Resumo do parecer da Autoridade Europeia para a Proteção de Dados sobre o Pacote da Comissão relativo à realização de eleições europeias livres e justas

(O texto integral do presente parecer encontra-se disponível em alemão, francês e inglês no sítio Web da AEPD em www.edps.europa.eu)

(2019/C 47/05)

O funcionamento da União baseia-se na democracia representativa. A comunicação política é essencial para a participação dos cidadãos, das forças políticas e dos candidatos na vida democrática e para o direito fundamental à liberdade de expressão. Estes direitos e liberdades são interdependentes do direito ao respeito pela vida privada e familiar, pelo domicílio e pela correspondência, e do direito à proteção dos dados pessoais. No início deste ano, no seu Parecer 3/2018 sobre a manipulação em linha, a AEPD salientou os riscos dos mercados concentrados para os direitos fundamentais.

No contexto do discurso de 2018 sobre o estado da União, a Comissão apresentou um pacote de segurança centrado em medidas destinadas a garantir eleições europeias livres e justas. Este pacote é composto por uma comunicação, um documento de orientação sobre a aplicação da legislação da União em matéria de proteção de dados no contexto eleitoral, uma recomendação e uma proposta de regulamento no que respeita a um procedimento de verificação de violações das regras em matéria de proteção de dados pessoais no âmbito das eleições para o Parlamento Europeu. A AEPD reconhece a referência feita ao papel das plataformas de comunicação social e à forma como esta iniciativa seria coerente com o Código de Conduta para combater a desinformação em linha. À luz das próximas eleições para o Parlamento Europeu, em maio do próximo ano, e das numerosas outras eleições nacionais previstas para 2019, a AEPD também reconhece as recomendações para a criação de redes eleitorais nacionais e de uma rede europeia de coordenação, e aproveita esta oportunidade para demonstrar a sua disponibilidade para participar nessa rede europeia. Tal complementaria a ação da AEPD neste domínio, em particular o workshop que organiza em fevereiro do próximo ano. A AEPD reconhece ainda a recomendação aos Estados-Membros no sentido de efetuarem uma avaliação abrangente dos riscos associados às eleições para o Parlamento Europeu, com vista a identificar potenciais incidentes cibernéticos que possam afetar a integridade do processo eleitoral, e sublinha a urgência desta questão.

Em termos gerais, a AEPD considera que, para maior clareza, poderia ter sido incluída uma referência ao tratamento de dados pessoais pelo Parlamento Europeu, pela Autoridade para os Partidos Políticos Europeus e as Fundações Políticas Europeias e pelo Comité de Personalidades Independentes, no âmbito do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (1) [anteriormente, Regulamento (CE) n.o 45/2001]. Além disso, e mais especificamente, a AEPD faz várias recomendações em relação ao regulamento proposto, entre as quais a clarificação do âmbito das medidas e dos objetivos complementares dessas sanções, a inclusão das decisões da AEPD em que se conclua existir uma infração ao Regulamento (UE) 2018/1725, e a referência ao atual quadro jurídico em matéria de proteção de dados para a cooperação entre as autoridades nacionais de supervisão da proteção de dados e a AEPD, bem como a garantia da confidencialidade do intercâmbio de informações no contexto da cooperação entre as autoridades de supervisão da proteção de dados e o Comité de Personalidades Independentes.

1. Introdução e contexto

1. No contexto do discurso de 2018 sobre o estado da União, a Comissão apresentou, em 12 de setembro de 2018, um pacote de segurança que visa garantir a realização de eleições europeias livres e justas. Esse pacote é composto por uma proposta legislativa acompanhada de três medidas não legislativas: — uma Proposta de Regulamento do Parlamento Europeu e do Conselho que altera o Regulamento (UE, Euratom) n.o 1141/2014 no que diz respeito a um procedimento de verificação de violações das regras em matéria de proteção de dados pessoais no âmbito das eleições para o Parlamento Europeu [COM(2018) 636 final/2] (a seguir designado «o regulamento proposto»); — uma Comunicação intitulada «Garantir eleições europeias livres e justas» [COM(2018) 637 final] (a seguir designada «a Comunicação»); — uma Recomendação sobre as redes de cooperação eleitoral, a transparência em linha, a proteção contra incidentes de cibersegurança e a luta contra as campanhas de desinformação no âmbito das eleições para o Parlamento Europeu [C(2018) 5949 final] (a seguir designada «a Recomendação») e — Orientações relativas à aplicação da direito da União em matéria de proteção de dados no contexto eleitoral [COM(2018) 638 final] (a seguir designadas «as Orientações»).

2. Este pacote foi adotado com vista a garantir eleições justas e livres para o Parlamento Europeu a realizar em maio de 2019, tendo em conta os novos desafios colocados pela comunicação em linha e revelações recentes, como o caso «Facebook/Cambridge Analytica». ( 2 ) É apresentado juntamente com uma proposta de Regulamento do Parlamento Europeu e do Conselho que estabelece o Centro Europeu de Competências Industriais, Tecnológicas e de Investigação em Cibersegurança e a Rede de Centros Nacionais de Coordenação [COM(2018) 630 final] ( 3 )

3. É complementar à Comunicação da Comissão, de 26 de abril de 2018, intitulada «Combater a desinformação em linha: uma estratégia europeia» [COM(2018) 236 final], que visa promover um ambiente digital mais transparente, fiável e responsável. Um dos seus principais resultados, o Código de Conduta autorregulador em matéria de desinformação, foi publicado em 26 de setembro de 2018. A Comissão publicou igualmente o parecer do Painel de Auscultação do Fórum Multilateral sobre o Código de Conduta ( 4 ) . As ações previstas nesta Comunicação, incluindo o Código de Conduta, complementam o trabalho em curso do SEAE. Na sequência das conclusões do Conselho Europeu de 28 de junho de 2018 ( 5 ) , a Comissão e a alta representante da União para os Negócios Estrangeiros e a Política de Segurança apresentarão, até ao final do ano, em cooperação com os Estados-Membros, um plano de ação revisto de luta contra a desinformação ( 6 )

4. prever sanções financeiras para os partidos políticos europeus e as fundações políticas europeias que violam as regras em matéria de proteção de dados para influenciar ou tentar influenciar de forma deliberada os resultados das eleições para o Parlamento Europeu » acrescentada à lista de infrações que impedem um partido político europeu ou uma fundação política europeia de solicitar financiamento do orçamento geral da União Europeia no ano em que a sanção foi imposta » o GDPR ») a informarem imediata e proativamente a Autoridade para os Partidos Políticos Europeus e as Fundações Políticas Europeias (a seguir designada « a Autoridade ») numa tentativa de influenciar as eleições para o Parlamento Europeu » apliquem sanções adequadas » ( 12 ). O regulamento proposto visa « ( 7 ) . Para além das sanções financeiras que poderão ser impostas aos partidos políticos europeus ou às fundações políticas europeias, correspondentes a 5 % do seu orçamento anual ( 8 ) , uma nova situação será « ( 9 ) . Na sua Recomendação, a Comissão incentiva as autoridades nacionais de supervisão da proteção de dados criadas ao abrigo do Regulamento Geral sobre a Proteção de Dados (a seguir designado «») a informarem imediata e proativamente a Autoridade para os Partidos Políticos Europeus e as Fundações Políticas Europeias (a seguir designada «») ( 10 ) de qualquer decisão que conclua que uma pessoa singular ou coletiva violou as regras aplicáveis em matéria de proteção dos dados pessoais, sempre que a infração esteja associada a atividades políticas de um partido político europeu ou de uma fundação política europeia « ( 11 ) . A Comissão recomenda igualmente que, nos casos que envolvem partidos políticos ou fundações a nível nacional e regional, os Estados-Membros «

5. deverá contribuir para detetar rapidamente potenciais ameaças para as eleições para o Parlamento Europeu e aplicar prontamente as regras em vigor, designadamente as sanções aplicáveis no contexto eleitoral pertinente, por exemplo, eventuais sanções financeiras como o reembolso das contribuições públicas » ( 16 ). Além disso, a Recomendação encoraja a criação de uma rede eleitoral nacional em cada Estado-Membro, bem como de uma rede europeia de coordenação das eleições para o Parlamento Europeu ( 13 ) . Esta última resulta do primeiro intercâmbio organizado pela Comissão entre os países da UE sobre as melhores práticas eleitorais, em abril de 2018. Seria composta por pontos de contacto nacionais e deveria reunir-se em janeiro e abril de 2019. ( 14 ) Está prevista como um processo de alerta europeu em tempo real e como um fórum de intercâmbio de informações. As redes nacionais visariam, nomeadamente, o intercâmbio de informações sobre questões suscetíveis de afetar as eleições europeias, entre as autoridades nacionais competentes em matéria eleitoral e em matéria de cibersegurança, bem como entre as autoridades nacionais de proteção de dados e as autoridades ou organismos nacionais de regulação do audiovisual. A Comissão recomenda que estas redes nacionais consultem e cooperem com as autoridades nacionais competentes em matéria de aplicação da lei, em conformidade com a legislação nacional ( 15 ) , e que, se for caso disso, a Europol possa facilitar a cooperação entre as autoridades nacionais responsáveis pela aplicação da lei a nível europeu. De acordo com a Comissão, a criação dessas redes nacionais «

6. Por último, a Comissão apresenta várias recomendações ( 17 ) para facilitar a transparência da propaganda política antes das eleições para o Parlamento Europeu e incentiva os Estados-Membros a tomarem medidas adequadas no domínio da cibersegurança do processo eleitoral do Parlamento Europeu e a participarem em atividades de sensibilização com terceiros, incluindo plataformas em linha e fornecedores de tecnologias da informação, que visem aumentar a transparência das eleições e reforçar a confiança no processo eleitoral.

7. têm de fazer pleno uso dos seus poderes reforçados para fazer face a eventuais infrações » ( 18 ). As Orientações destacam o quadro existente da União em matéria de proteção de dados e a sua aplicação no contexto eleitoral. Segundo a Comissão, dado que é a primeira vez que o GDPR será aplicado no contexto eleitoral europeu, é importante que todos os intervenientes nos processos eleitorais compreendam claramente a melhor forma de aplicar estas regras. A Comissão sublinha que as autoridades nacionais de proteção de dados «

8. proteger os sistemas democráticos da União e combater a desinformação, incluindo no contexto das próximas eleições europeias, no pleno respeito pelos direitos fundamentais. A este respeito, as medidas propostas pela Comissão sobre as redes de cooperação eleitoral, a transparência em linha, a proteção contra incidentes de cibersegurança, a manipulação ilícita de dados e a luta contra as campanhas de desinformação, e o reforço das regras de financiamento dos partidos políticos europeus merecem uma rápida análise e seguimento operacional pelas autoridades competentes Em 18 de outubro de 2018, o Conselho Europeu apelou a que sejam tomadas medidas para « ( 19 ) ».

9. as medidas propostas pela Comissão para assegurar a realização de eleições europeias livres e justas, em especial a alteração legislativa destinada a tornar mais rigorosas as regras relativas ao financiamento dos partidos políticos europeus, que prevê a possibilidade de imposição de sanções financeiras em caso de violação das regras em matéria de proteção de dados para influenciar deliberadamente os resultados das eleições europeias » e que « o tratamento de dados pessoais por partidos políticos na UE está sujeito ao GDPR e que a violação de princípios, direitos e obrigações previstos neste ato legislativo comportará multas e sanções adicionais ». A resolução considera que « a interferência nas eleições constitui um enorme risco para a democracia, e que para fazer face a esse risco é necessário um esforço conjunto dos prestadores de serviços, das entidades reguladoras e dos intervenientes e partidos políticos » e congratula-se com este pacote da Comissão Em 25 de outubro de 2018, o Parlamento Europeu aprovou uma resolução em que recorda «» e que «». A resolução considera que «» e congratula-se com este pacote da Comissão ( 20 ) . Em 3 de dezembro de 2018, a Comissão das Liberdades Cívicas, da Justiça e dos Assuntos Internos do Parlamento Europeu adotou o seu parecer sobre a proposta de Regulamento ( 21 ) . Em 6 de dezembro de 2018, a Comissão dos Assuntos Constitucionais aprovou o seu relatório sobre a proposta de Regulamento ( 22 )

10. A Autoridade Europeia para a Proteção de Dados (a seguir designada « a AEPD ») congratula-se com a consulta informal da Comissão sobre a proposta de Regulamento, a Recomendação e as Orientações antes da sua adoção e com o facto de parte das suas observações informais ter sido tida em conta. Sublinha, no entanto, que, devido à curta notificação, essas foram observações preliminares. Por conseguinte, elabora as seguintes observações formais. A este respeito, a AEDP gostaria de recordar que, ao adotar uma proposta legislativa relativa à proteção dos direitos e liberdades das pessoas no que diz respeito ao tratamento de dados pessoais, como é o caso aqui, a Comissão deve consultar a AEPD.

3. Conclusão

36. A AEPD reconhece que a comunicação política é essencial para a participação dos cidadãos, das forças políticas e dos candidatos na vida democrática e para o direito fundamental à liberdade de expressão, e que esses direitos e liberdades são interdependentes do direito, previsto no artigo 7. o da Carta, ao respeito pela vida privada e familiar, pelo domicílio e pela correspondência, bem como do direito, previsto no artigo 8. o da Carta, à proteção dos dados pessoais.

37. Reconhece a referência feita, em particular na Comunicação e nas Orientações, ao papel das plataformas de comunicação social e à forma como esta iniciativa seria coerente com o Código de Conduta sobre a desinformação em linha.

38. À luz das próximas eleições para o Parlamento Europeu, em maio deste ano, e das numerosas outras eleições nacionais previstas para 2019, a AEPD também reconhece as recomendações para a criação de redes eleitorais nacionais e de uma rede europeia de coordenação, e aproveita esta oportunidade para demonstrar a sua disponibilidade para participar nessa rede europeia. Tal complementaria a ação da AEPD neste domínio, em particular o workshop que organiza em fevereiro deste ano.

39. A AEPD reconhece ainda a recomendação aos Estados-Membros no sentido de efetuarem uma avaliação abrangente dos riscos associados às eleições para o Parlamento Europeu, com vista a identificar potenciais incidentes cibernéticos que possam afetar a integridade do processo eleitoral, e sublinha a urgência desta questão.

40. De um modo geral, a AEPD considera que, para maior clareza, poderia ter sido incluída uma referência ao tratamento de dados pessoais pelo Parlamento Europeu, pela Autoridade para os Partidos Políticos Europeus e as Fundações Políticas Europeias e pelo Comité de Personalidades Independentes, no âmbito do Regulamento (UE) 2018/1725 relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados [anteriormente, Regulamento (CE) n. o 45/2001].

41. Além disso, e mais especificamente, a AEPD faz várias recomendações em relação ao regulamento proposto, entre as quais: — clarificar o âmbito das medidas e os objetivos complementares dessas sanções; — incluir as decisões da AEPD em que se conclua existir uma infração ao Regulamento 2018/1725; — incluir uma referência ao atual quadro jurídico em matéria de proteção de dados para a cooperação entre as autoridades nacionais de supervisão em matéria de proteção de dados e a AEPD; e — assegurar a confidencialidade do intercâmbio de informações no contexto da cooperação entre as autoridades de controlo da proteção de dados e o Comité de Personalidades Independentes.

Bruxelas, 18 de dezembro de 2018. Giovanni BUTTARELLI Autoridade Europeia para a Proteção de Dados

(1) JO L 295 de 21.11.2018, p. 39.

(2) Comunicação, p. 2.

(3) http://europa.eu/rapid/press-release_IP-18-5681_pt.htm

(4) O Código e o seu anexo, bem como o parecer do Painel de Auscultação, estão disponíveis no seguinte endereço: https://ec.europa.eu/digital-single-market/en/news/code-practice-disinformation.

(5) Disponível em: https://www.consilium.europa.eu/media/35936/28-euco-final-conclusions-en.pdf.

(6) Comunicação, p. 10.

(7) Exposição de motivos do regulamento proposto, p. 2.

(8) Ver artigo 27.o, n.o 4, alínea a), do Regulamento n.o 1141/2014 e a ficha informativa da Comissão sobre eleições europeias livres e justas, disponível em: https://ec.europa.eu/commission/sites/beta-political/files/soteu2018-factsheet-free-fair-elections_pt.pdf.

(9) Exposição de motivos do regulamento proposto, p. 6.

(10) Esta Autoridade foi instituída pelo Regulamento n.o 1141/2014 (artigo 6.o).

(11) Recomendação 6. Além disso, na sua Comunicação, p. 7, a Comissão «apela aos Estados-Membros que promovam, em conformidade com a legislação nacional e da União aplicável, a partilha de informações por parte das autoridades de proteção de dados com as autoridades responsáveis pelo acompanhamento das eleições e o controlo do financiamento e das atividades dos partidos políticos, quando decorre das suas decisões, ou quando haja motivos razoáveis para crer, que uma infração está ligada a atividades políticas de fundações ou partidos políticos nacionais no contexto das eleições para o Parlamento Europeu ». Sublinhado nosso.

(12) Recomendação 11.

(13) Recomendações 1 a 5.

(14) Comunicação, p. 7, e ficha informativa da Comissão sobre eleições europeias livres e justas, disponível em: https://ec.europa.eu/commission/sites/beta-political/files/soteu2018-factsheet-free-fair-elections_pt.pdf.

(15) Comunicação, nota de rodapé 20: «Trata-se, em especial, de casos em que um processo eleitoral é visado com intenções maliciosas, incluindo incidentes baseados em ataques contra sistemas de informação. Consoante as circunstâncias, podem ser adequadas investigações criminais que possam resultar em sanções penais. Tal como referido supra, as definições de infrações e de sanções mínimas e máximas relativas a ataques contra sistemas de informação foram harmonizadas pela Diretiva 2013/40/UE».

(16) Comunicação, p. 7.

(17) Recomendações 7 a 10 e 12 a 19.

(18) Comunicação, p. 8, ponto 3, «Aplicar as regras em matéria de proteção de dados no processo eleitoral».

(19) Conclusões disponíveis em: https://www.consilium.europa.eu/media/36793/18-euco-final-conclusions-pt.pdf.

(20) Ver pontos 10 a 12 da Resolução sobre a utilização pela Cambridge Analytica de dados dos utilizadores do Facebook e impacto na proteção de dados P8_TA-PROV(2018)0433 (2018/2855(RSP)), disponível em: http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//NONSGML+TA+P8-TA-2018-0433+0+DOC+PDF+V0//PT, sublinhado nosso.

(21) Disponível em: http://www.europarl.europa.eu/sides/getDoc.do?type=COMPARL&reference=PE-630.530&format=PDF&language=PT&secondRef=02

(22) Disponível em: http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//NONSGML+REPORT+A8-2018-0435+0+DOC+PDF+V0//PT