Síntese do parecer da Autoridade Europeia para a Proteção de Dados sobre duas propostas legislativas relativas ao combate à fraude ao IVA

(O texto integral do presente parecer encontra-se disponível em EN, FR e DE no sítio Web da AEPD em www.edps.europa.eu)

(2019/C 140/04)

Resumo

Com o presente Parecer, emitido nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (1), a AEPD apresenta recomendações que visam minimizar o impacto sobre o direito fundamental à privacidade e à proteção dos dados pessoais de duas propostas da Comissão relativas ao combate à fraude ao IVA no contexto do «comércio eletrónico» e, portanto, garantir a conformidade com o regime jurídico da proteção de dados aplicável.

Ao fazê-lo, a AEPD sublinha a necessidade de limitar estritamente as operações de tratamento previstas nas propostas ao objetivo do combate à fraude fiscal e de limitar a recolha e utilização de dados pessoais ao que é necessário e proporcionado ao objetivo prosseguido. Salienta, em especial, que, no contexto das referidas propostas, os dados sujeitos a tratamento não devem dizer respeito aos consumidores (ordenantes), mas apenas às empresas em linha (beneficiários). Tal limitaria o risco de utilização das informações para outros fins, tais como o controlo dos hábitos de compra dos consumidores. Congratulamo-nos com o facto de a Comissão ter seguido esta abordagem e recomendamos veementemente que a mesma seja mantida nas negociações com os co-legisladores até à aprovação final das propostas.

Além disso, nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725, a AEPD deseja salientar que espera ser consultada sobre o ato de execução que definirá, no futuro, o formato normalizado para a transmissão de informações pelos prestadores de serviços de pagamento à administração fiscal nacional, antes da sua adoção pela Comissão.

Uma vez que as propostas estabelecem, para além das bases de dados nacionais, uma base de dados eletrónica central (CESOP) que será desenvolvida, mantida, alojada e gerida pela Comissão, a AEPD recorda as suas orientações em matéria de governança e gestão das TI. A AEPD acompanhará a criação deste sistema informático enquanto Autoridade de Supervisão competente nos termos do Regulamento (UE) 2018/1725.

Finalmente, o presente Parecer fornece orientações sobre as condições e limites relativos à legalidade e adequação das restrições dos direitos dos titulares de dados, em conformidade com o RGPD e com o Regulamento (UE) 2018/1725.

I. INTRODUÇÃO E CONTEXTO

1.1. Contexto das propostas

1. o 282/2011 no que respeita a determinadas obrigações relativas ao imposto sobre o valor acrescentado para certos sujeitos passivos; Projeto de Proposta de Regulamento do Conselho que altera o Regulamento (UE) n. o 904/2010 no respeitante às medidas destinadas a reforçar a cooperação administrativa para combater a fraude ao IVA no domínio do «comércio eletrónico». A AEPD formulou observações informais em 18 de setembro de 2018. A este respeito, a AEPD confirma que acolhe com agrado a possibilidade de trocar pontos de vista com a Comissão numa fase inicial do processo de decisão política, com vista a minimizar os impactos das propostas sobre os direitos à privacidade e à proteção de dados Em 10 de setembro de 2018, a AEPD foi consultada a título informal pela Comissão Europeia sobre os seguintes projetos de proposta: Projeto de Proposta de Diretiva do Conselho, que altera a Diretiva 2006/112/CE no que diz respeito à introdução de determinadas obrigações aplicáveis aos prestadores de serviços de pagamento; Projeto de Proposta de Regulamento de Execução do Conselho que altera o Regulamento de Execução (UE) n.282/2011 no que respeita a determinadas obrigações relativas ao imposto sobre o valor acrescentado para certos sujeitos passivos; Projeto de Proposta de Regulamento do Conselho que altera o Regulamento (UE) n.904/2010 no respeitante às medidas destinadas a reforçar a cooperação administrativa para combater a fraude ao IVA no domínio do «comércio eletrónico». A AEPD formulou observações informais em 18 de setembro de 2018. A este respeito, a AEPD confirma que acolhe com agrado a possibilidade de trocar pontos de vista com a Comissão numa fase inicial do processo de decisão política, com vista a minimizar os impactos das propostas sobre os direitos à privacidade e à proteção de dados ( 2 )

2. o 904/2010 respeitante às medidas destinadas a reforçar a cooperação administrativa para combater a fraude ao IVA (a seguir «Regulamento do Conselho proposto») Em 12 de dezembro de 2018, a Comissão Europeia publicou uma Proposta de Diretiva do Conselho que altera a Diretiva 2006/112/CE no que se refere à introdução de determinados requisitos para os prestadores de serviços de pagamento (a seguir «Diretiva do Conselho proposta») ( 3 ) e uma proposta de regulamento do Conselho que altera o Regulamento (UE) n.904/2010 respeitante às medidas destinadas a reforçar a cooperação administrativa para combater a fraude ao IVA (a seguir «Regulamento do Conselho proposto») ( 4 ) , a seguir, coletivamente, «Propostas».

3. Em 14 de janeiro de 2019, a Comissão consultou a AEPD nos termos do artigo 42. o , n. o 1, do Regulamento (UE) 2018/1725.

4. A AEPD também chama atenção para o facto de as propostas de Regulamento e de Diretiva criarem, conforme salientado a seguir no presente Parecer, operações de tratamento de dados cuja entidade responsável pelo tratamento é a Comissão, em conformidade com o Regulamento (UE) 2018/1725. Recorda, portanto, que a AEPD é a autoridade de supervisão competente para o referido tratamento de dados.

1.2. Contexto das propostas

5. A AEPD observa que as Propostas, que são acompanhadas de uma avaliação de impacto ( 5 ) , visam resolver o problema da fraude ao IVA no contexto do «comércio eletrónico» através do reforço da colaboração entre as autoridades fiscais e os prestadores de serviços de pagamento (a seguir «PSP»).

6. Em especial, de acordo com a proposta de Diretiva do Conselho, os Estados-Membros devem adotar legislação que assegure que os PSP mantenham registos das operações de pagamento transfronteiras a fim de permitir às autoridades fiscais detetar fraudes ao IVA. A proposta de Regulamento do Conselho complementa o conjunto de medidas antifraude: a) Ao exigir que as autoridades competentes dos Estados-Membros recolham, partilhem e analisem as informações relativas às operações de pagamento descritas na proposta de Diretiva do Conselho; e b) Ao criar um sistema central eletrónico de informação («CESOP») para o qual os Estados-Membros transmitem as informações armazenadas a nível nacional. Posteriormente, os funcionários de ligação da rede Eurofisc teriam acesso ao CESOP para poderem analisar as informações aí armazenadas para os fins de investigação da fraude fiscal.

7. A AEPD reconhece os objetivos das propostas e, em especial, a necessidade de regulamentar esta matéria, estabelecendo medidas antifraude dirigidas às operações de comércio eletrónico. O presente parecer visa prestar aconselhamento pragmático sobre como minimizar o impacto do tratamento de dados pessoais desencadeado pelas propostas, assegurando o cumprimento da legislação de proteção de dados aplicável.

IV. CONCLUSÕES

17. Tendo em conta o acima exposto, a AEPD formula as seguintes recomendações: — alterar o considerando 11 da proposta de Diretiva do Conselho e o considerando 17 da proposta de Regulamento do Conselho, sobre a legislação de proteção de dados aplicável conforme indicado na secção 2.1 do presente parecer; — incluir a especificação da finalidade, conforme estabelecido no considerando 11 da Diretiva do Conselho e no considerando 17 do Regulamento do Conselho, na parte dispositiva da Diretiva do Conselho e do Regulamento do Conselho; — tendo em conta a base de dados central «CESOP», a Comissão deve assegurar o cumprimento das disposições relativas à segurança do tratamento de dados ao abrigo do Regulamento (UE) 2018/1725 e, em especial, respeitar as orientações da AEPD «Guidelines on the protection of personal data in IT governance and management of EU institutions» (orientações sobre a proteção de dados pessoais na governação e gestão das TI das instituições da UE); — no que diz respeito a possíveis restrições dos direitos dos titulares de dados: i. alterar a redação do Regulamento (UE) n.o 904/2010, na redação que lhe foi dada pelo Regulamento (UE) 2018/1541 do Conselho, em conformidade com o artigo 23.o do RGPD, deixando aos Estados-Membros a possibilidade de aplicar restrições (substituindo o termo «deve» por «pode [restringir]») ou, na medida em que as restrições sejam necessárias, prevendo-as diretamente no Regulamento (UE) n.o 904/2010, ii. inserir nos termos do artigo 24.o-E do Regulamento do Conselho, entre os elementos a definir posteriormente pela Comissão num futuro ato de execução, as possíveis restrições dos direitos dos titulares de dados, em conformidade com o artigo 25.o do Regulamento (UE) 2018/1725 e com as orientações emitidas pela AEPD sobre esta matéria [«Guidance on Article 25 of the new Regulation and internal rules» (orientações relativas ao artigo 25.o do novo regulamento e regras internas)]; — a Comissão deve, nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725, consultar a AEPD sobre o ato de execução relativo ao formato eletrónico normalizado para a transmissão da informações pelo PSP à autoridade fiscal competente do Estado-Membro onde o PSP estiver estabelecido, antes da sua adoção pela Comissão.

Bruxelas, 14 de março de 2019. Wojciech Rafał WIEWIÓROWSKI Autoridade Europeia para a Proteção de Dados

(1) JO L 295 de 21.11.2018, p. 39.

(2) Ver. considerando 60 do Regulamento (UE) 2018/1725: «A fim de assegurar a coerência das regras de proteção de dados em toda a União, quando a Comissão elaborar propostas ou recomendações, deverá esforçar-se por consultar a Autoridade Europeia para a Proteção de Dados. Essa consulta deverá ser obrigatória após a adoção de atos legislativos ou durante a elaboração de atos delegados e de atos de execução, conforme definido nos artigos 289.o, 290.o e 291.o do TFUE, e após a adoção de recomendações e de propostas relativas a acordos com países terceiros e com organizações internacionais, tal como previsto no artigo 218.o do TFUE, com impacto no direito à proteção de dados pessoais. Nesses casos, a Comissão deverá ser obrigada a consultar a Autoridade Europeia para a Proteção de Dados, exceto nos casos em que o Regulamento (UE) 2016/679 preveja a consulta obrigatória do Comité Europeu para a Proteção de Dados, por exemplo, sobre decisões de adequação ou atos delegados relativos a ícones normalizados e requisitos aplicáveis aos procedimentos de certificação.»

(3) Proposta de Diretiva do Conselho que altera a Diretiva 2006/112/CE no que se refere à introdução de determinados requisitos para os prestadores de serviços de pagamento, COM(2018) 812 final, proc. 2018/0412 (CNS).

(4) Proposta de Regulamento do Conselho que altera o Regulamento (UE) n.o 904/2010 respeitante às medidas destinadas a reforçar a cooperação administrativa para combater a fraude ao IVA, COM (2018) 813 final, proc. 2018/0413 (CNS).

(5) Documento de trabalho dos serviços da Comissão «Impact Assessment, Accompanying the document Proposals for a Council Directive, a Council Implementing Regulation and a Council Regulation on Mandatory transmission and exchange of VAT-related payment data» (Avaliação de impacto que acompanha o documento Propostas de uma Diretiva do Conselho, de um Regulamento de Execução do Conselho e de um Regulamento do Conselho relativo à transmissão obrigatória e ao intercâmbio de dados de pagamento relativos ao IVA).