Resumo do Parecer da Autoridade Europeia para a Proteção de Dados sobre a proposta de um regime-piloto para as infraestruturas de mercado baseadas na tecnologia de registo distribuído

(O texto integral deste Parecer poderá ser consultado nas versões alemão, francês e inglês no sítio Web da AEPD em: www.edps.europa.eu)

(2021/C 229/04)

Em 24 de setembro de 2020, a Comissão Europeia adotou a sua proposta de regulamento do Parlamento Europeu e do Conselho relativo a um regime-piloto para as infraestruturas de mercado baseadas na tecnologia de registo distribuído (COM(2020)594 final). A proposta estabelece requisitos harmonizados para que determinados participantes no mercado requeiram e recebam autorização para operar infraestruturas de mercado da tecnologia de registo digital (DLT).

A AEPD salienta que a proteção de dados pessoais não constitui um obstáculo à inovação e, em especial, ao desenvolvimento de novas tecnologias no setor financeiro. Ao mesmo tempo, recorda que as medidas adotadas a nível da UE em matéria de tecnologias inovadoras que envolvam o tratamento de dados pessoais devem respeitar os princípios gerais da necessidade e da proporcionalidade. Além disso, dada a falta de uma visão completa do impacto destas novas tecnologias na nossa sociedade, a AEPD considera que deve ser seguida a abordagem do princípio da precaução.

A AEPD observa que, dependendo da configuração da DLT, os meta dados ou os dados transacionais nela armazenados podem ser considerados dados pessoais, se estiverem relacionados com uma pessoa singular identificada ou identificável. Assim, os responsáveis pelo tratamento devem analisar e documentar cuidadosamente a configuração da DLT, a fim de determinar se são por este meio tratados dados pessoais e, consequentemente, se as operações estão sujeitas às obrigações de proteção de dados.

A AEPD salienta que a tecnologia por detrás de alguns registos digitais, em especial os que são públicos e abertos, suscita questões cruciais no que se refere à sua compatibilidade com os requisitos de proteção de dados.

A AEPD é de opinião que, antes da entrada em vigor da proposta, deverá ter lugar um debate sobre a compatibilidade dos sistemas DLT em geral com o quadro de proteção de dados.

A AEPD observa que, no caso de a DLT conter dados pessoais armazenados na cadeia de blocos, as operações de tratamento relacionadas com os mesmos cumprirão provavelmente os critérios para a classificação da operação de tratamento como de alto risco. Por conseguinte, antes do tratamento de dados pessoais, o responsável pelo tratamento deve efetuar uma avaliação de impacto sobre a proteção de dados no que respeita às operações de tratamento previstas. Além disso, pode ser necessária a aprovação prévia da autoridade competente em matéria de proteção de dados.

A AEPD recomenda que a proposta solicite, no âmbito das informações relacionadas com o pedido de operação de uma infraestrutura de mercado DLT, se for caso disso, as informações essenciais relativas às operações de tratamento previstas. Além disso, recomenda que os operadores de infraestruturas de mercado DLT publiquem o aviso sobre a privacidade no mesmo lugar das suas informações operacionais, como exigido pela proposta.

A AEPD salienta que as disposições em matéria de TI e cibernética previstas na proposta para a operação das infraestruturas de mercado DLT devem também estar em conformidade com as obrigações estabelecidas nos artigos 22.o e 32.o do RGPD. (1)

Por último, no contexto da comunicação de questões operacionais pelos operadores das infraestruturas de mercado DLT, a AEPD recomenda que se recorde num considerando que, nos casos de violação de dados pessoais, estes devem ser igualmente notificados pelo operador à autoridade competente em matéria de proteção de dados, em conformidade com o artigo 33.o do RGPD e, se for caso disso, aos titulares dos dados, em conformidade com o artigo 34.o do RGPD.

3. CONTEXTO

1. Em 24 de setembro de 2020, a Comissão Europeia adotou a sua proposta de regulamento do Parlamento Europeu e do Conselho relativo a um regime-piloto para as infraestruturas de mercado com base na tecnologia de registo distribuído (COM(2020)594 final) (« Proposta »). A proposta estabelece requisitos harmonizados para os participantes específicos no mercado, nomeadamente as empresas de investimento, os operadores do mercado ou as centrais de valores mobiliários, requererem e obterem autorização para operar infraestruturas de mercado de tecnologia de registo digital (« Infraestrutura de Mercado DLT ») num ambiente supervisionado, com a aplicação de isenções específicas ao cumprimento da regulamentação financeira. Em particular, a proposta tem quatro objetivos: proporcionar segurança jurídica em matéria de criptoativos, assegurar a estabilidade financeira, proteger os consumidores e investidores e permitir a inovação para o uso de cadeias de blocos, da tecnologia de registo distribuído e dos criptoativos.

2. Regulamento MICA »), uma proposta relativa à resiliência Regulamento DORA ») e uma proposta para clarificar ou alterar determinadas regras conexas da UE em matéria de serviços financeiros o , n. o 1, do Regulamento (UE) 2018/1725. Esta proposta faz parte de um pacote que inclui uma proposta de regulamento relativa à criação de mercados de criptoativos ( 2 ) («»), uma proposta relativa à resiliência ( 3 ) operacional digital («») e uma proposta para clarificar ou alterar determinadas regras conexas da UE em matéria de serviços financeiros ( 4 ) . A AEPD espera ser igualmente consultada sobre os outros regulamentos do pacote, em conformidade com o artigo 42., n.1, do Regulamento (UE) 2018/1725.

3. Em 26 de fevereiro de 2021, a Comissão Europeia solicitou à Autoridade Europeia para a Proteção de Dados (« AEPD ») que emitisse um parecer sobre a proposta, em conformidade com o artigo 42. o , n. o 1, do Regulamento (UE) 2018/1725. Estas observações limitam-se às disposições da proposta que são relevantes do ponto de vista da proteção de dados.

5. CONCLUSÕES

Tendo em conta o supramencionado, a AEPD:

— recorda que a proteção dos dados pessoais não constitui um obstáculo à inovação e, em particular, ao desenvolvimento de novas tecnologias, nomeadamente no setor financeiro.

— salienta que a tecnologia por detrás de alguns registos digitais, em particular os que são públicos e inúteis, suscita questões conceptuais cruciais no que se refere aos requisitos de proteção de dados; recomenda, por conseguinte, que o debate sobre a possível forma de garantir a compatibilidade dos sistemas DLT com o quadro de proteção de dados tenha lugar antes da entrada em vigor da proposta.

— sublinha que os criptoativos negociados nas infraestruturas de mercado DLT abrangidas pela proposta devem ser apenas os que utilizam uma configuração DLT que esteja em conformidade com o quadro de proteção de dados.

— sugere que inclua igualmente, no âmbito das informações exigidas ao operador no contexto do seu pedido para operar uma infraestrutura de mercado DLT, se for caso disso, a lista das operações de tratamento previstas que envolvam dados pessoais, a repartição das funções e responsabilidades de cada operador nos termos do RGPD no âmbito da infraestrutura de mercado DLT, bem como os principais riscos previstos e as estratégias de atenuação no que diz respeito à proteção de dados.

— salienta que as disposições em matéria de TI e cibernética previstas na proposta para a operação das infraestruturas de mercado DLT devem também estar em conformidade com as obrigações estabelecidas nos artigos 22.o e 32.o do RGPD.

— recomenda que se relembre num considerando, no contexto da comunicação de questões operacionais pelos operadores das infraestruturas de mercado DLT, que, nos casos de violação de dados pessoais, estes devem ser igualmente notificados pelo operador à autoridade competente em matéria de proteção de dados, em conformidade com o artigo 33.o do RGPD e, se for caso disso, aos titulares dos dados, em conformidade com o artigo 34.o do RGPD.

Bruxelas, 23 de abril de 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

(2) Proposta de regulamento do Parlamento Europeu e do Conselho relativo aos mercados de criptoativos e que altera a Diretiva (UE) 2019/1937, COM/2020/593 final. Disponível em EUR-Lex - 52020PC0593 - PT - EUR-Lex (europa.eu)

(3) Proposta de regulamento do Parlamento Europeu e do Conselho relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014 e (UE) n.o 909/2014, COM/2020/595 final, disponível em EUR-Lex - 52020PC0595 - PT - EUR-Lex (europa.eu)

(4) Proposta de diretiva do Parlamento Europeu e do Conselho que altera as Diretivas 2006/43/CE, 2009/65/CE, 2009/138/UE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 e (UE) 2016/2341, COM/2020/596 final. Disponível em EUR-Lex - 52020PC0596 - PT - EUR-Lex (europa.eu)