PERGUNTA ESCRITA E-1724/02

apresentada por Bart Staes (Verts/ALE) à Comissão

(13 de Junho de 2002)

Objecto: O bilhete de identidade electrónico e a protecção de dados pessoais

No quadro do e-governo, a Administração belga decidiu no Outono de 2000 que, em 2005, todos os cidadãos belgas deverão fazer-se acompanhar de um bilhete de identidade electrónico. Para que o intercâmbio de dados entre as próprias autoridades e entre as autoridades e os seus clientes ocorra com tanta segurança quanto possível, o Fedict (Autoridade Federal para a Informática e as Tecnologias da Comunicação) lançou o Public Key Infrastructure (PKI), também designado por regulamentação relativa aos serviços de certificação. Esse cartão com a chave privada será de preferência inscrito num chip protegido por um código pessoal secreto.

De um artigo publicado em 12 de Maio de 2002 no New York Times conclui-se que esta tecnologia é copiável. Dois investigadores do domínio da segurança dos computadores da Universidade de Cambridge, Skorobogatov Sergei e Anderson Ross, provaram que, utilizando um simples flash fotográfico e um microscópio, se consegue extrair informações do chip. Deste modo, torna-se extremamente fácil obter informações pessoais para fins criminosos. Esta tecnologia é também utilizada para muitos outros fins, para além dos bilhetes de identidade electrónicos, por exemplo, nos cartões de crédito e de débito e nos cartões SIM dos telefones portáteis. O folheto da IBM intitulado Partititioning attacks: Or how to rapidly clone some GSM Cards confirmava esta vulnerabilidade. Os investigadores afirmavam ser capazes de obter informações dos cartões SIM de maneira muito mais rápida.

Pode a Comissão confirmar a veracidade destas notícias preocupantes?

Em caso afirmativo, não é esta situação contraditória com a legislação europeia sobre a protecção dos dados pessoais? Não têm os Estados-Membros que adoptar medidas técnicas e organizacionais para protegerem os dados pessoais, particularmente nos casos em que o tratamento de dados inclua o envio dos dados para uma rede? Que medidas adoptará a Comissão contra esta violação da privacidade?

Em caso negativo, em que argumentos se baseia a Comissão para refutar os resultados destes estudos e a copiabilidade da tecnologia baseada nos chips?

Resposta comumàs perguntas escritas E-1723/02 e E-1724/02dada pelo Comissário Frederik Bolkestein em nome da Comissão

(26 de Setembro de 2002)

A Comissão teve conhecimento de projectos de regulamentações belgas que visam a introdução de um bilhete de identidade digital, por ocasião de uma notificação efectuada em conformidade com a Directiva 98/34/CE(1) (directiva que impõe aos serviços da sociedade da informação, nomeadamente, a notificação de projectos de regulamentações nacionais). A Bélgica notificou a legislação em projecto (referência no 2001/474/B), pedindo que os textos fossem tratados de forma confidencial, em conformidade com o no 4o do artigo 8o da referida directiva. Após análise da regulamentação em projecto, a Comissão emitiu um parecer circunstanciado e fez várias observações. O parecer circunstanciado versava essencialmente os anexos técnicos a fim de assegurar a sua compatibilidade com as Directivas 73/23/CEE do Conselho, de 19 de Fevereiro de 1973, relativa à harmonização das legislações dos Estados-Membros no domínio do material eléctrico destinado a ser utilizado dentro de certos limites de tensão(2) e 89/336/CEE do Conselho, de 3 de Maio de 1989, relativa à aproximação das legislações dos Estados-Membros respeitantes à compatibilidade electromagnética(3). As observações diziam respeito aos aspectos ligados à protecção dos dados.

A Comissão sublinha que no estado actual, embora esteja prevista uma simplificação de certos procedimentos existentes relativos à comunicação de dados pessoais ou ao acesso a eles, a legislação em projecto não prevê especificamente a interligação de bancos de dados médicos ou fiscais.

No entanto, a Comissão tem consciência da importância das preocupações evocadas pelo Sr. Deputado e tê-las-á em conta no âmbito do processo de avaliação da aplicação da Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados(4), o qual deverá estar concluído no final de 2002.

Em qualquer caso, os tratamentos de dados pessoais, incluindo as interligações, a efectuar no contexto do bilhete de identidade electrónico deverão estar em conformidade com a Directiva 95/46/CE. Esta directiva, cujo âmbito de aplicação é limitado ao direito comunitário, enuncia as condições e os princípios segundo os quais podem ser tratados os dados pessoais. Impõe nomeadamente a obrigação de tratar os dados pessoais de forma leal e lícita e de não os tratar posteriormente de maneira incompatível com as finalidades com que foram recolhidos. A Directiva 95/46/CE contém igualmente um princípio de proibição de tratar os dados relativos à saúde, embora sujeito a diversas excepções. Impõe, além disso, que se determinem as condições de utilização de identificadores únicos.

Além disso, a Directiva 95/46/CE prevê a obrigação de garantir a protecção dos dados contra a destruição acidental ou ilícita, a perda acidental, a alteração, a divulgação ou o acesso não autorizado, bem como contra qualquer outra forma de tratamento ilícito. A Directiva 97/66/CE do Parlamento Europeu e do Conselho, de 15 de Dezembro de 1997, relativa ao tratamento de dados pessoais e à protecção da privacidade no sector das telecomunicações, que será substituída a partir de 31 de Outubro de 2003 pela Directiva 2002/58/CE(5), contém igualmente obrigações específicas de segurança no que diz respeito às redes de telecomunicações públicas e aos serviços de telecomunicação acessíveis ao público.

A Comissão segue com uma atenção particular os desenvolvimentos tecnológicos no que diz respeito à segurança do intercâmbio de dados e sublinha, neste contexto, que o nível de segurança oferecido através da utilização de uma infra-estrutura de chave pública depende não só do

nível de segurança oferecido pelas componentes técnicas da infra-estrutura, mas também da qualidade dos procedimentos de segurança e sobretudo do rigor da sua aplicação (cartão inteligente, criação de chaves, autoridade que emite os certificados, validade dos certificados, etc.).

A Comissão está especialmente atenta às tecnologias de segurança utilizadas para transferir dados pessoais. Sublinha, no entanto, que não existe um nível de segurança absoluto e que, em conformidade com a Directiva 95/46/CE, o nível de segurança adequado em relação aos riscos apresentados pelo tratamento de dados pessoais e pela natureza dos dados pessoais a proteger deve ser apreciado tendo em conta o estado da arte e os custos ligados à aplicação das medidas de segurança.

Em termos de composição das autoridades de controlo responsáveis pelas fiscalização da aplicação das disposições adoptadas pelos Estados-Membros, a Directiva 95/46/CE prevê que estas autoridades exerçam as suas funções com total independência. A directiva não fornece, contudo, nenhuma indicação suplementar sobre a maneira como esta independência deve ser garantida. A Comissão sublinha a este respeito que, nos termos da lei belga de 8 de Dezembro de 1992, relativa à protecção da vida privada em relação aos tratamentos de dados pessoais, a autoridade belga competente em matéria de protecção dos dados é um órgão colegial cujos membros são designados pelo Parlamento. Esta lei prevê além disso que os membros devem oferecer todas as garantias que lhes permitam exercer a sua função com independência. Diferentes medidas estão previstas para esse efeito, incluindo a proibição de os membros estarem presentes aquando da deliberação sobre assuntos pelos quais tenham um interesse pessoal.

A Comissão recorda, além disso, que apoia projectos de investigação no domínio da segurança dos cartões inteligentes. Os investigadores Ross Anderson e Sergei Skorobogatov participam no projecto G3CARD (IST-1999/26328). Este projecto tem um duplo objectivo. Em primeiro lugar, visa identificar o conjunto dos ataques possíveis contra os cartões (o ataque por flash constitui efectivamente um exemplo dos ataques visados por este projecto). O segundo objectivo do projecto é desenvolver uma nova geração de cartões inteligentes capaz de resistir a estes novos ataques.

O cartão inteligente apresenta a vantagem de aumentar muito significativamente o nível de segurança dos sistemas, tornando os ataques não só tecnicamente complexos, mas também caros, e portanto, durante um certo tempo, inacessíveis aos criminosos. É contudo claro que se descobrirão novos ataques, para os quais será necessário desenvolver outras gerações de cartões inteligentes.

O nível de segurança do sistema GSM foi adaptado às aplicações que tinham sido previstas pelos criadores da norma há uma quinzena de anos, aplicações essencialmente de telefonia. As novas normas para o telefone sem fios de terceira geração prevêem uma segurança reforçada, nomeadamente para permitir aplicações sensíveis. Além disso, a segurança das transacções sem fios será um dos temas prioritários no domínio das TSI no Sexto Programa-Quadro de Investigação e Desenvolvimento Tecnológico da Comunidade. Agora, um dos objectivos do projecto de investigação Embedded Finread (IST-2000/30091) é transpor a segurança dos terminais de pagamento para a telefonia sem fios, incluindo o actual sistema GSM.

Outros projectos como o PKI Challenge (IST-2000/25012) e o Digisec (IST-1999/20981) dedicam-se a desenvolver a assinatura electrónica e a sua infra-estrutura PKI conexa. O projecto Nessie (IST-1999/12324) define novos algoritmos criptográficos e o Verificard (IST-2000/26328) concentra-se na verificação da segurança do software contido no cartão. Quanto aos projectos como o UFACE (IST-1999/11587) ou o BANCA (IST-1999/11159), concentram-se nos aspectos técnicos da biometria.

O projecto Smartcities (IST-1999/12252) dedica-se à criação de um cartão urbano. Tem, no entanto, o mérito de inventar mecanismos para garantir a segurança dos dados, uma vez que considera que a protecção dos dados irá tornar-se um argumento comercial. Os seus mecanismos poderiam depois ser reutilizados por outros projectos.

(1) Directiva 98/34/CE, do Parlamento Europeu e do Conselho de 22 de Junho de 1998, relativa a um procedimento de informação no domínio das normas e regulamentações técnicas, JO L 204 de 21.7.1998.

(2) JO L 77 de 26.3.1973.

(3) JO L 139 de 23.5.1989.

(4) JO L 281 de 23.11.1995.

(5) JO L 24 de 30.1.1998 e JO L 201 de 31.7.2002.