PT Jornal Oficial da União Europeia C 355/16

Parecer da Autoridade Europeia para a Protecção de Dados — sobre a Comunicação da Comissão ao Parlamento Europeu e ao Conselho — «Apresentação geral da gestão da informação no domínio da liberdade, segurança e justiça»

2010/C 355/03

A AUTORIDADE EUROPEIA PARA A PROTECÇÃO DE DADOS,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o seu artigo 16.o,

Tendo em conta a Carta dos Direitos Fundamentais da União Europeia, nomeadamente o seu artigo 8.o,

Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1),

Tendo em conta o pedido de parecer apresentado pela Comissão Europeia nos termos do Regulamento (CE) n.o 45/2001, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (2), nomeadamente o seu artigo 41.o.

ADOPTOU O SEGUINTE PARECER:

I. INTRODUÇÃO

1. Em 20 de Julho de 2010, a Comissão adoptou uma Comunicação intitulada «Apresentação geral da gestão da informação no domínio da liberdade, segurança e justiça» (a seguir denominada «a Comunicação») (3), a qual foi enviada à EDPS para consulta.

2. A EDPS congratula-se com a consulta da Comissão. Já antes da adopção da Comunicação, a EDPS teve a possibilidade de fazer observações informais, muitas das quais foram tomadas em consideração na versão final do documento.

Objectivos e âmbito da Comunicação

3. A EDPS congratula-se com o objectivo da Comunicação, que consiste em apresentar «pela primeira vez, uma análise completa das medidas em vigor a nível da UE, já aplicadas, em vias de aplicação ou em estudo que regulam a recolha, o armazenamento e o intercâmbio transfronteiriço de informações pessoais para efeitos de aplicação da lei ou de gestão das migrações» (4). O documento visa também proporcionar aos cidadãos uma panorâmica geral dos tipos de informações que são recolhidas, armazenadas ou trocadas a seu respeito, qual a sua finalidade e por quem tais operações são efectuadas. Além disso, segundo a Comissão, a Comunicação deve igualmente servir de instrumento de referência transparente para todas as partes interessadas que desejem participar num debate sobre o rumo futuro a seguir pela política da UE neste domínio, devendo, portanto, contribuir para um diálogo político informado com todos os intervenientes.

4. Em termos concretos, a Comunicação indica que visa esclarecer a principal finalidade destes instrumentos, a sua estrutura, os tipos de dados pessoais que abrangem, «a lista de autoridades que têm acesso aos dados» (5) e as disposições que regulam a sua protecção e conservação. Além disso, o anexo I contém um número limitado de exemplos que ilustram os resultados práticos destes instrumentos.

5. O documento expõe ainda os princípios gerais («princípios substantivos» e «princípios orientados para o processo») que a Comissão tenciona seguir no futuro no quadro da elaboração de instrumentos de recolha, conservação ou intercâmbio de dados. Como «princípios substantivos», a Comunicação enumera, entre outros, a protecção dos direitos fundamentais, em especial o direito à privacidade e à protecção dos dados, a necessidade, a subsidiariedade e a gestão rigorosa dos riscos. Os «princípios orientados para o processo» incluem o princípio do custo-eficácia, a elaboração de políticas partindo da base, a repartição clara das responsabilidades e cláusulas de reexame e de caducidade.

6. De acordo com a Comunicação, estes princípios serão aplicados para avaliar os instrumentos existentes. Na opinião da Comissão, a adopção de uma abordagem sobre a elaboração e a avaliação das políticas fundada num conjunto de princípios deverá reforçar a coerência e eficácia dos instrumentos actuais e futuros de forma a garantir o pleno respeito dos direitos fundamentais dos cidadãos.

Objectivo do parecer da EDPS

7. A EDPS observa que a Comunicação é um documento importante que apresenta uma panorâmica global dos actuais e (eventuais) futuros instrumentos de intercâmbio de informações no domínio da liberdade, segurança e justiça. Contém uma explicação detalhada dos capítulos 4.2.2 (Gerir o fluxo de informação) e 5.1 (Gestão integrada das fronteiras externas) do Programa de Estocolmo (6) que irá desempenhar um papel de relevo no futuro desenvolvimento deste domínio. Por isso, a EDPS considera útil formular algumas observações sobre os diferentes elementos da Comunicação, apesar de o texto, em si, não ir sofrer qualquer alteração.

8. A EDPS pretende proporcionar algumas noções complementares que, em sua opinião, devem ser tidas em conta no desenvolvimento do espaço de liberdade, segurança e justiça. O presente parecer especifica uma série de noções que já foram anteriormente expostas no parecer da EDPS, de 10 de Julho de 2009, sobre a Comunicação da Comissão intitulada «Um espaço de liberdade, de segurança e de justiça ao serviço dos cidadãos» (7), bem como em vários outros pareceres e observações, além de aprofundar os pontos de vista apresentados em ocasiões anteriores. Neste contexto, importa também fazer referência ao relatório sobre o futuro da protecção da privacidade, aprovado pelo Grupo de Trabalho do artigo 29.o e pelo Grupo de Trabalho «Polícia e Justiça» em 1 de Dezembro de 2009. Este relatório, que constitui uma contribuição conjunta para a consulta da Comissão Europeia relativa ao enquadramento legal do direito fundamental à protecção dos dados pessoais, e que teve o apoio da EDPS, deu orientações importantes para o futuro da protecção de dados, também aplicáveis ao intercâmbio de informações no domínio da cooperação policial e judiciária em matéria penal.

Contexto do parecer

9. A EDPS acolhe favoravelmente a Comunicação como sendo uma resposta ao apelo do Conselho Europeu (8) para que se proceda ao desenvolvimento de instrumentos de gestão da informação a nível da União em conformidade com uma Estratégia de Gestão da Informação da UE, e a uma reflexão sobre um modelo europeu de intercâmbio de informações.

10. Além disso, a EDPS observa que a Comunicação deve ser entendida igualmente como uma resposta ao Programa de Estocolmo, citado anteriormente, que apela à coerência e à consolidação no desenvolvimento do intercâmbio de informações no domínio da segurança interna da UE. Mais precisamente, o capítulo 4.2.2 do Programa de Estocolmo convida a Comissão Europeia a avaliar a necessidade de se desenvolver um modelo europeu de intercâmbio de informações baseado na avaliação dos instrumentos actuais, designadamente o acervo de Prüm e a chamada «decisão-quadro de iniciativa da Suécia». Tal avaliação permitiria determinar se estes instrumentos funcionam conforme inicialmente previsto e se cumprem os objectivos da Estratégia de Gestão da Informação.

11. Neste contexto, convém salientar que o Programa de Estocolmo se refere a um regime de protecção de dados suficientemente sólido como o principal pré-requisito para a Estratégia de Gestão da Informação da UE. Esta forte ênfase colocada na protecção de dados está em plena sintonia com o Tratado de Lisboa que, como mencionado anteriormente, contém uma disposição geral relativa à protecção de dados que confere a todas as pessoas — incluindo os nacionais de países terceiros — o direito à protecção de dados, oponível perante os tribunais, e que obriga o Conselho e o Parlamento Europeu a estabelecerem um quadro geral para a protecção de dados.

12. A EDPS apoia igualmente a exigência inscrita na Estratégia de Gestão da Informação segundo a qual todas as novas medidas legislativas que possam facilitar o armazenamento e o intercâmbio de dados pessoais só devem ser propostas quando baseadas em provas concretas da sua necessidade. A EDPS tem defendido esta abordagem em diversos pareceres sobre propostas legislativas relacionadas com o espaço de liberdade, segurança e justiça, como, por exemplo, os pareceres sobre o SIS de segunda geração (9), sobre o acesso ao Eurodac para fins de aplicação da lei (10), sobre a revisão dos Regulamentos Eurodac e Dublin (11), sobre a Comunicação da Comissão relativa ao Programa de Estocolmo (12) e sobre os dados PNR (13).

13. Com efeito, a necessidade de avaliar todos os instrumentos existentes em matéria de intercâmbio de informações antes de se proporem outros novos é de fundamental importância. E é mais importante ainda se considerarmos que o quadro actual é um complexo mosaico de diferentes instrumentos e sistemas, sendo que alguns só recentemente foram implementados, pelo que a sua eficácia ainda não pôde ser avaliada, outros estão em processo de implementação e outros, mais recentes, ainda se encontram em trâmites legislativos.

14. Por isso, a EDPS regista com satisfação o facto de a Comunicação estabelecer uma clara ligação com outros exercícios lançados pela Comissão com o objectivo de fazer um balanço e uma avaliação neste domínio, a título de seguimento do Programa de Estocolmo.

15. Neste contexto, a EDPS congratula-se em particular com o exercício de «cartografia dos dados» lançado pela Comissão em Janeiro de 2010 e realizado em estreita cooperação com uma equipa ad hoc composta por representantes dos Estados-Membros da UE e da EFTA, da Europol, da Eurojust, da Frontex e da EDPS (14). Conforme mencionado na Comunicação, a Comissão tenciona apresentar ao Conselho e ao Parlamento Europeu os resultados do exercício de «cartografia dos dados» ainda em 2010. Como passo seguinte, pretende apresentar também uma comunicação sobre o modelo europeu de intercâmbio de informações.

16. A EDPS considera extremamente positivo o estabelecimento de uma ligação clara entre a Comunicação e o exercício de «cartografia dos dados», dada a sua evidente interligação. Obviamente, ainda é cedo para estimar qual será o resultado destes exercícios e, mais genericamente, das discussões sobre o modelo europeu de intercâmbio de informações (até à data, o exercício de «cartografia dos dados» foi apresentado pela Comissão apenas como um «exercício de levantamento da situação»). A EDPS irá continuar a acompanhar este trabalho e, já nesta fase, chama também a atenção para a necessidade de propiciar sinergias e evitar conclusões divergentes de todos os exercícios realizados pela Comissão no contexto das discussões sobre o modelo europeu de intercâmbio de informações.

17. Além disso, a EDPS gostaria de remeter para a revisão em curso do quadro normativo relativo à protecção dos dados e, em particular, para a intenção da Comissão de apresentar um quadro normativo geral para a protecção de dados, incluindo a cooperação policial e judiciária em matéria penal.

18. Em relação a este ponto, a EDPS regista que a Comunicação se refere — sob o título «Proteger os direitos fundamentais, em especial o direito à privacidade e à protecção dos dados» — ao artigo 16.o do Tratado sobre o Funcionamento da União Europeia (TFUE), que proporciona uma base jurídica para a preparação de um tal sistema geral de protecção dos dados. Nota igualmente, neste contexto, o facto de a Comunicação referir que não analisa disposições específicas de protecção de dados dos instrumentos actualmente em discussão, visto a Comissão estar neste momento a preparar, com base no citado artigo 16.o, um novo quadro normativo geral para a protecção de dados pessoais na UE. Espera que, nesse contexto, seja proporcionada uma boa síntese dos sistemas de protecção de dados existentes, e eventualmente divergentes, e que a Comissão baseie quaisquer novas tomadas de decisão nessa mesma síntese.

19. Por último, mas não menos importante, embora a EDPS acolha favoravelmente os objectivos e o conteúdo principal da Comunicação, chama também a atenção para o facto de este documento dever ser considerado apenas como um primeiro passo no processo de avaliação, ao qual deverão seguir-se outras medidas concretas que conduzam ao estabelecimento de uma política europeia global, integrada e estruturada em matéria de intercâmbio e gestão de informações.

II. ANÁLISE DE QUESTÕES ESPECÍFICAS ABORDADAS NA COMUNICAÇÃO

Limitação da finalidade

20. No texto da Comunicação, a Comissão faz referência ao princípio da limitação da finalidade como «um elemento essencial da maior parte dos instrumentos analisados na presente Comunicação».

21. A EDPS congratula-se com a ênfase dada na Comunicação ao princípio da limitação da finalidade, segundo o qual os fins para os quais os dados pessoais são recolhidos devem ser claramente especificados, o mais tardar, no momento da recolha, e que os dados não devem ser objecto de tratamento para fins incompatíveis com os indicados inicialmente. Qualquer desvio em relação ao princípio da limitação da finalidade deve constituir uma excepção e só deverá ter lugar sob reserva da observância de condições estritas e com as garantias necessárias, sejam estas de natureza jurídica, técnica ou outra.

22. No entanto, a EDPS lamenta que a Comunicação enuncie este princípio fundamental da protecção de dados apenas como um elemento essencial «da maior parte dos instrumentos analisados na presente comunicação». Além disso, na página 22, a Comunicação, referindo-se ao SIS, ao SIS II e ao VIS, afirma que «com excepção destes sistemas de informação centralizados, a limitação da finalidade parece constituir um elemento de base da estrutura das medidas de gestão da informação a nível da UE».

23. Esta formulação pode ser entendida como sugerindo que este princípio não tem sido um elemento essencial em todos os casos e para todos os sistemas e instrumentos relacionados com o intercâmbio de informações na UE. Em relação a este ponto, a EDPS faz notar que as excepções e restrições a este princípio são possíveis e podem ser necessárias, como se reconhece no artigo 13.o da Directiva 95/46/CE e no artigo 3.o, n.o 2, da Decisão-Quadro 2008/977/JAI (15). No entanto, é indispensável garantir que qualquer novo instrumento relativo ao intercâmbio de informações na UE só possa ser proposto e adoptado se o princípio da limitação da finalidade tiver sido devidamente tomado em consideração, e que quaisquer eventuais excepções e restrições a este princípio sejam decididas caso a caso e após uma avaliação séria. Estas considerações são igualmente pertinentes para o SIS, o SIS II e o VIS.

24. Qualquer outra prática seria contrária ao artigo 8.o da Carta dos Direitos Fundamentais da União e à legislação europeia em matéria de protecção de dados [p. ex., a Directiva 95/46/CE, o Regulamento (CE) n.o 45/2001 ou a Decisão-Quadro 2008/977/JAI], bem como à jurisprudência do Tribunal Europeu dos Direitos do Homem. O não respeito do princípio da limitação da finalidade poderia igualmente conduzir ao denominado «desvirtuamento da função» destes sistemas (16).

Necessidade e proporcionalidade

25. A Comunicação (página 25), referindo-se aos requisitos estabelecidos na jurisprudência do Tribunal Europeu dos Direitos do Homem relativamente ao «teste de proporcionalidade», declara que «a Comissão, em todas as suas futuras propostas, avaliará a incidência da iniciativa em causa sobre o direito das pessoas ao respeito da vida privada e à protecção dos dados pessoais e referirá em que medida tal incidência é necessária, e de que forma a solução proposta é proporcionada à finalidade legítima que constituem a manutenção da segurança interna na União Europeia, a prevenção da criminalidade ou a gestão dos fluxos migratórios».

26. A EDPS congratula-se com as supracitadas declarações, pois tem igualmente vindo a insistir que o respeito dos princípios da proporcionalidade e da necessidade deve prevalecer na tomada de quaisquer decisões sobre os sistemas, já existentes ou novos, que envolvam a recolha e o intercâmbio de dados pessoais. Olhando prospectivamente, esse respeito é também essencial para a actual reflexão sobre a forma que deverão assumir a Estratégia de Gestão da Informação da UE e o modelo europeu de intercâmbio de informações.

27. Neste contexto, a EDPS acolhe com satisfação o facto de, no que se refere ao princípio da necessidade e diferentemente da formulação utilizada para expor o princípio da limitação da finalidade (ver os pontos 20 a 22 do presente parecer), a Comissão se comprometer a avaliar todas as futuras propostas políticas em função do seu impacto sobre o direito dos indivíduos à protecção da privacidade e dos dados pessoais.

28. Dito isto, a EDPS chama a atenção para o facto de todos estes requisitos em matéria de proporcionalidade e necessidade derivarem da legislação europeia em vigor (em particular a Carta dos Direitos Fundamentais, que agora faz parte do direito primário da UE) e da jurisprudência consagrada do Tribunal Europeu dos Direitos do Homem. Por outras palavras, a Comunicação não traz quaisquer elementos novos. No entender da EDPS, porém, a Comunicação não deveria limitar-se a reiterar estes requisitos, devendo sim prever medidas e mecanismos concretos que garantam o respeito dos princípios da necessidade e da proporcionalidade, assim como a sua aplicação prática em todas as propostas que tenham impacto sobre os direitos dos indivíduos. A avaliação do impacto na protecção da privacidade, tratada nos pontos 38-41, poderia ser um bom instrumento para a consecução deste objectivo. Além disso, esta avaliação deve abranger não só as novas propostas mas também os sistemas e mecanismos já existentes.

29. A EDPS aproveita também a presente oportunidade para salientar que, no âmbito da análise da proporcionalidade e da necessidade na Estratégia de Gestão da Informação da UE, se deve insistir na necessidade de um justo equilíbrio entre a protecção de dados, por um lado, e a aplicação da lei, por outro. Este equilíbrio não significa que a protecção de dados possa dificultar a utilização de informações necessárias para resolver um crime. Todas as informações necessárias para este efeito podem ser utilizadas, em conformidade com as normas de protecção de dados (17).

Uma avaliação objectiva e global deve apontar também as deficiências e os problemas

30. O Programa de Estocolmo requer uma avaliação objectiva e global de todos os instrumentos e sistemas que tratam do intercâmbio de informações na União Europeia. Como é evidente, a EDPS apoia plenamente esta abordagem.

31. A Comunicação, no entanto, parece não ser totalmente equilibrada neste ponto. Parece dar primazia, pelo menos no que se refere a números e estatísticas, aos instrumentos que demonstraram a sua eficácia ao longo dos anos e são considerados «casos de sucesso» (p. ex., número de acertos positivos no SIS e no Eurodac). A EDPS não põe em causa o êxito global destes sistemas. Porém, a título de exemplo, assinala que os relatórios de actividade da Autoridade de Controlo Comum do SIS revelam que, em não poucos casos, os alertas no SIS (18) estavam ultrapassados, apresentavam erros ortográficos ou revelavam-se errados, o que teve (ou poderia ter tido) consequências negativas para os indivíduos em causa. Essa informação não figura na Comunicação.

32. A EDPS aconselharia a Comissão a reconsiderar a abordagem adoptada na Comunicação, e sugere que, nos futuros trabalhos sobre a gestão da informação, as falhas e deficiências existentes no sistema sejam também assinaladas — como, por exemplo, o número de pessoas indevidamente detidas ou de alguma forma incomodadas na sequência de um acerto falso no sistema —, por forma a garantir um justo equilíbrio.

33. A EDPS sugere, por exemplo, que os dados sobre acertos no SIS/Sirene (Anexo 1) sejam complementados por uma referência ao trabalho realizado pela Autoridade Comum de Controlo (ACC) sobre a fiabilidade e precisão dos alertas.

Responsabilização

34. Entre os «princípios orientados para o processo» enumerados nas páginas 26-27, a Comunicação refere o princípio da «repartição clara das responsabilidades», em especial no que respeita à questão da concepção inicial das estruturas de governação. A Comunicação faz referência, neste contexto, aos problemas com o projecto SIS II e às responsabilidades futuras da agência TI.

35. A EDPS gostaria de aproveitar esta oportunidade para salientar a importância do princípio da «responsabilização», que também deve ser aplicado no domínio da cooperação policial e judiciária em matéria penal e desempenhar um papel importante na concepção da nova e mais desenvolvida política da UE no domínio do intercâmbio de dados e da gestão da informação. Este princípio está actualmente a ser discutido no âmbito do futuro do quadro europeu de protecção dos dados, como um instrumento para induzir os responsáveis pelo tratamento de dados a reduzirem o risco de incumprimento mediante a implementação de mecanismos adequados para uma protecção eficaz dos dados. A responsabilização requer que os responsáveis pelo tratamento de dados criem mecanismos internos e sistemas de controlo que garantam o cumprimento e forneçam provas — como os relatórios de auditoria — que demonstrem esse mesmo cumprimento às partes interessadas externas, incluindo as autoridades de supervisão (19). A EDPS insistiu igualmente na necessidade da introdução de tais medidas nos seus pareceres sobre o VIS e o SIS II em 2005.

«Privacidade desde a concepção» («Privacy by design»)

36. A Comissão faz referência ao conceito de «privacidade desde a concepção» («privacy by design») na página 25 da Comunicação (sob o título «Princípios substantivos», «Proteger os direitos fundamentais, em especial o direito à privacidade e à protecção dos dados») declarando que «quando elaborar novos instrumentos baseados na utilização das tecnologias da informação, a Comissão deverá seguir uma abordagem baseada na tomada em conta do respeito da vida privada desde a sua concepção (privacy by design)».

37. A EDPS congratula-se com a referência a este conceito (20), desenvolvido actualmente para os sectores privado e público em geral, e que deve desempenhar também um papel importante no domínio da polícia e da justiça (21).

Avaliação do impacto na protecção da privacidade e dos dados

38. A EDPS está convicta de que a Comunicação em apreço constitui uma boa oportunidade para melhor analisar o que se deve entender por uma verdadeira «avaliação do impacto na protecção da privacidade e dos dados».

39. A EDPS constata que nem as orientações gerais descritas nesta Comunicação, nem as orientações da Comissão relativas à avaliação do impacto (22) especificam este aspecto, tornando-o numa exigência política.

40. A EDPS recomenda, por conseguinte, que os futuros instrumentos sejam objecto de uma avaliação mais específica e rigorosa do respectivo impacto na protecção da privacidade e dos dados, seja como uma avaliação distinta seja como parte da avaliação geral do impacto nos direitos fundamentais. Devem ser desenvolvidos indicadores e funções específicos para garantir que todas as propostas com impacto na protecção da privacidade e dos dados sejam objecto de uma análise aprofundada. A EDPS sugere igualmente que esta questão integre os trabalhos em curso relativos ao quadro geral para a protecção de dados.

41. Poderia ainda ser útil, neste contexto, remeter para o artigo 4.o da Recomendação relativa à identificação por radiofrequências (RFID) (23), na qual a Comissão convidou os Estados-Membros a assegurarem que «as empresas do sector, em colaboração com as partes interessadas da sociedade civil, estabeleçam um quadro para as avaliações do impacto na protecção da privacidade e dos dados». Também a Resolução de Madrid, aprovada em Novembro de 2009 pela Conferência Internacional de Comissários para a Protecção da Privacidade e dos Dados, incentivou à realização de avaliações do impacto na protecção da privacidade e dos dados antes da implementação de novos sistemas e tecnologias da informação para o tratamento de dados pessoais ou da introdução de alterações substanciais nos processos de tratamento existentes.

Direitos das pessoas em causa

42. A EDPS constata que a Comunicação não aborda especificamente a importante questão dos direitos das pessoas em causa, os quais constituem um elemento vital da protecção de dados. É essencial assegurar que, em todos os diferentes sistemas e instrumentos relativos ao intercâmbio de informações, os cidadãos beneficiem de direitos equivalentes no que respeita à forma como os seus dados pessoais são tratados. Com efeito, muitos dos sistemas mencionados na Comunicação estabelecem regras específicas relativamente aos direitos das pessoas em causa, mas observam-se grandes variações entre os sistemas e instrumentos, sem que exista uma boa justificação para tal.

43. Por esse motivo, a EDPS convida a Comissão a examinar mais atentamente, num futuro próximo, a questão da harmonização a nível da UE dos direitos das pessoas em causa.

Uso de dados biométricos

44. Embora a Comissão faça referência ao uso de dados biométricos (24), não aborda especificamente o actual fenómeno do aumento da utilização deste tipo de dados no domínio do intercâmbio de informação na UE, incluindo os sistemas informáticos europeus de grande escala e outros instrumentos de gestão das fronteiras. A Comunicação tão-pouco fornece qualquer indicação concreta sobre a forma como a Comissão tenciona tratar esta questão no futuro, nem indica se está a preparar uma política global que tenha em conta esta tendência crescente. É um facto lamentável, dado tratar-se de uma questão extremamente importante e sensível do ponto de vista da protecção de dados.

45. Neste contexto, a EDPS gostaria de mencionar que insistiu, em muitas ocasiões, em diversas instâncias e em diferentes pareceres (25), nos eventuais riscos associados às importantes repercussões que a utilização de dados biométricos tem sobre os direitos dos indivíduos. Nessas ocasiões, sugeriu também a inclusão de salvaguardas rigorosas para a utilização da biometria em determinados instrumentos e sistemas. A EDPS chamou igualmente a atenção para um problema relacionado com erros inerentes à recolha e comparação de dados biométricos.

46. Pelas razões expostas, a EDPS aproveita esta oportunidade para convidar a Comissão a desenvolver uma política clara e rigorosa sobre o uso de dados biométricos no domínio da liberdade, segurança e justiça, com base numa apreciação séria e numa avaliação caso a caso da necessidade da utilização da biometria, no pleno respeito de princípios fundamentais da protecção de dados como os princípios da necessidade, da proporcionalidade e da limitação da finalidade.

Interoperabilidade dos sistemas

47. Numa ocasião anterior (26), a EDPS evocou alguns aspectos preocupantes ligados ao conceito de interoperabilidade. Uma das consequências da interoperabilidade dos sistemas é a de esta poder ser um incentivo para se propor, para os sistemas de informação de grande escala, novos objectivos que vão além da sua finalidade inicial e/ou para se utilizar a biometria como chave primária neste domínio. Diferentes tipos de interoperabilidade requerem salvaguardas e condições específicas. A EDPS insistiu também, neste âmbito, que a interoperabilidade dos sistemas deve ser implementada com o devido respeito pelos princípios da protecção de dados, nomeadamente o princípio da limitação da finalidade.

48. Neste contexto, a EDPS observa que a Comunicação não se refere especificamente à questão da interoperabilidade dos sistemas, pelo que convida a Comissão a desenvolver uma política sobre este aspecto essencial do intercâmbio de informações na UE, que deve ser parte integrante do exercício de avaliação.

Propostas legislativas a apresentar pela Comissão

49. A Comunicação contém um capítulo sobre as propostas legislativas a apresentar futuramente pela Comissão. Entre outras, o documento refere uma proposta relativa a um programa de viajantes registados (PVR) e uma proposta relativa a um sistema de entrada/saída (SES). A EDPS gostaria de tecer alguns comentários sobre estas duas propostas, relativamente às quais, como a Comunicação sugere, a Comissão já tomou uma decisão.

Programa de viajantes registados

50. Conforme salientado no ponto 4 do presente parecer, a Comunicação visa apresentar «uma análise completa das medidas em vigor a nível da UE (…) que regulam a recolha, o armazenamento e o intercâmbio transfronteiriço de informações pessoais para efeitos de aplicação da lei ou de gestão das migrações».

51. Nesse contexto, a EDPS interroga-se sobre qual será o objectivo final do programa de viajantes registados e sobre o modo como esta proposta, actualmente em estudo pela Comissão, será tratada para efeitos de aplicação da lei ou de gestão das migrações. Na página 20 da Comunicação, afirma-se que «este programa permitiria simplificar os controlos nas fronteiras para determinadas categorias de viajantes regulares provenientes de países terceiros que podiam (…) entrar na UE através de barreiras automáticas». O objectivo destes instrumentos parece ser, portanto, a facilitação das viagens de passageiros frequentes, pelo que não teriam qualquer ligação (directa ou clara) com fins de aplicação da lei ou de gestão das migrações.

Sistema de entrada/saída na UE

52. Ao referir-se ao futuro sistema de entrada/saída na UE, a Comunicação (página 20) menciona o problema das «pessoas que excedem o período de permanência autorizado» e afirma que esta categoria de pessoas constituía «a categoria mais numerosa de imigrantes em situação irregular na UE». Este último argumento é apresentado como a razão pela qual a Comissão decidiu propor a introdução de um sistema de entrada/saída para os nacionais de países terceiros que entram na UE para estadas de curta duração até três meses.

53. A Comunicação refere ainda que «este sistema permitiria registar a data e o local de entrada, bem como o período de estada autorizado, e transmitiria alertas automáticos às autoridades competentes em caso de inobservância do período de estada autorizado. Baseado no controlo dos dados biométricos, exploraria o mesmo sistema de correspondências biométricas e o mesmo equipamento operacional utilizados pelo SIS II e pelo VIS».

54. A EDPS considera essencial especificar o grupo-alvo das pessoas que não respeitam o período de estada autorizado, fazendo referência a uma definição jurídica existente ou apoiando-a com números ou estatísticas fiáveis. Este requisito é ainda mais importante pelo facto de todos os cálculos relativos ao número de «pessoas que excedem o período de permanência autorizado» no seio da União se basearem actualmente em meras estimativas. Convém também esclarecer que medidas seriam tomadas em relação a estas pessoas depois de terem sido identificadas pelo sistema, dado que a UE carece de uma política clara e global sobre as pessoas que não respeitam o período de estada autorizado no território da UE.

55. Além disso, o texto da Comunicação sugere que a decisão de introduzir este sistema já foi tomada pela Comissão, embora, ao mesmo tempo, se refira que esta está actualmente a realizar uma avaliação de impacto. A EDPS sublinha que só se deverá tomar a decisão de introduzir um sistema de tal modo complexo e invasivo da privacidade com base numa avaliação de impacto específica que forneça provas e informações concretas que justifiquem a necessidade de tal sistema e expliquem por que razão não foi possível prever soluções alternativas baseadas nos sistemas existentes.

56. Por último, parece que a Comissão associa este futuro sistema ao sistema de correspondências biométricas e ao equipamento operacional utilizados pelo SIS II e pelo VIS. Isto é feito, no entanto, sem que se refira o facto de nem o SIS II nem o VIS terem sido activados e de se desconhecerem, nesta fase, as datas exactas da sua entrada em funcionamento. Por outras palavras, o sistema de entrada/saída dependeria fortemente de sistemas biométricos e operacionais que ainda não estão em funcionamento, pelo que o seu desempenho e as suas funcionalidades não poderiam ter sido objecto de uma avaliação adequada.

Iniciativas a estudar pela Comissão

57. No âmbito das iniciativas a estudar pela Comissão — portanto, em relação às quais a Comissão ainda não tomou uma decisão definitiva —, a Comunicação, com base nos pedidos formulados no Programa de Estocolmo, refere três iniciativas: um sistema da UE de detecção do financiamento do terrorismo (equivalente ao TFTP dos EUA), um sistema electrónico de autorização de viagem (ESTA) e um sistema europeu de indexação de ficheiros policiais (EPRIS).

58. A EDPS irá acompanhar de perto todos os desenvolvimentos relacionados com estas iniciativas e fará observações e sugestões quando apropriado.

III. CONCLUSÕES E RECOMENDAÇÕES

59. A EDPS apoia plenamente a Comunicação, que apresenta uma análise completa dos sistemas de intercâmbio de informações da UE, já em vigor ou previstos para o futuro. A EDPS tem defendido, em numerosos pareceres e observações, a necessidade de se proceder a uma avaliação de todos os instrumentos existentes em matéria de intercâmbio de informações antes de se proporem outros novos.

60. A EDPS congratula-se igualmente com a referência feita na Comunicação ao trabalho em curso relativo à preparação de um quadro normativo geral para a protecção de dados com base no artigo 16.o do TFUE, que também deve ser tido em consideração no contexto dos trabalhos relativos ao panorama global da gestão da informação na UE.

61. A EDPS considera que esta Comunicação representa um primeiro passo no processo de avaliação, ao qual deverá seguir-se uma verdadeira avaliação que conduza ao estabelecimento de uma política europeia global, integrada e estruturada em matéria de intercâmbio e de gestão de informações. Neste contexto, a EDPS congratula-se por verificar a ligação que é estabelecida com outros exercícios lançados pela Comissão como resposta ao Programa de Estocolmo, em particular o exercício de «cartografia dos dados» realizado pela Comissão em estreita colaboração com uma equipa ad hoc.

62. A EDPS sugere que, nos futuros trabalhos sobre a gestão da informação, sejam também assinaladas e tomadas em consideração as deficiências e lacunas existentes no sistema — por exemplo, o número de pessoas indevidamente detidas ou de alguma forma incomodadas na sequência de um acerto falso no sistema.

63. O princípio da limitação da finalidade deve ser considerado um elemento essencial de todos os instrumentos relativos ao intercâmbio de informações na UE, e quaisquer novos instrumentos só poderão ser propostos se o princípio da limitação da finalidade tiver sido devidamente considerado e respeitado durante a sua elaboração. Esta regra permanecerá válida durante a aplicação dos instrumentos em causa.

64. A EDPS incentiva ainda a Comissão a assegurar, através do desenvolvimento de medidas e mecanismos concretos, o respeito dos princípios da necessidade e da proporcionalidade, assim como a sua aplicação prática em todas as propostas que tenham impacto sobre os direitos dos indivíduos. Além disso, considera necessário efectuar uma avaliação dos sistemas já existentes no que respeita a esta matéria.

65. É também convicção da EDPS que esta Comunicação constitui uma excelente oportunidade para iniciar um debate e proceder a uma melhor especificação do que realmente se entende por uma «avaliação do impacto na protecção da privacidade e dos dados».

66. A AEDP convida ainda a Comissão a desenvolver uma política mais coerente e consistente sobre os requisitos prévios para o uso de dados biométricos e uma política sobre a interoperabilidade dos sistemas, e a garantir uma maior harmonização a nível da UE em termos dos direitos das pessoas em causa.

67. A EDPS congratula-se igualmente com a referência ao conceito de «privacidade desde a concepção» («privacy by design»), que actualmente está a ser desenvolvido para os sectores privado e público em geral, e que por isso deve desempenhar também um papel importante no domínio da polícia e da justiça.

68. Por último, mas não menos importante, a EDPS chama a atenção para as observações e preocupações que formulou a respeito do capítulo intitulado «Propostas legislativas a apresentar pela Comissão» no que se refere ao sistema de entrada/saída e ao programa de viajantes registados.

Feito em Bruxelas, em 30 de Setembro de 2010. Peter HUSTINX Autoridade Europeia para a Protecção de Dados

(1) JO L 281 de 23.11.1995, p. 31.

(2) JO L 8 de 12.1.2001, p. 1.

(3) COM(2010) 385 final.

(4) Página 3 da Comunicação.

(5) Relativamente a este ponto, a EDPS considera que a formulação «a Comunicação esclarece (…) a lista de autoridades que têm acesso aos dados» pode induzir em erro, já que a Comunicação não contém tais listas, nem fornece qualquer esclarecimento sobre as mesmas, referindo-se unicamente às principais categorias de pessoas ou autoridades que têm acesso aos dados.

(6) Programa de Estocolmo — Uma Europa aberta e segura que sirva e proteja os cidadãos, Documento do Conselho 5731/2010, 3.3.2010.

(7) Parecer de 10 de Julho de 2009 sobre a Comunicação da Comissão ao Parlamento Europeu e ao Conselho «Um espaço de liberdade, de segurança e de justiça ao serviço dos cidadãos».

(8) Conclusões do Conselho sobre uma Estratégia de Gestão da Informação para a segurança interna da UE, Conselho «Justiça e Assuntos Internos», 30.11.2009.

(9) Parecer de 19 de Outubro de 2005 sobre três propostas relativas ao Sistema de Informação de Schengen de segunda geração (SIS II).

(10) Parecer de 7 de Outubro de 2009 sobre as propostas relativas ao acesso ao Eurodac para fins de aplicação da lei.

(11) Parecer de 18 de Fevereiro de 2009 sobre a proposta de Regulamento relativo à criação do Sistema «Eurodac» de comparação de impressões digitais para efeitos da aplicação efectiva do Regulamento (CE) n.o […/…] (que estabelece os critérios e mecanismos de determinação do Estado-Membro responsável pela análise de um pedido de protecção internacional apresentado num dos Estados-Membros por um nacional de um país terceiro ou um apátrida) e Parecer de 18 de Fevereiro de 2009 sobre a proposta de Regulamento que estabelece os critérios e mecanismos de determinação do Estado-Membro responsável pela análise de um pedido de protecção internacional apresentado num dos Estados-Membros por um nacional de um país terceiro ou um apátrida.

(12) Ver nota de rodapé 6.

(13) Parecer de 20 de Dezembro de 2007 sobre a proposta de decisão-quadro do Conselho relativa à utilização dos dados dos Registos de Identificação dos Passageiros (Passenger Name Record — PNR) para efeitos de aplicação da lei.

(14) O âmbito funcional do exercício corresponde ao âmbito da decisão-quadro de iniciativa da Suécia (Decisão-Quadro 2006/960/JAI do Conselho), i.e. o intercâmbio de informações para a realização de investigações criminais ou de operações de informações criminais.

(15)

«O tratamento posterior para outras finalidades é admissível desde que: a) Não seja incompatível com a finalidade determinante da recolha dos dados; b) As autoridades competentes estejam autorizadas a tratar esses dados em conformidade com as disposições legislativas que lhes são aplicáveis; e c) O tratamento seja necessário e proporcionado para a prossecução dessa finalidade».

(16) Ver, nomeadamente, o Parecer da EDPS sobre as propostas relativas ao acesso ao Eurodac para fins de aplicação da lei, referido na nota de rodapé 10.

(17) Ver, por exemplo, o Parecer da EDPS sobre o sistema europeu de PNR, citado na nota de rodapé 13.

(18) Ver os 7.o e 8.o Relatórios de Actividades da Autoridade de Controlo Comum (ACC) do SIS disponíveis em http://www.schengen-jsa.dataprotection.org/ em particular os capítulos dos artigos 96.o e 99.o da Convenção de Schengen.

(19) Ver o discurso da EDPS na Conferência Europeia de Comissários para a Protecção da Privacidade e dos Dados, Praga, 29 de Abril de 2010.

(20) Sobre a «privacidade desde a concepção» («privacy by design»), ver o Parecer de 18 de Março de 2010 sobre a promoção da confiança na sociedade da informação através do reforço da protecção dos dados e da privacidade e o Parecer de 22 de Julho de 2009 sobre a comunicação da Comissão relativa a um plano de acção para a implantação de sistemas de transporte inteligentes na Europa e sobre a proposta (que acompanha a comunicação) de directiva do Parlamento Europeu e do Conselho que estabelece um quadro para a implantação de sistemas de transporte inteligentes (STI) no transporte rodoviário, inclusive nas interfaces com outros modos de transporte.

(21) O parecer da EDPS sobre a Comunicação da Comissão relativa ao Programa de Estocolmo recomendou a existência de uma obrigação legal, imposta aos criadores e aos utilizadores de sistemas de informação, de utilizar sistemas conformes com o princípio da «privacidade na concepção».

(22) SEC(2009) 92, 15.1.2009.

(23) C(2009) 3200 final, 12.5.2009.

(24) P. ex., no contexto da finalidade limitada e de sobreposições potenciais entre as funções dos diferentes instrumentos (página 22) e da gestão eficaz da identidade (página 23).

(25) Ver, por exemplo: o Parecer sobre o Programa de Estocolmo (nota de rodapé 7), o Parecer sobre três propostas relativas ao Sistema de Informação de Schengen de segunda geração (nota de rodapé 9) ou as Observações de 10 de Março de 2006 sobre a Comunicação da Comissão, de 24 de Novembro de 2005, relativa ao reforço da eficácia, da interoperabilidade e das sinergias entre as bases de dados europeias no domínio da justiça e dos assuntos internos (nota de rodapé 22).

(26) Observações da EDPS, de 10 de Março de 2006, sobre a Comunicação da Comissão, de 24 de Novembro de 2005, relativa ao reforço da eficácia, da interoperabilidade e das sinergias entre as bases de dados europeias no domínio da justiça e dos assuntos internos.