PT Jornal Oficial da União Europeia C 192/6

Parecer da Autoridade Europeia para a Protecção de Dados referente à proposta de Directiva do Parlamento Europeu e do Conselho relativa a normas de qualidade e segurança dos órgãos humanos destinados a transplante

2009/C 192/02

A AUTORIDADE EUROPEIA PARA A PROTECÇÃO DE DADOS,

Tendo em conta o Tratado que institui a Comunidade Europeia, nomeadamente o artigo 286.o,

Tendo em conta a Carta dos Direitos Fundamentais da União Europeia, nomeadamente o artigo 8.o,

Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados,

Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados, nomeadamente o artigo 41.o,

Tendo em conta o pedido de parecer apresentado pela Comissão nos termos do n.o 2 do artigo 28.o do Regulamento (CE) n.o 45/2001, enviado à AEPD em 8 de Dezembro de 2008,

ADOPTOU O SEGUINTE PARECER:

I. INTRODUÇÃO

Proposta de directiva relativa a normas de qualidade e segurança dos órgãos humanos destinados a transplante.

1. Em 8 de Dezembro de 2008, a Comissão aprovou uma proposta de directiva do Parlamento Europeu e do Conselho relativa a normas de qualidade e segurança dos órgãos humanos destinados a transplante (a seguir designada por «proposta») (1) A proposta foi enviada pela Comissão à AEPD para consulta, nos termos do n.o 2 do artigo 28.o do Regulamento (CE) n.o 45/2001.

2. A proposta destina-se a assegurar elevados padrões de qualidade e segurança dos órgãos humanos destinados a transplante, a fim de garantir um elevado nível de protecção da saúde humana. Em especial, a proposta: — estabelece requisitos básicos de qualidade e segurança necessários nos sistemas de transplantes dos Estados-Membros e prevê a criação ou designação de uma autoridade nacional competente para garantir o cumprimento desses requisitos. Para este fim serão criados programas nacionais de qualidade para a colheita e a transferência de órgãos humanos em todos os países, incluindo, nomeadamente, um sistema de informação sobre os incidentes e reacções adversas graves, bem como um mecanismo que garanta a rastreabilidade de todos os órgãos, desde a dádiva até à recepção e vice-versa. — prevê a protecção dos dadores e dos receptores. Em especial em relação aos dadores vivos, a proposta inclui medidas para avaliação da saúde do dador e informações completas sobre os riscos da dádiva, a introdução de registos de dadores vivos e ainda medidas para garantir a dádiva altruísta e voluntária de órgãos pelos dadores vivos. — facilita a cooperação entre Estados-Membros e os intercâmbios transfronteiriços de órgãos (também entre Estados-Membros e países terceiros), normalizando a recolha de informações relevantes para as características dos órgãos e criando um mecanismo para a transmissão das informações.

3. A execução do regime proposto de dádiva e transplante de órgãos exige o tratamento de dados pessoais relativos à saúde («dados de saúde») dos dadores e receptores de órgãos pelas organizações autorizadas e pelos profissionais de saúde dos diferentes Estados-Membros. Esses dados são considerados sensíveis e são abrangidos pelas regras mais estritas de protecção de dados previstas no artigo 8.o da Directiva 95/46/CE sobre categorias específicas de dados.

4. Mais especificamente, os dados dos dadores são processados nos organismos de colheita que efectuam a caracterização do dador e do órgão, definindo assim se o órgão em questão é adequado para transplante (encontra-se no Anexo à proposta uma lista desses dados). Os dados dos receptores (doentes) são tratados nos centros de transplante em que é realmente efectuada a operação. Embora não haja comunicação dos dados do dador ao receptor (e vice-versa), existe a obrigação de as autoridades nacionais competentes manterem a total rastreabilidade do órgão desde o dador ao receptor (e vice-versa), o que deve ser também possível nos casos de intercâmbio transfronteiriço de órgãos.

Consulta da AEPD

5. A AEPD congratula-se com o facto de ser consultada e de esta consulta ser mencionada no preâmbulo da proposta, em conformidade com o artigo 28.o do Regulamento (CE) n.o 45/2001.

6. A proposta indicará procedimentos de dádiva e transplante de órgãos, com o objectivo final de aumentar a disponibilidade de órgãos e de diminuir a mortalidade nas listas de espera de órgãos. Completa o actual quadro legislativo relativo à utilização de materiais biológicos de origem humana (2). Além disso, pode ser visto como parte de uma abordagem geral da UE no sentido de fixar diferentes tipos de normas comuns para a prestação de serviços de saúde nos Estados-Membros, com o objectivo primordial de promover a disponibilidade transfronteiriça destes serviços em toda a Europa (3). Tal como já declarou no parecer relativo aos direitos dos doentes nos cuidados de saúde transfronteiriços, a AEPD apoia essa abordagem. No entanto, salienta de novo a necessidade de uma perspectiva da protecção de dados bem coordenada e uniforme em todas as iniciativas relacionadas com os cuidados de saúde (4).

7. A proposta já considerou as necessidades de protecção de dados tanto dos dadores como dos receptores de órgãos. O elemento mais importante é a exigência de manter confidenciais as identidades do dador e do receptor (considerandos 11 e 16, artigos 10.o e 17.o). Uma série de referências gerais à protecção de dados podem ainda ser encontradas em algumas partes da proposta [considerando 17, artigo 16.o, alínea a) do n.o 3 do artigo 4.o, n.o 3 do artigo 15.o e alínea a) do n.o 1 do artigo 19.o, Anexo], bem como referências mais específicas à necessidade de cooperar com as Autoridades Nacionais de Protecção de Dados [(alínea f) do artigo 18.o e n.o 2 do artigo 20.o].

8. A AEPD saúda o referido conteúdo. No entanto gostaria de manifestar a sua preocupação com algumas disposições que não estão claramente definidas ou desenvolvidas e originam, por conseguinte, ambiguidades que potencialmente afectam a aplicação uniforme da proposta pelos Estados-Membros.

9. Mais especificamente, a utilização de conceitos por vezes contraditórios de «rastreabilidade dos órgãos» e «anonimato dos dadores e dos receptores» é uma questão que exige maior clarificação e precisão. Neste contexto, deve ser salientada a necessidade de aprovar a nível dos Estados-Membros medidas de segurança mais rigorosas para protecção dos dados dos dadores e dos receptores, para garantir um nível de protecção de dados reforçada nos diferentes países europeus, e ainda a protecção de dados no intercâmbio transfronteiriço de órgãos (dentro e fora da Europa).

10. O presente parecer desenvolverá as referidas questões, com vista a melhorar a clareza e a coerência do actual conteúdo da proposta no que toca à protecção de dados.

II. CLARIFICAR OS CONCEITOS DE RASTREABILIDADE E ANONIMATO

Aplicabilidade da Directiva 95/46/CE;

11. Nos termos da alínea a) do artigo 2.o da Directiva 95/46/CE relativa à protecção dos dados pessoais, entende-se por «dados pessoais»: «qualquer informação relativa a uma pessoa singular identificada ou identificável; é considerado identificável todo aquele que possa ser identificado, directa ou indirectamente, nomeadamente por referência a um número de identificação ou a um ou mais elementos específicos da sua identidade física, fisiológica, psíquica, económica, cultural ou social».

12. Os materiais biológicos de origem humana, como órgãos, tecidos, células ou sangue, podem ser definidos como material que pode ser extraído do corpo humano. É contestável se esses materiais, como tais, podem ser considerados dados pessoais. No entanto, é incontestável que esses materiais podem ser utilizados como fontes de informação pessoal sobre o seu detentor. A extracção dessas informações é por vezes o objecto do tratamento de materiais biológicos. E mesmo sem esse objectivo, os materiais biológicos são por vezes acompanhados dessas informações extraídas. Nessas situações, aplicam-se as regras da Directiva 95/46/CE (5). Ou seja, desde que o detentor do material biológico seja uma pessoa singular identificada ou identificável.

13. O considerando 26 da Directiva 95/46/CE explica como determinar se uma pessoa é identificável: «importa considerar o conjunto dos meios susceptíveis de serem razoavelmente utilizados, seja pelo responsável pelo tratamento, seja por qualquer outra pessoa, para identificar a referida pessoa». Além disso, o considerando explica que as regras da Directiva 95/46/CE não se aplicam se a informação disser respeito a uma pessoa que não é ou que deixou de ser identificável: esses dados são considerados anónimos.

14. Na Recomendação (2006) 4, o Conselho da Europa abordou a questão específica da possibilidade de identificar os materiais biológicos, distinguindo entre materiais biológicos identificáveis e não identificáveis (6).

15. De acordo com a recomendação, materiais biológicos identificáveis são «os materiais biológicos que, isoladamente ou em combinação com dados associados, permitem a identificação das pessoas em causa directamente ou através da utilização de um código» (7). Neste caso, o utilizador de materiais biológicos pode ou ter acesso ao código («materiais codificados») ou não ter acesso ao código, que está sob o controlo de um terceiro («materiais anonimizados não dissociados»). No seu parecer 4/2007 relativo ao conceito de dados pessoais, o Grupo do artigo 29.o (a seguir designado por «G29») utilizou a noção de dados com possibilidade de reidentificação e sob pseudónimo para descrever informações indirectamente identificáveis sobre os indivíduos, que podem ser utilizados para retroceder e identificar os indivíduos em condições pré-definidas (8). Os dados codificados com chave são referidos como exemplo em que os dados pessoais são individualizados com um código, enquanto a chave que estabelece a correspondência entre o código e os identificadores comuns das pessoas é mantida em separado. Se os códigos utilizados forem únicos para cada pessoa específica, a identificação é possível através da chave aplicada para a codificação.

16. A recomendação refere-se ainda aos materiais biológicos não identificáveis (ou «materiais anonimizados dissociados») como «materiais que isoladamente ou em combinação com dados associados, não permitem, com esforços razoáveis, a identificação das pessoas em causa» (9). Estes seriam realmente considerados dados anónimos, na definição da Directiva 95/46/CE.

17. Daí decorre que a Directiva 95/46/CE se aplica à colheita, armazenagem e tratamento de órgãos identificáveis e à subsequente extracção de informação desses órgãos, na medida em que seja possível, tendo devidamente em conta todos os meios susceptíveis de serem razoavelmente utilizados para identificar a pessoa em causa. Tal como se demonstrará, a rastreabilidade permanente dos órgãos prevista na proposta de directiva manterá as pessoas identificáveis durante todo o processo.

Rastreabilidade versus anonimato dos órgãos humanos

18. A rastreabilidade de um material biológico é a possibilidade de retroceder até ao detentor do material e assim o/a identificar. Por outras palavras, sempre que a rastreabilidade dos detentores dos materiais biológicos seja possível, de uma forma directa ou indirecta, estes podem ser considerados identificáveis e vice-versa. Os conceitos de «rastreabilidade» e de «identificabilidade» estão em princípio fortemente ligados um ao outro. Pelo contrário, rastreabilidade e anonimato dos dados não podem ser simultâneos. Opõem-se um ao outro. Se determinadas informações forem verdadeiramente anónimas não é possível identificar e retroceder até às pessoas.

19. No contexto da presente proposta, a rastreabilidade é um requisito obrigatório a estabelecer no âmbito dos programas nacionais de qualidade dos Estados-Membros de duas maneiras, ou seja, para os dadores e os receptores. Isto significa que, embora a informação sobre os dadores e receptores seja confidencial, as informações relativas aos órgãos são identificáveis. Isto também se inclui na definição de rastreabilidade no artigo 3.o da proposta: «a capacidade de uma autoridade competente de localizar e identificar o órgão em cada etapa da cadeia, desde a dádiva até ao transplante ou eliminação, estando essa autoridade competente habilitada, em circunstâncias devidamente especificadas na presente directiva a identificar o dador e o organismo de colheita, identificar os receptores no centro de transplante, localizar e identificar todas as informações não pessoais relevantes relacionadas com os produtos e materiais que entram em contacto com o órgão».

20. Além disso, o artigo 10.o da proposta sobre rastreabilidade refere no n.o 1 que «os Estados-Membros devem assegurar que todos os órgãos colhidos e atribuídos nos respectivos territórios possam ser rastreados, do dador até ao receptor e vice-versa, a fim de proteger a saúde dos dadores e dos receptores». O n.o 3 do referido artigo refere que «os Estados-Membros devem assegurar que: a) As autoridades competentes ou os outros organismos envolvidos na cadeia, desde a dádiva até ao transplante ou eliminação, conservem os dados necessários para assegurar a rastreabilidade em todas as etapas dessa cadeia, em conformidade com os programas nacionais de qualidade, b) os dados necessários para assegurar a rastreabilidade integral sejam conservados durante pelo menos 30 anos após a dádiva. A conservação de dados pode assumir a forma electrónica».

21. Embora o processo de rastreabilidade seja sujeito a regras de execução (vd. artigo 25.o da proposta), um regime de identificação indirecta dos dadores e dos receptores parece ser a solução mais provável, na sequência ou pelo menos interoperacional com a Directiva 2004/23/CE (10) sobre tecidos e células e o código de identificação europeu nela previsto (11). Neste caso, o processamento relativo aos dadores e receptores no contexto da proposta diz respeito aos materiais biológicos anonimizados não dissociados, ou dados rastreáveis sob pseudónimo na terminologia da protecção de dados (vd. supra ponto 15), a que é aplicável o disposto na Directiva 95/46/CE.

22. Note-se no entanto que, apesar das exigências claras em termos de possibilidade de rastreio e identificação, a proposta utiliza em algumas partes o termo «anonimato» ou «dados anónimos» para se referir aos dados dos dadores e dos receptores. Dos pontos anteriores decorre que esta redacção é contraditória e gera grande confusão (12).

23. Mais especificamente, o n.o 2 do artigo 10.o da proposta, que estabelece a necessidade de um sistema de identificação dos dadores, prevê que os «Estados-Membros devem garantir a implementação de um sistema de identificação dos dadores que permita identificar cada dádiva e cada um dos órgãos a ela associado. Devem igualmente garantir que este sistema de identificação dos dadores seja concebido em conformidade com o objectivo de não recolher, tratar ou utilizar quaisquer dados pessoais ou de recolher, tratar ou utilizar a menor quantidade possível de dados pessoais. Em especial, devem aplicar-se as possibilidades de utilização de pseudónimos ou de anonimização» (13). A AEPD é de opinião que as expressões sublinhadas neste número estão em conflito com o conceito de rastreabilidade, visto que não existe a possibilidade de obter dados rastreáveis e identificáveis quando os dadores e os receptores são tornados anónimos. Além do mais, é de notar que este número se refere à identificação do dador, enquanto a identificação do receptor (que também faz parte do processo) não é sequer mencionada.

24. A referida contradição é ainda mais patente no artigo 17.o sobre o Anonimato dos dadores e receptores que prevê que: «Os Estados-Membros devem tomar todas as medidas necessárias a fim de garantir a anonimização de todos os dados dos dadores e receptores tratados no âmbito da presente directiva, de modo a que nem os dadores nem os receptores possam ser identificados». Este artigo está em contradição total com os artigos da proposta sobre rastreabilidade.

Confidencialidade em vez de anonimato

25. A AEPD considera que o termo anonimato é aqui utilizado para salientar a necessidade de uma maior confidencialidade (14) dos dados dos dadores e dos receptores, o que significa que a informação está acessível apenas às pessoas com acesso autorizado. A AEPD parte do princípio de que «anonimato» é utilizado mais especificamente no intuito de implicar um sistema de identificação indirecto utilizado para os dadores e os receptores (15), o que pode também estar em contradição com a forma como o termo foi utilizado na Directiva 2004/23/CE relativa aos tecidos e células. Tal como foi já declarado, anonimato não é o termo correcto a utilizar.

26. Um exemplo de como abordar tanto a protecção de dados como a rastreabilidade num processo de transplante pode ser encontrado no Protocolo Adicional à Convenção sobre os Direitos do Homem e a Biomedicina do Conselho da Europa (16). Nela é utilizado o conceito de confidencialidade e não de anonimato. Mais especificamente, o n.o 1 do artigo 23.o do Protocolo determina que «todos os dados pessoais relativos à pessoa de que foram retirados órgãos ou tecidos, bem como os dados relativos ao receptor devem ser considerados confidenciais. Esses dados só podem ser recolhidos, tratados e comunicados de acordo com as regras relativas ao sigilo profissional e à protecção de dados pessoais». O n.o 2 do mesmo artigo continua: «as disposições do n.o 1 são interpretadas sem prejuízo das disposições que permitem, mediante salvaguardas adequadas, a recolha, o tratamento e a comunicação das necessárias informações sobre a pessoa de quem foram retirados órgãos ou tecidos ou o(s) receptor(es) dos órgãos ou tecidos na medida em que motivos de ordem médica o exijam, incluindo a rastreabilidade, prevista no artigo 3.o do presente Protocolo».

27. Com base no que ficou exposto, a AEPD recomenda que se altere a redacção em algumas partes da proposta para evitar ambiguidade e reflectir explicitamente o facto de os dados não serem anónimos mas deverem ser tratados segundo regras de extrema confidencialidade e segurança. Mais especificamente, a AEPD recomenda as seguintes alterações: — Considerando 16, última frase: «Em conformidade com a Carta, e tendo em conta o disposto na Convenção sobre os Direitos do Homem e a Biomedicina, os programas de transplante de órgãos devem assentar nos princípios da dádiva voluntária e não remunerada, do altruísmo do dador e da solidariedade entre dador e receptor, assegurando simultaneamente que estão em vigor regras de confidencialidade e medidas de segurança para protecção dos dados pessoais do dador e do receptor». — No n.o 2 do artigo 10.o: «Os Estados-Membros devem garantir a implementação de um sistema de identificação dos dadores e dos receptores que permita identificar cada dádiva e cada um dos órgãos a ela associado. Os Estados-Membros devem assegurar que os sistemas de identificação do dador e do receptor sejam concebidos e escolhidos de acordo com o objectivo de recolher, tratar ou utilizar o mínimo de dados possível, recorrendo em especial a métodos de atribuição de pseudónimos, e que estejam em vigor as medidas técnicas e de organização necessárias à segurança desses dados». — O artigo 17.o podia ser suprimido, incluindo-se o seu conteúdo (em termos de necessidade de confidencialidade) num novo número do artigo 16.o relativo à protecção de dados pessoais, confidencialidade e segurança do tratamento (ver ponto 36 infra).

28. Além disso, tal como discutido a seguir no presente parecer, a AEPD sugere que se assinale ainda a necessidade de protecção reforçada dos dados dos dadores e dos receptores através da aplicação de fortes medidas de segurança, a nível tanto nacional como transfronteiriço.

III. SALIENTANDO AS MEDIDAS NACIONAIS DE SEGURANÇA DOS DADOS

Necessidades e exigências básicas de segurança

29. Tal como decorre da proposta, os dados pessoais dos dadores e dos receptores são sobretudo tratados a nível nacional, ou seja, nos centros de colheita e de transplantes dos Estados-Membros. O registo de dadores vivos é mantido a este nível. Embora o mecanismo de rastreabilidade não tenha ainda sido definido, pode prever-se que ocorra também uma actividade de codificação a nível nacional mesmo no caso de ser utilizado um sistema de codificação europeu, uma vez que a identificação dos dadores e receptores só é possível através das autoridades nacionais competentes.

30. É, por conseguinte, da máxima importância aplicar uma política de segurança da informação baseada em medidas de segurança rigorosas e positivas nos serviços nacionais pertinentes, em especial para satisfazer as exigências de confidencialidade previstas na proposta para os dadores e os receptores, bem como salvaguardar a integridade (17), a responsabilidade (18) e a disponibilidade (19) desses dados. Neste contexto, a política de segurança da informação deve abranger elementos de segurança física e lógica centrando-se, nomeadamente, no controlo das entradas, acesso, registo, transferência e comunicação de dados, e ainda no controlo dos suportes e na armazenagem de dados.

31. Em relação à confidencialidade, os dados médicos dos receptores (20), bem como os dados utilizados para a caracterização do dador e seu acompanhamento [também em relação ao «alargamento do leque de dadores» (21)], podem revelar informações pessoais sensíveis sobre eles que podem afectar também a sua vida social, profissional e/ou pessoal. A protecção dos dados de identificação dos dadores é de grande importância, na medida em que os dadores vivos ou as pessoas que deram o seu consentimento para dar um ou mais órgãos após a sua morte podem ser vítimas de tráfico de órgãos e tecidos humanos, se essa informação for revelada. A integridade dos dados relativos aos órgãos é também crucial, visto que apenas um erro na informação transferida pode pôr a vida do receptor em perigo. O mesmo se aplica quanto ao rigor dos dados sobre a saúde do dador antes do transplante, visto esses dados serem utilizados para determinar se o órgão é compatível ou não. Quanto à responsabilidade, uma vez que estão envolvidos tantos organismos diferentes no regime global de dádiva e transplante, deve haver uma forma de sensibilizar e responsabilizar pelos seus actos todas as entidades envolvidas, p.ex. no caso de serem revelados os dados pessoais do dador a pessoas não autorizadas ou de os dados médicos sobre os órgãos não serem exactos. Por fim, uma vez que todo o sistema se baseia na transferência dos dados relativos aos órgãos e no mecanismo de rastreabilidade do dador ao receptor, esses dados devem estar à disposição das pessoas autorizadas sempre que necessário sem demora (caso contrário a indisponibilidade comprometeria o bom funcionamento do sistema).

32. Neste contexto, devem existir mecanismos de autorização adequados, na sequência de políticas específicas de controlo do acesso, tanto nas bases de dados nacionais como no caso de intercâmbio transfronteiriço de órgãos. Estas políticas devem de início ser definidas a nível organizacional, especialmente no que diz respeito aos procedimentos de identificação dos dadores e dos receptores (p.ex. quem tem acesso a que informação e em que circunstâncias). Deste modo, são estabelecidos os direitos de acesso, juntamente com os cenários de acesso sempre que esses direitos possam ser executados (p.ex. circunstâncias e procedimento para divulgação de dados pelo organismo de colheita à autoridade competente, certos casos, eventuais, em que a identidade do dador deve ser divulgada ao receptor e o procedimento para o efeito, etc.). Para que as políticas sejam eficazes, as pessoas envolvidas no tratamento devem ser sujeitas a regras específicas de confidencialidade.

33. Uma vez determinadas, estas políticas podem ser aplicadas a nível técnico, ou seja, em termos de controlo do acesso do utilizador a sistemas e aplicações de acordo com direitos de acesso pré-definidos. Para tal, podem ser utilizadas tecnologias comprovadas, como cifragem e certificados digitais (22) (p.ex. com base em regimes de infra-estrutura chave públicos) (23). Podem ser também aplicados para restringir os direitos de acesso dos utilizadores mecanismos de autenticação com base na função (p.ex. só os médicos podem modificar os dados médicos dos receptores e dos dadores nas bases de dados nacionais).

34. O controlo do acesso deve ser completado com possibilidades de registar os actos dos utilizadores (p.ex. acesso lido e escrito a dados médicos) em especial quando são utilizados sistemas electrónicos. Devem estar também em vigor medidas de segurança física e lógica para garantir que as bases de dados dos dadores e dos órgãos estão plenamente operacionais, visto serem um elemento crucial do sistema proposto de dádiva e transplante. A disponibilidade dos dados deve ser considerada a pedra angular do sistema. Neste contexto, a política de segurança da informação deve ser baseada numa sólida análise e avaliação dos riscos e deve incluir também elementos como os incidentes e a gestão da continuidade das actividades. Todos estes elementos devem ser mantidos e aperfeiçoados durante os processos regulares de acompanhamento e revisão. Auditorias independentes podem também aumentar a eficácia e o aperfeiçoamento do sistema, dando especial atenção à criação de pseudónimos, à rastreabilidade e às práticas de transferência de dados.

35. A AEPD gostaria que se desse mais ênfase à necessidade de tais medidas no contexto da proposta de directiva.

Melhoria das disposições de segurança da proposta

36. O artigo 16.o da proposta relativo à protecção de dados pessoais, confidencialidade e segurança do tratamento dos dados prevê que «Os Estados-Membros devem assegurar a protecção plena e eficaz do direito fundamental à protecção dos dados pessoais no âmbito de todas as actividades de transplante de órgãos, em conformidade com as disposições comunitárias em matéria de protecção de dados pessoais, como a Directiva 95/46/CE e, nomeadamente, o n.o 3 do artigo 8.o, os artigos 16.o e 17.o e o n.o 2 do artigo 28.o da referida directiva». A AEPD recomenda que se adite um número dois ao presente artigo, descrevendo os princípios de base para garantir a segurança a nível do Estado-Membro, incluindo no mínimo uma referência aos seguintes pontos: — Deve estar em vigor uma política de segurança da informação que aplique medidas técnicas e organizacionais para garantir a confidencialidade, integridade, responsabilidade e disponibilidade dos dados pessoais dos dadores e receptores. — Deve ser definida uma política específica de confidencialidade e controlo do acesso para utilização em todos os Estados-Membros, que especifique os direitos de acesso, as funções e responsabilidades de todas as partes envolvidas (dador, organismo de colheita, centro de transplante, receptor, autoridade competente nacional e autoridade competente transfronteiriça) em toda a cadeia de rastreabilidade. Devem estar em vigor garantias específicas de confidencialidade dos dados para as pessoas envolvidas no tratamento de dados, em especial se essas pessoas não estiverem sujeitas ao sigilo médico (p.ex. códigos de conduta de confidencialidade e medidas de sensibilização). — Deve ser salientada a necessidade de abordar os mecanismos de segurança (como cifragem e certificados digitais) nas bases de dados nacionais. Especialmente em relação aos registos dos dadores deve ser aplicado o princípio da «privacidade na concepção», para incluir todos os requisitos de segurança necessários nas fases iniciais de aplicação desses desenvolvimentos. — Devem ainda ser estabelecidos procedimentos para salvaguardar os direitos de protecção de dados dos dadores e receptores, em especial os direitos de acesso e rectificação, bem como o direito à informação. Deve ser dada especial atenção também aos casos de dadores que pretendam retirar o seu consentimento ou que não sejam aceites como dadores (após a caracterização do dador e do órgão). Nesse caso, deve ser definido um processo específico e um prazo para a conservação dos seus dados. — A política de segurança da informação deve também prever medidas destinadas a garantir a integridade e a permanente disponibilidade dos dados. O papel da avaliação de riscos da segurança da informação deve ser completado com a inclusão de elementos relativos a incidentes e à gestão da continuidade das actividades. — As políticas de segurança da informação devem ser sujeitas a acompanhamento regular e a revisão, incluindo auditorias independentes.

37. A AEPD recomenda que os referidos elementos sejam incluídos no artigo 16.o e então mais especificados como parte das medidas de aplicação do artigo 25.o, em especial as alíneas a), b) e c) do n.o 1.

IV. SALVAGUARDAS RELATIVAS AO INTERCÂMBIO TRANSFRONTEIRIÇO DE ÓRGÃOS

Harmonização de segurança em todos os Estados-Membros

38. O intercâmbio transfronteiriço de órgãos na prática implica sempre o tratamento de dados pessoais, visto que, mesmo codificados, os órgãos mantêm-se (indirectamente) identificáveis através das autoridades nacionais competentes.

39. A AEPD deu já o seu parecer sobre as necessidades de segurança para a protecção dos dados pessoais no âmbito dos cuidados de saúde transfronteiriços na Europa, salientando nomeadamente a necessidade de harmonizar as políticas de segurança da informação entre Estados-Membros de modo a atingir um bom nível de protecção de dados (24). Recomenda que este elemento seja também mencionado na actual proposta e mais especificamente no considerando 17 em que é referida a disposição da Directiva 95/46/CE sobre a segurança do tratamento de dados.

Criação do sistema de rastreabilidade

40. Neste caso específico, um parâmetro importante para a segurança transfronteiriça de dados é a criação do mecanismo de rastreabilidade. Para o efeito, além das medidas de segurança aplicadas a nível de Estado-Membro, deve ser prestada especial atenção às possibilidades de criação de pseudónimos a utilizar para a identificação dos dadores e receptores (p.ex. tipo de codificação, possibilidade de dupla codificação, etc.) e à manutenção da interoperabilidade com o sistema de identificação de tecidos e células.

41. A AEPD recomenda que seja feita uma referência específica a este ponto no artigo 25.o da proposta de directiva relativa às medidas de execução, que altera a alínea b) do n.o 1 nos seguintes termos: «procedimentos para garantir a plena rastreabilidade dos órgãos, incluindo requisitos de rotulagem, salvaguardando simultaneamente a confidencialidade dos dadores e dos receptores durante todo o processo de rastreabilidade e mantendo a interoperabilidade com o sistema de identificação dos tecidos e células.»

Intercâmbio de órgãos com países terceiros

42. As necessidades de segurança são ainda mais importantes quando os dados são trocados com países terceiros em que nem sempre pode ser garantido um nível de protecção de dados adequado. Nos artigos 25.o e 26.o da Directiva 95/46/CE está previsto um regime específico para a transferência de dados pessoais para países terceiros. A AEPD está ciente de que as exigências de protecção de dados não devem impedir a transferência rápida e eficaz de órgãos, que constitui uma necessidade no sistema de dádiva de órgãos e pode muitas vezes ser uma questão de vida ou de morte. Devem portanto ser exploradas as possibilidades de permitir as transferências apesar da ausência de um nível adequado de protecção de dados em geral nos países terceiros. Deve, portanto, ter-se em conta que devido à natureza indirecta da identificação das pessoas a nível transfronteiriço juntamente com o facto de as autoridades nacionais competentes deterem a supervisão global do sistema, os riscos neste caso são provavelmente menores do que os riscos a nível nacional (25).

43. Para o efeito, a AEPD é de opinião que a autoridade competente, responsável pela autorização dessas transferências, deve consultar a Autoridade nacional de Protecção de Dados a fim de desenvolver, em função das possíveis derrogações referidas no artigo 26.o da Directiva 95/46/CE, o enquadramento necessário às transferências de dados sobre órgãos seguras, mas também rápidas e eficazes de e para países terceiros. A AEDP recomenda que seja feita uma referência a este ponto no artigo 21.o relativo ao intercâmbio de órgãos com países terceiros ou no respectivo considerando 15.

Medidas de execução

44. A finalizar, a AEPD incita o legislador a garantir que, em relação ao artigo 25.o, sejam consultadas todas as partes interessadas, incluindo a AEPD e o Grupo de Trabalho do Artigo 29.o, em todos os casos em que sejam consideradas medidas de execução que afectem a protecção e a segurança de dados.

V. CONCLUSÕES

45. A AEPD tomou nota da iniciativa de garantir elevados padrões de qualidade e segurança dos órgãos humanos destinados a transplante, que pode ser visto como parte da abordagem geral da UE no sentido de fixar normas comuns para promover a disponibilidade transfronteiriça de serviços de saúde em toda a Europa.

46. A proposta considerou já as necessidades de protecção de dados dos dadores e dos receptores de órgãos, em especial no que diz respeito à exigência de manter confidenciais as suas identidades. A AEPD lamenta, contudo, que algumas destas disposições sejam vagas, ambíguas ou gerais e, por esse motivo, recomenda uma série de alterações para melhorar o conteúdo da proposta relacionado com a protecção de dados.

47. Em primeiro lugar, a AEPD regista uma contradição existente entre os conceitos de rastreabilidade e de anonimato utilizados na proposta. A este respeito, a AEPD recomenda alterações específicas na redacção de algumas partes da proposta (nomeadamente o considerando 16, o n.o 2 do artigo 10.o e o artigo 17.o) para evitar ambiguidade e reflectir explicitamente o facto de os dados não serem anónimos, mas deverem ser tratados segundo regras de extrema confidencialidade e segurança.

48. Além disso, recomenda que se dê maior ênfase à necessidade de aprovar fortes medidas de segurança a nível nacional. Este objectivo pode ser atingido aditando um número dois ao artigo 16.o que descreva os princípios de base para garantir a segurança a nível do Estado-Membro e especifique ainda que esses princípios fazem parte das medidas de execução previstas no n.o 1 do artigo 25.o. Os princípios de segurança propostos incluem: a) a aprovação de uma política de segurança da informação para garantir a confidencialidade, integridade, responsabilidade e disponibilidade dos dados pessoais dos dadores e dos receptores; b) a definição de uma política específica de confidencialidade e controlo do acesso aos dados, juntamente com garantias da confidencialidade dos dados para as pessoas envolvidas no tratamento de dados; c) abordar os mecanismos de segurança nas bases de dados nacionais, com base no princípio da «privacidade na concepção»; d) estabelecer procedimentos de salvaguardas dos direitos de protecção de dados dos dadores e dos receptores, em especial os direitos de acesso e rectificação e o direito à informação, dando especial atenção aos casos de dadores que pretendam retirar o seu consentimento ou que não sejam aceites como dadores; e) o estabelecimento de medidas de garantia da integridade e da permanente disponibilidade dos dados; f) garantir auditorias independentes e um acompanhamento regular das políticas de segurança em vigor.

49. Quanto ao intercâmbio transfronteiriço de órgãos, a AEPD recomenda que a necessidade de harmonizar as políticas de segurança da informação entre Estados-Membros seja mencionada no considerando 17 da proposta. Além disso, deve ser dada especial atenção às possibilidades de criar pseudónimos a utilizar na identificação de dadores e receptores, e à manutenção da interoperabilidade com o sistema de identificação de tecidos e células. A AEPD recomenda que seja feita referência a este ponto na alínea b) do n.o 1 do artigo 25.o da proposta.

50. Em relação ao intercâmbio de órgãos com países terceiros, a AEPD recomenda que se mencione no artigo 21.o ou no correspondente considerando 15 da proposta que a autoridade competente consultará a Autoridade nacional de Protecção de Dados a fim de desenvolver o quadro necessário para transferências seguras, mas também rápidas e eficazes de dados sobre órgãos de e para países terceiros.

51. Finalmente, a AEPD recomenda que, em todos os casos em que sejam consideradas medidas de execução que afectem a protecção e a segurança de dados, sejam consultadas todas as partes interessadas, incluindo a AEPD e o Grupo de Trabalho do Artigo 29.o

Feito em Bruxelas, em 5 de Março de 2009. Peter HUSTINX Autoridade Europeia para a Protecção de Dados

(1) COM(2008) 818 final.

(2) Este quadro inclui as Directivas 2002/98/CE, 2004/33/CE, 2005/61/CE e 2005/62/CE para o sangue e produtos derivados de sangue, e as Directivas 2004/23/CE, 2006/17/CE e 2006/86/CE, para os tecidos e células humanos.

(3) Ver ainda a proposta de directiva do Parlamento Europeu e do Conselho relativa à aplicação dos direitos dos doentes em matéria de cuidados de saúde transfronteiriços, COM(2008) 414 final.

(4) Parecer da AEPD de 2 de Dezembro de 2008 relativo à proposta de directiva relativa à aplicação dos direitos dos doentes em matéria de cuidados de saúde transfronteiriços.

(5) Grupo da Protecção de Dados (Grupo do Artigo 29.o), Parecer 4/2007 sobre o conceito de dados pessoais, p. 9.

(6) Recomendação Rec(2006) 4 do Comité de Ministros aos países membros sobre a investigação relativa aos materiais biológicos de origem humana.

(7) Alínea i) do artigo 3.o da Recomendação Rec(2006) 4. (tradução oficiosa).

(8) Grupo de Trabalho de Protecção de Dados do artigo 29.o, Parecer 4/2007, p. 18.

(9) Alínea ii) do artigo 3.o da Recomendação Rec(2006) 4. (tradução oficiosa).

(10) Uma vez que os dadores de órgãos são muitas vezes dadores de tecidos, existe a necessidade de rastrear e informar sobre qualquer reacção adversa inesperada também no sistema de vigilância dos tecidos e, portanto, é exigida a interoperabilidade com o método de identificação indirecto utilizado neste sistema. Ver: Directiva 2004/23/CE do Parlamento Europeu e do Conselho de 31 de Março de 2004 relativa ao estabelecimento de normas de qualidade e segurança em relação à dádiva, colheita, análise, processamento, preservação, armazenamento e distribuição de tecidos e células de origem humana, JO L 102/48, 7.4.2004, e Directiva da Comissão 2006/86/CE de 24 de Outubro de 2006 que aplica a Directiva 2004/23/CE do Parlamento Europeu e do Conselho no que se refere aos requisitos de rastreabilidade, à notificação de reacções e incidentes adversos graves e a determinados requisitos técnicos para a codificação, processamento, preservação, armazenamento e distribuição de tecidos e células de origem humana, JO L 294/32, de 25.10.2006.

(11) Este código inclui um número de identificação único para cada dádiva, que, juntamente com o estabelecimento manipulador de tecidos e a identificação do produto, permite retroceder até aos dadores e receptores. Mais especificamente, de acordo com o artigo 10.o da Directiva 2006/86/CE, «é atribuído um código de identificação europeu único a todo o material doado no serviço manipulador de tecidos, para assegurar a identificação correcta do dador e a rastreabilidade de todo o material doado e para fornecer informação sobre as principais características e propriedades dos tecidos e células». Tal como descrito no anexo VII à presente directiva, o código tem duas partes: a) identificação da dádiva, incluindo um número de identificação único para a dádiva e a identificação do serviço manipulador de tecidos, e b) identificação do produto, incluindo o código do produto, o número de fraccionamento e a data de validade.

(12) Esta observação foi também feita pela AEPD nas observações de 19.9.2006 relativas à consulta pública sobre a futura acção europeia no domínio da dádiva e transplante de órgãos.

(13) Nosso sublinhado.

(14) Garantindo que a informação é apenas acessível às pessoas com acesso autorizado (definição ISO, fonte: http://www.wikipedia.org).

(15) O termo «anonimato», dependendo do contexto em que é aplicado, é por vezes utilizado para implicar dados indirectamente identificáveis, como no caso das estatísticas. No entanto, de um ponto de vista da protecção de dados, isto não está correcto como explicou a AEPD nos pareceres sobre a proposta de regulamento do Parlamento Europeu e do Conselho relativo às estatísticas comunitárias sobre saúde pública e saúde e segurança no trabalho [COM(2007) 46 final], e sobre a proposta de regulamento do Parlamento Europeu e do Conselho relativo às estatísticas europeias [COM(2007) 625 final].

(16) Conselho da Europa, Protocolo Adicional à Convenção sobre os Direitos do Homem e a Biomedicina, relativo ao Transplante de Órgãos e Tecidos de Origem Humana, Estrasburgo, 24.1.2002, ver quadro de ratificação http://conventions.coe.int/Treaty/Commun/QueVoulezVous.asp?NT=186&CM=8&DF=2/13/2009&CL=ENG (tradução oficiosa). Ver igualmente: Conselho da Europa, Convenção para a Protecção dos Direitos do Homem e da Dignidade do Ser Humano face às Aplicações da Biologia e da Medicina: Convenção sobre os Direitos do Homem e a Biomedicina, Oviedo, 4.4.1997, ver quadro de ratificação http://conventions.coe.int/Treaty/Commun/QueVoulezVous.asp?NT=164&CM=8&DF=2/13/2009&CL=ENG

(17) Garantir que os dados são completos, a condição em que esses dados são mantidos idênticos durante qualquer operação (como transferência, armazenamento ou recuperação), a preservação de dados para a utilização prevista, ou, em relação a operações específicas, a previsão a priori da qualidade dos dados. Mais simplesmente, a integridade dos dados é a garantia de que os dados são coerentes e correctos (fonte: http://www.wikipedia.org); garantir que o acesso e a alteração da informação só podem ser efectuados pelas pessoas autorizadas para o efeito (fonte: http://searchdatacenter.techtarget.com).

(18) Responsabilidade de responder pelas suas acções; não-rejeição: garantir que os dados foram enviados e recebidos pelas partes que alegam tê-los enviado e recebido: o conceito de garantir que uma parte num diferendo não possa rejeitar ou refutar a validade de uma declaração (fonte: http://www.wikipedia.org).

(19) Com que rapidez se pode aceder a esses dados (fonte: http://www.pcmag.com).

(20) Note-se que o mero facto de um órgão ser transplantado para um receptor constitui um dado pessoal sensível sobre a saúde dessa pessoa.

(21) Os dadores potenciais, que não são candidatos ideais a dadores, mas que podem ser considerados em determinadas circunstâncias, p.ex. para receptores idosos. Ver: Documento de trabalho da Comissão que acompanha a proposta de directiva do Parlamento Europeu e do Conselho relativa a normas de qualidade e segurança dos órgãos humanos destinados a transplante e Comunicação do Plano de Acção da Comissão sobre dádiva e transplante de órgãos (2009-2015): Reforço da cooperação entre Estados-Membros, Avaliação de Impacto, 8.12.2008.

(22) O equivalente electrónico de um cartão de identidade que autentica o autor de uma assinatura digital (fonte: http://www.ffiec.gov/ffiecinfobase/booklets/e_banking/ebanking_04_appx_b_glossary.html).

(23) Uma infra-estrutura chave pública (PKI) é um conjunto de hardware, software, pessoas, políticas e procedimentos necessários para criar, gerir, distribuir e retirar certificados digitais (fonte: http://www.wikipedia.org).

(24) Parecer da AEPD de 2 de Dezembro de 2008 relativo à proposta de directiva relativa à aplicação dos direitos dos doentes em matéria de cuidados de saúde transfronteiriços.

(25) Ver Grupo de Trabalho de Protecção de Dados do artigo 29.o, Parecer 4/2007, p. 18, relativo aos dados sob pseudónimo e codificados com chave.