do primeiro pilar, sem no entanto deixar de ter em conta, se necessário, as especificidades inerentes às actividades de aplicação da lei — Esteja em consonância com os princípios definidos na Convenção 108 e na Recomendação n.o R (87) 15, nomeadamente no que toca: — à limitação das outras finalidades para as quais os dados de carácter pessoal possam ser utilizados — à qualidade dos dados, incluindo a distinção entre diferentes categorias de indivíduos objecto desses dados (criminosos, suspeitos, vítimas, testemunhas, etc.), à avaliação dos diferentes níveis de rigor e fiabilidade dos dados e aos mecanismos que garantam uma verificação e rectificação periódicas — às condições de transferência de dados de carácter pessoal a autoridades não competentes e a particulares, bem como de acesso aos dados pessoais controlados por particulares e à sua posterior utilização por parte das autoridades de aplicação da lei. — Garanta uma protecção adequada no intercâmbio de dados pessoais com países terceiros, incluindo em relação a acordos internacionais — Aborde os restantes pontos referidos aqui e em anteriores pareceres anteriores da AEPD.

49. A AEPD está perfeitamente consciente das dificuldades em alcançar a unanimidade a nível do Conselho. No entanto, o processo decisório não pode justificar a opção do menor denominador comum que atentaria contra os direitos fundamentais dos cidadãos da UE, prejudicando simultaneamente a eficiência da execução da lei.

Feito em Bruxelas, em 27 de Abril de 2007. Peter HUSTINX Autoridade Europeia para a Protecção de Dados

(1) JO L 281 de 23.11.1995, p. 31.

(2) JO L 8 de 12.1.2001, p. 1.

(3) O primeiro parecer encontra-se no JO C 47 de 25.2.2006, p. 27; o segundo parecer está disponível na página Web da AEPD www.edps.europa.eu

(4) Convenção do Conselho da Europa para a Protecção das Pessoas relativamente ao Tratamento Automatizado de Dados de Carácter Pessoal, 28 de Janeiro de 1981.

(5) Doc. 5435/07 do Conselho, de 18 de Janeiro de 2007, disponível em register.consilium.europa.eu

(6) Doc. 7315/07 do Conselho, de 13 de Março de 2007, disponível em register.consilium.europa.eu

(7) Acordo interinstitucional de 22 de Dezembro de 1998 sobre as directrizes comuns em matéria de qualidade de redacção da legislação comunitária (JO C 73 de 17.3.1999, p. 1). Podem encontrar-se exemplos no Capítulo V do presente parecer

(8) Ver, por exemplo, o artigo 14.o, sobre transferências para países terceiros e organismos nacionais; n.o 1, alínea d), do artigo 12.o, sobre o tratamento posterior de dados pessoais; artigo 10.o, sobre o cumprimento dos prazos de apagamento e verificação; artigo 13.o, sobre cumprimento de restrições de tratamento nacionais.

(9) O Parlamento Europeu adoptou a sua primeira resolução sobre a proposta inicial da Comissão em 27 de Setembro de 2006. A segunda resolução, sobre a proposta revista, é aguardada até Junho.

(10) Ver também o Plano de Acção do Conselho e da Comissão de aplicação do Programa da Haia sobre o reforço da liberdade, da segurança e da justiça na União Europeia (JO C 198 de 12.8.2005, p. 1).

(11) A Conferência das Autoridades Europeias para a Protecção de Dados emitiu parecer em 24 de Junho de 2006, parecer esse que se encontra no register.consilium.europa.eu com o número 6329/06. O Comité Consultivo do Conselho da Europa sobre a Convenção do Conselho da Europa para a Protecção das Pessoas relativamente ao Tratamento Automatizado de Dados de Carácter Pessoal (T-PD) adoptou em 20 de Março de 2007 um documento com as suas observações iniciais, que está disponível em www.coe.int/dataprotection/.

(12) Ver, mais recentemente, o parecer da AEPD de 4 de Abril de 2007 sobre a iniciativa de 15 Estados-Membros, tendo em vista a adopção de uma decisão do Conselho relativa ao aprofundamento da cooperação transfronteiras, em particular no domínio da luta contra o terrorismo e da criminalidade transfronteiras, ponto 60.

(13) Recomendação n.O R (87) 15 do Comité Ministerial aos Estados-Membros, que regulamenta a utilização de dados pessoais pela polícia, adoptada em 17 de Setembro de 1987 e disponível em www.coe.int/dataprotection/.

(14) Tal como os instrumentos jurídicos que regulamentam a Europol, a Eurojust e o Sistema de Informação Aduaneira no âmbito do terceiro pilar.

(15) Tais como as recentes iniciativas relativas à Europol, o Tratado de Prüm e o acesso das autoridades responsáveis pela execução da lei à base de dados VIS.

(16) Ver a proposta de decisão do Conselho relativa ao acesso em consulta do Sistema de Informação sobre Vistos (VIS) por parte das autoridades dos Estados Membros responsáveis pela segurança interna e da Europol para efeitos de prevenção, detecção e investigação de infracções terroristas e outras infracções penais graves (COM) (2005) 600 final).

(17) Na mesma ordem de ideias, ver também a «Exposição dos motivos da Recomendação n.O R (87) 15, ponto 37».

(18) Ver documentos mencionados na nota 9.

(19) Para uma argumentação mais promenorizada, ver o segundo parecer da AEPD, pontos 11-13.

(20) Na jurisprudência consolidada neste domínio, o caso mais explícito é Rotaru v. Roménia.

(21) Não é suficiente presumir que a polícia opera, em todas as circunstâncias e em todos os casos, dentro dos limites das suas obrigações jurídicas.

(22) Em relação a este ponto, registe-se que recentemente, na sua comunicação de 7 de Março de 2007 sobre o acompanhamento do programa de trabalho para uma melhor aplicação da directiva relativa à protecção de dados, a Comissão declarou que as regras estabelecidas na Directiva 95/46/CE em relação à transmissão de dados pessoais a países terceiros são adequadas no essencial e não precisam de ser alteradas.

(23) Ver as preocupações já expressas no primeiro parecer, ponto IV.8 e no segundo parecer, pontos 22 e 23.

(24) No ponto 52 da Exposição de Motivos da recomendação lê-se que «deve ser possível fazer a distinção entre dados corroborados e dados não corroborados, incluindo a avaliação do comportamento humano, entre factos e opiniões, entre informação fiável (e os seus diversos matizes) e conjectura, entre motivo razoável para acreditar que a informação é exacta e uma crença infundada na sua exactidão». Ver também a segunda avaliação relativa à pertinência da Recomendação n.O R (87) 15 que regulamenta a utilização de dados pessoais no sector policial (1998), ponto 5.1.

(25) Ver em especial o ponto 5.2. da segunda avaliação, atrás referida, e os pontos 24 a 27 da terceira avaliação da recomendação n.O R (87) 15 que regulamenta a utilização de dados pessoais no sector policial (2002).

(26) Ver o princípio 7 (Duração da conservação e actualização dos dados) e a Exposição de Motivos, pontos 96-98.

(27) Exposição de motivos da Recomendação n.o R (87) 15, ponto 74.

(28) Directiva 2006/24/CE do Parlamento Europeu e do Conselho, de 15 de Março de 2006, relativa à conservação dos dados tratados em ligação com a oferta de serviços de comunicações electrónicas públicos e que altera a Directiva 2002/58/CE (JO L 105 de 13.4.2006, p. 54).

(29) Acordo entre a União Europeia e os Estados Unidos da América sobre a Transferência de Dados contidos nos Registos de Identificação dos Passageiros (PNR) pelas Transportadoras Aéreas para o Departamento da Segurança Interna dos Estados Unidos e sobre o Tratamento dos Dados em causa pelo mesmo Departamento (JO L 298 de 27.10.2006.)

(30) Ver Grupo do Artigo 29.o, Parecer 10/2006 sobre o tratamento de dados pessoais pela empresa «Worldwide Interbank Financial Telecommunication (SWIFT)», disponível em http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2006/wp128_en.pdf e o parecer da AEPD sobre o papel do Banco Central Europeu no processo SWIFT, que pode ser consultado no sítio Internet da AEPD.

(31) Nomeadamente, a recente proposta da Comissão que cria o Serviço Europeu de Polícia (COM(2006)817 final).

(32) Regulamento (CE) n.o 1987/2006 do Parlamento Europeu e do Conselho de 20 de Dezembro de 2006 relativo ao estabelecimento, ao funcionamento e à utilização do Sistema de Informação de Schengen de segunda geração (SIS II), JO L 381 de 28.12.2006, p.4