PERGUNTA ESCRITA E-1723/02

apresentada por Bart Staes (Verts/ALE) à Comissão

(13 de Junho de 2002)

Objecto: A protecção da privacidade e o tratamento electrónico de dados

No quadro do e-governo, a Administração belga decidiu no Outono de 2000 que, em 2005, todos os cidadãos belgas deverão fazer-se acompanhar de um bilhete de identidade electrónico. Num artigo do Jornal De Morgan de 21 de Maio de 2002 intitulado Com um novo bilhete de identidade o Big Brother passa a estar muito mais próximo afirma-se que se está a trabalhar nas chamadas super-bases de dados, as quais incluirão dados policiais para além dos dados fiscais e médicos. Além disso, serão também inseridos dados biométricos, os quais permitirão verificar a autenticidade por meio de características faciais. Estes dados de natureza muito pessoal serão acessíveis por meio de um portal com o código do bilhete de identidade. Para tanto, é apenas necessária uma combinação de quatro algarismos. Além disso, o jornal afirma ainda que estas bases de dados serão interligadas. O acesso a estas bases de dados será, portanto, muito lucrativo.

Até este momento, não existe quase nenhum controlo sobre essas bases de dados. A autoridade responsável pelo controlo (isto é, a Comissão, em matéria dos dados pessoais) não está sujeita a um controlo parlamentar e dispõe de um número insuficiente de colaboradores para exercer um controlo adequado. Além disso, um membro da Comissão é também o líder da instância responsável pela execução do projecto do bilhete de identidade electrónico.

O que pensa a Comissão sobre a interligação das bases de dados policiais, médicos e fiscais?

A participação da Comissão na protecção da privacidade e, simultaneamente, na execução do projecto do bilhete de identidade electrónico é compatível com a legislação europeia? De que modo explica a Comissão esta situação?

A protecção dos dados por meio de um código secreto individual não é insuficiente, em termos técnicos e organizacionais, para dar as necessárias garantias de protecção da privacidade? Em que argumentos se baseia a Comissão?

Resposta comumàs perguntas escritas E-1723/02 e E-1724/02dada pelo Comissário Frederik Bolkestein em nome da Comissão

(26 de Setembro de 2002)

A Comissão teve conhecimento de projectos de regulamentações belgas que visam a introdução de um bilhete de identidade digital, por ocasião de uma notificação efectuada em conformidade com a Directiva 98/34/CE(1) (directiva que impõe aos serviços da sociedade da informação, nomeadamente, a notificação de projectos de regulamentações nacionais). A Bélgica notificou a legislação em projecto (referência no 2001/474/B), pedindo que os textos fossem tratados de forma confidencial, em conformidade com o no 4o do artigo 8o da referida directiva. Após análise da regulamentação em projecto, a Comissão emitiu um parecer circunstanciado e fez várias observações. O parecer circunstanciado versava essencialmente os anexos técnicos a fim de assegurar a sua compatibilidade com as Directivas 73/23/CEE do Conselho, de 19 de Fevereiro de 1973, relativa à harmonização das legislações dos Estados-Membros no domínio do material eléctrico destinado a ser utilizado dentro de certos limites de tensão(2) e 89/336/CEE do Conselho, de 3 de Maio de 1989, relativa à aproximação das legislações dos Estados-Membros respeitantes à compatibilidade electromagnética(3). As observações diziam respeito aos aspectos ligados à protecção dos dados.

A Comissão sublinha que no estado actual, embora esteja prevista uma simplificação de certos procedimentos existentes relativos à comunicação de dados pessoais ou ao acesso a eles, a legislação em projecto não prevê especificamente a interligação de bancos de dados médicos ou fiscais.

No entanto, a Comissão tem consciência da importância das preocupações evocadas pelo Sr. Deputado e tê-las-á em conta no âmbito do processo de avaliação da aplicação da Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados(4), o qual deverá estar concluído no final de 2002.

Em qualquer caso, os tratamentos de dados pessoais, incluindo as interligações, a efectuar no contexto do bilhete de identidade electrónico deverão estar em conformidade com a Directiva 95/46/CE. Esta directiva, cujo âmbito de aplicação é limitado ao direito comunitário, enuncia as condições e os princípios segundo os quais podem ser tratados os dados pessoais. Impõe nomeadamente a obrigação de tratar os dados pessoais de forma leal e lícita e de não os tratar posteriormente de maneira incompatível com as finalidades com que foram recolhidos. A Directiva 95/46/CE contém igualmente um princípio de proibição de tratar os dados relativos à saúde, embora sujeito a diversas excepções. Impõe, além disso, que se determinem as condições de utilização de identificadores únicos.

Além disso, a Directiva 95/46/CE prevê a obrigação de garantir a protecção dos dados contra a destruição acidental ou ilícita, a perda acidental, a alteração, a divulgação ou o acesso não autorizado, bem como contra qualquer outra forma de tratamento ilícito. A Directiva 97/66/CE do Parlamento Europeu e do Conselho, de 15 de Dezembro de 1997, relativa ao tratamento de dados pessoais e à protecção da privacidade no sector das telecomunicações, que será substituída a partir de 31 de Outubro de 2003 pela Directiva 2002/58/CE(5), contém igualmente obrigações específicas de segurança no que diz respeito às redes de telecomunicações públicas e aos serviços de telecomunicação acessíveis ao público.

A Comissão segue com uma atenção particular os desenvolvimentos tecnológicos no que diz respeito à segurança do intercâmbio de dados e sublinha, neste contexto, que o nível de segurança oferecido através da utilização de uma infra-estrutura de chave pública depende não só do

nível de segurança oferecido pelas componentes técnicas da infra-estrutura, mas também da qualidade dos procedimentos de segurança e sobretudo do rigor da sua aplicação (cartão inteligente, criação de chaves, autoridade que emite os certificados, validade dos certificados, etc.).

A Comissão está especialmente atenta às tecnologias de segurança utilizadas para transferir dados pessoais. Sublinha, no entanto, que não existe um nível de segurança absoluto e que, em conformidade com a Directiva 95/46/CE, o nível de segurança adequado em relação aos riscos apresentados pelo tratamento de dados pessoais e pela natureza dos dados pessoais a proteger deve ser apreciado tendo em conta o estado da arte e os custos ligados à aplicação das medidas de segurança.

Em termos de composição das autoridades de controlo responsáveis pelas fiscalização da aplicação das disposições adoptadas pelos Estados-Membros, a Directiva 95/46/CE prevê que estas autoridades exerçam as suas funções com total independência. A directiva não fornece, contudo, nenhuma indicação suplementar sobre a maneira como esta independência deve ser garantida. A Comissão sublinha a este respeito que, nos termos da lei belga de 8 de Dezembro de 1992, relativa à protecção da vida privada em relação aos tratamentos de dados pessoais, a autoridade belga competente em matéria de protecção dos dados é um órgão colegial cujos membros são designados pelo Parlamento. Esta lei prevê além disso que os membros devem oferecer todas as garantias que lhes permitam exercer a sua função com independência. Diferentes medidas estão previstas para esse efeito, incluindo a proibição de os membros estarem presentes aquando da deliberação sobre assuntos pelos quais tenham um interesse pessoal.

A Comissão recorda, além disso, que apoia projectos de investigação no domínio da segurança dos cartões inteligentes. Os investigadores Ross Anderson e Sergei Skorobogatov participam no projecto G3CARD (IST-1999/26328). Este projecto tem um duplo objectivo. Em primeiro lugar, visa identificar o conjunto dos ataques possíveis contra os cartões (o ataque por flash constitui efectivamente um exemplo dos ataques visados por este projecto). O segundo objectivo do projecto é desenvolver uma nova geração de cartões inteligentes capaz de resistir a estes novos ataques.

O cartão inteligente apresenta a vantagem de aumentar muito significativamente o nível de segurança dos sistemas, tornando os ataques não só tecnicamente complexos, mas também caros, e portanto, durante um certo tempo, inacessíveis aos criminosos. É contudo claro que se descobrirão novos ataques, para os quais será necessário desenvolver outras gerações de cartões inteligentes.

O nível de segurança do sistema GSM foi adaptado às aplicações que tinham sido previstas pelos criadores da norma há uma quinzena de anos, aplicações essencialmente de telefonia. As novas normas para o telefone sem fios de terceira geração prevêem uma segurança reforçada, nomeadamente para permitir aplicações sensíveis. Além disso, a segurança das transacções sem fios será um dos temas prioritários no domínio das TSI no Sexto Programa-Quadro de Investigação e Desenvolvimento Tecnológico da Comunidade. Agora, um dos objectivos do projecto de investigação Embedded Finread (IST-2000/30091) é transpor a segurança dos terminais de pagamento para a telefonia sem fios, incluindo o actual sistema GSM.

Outros projectos como o PKI Challenge (IST-2000/25012) e o Digisec (IST-1999/20981) dedicam-se a desenvolver a assinatura electrónica e a sua infra-estrutura PKI conexa. O projecto Nessie (IST-1999/12324) define novos algoritmos criptográficos e o Verificard (IST-2000/26328) concentra-se na verificação da segurança do software contido no cartão. Quanto aos projectos como o UFACE (IST-1999/11587) ou o BANCA (IST-1999/11159), concentram-se nos aspectos técnicos da biometria.

O projecto Smartcities (IST-1999/12252) dedica-se à criação de um cartão urbano. Tem, no entanto, o mérito de inventar mecanismos para garantir a segurança dos dados, uma vez que considera que a protecção dos dados irá tornar-se um argumento comercial. Os seus mecanismos poderiam depois ser reutilizados por outros projectos.

(1) Directiva 98/34/CE, do Parlamento Europeu e do Conselho de 22 de Junho de 1998, relativa a um procedimento de informação no domínio das normas e regulamentações técnicas, JO L 204 de 21.7.1998.

(2) JO L 77 de 26.3.1973.

(3) JO L 139 de 23.5.1989.

(4) JO L 281 de 23.11.1995.

(5) JO L 24 de 30.1.1998 e JO L 201 de 31.7.2002.