Resumo do parecer da Autoridade Europeia para a Proteção de Dados sobre a proposta de regulamento relativo à resiliência operacional digital do setor financeiro e que altera os regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014 e (UE) n.o 909/2014

(O texto integral do presente parecer encontra-se disponível em inglês, francês e alemão no sítio Web da AEPD em www.edps.europa.eu)

(2021/C 229/05)

A Comissão Europeia adotou, em 24 de setembro de 2020, uma proposta de regulamento relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014 e (UE) n.o 909/2014 (a seguir designada por «proposta»). A proposta estabelece um quadro abrangente sobre a resiliência operacional digital das entidades financeiras da UE, com base em cinco áreas-chave, a saber: a gestão dos riscos no domínio das tecnologias da informação e comunicação (TIC) (capítulo II), a gestão, classificação e comunicação de incidentes (capítulo III), a realização de testes de resiliência operacional digital (capítulo IV), a gestão dos riscos de terceiros e a regulamentação dos prestadores de serviços críticos no domínio das TIC (capítulo V), e a partilha de informações (capítulo VI).

A AEPD congratula-se com os objetivos da proposta e considera essencial para a estabilidade do mercado financeiro da União Europeia que as instituições financeiras contem com um quadro sólido, abrangente e bem documentado de gestão do risco no domínio das TIC.

A AEPD salienta a importância de assegurar que qualquer operação de tratamento no contexto das atividades das entidades financeiras se baseie num dos fundamentos jurídicos estabelecidos no artigo 6.o do RGPD (1). Além disso, a AEPD salienta a importância de as entidades financeiras incorporarem no seu quadro de resiliência operacional digital um mecanismo sólido de gestão da proteção de dados, que identifique claramente os papéis e as responsabilidades do responsável pelo tratamento e do subcontratante, bem como as atividades de tratamento que terão lugar.

No que se refere às transferências internacionais para terceiros prestadores de serviços de TIC estabelecidos num país terceiro, a AEPD recorda que qualquer transferência internacional de dados pessoais deve cumprir os requisitos do capítulo V do RGPD, tal como interpretados pela jurisprudência do TJUE, incluindo o acórdão Schrems II.

No que se refere aos acordos de partilha de informações e de dados entre as entidades financeiras sobre ciberameaças, a AEPD salienta que a proteção de dados pessoais não constitui um obstáculo à partilha de informações no setor financeiro. Pelo contrário, os requisitos relativos à proteção de dados devem ser considerados como requisitos básicos que devem ser cumpridos para garantir a salvaguarda dos direitos individuais. Neste contexto, a AEPD encoraja a adoção, também no setor financeiro, de códigos de conduta nos termos do artigo 40.o do RGPD, em especial para estabelecer claramente os papéis das principais partes interessadas no tratamento de dados pessoais, bem como para garantir um tratamento justo e transparente.

No que se refere à publicação das sanções administrativas, a AEPD recomenda que se incluam, entre os critérios de apreciação da autoridade competente, os riscos para a proteção dos dados pessoais das pessoas. Além disso, a AEPD recorda que o princípio da limitação da conservação exige que os dados pessoais sejam conservados por um período que não exceda o necessário para as finalidades para as quais são tratados.

No que respeita à notificação das violações de dados pessoais, a AEPD salienta que a redação do considerando 42 da proposta é incompatível com o artigo 33.o do RGPD. Por conseguinte, a AEPD recomenda a eliminação da referência às autoridades de proteção de dados no considerando 42 da proposta, bem como uma ligeira alteração do artigo 17.o da proposta, em conformidade com as recomendações do presente parecer.

1. CONTEXTO

1. A Comissão Europeia adotou, em 24 de setembro de 2020, uma proposta de regulamento relativo à resiliência operacional digital do setor financeiro e que altera os regulamentos (CE) n. o 1060/2009, (UE) n. o 648/2012, (UE) n. o 600/2014 e (UE) n. o 909/2014 (a seguir designada por « proposta »). A proposta estabelece um quadro abrangente sobre a resiliência operacional digital das entidades financeiras da UE, com base em cinco áreas-chave, a saber: a gestão dos riscos no domínio das tecnologias da informação e comunicação (TIC) (capítulo II), a gestão, classificação e comunicação de incidentes (capítulo III), a realização de testes de resiliência operacional digital (capítulo IV), a gestão dos riscos de terceiros e a regulamentação dos prestadores de serviços críticos no domínio das TIC (capítulo V), e a partilha de informações (capítulo VI).

2. Regulamento MiCA »), uma proposta relativa a um regime-piloto para as infraestruturas de mercado baseadas na tecnologia de registo distribuído ( distributed ledger technology , «DLT») o , n. o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho A presente proposta faz parte de um pacote que inclui igualmente uma proposta de regulamento relativa à criação de mercados de criptoativos ( 2 ) (a seguir designado por «»), uma proposta relativa a um regime-piloto para as infraestruturas de mercado baseadas na tecnologia de registo distribuído (, «DLT») ( 3 ) , e uma proposta para clarificar ou alterar determinadas regras conexas da UE em matéria de serviços financeiros ( 4 ) . A AEPD foi consultada sobre a proposta relativa ao regime-piloto para as infraestruturas de mercado com base na DLT e emitiu o seu parecer em 23 de abril de 2021 ( 5 ) . Foi igualmente consultada sobre o Regulamento MiCA em 29 de abril de 2021 e emitirá o seu parecer em conformidade com o artigo 42., n.1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho ( 6 )

3. Em 15 de março de 2021, a Comissão Europeia solicitou à Autoridade Europeia para a Proteção de Dados («AEPD») que emitisse um parecer sobre a proposta, em conformidade com o artigo 42. o , n. o 1, do Regulamento (UE) 2018/1725. As presentes observações respeitam exclusivamente às disposições da proposta que são pertinentes do ponto de vista da proteção de dados.

4. CONCLUSÕES

Tendo em conta o supramencionado, a AEPD:

— Salienta a importância de assegurar que qualquer operação de tratamento no contexto das atividades das entidades financeiras se baseie num dos fundamentos jurídicos estabelecidos no artigo 6.o do RGPD, e indica o artigo 6.o, n.o 1, alíneas c), e) e f), do RGPD como um fundamento jurídico possível a considerar pelas entidades financeiras.

— A AEPD salienta a importância de as entidades financeiras incorporarem no seu quadro de resiliência operacional digital um mecanismo sólido de gestão da proteção de dados, que identifique claramente os papéis e as responsabilidades do responsável pelo tratamento e do subcontratante, bem como as atividades de tratamento que terão lugar.

— A AEPD recorda que qualquer transferência internacional de dados pessoais por entidades financeiras para um terceiro prestador de serviços de TIC estabelecido num país terceiro deve cumprir os requisitos do capítulo V do RGPD e, quando efetuada, deve estar sujeita a garantias adequadas em conformidade com o quadro de proteção de dados e com a jurisprudência do TJUE, em especial o acórdão Schrems II. Tais entidades financeiras podem recorrer a cláusulas contratuais-tipo, uma vez que esse parece ser o instrumento de transferência mais relevante.

— A AEPD salienta que a proteção de dados pessoais não constitui um obstáculo à partilha de informações no setor financeiro. Pelo contrário, os requisitos relativos à proteção de dados devem ser considerados como requisitos básicos que devem ser cumpridos para garantir a salvaguarda dos direitos individuais no âmbito do quadro de resiliência operacional digital das entidades financeiras.

— A AEPD encoraja a adoção, também no setor financeiro, de códigos de conduta nos termos do artigo 40.o do RGPD, em especial para estabelecer claramente os papéis das principais partes interessadas no tratamento de dados pessoais, bem como para garantir um tratamento justo e transparente.

— No que se refere à publicação das sanções administrativas, a AEPD recomenda que se incluam, entre os critérios de apreciação da autoridade competente, os riscos para a proteção dos dados pessoais das pessoas.

— Em conformidade com o princípio da limitação da conservação, a AEPD recomenda que as entidades financeiras adotem medidas para garantir que as informações sobre as sanções administrativas sejam eliminadas do seu sítio Web uma vez decorrido o prazo de cinco anos, ou antes, se deixarem de ser necessárias.

— A AEPD salienta que a redação do considerando 42 da proposta é incompatível com o artigo 33.o do RGPD. Por conseguinte, a AEPD recomenda a eliminação da referência às autoridades de proteção de dados no considerando 42 da proposta, bem como a alteração do artigo 17.o da proposta para incluir uma referência à obrigação de notificação das violações de dados pessoais às autoridades competentes em matéria de proteção de dados.

— A AEPD recomenda a alteração do artigo 23.o, n.o 2, da proposta para garantir que os testes, o desenvolvimento de produtos ou a investigação dos sistemas de TIC não possam ser realizados em sistemas de produção ativos que contenham dados pessoais de clientes.

Bruxelas, 10 de maio de 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

(2) Proposta de regulamento do Parlamento Europeu e do Conselho relativo aos mercados de criptoativos e que altera a Diretiva (UE) 2019/1937, COM/2020/593 final. Disponível em EUR-Lex - 52020PC0593 - EN - EUR-Lex (europa.eu)

(3) Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO relativo a um regime-piloto para as infraestruturas de mercado baseadas na tecnologia de registo distribuído COM/2020/594 final, disponível em EUR-Lex - 52020PC0594 - EN - EUR-Lex (europa.eu)

(4) Proposta de diretiva do Parlamento Europeu e do Conselho que altera as Diretivas 2006/43/CE, 2009/65/CE, 2009/138/UE, 2011/61/UE, UE/2013/36, 2014/65/UE, (UE) 2015/2366 e UE/2016/2341, COM/2020/596 final. Disponível em EUR-Lex - 52020PC0596 - EN - EUR-Lex (europa.eu)

(5) Parecer 6/2021 sobre a Proposta de um regime-piloto para as infraestruturas de mercado baseadas na tecnologia de registo distribuído, disponível em 2021-0219_d0912_opinion_6_2021_en_0.pdf (europa.eu)

(6) Regulamento (UE) 2018/1727 do Parlamento Europeu e do Conselho, de 14 de novembro de 2018, que cria a Agência da União Europeia para a Cooperação Judiciária Penal (Eurojust), e que substitui e revoga a Decisão 2002/187/JAI do Conselho (JO L 295 de 21.11.2018, p. 138).