PT Jornal Oficial da União Europeia C 463/10

Síntese do parecer da Autoridade Europeia para a Proteção de Dados sobre Sistemas de Gestão de Informações Pessoais

(O texto integral do presente parecer encontra-se disponível em inglês, francês e alemão no sítio web da AEPD em www.edps.europa.eu)

(2016/C 463/10)

O presente parecer explora o conceito de tecnologias e ecossistemas destinados à capacitação das pessoas no sentido de controlarem a partilha dos seus dados pessoais («sistemas de gestão de informações pessoais» ou «SGIP» na sua designação abreviada).

A nossa visão é criar uma nova realidade na qual as pessoas gerem e controlam a sua própria identidade em linha. O nosso objetivo é o de transformar o sistema atual centrado no fornecedor num sistema centrado no indivíduo, no qual as pessoas estão protegidas contra o tratamento ilícito dos seus dados e contra as técnicas intrusivas de seguimento e de criação de perfis que visam contornar princípios fundamentais de proteção dos dados.

Esta nova realidade será facilitada pelo quadro regulamentar modernizado da UE e pelas possibilidades oferecidas pela aplicação firme e conjunta da lei por parte de todas as autoridades de supervisão e regulação pertinentes.

O Regulamento geral sobre a proteção de dados (RGPD) adotado recentemente reforça e moderniza o quadro regulamentar para que este continue a ser eficaz na era dos grandes volumes de dados através do fortalecimento da segurança e confiança das pessoas na Internet e no mercado único digital. As novas regras, nomeadamente as relacionadas com maior transparência e amplos direitos de acesso e portabilidade dos dados, servem para permitir aos utilizadores ter maior controlo sobre os seus dados, podendo igualmente ajudar a contribuir para mercados de dados pessoais mais eficientes, para benefício dos consumidores e das empresas.

Muito recentemente emitimos um parecer sobre a aplicação efetiva dos direitos fundamentais na era dos grandes volumes de dados (Opinion on effective enforcement of fundamental rights in the age of big data). Nele salientámos as atuais condições de mercado e práticas das empresas que criam entraves ao exercício efetivo dos direitos das pessoas à proteção dos seus dados pessoais e outros direitos fundamentais e instámos à intensificação da aplicação concertada e consistente das legislações em matéria de concorrência, proteção dos consumidores e proteção dos dados. Esperamos que o reforço desta aplicação vá servir para criar condições de mercado onde os serviços respeitadores da privacidade possam prosperar. A abordagem no presente parecer visa reforçar os direitos fundamentais no nosso mundo digital e, simultaneamente, oferecer novas oportunidades para as empresas desenvolverem serviços inovadores baseados em dados pessoais alicerçados na confiança mútua. Os SGIP prometem oferecer não apenas uma nova arquitetura e organização técnicas para a gestão de dados, mas também estruturas de confiança e, consequentemente, modelos de negócio alternativos para a recolha e o tratamento de dados pessoais na era dos grandes volumes de dados, de uma forma mais respeitadora da legislação europeia em matéria de proteção de dados.

No presente parecer, descreveremos sucintamente o que são os SGIP, que problemas se propõem solucionar e de que forma. Seguidamente, vamos analisar de que modo podem contribuir para uma melhor proteção dos dados pessoais e quais os desafios com que se deparam. Por último, identificamos novos caminhos para aproveitar as oportunidades que oferecem. Para que os novos modelos de negócio de proteção de dados possam prosperar, poderão ser necessários mais incentivos para que os prestadores de serviços os ofereçam. Deve-se, designadamente, explorar que iniciativas políticas serão suscetíveis de motivar os responsáveis pelo tratamento de dados a aceitar esta forma de fornecimento de dados. Além disso, uma iniciativa por parte dos serviços públicos de aceitar os SGIP como fonte de dados em vez da recolha direta de dados poderá acrescentar massa crítica à aceitação dos mesmos.

O cenário emergente dos SGIP, que pretendem fazer com que as pessoas e os consumidores voltem a ter o controlo dos seus dados pessoais, merece consideração, apoio e investigação adicional com vista a contribuir para uma utilização sustentável e ética dos grandes volumes de dados e para a execução efetiva dos princípios previstos no RGPD recentemente adotado.

I. SGIP: PARTILHAR DADOS, PARTILHAR BENEFÍCIOS?

1. As condições vigentes aplicáveis ao tratamento de dados pessoais são amiúde injustas para as pessoas cujos dados são objeto de tratamento. As condições jurídicas e os instrumentos técnicos dificultam às pessoas o exercício dos seus direitos e permitem que os responsáveis pelo tratamento limitem a sua responsabilidade. Os corretores de dados, as redes de publicidade, os fornecedores de redes sociais e outros agentes empresariais dispõem de arquivos cada vez mais completos sobre as pessoas que participam na sociedade digital dos nossos dias e as pessoas estão a perder controlo das pegadas digitais que deixam atrás de si. Visadas, objeto de definição de perfis e avaliadas por agentes muitas vezes fora do seu controlo ou até mesmo do seu conhecimento, as pessoas podem sentir-se indefesas e é necessário capacitá-las para assumirem o controlo da sua identidade. Mesmo quando tenham recebido formalmente algum tipo de «notificação» e a oportunidade de «aceitar» os termos e condições gerais, as pessoas encontram-se amiúde dentro de um sistema concebido para maximizar a monetização dos dados pessoais, que não deixa qualquer escolha ou controlo real aos interessados.

2. A comunicação da Comissão Europeia sobre os grandes volumes de dados (1) define um plano de ações que visam conjuntamente os dados pessoais e a proteção dos consumidores. Tal incentiva especificamente a utilização de «espaços de dados pessoais» como locais centrados no utilizador, seguros e protegidos para armazenar e, eventualmente, permitir a outras pessoas acederem a dados pessoais. Entendemos que se deve encorajar os instrumentos digitais inovadores e os modelos de negócio assentes na capacitação das pessoas. Os mesmos poderão permitir que as pessoas beneficiem dessa partilha de dados, ou seja, participem na utilização e distribuição das suas informações pessoais.

3. No nosso parecer sobre «Corresponder aos desafios dos Grandes Volumes de Dados» (2) defendemos que se deveria complementar a obrigação legal do consentimento efetivo com um controlo real e prático das informações pessoais. Defendemos que «em vez de um encargo administrativo, o fornecimento de direitos de acesso poderá tornar-se uma característica do serviço prestado aos clientes», e que as empresas que têm por base a exploração de grandes volumes de dados devem «estar preparadas para partilhar os lucros gerados pelo tratamento de dados pessoais com as pessoas cujos dados tratam». Neste contexto salientámos que «as bases de dados pessoais poderão ajudar a resolver algumas das preocupações relativas à perda do controlo por parte da pessoa dos dados pessoais». O Regulamento geral sobre a proteção de dados (RGPD) (3) adotado recentemente reforçou os requisitos jurídicos para o consentimento (4) e introduziu princípios efetivos e modernos da proteção de dados desde a conceção e por defeito (5), bem como um novo direito de portabilidade dos dados (6). Para que o novo quadro aplicável à proteção de dados cumpra a sua promessa, afiguram-se necessários instrumentos práticos que permitam às pessoas exercerem os seus direitos de uma forma conveniente e fácil.

4. O presente parecer explora tecnologias e ecossistemas novos que se destinam a capacitar as pessoas no sentido de controlarem a recolha e partilha dos seus dados pessoais. Faremos referência a este conceito como «sistema de gestão de informações pessoais» («SGIP») (7). O conceito de SGIP oferece numa nova abordagem mediante a qual as pessoas são os titulares das suas próprias informações pessoais. Poderá dar azo a uma mudança de paradigma na gestão e no tratamento dos dados pessoais, com consequências sociais e económicas. Em contrapartida, o cenário atual dos serviços em linha caracteriza-se por um pequeno número de prestadores de serviços que dominam o mercado através da monetização dos dados pessoais dos utilizadores em troca de serviços «gratuitos». Tal é muitas vezes acompanhado de um desequilíbrio de poder, em que o cliente é confrontado com uma abordagem de «pegar ou largar» e por uma assimetria de informação entre os prestadores de serviços e os utilizadores, com pouca ou nenhuma transparência para as pessoas sobre o que acontece com os seus dados pessoais.

5. A ideia principal subjacente ao conceito de SGIP é a de transformar o atual sistema centrado no prestador num sistema centrado nas pessoas capazes de gerirem e controlarem a sua identidade em linha (8). Em princípio, as pessoas devem poder decidir se e com quem partilham as suas informações pessoais, para que finalidades, durante quanto tempo, bem como acompanhar as mesmas e decidir recuperá-las quando assim o pretenderem. Vale a pena explorar de que modo os SGIP poderão ajudar a dar resposta a algumas das preocupações relacionadas com a perda do controlo dos dados pessoais por parte das pessoas que foi salientada como uma das principais preocupações sobre os grandes volumes de dados (9).

6. Esta abordagem visa reforçar os direitos fundamentais no nosso mundo digital e, simultaneamente, oferecer novas oportunidades para as empresas desenvolverem serviços inovadores baseados em dados pessoais alicerçados na confiança mútua. Os SGIP prometem oferecer uma nova arquitetura e organização técnicas para a gestão de dados que cria estruturas de confiança. Esperam permitir modelos de negócio alternativos para a recolha e o tratamento de dados pessoais na era dos grandes volumes de dados, que o fazem de uma forma mais respeitadora da legislação europeia em matéria de proteção de dados.

7. No presente parecer, descrevemos sucintamente o que são os SGIP, que problemas pretendem solucionar e de que forma (10). Analisamos de que modo podem contribuir para uma melhor proteção dos dados pessoais e quais os desafios com que se deparam. Por último, identificamos novos caminhos para aproveitar as oportunidades que oferecem.

IV. CONCLUSÕES E PRÓXIMOS PASSOS

4.1. Rumo a uma aplicação plena do RGPD - oportunidades

54. Tal como referido anteriormente, o legislador da UE adotou recentemente um pacote de reforma da proteção de dados que reforça e moderniza o quadro regulamentar, de molde a que se mantenha eficaz na era dos grandes volumes de dados.

55. O novo RGPD, nomeadamente as regras relacionadas com maior transparência e fortes direitos de acesso e portabilidade dos dados, devem ajudar a conferir às pessoas um maior controlo dos seus dados e poderá também contribuir para mercados de dados pessoais mais eficientes, para benefício dos consumidores e das empresas.

56. Os códigos de conduta e os regimes de certificação tal como previstos no RGPD constituem instrumentos privilegiados para dar visibilidade e função específicas à tecnologia e produtos que – tal como os SGIP – podem servir para implementar de forma mais eficaz a legislação em matéria de proteção de dados a nível prático.

57. Não obstante, os SGIP veem-se confrontados com a dificuldade global de penetrar num mercado dominado por serviços em linha assentes em modelos de negócio e arquiteturas técnicas onde as pessoas não controlam os seus dados, conforme explicado na Secção 3.9. Transitar para uma situação em que as pessoas dispõem efetivamente da possibilidade de dar a um prestador de serviços acesso a alguns dados nos seus SGIP em vez de fornecer os dados diretamente ao prestador de serviços vai exigir incentivos adicionais para os prestadores de serviços. A Comissão poderá utilizar as iniciativas que anunciou sobre fluxos de dados e propriedade dos dados (11) para explorar que iniciativas políticas poderão motivar os responsáveis pelo tratamento de dados a aceitar esta forma de fornecer dados. Além disso, uma iniciativa por parte dos serviços públicos da administração em linha de aceitar os SGIP como fonte de dados em vez da recolha direta de dados poderá acrescentar massa crítica à aceitação dos mesmos.

58. Esta análise poderá ser complementada com medidas destinadas a estabelecer os alicerces técnicos, sociais e económicos, nomeadamente esforços de normalização, incentivos económicos e promoção da investigação e projetos-piloto.

59. A União Europeia e as administrações públicas dos Estados-Membros, bem como os projetos cofinanciados pelas mesmas, são os primeiros locais onde esta mudança de perspetiva deverá ser testada, promovida e, assim se espera, concretizada.

4.2. Apoiar os SGIP e a tecnologia subjacente rumo a uma proteção dos dados eficaz

60. Uma boa regulamentação, embora crucial, não é por si só suficiente. Conforme indicado no nosso parecer sobre «Corresponder aos desafios dos Grandes Volumes de Dados» (12), as empresas e outras organizações que investem muito esforço na descoberta de modos inovadores para utilizar dados pessoais, devem utilizar o mesmo espírito inovador sempre que implementarem princípios da proteção de dados.

61. A contribuição da tecnologia no modelo de SGIP é fundamental. Os SGIP podem servir para testar a proteção dos dados através de abordagens de conceção e tecnologias que as apoiem. Os tópicos de investigação relevantes, nos casos em que se afigurem necessários apoio e investimentos adequados, incluem: gestão de identidade interoperável e respeitadora da privacidade; mecanismos de autorização; interoperabilidade dos dados; proteção dos dados; e mecanismos para a aplicação automática dos «contratos» celebrados entre as pessoas e terceiros. Tudo isto é alavancado pela criptografia e a encriptação e impulsionado pela disponibilidade a custos acessíveis da capacidade de computação. Nesta fase incipiente, afigura-se necessário o apoio determinante dos decisores políticos, tais como a Comissão, à investigação básica e aplicada nestes domínios da tecnologia, para não deixar escapar as oportunidades atuais.

62. A fim de promover a investigação, o desenvolvimento e a implantação no mercado no domínio dos SGIP, recomendamos que a Comissão planeie eventuais sinergias com outros domínios da estratégia do Mercado Único Digital, tais como a Computação em Nuvem e a Internet das Coisas. Desta forma, podem ser levados a cabo projetos-piloto para conceber e testar a interação de serviços em nuvem e da Internet das Coisas com os SGIP.

4.3. Como a AEPD vai promover este debate

63. A AEPD tenciona contribuir para a promoção dos esforços privados e públicos no sentido descrito supra. Continuaremos a facilitar os debates, nomeadamente através da organização de eventos/oficinas de trabalho, por exemplo, com vista a identificar, incentivar e promover boas práticas para aumentar a transparência e o controlo do utilizador e explorar as oportunidades que os SGIP oferecem. Continuaremos igualmente a promover o trabalho da Rede de Engenharia da Privacidade na Internet («IPEN») enquanto centro de conhecimento interdisciplinar para engenheiros e peritos em privacidade. Neste contexto, continuaremos a fornecer uma plataforma para desenvolvedores e promotores de SGIP, a fim de beneficiar dos intercâmbios com especialistas noutras tecnologias e proteção de dados.

Feito em Marraquexe, 20 de outubro de 2016. Giovanni BUTTARELLI Autoridade Europeia para a Proteção de Dados

(1) Comunicação COM(2014)442 para uma economia dos dados próspera: https://ec.europa.eu/digital-single-market/en/news/communication-data-driven-economy

(2) Parecer da AEPD n.o 7/2015: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-11-19_Big_Data_EN.pdf. Ver mais concretamente a Secção 3.

(3) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

(4) Ver, nomeadamente, o artigo 6.o, n.o 1, alínea a), o artigo 7.o e o artigo 8.o, bem como os considerandos 42-43 do RGPD.

(5) Artigo 25.o do RGPD.

(6) Artigo 20.o do RGPD.

(7) Os conceitos conexos incluem «bases de dados pessoais», «espaços de dados pessoais» ou «cofres de dados pessoais». No presente parecer utilizaremos o termo «SGIP», porque parece descrever melhor o conceito de uma forma geral e facilmente compreensível. Conforme utilizada no presente parecer, a abreviatura «SGIP» poderá referir-se à forma singular ou plural: sistema de gestão de informações pessoais ou sistemas de gestão de informações pessoais.

(8) Ver considerando 7 do RGPD: «As pessoas singulares deverão poder controlar a utilização que é feita dos seus dados pessoais». Ver igualmente, por exemplo, Doc Searls, The Intention Economy: When Customers Take Charge (Boston: Harvard Business Review Press, 2012).

(9) Ver, por exemplo, Ira S. Rubinstein, Big Data: The End of Privacy or a New Beginning? International Data Privacy Law, 2013, Vol 3, N.o 2.

(10) Ver, por exemplo, o relatório sobre Bases de Dados Pessoais elaborado pela Universidade de Cambridge para a Comissão Europeia: https://ec.europa.eu/digital-single-market/en/news/study-personal-data-stores-conducted-cambridge-university-judge-business-school

(11) Comunicação: Digitalização da Indústria Europeia - Usufruir de todos os benefícios do Mercado Único Digital http://europa.eu/rapid/press-release_MEMO-16-1409_en.htm.

(12) Parecer da AEPD n.o 7/2015, referido supra.