PT Jornal Oficial da União Europeia C 151/11

Parecer da Autoridade Europeia para a Protecção de Dados sobre a proposta de Regulamento do Conselho que institui um regime comunitário de controlo do cumprimento das regras da política comum das pescas

2009/C 151/03

A AUTORIDADE EUROPEIA PARA A PROTECÇÃO DE DADOS,

Tendo em conta o Tratado que institui a Comunidade Europeia, nomeadamente o artigo 286.o,

Tendo em conta a Carta dos Direitos Fundamentais da União Europeia, designadamente o artigo 8.o,

Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados,

Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados e, nomeadamente, o artigo 41.o,

Tendo em conta o pedido de parecer nos termos do n.o 2 do artigo 28.o do Regulamento (CE) n.o 45/2001, enviado à AEPD em 14 de Novembro de 2008,

EMITIU O SEGUINTE PARECER:

I. OBSERVAÇÕES INTRODUTÓRIAS

1. Em 14 de Novembro de 2008, a Comissão adoptou uma proposta de regulamento do Conselho que institui um regime comunitário de controlo do cumprimento das regras da política comum das pescas (a seguir designada por «proposta»). A proposta foi enviada pela Comissão à AEPD para consulta, nos termos do n.o 2 do artigo 28.o do Regulamento (CE) n.o 45/2001 (1).

2. Na mesma data, a Comissão adoptou mais dois instrumentos no âmbito do pacote «pescas». Assim, adoptou uma comunicação relativa à proposta de regulamento do Conselho que institui um regime comunitário de controlo do cumprimento das regras da política comum das pescas, bem como o documento de trabalho dos seus funcionários (avaliação do impacto) que acompanha essa mesma proposta. Estes dois documentos, juntamente com a proposta, constituíam o pacote enviado à AEPD para consulta.

3. O objectivo da política comum das pescas, fixado pelo Regulamento (CE) n.o 2371/2002 do Conselho, de 20 de Dezembro de 2002, relativo à conservação e à exploração sustentável dos recursos haliêuticos no âmbito da política comum das pescas (2), é garantir que a exploração dos recursos aquáticos vivos seja de molde a assegurar a criação de condições sustentáveis dos pontos de vista económico, ambiental e social.

4. A proposta estabelece um regime comunitário de controlo, monitorização, vigilância, inspecção e execução das regras da política comum das pescas.

5. A AEPD congratula-se por ter sido consultada a este respeito e por ser feita referência a esta consulta no preâmbulo da proposta, de forma semelhante à utilizada numa série de outros textos legislativos sobre os quais a AEPD foi consultada, de acordo com o Regulamento (CE) n.o 45/2001.

6. A AEPD recorda que já em 3 de Outubro de 2008 formulou observações de carácter informal acerca de um projecto de proposta. Nestas observações realçou que o quadro jurídico em matéria de protecção de dados deve ser tido em conta não só na transferência e intercâmbio de dados pessoais mas também na recolha destes dados.

7. Por último, a AEPD ressalta que o presente parecer aborda apenas algumas disposições da proposta, a saber, os considerandos 36 a 38 e os artigos 102.o a 108.o.

II. ANTECEDENTES E CONTEXTO

8. Diversas são as razões para que as disposições sobre protecção de dados contidas nesta proposta sejam consideradas relevantes. Em primeiro lugar, a proposta prevê o tratamento de vários dados que, em certos casos, se podem considerar de carácter pessoal. Por exemplo, quando a identificação dos navios for exigida, esta incluirá geralmente uma referência ao respectivo capitão ou ao seu representante. Além disso, algumas disposições da proposta sublinham expressamente a necessidade de comunicar o nome do armador ou do capitão do navio. Nestes casos os dados dizem respeito, não apenas ao navio, mas também a pessoas identificáveis que influem na forma como o navio é utilizado e como é assegurado o cumprimento das regras da política comum das pescas. Finalmente, a proposta também prevê a realização de transferências desses dados e de trocas de informação, tanto entre os Estados-Membros como com a Comissão ou a Agência Comunitária de Controlo das Pescas. A AEPD assinala ainda que a proposta prevê a utilização de dados agregados em determinadas circunstâncias. Em todos estes aspectos se requer a observância do quadro jurídico em matéria de protecção de dados.

9. A AEPD vê com agrado que a proposta especifica inequivocamente que a moldura jurídica europeia sobre protecção de dados pessoais [a Directiva 65/46/CE (3) e o Regulamento (CE) n.o 45/2001]rege o tratamento de dados pessoais, quer pelos Estados-Membros ou pela Comissão, em aplicação do regulamento. Estes princípios são enunciados nos considerandos 36 a 38 e nos artigos 104.o e 105.o.

10. Não há dúvida (como se especifica nos considerandos) que, por razões de segurança jurídica e de transparência e para garantir a protecção dos direitos fundamentais e, em especial, o direito à protecção da vida privada e dos dados pessoais dos indivíduos, são necessárias regras claras para o tratamento dos dados de carácter pessoal.

III. PROTECÇÃO DOS DADOS PESSOAIS E CONFIDENCIALIDADE DOS DADOS

11. O artigo 104.o da proposta incide especificamente sobre a protecção dos dados pessoais, ao passo que o artigo 105.o aborda a confidencialidade e o sigilo profissional e comercial. O primeiro destes artigos trata dos princípios gerais estabelecidos na Directiva 95/46/CE e no Regulamento (CE) n.o 45/2001; o segundo aprofunda aspectos específicos relacionados com a confidencialidade dos dados tratados.

12. A AEPD acolhe com satisfação as referências feitas e os limites impostos por ambos os artigos para a utilização e transmissão de dados de pessoas singulares em observância da Directiva 95/46/CE e do Regulamento (CE) n.o 45/2001.

13. A AEPD gostaria de fazer uma observação sobre o n.o 2 do artigo 104.o, que reza o seguinte: «Os nomes das pessoas singulares não devem ser comunicados à Comissão ou a outro Estado-Membro, excepto se essa comunicação estiver expressamente prevista no presente regulamento ou se for necessária para efeitos de prevenção ou perseguição de infracções ou para a verificação de aparentes infracções. Os dados referidos no n.o 1 não devem ser transmitidos a não ser que estejam agregados a outros dados de um modo que não permita a identificação directa ou indirecta das pessoas singulares.». Em primeiro lugar, a AEPD considera que a actual redacção do n.o 2 do artigo 104.o restringe indevidamente o âmbito da protecção. O texto deveria especificar que a protecção abrange, não só a transferência de nomes de pessoas singulares, mas também outros dados pessoais (4). A AEPD solicita, pois, que o texto seja revisto de forma a contemplar este aspecto. Além disso, a AEPD gostaria também de sugerir que o segundo período deste número se passasse a ler «Os dados referidos no presente artigo …», por uma questão de coerência, já que o n.o 1 é essencialmente uma remissão para a moldura jurídica comunitária sobre protecção de dados pessoais.

14. O artigo 105.o aborda a confidencialidade e o sigilo profissional e comercial. Esta disposição aplica-se independentemente de os dados poderem ou não considerar-se dados pessoais. Os n.os 1 a 3 visam, aparentemente, estabelecer os princípios gerais da confidencialidade, enquanto que o n.o 4 pretende conferir uma protecção reforçada em determinados casos, se bem que o seu objecto não seja totalmente claro. A AEPD encontrou uma forte semelhança entre a alínea a) do n.o 4 do artigo 105.o da proposta e a alínea b) do n.o 1 do artigo 4.o do Regulamento (CE) n.o 1049/2001 relativo ao acesso do público aos documentos do Parlamento Europeu, do Conselho e da Comissão, que a referida Autoridade examinou em profundidade (5). A alínea b) do n.o 1 do artigo 4.o deste regulamento foi muito criticada devido à sua ambiguidade quanto à relação exacta entre o acesso aos documentos e os direitos à privacidade e à protecção dos dados pessoais. Esse artigo foi inclusive contestado no Tribunal de Primeira Instância (6). Actualmente está pendente no Tribunal de Justiça um recurso por motivos de direito (7). A AEPD convida o legislador comunitário a clarificar o n.o 4 do artigo 105.o da proposta no tocante aos danos considerados que possam prejudicar a protecção dos dados pessoais no contexto da política comum das pescas e às consequências em termos de acesso do público ou outras situações relevantes abrangidas por esta disposição.

15. A AEPD sugere ainda ao legislador comunitário que clarifique igualmente as relações entre o n.o 4 e o n.o 6 do artigo 105.o. Embora um pareça dizer respeito ao acesso do público e aos seus possíveis limites, e o outro se prenda com acções e processos judiciais subsequentes, a formulação utilizada não estabelece uma distinção clara. Impõe-se uma melhor clarificação.

16. Sem prejuízo da aplicabilidade da Directiva 95/46/CE e do Regulamento (CE) n.o 45/2001, a AEPD reconhece a possibilidade de aplicação de derrogações e restrições à protecção dos dados pessoais em conformidade com o artigo 13.o da Directiva 95/46/CE (8). A Autoridade gostaria, contudo, que o legislador comunitário mencionasse os casos específicos em que essas derrogações se podem aplicar e especificasse as situações em que pode haver uma tal utilização dos dados, se pertinente no presente contexto.

IV. BASE DE DADOS ELECTRÓNICA NACIONAL

17. O n.o 3 do artigo 102.o da proposta reza o seguinte: «Os Estados-Membros devem criar uma base de dados informatizada para o regime de validação referido no n.o 1, tendo em conta o princípio da qualidade dos dados aplicável às bases de dados informatizadas.» (9). A AEPD congratula-se pelo facto de o artigo 102.o da proposta implementar o princípio da qualidade dos dados (10) aquando da criação, pelos Estados-Membros, de uma base de dados informatizada que permita a identificação dos navios de pesca ou dos operadores em cujas comunicações de dados tenham repetidamente sido identificadas incoerências e que possibilite a correcção de erros nos dados introduzidos.

18. O primeiro exemplo de implementação do princípio da qualidade dos dados encontra-se nos elementos que devem caracterizar o sistema informatizado. Nos termos do n.o 1 do artigo 102.o, este regime deve incluir: procedimentos de controlo da qualidade de todos os dados registados em conformidade com o regulamento; controlos cruzados, análises e verificação de todos os dados registados em conformidade com o regulamento; procedimentos de verificação do respeito dos prazos fixados para a transmissão de todos os dados registados em conformidade com o regulamento. Outro exemplo de implementação do princípio da qualidade dos dados é o n.o 2 do artigo 102.o, segundo o qual o regime de validação deve permitir a identificação imediata de incoerências entre dados relacionados e o seu seguimento. No entender da AEPD, o seguimento deveria consistir na supressão das incoerências e dos dados desactualizados. Assim sendo, para evitar que as incoerências se mantenham no sistema deveria ser implementada uma verificação automática do período de armazenamento dos dados.

19. No artigo 103.o, que trata da comunicação dos dados da base informatizada, encontramos mais uma razão para que se insista na observância do princípio da qualidade dos dados. Este artigo prevê que a Comissão disponha de acesso directo e em tempo real, em qualquer momento e sem aviso prévio, à base de dados informatizada de cada Estado-Membro. O propósito do acesso por parte da Comissão é, precisamente, permitir que esta controle a qualidade dos dados.

20. Todavia, o artigo 103.o também prevê que à Comissão seja dada a possibilidade de carregar os dados referentes a qualquer período ou a qualquer número de navios. A este respeito, a AEPD convida o legislador comunitário a considerar a inclusão de regras adicionais aplicáveis ao controlo das informações carregadas por agentes da Comissão, que devem se coadunar com o objectivo declarado do regulamento. Este acesso às informações deveria processar-se dentro dos limites traçados pelo próprio regulamento.

21. Outro elemento a ter em conta neste contexto é o facto de neste momento não ser mencionado nenhum período de armazenamento específico para os dados constantes da base informatizada. No entanto, o artigo 108.o da proposta prevê que a base de dados informatizada faça parte das bases de dados que se encontram acessíveis na parte de acesso restrito dos sítios web nacionais. É previsto um período de conservação (três anos no mínimo) para essa parte de acesso restrito. Tendo em consideração as observações que a seguir (no Capítulo V) se formulam acerca do período de conservação dos dados na parte de acesso restrito dos sítios web nacionais, o legislador comunitário deveria igualmente prever regras para o tempo de armazenamento dos dados a nível nacional, os quais apenas deveriam ser conservados enquanto necessários para os efeitos do regulamento, após o que seriam suprimidos. Esta disposição seria conforme com a alínea e) do artigo 6.o da Directiva 95/46/CE e com a alínea e) do artigo 4.o do Regulamento (CE) n.o 45/2001.

22. Além disso, em casos como o presente, a Comissão estaria a tratar dados (e por vezes dados pessoais) que desencadeariam a aplicação do Regulamento (CE) n.o 45/2001 a essas operações de tratamento. O controlo da Comissão quanto à utilização desses dados pelos seus serviços pode tornar necessária a verificação prévia da AEPD com base no artigo 27.o do Regulamento (CE) n.o 45/2001 (11). A AEPD convida a Comissão a considerar a necessidade de notificação do regime para que haja verificação prévia.

V. SÍTIOS WEB NACIONAIS

23. O artigo 106.o incide sobre a criação, por cada Estado-Membro, de um sítio web oficial acessível pela internet e composto por uma parte acessível ao público e uma parte de acesso restrito. Quanto à parte de acesso restrito do sítio web, o artigo 108.o da proposta estabelece os princípios respeitantes: às listas e bases de dados nele contidas (n.o 1); ao intercâmbio directo de informações com outros Estados-Membros, a Comissão ou o organismo designado por esta (n.o 2); ao acesso remoto facultado à Comissão ou ao organismo designado por esta (n.o 3); aos destinatários, nos Estados-Membros ou no âmbito da Comissão ou do organismo designado por esta, aos quais os dados são disponibilizados (n.o 4) e ao período de armazenamento (mínimo de três anos) dos dados (n.o 5).

24. A AEPD gostaria de chamar a atenção do legislador comunitário para os artigos 25.o e 26.o da Directiva 95/46/CE, que dizem respeito à transferência de dados pessoais para as autoridades de países terceiros. O n.o 2 do artigo 108.o da proposta prevê que, na parte de acesso restrito do seu sítio web, cada Estado-Membro estabelecerá um regime de informação nacional sobre as pescarias que permita o intercâmbio electrónico directo de informações com outros Estados-Membros, a Comissão ou o organismo designado por esta, em conformidade com o artigo 109.o. Contudo, o artigo 109.o não faz referência a qualquer lista de destinatários designados; mas salienta que as autoridades responsáveis pela aplicação do regulamento nos Estados-Membros devem cooperar entre si, bem como com as autoridades de países terceiros e com a Comissão e o organismo designado por esta, a fim de assegurar a observância do regulamento.

25. A AEPD considera que há uma certa discrepância entre o conteúdo do n.o 2 do artigo 108.o e o do artigo 109.o no que respeita às autoridades dos países terceiros. Em primeiro lugar, afirma-se que as autoridades dos países terceiros cooperam com os Estados-Membros, mas não lhes é feita qualquer referência no artigo 108.o. Em segundo lugar, a AEPD gostaria de realçar que, se forem projectadas transferências para países terceiros por meio desta cooperação, haverá que respeitar os artigos 25.o e 26.o da Directiva 95/46/CE, em particular a exigência de que o país terceiro garanta um nível de protecção adequado.

26. Quanto ao acesso remoto (n.o 3) facultado pelo Estado-Membro aos agentes da Comissão, a AEPD saúda o facto de que tal se fará com base em certificados electrónicos emitidos pela Comissão ou pelo organismo designado por esta.

27. A AEPD congratula-se por o n.o 4 especificar que os destinatários dos dados ficam vinculados ao princípio da limitação do objectivo e às regras de confidencialidade. Com efeito, o acesso aos dados só é concedido a utilizadores específicos a tal autorizados, e é limitado aos dados de que necessitam para efectuar as tarefas e actividades destinadas a assegurar o cumprimento das regras da política comum das pescas.

28. A AEPD considera que importa definir o período de armazenamento (n.o 5) com mais precisão, devendo estabelecer-se um período de conservação máximo (em vez de apenas um período mínimo). Além disso, o legislador comunitário poderia também considerar a hipótese de estabelecer um conjunto mínimo de regras no sentido de garantir a interoperabilidade e outros aspectos da segurança do regime, eventualmente no quadro dos mecanismos previstos pela proposta (artigo 111.o). Esta observação prende-se igualmente ao ponto 21 do presente parecer, respeitante ao armazenamento na base de dados informatizada (veja-se supra).

VI. PROCEDIMENTO DE COMITOLOGIA

29. Vários artigos da proposta remetem para o seu artigo 111.o, que implementa um procedimento de comité (por intermédio do Comité Consultivo da Pesca e da Aquicultura — procedimento de comitologia). Embora algumas dessas remissões para o artigo 111.o feitas na proposta digam respeito a aspectos técnicos, outras incidem sobre aspectos da protecção de dados. Assim, por exemplo: — O artigo 103.o, relativo à comunicação dos dados, prevê que os Estados-Membros devem assegurar que a Comissão disponha de acesso directo e em tempo real, em qualquer momento e sem aviso prévio, à base de dados informatizada a que se refere o artigo 102.o. À Comissão deve ser dada a possibilidade de carregar os dados referentes a qualquer período ou a qualquer número de navios. As normas de execução destes artigos, especialmente no que se refere ao estabelecimento de um formato normalizado para carregar os dados a que se refere o artigo 102.o, devem ser adoptadas em conformidade com o procedimento de comitologia; — O artigo 109.o prevê que a cooperação administrativa dos Estados-Membros (entre Estados-Membros e com a Comissão) seja aprovada pelo procedimento de comitologia; — Outra remissão para o procedimento de comitologia é a do artigo 70.o, que trata da lista de inspectores comunitários a ser elaborada pela Comissão.

30. No entender da AEPD, a execução destes artigos dependerá da adopção de normas específicas segundo o procedimento previsto no artigo 111.o da proposta. Em razão do impacto que essas normas de execução poderão ter sobre a protecção de dados, a AEPD entende que deve ser consultada antes de as mesmas serem aprovadas.

VII. CONCLUSÕES

31. A AEPD tomou nota da iniciativa de estabelecer um regime comunitário de controlo, monitorização, vigilância, inspecção e execução das regras da política comum das pescas.

32. A AEPD saúda a referência da proposta à protecção dos dados e da vida privada. No entanto, são necessárias algumas alterações, conforme acima exposto, que permitam formular requisitos inequívocos, tanto para os Estados-Membros quanto para a Comissão, para abordar os aspectos da protecção de dados do sistema.

33. Eis as observações formuladas no presente parecer que convém ter em consideração: — Reformulação do n.o 2 do artigo 104.o, de modo a abranger todos os dados pessoais e não só os nomes das pessoas singulares; — Reformulação dos n.os 4 e 6 do artigo 105.o, relativos à confidencialidade e ao sigilo profissional e comercial, de modo a clarificar os casos concretos em que estes números se aplicam; — Introdução no artigo 103.o de regras adicionais aplicáveis ao controlo das informações carregadas por agentes da Comissão; — Estabelecimento de um período específico de armazenamento dos dados nas bases de dados electrónicas nacionais e nos sítios web nacionais; — Cumprimento dos procedimentos aplicáveis às transferências de dados pessoais para países terceiros; — Consulta à AEPD quando se recorra ao procedimento do artigo 111.o.

Feito em Bruxelas, em 4 de Março de 2009. Peter HUSTINX Autoridade Europeia para a Protecção de Dados

(1) Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (JO L 8 de 12.1.2001, p. 1).

(2) JO L 358 de 31.12.2002, p. 59.

(3) Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, JO L 281 de 23.11.1995, p. 31.

(4) Definidos na alínea a) do artigo 2.o do Regulamento 95/46/CE como sendo «qualquer informação relativa a uma pessoa singular identificada ou identificável», o que engloba também, por exemplo, informações sobre o comportamento da pessoa e medidas adoptadas em relação a ela.

(5) Veja-se, por exemplo: Parecer da Autoridade Europeia para a Protecção de Dados sobre a proposta de Regulamento do Parlamento Europeu e do Conselho relativo ao acesso do público aos documentos do Parlamento Europeu, do Conselho e da Comissão, de 30 de Junho de 2008, disponível no sítio internet da AEPD.

(6) Acórdão de 8 de Novembro de 2007, Bavarian Lager contra Comissão, T-194/04. Existem mais dois processos pendentes sobre a mesma questão.

(7) Processo pendente C-28/08 P, Comissão contra Bavarian Lager, JO C 79 de 29.3.2008, p. 21.

(8) Veja-se também: artigo 20.o do Regulamento (CE) n.o 45/2001.

(9) [Nota não aplicável à versão portuguesa]

(10) Veja-se num contexto mais geral: artigo 6.o da Directiva 95/46/CE.

(11) O n.o 1 do artigo 27.o do Regulamento (CE) n.o 45/2001 estipula que as operações de tratamento que possam apresentar riscos específicos para os direitos e liberdades das pessoas em causa, devido à sua natureza, âmbito ou finalidade, são sujeitas a verificação prévia. O n.o 2 do artigo 27.oo especifica algumas situações, tais como a) o tratamento de dados relativos a suspeitas de infracção e b) as operações de tratamento destinadas a apreciar a conduta das pessoas em causa.