Síntese do parecer da Autoridade Europeia para a Proteção de Dados sobre a proposta de regulamento relativo à segurança da informação nas instituições, órgãos e organismos da União

(O texto integral do presente parecer encontra-se disponível em inglês, francês e alemão no sítio Web da AEPD em www.edps.europa.eu)

(2022/C 258/06)

Em 22 de março de 2022, a Comissão Europeia adotou uma proposta de regulamento do Parlamento Europeu e do Conselho relativo à segurança da informação nas instituições, órgãos e organismos da União («a Proposta»).

A AEPD congratula-se com o objetivo da Proposta de melhorar a segurança da informação tratada pelas instituições da UE, mediante a instituição de regras comuns de segurança da informação, bem como a promoção de uma cultura coerente de segurança da informação num instrumento jurídico específico.

A AEPD observa que a segurança dos dados pessoais conforme estipulada no RPDUE tem um âmbito que apenas se sobrepõe parcialmente ao âmbito da segurança da informação nos termos da Proposta. Esta última debruça-se sobre a confidencialidade da informação, ao passo que o RPDUE assegura também a integridade e a disponibilidade. Ademais, as disposições relativas à segurança dos dados pessoais do RPDUE abordam especificamente os riscos para os direitos e as liberdades das pessoas singulares.

A Proposta exige que as instituições da UE adotem medidas de segurança da informação, que irão inevitavelmente envolver o tratamento de dados pessoais e dos dados de comunicações eletrónicas, incluindo os dados de tráfego. A AEPD considera que é forçoso tornar evidente que todas as medidas de segurança da informação que envolvam o tratamento de dados pessoais devem ser conformes com o quadro jurídico em vigor em matéria de proteção de dados e privacidade e as instituições da UE devem adotar garantias técnicas e organizativas pertinentes para assegurar esta conformidade de uma forma responsável.

Para alcançar segurança jurídica e previsibilidade, e para garantir a conformidade com o RPDUE, a AEPD recomenda vivamente que a Proposta, ou no mínimo, um ato delegado a ser subsequentemente adotado pela Comissão, defina claramente que atividades de tratamento de dados pessoais são permitidas para efeitos deste regulamento. A AEPD chama igualmente a atenção para a necessidade de garantir a conformidade com as regras do RPDUE no atinente a transferências de dados pessoais para países terceiros e organizações internacionais. Além disso, a AEPD recomenda que se explique num considerando que todas as disposições do RPDUE serão aplicáveis, nomeadamente as regras em matéria de transferências internacionais.

A AEPD salienta a importância de integrar a perspetiva da privacidade e da proteção de dados na gestão da segurança da informação, a fim de obter sinergias positivas entre a Proposta e a legislação em matéria de privacidade e proteção de dados, e formula recomendações específicas sobre de que forma essas sinergias podem ser obtidas, designadamente: uma obrigação específica aplicável aos funcionários da UE responsáveis pela segurança da informação de cooperar estreitamente com o encarregado da proteção de dados designado em conformidade com o artigo 43.o do RPDUE; a integração da criptografia de ponta a ponta na lista de medidas de segurança mínimas na Proposta, se for caso disso, e em especial ao trocar informações sensíveis não classificadas; e a promoção de uma gestão integrada dos riscos de segurança da informação e um processo integrado de tratamento de incidentes que sirva as obrigações de segurança da informação e de proteção de dados relativamente a notificações de violações.

1. INTRODUÇÃO E CONTEXTO

1. Em 22 de março de 2022, a Comissão Europeia adotou uma proposta de regulamento do Parlamento Europeu e do Conselho relativo à segurança da informação nas instituições, órgãos e organismos da União (1) («a Proposta»).

2. Na mesma data, a Comissão Europeia adotou outra proposta de regulamento que estabelece medidas destinadas a garantir um elevado nível comum de cibersegurança nas instituições, órgãos e organismos da União (2) («a Proposta Cibersegurança»).

3. Ambas as propostas tinham sido previstas pela Estratégia de cibersegurança da UE para a década digital apresentada em 16 de dezembro de 2020 (3) («a Estratégia»). O objetivo global da Estratégia era reforçar a autonomia estratégica da União nos domínios da cibersegurança e melhorar a sua resiliência e resposta coletiva, bem como desenvolver uma Internet mundial e aberta, com barreiras de segurança firmes para enfrentar os riscos que se colocam à segurança e aos direitos e liberdades fundamentais das pessoas na Europa (4).

4. A Proposta constitui uma das iniciativas regulamentares da Estratégia, em especial no domínio cibersegurança das instituições, órgãos e organismos da União («as instituições da UE»). De acordo com a Estratégia, a Proposta tem um objetivo duplo: — facilitar a interoperabilidade dos sistemas de informações classificadas, permitindo uma transferência de informações contínua entre as várias entidades, e — permitir uma abordagem interinstitucional do tratamento de informações classificadas e de informações sensíveis não classificadas, que poderia servir também de modelo para uma interoperabilidade entre os Estados-Membros, afirmando que a UE deve igualmente continuar a desenvolver a sua capacidade de comunicar de forma segura com os parceiros pertinentes, com base, na medida do possível, nos acordos e procedimentos existentes.

5. A AEPD observa que o objeto da Proposta em causa está também diretamente relacionado com a proposta de Diretiva do Parlamento Europeu e do Conselho relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União e que revoga a Diretiva (UE) 2016/1148 («Proposta SRI 2.0»). A AEPD recorda que emitiu o Parecer 5/2021 sobre a Estratégia de Cibersegurança (5) e a Diretiva SRI 2.0 («Parecer SRI 2.0») (6). Por este motivo, o presente parecer fará referência ao Parecer SRI 2.0.

6. De acordo com a exposição de motivos da Proposta, devido ao número crescente de informações sensíveis não classificadas «SNC») e de informações classificadas da União Europeia («ICUE») que as instituições da União têm de partilhar entre si, e tendo em conta a evolução dramática do panorama das ameaças, a administração europeia está exposta a ataques em todas as suas áreas de atividade. As informações tratadas pelas instituições europeias são muito atrativas para os perpetradores de ameaças e devem ser devidamente protegidas.

7. De acordo com a exposição de motivos, a Proposta iria: — estabelecer categorias de informações harmonizadas e abrangentes, bem como requisitos comuns de tratamento para todas as informações tratadas pelas instituições da UE, — criar um sistema de cooperação simplificado em matéria de segurança da informação entre as instituições da UE, capaz de promover uma cultura coerente de segurança da informação em toda a administração europeia. — modernizar as políticas de segurança da informação a todos os níveis de classificação/categorização, para todas as instituições da UE, tendo em conta a transformação digital e o desenvolvimento do teletrabalho como prática estrutural.

8. Em 22 de março de 2022, a Comissão consultou a Autoridade Europeia para a Proteção de Dados nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho («RPDUE») (7). As observações e recomendações constantes do presente parecer limitam-se às disposições da Proposta que são mais relevantes do ponto de vista da proteção de dados e da privacidade.

4. CONCLUSÕES

31. Tendo em conta o que precede, a AEPD formula as seguintes recomendações principais: — a AEPD recomenda vivamente que a Proposta defina claramente as atividades de tratamento de dados que são permitidas para efeitos deste regulamento, nomeadamente: a(s) finalidade(s) do tratamento; categorias de dados pessoais; categorias de titulares dos dados; definição de funções consoante aplicável (responsável pelo tratamento, subcontratante, responsáveis conjuntos pelo tratamento), períodos de conservação, destinatários em caso de transmissão a entidades não sujeitas ao RPDUE. A AEPD considera que estes elementos devem estar explicitamente previstos na Proposta, ou no mínimo, num ato delegado a adotar subsequentemente pela Comissão. A Proposta deverá prever essa delegação. — a AEPD recomenda que se explique num considerando que todas as disposições do RPDUE serão aplicáveis, nomeadamente as regras em matéria de transferências internacionais. O considerando 6 pode também ser usado para incluir quaisquer outras recomendações gerais em matéria de proteção de dados formuladas no presente parecer que não visam alterar as disposições substantivas. — a AEPD recomenda vivamente incluir a criptografia de ponta a ponta na lista de medidas de segurança mínimas na Proposta, se for caso disso, e em especial ao trocar informações sensíveis não classificadas. — a AEPD recomenda aditar no artigo 5.o, n.o 3, que nos fatores em apreço pelo processo de gestão dos riscos de segurança da informação, também devem ser consideradas as ameaças resultantes do acesso baseado na jurisdição de países terceiros (por exemplo, pelas respetivas autoridades públicas). — a AEPD aconselha vivamente explicar no considerando pertinente os benefícios de dispor de uma gestão integrada dos riscos de segurança da informação e de um processo integrado de tratamento de incidentes que sirva as obrigações de segurança da informação e de proteção de dados relativamente a notificações de violações. — a AEPD aconselha vivamente que a Proposta preveja uma obrigação específica de os funcionários da UE responsáveis pela segurança da informação cooperarem estreitamente com o encarregado da proteção de dados designado em conformidade com o artigo 43.o do RPDUE, ao lidar com atividades como a aplicação da proteção de dados desde a conceção e, por defeito, às medidas de segurança da informação, ao selecionar medidas que envolvam dados pessoais, gestão integrada dos riscos, tratamento integrado de incidentes de segurança.

Bruxelas, 17 de maio de 2022. Wojciech Rafał WIEWIÓROWSKI

(1) COM(2022) 119 final.

(2) COM(2022) 122 final.

(3) Estratégia de cibersegurança da UE para a década digital(europa.eu) incluindo uma comunicação conjunta com o Alto Representante da União para os Negócios Estrangeiros e a Política de Segurança (JOIN(2020)18).

(4) Ver capítulo I. INTRODUÇÃO, página 4 da Estratégia.

(5) Comunicação conjunta da Comissão Europeia e do Alto Representante da União para os Negócios Estrangeiros e a Política de Segurança ao Parlamento Europeu e ao Conselho intitulada «Estratégia de Cibersegurança da UE para a Década Digital»

(6) Parecer da AEPD 5/2021 da sobre a Estratégia de Cibersegurança e a Diretiva SRI 2.0

(7) Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39).