PT Jornal Oficial da União Europeia C 220/1

Parecer da Autoridade Europeia para a Protecção de Dados sobre a proposta de directiva do Parlamento Europeu e do Conselho que altera as Directivas 89/666/CEE, 2005/56/CE e 2009/101/CE no que respeita à interconexão dos registos centrais, registos comerciais e registos das sociedades

2011/C 220/01

A AUTORIDADE EUROPEIA PARA A PROTECÇÃO DE DADOS,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia e, nomeadamente, o artigo 16.o,

Tendo em conta a Carta dos Direitos Fundamentais da União Europeia e, nomeadamente, os artigos 7.o e 8.o,

Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1),

Tendo em conta o pedido de parecer apresentado nos termos do artigo 28.o, n.o 2, do Regulamento (CE) n.o 45/2001 do Parlamento e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (2),

ADOPTOU O SEGUINTE PARECER:

I. INTRODUÇÃO

1. Em 24 de Fevereiro de 2011, a Comissão Europeia adoptou uma proposta de directiva do Parlamento Europeu e do Conselho que altera as Directivas 89/666/CEE, 2005/56/CE e 2009/101/CE no que respeita à interconexão dos registos centrais, registos comerciais e registos das sociedades (3) (a seguir designada por «proposta») e consultou subsequentemente a AEPD.

2. A AEPD congratula-se com a consulta em conformidade com o artigo 28.o, n.o 2, do Regulamento (CE) n.o 45/2001 e com a inclusão de uma referência ao presente parecer no preâmbulo da proposta.

1.1. Objectivos da proposta

3. O objectivo da proposta é facilitar e intensificar a cooperação e o intercâmbio de informações transfronteiriças entre registos de empresas no Espaço Económico Europeu, aumentando, assim, a transparência e a fiabilidade das informações disponíveis numa base transfronteiras. A eficiência dos procedimentos de cooperação administrativa no que respeita aos registos de empresas é fundamental para aumentar a confiança no mercado único europeu, garantindo um ambiente empresarial mais seguro para consumidores, mutuantes e outros parceiros comerciais, reduzindo os encargos administrativos e aumentando a segurança jurídica. A intensificação dos procedimentos de cooperação administrativa no que respeita aos registos de empresas na Europa é particularmente importante no quadro dos procedimentos de fusão transfronteiras, de transferência da sede social e de actualização dos registos das sucursais estrangeiras, nos casos em que os mecanismos de cooperação sejam inexistentes ou limitados.

4. Com este propósito, a proposta visa alterar três directivas existentes do seguinte modo: — as alterações à Directiva 2009/101/CE (4) visam facilitar o acesso transfronteiras à informação oficial sobre as empresas através: i) da criação de uma rede electrónica de registos de empresas; ii) da determinação de um conjunto mínimo comum de informações actualizadas que deverão ser disponibilizadas a terceiros por via electrónica numa plataforma ou num ponto de acesso multilingue europeu, — as alterações à Directiva 89/666/CEE (5) destinam-se a garantir que o registo correspondente a uma sociedade forneça informação actualizada sobre a situação da mesma aos registos das suas sucursais estrangeiras em toda a Europa, — as alterações à Directiva 2005/56/CE (6) têm como objectivo garantir melhores procedimentos de cooperação administrativa relacionados com os registos de empresas nos processos de fusão transfronteiriça.

1.2. Contexto da proposta

5. Os registos de empresas existem em todos os Estados-Membros, estando organizados ao nível nacional, regional ou local. Em 1968, foram adoptadas regras comuns para criar normas mínimas para a publicidade (registo e publicação) de informação sobre as empresas (7). Desde 1 de Janeiro de 2007, os Estados-Membros também têm de manter registos de empresas electrónicos (8) e permitir a terceiros o acesso ao conteúdo do registo em linha.

6. A cooperação no que respeita aos registos de empresas de diferentes Estados-Membros é explicitamente exigida por alguns instrumentos jurídicos europeus para facilitar as fusões transfronteiriças de sociedades de responsabilidade limitada (9) e a transferência transfronteiriça da sede social da Sociedade Europeia (SE) (10) e das Sociedades Cooperativas Europeias (SCE) (11).

7. Em 1992, criou-se um mecanismo de cooperação voluntária no que diz respeito aos registos de empresas na Europa. Actualmente, o Registo Europeu de Empresas (a seguir designado por «EBR») (12) combina registos de empresas oficiais de 19 Estados-Membros e seis outras jurisdições europeias. Entre 2006 e 2009, o EBR participou num projecto de investigação denominado BRITE (13) que teve por objectivo o desenvolvimento de uma plataforma tecnológica com vista à consecução da interoperabilidade entre registos de empresas em toda a Europa. Contudo, a avaliação de impacto que acompanha a proposta explica que o EBR enfrenta desafios significativos no que diz respeito à sua expansão, financiamento e governação: de acordo com a avaliação de impacto, o mecanismo de cooperação actual, tal como existe, não é plenamente satisfatório para os potenciais utilizadores.

1.3. Sinergias com outras iniciativas

8. A exposição de motivos que acompanha a proposta faz notar que o Portal Europeu da Justiça (14) deverá funcionar como o principal ponto de acesso à informação jurídica, às instituições jurídicas e administrativas, aos registos, às bases de dados e a outros serviços na União Europeia. Confirma igualmente que a proposta é complementar ao projecto e-Justice, devendo contribuir para um acesso mais fácil a terceiros à informação empresarial através do portal.

9. De acordo com a avaliação de impacto, outro projecto pertinente com potenciais sinergias é o Sistema de Informação do Mercado Interno (IMI) (15). O IMI é uma ferramenta electrónica concebida para dar apoio à cooperação administrativa quotidiana entre administrações públicas no contexto da Directiva relativa aos serviços no mercado interno (2006/123/CE) e da Directiva relativa ao reconhecimento das qualificações profissionais (2005/36/CE). O IMI encontra-se em processo de expansão, sendo igualmente capaz, de acordo com a avaliação de impacto, de apoiar a aplicação de outras directivas, nomeadamente na área do direito das sociedades.

II. DISPOSIÇÕES PERTINENTES DA PROPOSTA

10. O artigo 3.o da proposta altera a Directiva 2009/101/CE em vários aspectos, sendo que são duas as alterações com uma pertinência significativa para a protecção de dados.

2.1. Publicidade de informações através de uma plataforma/ponto de acesso europeu comum

11. O artigo 2.o da Directiva 2009/101/CE em vigor requer a publicidade de um mínimo de indicações no registo de empresas em cada Estado-Membro de modo a que terceiros possam conhecer informações respeitantes às sociedades. Como explicado na secção 1.2 acima, os Estados-Membros também têm de manter registos de empresas electrónicos e permitir a terceiros o acesso ao conteúdo dos mesmos em linha.

12. O artigo 2.o discrimina onze elementos de informação básica relativa às sociedades a serem publicados, nomeadamente: — o acto constitutivo, os estatutos e quaisquer alterações a tais actos, — capital subscrito, — documentos contabilísticos, — alteração da sede social da sociedade, — liquidação, declaração de nulidade, nomeação dos liquidatários, encerramento da liquidação e cancelamento do registo.

13. Do ponto de vista da protecção de dados, importa realçar o artigo 2.o, o qual também exige a publicidade da «nomeação e a cessação de funções, assim como a identidade» (sublinhado nosso) das pessoas i) com o poder de vincular a sociedade e/ou ii) que participam de outra forma «na administração, na vigilância ou na fiscalização da sociedade».

14. A proposta não altera os elementos que devem ser alvo de publicidade ao abrigo do artigo 2.o. Também não é um requisito novo que cada Estado-Membro deva publicar essas informações em suporte electrónico. A novidade da proposta é que as informações até agora disponíveis de uma forma fragmentada, muitas vezes nos idiomas locais e através de sítios web locais, passarão a ser de fácil acesso, através de uma plataforma/ponto de acesso europeu comum, num ambiente multilingue.

15. Para este efeito, a proposta insere um novo artigo 3.o-A na Directiva, com vista a garantir o seguinte: «Os Estados-Membros asseguram-se de que os actos e indicações referidos no artigo 2.o que se encontrem arquivados no seu registo podem ser obtidos, a pedido de qualquer requerente, por via electrónica, através de uma plataforma electrónica europeia única acessível a partir de todos os Estados-Membros.» A proposta deixa os demais pormenores a cargo de actos delegados.

2.2. Interoperabilidade e interconexão de registos de empresas: criação de uma rede electrónica

16. A proposta introduz igualmente um artigo 4.o-A novo na Directiva 2009/101/CE, com vista a garantir que «os Estados-Membros tomam as medidas necessárias para garantir que os (registos de empresas) são interoperáveis e constituem uma rede electrónica». De novo, a proposta deixa os demais pormenores a cargo de actos delegados.

2.3. Disposições relativas à protecção de dados

17. Para fazer face às preocupações relativas à protecção de dados, a proposta insere no texto das três directivas sujeitas a alterações um artigo específico relativo à protecção de dados, estipulando que «[o] tratamento de dados pessoais no âmbito da [presente] directiva fica sujeito ao disposto na Directiva 95/46/CE».

III. COMENTÁRIOS E RECOMENDAÇÕES DA AEPD

3.1. Introdução: fazendo jus à necessidade de transparência e privacidade

18. A AEPD partilha com a Comissão a opinião de que i) o recurso às tecnologias de informação e comunicação poderá ajudar a melhorar a eficiência da cooperação no que diz respeito aos registos de empresas e ii) a maior acessibilidade das informações relativas aos registos de empresas poderá resultar no aumento da transparência, pelo que apoia os objectivos da proposta. Os seus comentários devem ser avaliados à luz desta abordagem construtiva.

19. Simultaneamente, a AEPD sublinha que o aumento da acessibilidade dos dados pessoais também conduz a mais riscos para os mesmos. Por exemplo, ao passo que a identificação correcta do responsável de uma empresa poderá ser facilitada com a publicidade do seu endereço privado, a mesma também poderá ter um impacto negativo sobre o direito deste indivíduo à protecção dos dados pessoais. Esta consideração aplica-se, em particular, aos dados pessoais disponibilizados na Internet em formato digital em múltiplas línguas e através de uma plataforma/ponto de acesso europeu de fácil acesso.

20. Ainda até há pouco tempo, os dados pessoais constantes dos registos de empresas (por exemplo, nome, endereço e espécime da assinatura de um administrador) eram publicados em formato de papel e numa língua local no seguimento, muitas vezes, de uma visita pessoal do requerente a um serviço de registo local. É importante reconhecer que esta situação é qualitativamente diferente da publicidade de dados em formato digital através de um ponto de acesso electrónico nacional. A publicidade de dados pessoais através de uma plataforma/ponto de acesso facilmente acessível ao nível europeu leva esta medida ainda mais longe, aumentando a acessibilidade da informação, bem como os riscos para a protecção dos dados pessoais dos indivíduos em causa.

21. Os riscos para a privacidade (em virtude da fácil disponibilidade dos dados em formato digital através de um ponto de acesso electrónico comum) são, por exemplo, a usurpação de identidade e outras actividades criminais, bem como o risco de que as informações publicadas possam ser recolhidas ilegalmente e utilizadas por sociedades para fins comerciais não previstos originalmente, após a definição dos perfis dos indivíduos em causa. Caso não existam garantias suficientes, as informações também podem ser vendidas a terceiros ou combinadas com outras informações e vendidas aos governos para outros fins não relacionados e desconhecidos (por exemplo, para aplicação do direito fiscal ou outras investigações criminais ou administrativas) sem uma base jurídica adequada (16).

22. Por estes motivos, deve analisar-se com minúcia que informações deverão ser disponibilizadas através da plataforma/ponto de acesso europeu comum e que garantias suplementares em matéria de protecção de dados devem ser aplicadas, nomeadamente, medidas técnicas de restrição das possibilidades de pesquisa, descarregamento e prospecção de dados.

3.2. As garantias essenciais em matéria de protecção de dados deverão ser expressas na própria proposta e não ser deixadas para actos delegados

23. Como já realçado nas secções 2.1 e 2.2, a proposta de texto para os artigos 3.o-A e 4.o-A da Directiva 2009/101/CE é muito geral, deixando muitas questões fundamentais para os actos delegados.

24. Embora a AEPD reconheça a necessidade de flexibilidade e, portanto, a necessidade de actos delegados, também sublinha que as garantias necessárias em matéria de protecção de dados são elementos essenciais que devem ser previstos directamente, de uma forma clara e específica, no próprio texto da proposta de directiva. A este respeito, não podem ser considerados como elementos não essenciais que poderão ser incluídos em actos delegados subsequentes adoptados ao abrigo do artigo 290.o do Tratado sobre o funcionamento da União Europeia.

25. Por conseguinte, a AEPD recomenda que as disposições em matéria de protecção de dados da proposta sejam mais específicas, superando a mera referência à Directiva 95/46/CE (cf. secções 3.4 a 3.13). Será possível incluir disposições adicionais no que diz respeito à instauração de garantias específicas nos actos delegados, após consulta da AEPD e, se for caso disso, das autoridades nacionais de protecção de dados (cf. secções 3.5, 3.6, 3.8, 3.9, 3.10, 3.12 e 3.13).

3.3. Outros elementos essenciais das medidas propostas também deverão ser esclarecidos na própria proposta

26. Além da omissão de garantias-chave em matéria de protecção de dados, a proposta também é bastante vaga em outros aspectos. Em particular, também incumbe aos actos delegados a determinação de elementos essenciais sobre as modalidades de concretização da proposta de i) interconexão de registos de empresas e ii) publicidade de dados.

27. A clareza sobre estes outros elementos essenciais da proposta é um pré-requisito para a adopção de garantias adequadas em matéria de protecção de dados. Por conseguinte, a AEPD recomenda que estes elementos essenciais sejam expressos na própria proposta de Directiva (cf. secções 3.4 e 3.5).

3.4. Governação: a proposta de Directiva deverá esclarecer as funções, as competências e as responsabilidades

28. Actualmente, a proposta incumbe os actos delegados da definição das normas relativas à governação, gestão, operação e representação da rede electrónica (17).

29. Embora a avaliação de impacto e a exposição de motivos identifiquem algumas sinergias com o IMI e o Portal Europeu da Justiça, o texto da proposta de directiva deixa a porta aberta a várias opções, permitindo que nenhuma ou todas estas sinergias se concretizem, incluindo um redesenho do EBR, a utilização do IMI para determinados intercâmbios de dados e/ou a utilização do Portal Europeu da Justiça como plataforma/ponto de acesso para a divulgação ao público de informações provenientes dos registos de empresas.

30. Também não se excluem outras opções, nomeadamente, a abertura de um concurso de adjudicação do direito de concepção e operação da rede electrónica e a assunção de uma função directa, por parte da Comissão, na concepção e operação do sistema. Os representantes dos Estados-Membros poderão igualmente participar na estrututura de governação da rede electrónica.

31. Adicionalmente, embora a proposta, na forma actual, preveja uma «plataforma electrónica europeia única» (nosso sublinhado), não se exclui a possibilidade de o texto ser sujeito a alterações posteriores durante o processo legislativo para garantir uma estrutura mais descentralizada.

32. A AEPD também faz notar que, embora a proposta actual não aborde em específico a questão da interconexão de registos de empresas com outras bases de dados (por exemplo, registos prediais ou civis), se trata, certamente, de uma possibilidade técnica que já se verifica em alguns Estados-Membros (18).

33. A selecção de uma ou outra destas opções poderá conduzir a uma estrutura de governação da rede electrónica completamente dieferente e da ferramenta electrónica a ser utilizada para a publicidade, o que, por sua vez, resulta em funções e responsabilidades diferentes das partes envolvidas e em funções e responsabilidades diferentes do ponto de vista da protecção de dados.

34. A este respeito, a AEPD sublinha que, sempre que uma situação implica o tratamento de dados pessoais, é crucial identificar correctamente o respectivo responsável pelo tratamento. Este facto também é realçado pelo Grupo de Trabalho de Protecção de Dados do Artigo 29.o, no Parecer 1/2010 sobre os conceitos de «controller» (responsável pelo tratamento) e «processor» (subcontratante) (19). O principal motivo que torna crucial a identificação precisa e inequívoca do responsável pelo tratamento é o facto de esta determinar a entidade competente pelo cumprimento das normas de protecção de dados, sendo igualmente pertinente para identificar a legislação aplicável (20).

35. Como realçado no parecer do Grupo do Artigo 29.o, «[i]f it is not sufficiently clear what is required from whom - e.g. no one is responsible or a multitude of possible controllers - there is an obvious risk that too little, if anything, will happen and that the legal provisions will remain ineffective» (se o que é exigido a cada parte não for suficientemente claro (por exemplo, se ninguém for responsável ou se existirem vários responsáveis pelo tratamento), verifica-se o risco óbvio de muito pouco, ou mesmo nada, acontecer e de as disposições jurídicas permanecerem sem efeito).

36. A AEPD salienta que a clareza é de particular importância em situações em que há múltiplos actores numa relação cooperativa. Muitas vezes, é este o caso dos sistemas de informação da União Europeia utilizados para fins públicos em que o propósito do tratamento é estabelecido na legislação comunitária.

37. Por estes motivos, a AEPD recomenda que o próprio texto da proposta de directiva estabeleça de uma forma específica, clara e inequívoca: — se a rede electrónica será operada pela Comissão ou por terceiros e se terá uma estrutura centralizada ou descentralizada, — as incumbências e as responsabilidades de cada parte envolvida no tratamento de dados e na governação da rede electrónica, incluindo a Comissão, os representantes dos Estados-Membros, os detentores de registos de empresas nos Estados-Membros e quaisquer entidades terceiras, — a relação entre o sistema electrónico previsto na proposta e outras iniciativas como, por exemplo, o IMI, o Portal Europeu da Justiça e o EBR.

38. Da perspectiva da protecção de dados, estes esclarecimentos deverão ser específicos e inequívocos com vista a determinar, com base na própria proposta de directiva, se um determinado actor deverá ser considerado «responsável pelo tratamento» («controller») ou «subcontratante» («processor»).

39. Em princípio, a proposta deverá contribuir explicitamente para determinar, como se depreende da globalidade do projecto actual, que tanto os detentores de registos de empresas como o(s) operador(es) do sistema devem ser considerados responsáveis pelo tratamento de dados no âmbito das respectivas actividades. Dito isto, considerando que a actual proposta não descreve a estrutura de governação e não define o(s) operador(es) do sistema electrónico, não é possível excluir que a entidade ou algumas das entidades que, em última análise, operarão o sistema ao nível prático assumirão a função de subcontratante no lugar da de responsável pelo tratamento. Em particular, poderá ser este o caso se esta actividade for subcontratada a uma parte terceira cuja actuação se cinja ao cumprimento de instruções. De qualquer modo, parecem existir múltiplos responsáveis pelo tratamento de dados, no mínimo um em cada Estado-Membro: as entidades que mantêm os registos de empresas. O facto de poder haver outras entidades (privadas) participantes na qualidade de operadores, «distribuidores», etc. não vem alterar este aspecto. Seja como for, a proposta de directiva deverá especificar estes pontos, com vista a garantir a clareza e a segurança jurídica.

40. Não menos importante, a proposta deverá também descrever as responsabilidades resultantes destas funções com maior pormenor e abrangência. Por exemplo, a proposta deverá discriminar a função do(s) operador(es) no sentido de garantir que o sistema é concebido de uma forma respeitadora da privacidade, bem como a sua função de coordenação no que diz respeito às questões da protecção de dados.

41. A AEPD realça que todos estes esclarecimentos serão também pertinentes para determinar que autoridades de fiscalização da protecção de dados são competentes e por que tratamento de dados pessoais.

3.5. O enquadramento e a base jurídica dos procedimentos de cooperação administrativos e no âmbito dos fluxos de dados deverão ser definidos na proposta de directiva

42. Afigura-se que, no formato actual, a rede electrónica não está concebida para disponibilizar automaticamente todas as informações de cada registo de empresas a todos os outros registos de empresas em todos os outros Estados-Membros: a proposta exige meramente a interconexão e a interoperabilidade dos registos de empresas, prevendo, deste modo, as condições que permitirão os intercâmbios de informações e o acesso no futuro. Para garantir segurança jurídica, a proposta deverá esclarecer se este entendimento está correcto.

43. Além disso, a proposta também não especifica os procedimentos de cooperação administrativos e no âmbito dos fluxos de dados que poderão ter lugar através dos registos de empresas interconectados (21). A AEPD compreende o imperativo de alguma flexibilidade para assegurar a integração das necessidades que surjam no futuro. Dito isto, a AEPD considera essencial que a proposta especifique o enquadramento dos procedimentos de cooperação administrativos e no âmbito dos fluxos de dados que poderão ocorrer no futuro recorrendo à rede electrónica. Tal reveste-se de especial importância para garantir que i) qualquer intercâmbio de dados ocorrerá numa base jurídica sólida e que ii) estejam previstas garantias adequadas em matéria de protecção de dados.

44. De acordo com a AEPD, qualquer intercâmbio de dados ou actividade de tratamento de dados recorrendo à rede electrónica (por exemplo, publicidade de dados pessoais através da plataforma/ponto de acesso comum) deverá basear-se num acto vinculativo adoptado ao nível da União Europeia sobre uma base jurídica sólida. Este aspecto deverá ser definido com clareza na proposta de directiva (22).

3.6. Outras questões fundamentais deixadas para actos delegados deverão também ser debatidas na proposta de directiva

45. Além disso, a proposta prevê que os actos delegados determinem as seguintes questões (23): — as condições para a participação de países exteriores ao Espaço Económico Europeu na rede electrónica, — as normas mínimas de segurança para a rede electrónica, e — a definição de normas relativas ao formato, conteúdo e limites para o armazenamento e recuperação dos actos e indicações, que permitam o intercâmbio automático de dados.

46. No que diz respeito ao primeiro e segundo travessões, a AEPD considera que determinadas garantias essenciais devem ser previstas na própria proposta de directiva (ver secções 3.12 e 3.13). Os actos delegados poderão, então, conter pormenores adicionais.

47. Relativamente aos intercâmbios automáticos de dados, a AEPD congratula-se com o facto de a proposta exigir que os actos delegados prevejam «a definição de normas relativas ao formato, conteúdo e limites para o armazenamento e recuperação dos actos e indicações, que permitam o intercâmbio automático de dados».

48. Com vista a aumentar a clareza a este respeito, a AEPD recomenda que a própria proposta de directiva especifique claramente que a rede electrónica permite i) pontualmente, intercâmbios de dados manuais específicos entre registos de empresas (como previsto num acto da União Europeia, como sendo no caso de uma fusão ou transferência da sede social); ii) transferências automáticas de dados (como previsto num acto da União Europeia como no caso da actualização de informações nos registos de sucursais estrangeiras).

49. Para uma maior clareza, a AEPD também recomenda que a proposta de texto para o artigo 4.o-A, n.o 3, alínea i), da Directiva 2009/101/CE seja modificada com vista a garantir que i) os actos delegados abrangerão tanto intercâmbios de dados manuais como automáticos; ii) todas as operações de tratamento que poderão implicar dados pessoais (não limitadas ao armazenamento e à recolha) sejam abrangidas; iii) as disposições específicas relativas à protecção de dados em actos delegados garantirão igualmente a aplicação prática de garantias pertinentes em matéria de protecção de dados.

50. A título exemplificativo, o artigo 4.o-A, n.o 3, alínea i), poderá passar a ter a seguinte redacção: «i) a definição de normas relativas ao formato, conteúdo e limites para quaisquer operações, manuais ou automáticas, de tratamento de dados que recorram à rede, incluindo transferências, armazenamento e recuperação de informação; bem como medidas específicas eventualmente necessárias para garantir a aplicação prática das garantias pertinentes em matéria de protecção de dados».

3.7. As categorias de dados pessoais tratados deverão ser mais claras na proposta de directiva

51. Como observação preliminar, a AEPD sublinha que, embora os nomes (e, eventualmente, outros dados como, por exemplo, endereços privados) dos representantes das sociedades (e de outros indivíduos participantes no governo das sociedades) sejam, indubitavelmente, os dados pessoais mais óbvios que poderão ser tratados pela rede electrónica e/ou publicados através da plataforma/ponto de acesso comum, não são, de modo nenhum, as únicas informações pessoais incluídas em registos de empresas.

52. Antes de mais, alguns dos documentos discriminados no artigo 2.o da Directiva 2009/101/CE (por exemplo, o acto constitutivo, os estatutos e documentos contabilísticos) poderão também conter dados pessoais de outros indivíduos. Estes dados poderão incluir, nomeadamente, nomes, endereços, números de identificação, datas de nascimento e até digitalizações de assinaturas manuscritas de uma multiplicidade de indivíduos, incluindo os indivíduos fundadores da sociedade, os accionistas das sociedades, advogados, contabilistas, trabalhadores ou notários.

53. Para além disso, os dados da sociedade, quando ligados ao nome de um indivíduo (por exemplo, um administrador), podem também ser considerados dados pessoais relacionados com esse indivíduo. Por exemplo, se os dados do registo de empresas demonstrarem que um determinado indivíduo está no conselho de administração de uma sociedade em processo de liquidação, trata-se de uma informação também pertinente para esse indivíduo.

54. Para garantir clareza quanto a que dados pessoais são tratados e que o alcance dos dados tratados é proporcional aos objectivos da proposta, a AEPD recomenda os esclarecimentos expostos adiante na presente secção.

A expressão «identidade das pessoas» deverá ser esclarecida na proposta de directiva

55. O artigo 2.o da Directiva 2009/101/CE não define que «identidade» dos indivíduos em causa (representantes da sociedade e outros participantes no governo da sociedade) é necessário publicar.

56. De facto, as várias versões linguísticas da proposta revelam diferenças significativas inclusivamente no que diz respeito à tradução da expressão «identidade das pessoas». Por exemplo, a expressão tem a redacção de «l’identité des personnes» (i.e., identidade das pessoas) em francês, «le generalità delle persone» (i.e., pormenores pessoais como nome próprio e apelido) em italiano, «személyek adatai» (i.e., dados dos indivíduos) em húngaro, «de identiteit van de personen» (i.e., identidade das pessoas) em neerlandês e «identitatea persoanelor» (i.e., identidade das pessoas) em romeno.

57. Além disso, em alguns Estados-Membros, os endereços privados dos administradores de sociedades e/ou de outros indivíduos, como alguns accionistas, são publicados frequentemente na Internet. Em outros Estados-Membros, estas informações são mantidas confidenciais pelo registo de empresas onde são entregues, por suscitarem problemas de confidencialidade, incluindo receio de usurpação de identidade.

58. A AEPD recomenda a modificação do artigo 2.o da Directiva 2009/101/CE com vista a esclarecer que eventuais dados pessoais, além dos nomes dos indivíduos em causa (representantes da sociedade e outros participantes no governo da sociedade), deverão ser publicados. Para o efeito, a necessidade de transparência e de identificação exacta dos indivíduos deve ser considerada atentamente, mas também deve ser equilibrada com outras preocupações antagónicas, como sendo a necessidade de protecção da privacidade dos indivíduos em causa (24).

59. Se não existir um acordo devido às diferentes práticas nacionais, o artigo 2.o deverá, no mínimo, ser modificado, passando a exigir a publicação do «nome completo das pessoas em causa e, caso a legislação nacional o exija especificamente, de dados adicionais necessários para a sua identificação». Será, então, evidente que caberá a cada Estado-Membro decidir na legislação nacional que, «identidade», além dos nomes, deverá eventualmente ser publicada e que só se exigirá a publicação de dados pessoais adicionais em caso de necessidade para a identificação dos indivíduos em causa.

60. Em alternativa, e tendo em consideração que o artigo 2.o discrimina «um mínimo de indicações», não harmonizando completamente o conteúdo dos registos de empresas na Europa, a expressão «identidade das pessoas» pode ser simplesmente substituída pela expressão «nomes completos das pessoas». Caberá, então, a cada Estado-Membro decidir que eventuais informações adicionais pretende publicar.

A expressão «na administração, na vigilância ou na fiscalização» deverá ser esclarecida

61. O artigo 2.o da Directiva 2009/101/CE também requer a publicidade de informações sobre pessoas que participam «na administração, na vigilância ou na fiscalização da sociedade». A partir desta formulação abrangente, não é bem claro se é necessário publicar informações relativas aos accionistas: em particular, informações sobre accionistas i) com uma participação significativa ou que lhes permita exercer influência ou controlo além de um determinado limite ou ii) com um controlo/influência efectiva sobre a sociedade em virtude de acções privilegiadas («golden shares»), acordos contratuais específicos, etc.

62. A AEPD compreende que é necessária uma formulação abrangente que abarque a ampla variedade de estruturas de governo das sociedades actualmente existentes para sociedades de responsabilidade limitada em diferentes Estados-Membros. Dito isto, do ponto de vista da protecção de dados, é essencial que haja segurança jurídica em relação às categorias de indivíduos cujos dados podem ser publicados. Por conseguinte, a AEPD recomenda a modificação do artigo 2.o da Directiva 2009/101/CE com vista a esclarecer que eventuais dados pessoais relativos aos accionistas deverão ser publicados. Para o efeito, é igualmente necessário proceder a uma análise de proporcionalidade ao abrigo do acórdão Schecke (como já referido).

Publicidade de informações além do mínimo requerido; listas negras

63. Apesar de a proposta não exigir o intercâmbio nem a publicidade de dados pessoais além dos requisitos mínimos expostos no artigo 2.o da Directiva 2009/101/CE, também não exclui que os Estados-Membros, caso assim o decidam, possam requerer que os seus registos de empresas tratem ou publicitem dados pessoais adicionais e os disponibilizem através da plataforma/ponto de acesso comum europeu e/ou os intercambiem com registos de empresas em outros Estados-Membros.

64. Trata-se de uma questão particularmente sensível no que diz respeito às «listas negras». Em alguns países, o registo electrónico também funciona, na prática, como uma espécie de «lista negra», sendo que qualquer terceiro pode pesquisar, através de um portal electrónico, informações dos representantes de sociedades proibidos de exercer as suas funções.

65. Para fazer face a esta questão, a AEPD recomenda que a proposta esclareça se e em que medida os Estados-Membros poderão, com o tempo, publicar mais informações através do portal comum e/ou poderão, com o tempo, intercambiar mais informações entre si, com base nas respectivas legislações nacionais, se assim o entenderem. Neste caso, uma avaliação rigorosa da proporcionalidade (ver o acórdão Schecke, já citado) deverá basear-se na legislação nacional e também ter em conta, como reflexão, os objectivos do mercado interno.

66. Além disso, a AEPD sugere a vinculação destes poderes a uma função a ser desempenhada por autoridades nacionais de protecção de dados, por exemplo, através de consulta.

67. Finalmente, a AEPD sublinha que, se se prevê que um programa europeu exija especificamente «listas negras», tal deverá ser exposto especificamente na proposta de Directiva (25).

3.8. Garantias para assegurar a limitação da finalidade; garantias contra a recolha, a prospecção e a combinação de dados e pesquisas indevidas

68. A AEPD recomenda que a proposta de directiva preveja especificamente, em todos os casos em que há publicidade ou partilha de outra natureza de dados pessoais entre registos de empresas, a existência de garantias adequadas, em particular, contra a recolha, a prospecção e a combinação de dados e pesquisas indevidas para assegurar que os dados pessoais disponibilizados para efeitos de transparência não sejam utilizados de forma imprópria para objectivos adicionais não relacionados (26).

69. A AEPD sublinha, em particular, a necessidade de considerar medidas tecnológicas e organizacionais em conformidade com o princípio de respeito pela privacidade desde a concepção (ver a secção 3.14). Ainda que a aplicação prática destas garantias possa ser deixada para actos delegados, os princípios deverão ser expostos na própria proposta de directiva.

3.9. Fornecimento de informações às pessoas a quem os dados dizem respeito e transparência

70. A AEPD recomenda que a proposta de directiva inclua uma estipulação específica que exija que as informações ao abrigo dos artigos 10.o e 11.o da Directiva 95/46/CE (e das estipulações correspondentes do Regulamento (CE) n.o 45/2001, caso aplicável) sejam fornecidas às pessoas a quem os dados dizem respeito de forma eficaz e abrangente. Além disso, e em função da estrutura de governação a ser acordada e as funções e responsabilidades das diferentes partes envolvidas, a proposta de directiva poderá exigir especificamente que o operador do sistema deva ter um papel proactivo no fornecimento de notificações e informações às pessoas a quem os dados dizem respeito no respectivo sítio Web, também «em nome» dos registos de empresas. Os pormenores adicionais podem ser incluídos em actos delegados, caso necessário, ou definidos numa política de protecção de dados.

3.10. Direitos de acesso, rectificação e eliminação

71. A proposta deverá, no mínimo, incluir uma referência ao requisito de desenvolvimento de modalidades de uma regra (em actos delegados) que permita às pessoas a quem os dados dizem respeito o exercício dos seus direitos. Também se deve fazer referência à possibilidade de criação de um módulo de protecção de dados e à possibilidade de soluções pautadas pelo conceito de privacidade desde a concepção destinadas à cooperação entre as autoridades no que diz respeito aos direitos de acesso, bem como à capacitação das pessoas a quem os dados dizem respeito, sempre que aplicável.

3.11. Legislação aplicável

72. Considerando que é possível que a Comissão ou outras instituições/órgãos da União Europeia também tratem dados pessoais na rede electrónica (por exemplo, actuando como operador da rede ou recolhendo dados pessoais da mesma), dever-se-á igualmente incluir uma referência ao Regulamento (CE) n.o 45/2001.

73. Dever-se-á também esclarecer que a Directiva 95/46/CE se aplica aos registos de empresas e a outras partes actuando ao abrigo das respectivas legislações nacionais nos Estados-Membros, ao passo que o Regulamento (CE) n.o 45/2001 se aplica à Comissão e a outras instituições e órgãos da União Europeia.

3.12. Transferências de dados pessoais para países terceiros

74. No que diz respeito às transferências de dados pessoais pelo detentor de um registo de empresas na União Europeia para o detentor de um registo de empresas num país terceiro que não assegure um nível adequado de protecção de dados pessoais, a AEPD sublinha, em primeiro lugar, que é importante distinguir duas situações: — casos em que os dados pessoais já estão disponíveis num registo público (por exemplo, através da plataforma/ponto de acesso comum europeu), — casos em que os dados pessoais não sejam do domínio público.

75. No primeiro caso, o artigo 26.o, n.o 1, alínea f), da Directiva 95/46/CE permite uma excepção sempre que «A transferência seja realizada a partir de um registo [público]», sujeita ao respeito de determinadas condições. Por exemplo, se o detentor de um registo de empresas num país europeu pretender transferir um certo conjunto de dados pessoais (nomeadamente, em ligação com o registo de sucursais estrangeiras) para o detentor de um registo de empresas num país terceiro e esses dados já forem, de qualquer modo, do domínio público, a transferência deverá ser possível ainda que o país terceiro em causa não assegure um nível adequado de protecção.

76. No segundo caso, a AEPD recomenda que a proposta esclareça que as transferências de dados que não sejam do domínio público só possam ser realizadas para entidades ou indivíduos num país terceiro que não assegura uma protecção adequada se o responsável pelo tratamento apresentar garantias suficientes de protecção da vida privada e dos direitos e liberdades fundamentais das pessoas, assim como do exercício dos respectivos direitos. Essas garantias poderão, designadamente, resultar de cláusulas contratuais adequadas instauradas ao abrigo do artigo 26.o, n.o 2, da Directiva 95/46/CE (27). Nos casos em que as transferências de dados para países terceiros impliquem sistematicamente a partilha de dados entre registos de empresas em dois ou mais países da União Europeia ou em que, por outros motivos, seja desejável uma acção ao nível da União Europeia, a negociação de cláusulas contratuais também deverá ocorrer ao nível da União Europeia (artigo 26.o, n.o 4).

77. A AEPD sublinha que outras derrogações, como sendo a derrogação em que (artigo 26.o, alínea d)) «A transferência seja necessária ou legalmente exigida para a protecção de um interesse público importante, ou para a declaração, o exercício ou a defesa de um direito num processo judicial», não devem ser utilizadas para justificar transferências de dados sistemáticas para países terceiros recorrendo à rede electrónica.

3.13. Responsabilização e privacidade desde a concepção

78. A AEPD recomenda que a proposta faça uma referência específica ao princípio da responsabilização, esforçando-se por o executar (28), e crie um quadro claro de sistemas de controlo e mecanismos internos adequados no sentido de garantir o cumprimento das regras de protecção de dados e fornecer provas do mesmo, nomeadamente: — a realização de uma avaliação do impacto sobre a privacidade (incluindo uma análise dos riscos em matéria de segurança) antes da concepção do sistema, — a adopção e a actualização, conforme necessário, de uma política formal de protecção de dados (normas de execução), também no que diz respeito a um plano de segurança, — a realização de auditorias periódicas para avaliar a continuação da adequação e do cumprimento da política de protecção de dados e de segurança, — a publicação (pelo menos parcial) dos resultados dessas auditorias para garantir às partes interessadas no que diz respeito ao cumprimento das regras de protecção de dados, — a notificação de violações de dados e outros incidentes relacionados com a segurança.

79. No que diz respeito à privacidade desde a concepção (29), a proposta deverá incluir uma referência específica a este princípio, bem como materializar este compromisso em acções concretas. Em particular, a proposta deverá prever a construção segura e sólida da rede electrónica, integrando, por omissão, uma vasta panóplia de garantias de privacidade. Eis alguns exemplos possíveis de garantias de privacidade desde a concepção: — uma abordagem descentralizada em que os dados só são armazenados numa fonte principal e cada distribuidor apenas recolhe dados desta fonte principal (para garantir que os dados estão actualizados), — processos automáticos que pesquisam incoerências e imprecisões das informações, — possibilidades de pesquisa limitadas para indexar apenas dados proporcionais e adequados à finalidade, — outras garantias para prevenir/restringir o descarregamento de grandes quantidades de dados, a prospecção de dados, pesquisas indevidas, e assegurar uma limitação adequada de finalidade; garantias para prevenir ou restringir as possibilidades de utilização da interface de pesquisa por terceiros para a recolha de dados e definição de perfis (por exemplo, «captcha» (30) ou uma obrigação de registo para pagamento), — funcionalidade integrada no sistema que facilite às pessoas a quem os dados dizem respeito o exercício efectivo dos seus direitos; funcionalidades integradas que sejam coordenadas entre os próprios registos de empresas no que diz respeito aos pedidos de acesso das pessoas a quem os dados dizem respeito, — procedimentos de tratamento de informações sobre requerentes que descarregaram informações de um registo público de uma forma segura e respeitadora da privacidade, — mecanismos de auditoria/controlo.

IV. CONCLUSÕES

80. A AEPD apoia os objectivos da proposta. Os seus comentários deverão ser avaliados à luz desta abordagem construtiva.

81. A AEPD sublinha que as garantias necessárias em matéria de protecção de dados deverão ser previstas clara e especificamente no próprio texto da directiva, dado que os considera elementos essenciais. As disposições adicionais no que diz respeito à instauração de garantias específicas poderão ser expostas em actos delegados.

82. As questões da governação, das funções, das competências e das responsabilidades deverão ser abordadas na proposta de directiva. Com este propósito, a proposta de directiva deverá definir: — se a rede electrónica será operada pela Comissão ou por terceiros e se terá uma estrutura centralizada ou descentralizada, — as incumbências e as responsabilidades de cada parte envolvida no tratamento de dados e na governação da rede electrónica, incluindo a Comissão, os representantes dos Estados-Membros, os detentores de registos de empresas nos Estados-Membros e quaisquer terceiros, — a relação entre o sistema electrónico previsto na proposta e outras iniciativas como, por exemplo, o IMI, o Portal Europeu da Justiça e o EBR, — os elementos específicos e inequívocos para determinar se um determinado actor deve ser considerado «responsável pelo tratamento» ou «subcontratante».

83. Qualquer actividade de tratamento de dados que recorra à rede electrónica deverá basear-se num instrumento jurídico vinculativo, tal como um acto específico da União Europeia adoptado numa base jurídica sólida. Este aspecto deverá ser exposto com clareza na proposta de directiva.

84. As disposições relativas à legislação aplicável deverão ser esclarecidas e incluir uma referência ao Regulamento (CE) n.o 45/2001.

85. No que diz respeito às transferências de dados pessoais para países terceiros, a proposta deverá esclarecer que, em princípio, e com a excepção dos casos ao abrigo do artigo 26.o, n.o 1, alínea f), da Directiva 95/46/CE, as transferências só poderão ser feitas para entidades ou indivíduos num país terceiro que não assegure uma protecção adequada se o responsável pelo tratamento apresentar garantias suficientes de protecção da vida privada e dos direitos e liberdades fundamentais das pessoas, assim como do exercício dos respectivos direitos. Essas garantias poderão, designadamente, resultar de cláusulas contratuais adequadas instauradas ao abrigo do artigo 26.o da Directiva 95/46/CE.

86. Além disso, a Comissão deverá avaliar cuidadosamente as medidas técnicas e organizacionais a tomar para garantir que a privacidade e a protecção de dados são integrados, durante a concepção, na arquitectura da rede electrónica («privacidade desde a concepção») e que existem controlos adequados para assegurar o cumprimento das regras de protecção de dados e a apresentação das respectivas provas («responsabilização»).

87. A AEPD também faz as seguintes recomendações: — a proposta de Directiva deverá especificar com clareza que a rede electrónica deverá permitir i) por um lado, intercâmbios de dados manuais específicos entre registos de empresas; ii) por outro lado, intercâmbios de dados automáticos. A proposta deverá igualmente ser modificada com vista a garantir que: i) os actos delegados abrangerão de forma abrangente tanto intercâmbios de dados manuais como automáticos e ii) todas as operações de tratamento que poderão implicar dados pessoais (não limitadas ao armazenamento e à recolha); iii) as disposições específicas relativas à protecção de dados em actos delegados garantirão igualmente a aplicação prática de garantias pertinentes em matéria de protecção de dados, — a proposta deverá modificar o artigo 2.o da Directiva 2009/101/CE no sentido de esclarecer que eventuais dados pessoais, além dos nomes dos indivíduos em causa, deverão ser publicados. Dever-se-á igualmente clarificar se a publicidade de dados relativos aos accionistas é obrigatória. Para tal, a necessidade de transparência e de identificação exacta dos indivíduos deverá ser considerada atentamente, mas também deverá ser equilibrada com outras preocupações antagónicas, como a necessidade de salvaguardar o direito à protecção de dados pessoais dos indivíduos em causa, — dever-se-á esclarecer na proposta se os Estados-Membros poderão, com o tempo, publicar mais informações através do portal comum (e/ou intercambiar mais informações entre si) com base nas respectivas legislações nacionais, sob reserva de garantias adicionais em matéria de protecção de dados, — a proposta de directiva deverá prever especificamente que os dados pessoais disponibilizados para efeitos de transparência não serão utilizados de forma imprópria para objectivos adicionais não relacionados e que, para este efeito, se deverão tomar medidas tecnológicas e organizacionais em conformidade com o princípio da privacidade desde a concepção, — a proposta deverá também incluir garantias específicas no que diz respeito à notificação das pessoas a quem os dados dizem respeito, bem como um requisito de desenvolvimento das modalidades de uma regra que permita às pessoas a quem os dados dizem respeito o exercício dos seus direitos em actos delegados.

Feito em Bruxelas, em 6 de Maio de 2011. Giovanni BUTTARELLI Autoridade Adjunta Europeia para a Protecção de Dados

(1) JO L 281 de 23.11.1995, p. 31.

(2) JO L 8 de 12.1.2001, p. 1.

(3) Por uma questão de brevidade, os «registos centrais, registos comerciais e registos das sociedades» passarão a ser designados, no presente parecer, como «registos de empresas».

(4) Directiva 2009/101/CE do Parlamento Europeu e do Conselho, de 16 de Setembro de 2009, tendente a coordenar as garantias que, para protecção dos interesses dos sócios e de terceiros, são exigidas nos Estados-Membros às sociedades, na acepção do segundo parágrafo do artigo 48.o do Tratado, a fim de tornar equivalentes essas garantias em toda a Comunidade (JO L 258, 1.10.2009, p. 11).

(5) Décima primeira Directiva 89/666/CEE do Conselho, de 21 de Dezembro de 1989, relativa à publicidade das sucursais criadas num Estado-Membro por certas formas de sociedades reguladas pelo direito de outro Estado (JO L 395, 30.12.1989, p. 36).

(6) Directiva 2005/56/CE do Parlamento Europeu e do Conselho, de 26 de Outubro de 2005, relativa às fusões transfronteiriças das sociedades de responsabilidade limitada (JO L 310, 25.11.2005, p. 1).

(7) Directiva 2009/101/CE, supracitada por extenso. O artigo 1.o da Directiva limita o âmbito de aplicação das respectivas disposições «a sociedade anónima de responsabilidade limitada, a sociedade em comandita por acções, a sociedade por quotas de responsabilidade limitada».

(8) Directiva 2003/58/CE do Parlamento Europeu e do Conselho, de 15 de Julho de 2003, que altera a Directiva 68/151/CEE no que diz respeito aos requisitos de publicidade relativamente a certas categorias de sociedades (JO L 221, 4.9.2003, p. 13).

(9) Directiva 2005/56/CE, supracitada por extenso.

(10) Regulamento (CE) n.o 2157/2001 do Conselho, de 8 de Outubro de 2001, relativo ao estatuto da sociedade europeia (SE) (JO L 294, 10.11.2001, p. 1).

(11) Regulamento (CE) n.o 1435/2003 do Conselho, de 18 de Agosto de 2003, relativo ao Estatuto da Sociedade Cooperativa Europeia (SCE) (JO L 207, 18.8.2003, p. 1).

(12) http://www.ebr.org/

(13) http://www.briteproject.eu

(14) https://e-justice.europa.eu/home.do

(15) http://ec.europa.eu/internal_market/imi-net/index_en.html

(16) De facto, está a desenvolver-se um mercado que consiste na venda de informações desta natureza sobre as empresas: os prestadores de serviços deste mercado classificam a fiabilidade de sociedades/indivíduos com base nas informações recolhidas a partir de várias fontes, nomeadamente, registos de empresas, registos judiciais e registos de insolvências.

(17) Ver a proposta de texto para o artigo 4.o-A, n.o 3, alínea a), da Directiva 2009/101/CE.

(18) Tendo em conta que a proposta actual não prevê interconexão, a AEPD não debaterá mais esta questão no presente parecer. Porém, a AEPD chama a atenção para o facto de, em caso de contemplação da interconexão, poder tornar-se necessária uma análise de proporcionalidade separada, bem como a adopção de garantias adicionais adequadas em matéria de protecção de dados.

(19) Ver o artigo 2.o, alíneas d) e e), da Directiva 95/46/CE e do Regulamento (CE) n.o 45/2001; ver também o Parecer 1/2010, de 16 de Fevereiro de 2010, do Grupo de Trabalho de Protecção de Dados do Artigo 29.o relativo aos conceitos de «controller» (responsável pelo tratamento) e «processor» (subcontratante) (WP169).

(20) Considerando que as legislações em matéria de protecção de dados não estão completamente harmonizadas na Europa, a identidade do responsável pelo tratamento é pertinente na determinação da legislação nacional a aplicar. Além disso, também é pertinente para estabelecer se se aplica a Directiva 95/46/CE ou o Regulamento (CE) n.o 45/2001: se a Comissão (também) for um responsável pelo tratamento, o Regulamento (CE) n.o 45/2001 (também) será aplicável, como explicado na secção 3.11.

(21) Exceptuam-se, até certo ponto, os intercâmbios de dados nos casos de fusões transfronteiriças, transferências de sedes sociais e actualizações de informações sobre sucursais estrangeiras, abordados especificamente na proposta.

(22) A este respeito, em caso de potencial necessidade de tratamento de dados numa área do mercado interno não abrangida por um acto específico da União Europeia, a AEPD solicita uma reflexão mais profunda sobre as modalidades de um quadro jurídico que permitirá, porventura em combinação com disposições gerais do Tratado, disposições específicas da proposta de directiva e outros actos delegados, providenciar uma base jurídica adequada do ponto de vista da protecção de dados. A proposta de directiva deverá igualmente especificar se os registos de empresas poderão utilizar a rede electrónica e o ponto de acesso comum para intercambiar ou publicar dados pessoais não previstos num acto da União Europeia, mas permitidos ou exigidos ao abrigo da legislação nacional.

(23) Ver a proposta de texto para o artigo 4.o-A, n.o 3, da Directiva 2009/101/CE.

(24) A avaliação de proporcionalidade deverá ser realizada, em particular, levando em conta os critérios definidos pelo Tribunal de Justiça da União Europeia (TJUE) no acórdão Schecke e Eifert (TJUE, 9 de Novembro de 2010, processos apensos C-92/09 e C-93/09; ver, especificamente, os números 81, 65 e 86). No acórdão Schecke, o TJUE sublinhou que as derrogações à protecção dos dados pessoais e as suas limitações devem ocorrer na estrita medida do necessário. Além disso, o TJUE considerou que as instituições devem explorar diferentes métodos de publicação com vista a identificar a forma conforme com o objectivo dessa publicação e que seja ao mesmo tempo menos lesiva do direito à vida privada das pessoas a quem os dados dizem respeito, em geral, e à protecção dos seus dados pessoais, em particular.

(25) Tendo em conta que a proposta actual não prevê esta situação, a AEPD não a debaterá mais no presente parecer. Porém, a AEPD chama a atenção para o facto de, no caso da sua contemplação, poder tornar-se necessária uma análise de proporcionalidade separada, bem como a adopção de garantias adicionais adequadas em matéria de protecção de dados.

(26) Ver o artigo 6.o, alínea b), da Directiva 95/46/CE e do Regulamento (CE) n.o 45/2001.

(27) Se for possível que, em alguns casos, a Comissão se encontre entre os actores com capacidade para transferir os dados para países terceiros, deverá fazer-se uma referência ao artigo 9.o, n.o 1, e ao artigo 9.o, n.o 7, do Regulamento (CE) n.o 45/2001.

(28) Ver a secção 7 do parecer da AEPD intitulado «EDPS Opinion on the Communication from the Commission to the European Parliament, the Council, the Economic and Social Committee and the Committee of the Regions-“A comprehensive approach on personal data protection in the European Union”», emitido em 14 de Janeiro de 2011, disponível em http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2011/11-01-14_Personal_Data_Protection_EN.pdf

(29) Idem.

(30) Um «captcha» é um tipo de teste desafio-resposta utilizado em informática como uma tentativa de assegurar que a resposta não é gerada por um computador.