PT Jornal Oficial da União Europeia C 190/2

Parecer da Autoridade Europeia para a Protecção de Dados sobre a proposta de decisão do Conselho relativa à posição da União no Comité Misto de Cooperação Aduaneira UE-Japão no que se refere ao reconhecimento mútuo dos programas relativos aos operadores económicos autorizados na União Europeia e no Japão

2010/C 190/02

A AUTORIDADE EUROPEIA PARA A PROTECÇÃO DE DADOS,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 16.o,

Tendo em conta a Carta dos Direitos Fundamentais da União Europeia, nomeadamente o artigo 8.o,

Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1),

Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (2), nomeadamente o artigo 41.o,

ADOPTOU O SEGUINTE PARECER:

I. INTRODUÇÃO

1. Em 19 de Fevereiro de 2010, a Comissão adoptou uma proposta de decisão do Conselho relativa à posição da União no Comité Misto de Cooperação Aduaneira UE-Japão no que se refere ao reconhecimento mútuo dos programas relativos aos operadores económicos autorizados na União Europeia e no Japão (3).

2. A AEPD não foi consultada, apesar de tal consulta ser exigida no artigo 28.o, n.o 2, do Regulamento (CE) n.o 45/2001. O presente parecer baseia-se, por conseguinte, no artigo 41.o, n.o 2, do mesmo regulamento. A AEPD recomenda que seja feita referência ao presente parecer no preâmbulo da decisão.

3. A AEPD identificou algumas insuficiências e falta de clareza no que respeita à protecção de dados pessoais. Após uma descrição do contexto e dos antecedentes da proposta no capítulo III, estas observações serão desenvolvidas no capítulo IV.

II. CONSULTA À AEPD

4. A AEPD publicou um documento de orientação política que descreve o seu papel consultivo: A AEPD enquanto conselheira das instituições comunitárias sobre propostas legislativas e documentos conexos (4). Este papel consultivo baseia-se nos artigos 28.o, n.o 2 e 41.o do Regulamento (CE) n.o 45/2001. Além disso, o Considerando 17 do Regulamento especifica que «A eficácia da protecção das pessoas no que se refere ao tratamento de dados pessoais na União requer a coerência das regras e dos procedimentos aplicáveis na matéria às actividades que têm por base diferentes quadros jurídicos». Na verdade, a coerência deve ser considerada um elemento indispensável para alcançar um elevado grau de protecção dos dados a nível europeu, o que também inclui a acção externa da União.

5. Esta ampla responsabilidade da AEPD foi reconhecida pela Comissão Europeia e é prática instituída da Comissão consultar a AEPD sobre todas as propostas relevantes, referentes a instrumentos legislativos e não legislativos. O âmbito da função consultiva da AEPD abrange todas as «questões relativas ao tratamento de dados pessoais». Isto significa que toda a legislação que inclua disposições em matéria de tratamento de dados pessoais ou disposições que afectem (ou possam afectar) esse tratamento deve ser objecto de consulta. O mesmo se aplica a todos os instrumentos no âmbito das competências externas da União.

6. O documento de orientação política também descreve o calendário das consultas. Uma consulta realizada no início do processo legislativo permite que a AEPD actue com eficácia e proponha alterações a um texto. Esta consulta informal sobre o projecto de texto deve ser enviada à AEPD pelo serviço responsável da Comissão, se for caso disso, antes da adopção da proposta formal. Após a adopção da proposta, a segunda etapa é a consulta formal. Nesta fase, o parecer da AEPD é publicado no Jornal Oficial (série C).

7. No caso da presente proposta, como já foi dito, a AEPD não recebeu o projecto de proposta nem a proposta para consulta após a sua adopção. A AEPD está particularmente decepcionada com esta situação, uma vez que, como será a seguir explicado, o seu envolvimento teria constituído uma oportunidade ideal para acrescentar valor à proposta.

III. CONTEXTO E ANTECEDENTES DA PROPOSTA

8. A proposta tem por objectivo que os programas relativos aos operadores económicos autorizados (OEA) da União e do Japão sejam mutuamente reconhecidos e considerados compatíveis e equivalentes, e que os estatutos de OEA correspondentes, que venham a ser concedidos, sejam mutuamente aceites.

9. As relações aduaneiras UE-Japão baseiam-se no acordo de cooperação aduaneira e de assistência administrativa mútua em matéria aduaneira (a seguir designado por «acordo») (5), que entrou em vigor em 1 de Fevereiro de 2008. Ao abrigo do acordo, a cooperação aduaneira abrange todas as questões relacionadas com a aplicação da legislação aduaneira. O acordo lança também um apelo à União e ao Japão no sentido de envidarem esforços de cooperação a fim de desenvolver acções que visem a facilitação do comércio no domínio aduaneiro, em conformidade com as normas internacionais (6). O reconhecimento mútuo dos programas relativos aos operadores económicos autorizados (OEA) e das medidas de segurança reforça a segurança de toda a cadeia de abastecimento e facilita o comércio.

10. A proposta estipula também, designadamente, que compete às autoridades aduaneiras garantir a compatibilidade dos sistemas e que cada autoridade aduaneira concede benefícios comparáveis aos operadores económicos que tenham obtido o estatuto de OEA. É ainda especificado que as autoridades aduaneiras se devem esforçar no sentido de melhorar a comunicação e de trocar informações, enumerando-se na proposta os dados relativos aos OEA que devem ser incluídos nessa troca.

IV. ANÁLISE DA PROPOSTA

IV.1. Aplicabilidade da legislação relativa à protecção dos dados pessoais

11. A secção IV do Anexo da proposta diz respeito à comunicação e intercâmbio de informações. Nele se especifica que as informações e outros dados conexos, nomeadamente sobre os participantes nos programas, são trocados de forma sistemática por via electrónica. Menciona-se também os pormenores sobre os operadores económicos autorizados pelos programas relativos aos OEA que podem ser trocados, incluindo, por exemplo, o nome do operador económico com estatuto de OEA, o endereço do operador económico em causa, etc.

12. O regime aplicável aos OEA é estabelecido no artigo 5.o-A do Regulamento (CE) n.o 648/2005 do Parlamento Europeu e do Conselho (7), especificando-se que: «1. (…). Os operadores económicos autorizados beneficiam de facilitações no que respeita aos controlos aduaneiros relacionados com a segurança e protecção e/ou de simplificações previstas na legislação aduaneira. (…)».

13. O termo «operador económico» é definido no artigo 1.o, alínea 12), do Regulamento (CE) n.o 1875/2006 da Comissão (8) como «a pessoa que, no âmbito da sua actividade profissional, exerce actividades abrangidas pela legislação aduaneira». Um operador económico pode ser, por conseguinte, uma pessoa singular ou colectiva. O conceito de «operador económico» inclui os OEA, na acepção do n.o 9. Deste modo, as informações sobre alguns OEA podem ser consideradas como «dados pessoais» na acepção dos artigos 2.o, alínea a), do Regulamento (CE) n.o 45/2001 e da Directiva 95/46/CE, pelo menos as informações relativas aos OEA que são pessoas singulares. Mesmo as informações sobre OEA que sejam pessoas colectivas podem, em alguns casos, ser consideradas como dados pessoais. Nestes casos, o factor determinante é a informação ser «relativa a» uma pessoa singular «identificável» (9). Em consequência, não subsistem dúvidas de que podem ser trocados dados pessoais no contexto da proposta em causa.

14. Os dados pessoais serão tratados pelas autoridades aduaneiras. O artigo I, alínea 2), do anexo da proposta prevê que «As autoridades aduaneiras definidas no artigo 1.o, alínea c), do acordo (…) são responsáveis pela aplicação da presente decisão». A definição de referência é: «entende-se por “Autoridade aduaneira” (…), na Comunidade, os serviços competentes da Comissão das Comunidades Europeias responsáveis pelas questões aduaneiras e as autoridades aduaneiras dos Estados-Membros da Comunidade». Por conseguinte, tanto o Regulamento (CE) n.o 45/2001 como a Directiva 95/46/CE serão aplicáveis no quadro actual (10). O Regulamento (CE) n.o 45/2001 aplica-se ao tratamento pela Comissão e a Directiva 95/46/CE ao tratamento pelas autoridades aduaneiras nacionais.

IV.2. Transferências internacionais de dados pessoais

15. Tanto a Directiva como o Regulamento prevêem regras análogas em relação à circulação transfronteiras de dados pessoais, nos artigos 25.o-26.o e 9.o, respectivamente. O princípio neles estabelecido implica que os dados pessoais só podem ser transferidos de um Estado-Membro para um país terceiro se o país terceiro em questão assegurar um nível de protecção adequado (ou se forem adoptadas as garantias suficientes, ou ainda se alguma das excepções previstas for aplicável).

Declaração de adequação contida na proposta

16. A Exposição de Motivos inclui uma secção sobre a protecção de dados (a quinta). No ponto 11 declara-se que o regime de protecção dos dados japonês é considerado adequado, na acepção do artigo 9.o do Regulamento (CE) n.o 45/2001. O artigo 9.o trata do regime que deve ser respeitado em caso de transferência de dados pessoais para destinatários, distintos das instituições e dos órgãos comunitários, não abrangidos pela Directiva 95/46/CE, como é o caso de países terceiros como o Japão.

17. O artigo 9.o, n.o 1, do regulamento dispõe que «Os dados pessoais só podem ser transferidos para destinatários distintos das instituições e dos órgãos comunitários que não estejam sujeitos à legislação nacional aprovada por força da Directiva 95/46/CE, se for garantido um nível de protecção adequado no país do destinatário ou no quadro da organização internacional destinatária e se os dados forem transferidos exclusivamente para o desempenho de funções da competência do responsável pelo tratamento».

18. O artigo 9.o, n.o 2, especifica que a apreciação do nível de protecção assegurado pelo país terceiro ou pela organização internacional em questão é realizada em função de «todas as circunstâncias que envolvam a operação de transferência ou o conjunto das operações de transferência de dados». Além disso, apresenta alguns exemplos de aspectos a ter em conta na apreciação: «São nomeadamente tidas em conta a natureza dos dados, a finalidade e a duração do tratamento ou tratamentos projectados, o país terceiro ou a organização internacional destinatária, a legislação, geral ou sectorial, em vigor no país terceiro ou aplicável à organização internacional em causa, bem como as regras profissionais e as medidas de segurança aplicadas nesse país ou organização internacional». Esta lista não é exaustiva, havendo outros elementos que também podem ser pertinentes consoante o caso em apreço.

19. O artigo 9.o do Regulamento deve ser interpretado à luz dos artigos 25.o e 26.o da Directiva 95/46/CE. O artigo 25.o, n.o 6, da Directiva dispõe que «A Comissão pode constatar, nos termos do procedimento previsto no n.o 2 do artigo 31.o, que um país terceiro assegura um nível de protecção adequado na acepção do n.o 2 do presente artigo em virtude da sua legislação interna ou dos seus compromissos internacionais, (…)». O procedimento prescrito no artigo 31.o, n.o 2, da Directiva — um procedimento de comitologia — deve ser, por conseguinte, respeitado para se poder declarar que um país terceiro é «adequado».

20. No contexto da presente proposta, este procedimento não foi respeitado; em consequência, a declaração feita no ponto 11 a respeito da adequação do regime de protecção dos dados japonês viola o artigo 25.o, n.o 6, da Directiva. A AEPD recomenda, por isso, vivamente que esta declaração seja suprimida.

21. A AEPD reconhece que a secção IV, ponto 5), do anexo da proposta estipula que «As autoridades aduaneiras garantem a protecção dos dados em conformidade com o acordo, nomeadamente o seu artigo 16.o». O artigo 16.o refere-se ao «Intercâmbio de informações e confidencialidade» e especifica, no n.o 2, que «Os dados pessoais só podem ser permutados se a parte contratante que os deve receber se comprometer a aplicar-lhes um grau de protecção, pelo menos, equivalente ao aplicado, nesse caso particular, na parte contratante que os deve fornecer. A parte contratante que deve fornecer as informações não exigirá requisitos mais estritos que os que lhe são aplicáveis na sua própria jurisdição».

22. A AEPD gostaria de salientar, porém, que, como foi acima referido, o sistema utilizado para analisar o nível de protecção de um país terceiro é o da «adequação» e não o da «equivalência» (em conformidade com os actuais compromissos internacionais da União) (11). Em todo o caso, afigura-se que o artigo 16.o tem um carácter declarativo, uma vez que no acordo não são fornecidas quaisquer provas da existência de uma «equivalência» efectiva. Além disso, não refere a realização de qualquer análise da «equivalência» ou mesmo da «adequação». Por conseguinte, esta mera declaração contida no artigo 16.o não pode ser considerada um elemento decisivo numa apreciação da adequação, nem servir de base à declaração feita no ponto 11 da Exposição de Motivos.

Uma perspectiva mais ampla atendendo às especificidades do caso

23. Importa referir que a apreciação do nível de protecção existente em determinado país pode ser realizada a diversos níveis e com diferentes efeitos jurídicos pela Comissão Europeia, pelas autoridades responsáveis pela protecção de dados e pelos responsáveis pelo tratamento. Uma decisão sobre a adequação tomada pela Comissão Europeia com base no artigo 25.o, n.o 6, da Directiva 95/46/CE é vinculativa para os Estados-Membros. O mesmo se aplica às instituições e organismos da União Europeia nos termos do artigo 9.o, n.o 5, do regulamento. Na ausência de uma tal decisão, a apreciação da adequação é confiada, em muitos Estados-Membros, às autoridades responsáveis pela protecção de dados e, noutros Estados-Membros, aos responsáveis pelo tratamento dos dados, sob a supervisão das autoridades responsáveis pela protecção de dados. O artigo 9.o do regulamento segue claramente este último modelo.

24. Consequentemente, mesmo que um país não tenha sido globalmente declarado «adequado» de acordo com o procedimento mencionado no artigo 25.o, n.o 6, da directiva, o regime jurídico de protecção de dados aplicável a uma transferência específica ou a um conjunto de transferências específico pode ser considerado «adequado» pelo responsável pelo tratamento (no contexto a seguir explicado).

25. À luz do artigo 9.o, n.o 2, do regulamento (bem como do artigo 25.o, n.o 2, da directiva), o responsável pelo tratamento deve apreciar todas as circunstâncias que envolvam a operação de transferência ou o conjunto das operações de transferência de dados. A análise deve ser realizada in concreto, tendo em conta as características específicas (garantias e/ou riscos) da transferência ou do conjunto de transferências em questão. Esta apreciação chegará a uma conclusão sobre o nível de protecção existente em relação a uma transferência específica ou a um conjunto de transferências específico, e limitar-se-á às finalidades tidas em conta pelo responsável pelo tratamento e pelos destinatários no país de destino. Nesse caso, o responsável pelo tratamento assumirá a responsabilidade por verificar se as condições de adequação se encontram presentes. Quando a análise é efectuada pelo responsável pelo tratamento, a conclusão estará sujeita à supervisão da autoridade responsável pela protecção de dados.

26. O ponto 11 da Exposição de Motivos refere que o regime japonês considerado é a Lei das Actividades Aduaneiras (artigo 108.o, n.o 2), a Lei da Assistência Internacional na Investigação e outras Áreas Conexas (artigos 1.o e 3.o), a Lei dos Serviços Públicos Nacionais (artigo 100.o), a Lei sobre a Protecção dos Dados Pessoais Mantidos pelos Órgãos Administrativos (artigo 8.o) e a Lei sobre o Acesso aos Dados Mantidos pelos Órgãos Administrativos (artigo 5.o).

27. A AEPD não tem quaisquer provas de que este regime tenha sido avaliado à luz do Documento de Trabalho do Grupo de Trabalho de Protecção de Dados do Artigo 29.o (WP12) sobre «Transferência de dados pessoais para países terceiros: aplicação dos artigos 25.o e 26.o da Directiva comunitária relativa à protecção de dados», e de uma forma que respeite os princípios nele estabelecidos (12).

28. Importa recordar também que o método da adequação implica que tanto a letra como a prática da lei devem ser tidas em conta (abordagem objectiva e funcional). Deste modo, a consideração deste regime jurídico por si só não é prova suficiente de que as suas regras são aplicadas na prática.

29. Isto significa que se deve proceder a algum tipo de verificação da implementação e aplicação efectivas destas regras na prática, para determinar se está ou não, realmente, garantido um nível de protecção adequado para a operação de transferência de dados ou o conjunto de operações de transferência de dados em causa; neste caso, para o intercâmbio de informações no contexto dos programas relativos aos OEA.

30. Tendo isto em conta, os responsáveis pelo tratamento (neste caso, os serviços competentes da Comissão Europeia responsáveis pelas questões aduaneiras e as autoridades aduaneiras dos Estados-Membros da União) devem efectuar uma apreciação destinada a verificar se um país de destino (neste caso o Japão) garante efectivamente um nível de protecção adequado para as transferências em questão e limitada às finalidades e aos destinatários específicos nesse país (13) (isto é, o intercâmbio de dados para a aplicação dos programas relativos aos OEA). Contudo, tal apreciação não foi efectuada.

31. A proposta poderia ter seguido esta abordagem, em alternativa ao procedimento de apreciação da «adequação» do Japão acima descrito.

Outras alternativas

32. A proposta também poderia ter analisado se os responsáveis pelo tratamento podiam aduzir outros tipos de «garantias suficientes», nos termos dos artigos 9.o, n.o 7, do regulamento e 26.o, n.o 2, da directiva, ou se alguma das excepções mencionadas nos artigos 9.o, n.o 6, do regulamento ou 26.o, n.o 1, da directiva era aplicável (14).

IV.3. Requisitos adicionais da legislação relativa à protecção dos dados

Qualidade dos dados

33. O princípio da qualidade dos dados é descrito no artigo 4.o do regulamento. Este define, entre outros requisitos, que «Os dados pessoais devem ser: (…) c) Adequados, pertinentes e não excessivos relativamente às finalidades para que são recolhidos e/ou tratados posteriormente; (…)». As categorias de dados mencionadas na secção IV, ponto 4, parecem respeitar este princípio.

34. O artigo 4.o do regulamento especifica ainda: «Os dados pessoais devem ser: (…) e) Conservados de forma a permitir a identificação das pessoas em causa apenas durante o período necessário para a prossecução das finalidades para que foram recolhidos ou para que são tratados posteriormente. (…)». Por conseguinte, terá de ser definido um período de conservação para os dados pessoais a tratar posteriormente.

Direitos da pessoa em causa

35. A Comissão terá de prever mecanismos para garantir o exercício dos direitos da pessoa em causa, como o direito de acesso e de rectificação (artigos 13.o e 14.o do regulamento).

Obrigação de fornecer informações

36. Os artigos 11.o e 12.o do regulamento prevêem que seja fornecida informação à pessoa em causa e especificam o respectivo calendário. A Comissão terá de estabelecer o procedimento a seguir, determinando, por exemplo, se a informação será fornecida no momento da recolha dos dados (pelo país terceiro) ou pela própria Comissão.

V. CONCLUSÕES E RECOMENDAÇÕES

37. A AEPD lamenta que o procedimento de consulta descrito no capítulo II não tenha sido respeitado.

38. A AEPD recomenda a supressão da declaração de adequação do regime japonês incluída no ponto 11 da Exposição de Motivos, uma vez que esta declaração não cumpre os requisitos do Regulamento (CE) n.o 45/2001 e da Directiva 95/46/CE. Recomenda ainda que se analisem as diversas possibilidades oferecidas pelo regulamento e pela directiva, a fim de garantir que as regras aplicáveis às transferências internacionais são respeitadas.

39. A AEPD recomenda também que a Comissão: — Defina um período de conservação para os dados pessoais a tratar posteriormente, — Preveja mecanismos para garantir o exercício dos direitos da pessoa em causa, — Estabeleça um procedimento para o fornecimento de informação às pessoas em causa.

Feito em Bruxelas, em 12 de Março de 2010. Peter HUSTINX Autoridade Europeia para a Protecção de Dados

(1) JO L 281 de 23.11.1995, p. 31.

(2) JO L 8 de 12.1.2001, p. 1.

(3) COM(2010) 55 final.

(4) O documento de orientação política está disponível no endereço: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/Publications/Papers/PolicyP/05-03-18_PP_EDPSadvisor_EN.pdf

(5) JO L 62 de 6.3.2008, p. 24.

(6) Artigo 4.o do acordo.

(7) JO L 117 de 4.5.2005, p. 13.

(8) JO L 360 de 19.12.2006, p. 64.

(9) Ver Grupo de Trabalho de Protecção de Dados do Artigo 29.o, Parecer n.o 4/2007 sobre o conceito de dados pessoais, WP 136, disponível em: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2007/wp136_pt.pdf, nomeadamente páginas 23 e 24.

(10) Artigos 3.o, n.o 1, do Regulamento (CE) n.o 45/2001 e da Directiva 95/46/CE.

(11) Ver artigo XIV do GATS: «Na condição de essas medidas não serem aplicadas de um modo que constitua um meio de discriminação arbitrária ou injustificável entre países em que existem condições idênticas, ou uma restrição dissimulada ao comércio de serviços, nenhuma disposição do presente acordo poderá ser interpretada no sentido de impedir a adopção ou a aplicação por qualquer membro de medidas: (…) c) Necessárias para garantir a observância das disposições legislativas e regulamentares que não sejam incompatíveis com o disposto no presente acordo, nomeadamente as relativas: (…) ii) à protecção da privacidade dos indivíduos relativamente ao processamento e divulgação de dados pessoais e à protecção da confidencialidade de registos e contas pessoais; (…)».

(12) Grupo de Trabalho de Protecção de Dados do Artigo 29.o, Documento de Trabalho «Transferência de dados pessoais para países terceiros: aplicação dos artigos 25.o e 26.o da Directiva comunitária relativa à protecção de dados», disponível em: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/1998/wp12_pt.pdf

(13) A AEPD fez uma interpretação semelhante no contexto de uma consulta recebida do OLAF sobre «Transfers of personal data to third countries: “adequacy” of signatories to Council of Europe Convention 108 (case 2009-0333)» [Transferências de dados pessoais para países terceiros: «adequação» dos signatários da Convenção n.o 108 do Conselho da Europa (processo 2009-0333)], disponível em: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Supervision/Adminmeasures/2009/09-07-02_OLAF_transfer_third_countries_EN.pdf

(14) Quanto ao artigo 26.o, n.o 1, da directiva, ver: Grupo de Trabalho do artigo 29.o, Documento de trabalho sobre uma interpretação comum do n.o 1 do artigo 26.o da Directiva 95/46/CE, WP114, disponível em: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2005/wp114_pt.pdf