Síntese do Parecer da Autoridade Europeia para a Proteção de Dados sobre a Proposta de Regulamento relativo ao mercado de criptoativos e que altera a Diretiva (UE) 2019/1937

(O texto integral do presente parecer encontra-se disponível em inglês, francês e alemão no sítio Web da AEPD em www.edps.europa.eu)

(2021/C 337/03)

A Comissão Europeia adotou, em 24 de setembro de 2020, uma Proposta de Regulamento relativo aos mercados de criptoativos e que altera a Diretiva 2019/1937/UE (a «Proposta»). A Proposta estabelece requisitos de transparência e divulgação para a emissão e admissão à negociação de criptoativos; regras relativas à autorização e supervisão de prestadores de serviços de criptoativos, emitentes de criptofichas referenciadas a ativos e emitentes de criptofichas de moeda eletrónica; regula a operação, organização e governação dos emitentes de criptofichas referenciadas a ativos, emitentes de criptofichas de moeda eletrónica e prestadores de serviços de criptoativos; e prevê regras de proteção do consumidor no que respeita à emissão, negociação, troca e custódia de criptoativos, bem como medidas de prevenção de abusos de mercado destinadas a assegurar a integridade dos mercados de criptoativos.

A AEPD recorda a necessidade de uma reflexão mais ampla sobre a melhor forma de garantir que a tecnologia subjacente aos criptoativos, nomeadamente as cadeias de blocos e os registos distribuídos respeitem as regras e os princípios em matéria de proteção de dados, e remete, a este respeito, para as observações gerais formuladas no seu parecer sobre a Proposta relativa a um regime-piloto de infraestruturas de mercado para a tecnologia de regime distribuído (DLT) e reitera a necessidade de que tal debate se realize antes da entrada em vigor da(s) proposta(s) pertinente(s).

Ao mesmo tempo, a AEPD salienta a responsabilidade do legislador da UE no sentido de garantir que o tratamento implícito na Proposta possa ser aplicado de forma compatível com a proteção de dados, bem como a responsabilidade dos responsáveis pelo tratamento de dados de garantir o cumprimento de acordo com o princípio da responsabilidade.

A AEPD considera que os emitentes de criptoativos seriam tipicamente responsáveis pelo tratamento de dados no âmbito do RGPD, tendo em conta o projeto dos emitentes, e na medida em que este último envolve o tratamento de dados pessoais. A fim de aumentar a segurança jurídica, a AEPD convida o legislador a designar explicitamente os emitentes como responsáveis pelo tratamento de dados na Proposta. Além disso, o tratamento de dados pessoais pode satisfazer dois ou mais dos critérios que indicam que o tratamento provavelmente resultará num risco elevado, na aceção da legislação relativa à proteção de dados. Por conseguinte, o emitente de criptoativos pode ser abrangido pela obrigação, nos termos do artigo 35.o do RGPD, de realizar uma avaliação de impacto sobre a proteção de dados (AIPD), antes do tratamento previsto dos dados pessoais.

A AEPD congratula-se com o objetivo da Proposta de reforçar a proteção dos consumidores enquanto compradores de criptoativos (investidores). Ao mesmo tempo, a AEPD considera que a Proposta deve incluir também a obrigação de os emitentes darem particular destaque a certas garantias em relação à proteção de dados, a fim de melhor proteger as pessoas em causa. A AEPD recomenda que se inclua na Proposta, como parte da informação a fornecer como conteúdo do livro branco sobre criptoativos, a informação relativa às operações de tratamento previstas que envolvam dados pessoais, bem como os principais riscos previstos e as estratégias de atenuação no que diz respeito à proteção de dados.

No que se refere à publicação das sanções administrativas, a AEPD recomenda que se incluam, entre os critérios de apreciação da autoridade competente, o impacto na proteção dos dados pessoais das pessoas. Além disso, a AEPD recorda que o princípio da limitação da conservação exige que os dados pessoais sejam conservados por um período que não exceda o necessário para as finalidades para as quais são tratados, e recomenda que se estabeleça um período máximo, em vez de um período mínimo, de conservação dos dados, nos termos do artigo 95.o, n.o 4, da Proposta.

1. Contexto

1. A Comissão Europeia adotou, em 24 de setembro de 2020, uma Proposta de Regulamento relativo aos mercados de criptoativos e que altera a Diretiva 2019/1937/UE (a «Proposta») ( 1 ) . A Proposta é um quadro regulamentar desenvolvido para regular criptoativos atualmente fora do âmbito e os seus prestadores de serviços na UE e proporcionar um regime de licenciamento único em todos os Estados-Membros até 2024. A Proposta visa harmonizar o quadro europeu para a emissão e negociação de vários tipos de fichas criptográficas no âmbito da Estratégia em matéria de Financiamento Digital da Europa.

2. A Proposta é parte integrante do pacote «Financiamento Digital», um pacote de medidas destinadas a permitir e apoiar o potencial do financiamento digital em termos de inovação e concorrência, atenuando simultaneamente os riscos. O pacote de financiamento digital inclui uma nova Estratégia em matéria de financiamento digital para o setor financeiro da UE ( 2 ) com o objetivo de garantir que a UE disponibilize os benefícios do financiamento digital aos consumidores e empresas europeus. Para além desta Proposta, o pacote inclui também uma Proposta relativa a um regime-piloto de infraestruturas de mercado para a tecnologia de regime distribuído (DLT) (a «Proposta relativa a um regime-piloto») ( 3 ) , uma Proposta relativa à resiliência operacional digital («DORA») ( 4 ) , e uma Proposta para esclarecer ou alterar determinadas regras conexas no que se refere aos serviços financeiros a nível da UE ( 5 )

3. A AEPD foi consultada sobre a Proposta relativa ao regime-piloto e emitiu o seu parecer em 23 de abril de 2021 ( 6 ) . Foi igualmente consultada sobre a Proposta relativa à resiliência operacional digital em 29 de abril de 2021 e emitiu o seu parecer em 10 de maio de 2021 ( 7 )

4. Em 29 de abril de 2021, a Comissão Europeia solicitou à AEPD que emitisse um parecer sobre a Proposta, em conformidade com o artigo 42. o , n. o 1, do Regulamento (UE) 2018/1725. As presentes observações respeitam exclusivamente às disposições da Proposta que são pertinentes do ponto de vista da proteção de dados.

4. Conclusões

Tendo em conta o supramencionado, a AEPD:

— recorda a necessidade de uma reflexão e discussão mais amplas, não só no que se refere aos criptoativos, sobre a forma de garantir que a tecnologia subjacente aos criptoativos, nomeadamente as cadeias de blocos e os registos distribuídos, respeitem da forma mais eficaz as regras e os princípios em matéria de proteção de dados e reitera a necessidade de que tal debate se realize antes da entrada em vigor da(s) proposta(s) pertinente(s);

— recomenda designar explicitamente os emitentes como responsáveis pelo tratamento de dados, a fim de evitar qualquer problema de interpretação na avaliação do papel, em particular tendo em conta a complexidade do objeto da Proposta e as relações entre os intervenientes relevantes;

— recomenda que se inclua nos termos dos artigos 5.o, 17.o e 46.o da Proposta, como parte da informação a fornecer como conteúdo do livro branco sobre criptoativos, os seguintes elementos: «se for caso disso, a lista das operações de tratamento previstas que envolvam dados pessoais, bem como os principais riscos previstos e as estratégias de atenuação no que diz respeito à proteção de dados»;

— no que se refere à publicação das sanções administrativas, a AEPD recomenda que se incluam, entre os critérios de apreciação da autoridade competente, os riscos para a proteção dos dados pessoais das pessoas, e que se substitua o período mínimo de conservação dos dados nos termos do artigo 95.o, n.o 4, «pelo menos cinco anos» por um período de conservação dos dados máximo especificado;

— no que se refere à cooperação administrativa entre as autoridades competentes, a EBA e a ESMA, bem como à cooperação com as autoridades de supervisão de países terceiros, a AEPD recomenda que se considere a supressão da referência ao RPDUE nos termos do artigo 108.o, n.o 3, dada a referência «horizontal» à aplicabilidade do RPDUE feita nos termos do artigo 88.o, n.o 2, da Proposta.

Bruxelas, 24 de junho de 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Proposta de Regulamento do Parlamento Europeu e do Conselho relativo aos mercados de criptoativos e que altera a Diretiva (UE) 2019/1937, 24 de setembro de 2020, 2020/0265 (COD).

(2) Comunicação da Comissão ao Parlamento Europeu, ao Conselho Europeu, ao Conselho, ao Banco Central Europeu, ao Comité Económico e Social Europeu e ao Comité das Regiões sobre uma Estratégia em matéria de Financiamento Digital para a UE, 24 de setembro de 2020, COM(2020)591.

(3) Proposta de Regulamento do Parlamento Europeu e do Conselho relativo a um regime-piloto para as infraestruturas de mercado baseadas na tecnologia de registo distribuído - COM(2020)594.

(4) Proposta de Regulamento do Parlamento Europeu e do Conselho relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014 e (UE) n.o 909/2014 - COM(2020)595.

(5) Proposta de diretiva do Parlamento Europeu e do Conselho que altera as Diretivas 2006/43/CE, 2009/65/CE, 2009/138/UE, 2011/61/UE, UE/2013/36, 2014/65/UE, (UE) 2015/2366 e UE/2016/2341 - COM(2020)596.

(6) Parecer 6/2021 sobre a Proposta de um regime-piloto para as infraestruturas de mercado baseadas na tecnologia de registo distribuído, disponível em https://edps.europa.eu/system/files/2021-06/2021-0219_d0912_opinion_on_pilot_regime_for_market_infrastructures_en.pdf.

(7) Parecer 7/2021 sobre a Proposta de Regulamento relativo à resiliência operacional digital do setor financeiro e que altera os regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014 e (UE) n.o 909/2014, disponível em https://edps.europa.eu/system/files/2021-05/2021-0203_d0943_opinion_digital_operational_resilience_for_the_financial_sector_en.pdf