PT Jornal Oficial da União Europeia C 87/1

Parecer da AEPD sobre a proposta de um quadro comum para as estatísticas europeias respeitantes às pessoas e aos agregados domésticos

(2017/C 87/01)

A Proposta visa criar um quadro comum para as estatísticas europeias respeitantes às pessoas e aos agregados domésticos, com base em dados individuais recolhidos principalmente a partir de amostras.

A Proposta, na parte aqui relevante, contém referências à utilização de registos administrativos, bem como a outras fontes de abordagens inovadoras para fornecer dados estatísticos no contexto dos megadados. As novas abordagens inovadoras podem ser promissoras para as estatísticas e a investigação, mas também representarão riscos, aumentarão os desafios e os legisladores devem assegurar que quaisquer benefícios potenciais jamais devem ser à custa dos direitos individuais. A fim de proporcionar uma proteção eficaz do direito à privacidade e do direito à proteção dos dados pessoais, os legisladores devem antecipar os potenciais riscos e desafios que estas técnicas promissoras são suscetíveis de originar e prever garantias apropriadas.

Para o fazer, recomendamos que se reveja o artigo 8.o, a fim de assegurar que qualquer tratamento de dados que envolva registos administrativos e outras fontes de dados deve ser realizado na observância da legislação aplicável em matéria de proteção de dados e que qualquer prestação direta de dados por parte de pessoas singulares (salvo determinadas exceções previstas na legislação e sujeitas a garantias apropriadas) deve ser feita a título voluntário.

No tocante à associação de registos administrativos, conforme prevista no artigo 11.o, salientamos igualmente a necessidade de assegurar que essa associação seja feita observando a legislação em matéria de proteção de dados, sujeita à necessidade, proporcionalidade e garantias específicas nos termos da legislação do Estado-Membro ou da União.

A AUTORIDADE EUROPEIA PARA A PROTEÇÃO DE DADOS,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 16.o,

Tendo em conta a Carta dos Direitos Fundamentais da União Europeia, nomeadamente os seus artigos 7.o e 8.o,

Tendo em conta a Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados,

Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de dezembro de 2000, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados, nomeadamente o seu artigo 28.o, n.o 2,

ADOTOU O PRESENTE PARECER:

1. Contexto e objetivo da proposta

1. Em 8 de agosto de 2016, a Comissão Europeia («Comissão») publicou uma proposta de Regulamento do Parlamento Europeu e do Conselho que estabelece um quadro comum para as estatísticas europeias respeitantes às pessoas e aos agregados domésticos, com base em dados individuais recolhidos a partir de amostras (adiante designada «Proposta») (1) No mesmo dia, a Comissão solicitou à Autoridade Europeia para a Proteção de Dados («AEPD»), enquanto órgão consultivo independente, o seu parecer. O Conselho da União Europeia («Conselho») também apresentou um pedido em 25 de novembro de 2016.

2. Conforme definido no artigo 1.o («Objeto»), a Proposta visa estabelecer um quadro comum para as estatísticas europeias respeitantes às pessoas e aos agregados domésticos, com base em dados individuais recolhidos a partir de amostras.

3. A AEPD regista os objetivos políticos da Proposta. Congratula-se com: — o facto de ter sido consultada e de ter sido feita referência a esta consulta no considerando 23 da proposta de regulamento, — a inclusão do considerando 20 referindo-se à legislação aplicável em matéria de proteção de dados [Regulamento 95/46/CE e Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho], bem como — a referência às regras de proteção de dados aquando da associação de diferentes registos relativos a uma pessoa (artigo 11.o).

2. Sinopse e principais preocupações

4. A nossa principal preocupação prende-se com a ambiguidade no atual projeto quanto à possibilidade de utilizar fontes de dados «administrativos» e de «megadados», tais como dados sobre a localização de telefones, registos empresariais e fiscais, registos de segurança social e médicos, registos de serviços de emprego e de organizações que gerem a segurança social. Embora os megadados possam prometer novas possibilidades e ganhos de eficácia para a produção de estatísticas oficiais, também representam riscos específicos, pelo que sugerimos uma análise cuidadosa de quaisquer disposições relevantes (2).

5. Apreciaríamos igualmente mais clareza sobre o facto de que sempre que qualquer informação é diretamente prestada por pessoas singulares, tal deve ser feito a título voluntário, utilizando o consentimento previsto nos artigos 6.o e 7.o do Regulamento Geral sobre a Proteção de Dados («RGPD») (3) como a base jurídica para o tratamento de dados pessoais; salvo se a prestação de informações for especificamente exigida nos termos da legislação da União ou dos Estados-Membros em conformidade com a legislação aplicável em matéria de proteção de dados.

6. Atendendo a estas preocupações, apreciaríamos sobretudo que os legisladores introduzissem mais clareza na redação do artigo 8.o (sobre fontes de dados e métodos).

7. Outras disposições relevantes que a AEPD considera poderem ser melhoradas podem incluir o seguinte: — Artigo 2.o, alínea e), sobre a definição de «registos administrativos»; — Considerando 4 sobre a utilização de «fontes administrativas» para fins estatísticos; — Considerando 20 sobre a legislação em matéria de proteção de dados e a noção de «interesse público importante»; — Artigo 11.o, n.o 1, sobre bases de amostragem.

3. Recomendações

3.1. Referências à legislação aplicável em matéria de proteção de dados (considerando 20)

8. Dependendo da data de entrada em vigor da proposta de regulamento, poderá ser necessário atualizar as referências à legislação aplicável no considerando 20. Em especial, podem ter de ser substituídas por referências ao Regulamento Geral sobre a Proteção de Dados («RGPD»), que entrará em vigor em 25 de maio de 2018, e por referências ao novo instrumento jurídico que substitui o Regulamento (CE) n.o 45/2001.

9. Apreciaríamos igualmente uma referência, num considerando, à conformidade com as garantias relacionadas com o tratamento para fins estatísticos nos termos do artigo 89.o do RGPD.

10. Uma vez que a Proposta prevê a utilização de dados provenientes de novas fontes de dados, que poderão incluir, por exemplo, dados sobre a localização obtidos a partir de registos de telemóveis (consultar secção 3.4 que analisa o artigo 8.o infra), também recomendados uma referência específica à Diretiva relativa à privacidade e às comunicações eletrónicas (4) atualmente em processo de revisão (ou ao novo Regulamento relativo à privacidade e às comunicações eletrónicas, se pertinente, tendo em conta o calendário).

3.2. Referências ao «interesse público importante» (considerando 20)

11. A fim de permitir uma referência mais fácil para um público não especializado, recomendamos que se aditem as palavras «nos termos do artigo 8.o, n.o 4, da Diretiva 95/46/CE» a seguir à expressão «interesse público importante». Se o texto se referir ao RGPD, a referência adequada seria artigo 9.o, n.o 2, alínea g), do RGPD.

3.3. Definição de registos administrativos 8 artigo 2.o, alínea e), e considerando 4)

12. O artigo 2.o, alínea e), da Proposta define «registos administrativos» como «os dados gerados por uma fonte não estatística, normalmente um organismo público, cuja vocação não é fornecer estatísticas, para os seus próprios fins». O termo «registos administrativos» é depois utilizado no artigo 8.o e no considerando 4.

13. Esta definição de registos administrativos parece ser muito lata e parece incluir, na prática, «e outras fontes», outro termo também utilizado no artigo 8.o. O termo «dados administrativos», conforme definido, pode, portanto, incluir, por exemplo, não apenas registos administrativos de organismos públicos, mas também fontes como dados de localização provenientes de telemóveis, que nem sempre é, na aceção em que o termo é utilizado na linguagem comum, uma «registo administrativo».

14. Tal, por si só, não parece ter um impacto direto no nível de proteção dos dados pessoais, considerando que o artigo 8.o, em qualquer caso, inclui «e outras fontes». No entanto, em abono da clareza, os legisladores poderiam considerar rever o artigo 2.o, alínea e), e definir de forma mais estrita «registos administrativos». Em alternativa, os legisladores poderiam suprimir na totalidade o artigo 2.o, alínea e) e, em vez disso, no artigo 8.o, referir-se a «registos administrativos criados por uma organização, normalmente um organismo público, para outros fins, não estatísticos, e outras fontes, métodos ou abordagens inovadoras…».

15. Além disso, conforme salientámos anteriormente, o considerando 4 incentiva especificamente a utilização de fontes administrativas para fins estatísticos. Congratulamo-nos com o facto de o considerando salientar a necessidade de garantir «a qualidade, a exatidão, a atualidade e a comparabilidade das mesmas». A fim de melhorar esta disposição, recomendamos que seja aditada uma referência à proteção dos dados pessoais. Por exemplo, pode aditar-se o texto que se segue no fim do parágrafo: «bem como salvaguardar o direito à proteção dos dados pessoais».

3.4. Fontes de dados e métodos (artigo 8.o)

16. Além dos dados prestados diretamente pelos respondentes, o artigo 8.o também faz referência aos «registos administrativos e outras fontes, métodos ou abordagens inovadores, na medida em que permitam a produção de dados comparáveis e compatíveis com os requisitos específicos aplicáveis previstos pelo presente regulamento».

17. O artigo 8.o reflete a intenção, estabelecida na página 13 da Exposição de Motivos, de admitir e promover «a utilização de novas formas de recolha de dados e de outras fontes de dados, incluindo dados administrativos e estimativas obtidas a partir da modelização e de megadados». Consultar igualmente o considerando 4 da Proposta, já referido anteriormente, promover «[a utilização] de fontes administrativas, graças aos avanços tecnológicos» e o artigo 13.o sobre estudos-piloto e de viabilidade, que também aborda a utilização de outras fontes de dados.

18. No domínio da estatística, à semelhança de outros domínios, os megadados podem trazer benefícios, tal como maior eficiência. Todavia, também podem representar riscos adicionais. O novo quadro de proteção de dados e a adoção do RGPD, em particular, destinam-se a abordar estes riscos de uma forma que proporciona proteção, mas que também permite flexibilidade para utilização posterior dos dados, nomeadamente para fins estatísticos.

19. No entanto, é provável que sejam necessárias outras medidas legislativas no domínio da legislação nacional ou da União que rege as estatísticas, a fim de permitir uma utilização mais alargada dos megadados na estatística de um modo consentâneo com a legislação aplicável em matéria de proteção de dados.

20. A Proposta atual não deve dar a ilusão de que o artigo 8.o, por si só, fornece uma base jurídica suficiente para utilizar os megadados para os fins da Proposta. É essencial que os considerandos e o artigo 8.o, em articulação, expressem claramente que qualquer utilização de fontes de megadados está sujeita à legislação aplicável em matéria de proteção de dados, nomeadamente a necessidade de uma base jurídica apropriada nos termos do artigo 6.o do RGPD.

21. Para o efeito, recomendamos que o artigo 8.o seja revisto do seguinte modo: Artigo 8.o Fontes de dados e métodos 1. Os Estados-Membros devem fornecer os dados a que se refere o artigo 1.o, utilizando uma ou uma combinação das seguintes fontes, desde que cumpram os requisitos de qualidade previstos no artigo 12.o e sejam recolhidos e objeto de tratamento posterior em conformidade com e sujeito às garantias previstas na legislação aplicável em matéria de proteção de dados: a) Informações prestadas diretamente pelos respondentes a título voluntário, com base no consentimento dos titulares dos dados que prestam os dados nos termos do artigo 7.o do [RGPD] (salvo se a prestação de informações for especificamente exigida ao abrigo da legislação da União ou do Estado-Membro ao qual o responsável pelo tratamento está sujeito e que também estabeleça medidas adequadas para salvaguardar os direitos e as liberdades e o interesse legítimo dos titulares dos dados) ; b) registos administrativos e outras fontes, métodos ou abordagens inovadores, na medida em que permitam a produção de dados comparáveis e compatíveis com os requisitos específicos aplicáveis previstos pelo presente regulamento. 2. Os Estados-Membros devem fornecer à Comissão (Eurostat) informações pormenorizadas sobre as fontes e os métodos utilizados.

3.5. Bases de amostragem (artigo 11.o)

22. O artigo 11.o, n.o 1, prevê que as bases de amostragem também incluam «as informações necessárias para associar as pessoas a outros registos administrativos, na medida em que tal seja admitido ao abrigo das regras de proteção de dados».

23. Recomendamos que a segunda parte da frase seja reformulada para passar a ter a seguinte redação: «na medida em que a associação a outros registos seja necessária e proporcional, e especificamente admitida nos termos da legislação aplicável da União ou do Estado-Membro, à qual o responsável pelo tratamento está sujeito e que também estabelece medidas adequadas para salvaguardar os direitos e as liberdades e o interesse legítimo dos titulares dos dados».

4. Conclusões

24. A AEPD recomenda: — a inclusão de uma referência à Diretiva relativa à privacidade e às comunicações eletrónicas ao referir a legislação aplicável no considerando 20, bem como proceder às atualizações necessárias de todas as referências pertinentes, se for caso disso, à luz da revisão atual do quadro relativo à proteção de dados, — esclarecer as referências a «interesse público importante» no considerando 20, — rever substancialmente o artigo 8.o, a fim de assegurar que qualquer tratamento de dados que envolva registos administrativos e outras fontes de dados deve ser realizado na observância da legislação aplicável em matéria de proteção de dados e que qualquer prestação direta de dados por parte de pessoas singulares (salvo determinadas exceções previstas na legislação e sujeitas a garantias apropriadas) deve ser feita a título voluntário, — no tocante à associação de registos administrativos, conforme prevista no artigo 11.o, assegurar que essa associação seja feita observando a legislação em matéria de proteção de dados, sujeita à necessidade, proporcionalidade e garantias específicas nos termos da legislação do Estado-Membro ou da União, — ponderar rever a definição de «registo administrativo» no artigo 2.o, alínea e), e aditar uma referência à salvaguarda do direito à proteção dos dados pessoais no considerando 4 conexo.

Bruxelas, 1 de março de 2017. Wojciech Rafał WIEWIÓROWSKI Autoridade Adjunta Europeia para a Proteção de Dados

(1) COM(2016) 551 final.

(2) Em relação às oportunidades, aos riscos e aos desafios que os megadados representam, consultar o Parecer 7/2015 da AEPD sobre «Corresponder aos desafios dos Grandes Volumes de Dados»:

https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-11-19_Big_Data_EN.pdf. Ver mais concretamente a Secção 1.

(3) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

(4) Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (JO L 201 de 31.7.2002, p. 37).