Parecer do Comité Económico e Social sobre a "Proposta de regulamento do Parlamento Europeu e do Conselho relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos da Comunidade e à livre circulação desses dados"

(2000/C 51/13)

Em 29 de Setembro de 1999, o Conselho decidiu, nos termos do artigo 262.o do Tratado CE, consultar o Comité Económico e Social sobre a proposta supramencionada.

A Secção de Emprego, Assuntos Sociais e Cidadania, incumbida da preparação dos correspondentes trabalhos do Comité, emitiu parecer em 12 de Novembro de 1999 (relator único: D. Retureau).

Na 368.a reunião plenária de 8 e 9 de Dezembro de 1999 (sessão de 8 de Dezembro), o Comité Económico e Social adoptou, por 117 votos a favor e 2 abstenções, o presente parecer.

1. Base jurídica, conteúdo e alcance da proposta

1.1. O projecto de parecer expõe claramente a base jurídica e a fundamentação da proposta de regulamento. Trata-se, com efeito, da transposição da Directiva 95/46/CE(1) de 24 de Outubro de 1995 para os órgãos e instituições comunitárias no âmbito da sua actividade de tratamento e de transmissão de dados pessoais.

1.2. As instituições e os órgãos comunitários e, em especial, a Comissão tratam dados pessoais no âmbito da sua actividade corrente. A Comissão troca dados pessoais com os Estados-Membros no âmbito da aplicação da política agrícola comum e dos fundos estruturais, para a gestão da união aduaneira, e no âmbito de outras políticas comunitárias.

1.3. No momento da adopção da Directiva 95/46/CE, a Comissão e o Conselho comprometeram-se (declaração conjunta publicada em 24 de Outubro 1995) a respeitar a directiva e convidaram as outras instituições e os outros órgãos comunitários a fazerem o mesmo. Na prática, as disposições da directiva têm vindo a ser aplicadas, a partir dessa data, nos órgãos comunitários.

1.4. Após a entrada em vigor do Tratado de Amsterdão, o Tratado CE passou a conter uma disposição específica - o artigo 286.o - que prevê que, a partir de 1 de Janeiro de 1999, as instituições e órgãos comunitários devem aplicar as disposições comunitárias de protecção dos dados de carácter pessoal, estabelecidas no essencial pelas Directivas 95/46/CE e 97/66/CE(2). Prevê igualmente que a aplicação das referidas disposições seja fiscalizada por um órgão independente de supervisão, criado de conformidade com o disposto no artigo 251.o, que é a novidade mais importante do projecto de regulamento.

1.5. A proposta de regulamento em apreço esforça-se (com um certo atraso em relação à data de aplicação prevista pelo TUE) por atingir este objectivo.

1.6. No entanto, há algumas questões essenciais de difícil análise no âmbito da proposta.

1.7. Por exemplo, a definição das instituições e órgãos comunitários afectados pelo regulamento: na lista anexa à proposta, a Europol fica claramente excluída das disposições previstas. Que sucede, por exemplo, com a rede informática de Schengen e com a sua autoridade de controlo específico? Devem ser considerados em separado ou não seria melhor encarar a hipótese de unificação? O mesmo se passa, aliás, com os demais órgãos do terceiro pilar.

1.8. Outro aspecto importante é que os funcionários e, em termos mais gerais, as pessoas empregadas pelos órgãos e instituições comunitárias estão também abrangidos pela proposta, mas, por exemplo, não é muito clara a articulação das disposições propostas com as do Estatuto da Função Pública Europeia (a intervenção dos comités do pessoal é, contudo, abordada em anexo). Os representantes do pessoal foram consultados? O tratamento destes dados individuais sobre o pessoal não deveria ser objecto de disposições específicas distintas para proteger o mais eficazmente possível a vida privada e os direitos das pessoas que trabalham para as Comunidades, a partir do questionário de entrada ao serviço e durante a carreira ou o período de vigência do contrato e a sua eventual renovação?

1.9. O facto de serem visadas por esta proposta apenas as pessoas singulares reflecte os limites da directiva de 1995, que exclui as pessoas colectivas de direito ou de facto que são, no entanto, objecto de recolhas e de tratamentos de dados. É, contudo, de salientar que as pessoas colectivas são abrangidas pela directiva de 1995 na medida em que tratem ou sejam depositárias de dados de carácter pessoal relativos a pessoas singulares. A proposta em exame visa unicamente o tratamento e a difusão de dados pelas instituições comunitárias, que podem respeitar a pessoas singulares ou colectivas, mas a protecção prevista só cobre as pessoas singulares.

2. Observações na generalidade

2.1. O Conselho, que tem todo o direito de fixar uma data-limite para a apresentação dos pareceres, marcou todavia ao Comité prazo muito curto para dar parecer sobre uma proposta de regulamento tão complexa e importante, já que diz respeito à protecção dos direitos humanos no âmbito do tratamento e da circulação de dados pessoais.

2.1.1. O Comité(3) gostaria de ter tido mais tempo para participar mais intensamente num processo legislativo que é fruto da co-decisão e diz directamente respeito a muitos membros das organizações económicas e sociais que representa.

2.2. O Comité já se pronunciou antes num seu parecer(4):

a) sobre duas propostas de directiva do Conselho relativas:

- à protecção das pessoas no contexto do tratamento de dados de carácter pessoal;

- à protecção de dados pessoais e da vida privada no contexto das redes públicas digitais de telecomunicações;

b) e ainda sobre uma proposta de decisão do Conselho em matéria de segurança dos sistemas de informação.

2.3. Os princípios gerais que regulam o tratamento de dados pessoais e as garantias indispensáveis ao respeito dos direitos individuais e da vida privada, aflorados pelo Comité no parecer supra, conservam a sua actualidade e a sua pertinência no que se refere ao projecto de regulamento em apreço. São conformes à convenção n.o 108 do Conselho da Europa(5) que deve guiar a avaliação do projecto de regulamento, em conjugação com as legislações e práticas dos Estados-Membros e com a directiva de 1995.

2.3.1. O Comité insta o Conselho a referir-se aos princípios e às propostas expostos no parecer de 1991 e no presente parecer e a levá-los inteiramente em consideração para, na medida do possível, haver um progresso em relação à directiva de 1995, tendo em conta as imposições da base jurídica, e a tê-los, de qualquer modo, em mente quando reexaminar a directiva com vista à sua eventual revisão na perspectiva do ano 2001.

2.3.2. O Comité considera, com efeito, que as instituições e órgãos da Comunidade devem oferecer a máxima protecção e as máximas garantias no tratamento de dados pessoais, apoiando-se nas normas internacionais e nas legislações nacionais mais avançadas e nas melhores práticas dos Estados-Membros, sempre com a preocupação de dar o exemplo e de promover uma harmonização progressiva, tanto mais que o projecto concerne não só ao tratamento desses dados como à sua livre circulação e à dos produtos do seu tratamento, quer no território da União quer fora dele.

2.4. A evolução rápida das tecnologias da informação e da comunicação, as maiores possibilidades de armazenamento perene dos dados em diferentes suportes, a sofisticação crescente das técnicas de tratamento e de interconexão, bem como o desenvolvimento dos meios de transmissão e de acesso à informação, aumentam a necessidade de reforçar a protecção e as garantias para as pessoas envolvidas, tendo em conta o princípio de livre circulação de dados.

2.4.1. Mas estas evoluções nas tecnologias e nos métodos oferecem igualmente novas possibilidades em matéria de protecção contra os acessos não autorizados, de segurança de transmissão, de preservação da vida privada e de exercício dos direitos de cada indivíduo, que incluem os seus direitos de aceder, corrigir ou opor-se à utilização ou à difusão dos dados que lhe dizem respeito. É mais importante fazer referência ao estado da técnica que aos seus custos, a menos que estes se tornem desproporcionados, tendo em conta o nível de segurança a garantir.

2.4.2. A protecção dos direitos das pessoas singulares e as garantias que lhes são oferecidas devem ser plenamente integradas na concepção dos instrumentos e dos métodos de recolha, tratamento, utilização e transmissão de dados. Todos os intervenientes nestes vários níveis, desde a recolha até à utilização final, devem responder a severos critérios de competência e de sigilo, cuja eventual violação deve ser objecto de sanções suficientemente dissuasivas. A proposta vai, essencialmente, neste sentido e, no seu todo, constitui para o Comité um texto protector com garantias e possibilidades de acesso e de recursos administrativos e jurisdicionais, em geral, satisfatórios.

2.4.3. São evidentes alguns progressos em relação à directiva de 1995, como a gratuitidade do acesso aos dados, devendo salientar-se o facto de a transposição ser acompanhada de disposições precisas e claras, como a definição de dados delicados e de tratamentos interditos, a definição exacta do significado do conceito de garantias "adequadas" para a transmissão de dados para o país ou órgãos não abrangidos pela directiva de 1995, a observação de todas as formas possíveis de tratamento de dados ou a constituição de órgãos independentes de supervisão em cada uma das instituições e em cada um dos órgãos comunitários que permitem uma verificação a priori dos direitos e liberdades e da vida privada, mais eficaz do que uma verificação a posteriori.

2.4.4. O Comité defende, porém, a melhoria de certas disposições, embora esteja consciente de que a redacção preparada pela Comissão não pode ultrapassar o quadro da directiva de 1995, cujas insuficiências, aliás, já realçou oportunamente. Haveria, designadamente, que adoptar medidas de protecção específicas beneficiando, total ou parcialmente, as pessoas colectivas, ou melhor, as associações sem personalidade jurídica, por exemplo, ao nível da confidencialidade e do respeito da imagem de marca no caso das empresas. Conviria, em todo o caso, assegurar tal protecção e procurar as vias adequadas para a concretizar. Seria igualmente necessário aperfeiçoar as disposições propostas no atinente às autoridades independentes sujeitas inteiramente ao poder legislativo do Conselho e do Parlamento.

2.5. O Comité é favorável a que todas as medidas previstas, desde a recolha até ao tratamento e à transmissão, decorram das finalidades estritamente definidas e controladas anteriormente ao exercício, que devem observar os critérios de legalidade justamente expostos na proposta, e sejam imprescindíveis à actividade dos órgãos e instituições responsáveis.

2.6. No que se refere ao pessoal empregado pelas instituições e os órgãos comunitários, o Comité pensa que deveria ser consagrado um capítulo especial à protecção dos dados pessoais que lhes dizem respeito e da sua vida privada. Este capítulo daria, pelo menos, à futura autoridade europeia a faculdade de determinar, após consulta dos órgãos representativos do pessoal, as questões a não colocar aquando da admissão ao serviço, de proibir que as mulheres sejam interrogadas sobre se estão ou não grávidas e de regular o que pode constar do processo individual de cada pessoa. Seria oportuno inspirar-se, para tal, nas directivas práticas da OIT sobre protecção dos dados individuais dos trabalhadores, bem como na Recomendação n.o 171 da OIT sobre os serviços de saúde no trabalho (1985).

2.7. No caso dos órgãos e das instituições em causa, o Comité constata que a proposta cobre efectivamente todos os domínios comunitários e concorda com a interpretação do artigo 286.o do Tratado do campo de aplicação, que abarca todas as instituições. Uma interpretação restritiva que excluísse do mesmo, por exemplo, o Euratom e a CECA teria um efeito aberrante e contrário aos objectivos perseguidos.

2.8. Porém, com a comunitarização gradual do terceiro pilar (que não é abrangido pela directiva de 1995) e face à necessidade de dispor de um instrumento horizontal envolvendo também os dados recolhidos, tratados e transmitidos em matéria de cooperação judiciária e policial, o Comité sugere que a competência da Autoridade Europeia para a Protecção de Dados se estenda, a partir de agora, ao sistema de informação de Schengen e, gradualmente, a todas as convenções do terceiro pilar onde a protecção de dados é actualmente concebida de maneira autónoma, com normas e órgãos de controlo específicos, embora regidos por princípios comuns. Falta ainda criar uma tal protecção ao nível da cooperação judiciária, ainda não prevista. Esta sugestão implica a eventualidade de protocolos adicionais às referidas convenções.

2.9. É, pois, a partir destas observações na generalidade e considerando todos os novos elementos e as evoluções ocorridas depois do seu parecer anterior que o Comité, constatando várias abordagens positivas e interessantes, formula algumas sugestões e recomendações mais exactas e detalhadas nas suas observações na especialidade, respeitando a sequência dos capítulos e anexos da proposta.

3. Observações e recomendações na especialidade

3.1. Artigo 2.o - Definições - alínea c)- O ficheiro é definido como um "conjunto estruturado de dados pessoais", mas não é preciso que se trate de dados estruturados para poder tratá-los e explorá-los. Bastaria falar de um conjunto de dados de carácter pessoal ou individual.

3.2. Artigo 4.o - Qualidade dos dados - alínea d)- Devem ser tomadas todas as medidas "razoáveis" para rectificar ou apagar dados inexactos ou incompletos ou ainda inadequados do ponto de vista das finalidades para que são tratados. Dever-se-ia dizer, em vez disso, "todas as medidas possíveis".

3.2.1. Artigo 5.o - Tratamento lícito de dados - alínea d)- O Comité concorda com os critérios de legalidade, mas entende que neste ponto se deveria falar de "consentimento com conhecimento de causa".

3.3. Artigo 6.o - Tratamento posterior para finalidades compatíveis - Quando é efectuado um tratamento de dados para finalidades diferentes daquelas para que foram recolhidos, as pessoas afectadas deveriam ser informadas previamente desta eventualidade aquando da recolha ou no momento em que for tomada esta nova decisão.

3.4. Artigo 9.o - Transferências de dados

3.4.1. Números 1 a 4: como os dados só podem ser transmitidos a pessoas e organismos não abrangidos pela Directiva 95/46/CE ou a países que não ratificaram a Convenção 108 do Conselho da Europa, seria necessário assegurar previamente um nível de protecção equivalente (e não apenas "adequado", mas é esta a formulação da directiva). Não obstante, o Comité regista com agrado que as disposições práticas previstas em matéria de adequação são altamente protectoras.

3.4.2. Números 5 a 6: a Autoridade Europeia para a Protecção de Dados (AEPD) deveria ser informada previamente das derrogações, a fim de estar, eventualmente, apta a recusá-las.

3.5. Artigo 10.o - Tratamentos proibidos - A formulação vai mais longe do que a do artigo 6.o da Convenção 108 do Conselho da Europa, salvo no atinente às condenações penais tratadas mais restritivamente no n.o 5 (não são absolutamente proibidas). O Comité preferiria uma formulação mais detalhada: "É proibido o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas e, mais geralmente, toda a convicção ou opinião que não seja qualificada de crime face ao direito internacional, a filiação sindical, bem como o tratamento de dados relativos à saúde, ao património genético ou à vida sexual." A noção de património genético deveria ser abrangida como parte da saúde; haveria, certamente, que reexaminar a formulação relativa aos tratamentos proibidos no momento da revisão da directiva.

3.6. Artigo 17.o - Comunicação a terceiros - A possibilidade de derrogação ao dever de comunicar modificações ou bloqueio de dados é demasiado vaga e demasiado vasta.

3.7. Artigo 23.o - Segurança do tratamento - Número 1: o responsável pelo tratamento deve assegurar o máximo nível de segurança no tratamento e na transmissão de dados, tendo em conta o estado da técnica disponível e desde que os custos daí decorrentes não sejam desproporcionados relativamente ao nível de segurança a garantir.

3.8. Artigo 25.o - Responsável(eis) pela protecção de dados e Anexos I e II

3.8.1. A questão central é a independência e a qualificação das pessoas nomeadas pelas instituições e pelos órgãos para recolher, tratar e transmitir os dados pessoais.

3.8.2. As disposições previstas protegem as pessoas contra toda a pressão indevida por parte das autoridades de nomeação que são simultaneamente seus superiores hierárquicos e com as quais têm uma relação de subordinação.

3.8.3. Devem, com efeito, eximir-se expressamente a esta relação de subordinação, quando se trate das suas competências ao nível da protecção de dados, e depender exclusivamente da AEPD(6). Esta função não deveria ficar sujeita a avaliação ou a classificação por parte das autoridades hierárquicas nem prejudicar a sua carreira, no caso de conflito com as autoridades em questões de protecção de dados. O período do seu mandato deveria ser mais longo para melhor poderem garantir a sua independência e agirem numa perspectiva duradoura e com segurança.

3.8.4. A percentagem estimada de tempo de trabalho dedicado pelos responsáveis à protecção de dados (5 % em geral, 10 % mais excepcionalmente), bem como os meios colocados à sua disposição afiguram-se, à primeira vista, bastante limitados. Os mesmos devem ter latitude e flexibilidade suficientes para exercer plenamente as suas funções e dispor dos recursos humanos e materiais apropriados, em função das suas necessidades.

3.9. Artigo 28.o - Verificação prévia pela Autoridade Europeia para a Protecção de Dados (AEPD)

3.9.1. O princípio a estabelecer deve ser que as operações de tratamento de dados que apresentem riscos específicos para os direitos e liberdades das pessoas em causa fiquem sujeitas a verificações prévias pelo responsável. A existência ou a realização de tratamentos "delicados" exigem, com efeito, uma reflexão prévia mais profunda e a intervenção de uma autoridade independente, previstas acertadamente no texto por corresponderem a uma garantia fundamental.

3.9.2. Mas há outros tratamentos que deveriam ser aditados à lista projectada. De um modo ou outro, a AEPD deve examinar a priori as seguintes situações:

- os tratamentos que implicam a nova utilização de tecnologias existentes;

- os aditamentos ao artigo 10.o propostos pelo Comité;

- os tratamentos que têm que ver com a polícia, a segurança, o direito penal, a imigração e a estadia de pessoas de países terceiros (emissão de vistos, regularização da residência, por exemplo);

- os tratamentos que utilizam códigos de identificação dos utilizadores, de alcance geral;

- as interconexões entre ficheiros com finalidades distintas;

- os tratamentos de dados recolhidos para outros fins;

- as condições de realização de tratamentos que se desviem dos princípios de protecção das pessoas;

- os tratamentos que recorrem a ou necessitam de transferências internacionais de dados fora das fronteiras da UE;

- os levantamentos estatísticos que revestem um carácter obrigatório e os que abrangem sectores inteiros da população ou de profissões.

3.10. Artigo 32.o - Segurança no âmbito das redes internas de telecomunicações - Número 1 (fim)- O Comité recomenda que se altere a formulação: "... devem assegurar um nível de segurança adequado aos riscos existentes e adaptado continuamente à evolução, tendo em conta o estado e o desenvolvimento da técnica e, eventualmente, os custos da aplicação dessas medidas, se se revelarem desproporcionados em relação aos objectivos perseguidos".

3.11. Autoridade de supervisão

3.11.1. Artigo 38.o - A AEPD - O número 1 deveria especificar que é criada uma Autoridade Europeia para a Protecção de Dados independente.

3.11.2. Artigo 39.o - Nomeação - A proposta prevê a nomeação da AEPD, "de comum acordo", pela Comissão, pelo Conselho e pelo Parlamento Europeu, sendo o seu mandato de quatro anos, renovável (quantas vezes?).

3.11.3. O Comité insiste novamente na necessária independência da AEPD, que não deveria, por conseguinte, ser nomeada por órgãos que, tais como a Comissão ou o Conselho, tratam habitualmente ou mandam tratar os dados individuais e asseguram a sua difusão ou transmissão. Como para o Mediador, seria mais adequado e tecnicamente mais prático que a nomeação ficasse a cargo do Parlamento Europeu, após consulta da Comissão e do Conselho. Um mandato sensivelmente mais longo (eventualmente o dobro do período previsto) mas não renovável poderia ser uma garantia suplementar de independência.

3.11.4. As funções da AEPD são particularmente pesadas e diversificadas e os anexos orçamentais que acompanham a proposta parecem algo modestos em relação às exigências colocadas.

3.11.5. O Comité considera absolutamente necessário garantir um nível adequado dos meios da futura autoridade e a afectação de pessoal suficiente de grande competência técnica.

4. Conclusões

4.1. O Comité gostaria de ter podido examinar mais a fundo todas as disposições que lhe foram submetidas para análise de uma proposta de regulamento tão decisiva para a protecção dos direitos e liberdades das pessoas, no âmbito da administração comunitária.

4.2. Um tal projecto representa uma tarefa gigantesca que é digna de louvor pelas importantes protecções que preconiza. Os seus limites prendem-e com os limites da directiva de 1995. Ciente dos progressos e avanços já contidos nesta fase, o Comité põe à consideração do Conselho, do Parlamento Europeu e da Comissão as observações na generalidade e na especialidade deste parecer, esperando que este contributo permita o reforço das garantias de exercício das liberdades e dos direitos usufruídos pelas pessoas no espaço comunitário e além dele.

4.3. Em todo o caso, com base na avaliação da aplicação da directiva, prevista para 2001, e em função das propostas concretas de revisão que lhe forem então presentes para parecer, o Comité formulará a seu tempo propostas detalhadas e completas quanto à natureza e ao alcance das alterações que desejaria introduzir no texto actual.

Bruxelas, 8 de Dezembro de 1999.

A Presidente

do Comité Económico e Social

Beatrice RANGONI MACHIVALLI

(1) JO L 281 de 23.11.1995, p. 31.

(2) JO L 24 de 30.1.1998, p. 1.

(3) Sob reserva de aprovação na reunião plenária.

(4) JO C 159 de 17.6.1991, p. 38.

(5) Conselho da Europa -(STE n.o 108) Convenção do Conselho da Europa para a protecção das pessoas relativamente ao tratamento automatizado de dados de carácter pessoal. Todos os Estados-Membros actuais já ratificaram esta convenção, o que não sucedeu ainda na maioria dos países candidatos.

(6) Disposições similares estão, por exemplo, previstas na Convenção n.o 81 da OIT referente aos inspectores do trabalho.