PERGUNTA ESCRITA E-0718/02

apresentada por Erik Meijer (GUE/NGL) à Comissão

(15 de Março de 2002)

Objecto: Recolha não autorizada de dados de utilizadores pela Microsoft NET Passport e medidas para proteger a sua privacidade

1. Tem a Comissão conhecimento do serviço gratuito NET Passport, que tem por objectivo permitir que, durante uma compra, um jogo, um pedido ou uma operação bancária em linha, os dados pessoais dos consumidores possam ser recolhidos continuamente, por exemplo através de um endereço electrónico (hotmail), um programa de chat (MSN Messenger), uma loja (Expedia.com), um leilão (QXL), uma comunidade (MSN Communities) ou uma cadeia de hotéis (Hilton.com), o que tem como resultado que os detentores de um endereço hotmail transmitem, sem se aperceberem, uma quantidade enorme de dados pessoais a um desconhecido?

2. É também do conhecimento da Comissão que o facto de não se inscrever no NET Passport implica a exclusão de (serviços) de muitos sítios, de que não é possível anular a inscrição, de que periodicamente só os dados antigos são eliminados e de que as palavras-passe a utilizar só têm seis caracteres, podendo ser facilmente descobertas por outras pessoas que se fazem passar por administradores do sistema ou que têm um bom conhecimento de dicionários?

3. Considera a Comissão normal que os utilizadores de terminais públicos em universidades, bibliotecas e cibercafés, se não se desligarem bem, possam transmitir os seus dados pessoais ao utilizador seguinte, que, ao alugar software por internet (utilizando os serviços da Microsoft em vez do seu próprio disco duro), só seja possível ter acesso através de NET Passport, e que, graças à sua posição de verdadeiro monopólio, a Microsoft, num futuro próximo, possa fazer pagar caro os serviços que, actualmente, são fornecidos gratuitamente?

4. Será legal que uma empresa dominante constitua uma base de dados muito vasta com dados pessoais? Ter-se-á inscrito a NET Passport nas instituições nacionais que controlam a aplicação da legislação relativa à protecção da vida privada? Estará prevista esta obrigação em todos os Estados-membros? Será também válida esta obrigação se a base de dados não se encontrar no território de um Estado-membro da UE?

5. Podem os serviços de investigação nacionais ou europeus dispor dos dados recolhidos sem necessidade de uma autorização prévia do interessado ou de um juiz?

6. Considera a Comissão que há motivos para criar uma legislação que impeça definitivamente os abusos por parte de pessoas interessadas ou a violação das normas em vigor em matéria de protecção da privacidade?

Resposta dada por Frederik Bolkestein em nome da Comissão

(7 de Maio de 2002)

1. a 3. A Comissão está de facto ao corrente do sistema da Microsoft NET Passport e das suas alegadas características, e partilha algumas das preocupações do Sr. Deputado. A Comissão está a analisar a questão de forma prioritária, em concertação com as autoridades nacionais para a protecção de dados, no que se refere à eventual compatibilidade do sistema com a legislação da UE em matéria de protecção de dados.

4. Uma empresa que opere na União está sujeita ao direito comunitário, podendo constituir uma base de dados pessoais, desde que respeite as obrigações previstas na Directiva 95/46/CE do Parlamento e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados(1). Essas obrigações implicam que os dados sejam recolhidos para fins legítimos e específicos, a prestação de informações às pessoas em causa sobre a identidade do responsável pelo tratamento dos dados, o objectivo da recolha e os direitos dos particulares, tal como o direito de acesso aos próprios dados pessoais. Nos casos em que é necessário um consentimento para o tratamento de dados, a directiva exige que esse consentimento seja dado de forma inequívoca e livre. A directiva também prevê a obrigação de notificar essas operações de tratamento às autoridades nacionais para a protecção de dados. No entanto, a directiva também prevê algumas isenções em relação à obrigação de notificação. A Comissão não se encontra, actualmente, em condições de confirmar se esta operação de tratamento foi notificada na Comunidade.

A questão de saber se, e em que medida, a directiva se aplica a uma base de dados (ou, nos termos da directiva, um responsável pelo tratamento dos dados) situada fora da União, especialmente quando os dados são fornecidos directamente pelas pessoas em causa através da Internet, constitui uma questão complexa que a Comissão e as autoridades nacionais para a protecção de dados estão a examinar atentamente. A alínea c) no no 1 do artigo 4o da directiva prevê a sua aplicação quando o responsável pelo tratamento recorrer, para tratamento de dados pessoais, a meios, automatizados ou não, situados no território de um Estado-membro, o que implica que a directiva se aplique, pelo menos nalguns casos, a responsáveis pelo tratamento estabelecidos fora do território da Comunidade. Além disso, certas disposições nacionais relativas a um país terceiro em que esteja estabelecido o responsável pelo tratamento podem ser aplicáveis, e tornadas obrigatórias, nessa jurisdição. A este respeito, a Microsoft comunicou ao Department of Commerce dos Estados Unidos da América a sua adesão a uma política de privacidade conforme aos princípios de porto seguro(2).

5. Com base nas leis existentes, os serviços de investigação criminais podem utilizar as informações recolhidas sem o consentimento prévio das pessoas em causa ou dos tribunais, desde que os direitos de defesa das pessoas em causa sejam respeitados e que a restrição ao direito à privacidade seja estritamente necessária para efeitos do inquérito criminal. Além disso, as informações recolhidas no decurso do inquérito só podem ser utilizadas no âmbito desse inquérito.

6. Em conformidade com o artigo 33o da directiva, a Comissão está a analisar a aplicação da Directiva 95/46/CE e tenciona apresentar um relatório até ao final do ano. A alteração da regulamentação actual será analisada nesse contexto.

(1) JO L 281 de 23.11.1995.

(2) Ver a Decisão 2000/520/CE da Comissão, de 26 de Julho de 2000, nos termos da Directiva 95/46/CE do Parlamento Europeu e do Conselho e relativa ao nível de protecção assegurado pelos princípios de porto seguro e pelas respectivas questões mais frequentes (FAQ) emitidos pelo Department of Commerce dos Estados Unidos da América, JO L 215 de 25.8.2000.