CORRIGENDUM This document corrects the COM (2018) 638 final of 12.9.2018 Concerns the PT language version Correction on the cover page The text should read as follows:

Orientações da Comissão sobre a aplicação do direito da União em matéria de proteção de dados no contexto eleitoral

A comunicação com o eleitorado constitui a base do processo democrático. É uma prática corrente os partidos políticos adaptarem a comunicação eleitoral às audiências, tendo em consideração os seus interesses específicos. É, pois, natural que os intervenientes nas eleições explorem as possibilidades de utilização de dados para ganhar votos. O advento das ferramentas digitais e das plataformas em linha gerou muitas novas oportunidades de interação com os cidadãos no debate político.

No entanto, o desenvolvimento do micro-direcionamento da publicidade junto dos eleitores com base no tratamento ilícito de dados pessoais, como se verificou no caso das revelações da Cambridge Analytica, é de natureza diferente. Ilustra os desafios colocados pelas tecnologias modernas, mas também demonstra a especial importância da proteção de dados no contexto eleitoral. Tornou-se uma questão fundamental não só para as pessoas, como também para o funcionamento das nossas democracias, uma vez que constitui uma grave ameaça a um processo eleitoral democrático e justo e é suscetível de minar um debate aberto, a equidade e a transparência, que são elementos essenciais numa democracia. A Comissão considera que é da máxima importância tratar este problema a fim de restabelecer a confiança do público na equidade do processo eleitoral.

Os primeiros relatórios da autoridade de proteção dos dados do Reino Unido (Information Commissioner’s Office — ICO) sobre a utilização da analítica de dados em campanhas políticas e o parecer da Autoridade Europeia para a Proteção de Dados sobre a manipulação em linha e os dados pessoais confirmaram o crescente impacto do micro-direcionamento, inicialmente desenvolvido para fins comerciais, no contexto eleitoral.

De modo mais geral, várias autoridades de proteção de dados têm-se debruçado sobre a questão da proteção de dados no contexto eleitoral.

O Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (Regulamento Geral sobre a Proteção de Dados), que passou a ser diretamente aplicável em toda a União em 25 de maio de 2018, dota a União dos instrumentos necessários para lidar com casos de utilização ilícita de dados pessoais no contexto eleitoral. No entanto, só uma aplicação firme e coerente das regras contribuirá para proteger a integridade de uma política democrática. Dado que é a primeira vez que estas regras serão aplicadas no contexto eleitoral europeu por ocasião das próximas eleições para o Parlamento Europeu, é importante proporcionar clareza aos intervenientes nos processos eleitorais — como autoridades eleitorais nacionais, partidos políticos, corretores e analistas de dados, plataformas de comunicação social e redes de publicidade em linha. Por conseguinte, o objetivo das presentes orientações é salientar as obrigações em matéria de proteção de dados relevantes para as eleições. As autoridades nacionais de proteção de dados, na sua qualidade de entidades responsáveis pela aplicação do Regulamento Geral sobre a Proteção de Dados, devem utilizar plenamente os seus poderes reforçados no tratamento de possíveis infrações, nomeadamente as ligadas ao micro-direcionamento da publicidade junto dos eleitores.

1.Quadro da União em matéria de proteção de dados

A proteção dos dados pessoais é um direito fundamental consagrado na Carta dos Direitos Fundamentais da União Europeia (artigo 8.º) e nos Tratados (artigo 16.º do TFUE). O Regulamento Geral sobre a Proteção de Dados reforça o quadro em matéria de proteção de dados, dotando a União de melhores meios para lidar com futuros casos de abuso de dados pessoais e responsabilizando mais fortemente todos os intervenientes quanto à forma como tratam os dados pessoais.

Confere às pessoas na União direitos adicionais e reforçados que são particularmente relevantes no contexto eleitoral. Um dos problemas do regime de proteção de dados em vigor na União nos últimos 20 anos tem sido, em especial, a aplicação fragmentada das regras entre os Estados-Membros, a ausência de quaisquer mecanismos formalizados de cooperação entre autoridades nacionais de proteção de dados e os poderes de execução limitados dessas autoridades. O Regulamento Geral sobre a Proteção de Dados aborda estas insuficiências: com base nos princípios comprovados de proteção de dados, harmoniza noções essenciais como o consentimento, reforça os direitos das pessoas a receberem informações sobre o tratamento dos seus dados, clarifica as condições em que os dados pessoais podem ser partilhados ulteriormente, introduz regras sobre violações de dados pessoais, estabelece um mecanismo de cooperação entre as autoridades de proteção de dados em casos transfronteiras e reforça os seus poderes de execução. Em caso de violação das regras da UE em matéria de proteção de dados, as autoridades de proteção de dados têm poderes para investigar (por exemplo, ordenando o fornecimento de informações, realizando inspeções nas instalações dos responsáveis pelo tratamento e subcontratantes) e corrigir comportamentos (por exemplo, emitindo avisos e reprimendas ou impondo uma suspensão temporária ou definitiva do tratamento de dados). Estão também habilitados a aplicar coimas até 20 milhões de EUR ou, no caso de uma empresa, até 4 % do seu volume de negócios a nível mundial. Ao decidir sobre a aplicação de coimas e respetivo nível, as autoridades de proteção de dados terão em conta as circunstâncias do caso concreto e fatores como a natureza, o âmbito ou o objetivo do tratamento de dados, o número de pessoas afetadas e o nível de danos por estas sofridos. No contexto eleitoral, é provável que a gravidade da infração e o número de pessoas afetadas seja elevado. Tal poderá levar à imposição de coimas elevadas, nomeadamente tendo em conta a importância da questão da confiança dos cidadãos no processo democrático.

O recém-criado Comité Europeu para a Proteção de Dados, que reúne as autoridades nacionais de proteção de dados bem como a Autoridade Europeia para a Proteção de Dados, desempenha um papel fundamental na aplicação do Regulamento Geral sobre a Proteção de Dados mediante a formulação de orientações, recomendações e melhores práticas. Enquanto garantes da execução do Regulamento Geral sobre a Proteção de Dados e de contactos diretos junto das partes interessadas, as autoridades nacionais de proteção de dados são as entidades mais bem colocadas para proporcionar segurança jurídica adicional no que diz respeito à interpretação do regulamento. A Comissão apoia ativamente esse trabalho.

A Diretiva Privacidade e Comunicações Eletrónicas (Diretiva 2002/58/CE do Parlamento Europeu e do Conselho) completa o quadro da União em matéria de proteção de dados e é relevante no contexto eleitoral, dado que abrange regras sobre o envio eletrónico de comunicações não solicitadas, inclusivamente para fins de comercialização direta. A Diretiva Privacidade Eletrónica estabelece também regras sobre o armazenamento de informações e o acesso às informações já armazenadas, tais como testemunhos de conexão («cookies»), que podem ser utilizados para seguir o comportamento em linha de um utilizador, em equipamento terminal como um telefone inteligente ou um computador. A proposta da Comissão de um regulamento relativo à privacidade e às comunicações eletrónicas, («Regulamento Privacidade e Comunicações Eletrónicas»), atualmente em negociação, baseia-se nos mesmos princípios que a Diretiva Privacidade e Comunicações Eletrónicas. O novo regulamento não será apenas aplicável aos operadores de telecomunicações tradicionais, sendo o seu âmbito alargado a serviços de comunicações eletrónicas baseadas na Internet.

2.Principais obrigações dos vários intervenientes

O Regulamento Geral sobre a Proteção de Dados é aplicável a todos os que participam ativamente no contexto eleitoral, tais como partidos políticos europeus e nacionais (seguidamente designados: «partidos políticos») e fundações políticas nacionais (a seguir designadas: «fundações»), plataformas, empresas de analítica de dados e autoridades públicas responsáveis pelo processo eleitoral. Estes devem proceder ao tratamento de dados pessoais (por exemplo, nomes e endereços) de uma forma lícita, leal e transparente, apenas para os fins especificados. Não podem utilizá-los posteriormente de uma forma incompatível com as finalidades para as quais os dados foram inicialmente recolhidos. O tratamento para fins jornalísticos também está abrangido pelo Regulamento Geral sobre a Proteção de Dados, em princípio, mas pode beneficiar de isenções e derrogações conforme previsto na legislação nacional, tendo em conta a importância do direito à liberdade de expressão e informação numa sociedade democrática.

A noção de dados pessoais é vasta. Entende-se por «dados pessoais» a informação relativa a uma pessoa singular identificada ou identificável. Os dados tratados no contexto eleitoral incluirão frequentemente categorias especiais de dados pessoais («dados sensíveis») como, por exemplo, opiniões políticas, filiação sindical, origem étnica, vida sexual, etc., que beneficiam de um regime mais protetor. Além disso, a analítica de dados pode inferir «dados sensíveis» (tais como opiniões políticas, mas também crenças religiosas ou orientação sexual) a partir de séries de dados não sensíveis. O tratamento desses dados inferidos também está abrangido pelo Regulamento Geral sobre a Proteção de Dados e deve, por conseguinte, respeitar todas as normas em matéria de proteção de dados.

Em conclusão, praticamente todas as operações de tratamento de dados no contexto eleitoral estão abrangidas pelo Regulamento Geral sobre a Proteção de Dados.

Tendo em conta a necessidade de proporcionar maior clareza a todos os intervenientes implicados no processo eleitoral e as primeiras conclusões no caso da Cambridge Analytica, as secções que se seguem salientam as obrigações em matéria de proteção de dados que se afiguram de particular relevância no contexto eleitoral. No anexo é apresentada uma síntese dessas obrigações.

2.1Responsáveis pelo tratamento de dados e subcontratantes

A noção de obrigação de prestação de contas a que estão sujeitos os responsáveis pelo tratamento de dados e os responsáveis conjuntos pelo tratamento de dados constitui um elemento essencial do Regulamento Geral sobre a Proteção de Dados. O responsável pelo tratamento de dados é a organização que decide, por si mesma ou em colaboração com outras, a razão e o modo como os dados pessoais são tratados; o subcontratante de dados procede ao tratamento dos pessoais exclusivamente em nome, e sob as instruções, do responsável pelo tratamento de dados (sendo a sua relação determinada num contrato ou noutro ato jurídico vinculativo). Os responsáveis pelo tratamento de dados devem estabelecer medidas adequadas aos riscos, implementar a proteção de dados desde a conceção e estar em condições de demonstrar a conformidade do tratamento com o Regulamento Geral sobre a Proteção de Dados (princípio da responsabilidade).