PT Jornal Oficial da União Europeia C 66/1

Parecer da Autoridade Europeia para a Protecção de Dados sobre a proposta de regulamento do Conselho relativo à cooperação administrativa e à luta contra a fraude no domínio do imposto sobre o valor acrescentado (reformulação)

2010/C 66/01

A AUTORIDADE EUROPEIA PARA A PROTECÇÃO DE DADOS,

Tendo em conta o Tratado que institui a Comunidade Europeia, nomeadamente o artigo 286.o,

Tendo em conta a Carta dos Direitos Fundamentais da União Europeia, nomeadamente o artigo 8.o,

Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1),

Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados, nomeadamente o artigo 41.o (2),

ADOPTOU O SEGUINTE PARECER:

I. INTRODUÇÃO

1. Em 18 de Agosto de 2009, a Comissão adoptou uma proposta de regulamento do Conselho relativo à cooperação administrativa e à luta contra a fraude no domínio do imposto sobre o valor acrescentado (IVA) (3). Esta proposta constitui de facto uma alteração do Regulamento (CE) n.o 1798/2003 do Conselho relativo à cooperação administrativa no domínio do imposto sobre o valor acrescentado, que foi já alterado por diversas vezes (4). Todavia, para maior clareza e facilidade de compreensão, a Comissão optou pela utilização do procedimento de reformulação, o que significa que o Regulamento (CE) n.o 1798/2003 do Conselho será revogado se a actual proposta for adoptada pelo Conselho.

2. No procedimento de reformulação, o debate legislativo é em princípio restringido às alterações de fundo propostas pela Comissão, não incidindo sobre as «disposições inalteradas» (5). No presente parecer, contudo, a Autoridade Europeia para a Protecção de Dados (AEPD) irá debater na íntegra o actual regulamento e as alterações de fundo a ele propostas. É necessário efectuar esta análise completa a fim de avaliar devidamente o impacto da legislação em matéria de protecção de dados. A AEPD recomendará alguns ajustamentos também para essas disposições inalteradas. A AEPD insta o legislador a ter em conta essas recomendações pese embora o âmbito limitado do procedimento de reformulação. A este respeito, a AEPD remete para o ponto 8 do Acordo Interinstitucional relativo ao procedimento de reformulação, que prevê a possibilidade de introduzir alterações nas disposições inalteradas.

3. A base jurídica da proposta é o artigo 93.o to Tratado CE, que autoriza o Conselho a adoptar medidas em matéria de impostos indirectos. O Conselho delibera por unanimidade, sob proposta da Comissão, e após consulta ao Parlamento Europeu e ao Comité Económico e Social. A base jurídica e o procedimento específico não são alterados com a entrada em vigor do Tratado de Lisboa.

4. A AEPD não foi consultada, apesar de tal consulta ser exigida no artigo 28.o, n.o 2, do Regulamento (CE) n.o 45/2001. O presente parecer baseia-se por conseguinte no artigo 41.o, n.o 2, do mesmo regulamento. A AEPD recomenda que seja feita referência ao presente parecer no preâmbulo da proposta.

5. A AEPD está ciente da importância de ver reforçada a eficácia das medidas de combate à fraude transfronteiras e melhorada a cobrança do IVA em situações transfronteiras. Embora a troca de informações, que faz parte integrante da cooperação administrativa e do combate à fraude ao IVA, diga principalmente respeito a informações relativas a pessoas colectivas, é óbvio que estão também a ser tratados dados relativos a pessoas singulares. A AEPD reconhece que para alcançar esses objectivos é necessário proceder ao tratamento de dados pessoais. A AEPD sublinha porém que o tratamento desses dados deve ser consentâneo com as normas comunitárias em matéria de protecção de dados.

6. Merecem especial atenção as situações que envolvam a troca transfronteiras de dados pessoais na UE, uma vez que implicam um aumento de escala do tratamento de dados que conduz necessariamente à insegurança jurídica por parte das pessoas em causa: podem estar envolvidos intervenientes de todos os outros Estados-Membros, podendo ser aplicáveis as legislações nacionais desses outros Estados-Membros, que poderão divergir ligeiramente das legislações a que as pessoas em causa estão habituadas, ou ser aplicáveis num sistema jurídico com o qual as pessoas em causa não estão familiarizadas.

7. Tendo analisado o quadro jurídico decorrente do Regulamento (CE) n.o 1798/2003 e os ajustamentos actualmente propostos, a AEPD conclui que, muito embora possam verificar-se vários elementos positivos, não se encontram satisfeitos todos os requisitos decorrentes das normas comunitárias em matéria de protecção de dados.

8. Antes de desenvolver melhor este ponto na Parte III (regras aplicáveis em matéria de protecção de dados) e na Parte IV (análise detalhada da proposta), a AEPD começará por descrever na parte seguinte o contexto da actual proposta, o quadro jurídico existente e os ajustamentos propostos.

II. COOPERAÇÃO A NÍVEL DA UE EM MATÉRIA DE IVA

II.1. Contexto

9. A actual proposta resulta de um debate a nível da UE que teve oficialmente início em Maio de 2006 com uma Comunicação da Comissão sobre o combate à fraude fiscal no mercado interno (6). Incentivada pelo Conselho e pelo Parlamento Europeu, a Comissão publicou, em Dezembro de 2008, outra comunicação, intitulada Estratégia coordenada para melhorar o combate à fraude ao IVA na União Europeia (7). Essa comunicação anunciava várias alterações à Directiva 2006/112/CE (IVA), bem como a actual reformulação do Regulamento (CE) n.o 1798/2003 (8).

10. O Regulamento (CE) n.o 1798/2003 do Conselho tem sido o regulamento de referência em matéria de cooperação administrativa no domínio do imposto sobre o valor acrescentado. Todavia, segundo um estudo recente levado a cabo pela Comissão e publicado em 18 de Agosto de 2009, no mesmo dia que a actual proposta, a intensidade da cooperação administrativa entre os Estados-Membros para fazer face à evasão e à fraude ao IVA a nível intracomunitário foi considerada insatisfatória (9). O principal objectivo da actual proposta é por conseguinte alterar o Regulamento (CE) n.o 1798/2003 do Conselho de modo a que seja reforçada a eficácia das medidas de combate à fraude transfronteiras e melhorada a cobrança do IVA em situações transfronteiras.

II.2. O actual sistema de cooperação: Regulamento (CE) n.o 1798/2003 do Conselho

11. Com o Regulamento (CE) n.o 1798/2003 do Conselho, a UE introduziu um sistema comum de cooperação administrativa e de troca de informações entre as autoridades competentes dos Estados-Membros, a fim de lhes permitir realizar uma correcta avaliação do IVA. O regulamento contém uma lista de autoridades competentes e obriga os Estados-Membros a designarem um só serviço central de ligação responsável pelos contactos com outros Estados-Membros no domínio da cooperação administrativa.

12. A troca de informações entre as autoridades competentes tem lugar em três situações: troca de informações a pedido, troca de informações sem pedido prévio (troca espontânea) e armazenamento dos dados numa base de dados electrónica mantida por cada Estado-Membro, a uma parte da qual têm acesso directo as autoridades competentes dos outros Estados-Membros.

13. O Regulamento (CE) n.o 1798/2003 do Conselho impõe ainda aos Estados-Membros a obrigação de assegurarem que as pessoas envolvidas em entregas intracomunitárias de bens e em prestações intracomunitárias de serviços sejam autorizadas a obter confirmação da validade do número de identificação IVA de determinada pessoa. O sistema que permite que essas pessoas obtenham tal confirmação é o chamado Sistema de Intercâmbio de Informações sobre o IVA (VIES).

14. O regulamento estabelece, de um modo geral, que a comunicação de informações deverá ser efectuada por via electrónica. A Comissão é assim responsável pelas adaptações à Rede Comum de Comunicação/Interface de Sistema Comum (CCN/CSI) que sejam necessárias para permitir o intercâmbio de informações entre Estados-Membros. Os Estados-Membros são responsáveis pelas adaptações dos respectivos sistemas nacionais que sejam necessárias para permitir que a informação seja objecto de intercâmbio através da CCN/CSI. O regulamento contém ainda regras em matéria de relações com a Comissão, controlos simultâneos e troca de informações provenientes de países terceiros.

15. Não é definido o tipo de informações que podem ser trocadas entre as autoridades competentes mediante pedido ou espontaneamente. O artigo 1.o do Regulamento (CE) n.o 1798/2003 do Conselho apenas refere «todas as informações» que as possam ajudar a realizar uma correcta avaliação do IVA. A base de dados electrónica contém os mapas recapitulativos dos sujeitos passivos registados para efeitos do IVA que são recolhidos nos termos da directiva geral relativa ao IVA. Esses mapas recapitulativos contêm os números de identificação IVA dos diferentes sujeitos passivos envolvidos no valor total das entregas de bens efectuadas pelo sujeito passivo. O VIES apenas permite a confirmação da validade de um número de identificação IVA.

II.3. Melhorias previstas em termos gerais

16. A Comissão visa, com a actual proposta, o reforço da eficácia da actual cooperação, tornando as autoridades competentes solidariamente responsáveis pela protecção das receitas do IVA em todos os Estados-Membros, antecipando a troca de informações entre as autoridades competentes e melhorando a qualidade e coerência destas informações (10).

17. A melhoria da troca de informações entre os Estados-Membros é obtida definindo os casos em que as autoridades competentes não podem recusar-se a responder a um pedido de informações ou a um inquérito administrativo e especificando os casos em que as informações devem ser trocadas espontaneamente (11). A proposta introduz ainda prazos mais rigorosos e dá maior ênfase à utilização dos meios electrónicos.

18. A coerência das informações disponíveis nas bases de dados electrónicas é reforçada mediante a definição do tipo de informações que os Estados-Membros devem obrigatoriamente introduzir na respectiva base de dados nacional. A proposta reforça ainda o acesso directo automatizado às bases de dados electrónicas por parte das autoridades competentes de outros Estados-Membros. As informações disponibilizadas a outros sujeitos passivos através do VIES são completadas com o nome e endereço da pessoa registada com um número de identificação IVA.

19. A proposta específica ainda as situações em que os Estados-Membros podem e devem proceder a controlos multilaterais. Para além disso, cria uma base jurídica para a instituição de uma estrutura operacional comum para a cooperação multilateral (Eurofisc). Este sistema deverá permitir uma troca rápida de informações específicas entre todos os Estados-Membros, bem como a instituição de análises estratégicas e de risco comuns.

20. A proposta introduz, por último, uma obrigação de retorno de informação que permite que os Estados-Membros avaliem a eficácia da troca de informações.

21. Será ainda desenvolvida uma série de questões segundo um procedimento de comitologia. É o caso por exemplo dos formulários normalizados que são utilizados quando as autoridades competentes solicitam informações, da forma de organizar a obrigatoriedade do retorno de informação, dos critérios utilizados para determinar se devem ser introduzidas alterações nos dados armazenados na base de dados electrónica e na instituição do Eurofisc.

III. REGRAS APLICÁVEIS EM MATÉRIA DE PROTECÇÃO DE DADOS

22. Caso estejam a ser tratados dados pessoais, deverá ser cumprida a legislação comunitária em matéria de protecção de dados. Na legislação relativa à protecção de dados, os «dados pessoais» são genericamente definidos como «qualquer informação relativa a uma pessoa singular identificada ou identificável» (12). Tal como foi já referido, a troca de informações no actual contexto visa principalmente as pessoas colectivas. Todavia, deverá igualmente conter informações relativas a pessoas singulares. Os termos «todas as informações» constantes do artigo 1.o, n.o 1, do regulamento do Conselho proposto parecem incluir ainda outras informações sobre pessoas singulares ao serviço das pessoas colectivas ou de outro modo a elas ligadas (cf. também o ponto 31 infra).

23. Relativamente ao tratamento de dados pelos Estados-Membros, são aplicáveis as disposições nacionais de transposição da Directiva 95/46/CE. O actual Regulamento (CE) n.o 1798/2003 do Conselho remete duas vezes para a Directiva 95/46/CE, designadamente no considerando 17 e no artigo 41.o. A AEPD observa que estas disposições apenas remetem para a Directiva 95/46/CE no que diz respeito à possibilidade de restringir determinados direitos garantidos pela mesma directiva. O considerando e o artigo referidos reaparecem na proposta da Comissão (enquanto considerando 35 e artigo 57.o) mas serão objecto de algumas alterações, que serão adiante debatidas mais detalhadamente no ponto 49 e seguintes. Deve aqui assinalar-se o facto de a Comissão propor a inserção de um frase genérica no artigo 41.o (novo artigo 57.o) nos termos da qual «[q]ualquer armazenagem ou troca de informações abrangida pelo presente regulamento está sujeita às disposições [d]e aplicação da Directiva 95/46/CE». A AEPD congratula-se com esta inserção e incentiva o legislador a inserir essa declaração também no considerando.

24. Embora a Comissão não esteja directamente envolvida na troca de dados entre as autoridades competentes, está patente no artigo 51.o, n.o 2, que a Comissão receberá «todas as informações disponíveis relevantes para a aplicação do presente regulamento», «dados estatísticos» e «todas as informações» que possam ajudar a realizar uma correcta avaliação do IVA, tal como referido no artigo 1.o (13). Tal como referido já no ponto 14, a Comissão é ainda responsável por «todas as adaptações à CCN/CSI necessárias» para permitir o intercâmbio de informações entre Estados-Membros (artigo 55.o). Tal como resulta claramente do artigo 57.o, n.o 2, essa responsabilidade pode, em certas condições, envolver o acesso à informação trocada através do sistema.

25. Resulta do acima exposto que a Comissão irá também proceder ao tratamento de dados pessoais. Fica assim vinculada às regras em matéria de protecção de dados aplicáveis às instituições e órgãos da UE constantes do Regulamento (CE) n.o 45/2001 e sujeitas à supervisão da AEPD. Para maior clareza e no intuito de evitar quaisquer dúvidas sobre a aplicabilidade do regulamento, a AEPD insta o legislador a incluir uma remissão para aquele regulamento nos considerandos bem como numa disposição substantiva.

26. Se forem tratados dados pessoais, os artigos 16.o e 17.o da Directiva 95/46/CE e os artigos 21.o e 22.o do Regulamento (CE) n.o 45/2001 exigem que sejam garantidas a confidencialidade e a segurança do tratamento de dados. O citado artigo 55.o não indica tão claramente se a Comissão é responsável pela manutenção e segurança da CCN/CSI (14). A fim de evitar dúvidas quanto à responsabilidade pela garantia dessa confidencialidade e segurança, a AEPD insta o legislador a definir mais claramente a responsabilidade da Comissão nesta matéria, a sublinhar as obrigações dos Estados-Membros e a perspectivar toda esta questão à luz dos requisitos decorrentes da Directiva 95/46/CE e do Regulamento (CE) n.o 45/2001.

27. Clarificar a questão de saber quem é responsável pelo cumprimento das regras em matéria de protecção de dados [designado por «responsável pelo tratamento» (15) na terminologia relativa à protecção de dados] é também importante no que diz respeito ao estabelecimento do Eurofisc. O artigo 35.o explica que o Eurofisc será constituído por funcionários competentes na matéria, designados pelas autoridades competentes dos Estados-Membros. A Comissão dará apoio técnico, administrativo e operacional ao Eurofisc. A estrutura proposta suscita questões quanto à legislação aplicável em matéria de protecção de dados [Directiva 95/46/CE ou Regulamento (CE) n.o 45/2001] e à responsabilidade pelo cumprimento dessas regras. Tenciona a Comissão conferir responsabilidades aos Estados-Membros, individualmente ou em conjunto com a Comissão, ou será o Eurofisc enquanto tal, e eventualmente em conjugação com a Comissão, a autoridade responsável? A AEPD exorta o legislador a clarificar estas questões e a garantir a clara atribuição de responsabilidades.

IV. ANÁLISE DETALHADA DA PROPOSTA

IV.1. Determinação da finalidade e dos dados e garantia da necessidade do tratamento de dados

28. A AEPD observa que a proposta não especifica suficientemente o tipo de dados trocados e a finalidade da troca de dados. Além disso, a proposta não dá garantias suficientes de que os dados apenas serão trocados em caso de necessidade. Tudo isto está patente no artigo 1.o, n.o 1, do regulamento do Conselho proposto.

29. O artigo 1.o, n.o 1, estabelece a finalidade global do regulamento, que consiste em assegurar o cumprimento das legislações nacionais relativas ao IVA. Essa finalidade deve ser alcançada através da cooperação entre Estados-Membros e da troca de todas as informações entre as autoridades competentes dos Estados-Membros que possam ajudar a realizar uma correcta avaliação do IVA, controlar a correcta aplicação do IVA, designadamente sobre as transacções intracomunitárias, e combater a fraude.

30. O artigo 1.o, n.o 1, em si mesmo não satisfaz os requisitos decorrentes das regras comunitárias em matéria de protecção de dados uma vez que está formulado em termos demasiado genéricos e deixa uma margem discricionária excessiva. Resulta daí um importante risco de incumprimento, na prática, das regras aplicáveis em matéria de protecção de dados.

31. Em primeiro lugar, o conceito de «todas as informações» é muito vasto e acarreta o risco de uma troca de informações desproporcionada. Tal como foi já referido, esses termos parecem incluir ainda outras informações sobre pessoas singulares ao serviço das pessoas colectivas ou de outro modo a elas ligadas. A este respeito, a AEPD chama a atenção para as disposições relativas a categorias especiais de dados que contêm determinadas regras específicas mais estritas para o tratamento de dados relativos a infracções, condenações penais, sanções administrativas ou decisões cíveis (16).

32. Em segundo lugar, a finalidade da troca de informações pode ser de carácter muito geral, o que é contrário ao requisito segundo o qual a finalidade deve ser determinada e explicitada (17).

33. Em terceiro lugar, nos termos do artigo 1.o, n.o 1, podem ser trocadas informações quando estas «possam ajudar» a autoridade competente de outro Estado-Membro. Se estiverem em causa dados pessoais, haverá conflito com o requisito segundo o qual o tratamento de dados só será efectuado se for necessário para prosseguir a finalidade estabelecida (18). De qualquer modo, sem um conhecimento exacto do tipo de informações pessoais envolvidas e sem uma determinação adicional das finalidades, é impossível avaliar a necessidade da troca.

34. É por conseguinte necessário determinar melhor a finalidade e o tipo de informações que podem ou que vão ser trocadas — pelo menos em linhas ou categorias gerais — para que a troca cumpra os requisitos em matéria de protecção de dados. Deverá ser também garantida a observância do princípio da necessidade.

35. Ao analisar o Regulamento (CE) n.o 1798/2003 do Conselho na sua globalidade e as alterações que são propostas, a AEPD observa que essa determinação adicional não é feita ou, na melhor das hipóteses, é feita apenas em parte. Este ponto será adiante desenvolvido pela AEPD. Será assim feita uma distinção entre as diferentes operações de tratamento que são realizadas: troca de informações mediante pedido, troca espontânea de informações, colocação das informações à disposição das autoridades competentes através da base de dados electrónica, informações disponíveis para outras pessoas registadas para efeitos de IVA (VIES) e tratamento de dados pelo Eurofisc.

Informações mediante pedido

36. No que diz respeito às informações mediante pedido, não existe qualquer determinação adicional quanto ao tipo de informações trocadas ou às finalidades da troca. O artigo 7.o remete para as «informações referidas no artigo 1.o» e especifica que tal inclui «as que respeitam a um ou mais casos específicos». Um pedido de informações pode conduzir à realização de um inquérito administrativo. No artigo 9.o é ainda feita referência à transmissão de «todas as informações pertinentes», sem que seja clarificado o tipo de informações que podem estar envolvidas. Não são especificadas as finalidades do tratamento de dados e não é mencionado o requisito da necessidade.

37. A AEPD insta o legislador a especificar o tipo de informações pessoais que podem ser trocadas, a circunscrever as finalidades da troca de dados pessoais e a avaliar a necessidade da transferência, ou pelo menos e garantir a observância do princípio da necessidade.

Troca espontânea de informações

38. Relativamente à troca espontânea de informações, são definidos os casos em que o Estado-Membro deve transmitir informações a outra autoridade competente. No que diz respeito ao tipo de informações a trocar, é novamente feita remissão para o artigo 1.o, n.o 1. O artigo 14.o, n.o 1, menciona os seguintes casos: 1. Quando a tributação deva ter lugar no Estado-Membro de destino e as informações fornecidas pelo Estado-Membro de origem são necessárias para a eficácia do sistema de controlo do Estado-Membro de destino. 2. Quando um Estado-Membro tenha motivos para acreditar que foi ou pode ter sido cometida no outro Estado-Membro uma infracção à legislação em matéria de IVA. 3. Quando exista um risco de fraude ou de evasão fiscal no outro Estado-Membro. Embora especialmente a segunda e terceira situações continuem a ter carácter genérico, estes três casos poderão em princípio ser considerados como especificações das finalidades da troca de dados. A primeira situação incorpora até o princípio da necessidade. Todavia, a troca espontânea de informações não se restringe a estas três situações. O artigo 15.o estabelece que as informações referidas no artigo 1.o de que as autoridades competentes venham a ter conhecimento e que «possam ser úteis» à autoridade competente de outro Estado-Membro são também comunicadas espontaneamente.

39. As alterações propostas alargam de facto o âmbito das disposições actualmente em vigor. O artigo 18.o do Regulamento (CE) n.o 1798/2003 estabelece que as categorias exactas de informações a intercambiar espontaneamente têm de ser definidas pelo procedimento de comitologia. A Comissão propõe agora a supressão desta disposição.

40. A AEPD insta uma vez mais o legislador a especificar o tipo de informações pessoais que podem ser trocadas, a circunscrever as finalidades da troca de dados pessoais e a avaliar a necessidade da transferência, ou pelo menos e garantir a observância do princípio da necessidade.

Disponibilização e dos dados através da base de dados electrónica

41. No que diz respeito à colocação das informações à disposição das autoridades competentes através da base de dados electrónica, a proposta é mais específica no tocante ao tipo de informações incluídas na base de dados. O artigo 18.o contém uma lista das informações que são armazenadas e tratadas na base de dados electrónica. Diz respeito a informações recolhidas ao abrigo da Directiva IVA (2006/112/CE), que são informações obtidas através dos mapas recapitulativos e informações recolhidas pelas autoridades nacionais para o registo dos sujeitos passivos não estabelecidos que prestam serviços electrónicos a outras pessoas que não são sujeitos passivos. Outras informações incluídas na base de dados são a identidade, a actividade ou a organização das pessoas a quem foi atribuído um número de identificação IVA e o historial das trocas de informações efectuadas mediante pedido ou espontaneamente relativamente a essas pessoas. A lista e os pormenores dos dados que não são recolhidos ao abrigo da Directiva IVA são adoptados pelo procedimento de comitologia.

42. A partir de 1 de Janeiro de 2015, também serão introduzidas na base de dados as informações sobre os prestadores de serviços, entre as quais figuram dados sobre o volume de negócios dessas pessoas e sobre o cumprimento das suas obrigações fiscais, designadamente a entrega tardia de declarações ou a existência de dívidas fiscais (cf. artigo 18.o, n.o 3).

43. O artigo 22.o obriga os Estados-Membros a facultarem às autoridades competentes de outros Estados-Membros um acesso automatizado às informações contidas na base de dados electrónica. Não são objecto de qualquer especificação adicional as finalidades para as quais as autoridades competentes poderão consultar a base de dados. Trata-se de uma alteração ao actual texto do regulamento em que se estabelece que as autoridades competentes podem ter acesso directo a uma parte limitada das informações e «unicamente com o objectivo de prevenir infracções à legislação do IVA» e «sempre que o considere[m] necessário para controlar as aquisições intracomunitárias de bens ou as prestações intracomunitárias de serviços» (cf. actual artigo 24.o).

44. Ao alargar a possibilidade de acesso à base de dados por parte das autoridades competentes, a proposta aumenta os riscos em matéria de protecção de dados. Todavia, se o número de domínios dos dados pessoais armazenados na base de dados electrónica for o mais limitado possível, tal não deverá pôr problema do ponto de vista da protecção de dados. A esse respeito, a AEPD congratula-se com a especificação dos dados incluídos nas bases de dados. Todavia, a proposta apenas indica as informações que os Estados-Membros devem obrigatoriamente armazenar na base de dados e é omissa quanto à questão de saber se podem ser introduzidas na base de dados outras informações, bem como à questão de saber se outras autoridades competentes podem também ter acesso a essas informações. A AEPD recomenda por conseguinte ao legislador que indique explicitamente que, em matéria de dados pessoais, não são introduzidos outros dados na base de dados, ou pelo menos que garanta que o acesso automatizado é limitado às categorias de dados mencionadas. A AEPD insta além disso o legislador a circunscrever as finalidades para o acesso directo às bases de dados e a garantir a observância do princípio da necessidade.

45. A parte relativa à troca de dados através de bases de dados electrónicas contém também regras que dizem respeito à qualidade dos dados. O artigo 20.o estabelece que os Estados-Membros devem assegurar que as bases de dados são mantidas actualizadas, completas e exactas. O artigo 23.o prevê que sejam regularmente verificadas as informações a fim de garantir a qualidade e a fiabilidade das informações contidas na base de dados. Estes requisitos estão em total sintonia com os requisitos em matéria de qualidade de dados do artigo 6.o, n.o 1, alínea d), da Directiva 95/46/CE e do artigo 4.o, n.o 1, alínea d), do Regulamento (CE) n.o 45/2001. O artigo 20.o refere além disso que, através do procedimento de comitologia, serão definidos critérios para determinar as alterações que não são pertinentes, essenciais ou úteis e que não necessitam, por isso, de ser introduzidas. A AEPD sublinha que esses critérios deverão ser consentâneos com os requisitos em matéria de protecção de dados (cf. igualmente pontos 57-59 infra).

46. O artigo 19.o estabelece que as informações constantes da base de dados electrónica serão armazenadas durante um período de, pelo menos, cinco anos a contar do final do ano civil durante o qual for necessário permitir o acesso a essas informações. Não é dada qualquer justificação para tal período de armazenamento. Se estiverem em causa dados pessoais, a previsão de um período mínimo sem qualquer referência ao princípio da necessidade é contrária ao requisito da legislação em matéria de protecção de dados segundo o qual os dados não devem ser armazenados mais tempo do que o necessário. A AEPD incentiva por conseguinte a que esta disposição seja reavaliada à luz da obrigação decorrente do artigo 6.o, n.o 1, alínea e), da Directiva 95/46/CE e do artigo 4.o, n.o 1, alínea e), do Regulamento (CE) n.o 45/2001 e a que seja determinado um período máximo de armazenamento se estiverem em causa dados pessoais, com eventuais derrogações em circunstâncias excepcionais.

Informações disponibilizadas através do VIES

47. O Capítulo IX da proposta trata da informação disponibilizada aos sujeitos passivos. Tal como explicado no ponto 13 supra, o VIES permite actualmente que os sujeitos passivos obtenham confirmação da validade do número de identificação IVA ao abrigo do qual uma pessoa efectuou ou recebeu uma entrega intracomunitária de bens ou uma prestação intracomunitária de serviços. A Comissão propõe o aditamento de uma frase estabelecendo que é visada a obtenção dessa confirmação para efeitos desse tipo de operações e também para fornecer ao requerente o nome e endereço correspondentes ao número de identificação IVA. A AEPD entende que estas regras são conformes com os requisitos em matéria de protecção de dados.

Eurofisc

48. A proposta da Comissão cria uma base jurídica para a instituição de uma estrutura operacional comum para a cooperação multilateral (Eurofisc). A ideia subjacente a essa estrutura é permitir uma troca rápida de informações específicas entre todos os Estados-Membros. A estrutura destina-se a permitir a realização de análises estratégicas e de risco a partir das quais é promovida a troca multilateral de informações. É referido no artigo 36.o, n.o 2, que as modalidades de intercâmbio de informação que são específicas à estrutura são determinadas em conformidade com o procedimento de comitologia. No capítulo relativo à instituição da estrutura não é feita qualquer referência a requisitos em matéria de protecção de dados. A AEPD gostaria de frisar que — para além da lei aplicável, tal como debatido na Parte III supra — haverá que especificar o tipo de informações pessoais utilizadas, circunscrever as finalidades da investigação e da troca de dados pessoais e garantir a observância do princípio da necessidade.

IV.2. Outros elementos relevantes em matéria de protecção de dados

Artigo 57.o: o princípio da limitação da finalidade

49. O Capítulo XV da proposta trata das condições que regem a troca de informações. Este capítulo contém disposições sobre os aspectos práticos da troca de informações Reveste-se de especial interesse do ponto de vista da protecção de dados o artigo 57.o, o qual estabelece que as pessoas que manuseiam as informações trocadas ao abrigo do regulamento estão sujeitas ao segredo profissional. Embora seja feita remissão no n.o 5 para a Directiva 95/46/CE (ver infra), a obrigação de sigilo não é perspectivada do ponto de vista das regras em matéria de protecção de dados. A AEPD recomenda ao legislador que adite também ao n.o 1 uma remissão para a legislação em matéria de protecção de dados.

50. O n.o 1 do artigo 57.o parece introduzir a utilização dos dados para fins alheios aos anteriormente referidos no regulamento. O n.o 3 autoriza expressamente a utilização dos dados para «outros fins» quando a legislação do Estado-Membro da autoridade requerida permitir a sua utilização para fins semelhantes. A este respeito, a AEPD chama a atenção para o princípio da limitação da finalidade consagrado no artigo 6.o, n.o 1, alínea b), da Directiva 95/46/CE e no artigo 4.o, n.o 1, alínea b), do Regulamento (CE) n.o 45/2001. A AEPD sublinha que, se estiverem em causa dados pessoais, esses dados não podem, em princípio, ser utilizados para fins alheios àquele para o qual foram recolhidos, a menos que sejam satisfeitas condições estritas ao abrigo do artigo 13.o, n.o 1, da directiva ou do artigo 20.o, n.o 1, do Regulamento (cf. também pontos 51-53 infra). A AEPD solicita por conseguinte ao legislador que reavalie esta disposição à luz do princípio da limitação da finalidade consagrado no artigo 6.o, n.o 1, alínea b), da Directiva 95/46/CE e no artigo 4.o, n.o 1, alínea b), do Regulamento (CE) n.o 45/2001.

Artigo 57.o, n.o 5: restrição de certos direitos e obrigações específicos em matéria de protecção de dados

51. O considerando 35 refere que, para efeitos do regulamento, convém prever limitações para certos direitos e obrigações previstos pela Directiva 95/46/CE. É feita remissão para o artigo 13.o, n.o 1, alínea e), da directiva, que autoriza tais limitações. É feito na proposta um aditamento a este considerando nos termos do qual esta limitação é necessária e proporcionada tendo em conta as potenciais perdas de receitas para os Estados-Membros e a importância crucial destas informações para a eficácia do combate à fraude.

52. Esse considerando é desenvolvido no artigo 57.o, n.o 5. Depois de referir que qualquer armazenagem ou troca de informações abrangida pelo presente regulamento está sujeita às disposições e aplicação da Directiva 95/46/CE (cf. ponto 23 supra) para efeitos da correcta aplicação do presente regulamento, prossegue referindo que «os Estados-Membros limitarão o âmbito das obrigações e dos direitos previstos no artigo 10.o, no n.o 1 do artigo 11.o e nos artigos 12.o e 21.o da Directiva 95/46/CE na medida em que tal seja necessário, a fim de salvaguardar os interesses a que se refere a alínea e) do artigo 13.o da referida directiva». Os artigos referidos contêm a obrigação de o responsável pelo tratamento informar a pessoa em causa (artigos 10.o e 11.o), o direito de acesso às suas próprias informações (artigo 12.o) e o dever de manutenção de um registo público das operações de tratamento por parte da autoridade nacional em matéria de protecção de dados (artigo 21.o).

53. A AEPD salienta que o artigo 13.o, alínea e), da Directiva 95/46/CE admite derrogações a determinadas disposições da directiva e deve ser interpretado em sentido estrito. A AEPD reconhece que, em determinadas circunstâncias, poderá ser considerado necessário, para efeitos da prevenção e detecção da fraude fiscal, suspender temporariamente o dever de informar antecipadamente a pessoa em causa e o direito de obter o acesso às informações. Todavia, o artigo 13.o da Directiva 95/46/CE exige, em primeiro lugar, que essa restrição seja consignada numa «medida legislativa» e, em segundo lugar, que essa restrição «constitua uma medida necessária à protecção» de um dos interesses enumerados. O texto do artigo 57.o, n.o 5, que é actualmente proposto não reflecte o primeiro requisito, visto não ser feita qualquer remissão para a base legislativa aplicável. A AEPD insta por conseguinte o legislador a incluir este requisito no artigo 57.o, n.o 5. O segundo requisito está patente nos termos «na medida em que tal seja necessário». Todavia, por uma questão de coerência, a AEPD recomenda a substituição destes termos por «se tal constituir uma medida necessária». A AEPD insta além disso o legislador a rejeitar o período adicional proposto no considerando 35, que refere que esta limitação é necessária e proporcionada, devido ao facto de o teor do mesmo ser demasiado genérico e não acrescentar qualquer valor jurídico.

Transparência

54. Os artigos 10.o e 11.o da Directiva 95/46/CE obrigam o responsável pelo tratamento a informar a pessoa em causa antes de serem recolhidos os dados ou, no caso de os dados não serem recolhidos junto da pessoa em causa, no momento em que os dados forem registados. Estas disposições podem ser consideradas como desenvolvimentos do princípio geral da transparência que é parte integrante da equidade do tratamento exigida no artigo 6.o, n.o 1, alínea a), da Directiva 95/46/CE. A AEPD observou que a proposta não continha outras disposições relativas ao princípio da transparência, por exemplo sobre a forma de comunicação do sistema ao público em geral ou sobre a forma de as pessoas em causa serem informadas do tratamento de dados. A AEPD insta por conseguinte o legislador a adoptar uma disposição relativa à transparência da cooperação e dos sistemas de apoio.

Artigo 52.o: troca de informações com países terceiros

55. O artigo 52.o prevê a possibilidade de troca de informações com países terceiros, referindo que «as informações obtidas ao abrigo do disposto no presente regulamento podem ser … comunicadas [a um país terceiro], com o acordo das autoridades competentes que as comunicam e no respeito pelas suas disposições internas aplicáveis à transferência de dados de carácter pessoal a países terceiros». Apraz à AEPD registar que o legislador não ignora as regras especiais aplicáveis à troca de dados pessoais com países fora da UE. Para maior clareza, poderia ser incluída no texto uma remissão explícita para a Directiva 95/46/CE, referindo que tal transferência estaria em conformidade com as regras internas de transposição do disposto no Capítulo IV da Directiva 95/46/CE relativo à transferência de dados para países terceiros.

56. A proposta remete apenas para as autoridades competentes dos Estados-Membros. Não é claro que esteja também prevista a nível europeu qualquer troca de informações (pessoais) com países terceiros. Esta questão está estreitamente relacionada com as suscitadas na Parte III supra sobre a legislação aplicável ao funcionamento do Eurofisc. Qualquer transferência de dados pessoais a um país terceiro pelas instituições ou órgãos comunitários tem de estar em conformidade com o artigo 9.o do Regulamento (CE) n.o 45/2001. A AEPD solicita ao legislador que clarifique este ponto.

Comitologia

57. Tal como resulta claramente da análise supra, existem diversas questões relevantes em matéria de protecção de dados que serão posteriormente desenvolvidas através de regulamentação adoptada pelo procedimento de comitologia estabelecido no artigo 60.o da proposta (ver pontos 41, 45 e 48 supra). Embora a AEPD entenda a necessidade prática do recurso a esse procedimento, gostaria de frisar que as principais remissões e garantias em matéria de protecção de dados deverão ser estabelecidas no acto de base.

58. A AEPD gostaria de frisar que, no caso de ser debatida outra regulamentação através da comitologia, tal deverá ser feito tendo em mente os requisitos decorrentes da Directiva 95/46/CE e do Regulamento (CE) n.o 45/2001. A AEPD insta além disso a Comissão a contar com a participação da AEPD e a solicitar o parecer desta Autoridade se vier efectivamente a ser debatida outra regulamentação relevante em matéria de protecção de dados. Seria por exemplo o caso da instituição do Eurofisc (cf. ponto 48 supra).

59. A fim de garantir a participação da AEPD no momento da adopção de outra regulamentação relevante em matéria de protecção de dados com base no procedimento de comitologia, a AEPD recomenda ao legislador que inclua no artigo 60.o um n.o 3 com a seguinte redacção: «quando as medidas de execução se reportarem ao tratamento de dados pessoais, é consultada a Autoridade Europeia para a Protecção de Dados».

V. CONCLUSÕES E RECOMENDAÇÕES

60. A AEPD está ciente da importância de ver reforçada a eficácia das medidas de combate à fraude transfronteiras e melhorada a cobrança do IVA em situações transfronteiras. A AEPD reconhece além disso que para alcançar aqueles objectivos é inevitável que se proceda ao tratamento de dados pessoais. A AEPD sublinha porém que o tratamento desses dados deve ser consentâneo com as normas comunitárias em matéria de protecção de dados.

61. Depois de analisar o quadro jurídico decorrente do Regulamento (CE) n.o 1798/2003 e os ajustamentos actualmente propostos, a AEPD concluiu que, muito embora possam verificar-se vários elementos positivos, não se encontram satisfeitos todos os requisitos decorrentes das normas comunitárias em matéria de protecção de dados.

62. No presente parecer, a AEPD aconselhou o seguinte ao legislador: — Quanto à questão da legislação comunitária aplicável em matéria de protecção de dados, clarificar as responsabilidades que cabem aos Estados-Membros, à Comissão e ao Eurofisc para o cumprimento dessas regras, — Quanto à troca de dados efectuadas mediante pedido ou espontaneamente entre as autoridades competentes, especificar o tipo de informações pessoais que podem ser trocadas, circunscrever as finalidades da troca de dados pessoais e avaliar a necessidade da transferência, ou pelo menos garantir a observância do princípio da necessidade, — Quanto à troca de dados efectuada através de acesso directo às bases de dados electrónicas, indicar explicitamente que, em matéria de dados pessoais, não são introduzidos na base de dados outros dados além dos já definidos, ou pelo menos garantir que o acesso automatizado é limitado às categorias de dados mencionadas. E ainda circunscrever as finalidades para o acesso directo às bases de dados, garantir a observância do princípio da necessidade e determinar um período máximo de armazenamento para a conservação de dados pessoais na base de dados, com eventuais derrogações em circunstâncias excepcionais, — No que diz respeito ao artigo 57.o (e ao considerando 35), — aditar uma remissão no n.o 1 para a legislação comunitária em matéria de protecção de dados, — reavaliar os n.os 1 e 3 à luz do princípio da limitação da finalidade consagrado no artigo 6.o, n.o 1, alínea b), da Directiva 95/46/CE e no artigo 4.o, n.o 1, alínea b), do Regulamento (CE) n.o 45/2001, — incluir no n.o 5 o requisito constante do artigo 13.o da Directiva 95/46/CE segundo o qual qualquer restrição dos direitos e obrigações mencionados deverá ser consignada numa medida legislativa, — substituir no n.o 5 os termos «na medida em que tal seja necessário» por «se tal constituir uma medida necessária», — rejeitar a proposta de aditamento do novo período ao considerando 35, — No que diz respeito ao princípio da transparência, adoptar uma disposição relativa à transparência da cooperação e dos sistemas de apoio, — No que diz respeito à troca de dados com países terceiros, incluir uma remissão explícita para o Capítulo IV da Directiva 95/46/CE no artigo 52.o e clarificar a questão de saber se está prevista pela Comissão e ou pelo Eurofisc qualquer troca de informações pessoais com países terceiros, — No que diz respeito às regras adoptadas com base na comitologia, aditar um n.o 3 ao artigo 60.o nos seguintes termos: «Quando as medidas de execução se reportarem ao tratamento de dados pessoais, é consultada a Autoridade Europeia para a Protecção de Dados».

Feito em Bruxelas, em 30 de Outubro de 2009. Peter HUSTINX Autoridade Europeia para a Protecção de Dados

(1) JO L 281 de 23.11.1995, p. 31.

(2) JO L 8 de 12.1.2001, p. 1.

(3) COM (2009) 427 final de 18 de Agosto de 2009.

(4) JO L 264 de 15.10.2003, p. 1.

(5) Ver o Acordo interinstitucional de 28 Novembro de 2001 para um recurso mais estruturado à técnica de reformulação dos actos jurídicos (JO C 77 de 28.3.2002, p. 1).

(6) Comunicação COM(2006) 254 de 31 de Maio de 2006 sobre a necessidade de desenvolver uma estratégia coordenada para melhorar a luta contra a fraude fiscal.

(7) Ver Conclusões do Conselho de 4 de Dezembro de 2007 e de 7 de Outubro de 2008, e bem assim a Resolução do Parlamento Europeu de 2 de Setembro de 2008 [2008/2033(INI)]. Ver Comunicação COM(2008) 807 de 1 de Dezembro de 2008.

(8) JO L 347 de 11.12.2006, p. 1.

(9) Relatório COM(2009) 428 de 18 de Agosto de 2009 sobre a aplicação do Regulamento (CE) n.o 1798/2003 do Conselho.

(10) A proposta incorpora as alterações ao Regulamento (CE) n.o 1798/2003 do Conselho previstas no Regulamento (CE) n.o 143/2008 e aplicáveis a partir de 1 de Janeiro de 2015 (JO L 44 de 20.2.2008, p. 1.). Estas alterações introduzem regras relativas ao lugar das prestações de serviços, aos regimes especiais e ao procedimento de reembolso do IVA.

(11) Ver exposição de motivos da proposta, p. 4.

(12) Cf. artigo 2.o, alínea a), da Directiva 95/46/CE e artigo 2.o, alínea a), do Regulamento (CE) n.o 45/2001. Cf. Parecer 4/2007 de 20 de Junho de 2007 do Comité do artigo 29.o para a explicação do conceito de «dados pessoais» (disponível em http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2007/wp136_en.pdf).

(13) Cf. também ponto 28 e seguintes. Ao longo do presente parecer, todas as remissões para os considerandos e artigos são feitas para a proposta, salvo indicação em contrário.

(14) Cf. também, para as observações relevantes, o Parecer da AEPD de 16 de Setembro de 2008 sobre a proposta de decisão do Conselho relativa à criação do sistema europeu de informação sobre os registos criminais (ECRIS) (JO C 42 de 20.2.2009, p. 1.), ponto 23 e seguintes.

(15) Cf. artigo 2.o, alínea d), da Directiva 95/46/CE e artigo 2.o, alínea d), do Regulamento (CE) n.o 45/2001. Ambas as disposições prevêem a possibilidade de um controlo individual e conjunto «… individualmente ou em conjunto com outrem …»).

(16) Cf. artigo 8.o, n.o 5, da Directiva 95/46/CE e artigo 10.o, n.o 5, do Regulamento (CE) n.o 45/2001.

(17) Cf. artigo 6.o, n.o 1, alínea b), da Directiva 95/46/CE e artigo 4.o, n.o 1, alínea b), do Regulamento (CE) n.o 45/2001.

(18) Cf. artigo 7.o da Directiva 95/46/CE e artigo 5.o do Regulamento (CE) n.o 45/2001.