PT Jornal Oficial da União Europeia C 279/20

Parecer da Autoridade Europeia para a Protecção de Dados sobre a proposta de regulamento do Parlamento Europeu e do Conselho relativo à integridade e à transparência nos mercados da energia

2011/C 279/03

A AUTORIDADE EUROPEIA PARA A PROTECÇÃO DE DADOS,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia e, nomeadamente, o artigo 16.o,

Tendo em conta a Carta dos Direitos Fundamentais da União Europeia e, nomeadamente, os artigos 7.o e 8.o,

Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1),

Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (2) e, nomeadamente, o artigo 41.o,

ADOPTOU O PRESENTE PARECER:

I. INTRODUÇÃO

1. Em 8 de Dezembro de 2010, a Comissão Europeia adoptou uma proposta de regulamento do Parlamento Europeu e do Conselho relativa à integridade e à transparência nos mercados da energia (3) («Proposta»).

2. A Comissão não consultou a AEPD, embora o artigo 28.o, n.o 2, do Regulamento (CE) n.o 45/2001 o exigisse. Por iniciativa própria, a AEPD adopta o presente parecer com base no artigo 41.o, n.o 2, desse regulamento. A AEPD está ciente de que as presentes recomendações surgem numa fase tardia do processo legislativo. No entanto, considera adequado e útil emitir o presente parecer tendo em conta o eventual impacto significativo da Proposta no direito à vida privada e à protecção dos dados pessoais. O preâmbulo da Proposta deverá fazer referência ao presente parecer.

3. O principal objectivo da Proposta é impedir a manipulação de mercado e o abuso de informação privilegiada nos mercados grossistas de energia (gás e electricidade). A integridade e a transparência nos mercados grossistas de energia, em que o gás e a electricidade são negociados entre empresas produtoras de energia e comerciantes, são essenciais para os preços que os consumidores acabam por pagar.

4. Com este fim em vista, a Proposta visa estabelecer regras exaustivas a nível da UE para impedir que os comerciantes utilizem informação privilegiada em seu benefício e manipulem o mercado, causando uma subida artificial dos preços que não encontra justificação na disponibilidade, custo de produção, capacidade de armazenamento ou capacidade de transporte de energia. As regras propostas proíbem, especificamente, as seguintes actividades: — Utilização de informação privilegiada na compra ou venda de energia nos mercados grossistas; informações exclusivas e com impacto na formação de preços devem ser divulgadas antes de a negociação se poder realizar; — Transacções que originem indicações falsas ou enganosas no que respeita à oferta, à procura ou ao preço dos produtos energéticos grossistas; e — Divulgação de notícias falsas ou rumores que originem indicações enganosas sobre estes produtos.

5. A responsabilidade pela monitorização do mercado a nível europeu para detectar eventuais infracções caberá à Agência de Cooperação dos Reguladores da Energia («ACER») (4).

6. Nos termos da Proposta, a ACER terá acesso em tempo útil a informação sobre as transacções que se realizam nos mercados grossistas de energia, nomeadamente informação sobre preços, quantidades vendidas e as partes envolvidas. Estes dados em massa serão também partilhados com os reguladores nacionais, que serão responsáveis pela investigação das suspeitas de abuso. Nos casos com impacto transfronteiras, a ACER terá poderes de coordenação das investigações. As entidades reguladoras nacionais nos Estados-Membros aplicam as sanções.

7. A Proposta surge na sequência de uma série de outras propostas legislativas recentes com vista a reforçar os regimes de supervisão financeira existentes e a reforçar a coordenação e a cooperação a nível da UE, nomeadamente a Directiva 2003/6/CE do Parlamento Europeu e do Conselho, de 28 de Janeiro de 2003, relativa ao abuso de informação privilegiada e à manipulação de mercado («MAD») (5), e a Directiva 2004/39/CE do Parlamento Europeu e do Conselho, de 21 de Abril de 2004, relativa aos mercados de instrumentos financeiros («MiFID») (6). A AEPD emitiu recentemente um parecer sobre outra destas propostas recentes (7).

II. OBSERVAÇÕES E RECOMENDAÇÕES DA AEPD

8. A Proposta contém várias disposições pertinentes para a protecção dos dados pessoais: — Artigos 6.o a 8.o relativos à monitorização do mercado e comunicação de dados; — Artigo 9.o relativo à «protecção dos dados e fiabilidade operacional»; — Artigos 10.o e 11.o relativos à investigação e aplicação da lei; e — Artigo 14.o relativo às «relações com países terceiros».

II.1. Monitorização do mercado e comunicação de dados (artigos 6.o a 8.o)

Disposições pertinentes

9. A Proposta parte do princípio de que, para detectar os abusos de mercado: i) é necessário um sistema de monitorização dos mercados que funcione eficazmente e possa aceder em tempo útil a dados completos sobre as transacções, e ii) que contemple o controlo dos mercados a nível da UE. Por conseguinte, a proposta de regulamento estabelece que a ACER recolhe, analisa e partilha (com as autoridades pertinentes a nível nacional e da UE) uma grande quantidade de dados em massa relativos aos mercados grossistas de energia.

10. Em particular, a proposta de regulamento exige que os participantes no mercado forneçam à ACER «registos das suas transacções» de produtos energéticos grossistas. Além dos registos das transacções, os participantes no mercado devem ainda facultar à ACER informação relativa à «capacidade das instalações de produção, armazenamento, consumo ou transporte de electricidade ou de gás natural».

11. A forma e o conteúdo dessa informação, bem como os prazos para o seu fornecimento, serão estabelecidos em actos delegados da Comissão.

Observações e recomendações da AEPD

12. Considerando que a Proposta remete integralmente para os actos delegados a definição do conteúdo da informação a recolher no quadro deste exercício de monitorização e comunicação, não se pode excluir que sejam abrangidos dados pessoais — ou seja, qualquer informação relativa a uma pessoa singular identificada ou identificável (8). Nos termos do direito da UE em vigor, a recolha destes dados só é permitida se for necessária e proporcional para a finalidade específica a que se destina (9). A proposta de regulamento deve, portanto, especificar claramente se os registos das transacções e as informações sobre as capacidades a recolher para fins de monitorização incluirão dados pessoais e o âmbito desses dados (10).

13. Se estiver previsto o tratamento de dados pessoais, poderão ser necessárias salvaguardas específicas, como disposições relativas à limitação da finalidade, período de conservação e eventuais destinatários da informação. Tendo em conta a sua natureza essencial, estas salvaguardas relativas à protecção de dados devem ser estabelecidas directamente no texto da proposta de regulamento e não em actos delegados.

14. Se, pelo contrário, não estiver previsto o tratamento de dados pessoais (ou esse tratamento assumir um carácter excepcional e estiver limitado a casos pontuais, em que um negociante de produtos energéticos grossistas possa ser uma pessoa singular e não uma entidade jurídica), esse facto deve estar explícito na Proposta, no mínimo, num considerando.

II.2. Protecção dos dados e fiabilidade operacional (artigo 9.o)

Disposições pertinentes

15. O artigo 9.o, n.o 1, estabelece que a ACER «assegura a confidencialidade, a integridade e a protecção» das informações recebidas ao abrigo do artigo 7.o (ou seja, os registos das transacções e as informações sobre as capacidades que forem recolhidos no quadro do exercício de monitorização do mercado). O artigo 9.o estipula ainda que, «se for caso disso», a ACER «dará cumprimento» ao Regulamento (CE) n.o 45/2001 no tratamento de dados pessoais ao abrigo do artigo 7.o

16. Além disso, o artigo 9, n.o 1, também estabelece que a ACER «identifica as fontes de risco operacional e limita esse risco através do desenvolvimento de sistemas, controlos e procedimentos adequados».

17. Por último, o artigo 9.o, n.o 2, permite que a ACER divulgue publicamente partes das informações que detém, «sob condição de não serem divulgadas informações comercialmente sensíveis sobre participantes no mercado ou transacções em concreto».

Observações e recomendações da AEPD

18. A AEPD congratula-se com o facto de o artigo 9.o ser dedicado, em parte, à protecção de dados e também por a proposta de regulamento exigir especificamente que a ACER cumpra o Regulamento (CE) n.o 45/2001.

a) Aplicabilidade do Regulamento (CE) n.o 45/2001 e da Directiva 95/46/CE

19. No entanto, a AEPD salienta que o Regulamento (CE) n.o 45/2001 se aplica integralmente à ACER, nos termos do próprio regulamento, em todas as situações em que a ACER trate dados pessoais. Por conseguinte, a Proposta deve recordar que o Regulamento (CE) n.o 45/2001 se aplica à ACER quando esta trata dados ao abrigo do artigo 7.o e também em todas as outras situações, designadamente quando a ACER trata dados pessoais no âmbito de suspeitas de abuso de mercado/infracções ao abrigo do artigo 11.o. Além disso, a fim de ser mais preciso, a AEPD recomenda que em vez de ser utilizada a expressão «se for caso disso» para descrever as situações em que a ACER tem de cumprir o Regulamento (CE) n.o 45/2001, seja utilizada a expressão «sempre que haja lugar ao tratamento de dados pessoais».

20. Deve igualmente ser feita referência à Directiva 95/46/CE, tendo em conta que esta directiva se aplica ao tratamento de dados pessoais pelas entidades reguladoras nacionais envolvidas. De facto, por uma questão de clareza, a AEPD recomenda que a proposta de regulamento mencione, de uma forma geral (pelo menos num considerando), que embora a ACER esteja sujeita ao Regulamento (CE) n.o 45/2001, a Directiva 95/46/CE será aplicável a todas as entidades reguladoras nacionais envolvidas.

b) Responsabilização

21. A AEPD congratula-se com a exigência de que a ACER identifique e limite os riscos operacionais através do desenvolvimento de sistemas, controlos e procedimentos adequados. Com vista ao reforço do princípio da responsabilização (11), caso o tratamento de dados pessoais desempenhasse uma função estrutural, a proposta de regulamento deveria exigir especificamente que a ACER criasse um quadro claro de responsabilização, que assegurasse a conformidade com as normas de protecção de dados e demonstrasse o seu cumprimento. Este quadro claro criado pela ACER deve conter vários elementos, nomeadamente: — Adopção e actualização, sempre que necessário, de uma política de protecção de dados com base numa avaliação do impacto (deve incluir também uma avaliação dos riscos de segurança); um plano de segurança, que deve estar incluído nesta política de protecção de dados; — Realização de auditorias periódicas para avaliar a adequação permanente e a conformidade com a política de protecção de dados (incluindo auditorias ao plano de segurança); — Divulgação (pelo menos parcial) dos resultados das auditorias, a fim de dar garantias aos intervenientes no que se refere ao cumprimento das regras em matéria de protecção de dados; e — Notificação de violações de dados e outros incidentes de segurança ao responsável pela protecção de dados da Comissão, às pessoas afectadas e a outros intervenientes e autoridades pertinentes (12).

22. Devem também ser aplicáveis requisitos equivalentes às entidades reguladoras nacionais e a outras autoridades da UE pertinentes.

c) Publicação da informação pela ACER

23. No que se refere ao requisito previsto no artigo 9.o, n.o 2, de que a ACER divulgue publicamente partes das informações que detém, a AEPD considera que esta disposição não tem como finalidade autorizar a ACER a publicar os dados para efeitos de «publicitação e denúncia» ou divulgação de actos ilícitos de empresas ou pessoas singulares.

24. No entanto, a Proposta é omissa em relação à intenção de divulgação pública de dados pessoais. Por conseguinte, para evitar qualquer tipo de dúvida, a proposta de regulamento deve estipular especificamente que a informação publicada não deve conter dados pessoais, ou esclarecer que dados pessoais podem eventualmente ser divulgados.

25. Na eventualidade de serem divulgados dados pessoais, a necessidade de divulgação (por exemplo, por razões de transparência) deve ser cuidadosamente ponderada e avaliada face a outras preocupações que também se ponham, como a necessidade de proteger o direito à vida privada e à protecção dos dados pessoais das pessoas em causa.

26. Por conseguinte, antes de qualquer divulgação, deve ser efectuada uma avaliação da proporcionalidade tendo em conta os critérios estabelecidos pelo Tribunal de Justiça da União Europeia no acórdão do processo Schecke (13). Naquele processo, o TJUE sublinhou que as derrogações à protecção dos dados pessoais e as suas limitações só devem ocorrer na estrita medida do necessário. O TJUE considerou ainda que as instituições europeias devem analisar diferentes métodos de publicação, a fim de encontrarem um que seja conforme com o objectivo dessa publicação e, ao mesmo tempo, menos lesivo do direito das pessoas ao respeito da sua vida privada e à protecção dos seus dados pessoais.

II.3. Poderes de investigação (artigo 10.o)

Disposições pertinentes

27. A Proposta estabelece que a monitorização dos mercados será seguida de uma investigação nos casos em que haja suspeita de abuso de mercado, a qual poderá conduzir à adopção de sanções apropriadas. O artigo 10.o, n.o 1, em particular, exige que os Estados-Membros invistam as entidades reguladoras nacionais dos poderes de investigação necessários para assegurar a aplicação das disposições do regulamento relativas ao abuso de informação privilegiada e à manipulação de mercado (14).

Observações e recomendações da AEPD

28. A AEPD congratula-se com a especificação, no artigo 10.o, n.o 1, que: i) os poderes de investigação (apenas) devem ser exercidos a fim de assegurar a aplicação das disposições relativas ao abuso de informação e à manipulação de mercado (artigos 3.o e 4.o), e que ii) esses poderes devem ser exercidos de modo proporcionado.

29. No entanto, a Proposta deve ser ainda mais ambiciosa, a fim de assegurar a certeza jurídica e um nível adequado de protecção para os dados pessoais. Como se demonstrará mais adiante, existem dois problemas no texto do artigo 10.o proposto. Em primeiro lugar, o artigo 10.o não designa com clareza suficiente o âmbito dos poderes de investigação; por exemplo, não é suficientemente claro em relação à eventual necessidade de registos telefónicos privados ou se poderá ser realizada uma inspecção in loco numa residência particular. Em segundo lugar, o artigo 10.o também não contempla as necessárias salvaguardas processuais contra o risco de invasão injustificada da vida privada ou utilização ilícita dos dados pessoais; por exemplo, não exige um mandado de uma autoridade judicial.

30. A definição do âmbito dos poderes de investigação e das salvaguardas necessárias é, presumivelmente, deixada a cargo da legislação nacional. De facto, o artigo 10.o, n.o 1, deixa muitas opções em aberto para os Estados-Membros ao estipular que os poderes de investigação «podem ser exercidos: a) directamente, b) em colaboração com outras autoridades ou com as empresas de mercado, ou c) mediante requerimento apresentado às autoridades judiciais competentes». Esta redacção parece permitir divergências nas práticas nacionais, por exemplo, em relação às circunstâncias em que seria necessário um mandado de uma autoridade judicial ou se seria necessário de todo.

31. Embora algumas legislações nacionais possam já prever salvaguardas processuais e de protecção de dados adequadas, tendo em vista garantir a certeza jurídica às pessoas, importa fazer determinadas clarificações e estabelecer certos requisitos mínimos no que se refere às salvaguardas processuais e de protecção de dados a nível da UE, na proposta de regulamento, conforme se descreve adiante.

32. Por princípio, a AEPD sublinha que quando a legislação da UE obriga os Estados-Membros a tomar medidas a nível nacional que afectam os direitos fundamentais (como o direito à vida privada e à protecção dos dados pessoais), a legislação deve ainda exigir que sejam tomadas medidas eficazes ao mesmo tempo que as referidas medidas restritivas, para garantir a protecção dos direitos fundamentais em questão. Por outras palavras, a harmonização de medidas eventualmente invasivas da vida privada, como os poderes de investigação, deve ser acompanhada da harmonização das salvaguardas processuais e de protecção de dados, tendo por base as melhores práticas.

33. Uma abordagem desta natureza pode ajudar a evitar divergências demasiado grandes a nível nacional e contribuir para um grau mais elevado e uniforme de protecção dos dados pessoais em toda a União Europeia.

34. Caso não seja exequível, neste momento, a harmonização das salvaguardas mínimas, a AEPD recomenda, pelo menos, que a proposta de regulamento obrigue especificamente os Estados-Membros a adoptarem medidas de aplicação nacionais, com vista a assegurar as salvaguardas processuais e de protecção de dados necessárias. Esta harmonização torna-se ainda mais importante pelo facto de o instrumento jurídico escolhido ser um regulamento, que é directamente aplicável e, em regra, não exige outras medidas de aplicação nos Estados-Membros.

II.4. Inspecções in loco [artigo 10.o, n.o 2, alínea c)]

Disposições pertinentes

35. A Proposta estipula que os poderes de investigação a conferir às entidades reguladoras nacionais contemplem especificamente o poder de realizar inspecções in loco [artigo 10.o, n.o 2, alínea c)].

Observações e recomendações da AEPD

36. Não é claro se as referidas inspecções se limitariam a propriedades comerciais (instalações, terrenos e veículos) de um participante no mercado ou se também seriam extensíveis à propriedade privada (instalações, terrenos e veículos) de pessoas singulares. É, ainda, pouco claro se as inspecções podem ser realizadas sem aviso prévio («rusgas»).

37. Caso a Comissão tenha em vista exigir que os Estados-Membros autorizem as entidades reguladoras a realizar inspecções in loco em propriedades privadas de pessoas singulares ou a realizar rusgas, tal intenção carece, antes de mais, de uma especificação clara.

38. Em segundo lugar, a AEPD salienta que a proporcionalidade das inspecções in loco em propriedades privadas (como as residências particulares de pessoas singulares) está longe de ser óbvia e, caso estejam previstas inspecções desta natureza, devem ser especificamente justificadas.

39. Em terceiro lugar, para este caso, seriam necessárias salvaguardas adicionais, em particular no que se refere às condições em que se podem realizar estas inspecções. Por exemplo, e sem limitação, a Proposta deve especificar que as inspecções in loco apenas podem ser realizadas numa residência particular, se existir uma suspeita razoável e específica de que estejam guardadas provas nessa residência concreta, que sejam pertinentes para provar uma violação grave dos artigos 3.o ou 4.o do regulamento (ou seja, as disposições relativas à proibição de abuso de informação e à manipulação de mercado). É ainda importante que a Proposta estabeleça a necessidade de um mandado judicial em todos os Estados-Membros (15).

40. Em quarto lugar, para assegurar a proporcionalidade e evitar a ingerência excessiva na vida privada, as inspecções a residências particulares sem aviso prévio devem estar sujeitas à condição suplementar de que o aviso possa levar à destruição ou adulteração de provas. Esta condição deve estar claramente prevista na proposta de regulamento.

II.5. Poderes para ordenar «a comunicação dos registos telefónicos e de transmissão de dados existentes» [artigo 10.o, n.o 2, alínea d)]

Disposições pertinentes

41. O artigo 10.o, n.o 2, alínea d), estipula que os poderes conferidos às entidades reguladoras nacionais incluam especificamente o poder de «ordenar a comunicação dos registos telefónicos e de transmissão de dados existentes».

Observações e recomendações da AEPD

42. A AEPD reconhece a importância dos registos telefónicos e de transmissão de dados nos casos de abuso de informação, especialmente para estabelecer as ligações entre os informadores e os comerciantes. No entanto, o âmbito deste poder não é suficientemente claro, nem estão previstas salvaguardas processuais e de protecção de dados adequadas. Por conseguinte, a AEPD recomenda que a Proposta seja clarificada como se descreve adiante. Devem, em particular, ser considerados os seguintes aspectos:

a) Que tipo de registos telefónicos e de transmissão de dados podem ser exigidos?

43. Para efeitos de certeza jurídica, a Proposta deve, em primeiro lugar, clarificar que tipos de registos podem ser exigidos pelas autoridades nos casos em que isso se revele necessário.

44. A Proposta deve limitar especificamente o âmbito dos poderes de investigação: i) ao conteúdo dos registos telefónicos, de correio electrónico e de transmissão de dados que tenham sido obtidos regularmente e de forma legítima pelos comerciantes para efeitos da sua actividade, designadamente comprovar operações, e b) a dados de tráfego (por exemplo, quem efectuou a chamada ou enviou a informação, o destinatário e a data/hora) que já estejam disponíveis directamente junto dos participantes no mercado (comerciantes) em questão.

45. Além disso, a Proposta deve também especificar que os registos deverão ter sido recolhidos para uma finalidade legítima e em conformidade com a legislação de protecção de dados aplicável, nomeadamente, a informação adequada das pessoas nos termos dos artigos 10.o e 11.o da Directiva 95/46/CE.

b) A que se refere a qualificação «existentes»?

46. A AEPD congratula-se com o facto de a Proposta limitar o seu poder a registos «existentes» e, por isso, não exigir que os poderes das entidades reguladoras obriguem um comerciante ou terceiros a interceptar, monitorizar ou gravar transmissões telefónicas ou de dados especificamente para efeitos da investigação.

47. No entanto, para evitar qualquer tipo de dúvida, esta intenção deve ser tornada mais clara, pelo menos num considerando. Deve evitar-se dar azo a interpretações da proposta de regulamento no sentido de proporcionar uma base jurídica para as entidades reguladoras nacionais interceptarem, monitorizarem ou gravarem transmissões telefónicas ou de dados, de forma dissimulada ou aberta, com ou sem mandado.

c) Pode também ser ordenada a comunicação do conteúdo de conversas telefónicas e transmissões de dados ou apenas os dados de tráfego?

48. O texto da Proposta faz referência a «registos telefónicos e de transmissão de dados existentes». Não é suficientemente claro se pode ser exigida a comunicação tanto do conteúdo dos dados existentes e das comunicações telefónicas como dos dados de tráfego (por exemplo quem efectuou a chamada ou enviou a informação, o destinatário e a data/hora).

49. Este aspecto deve ser clarificado nas disposições da proposta de regulamento. Conforme foi referido nos pontos 43 a 45, deve ser claramente especificado que tipo de registos podem ser exigidos, sendo necessário garantir em primeiro lugar que a recolha dos dados se processe em conformidade com a legislação aplicável em matéria de protecção de dados.

d) Podem ser exigidos registos aos fornecedores de serviços Internet e operadores de telecomunicações?

50. A Proposta deve especificar de uma forma clara a quem as entidades reguladoras nacionais podem exigir registos. Em relação a este aspecto, a AEPD entende que o artigo 10.o, n.o 2, alínea d), não se destina a permitir que as entidades reguladoras nacionais ordenem a «fornecedores de serviços de comunicações electrónicas acessíveis ao público» (16) (como companhias telefónicas ou fornecedores de serviços Internet) a comunicação de dados de tráfego.

51. Na verdade, a Proposta não faz qualquer referência a esses fornecedores de serviços e também não utiliza a expressão «dados de tráfego». É também significativo que não refira, de forma implícita ou explícita, que a derrogação teria como base os requisitos estabelecidos pela Directiva relativa à privacidade e às comunicações electrónicas (17), que estabelece o princípio geral de que os dados de tráfego só podem ser tratados para efeitos de facturação dos assinantes e de pagamento de interligações.

52. Para evitar qualquer tipo de dúvida, a AEPD recomenda que a inexistência na Proposta de uma base jurídica para ordenar a fornecedores de serviços de comunicações electrónicas acessíveis ao público a comunicação de dados seja explicitamente mencionada no texto da proposta de regulamento, pelo menos num considerando.

e) Podem ser exigidos a terceiros?

53. Além disso, a Proposta deve clarificar se as entidades reguladoras nacionais só podem ordenar a comunicação de registos ao participante no mercado sob investigação ou se também têm poderes para ordenar a terceiros a comunicação dos seus registos (como um interveniente numa transacção com o participante no mercado sob investigação ou um hotel onde a pessoa suspeita de abuso de informação tenha ficado alojada).

f) Podem ser exigidos registos privados?

54. Por último, a Proposta deve também clarificar se as entidades reguladoras podem ordenar a comunicação de registos privados de pessoas, como os funcionários ou executivos do participante no mercado sob investigação (por exemplo, mensagens de texto enviadas de dispositivos móveis pessoais ou o histórico de navegação na Internet guardado num computador de casa).

55. A proporcionalidade de ordenar a comunicação de registos privados é discutível e, se estiver prevista, deve esta ter uma justificação específica.

56. À semelhança das inspecções in loco (ver pontos 35 a 40 supra), a Proposta deve estabelecer a necessidade de um mandado de uma autoridade judicial, assim como outras salvaguardas específicas, caso as autoridades ordenem a comunicação de registos privados.

II.6. Comunicação de suspeitas de abuso de mercado (artigo 11.o): limitação da finalidade e conservação de dados

Disposições pertinentes

57. No que se refere à cooperação transfronteiras, é conferida uma função importante à ACER, designadamente alertar as entidades reguladoras nacionais de eventuais casos de abuso de mercado e facilitar a troca de informação. A fim de facilitar a cooperação, o artigo 11.o, n.o 2, também exige especificamente que as entidades reguladoras nacionais informem a ACER «de forma tão pormenorizada quanto possível» quando tenham motivos justificados para suspeitar de qualquer acto contrário ao disposto na proposta de regulamento. A fim de assegurar uma abordagem coordenada, o artigo 11.o, n.o 3, também obriga à partilha de informação entre as entidades reguladoras nacionais, as autoridades financeiras competentes, a ACER e a Autoridade Europeia dos Valores Mobiliários e dos Mercados (AEVMM) (18).

Observações e recomendações da AEPD

58. Em conformidade com o princípio de limitação da finalidade (19), a Proposta deve estipular explicitamente que quaisquer dados pessoais transmitidos ao abrigo do artigo 11.o da proposta de regulamento (comunicação de suspeitas de abuso de mercado) devem ser utilizados apenas para efeitos da investigação da suspeita de abuso de mercado comunicada. Em nenhum caso a informação deve ser utilizada para outros fins incompatíveis com essa finalidade.

59. Além disso, os dados não devem ser conservados durante longos períodos. Esta limitação é ainda mais importante nos casos em que se demonstre que a suspeita inicial não tinha fundamento. Nesses casos, é necessária uma justificação específica para prolongar a conservação dos dados (20).

60. A este respeito, a Proposta deve, em, primeiro lugar, fixar um período máximo de conservação durante o qual a ACER e outros destinatários da informação podem manter os dados, tendo em conta a finalidade para a qual são armazenados. Salvo no caso de a suspeita de abuso de mercado conduzir a uma investigação específica e a investigação estar ainda em curso, todos os dados pessoais relacionados com a suspeita de abuso de mercado comunicada devem ser eliminados dos registos de todos os destinatários findo um determinado período. A não ser que se justifique inequivocamente um período de conservação mais alargado, a AEPD considera que a eliminação deve ocorrer, no máximo, dois anos após a data de comunicação da suspeita (21).

61. Caso a suspeita se revele infundada e/ou um inquérito seja encerrado sem conduzir a mais acções, a Proposta deve obrigar a entidade reguladora que efectuou a comunicação, a ACER e quaisquer terceiros com acesso à informação relativa à suspeita de abuso de mercado a informarem rapidamente esses intervenientes, para que possam actualizar os respectivos registos em conformidade (e/ou eliminar a informação relativa à suspeita comunicada com efeitos imediatos ou findo um prazo de conservação proporcional, conforme for adequado) (22).

62. Estas disposições deverão contribuir para assegurar que, nos casos em que a suspeita não se confirme (ou não seja sequer alvo de um inquérito) ou se conclua pela sua falta de fundamentação, as pessoas inocentes não permaneçam numa «lista negra» e «sob suspeita» por um período excessivamente prolongado [ver o artigo 6.o, alínea e), da Directiva 95/46/CE e o correspondente artigo 4.o, alínea e), do Regulamento (CE) n.o 45/2001].

II.7. Transmissões de dados para países terceiros (artigo 14.o)

Disposições pertinentes

63. Os artigos 7.o, 8.o e 11.o da proposta de regulamento prevêem o intercâmbio de dados e informações entre a ACER, a AEVMM e as autoridades dos Estados-Membros. O artigo 14.o («Relações com países terceiros») estabelece que a ACER «pode ainda celebrar acordos de carácter administrativo com organizações internacionais e com as administrações de países terceiros». Destes acordos pode resultar a transmissão de dados pessoais da ACER e, eventualmente, da ESMA e/ou das autoridades dos Estados-Membros para organizações internacionais e autoridades de países terceiros.

Observações e recomendações da AEPD

64. A AEPD recomenda que o artigo 14.o da Proposta clarifique que as transmissões de dados pessoais apenas podem ser efectuadas em conformidade com o artigo 9.o do Regulamento (CE) n.o 45/2001 e com os artigos 25.o e 26.o da Directiva 95/46/CE. Em particular, as transmissões internacionais apenas deverão realizar-se se o país terceiro em causa assegurar um nível adequado de protecção. Caso tenham como destinatários entidades ou pessoas num país terceiro que não proporcione protecção adequada, as transmissões internacionais apenas deverão realizar-se se o controlador aduzir salvaguardas adequadas no que respeita à protecção da vida privada e dos direitos fundamentais e liberdades das pessoas, assim como ao exercício dos correspondentes direitos.

65. A AEPD salienta que as derrogações [como as que são mencionadas no artigo 9.o, n.o 6, do Regulamento (CE) n.o 45/2001 e no artigo 26.o, n.o 1, da directiva] não devem, em princípio, ser utilizadas para justificar transmissões de dados em massa, sistemáticas e/ou estruturais para países terceiros.

II.8. Controlo prévio das actividades de coordenação da ACER no que se refere às investigações

66. É provável que alguns dados partilhados entre a ACER, a AEVMM e várias autoridades nos Estados-Membros relativas a suspeitas de infracção contenham dados pessoais, como a identidade dos suspeitos ou de outras pessoas envolvidas (por exemplo, testemunhas, autores de denúncias, funcionários e outras pessoas que agiram em nome das empresas envolvidas na negociação).

67. O artigo 27.o, n.o 1, do Regulamento (CE) n.o 45/2001 estabelece que «as operações de tratamento que possam apresentar riscos específicos para os direitos e liberdades das pessoas em causa, devido à sua natureza, âmbito ou finalidade, são sujeitas a controlo prévio pela Autoridade Europeia para a protecção de dados». O artigo 27.o, n.o 2, confirma especificamente que o tratamento de dados relativos a suspeitas e infracções está sujeito a controlo prévio. Tendo em consideração a função prevista para a ACER a nível da coordenação das investigações, é provável que venha a tratar dados relacionados com «suspeitas» e, por conseguinte, as suas actividades estarão sujeitas a controlo prévio (23).

68. No quadro de um procedimento de controlo prévio, a AEPD pode facultar à ACER mais orientações e recomendações específicas no que se refere ao cumprimento das regras de protecção de dados. As actividades de controlo prévio da ACER poderão ter outras vantagens, tendo em conta que o Regulamento (CE) n.o 713/2009, que institui a ACER, não inclui referências à protecção de dados pessoais e não esteve sujeito a um parecer legislativo da AEPD.

III. CONCLUSÕES

69. A Proposta deve clarificar se podem ser tratados dados pessoais no contexto da monitorização do mercado e da comunicação, bem como as salvaguardas eventualmente aplicáveis. Se, pelo contrário, não estiver previsto o tratamento de dados pessoais (ou esse tratamento assumir um carácter excepcional e estiver limitado a casos pontuais, em que um negociante de produtos energéticos grossistas possa ser uma pessoa singular e não uma entidade jurídica), esse facto deve estar explícito na Proposta, no mínimo, num considerando.

70. As disposições relativas à protecção de dados, segurança dos dados e responsabilização devem ser clarificadas e reforçadas, em especial se o tratamento de dados pessoais desempenhar uma função mais estrutural. A Comissão deve assegurar a existência dos controlos adequados, para assegurar a conformidade com as normas de protecção de dados e demonstrar o seu cumprimento («responsabilização»).

71. A Comissão deve clarificar se as inspecções in loco se limitariam a propriedades comerciais (instalações, terrenos e veículos) de um participante no mercado ou se também seriam extensíveis à propriedade privada (instalações, terrenos e veículos) de pessoas singulares. Neste último caso, a necessidade e a proporcionalidade deste poder devem ser justificadas de uma forma inequívoca, devendo ser exigido um mandado judicial e salvaguardas adicionais. Estas condições devem estar claramente previstas na proposta de regulamento.

72. Deve ser clarificado o âmbito dos poderes para exigir a comunicação de «registos telefónicos e de transmissão de dados existentes». A Proposta deve especificar de uma forma clara os registos que podem ser exigidos e a quem podem ser exigidos. O facto de não poder ser ordenada a fornecedores de serviços de comunicações electrónicas acessíveis ao público a comunicação de dados deve ser explicitamente mencionada no texto da proposta de regulamento, pelo menos num considerando. A Proposta deve também clarificar se as entidades reguladoras podem ordenar a comunicação de registos privados de pessoas, como os funcionários ou executivos do participante no mercado sob investigação (por exemplo, mensagens de texto enviadas de dispositivos móveis pessoais ou o histórico de navegação na Internet em casa). Neste último caso, a necessidade e a proporcionalidade deste poder devem ser justificadas de uma forma inequívoca, devendo a Proposta exigir também um mandado judicial.

73. No que se refere à comunicação de suspeitas de abuso de mercado, a Proposta deve estipular explicitamente que quaisquer dados pessoais contidos nessas comunicações devem ser utilizados apenas para efeitos da investigação da suspeita de abuso de mercado comunicada. Salvo no caso de a suspeita de abuso de mercado conduzir a uma investigação específica e a investigação estar ainda em curso (ou se a suspeita se revelar fundamentada e der origem a uma investigação), todos os dados pessoais relacionados com a suspeita de abuso de mercado comunicada devem ser eliminados dos registos de todos os destinatários findo um determinado período (salvo casos devidamente justificados, no máximo, dois anos após a data de comunicação da suspeita). Além disso, as partes envolvidas numa troca de informações devem também informar-se mutuamente, caso a suspeita se revele infundada e/ou um inquérito seja encerrado sem conduzir a mais acções.

74. No que se refere a transmissões de dados para países terceiros, a Proposta deve clarificar que, em princípio, apenas deverão ser transmitidos dados a entidades ou pessoas num país terceiro que não proporcione protecção adequada se o controlador aduzir salvaguardas adequadas no que respeita à protecção da vida privada e dos direitos fundamentais e liberdades das pessoas, assim como ao exercício dos correspondentes direitos.

75. A ACER deve apresentar à AEPD, para controlo prévio, as suas actividades de tratamento de dados pessoais no âmbito da coordenação de investigações ao abrigo do artigo 11.o da proposta de regulamento.

Feito em Bruxelas, em 21 de Junho de 2011. Giovanni BUTTARELLI Autoridade Adjunta Europeia para a Protecção de Dados

(1) JO L 281 de 23.11.1995, p. 31 (a seguir designada «Directiva 95/46/CE»).

(2) JO L 8 de 12.1.2001, p. 1 [a seguir designado «Regulamento (CE) n.o 45/2001»].

(3) COM(2010) 726 final.

(4) A ACER é um organismo da União Europeia, criado em 2010, que tem por missão assistir as entidades reguladoras da energia nacionais no exercício, a nível da UE, das funções de regulação que desempenham nos Estados-Membros e, se necessário, coordenar a sua actuação.

(5) Directiva 2003/6/CE do Parlamento Europeu e do Conselho, de 28 de Janeiro de 2003, relativa ao abuso de informação privilegiada e à manipulação de mercado (abuso de mercado) (JO L 96 de 12.4.2003, p. 16).

(6) Directiva 2004/39/CE do Parlamento Europeu e do Conselho, de 21 de Abril de 2004, relativa aos mercados de instrumentos financeiros, que altera as Directivas 85/611/CEE e 93/6/CEE do Conselho e a Directiva 2000/12/CE do Parlamento Europeu e do Conselho e que revoga a Directiva 93/22/CEE do Conselho (JO L 145 de 30.4.2004, p. 1).

(7) Para obter mais informações sobre o contexto alargado das propostas legislativas conexas, ver o parecer da AEPD sobre a proposta de regulamento do Parlamento Europeu e do Conselho relativo aos derivados OTC, às contrapartes centrais e aos repositórios de transacções, de 19 de Abril de 2011; em particular, os pontos 4, 5, e 17 a 20.

(8) Ver artigo 2.o, alínea a), da Directiva 95/46/CE e o artigo 2.o, alínea a), do Regulamento (CE) n.o 45/2001.

(9) Ver artigos 6.o, n.o 1, alínea c), e 7.o, alínea c), da Directiva 95/46/CE e artigos 4.o, n.o 1, alínea c), e 5.o, alínea b), do Regulamento (CE) n.o 45/2001.

(10) O artigo 9.o, n.o 1, da Proposta, por referência ao Regulamento (CE) n.o 45/2001, indicia que será esse o caso, mas não acrescenta pormenores. Ver também a este respeito a secção II.2 do presente parecer.

(11) Ver secção 7 do parecer da AEPD sobre a Comunicação da Comissão ao Parlamento Europeu, ao Conselho, ao Comité Económico e Social Europeu e ao Comité das Regiões — «Uma abordagem global da protecção de dados pessoais na União Europeia», emitido em 14 de Janeiro de 2011 (http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2011/11-01-14_Personal_Data_Protection_EN.pdf).

(12) Ver secção 6.3 do Parecer da AEPD de 14 de Janeiro de 2011 supramencionada.

(13) Acórdão do TJUE de 9 de Novembro de 2010, processos apensos C-92/09 e C-93/09 (Schecke e Eifert); ver, em particular, os pontos 81, 65 e 86.

(14) Importa salientar que a proposta de regulamento não concede poderes de investigação equivalentes à ACER. Tais poderes também não estão previstos para a ACER no Regulamento (CE) n.o 713/2009 do Parlamento Europeu e do Conselho, de 13 de Julho de 2009, que institui a Agência de Cooperação dos Reguladores da Energia (JO L 211 de 14.8.2009, p. 1).

(15) Ver, por exemplo, o acórdão do Tribunal Europeu dos Direitos do Homem no processo Funke contra França (processo n.o 82/1991/334/407) de 25 de Fevereiro de 1993, pontos 55 a 57.

(16) Ver o artigo 2.o, alínea c), da Directiva 2002/21/CE do Parlamento Europeu e do Conselho, de 7 de Março de 2002, relativa a um quadro regulamentar comum para as redes e serviços de comunicações electrónicas (directiva-quadro) (JO L 108 de 24.4.2002, p. 33).

(17) Ver o artigo 6.o, n.o 1, da Directiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de Julho de 2002, relativa ao tratamento de dados pessoais e à protecção da privacidade no sector das comunicações electrónicas (Directiva relativa à privacidade e às comunicações electrónicas) (JO L 201 de 31.7.2002, p. 37).

(18) A AEVMM é uma autoridade independente da UE que contribui para salvaguardar a estabilidade do sistema financeiro da União Europeia através da garantia da integridade, da transparência, da eficiência e do bom funcionamento dos mercados de valores mobiliários, assim como do reforço da protecção dos investidores.

(19) Ver artigo 6.o, n.o 1, alínea b), da Directiva 95/46/CE e artigo 4.o, n.o 1, alínea b), do Regulamento (CE) n.o 45/2001.

(20) A título ilustrativo, a AEPD menciona neste contexto a decisão do Tribunal Europeu dos Direitos do Homem no processo S. e Marper contra Reino Unido (2008) (4 de Dezembro de 2008) (requerimentos n.o 30562/04 e n.o 30566/04), segundo a qual a conservação de dados de pessoas não condenadas por uma infracção penal por longos períodos constitui uma violação do direito à vida privada nos termos do artigo 8.o da Convenção Europeia dos Direitos do Homem.

(21) Se a suspeita se revelar fundamentada e der origem a uma investigação, a Proposta deve estabelecer um período de conservação específico — não excessivo — após o encerramento do inquérito.

(22) Esta informação também deve ser facultada à pessoa em causa.

(23) Importa salientar que o tratamento de dados realizado pelas autoridades nacionais pode também estar sujeito a controlo prévio pelas respectivas autoridades nacionais ou regionais de protecção de dados, ao abrigo das legislações nacionais de protecção de dados adoptadas nos termos do artigo 20.o da Directiva 95/46/CE.