CELEX: 51990PC0314(01)
Language: pt
Date: 1990-09-13
Title: PROPOSTA DE DIRECTIVA DO CONSELHO RELATIVA A PROTECCAO DAS PESSOAS NO QUE DIZ RESPEITO AO TRATAMENTO DOS DADOS PESSOAIS

5. 11. 90                               Jornal Oficial das Comunidades Europeias                                 N? C 277/3
              Proposta de Directiva do Conselho relativa à protecção das pessoas no que diz respeito ao
                                               tratamento dos dados pessoais
                                              COM(90) 314 final — SYN 287
                                  (Apresentada pela Comissão em 27 de Julho de 1990)
                                                        (90/C 277/03)
 O CONSELHO DAS COMUNIDAS EUROPEIAS,                              (4)  Considerando que o reforço da cooperação científica e
                                                                       técnica, bem como a criação coordenada de novas
                                                                       redes de telecomunicações na Comunidade, necessi-
 Tendo em conta o Tratado que institui a Comunidade                    tam e facilitam a circulação transfronteiriça de dados
 Económica Europeia e, nomeadamente, o seu artigo 100?A                pessoais;
e o seu artigo 113?,
 Tendo em conta a proposta da Comissão,                           (5)  Considerando que a diferença de níveis de protecção
                                                                      da vida privada relativamente aos tratamentos de
                                                                      dados pessoais assegurados nos Estados-membros
Em colaboração com o Parlamento Europeu,                              pode impedir a transmissão destes dados do território
                                                                      de um Estado-membro para o de outro Estado-
                                                                       -membro; que esta diferença pode, por conseguinte,
Tendo em conta o parecer do Comité Económico e Social,                constituir um obstáculo ao exercício de uma série de
                                                                      actividades económicas à escala comunitária, falsear a
                                                                      concorrência e entravar a função das administrações
 (1)  Considerando que os objectivos da Comunidade,                   intervenientes no âmbito de aplicação do direito
      enunciados no Tratado, com a redacção que lhe foi               comunitário; que esta diferença de níveis de protecção
      dada pelo Acto Único Europeu, consistem em                      resulta da disparidade das disposições nacionais
      estabelecer uma união cada vez mais estreita entre os           legislativas, regulamentares e administrativas;
      povos europeus, em estabelecer relações mais estreitas
      entre os Estados que a Comunidade agrupa, em
      assegurar, mediante uma acção comum, o progresso
                                                                  (6) Considerando que, para eliminar os obstáculos à
     económico e social eliminando as barreiras que
                                                                      circulação dos dados pessoais, o nível de protecção da
     dividem a Europa, em promover a melhoria constante
                                                                      vida privada relativamente aos tratamentos destes
     das condições de vida destes povos, em consolidar a
                                                                      dados deve ser equivalente em todos os Estados-
     defesa da paz e da liberdade e em promover a
                                                                      -rnembros; que é, assim, necessário aproximar as
     democracia com base nos direitos fundamentais
                                                                      legislações aplicáveis na matéria;
     reconhecidos nas Constituições e leis dos Estados-
     -membros, bem como na Convenção Europeia de
     Defesa dos Direitos do Homem e das Liberdades
     Fundamentais;                                                (7) Considerando que o objecto das legislações nacionais
                                                                      relativas ao tratamento dos dados pessoais é assegurar
                                                                      o respeito dos direitos fundamentais, nomeadamente
(2)  Considerando que o estabelecimento e o funciona-                 o direito à vida privada, reconhecido não só no
     mento do mercado interno no qual, nos termos do                  artigo 8? da Convenção de Defesa dos Direitos do
     artigo 8?A do Tratado, a livre circulação das                    Homem e das Liberdades Fundamentais como tam-
     mercadorias, das pessoas, dos serviços e dos capitais é          bém nos princípios gerais do direito comunitário; que,
     assegurada, necessitam que não apenas os dados                   por conseguinte, a aproximação destas legislações não
     pessoais possam circular, quaisquer que sejam os                 deve conduzir à redução da protecção que estas
     Estados-membros em que sejam tratados ou solicita-               asseguram mas deve, em contrapartida, ter por
     dos, mas, igualmente, que os direitos fundamentais               objectivo a garantia de um alto nível de protecção na
     sejam salvaguardados, tendo em conta o recurso cada              Comunidade;
     vez mais frequente na Comunidade aos tratamentos
     de dados pessoais nos diversos domínios das activida-
     des económicas e sociais;                                   (8)  Considerando que os princípios da protecção da vida
                                                                      privada relativamente ao tratamento dos dados
                                                                      pessoais objecto da directiva poderão ser completados
(3)  Considerando que o mercado interno engloba um                    ou precisados, nomeadamente relativamente a certos
     espaço sem fronteiras; que, por este facto, as                   sectores, através de regras específicas conformes a
     administrações nacionais dos diferentes Estados-                 esses princípios;
     -membros, por força do direito comunitário, são
     chamadas cada vez mais frequentemente a colabora-
     rem e a trocarem entre si dados pessoais a fim de           (9)  Considerando que os princípios da protecção devem
     poderem desempenhar a sua missão ou exercer tarefas              aplicar-se a todos os ficheiros, desde que as activida-
     por conta de uma administração de outro Estado-                  des do responsável pelo ficheiro relevem do âmbito de
     -membro;                                                         aplicação do direito comunitário; que os ficheiros do
 ---pagebreak---  N? C 277/4                                   Jornal Oficial das Comunidades Europeias                                    5. 11. 90
       sector público que não relevem do âmbito de                    (16) Considerando que para ser objecto de um tratamento,
       aplicação do direito comunitário deveriam estar                      os dados devem responder a certas exigências; que o
       sujeitos aos mesmos princípios da protecção utiliza-                 tratamento dos dados que são susceptíveis, pela sua
       dos nas legislações nacionais, tal como se encontra                  própria natureza, de prejudicar o direito à vida
       previsto na resolução dos representantes dos governos                privada deve ser proibido salvo consentimento
       dos Estados-membros das Comunidades Europeias                        explícito da pessoa em causa; que, contudo, por
       reunidos em Conselho de ...; que, todavia, devem ser                 rasões de interesse público importante, nomeadamen-
       excluídos os ficheiros que relevem exclusivamente do                 te nas profissões médicas, podem ser previstas
       exercício do direito à vida privada de uma pessoa                    derrogações com base em lei que fixe precisa e
       singular, tal como os ficheiros pessoais de endereços;               estritamente as condições e limites do tratamento
                                                                            deste tipo de dados;
 (10) Considerando que é necessário que qualquer trata-               (17) Considerando que a protecção da vida privada
       mento de dados pessoais na Comunidade respeite a                     relativamente a dados pessoais exige que sejam
       legislação do Estado-membro em que o ficheiro se                     tomadas medidas de segurança apropriadas, quer a
       encontra localizado, a fim de evitar que uma pessoa                  nível da concepção quer da tecnologia do tratamento,
       escape à protecção que lhe deve ser garantida por                    a fim de impedir qualquer tratamento não permitido;
       força da presente directiva; que, relativamente a este
       ponto, cada parte de um ficheiro repartido por vários
       Estados-membros deve ser considerada como um                   (18) Considerando que no domínio dos meios de comuni-
       ficheiro e que a transferência da sua localização para               cação social os Estados-membros podem prever
       um país terceiro não deve prejudicar esta protecção;                 derrogações às disposições da presente directiva, na
                                                                            medida em que tenham por objectivo conciliar o
                                                                            direito à vida privada com a liberdade da informação e
                                                                            o direito de receber ou de comunicar informações, tal
 (11) Considerando que qualquer tratamento de dados                         como é garantido nomeadamente no artigo 10? da
       pessoais deve ser lícito; que tal licitude deve fundar-se            Convenção de Defesa dos Direitos do Homem e das
       no consentimento da pessoa em causa ou no direito                    Liberdades Fundamentais;
       comunitário ou nas legislações nacionais;
                                                                      (19) Considerando que os Estados-membros devem incen-
                                                                            tivar a elaboração, por parte dos meios profissionais,
(12) Considerando que as legislações nacionais podem                       de códigos europeus de deontologia ou de boa conduta
      especificar, nos termos da directiva, as regras relativas             relativos a determinados sectores específicos; que a
       à licitude do tratamento; que, contudo, essa possibili-              Comissão apoiará essas iniciativas, tomando-as em
      dade não pode servir de fundamento para um controlo                  consideração quando examinar a possibilidade de
      de um Estado-membro que não o Estado-membro de                       novas medidas específicas para determinados secto-
      localização do ficheiro, dado que a obrigação deste                  res;
       último de assegurar, em conformidade com a presente
      directiva, a protecção da vida privada relativamente
      ao tratamento dos dados pessoais, é suficiente, à luz          (20) Considerando que, em caso de não respeito das
      do direito comunitário, para permitir a livre circula-               disposições previstas na presente directiva, o respon-
      ção dos dados;                                                       sável pelo ficheiro deve ser considerado como
                                                                           civilmente responsável; que devem ser aplicadas
                                                                           sanções dissuasivas a fim de assegurar uma protecção
                                                                           efectiva;
(13) Considerando que os processos de notificação, para os
      ficheiros do sector público ou privado, e de informa-
      ção aquando da primeira comunicação, para os                   (21) Considerando que é igualmente necessário que a
      ficheiros do sector privado, têm por objectivo                       transferência de dados pessoais se possa efectuar com
      assegurar a transparência indispensável ao exercício                 países terceiros que possuam um nível de protecção
      do direito de acesso da pessoa em causa aos dados que                adequado; que, na ausência de uma protecção desse
      a ela dizem respeito;                                                tipo em países terceiros, a presente directiva prevê, em
                                                                           especial, processos de negociação a realizar com eles;
(14) Considerando que a pessoa em causa deve beneficiar              (22) Considerando que os princípios constantes da presen-
      de uma informação eficaz e completa para que o seu                   te directiva concretizam e ampliam os constantes da
      consentimento seja válido, bem como nos casos em                     convenção de 28 de Janeiro de 1981 do Conselho da
      que fornece dados a seu respeito;                                    Europa relativa à protecção das pessoas no que diz
                                                                           respeito ao tratamento automatizado dos dados
                                                                           pessoais;
(15) Considerando que a pessoa em causa deve poder
      beneficiar do direito de acesso a fim de poder                 (23) Considerando que a existência em cada Estado-
      assegurar-se da licitude do tratamento dos dados que                 -membro de uma autoridade de controlo independen-
      lhe dizem respeito e da sua qualidade;                               te constitui um elemento essencial da protecção das
 ---pagebreak--- 5. 11. 90                                 Jornal Oficial das Comunidades Europeias                              N? C 277/5
      pessoas no que diz repeito ao tratamento de dados              por vários locais, objecto de um tratamento automatiza-
      pessoais; que, a nível comunitário, deve ser criado um         do ou que, ainda que não o sejam, se encontrem
      grupo de protecção dos dados pessoais, composto por            estruturados e acessíveis num conjunto organizado
      representantes das autoridades de controlo nacionais,          segundo critérios determinados de forma a facilitar a
      que exercerá as suas funções de forma independente;            utilização ou a interconexão dos dados;
      que, tendo em conta este carácter específico, deve
      aconselhar a Comissão e contribuir para a aplicação
                                                                 (d) « Tratamento » as operações efectuadas ou não com a
      homogénea das regras nacionais de execução da
                                                                     ajuda de processos automatizados: registo, conserva-
      presente directiva;
                                                                     ção, interconexão de dados, a sua alteração, a sua
                                                                     utilização e a sua comunicação, nomeadamente a
 (24) Considerando que a adopção das medidas comple-                 transmissão, a difusão, a extracção, bem como o
      mentares para a aplicação dos princípios da presente           bloqueio e a limpeza;
      directiva necessita da atribuição de um poder
      regulamentar à Comissão e da criação de um comité
      consultivo, de acordo com as modalidades fixadas na        e) «Responsável pelo ficheiro» a pessoa singular ou
      Decisão 87/373/CEE do Conselho (l),                            colectiva, a autoridade pública, o serviço ou qualquer
                                                                     outro organismo competente, segundo o direito comu-
                                                                     nitário ou a legislação nacional de um Estado-membro,
                                                                     para decidir qual será a finalidade do ficheiro, que
ADOPTOU A PRESENTE DIRECTIVA:                                        categorias de dados pessoais devem ser registadas, que
                                                                     operações lhes serão aplicadas e os terceiros que a ele
                                                                     podem ter acesso;
                         CAPÍTULO I
                    DISPOSIÇÕES GERAIS                           f) «Autoridade de controlo» a autoridade pública
                                                                     independente ou qualquer outra instância independen-
                           Artigo 1°                                 te, designadas por cada Estado-membro em conformi-
                                                                     dade com o artigo 26? da presente directiva;
                    Objecto da directiva
 1. Os Estados-membros assegurarão, em conformidade              g) «Sector público» o conjunto das administrações,
com as disposições da presente directiva, a protecção da             organizações e entidades de um Estado-membro que
vida privada das pessoas no que diz respeito ao tratamento           relevam do direito público, à excepção das que
dos dados pessoais contidos em ficheiros.                            participam numa actividade insustrial ou comercial,
                                                                     bem como os organismos e entidades de direito privado
2. Os Estados-membros não podem restringir ou proibir                quando participem no exercício da autoridade pública;
a livre circulação dos dados pessoais entre Estados-
-membros por razões relativas à protecção assegurada por         h) « Sector privado » qualquer pessoa singular ou colectiva,
força do número anterior.                                            ou associação, incluindo as administrações, organiza-
                                                                     ções e entidades do sector público, na medida em que
                                                                     exerçam uma actividade industrial ou comercial.
                           Artigo 2?
                          Definições                                                        Artigo 3?
Para efeitos da presente directiva, entende-se por:
                                                                                     Âmbito de aplicação
a) « Dados pessoais » qualquer informação relativa a uma
    pessoa singular identificada ou identificável («pessoa       1. Os Estados-membros aplicarão as disposições da
    em causa»); é, nomeadamente, considerada identificá-         presente directiva aos ficheiros do sector privado e do
    vel uma pessoa que pode ser identificada por referência      sector público, à excepção dos ficheiros do sector público
    a um número de identificação ou a uma informação             cujas actividades não relevem do âmbito de aplicação do
    similar;                                                     direito comunitário.
b) « Tornar anónimo » uma alteração dos dados pessoais           2. As disposições da presente directiva não se aplicam aos
    de forma a que as informações que neles estão contidas       ficheiros:
    possam deixar de estar associadas a uma pessoa singular
    determinada ou determinável, ou apenas mediante um
    esforço excessivo em pessoal, em custos e em tempo;          a) Na posse de uma pessoa singular exclusivamente para
                                                                    fins privados ou pessoais; ou
c) «Ficheiro de dados pessoais» (ficheiro) qualquer
    conjunto de dados pessoais, centralizados ou repartidos      b) Na posse de associações sem fim lucrativo, nomeada-
                                                                    mente de natureza política, filosófica, religiosa, cultu-
                                                                    ral, sindical, desportiva ou de lazer, no âmbito do seu
(!) JO n? L 197 de 18. 7. 1987, p. 33.                              objectivo legítimo e desde que digam unicamente
 ---pagebreak--- N? C 277/6                                 Jornal Oficial das Comunidades Europeias                                    5. 11. 90
    respeito aos membros e correspondentes da associação                  for necessária a fim de evitar uma ameaça iminente
    que tenham consentido nele figurar e desde que não                    da ordem pública ou uma ameaça grave ao direito de
    sejam comunicados a terceiros.                                        outrem.
                           Artigo 4°
                                                                                              Artigo 6°
                        Direito aplicável
                                                                   Tratamento no sector público que tenha por objectivo a
 1. Cada Estado-membro aplicará as disposições da                                comunicação de dados pessoais
presente directiva:
                                                                   1. Os Estados-membros devem prever que a comunica-
a) A todos os ficheiros localizados no seu território;             ção de dados pessoais contidos em ficheiros de uma
                                                                   entidade do sector público só é lícita:
b) Ao responsável pelo ficheiro que resida no seu território
    e utilize a partir desse território um ficheiro localizado
    num país terceiro cuja legislação não possua um nível de       a) Se for necessária para o exercício das tarefas da entidade
    protecção adequado, a menos que essa utilização seja              do sector público que comunica ou que solicita a
    esporádica.                                                       comunicação desses dados; ou
2. Cada Estado-membro aplicará as disposições previstas            b) A pedido de uma pessoa singular ou colectiva do sector
nos artigos 5?, 6?, 8?, 9?, 10?, 17?, 18? e 21? da presente           privado que invoque um interesse legítimo desde que o
directiva ao utilizador que consulte um ficheiro localizado           interesse da pessoa em causa não prevaleça.
num país terceiro a partir de um terminal localizado num
território de um Estado-membro, a menos que esta
utilização seja esporádica.                                        2. Sem prejuízo do disposto no n? 1, os Estados-membros
                                                                   podem precisar os termos em que a comunicação de dados
3. Quando um ficheiro for temporariamente transferido              pessoais é lícita.
de um Estado-membro para outro Estado-membro, este
último não colocará qualquer obstáculo e não exigirá
qualquer formalidade adicional às regras aplicáveis no             3. Os Estados-membros devem prever na sua legislação
Estado-membro de localização permanente do ficheiro.              que, no caso referido na alínea b) do n? 1, o responsável
                                                                   pelo ficheiro informe as pessoas em causa da comunicação
                                                                  dos dados pessoais. Os Estados-membros podem prever
                                                                  que esta informação seja substituída por uma autorização
                         CAPÍTULO II                              prévia da autoridade de controlo.
   LICITUDE DO TRATAMENTO NO SECTOR PÚBLICO
                           Artigo 5?                                                         Artigo 7?
                           Princípios
                                                                      Obrigação de notificação à autoridade de controlo
1. Sem prejuízo das disposições previstas no artigo 6?, os
Estados-membros devem prever na sua legislação relativa
aos ficheiros que relevam do sector público que:                   1. Os Estados-membros devem prever que a criação de
                                                                  um ficheiro do sector público, cujos dados pessoais são
                                                                  susceptíveis de serem comunicados, deva ser previamente
a) A criação de um ficheiro e qualquer outro tratamento de
                                                                  notificada à autoridade de controlo para efeitos de registo.
    dados pessoais são lícitos na medida em que sejam
                                                                  O registo pode ser consultado por qualquer pessoa.
    necessários para a execução das tarefas da autoridade
    pública responsável por este ficheiro;
                                                                  2. Os Estados-membros definirão as informações que
b) O tratamento de dados para outra finalidade que não            devem ser notificadas à autoridade de controlo. Estas
    aquela para a qual o ficheiro foi criado é lícita se:         informações devem incluir, pelo menos, o nome e endereço
                                                                  do responsável pelo ficheiro, a finalidade do ficheiro, uma
    — a pessoa em causa o consentir, ou                           descrição do tipo de dados que este contém, os terceiros a
                                                                  quem os dados são susceptíveis de serem comunicados,
                                                                  bem como uma descrição das medidas tomadas nos termos
    — for efectuado com base no direito comunitário ou
                                                                  do artigo 18?.
       uma lei, ou num acto de execução de uma lei de um
       Estado-membro conforme à presente directiva que o
       permita e que fixe os seus limites, ou                     3. Os Estados-membros podem prever que o disposto nos
                                                                  n?s 1 e 2 seja aplicável a outros ficheiros do sector público e
   — um interesse legítimo da pessoa em causa não se              que a consulta do registo possa ser limitada pelas razões
       opuser a essa alteração de finalidade, ou                  referidas no n? 1 do artigo 15?.
 ---pagebreak--- 5. 11. 90                                 Jornal Oficial das Comunidades Europeias                               N? C 277/7
                         CAPITULO III                                                      Artigo 109
   LICITUDE DO TRATAMENTO NO SECTOR PRIVADO
                                                                                Excepções especiais à obrigação
                           Artigo 8°                                             de informar a pessoa em causa
                           Princípios
                                                                  Se a informação da pessoa em causa, a que se refere o n? 1
                                                                  do artigo 9?, se revelar impossível ou implicar esforços
 1. Os Estados-membros devem prever que sem o                     desproporcionados, ou deparar com interesses legítimos
consentimento da pessoa em causa, o registo num ficheiro          predominantes do responsável pelo ficheiro ou com um
ou qualquer outro tratamento de dados pessoais só são             interesse similar de um terceiro, os Estados-membros
lícitos se estiverem de acordo com as disposições da             podem prever uma derrogação, mediante autorização da
presente directiva e se:                                          autoridade de controlo.
a) O tratamento estiver incluído no âmbito de um contrato
                                                                                           Artigo 11°.
    ou de uma relação de confiança quase-contratual com a
    pessoa em causa e se for necessário à sua realização; ou
                                                                      Obrigação de notificação à autoridade de controlo
b) Os dados provierem de fontes geralmente acessíveis ao
                                                                  1. Os Estados-membros devem prever que o responsável
    público e o seu tratamento se destinar unicamente à
                                                                 pelo ficheiro notifique a criação de um ficheiro de dados
    correspondência; ou
                                                                 pessoais, desde que os dados se destinem a ser comunicados
                                                                 e não provenham de fontes geralmente acessíveis ao
c) O responsável do ficheiro prosseguir um interesse             público. A notificação deve efectuar-se à autoridade de
    legítimo, desde que o interesse da pessoa em causa não       controlo do Estado-membro em que o ficheiro se encontra
    pevaleça.                                                    localizado ou, na ausência de localização num Estado-
                                                                 -membro, à autoridade de controlo do Estado-membro em
                                                                 que o responsável residir. O responsável pelo ficheiro deve
2. Os Estados-membros devem prever que incumbe ao                notificar às autoridades nacionais competentes quaisquer
responsável pelo ficheiro assegurar que qualquer comuni-         alterações de finalidade do ficheiro ou de endereço.
cação não seja incompatível com a finalidade do ficheiro e
que não prejudique a ordem pública. Em caso de consulta          2. Os Estados-membros definirão as informações que
em linha, as mesmas obrigações incumbem ao utilizador.           devem ser notificadas à autoridade de controlo. Estas
                                                                 informações devem incluir, pelo menos, o nome e o
                                                                 endereço do responsável pelo ficheiro, a finalidade do
3. Sem prejuízo do disposto no n? 1, os Estados-membros          ficheiro, uma descrição dos tipos de dados que este contém,
podem precisar os termos em que o tratamento dos dados           os terceiros a quem os dados são susceptíveis de serem
pessoais é lícito.                                               comunicados e uma descrição das medidas tomadas nos
                                                                 termos do artigo 18?.
                           Artigo 9?                             3. Os Estados-membros podem prever que o disposto nos
                                                                 n? s 1 e 2 se aplique a outros ficheiros do sector privado e
                                                                 que as informações a que se refere o n? 2 sejam acessíveis ao
       Obrigação de informação da pessoa em causa                público.
1. Os Estados-membros, relativamente ao sector privado,
devem prever que, aquando da primeira comunicação ou
aquando de uma possibilidade de consulta em linha, o                                     CAPÍTULO IV
responsável informará do facto a pessoa em causa,                              DIREITOS DA PESSOA EM CAUSA
indicando igualmente a finalidade do ficheiro, os tipos de
dados que nele figuram e o seu nome e endereço.                                           Artigo 12°.
                                                                        O consentimento com conhecimento de causa
2. A informação prevista no n? 1 não é obrigatória no
caso previsto no n? 1, alínea b), do artigo 8?. A obrigação      Qualquer consentimento da pessoa em causa para um
de informar não existe nos casos em que a comunicação            tratamento de dados pessoais que a ela digam respeito nos
seja imposta por lei.                                            termos da presente directiva só é válido desde que:
3. Se a pessoa      em causa objectar à comunicação ou a         a) A pessoa disponha das seguintes informações:
qualquer outro     tratamento, o responsável pelo ficheiro
deve cessar o      tratamento contestado, salvo se uma               — as finalidades do ficheiro e os tipos de dados
disposição legal   a isso o autorizar.                                   registados,
 ---pagebreak--- N? C 277/8                                Jornal Oficial das Comunidades Europeias                                    5. 11. 90
   — o tipo de utilização e, sendo caso disso, os                3. de conhecer a existência de um ficheiro, as suas
      destinatários dos dados pessoais contidos no                   finalidades principais, bem como a identidade e a
      ficheiro,                                                      residência habitual, a sede ou a localização do
                                                                     responsável pelo ficheiro;
   — o nome e o endereço do responsável pelo ficheiro;
                                                                 4. de obter, com uma periodicidade razoável e sem demora
                                                                     ou custos excessivos, a confirmação da existência ou
b) Seja específico e expresso e precise os tipos de dados, as
                                                                     não num ficheiro de dados pessoais que lhe diga
   formas de tratamento e os eventuais destinatários que
                                                                     respeito, bem como a comunicação desses dados numa
   abrange;
                                                                     forma inteligível.
c) Possa ser retirado pela pessoa em causa a qualquer                Os Estados-membros podem prever que o direito de
   momento sem efeitos retroactivos.                                 acesso aos dados de natureza médica só possa ser
                                                                     exercido por intermédio de um médico;
                         Artigo 13°
                                                                 5. de obter, se for caso disso, a rectificação desses dados ou
                                                                     a sua limpeza ou o seu bloqueio quando o seu
            A informação aquando da recolha                          tratamento não estiver conforme com as disposições da
                                                                     presente directiva;
1. Os Estados-membros devem garantir às pessoas junto
das quais os dados pessoais são recolhidos o direito de          6. de obter, mediante pedido, a limpeza sem custos dos
serem informadas pelo menos sobre:                                   dados que lhe dizem respeito registados nos ficheiros de
                                                                     prospecção comercial ou publicitária;
a) As finalidades do ficheiro a que as informações se
   destinam;                                                     7. de obter, em caso de aplicação do n? 5 do presente
                                                                     artigo e se os dados tiverem sido comunicados a
                                                                     terceiros, a notificação destes últimos, da rectificação,
b) O carácter obrigatório ou não da sua resposta às                  da limpeza ou do bloqueio;
   questões que são objecto da recolha;
                                                                 8. de dispor de um recurso jurisdicional em caso de
c) As consequências que podem sofrer na ausência de                  violação dos direitos garantidos no presente artigo.
   resposta;
d) Os destinatários das informações;                                                       Artigo 25?
e) A existência do direito de acesso e de rectificação dos         Derrogações ao direito de acesso da pessoa em causa
   dados que lhes dizem respeito; e                                             aos ficheiros do sector público
f) O nome e o endereço do responsável pelo ficheiro.             1. Os Estados-membros podem limitar, através de uma
                                                                 lei, os direitos previstos nos n? s 3 e 4 do artigo 14? por
                                                                 motivos relativos:
2. O disposto no n? 1 não é aplicável à recolha das
informações no caso da informação da pessoa em causa
impedir o exercício das funções de controlo e de verificação     a) À segurança do Estado; ou
de uma autoridade pública ou a manutenção da ordem
pública.                                                         b) À defesa; ou
                                                                 c) A acções penais; ou
                         Artigo 14°
                                                                 d) À segurança pública; ou
      Direitos complementares da pessoa em causa
                                                                 e) A um interesse económico e financeiro imperativo
                                                                     devidamente justificado de um Estado-membro ou da
Os Estados-membros reconhecerão à pessoa em causa os                 Comunidade Europeia; ou
seguintes direitos:
                                                                 f) À necessidade do exercício das funções de controlo ou
1. de se opor, por razões legítimas, a que dados pessoais            de inspecção da autoridade pública; ou
   que lhe digam respeito sejam objecto de um tratamento;
                                                                 g) A um direito equivalente de outra pessoa e dos direitos e
2. de não estar sujeita a uma decisão administrativa ou              liberdades de outrem.
   privada que implique uma apreciação do seu comporta-
   mento tendo por único fundamento um tratamento                2. Nos casos referidos no n? 1, a autoridade de controlo
   automatizado de dados pessoais que dêem uma                   deve poder proceder, a pedido da pessoa interessada, às
   definição do perfil ou da personalidade do interessado;       verificações necessárias do ficheiro.
 ---pagebreak--- 5. 11. 90                                Jornal Oficial das Comunidades Europeias                                N? C 277/9
3. Os Estados-membros podem limitar o direito de acesso                                  Artigo 18?
da pessoa interessada aos dados temporariamente coligi-
dos, a fim de deles extrair informações estatísticas.
                                                                                    segurança dos dados
                                                                1. Os Estados-membros devem prever que o responsável
                                                                pelo ficheiro seja obrigado a tomar as medidas técnicas e
                        CAPÍTULO V                              organizativas apropriadas, necessárias à protecção do
                  QUALIDADE DOS DADOS                           ficheiro contra a destruição, acidental ou não autorizada, a
                                                                perda acidental, bem como contra a alteração ou o acesso e
                         Artigo 16?                             qualquer outro tratamento não autorizado de dados
                                                                pessoais.
                          Princípios
                                                                Estas medidas devem assegurar, relativamente aos ficheiros
1.   Os Estados-membros devem prever que:                       automatizados, um nível de segurança apropriado, tendo
                                                                em conta, por um lado, a evolução técnica na matéria e o
a) A recolha e o tratamento de dados pessoais sejam             custo da sua aplicação e, por outro, a natureza dos dados a
    efectuados leal e licitamente;                              proteger e a avaliação dos riscos potenciais. Para este
                                                                efeito, o responsável pelo ficheiro deve tomar em
                                                                consideração as recomendações em matéria de segurança
b) Os dados sejam registados para finalidades determina-        informática e de interoperabilidade das redes elaboradas
    das, explícitas e legítimas e utilizados de forma           pela Comissão segundo as modalidades previstas no artigo
    compatível com estas finalidades;                           29?.
c) Os dados sejam adequados, pertinentes e não excessivos       2. Devem ser escolhidos métodos que garantam uma
    relativamente às finalidades para as quais são regista-     segurança adequada para a transmissão de dados pessoais
    dos;                                                        numa rede.
d) Os dados sejam exactos e, se necessário, actualizados;       3. Em caso de consulta em     linha, as instalações técnicas e
    os dados inexactos ou incompletos devem ser limpos ou       o suporte lógico devem ser    concebidos de forma a que a
    rectificados;                                               consulta se realize dentro     dos limites da autorização
                                                                concedida pelo responsável    pelo ficheiro.
e) Os dados sejam conservados numa forma que permita a
    identificação das pessoas em causa apenas durante um        4. As obrigações a que se referem os n? s 1 a 3 incumbem
    período que não exceda o necessário para as finalidades     igualmente às pessoas que, de facto ou por contrato,
    relativamente às quais foram registados.                    tenham o controlo das operações relativas a um ficheiro.
2. Incumbe aos responsáveis pelo ficheiro assegurar o           5. Qualquer pessoa que no âmbito das suas actividades
respeito do disposto no n? 1.                                   profissionais tenha acesso a informações contidas em
                                                                ficheiros não deve comunicá-las a terceiros sem o acordo do
                                                                responsável pelo ficheiro.
                         Artigo 17?
               Categorias específicas de dados                                          CAPÍTULO VI
                                                                       DISPOSIÇÕES ESPECÍFICAS RELATIVAMENTE
1. Os Estados-membros proibirão o tratamento automa-                               A CERTOS SECTORES
tizado, salvo acordo facultativo, expresso e escrito da
pessoa em causa, dos dados que revelem a origem racial e                                 Artigo 19?
étnica, a opção política, as convicções religiosas ou
filosóficas, as adesões a nível sindical, bem como as           Os Estados-membros podem prever para os organismos de
informações relativas à saúde e à vida sexual.                  imprensa e do sector audiovisual derrogações às disposi-
                                                                ções da presente directiva, na medida em que sejam
2. Os Estados-membros podem prever, por motivos de              necessárias para conciliar o direito à vida privada com as
interesse público importantes, derrogações ao disposto no       regras que regem a liberdade de informação e de imprensa.
n? 1 com base em lei que precise os tipos de dados
registáveis, as pessoas que têm acesso ao ficheiro, bem
como as garantias apropriadas contra as utilizações
                                                                                         Artigo 20?
abusivas e os acessos não autorizados.
3. Os dados relativos a condenações penais só podem ser         Os Estados-membros devem incentivar os meios profissio-
conservados em ficheiros do sector público.                     nais a participarem na elaboração de códigos europeus de
 ---pagebreak---  N? C 277/10                              Jornal Oficial das Comunidades Europeias                                  5. 11. 90
 deontologia ou de boa conduta em relação a certos sectores                              CAPÍTULO VIII
 com base nos princípios contidos na presente directiva.                    TRANSFERÊNCIA DE DADOS PESSOAIS
                                                                                    PARA PAÍSES TERCEIROS
                                                                                            Artigo 24°
                                                                                            Princípios
                        CAPÍTULO VII
              RESPONSABILIDADE E SANÇÕES
                                                                  1. Os Estados-membros devem prever que a transferência
                                                                  para um país terceiro, com carácter temporário ou
                          Artigo 21°
                                                                  definitivo, de dados pessoais objecto de um tratamento ou
                      Responsabilidade                            recolhidos com o objectivo de os submeter a um tratamento
                                                                  desse tipo, só pode realizar-se se esse país assegurar um
                                                                  nível de protecção adequado.
 1. Os Estados-membros devem prever que qualquer
 pessoa, cujos dados pessoais sejam registados num ficheiro
 e que sofra um prejuízo devido ao tratamento ou a qualquer       2. Os Estados-membros informarão a Comissão dos
 outra acção incompatíveis com as disposições da presente         casos em que um país terceiro importador não assegure um
 directiva, tenha direito a uma indemnização a cargo do           nível de protecção adequado.
 responsável pelo ficheiro.
                                                                  3. Quando a Comissão verificar, quer com base em
 2. Os Estados-membros podem prever que os danos                 informações dos Estados-membros quer com base noutras
 resultantes de uma perda ou destruição de dados ou de um        informações, que um país terceiro não dispõe de um nível
 acesso não autorizado não sejam imputáveis ao responsá-         de protecção adequado e que a situação daí resultante se
 vel pelo ficheiro, se este provar que tomou as medidas          revela prejudicial para os interesses da Comunidade ou de
 apropriadas para respeitar as exigências enunciadas nos         um Estado-membro, pode encetar negociações tendo em
 artigos 18? e 22?.                                              vista sanar esta situação.
                                                                 4. A Comissão pode decidir, de acordo com o processo
                         Artigo 22°                              definido no n? 2 do artigo 30? da presente directiva, que um
                                                                 país terceiro assegura um nível de protecção adequado
                                                                 devido a compromissos internacionais por ele assumidos
    Tratamento por conta do responsável pelo ficheiro            ou à sua legislação interna.
 1. Os Estados-membros devem prever que o responsável            5. As medidas tomadas nos termos do presente artigo são
pelo ficheiro deva, em caso de tratamento por sua conta,         conformes às obrigações que incumbem à Comunidade por
assegurar-se do respeito das medidas necessárias de              força de acordos internacionais, quer bilaterais quer
segurança e de organização e escolher uma pessoa ou uma          multilaterais, que regulam a protecção das pessoas
empresa que ofereça garantias suficientes a este respeito.       relativamente ao tratamento automatizado dos dados
                                                                 pessoais.
2. Qualquer pessoa que recolha ou trate dados pessoais
por conta do responsável pelo ficheiro deve respeitar as
obrigações pevistas nos artigos 16? e 18? da presente                                      Artigo 25°
directiva.
                                                                                           Derrogação
3. O contrato deve ser escrito e especificar, em especial,
que os dados pessoais só podem ser divulgados pelo
prestador ou pelos seus empregados com o acordo do               1. Um Estado-membro pode derrogar ao disposto no n? 1
responsável pelo ficheiro.                                       do artigo 24?, relativamente a uma determinada exporta-
                                                                 ção, mediante apresentação por parte do responsável pelo
                                                                 ficheiro de justificações suficientes que garantam o respeito
                                                                 de um nível de protecção adequado. O Estado-membro só
                         Artigo 23°                              pode conceder uma derrogação após ter informado a
                                                                 Comissão e os Estados-membros desse facto e na ausência
                                                                 de notificação de oposição expressa por um Estado-
                           Sanções                               -membro ou pela Comissão num prazo de dez dias.
Cada Estado-membro deve prever a aplicação de sanções            2. Em caso de notificação de oposição, a Comissão
dissuasivas a fim de assegurar o respeito das disposições de    tomará as medidas apropriadas de acordo com o processo
execução da presente directiva.                                 definido no n? 2 do artigo 30?.
 ---pagebreak--- 5. 11. 90                                Jornal Oficial das Comunidades Europeias                              N? C 277/11
                       CAPÍTULO IX                              a) Contribuir para a aplicação homogénea das regras
                                                                    nacionais de execução da presente directiva;
      AUTORIDADES DE CONTROLO E GRUPO DE
            PROTECÇÃO DOS DADOS PESSOAIS
                                                                b) Emitir parecer sobre o nível de protecção na Comunida-
                         Artigo 26°                                 de e nos países terceiros;
                  A autoridade de controlo
                                                                c) Aconselhar a Comissão sobre projectos de medidas
1. Os Estados-membros assegurarão que uma autoridade                adicionais ou específicas a tomar para salvaguardar a
independente competente garantirá o controlo da protec-             protecção da vida privada.
ção dos dados pessoais. Esta autoridade será encarregada
de vigiar a aplicação das disposições nacionais de execução
                                                                2. Se o grupo de protecção dos dados pessoais verificar
da presente directiva e de preencher todas as atribuições
                                                                que surgem graves divergências entre a legislação ou a
que lhe são conferidas pela presente directiva.
                                                                prática dos Estados-membros em matéria de protecção dos
                                                                dados pessoais que ameacem prejudicar a equivalência da
2. A autoridade referida disporá de meios de investigação       protecção na Comunidade, informará a Comissão desse
e de poderes efectivos de intervenção contra a constituição     facto.
e a exploração de ficheiros que não estejam conformes com
as disposições da presente directiva. Para este efeito,
disporá, nomeadamente, do direito de acesso aos ficheiros       3. O grupo de protecção dos dados pessoais pode emitir
abrangidos pela presente directiva, devendo poder recolher      recomendações sobre todas as questões relativas à
quaisquer informações necessárias ao cumprimento das            protecção das pessoas no que diz respeito aos dados
suas funções de controlo.                                       pessoais na Comunidade. As recomendações constarão da
                                                                acta e podem ser transmitidas ao comité consultivo a que se
                                                                refere o artigo 309. A Comissão informará o grupo de
3. À referida autoridade podem ser apresentadas por             protecção dos dados pessoais do seguimento que deu às
qualquer pessoa denúncias ou reclamações relativas à            recomendações.
protecção das pessoas no que diz respeito a dados pessoais.
                                                                4. O grupo de protecção dos dados elaborará um
                         Artigo 27?                             relatório anual sobre a situação da protecção das pessoas
                                                                relativamente ao tratamento dos dados pessoais na
                                                                Comunidade e nos países terceiros.
          Grupo de protecção dos dados pessoais
1. É criado um grupo de protecção dos dados pessoais. O
grupo, de natureza consultiva e independente, será
                                                                                       CAPÍTULO X
composto por representantes da autoridade de controlo,
prevista no artigo 26°, de todos os Estados-membros e                    PODER REGULAMENTAR DA COMISSÃO
presidido por um representante da Comissão.
                                                                                         Artigo 29°
2. O secretariado do grupo de protecção dos dados                            Exercício do poder regulamentar
pessoais será assegurado pelos serviços da Comissão.
                                                                A Comissão adoptará, de acordo com o processo previsto
3. O grupo de protecção dos dados pessoais elaborará o          no n? 2 do artigo 30?, as modalidades de carácter técnico
seu regulamento interno.                                        necessárias para aplicar a presente directiva às especificida-
                                                                des de certos sectores, tendo em conta a situação nesta
4. O grupo de protecção dos dados pessoais apreciará as         matéria e os códigos de boa conduta.
questões introduzidas na ordem de trabalhos pelo seu
presidente, quer por iniciativa deste quer a pedido
fundamentado de um representante das autoridades de                                      Artigo 30?
controlo, e que digam respeito à aplicação das disposições
de direito comunitário em matéria de protecção de dados
pessoais.                                                                            Comité consultivo
                                                                1. A Comissão será assistida por um comité consultivo
                         Artigo 28°
                                                                composto por representantes dos Estados-membros e
                                                                presidido pelo representante da Comissão.
 Atribuições do grupo de protecção dos dados pessoais
                                                                2. O representante da Comissão apresentará ao comité
1. O grupo de protecção dos dados pessoais tem as               um projecto de medidas a tomar. O comité emitirá um
seguintes atribuições:                                          parecer sobre este projecto, num prazo que o presidente
 ---pagebreak--- N? C 277/12                                      Jornal Oficial das Comunidades Europeias                                                5. 11. 90
pode fixar em função da urgência da questão em causa, se                      2. Os Estados-membros comunicarão à Comissão o texto
necessário procedendo a uma votação. O parecer constará                       das disposições de direito interno que venham a adoptar no
da acta; além disso, cada Estado-membro terá o direito de                     domínio regulado pela presente directiva.
solicitar que a sua posição conste dessa mesma acta. A
Comissão tomará na melhor conta o parecer emitido pelo
comité. O comité será por ela informado do modo como                                                        Artigo 32?
tomou em consideração o seu parecer.
                                                                              A Comissão transmitirá periodicamente ao Conselho e ao
                         DISPOSIÇÕES FINAIS                                   Parlamento Europeu um relatório sobre a aplicação da
                                                                              presente directiva, nele incluindo, se for caso disso,
                                Artigo 31?
                                                                              propostas de alteração adequadas.
1. Os Estados-membros adoptarão as disposições legisla-
tivas, regulamentares e administrativas necessárias para
darem cumprimento à presente directiva, o mais tardar até                                                   Artigo 33?
1 de Janeiro de 1993.
As disposições adoptadas por força do n? 1 referir-se-ão                      Os Estados-membros são os destinatários da presente
explicitamente à presente directiva.                                          directiva.
               Proposta de Directiva d o C o n s e l h o relativa à p r o t e c ç ã o de d a d o s pessoais e d a vida p r i v a d a n o
               c o n t e x t o das redes públicas digitais de telecomunicações, n o m e a d a m e n t e a rede digital de serviços
                                            integrados (RDSI) e as redes públicas móveis digitais
                                                        COM(90)    314 final — SYN         288
                                           (Apresentada   pela Comissão     em 27 de Julho de          1990)
                                                                 (90/C 277/04)
O CONSELHO DAS COMUNIDADES EUROPEIAS,                                                desenvolvimento do mercado comum de serviços e
                                                                                     equipamentos de telecomunicações até 1992 (*),
Tendo em conta o Tratado que institui a Comunidade                                   apelava para a tomada de medidas destinadas à
Económica Europeia e, nomeadamente, o seu artigo 100?A,                              protecção de dados pessoais, a fim de ser criado um
                                                                                     ambiente adequado para o futuro desenvolvimento as
Tendo em conta a proposta da Comissão,                                               telecomunicações na Comunidade; que o Conselho
                                                                                     voltou a sublinhar a importância da protecção de
                                                                                     dados pessoais e da vida privada na sua resolução de
Em cooperação com o Parlamento Europeu,
                                                                                      18 de Julho de 1989 relativa ao reforço da coordena-
                                                                                     ção para a introdução da Rede Digital de Serviços
Tendo em conta o parecer do Comité Económico e Social,                               Integrados (RDSI) na Comunidade Europeia ( 2 );
(1)   Considerando que a Directiva ... do Conselho relativa
      à protecção das pessoas no que diz respeito ao
      tratamento dos dados pessoais preconiza que os                          (5)    Considerando que o Parlamento Europeu sublinhou a
      Estados-membros assegurem a protecção da vida                                  importância da protecção de dados pessoais e da vida
      privada das pessoas;                                                           privada nas redes de telecomunicações, nomeadamen-
                                                                                     te no que respeita à introdução da Rede Digital de
(2)   Considerando que estão a surgir actualmente na                                 Serviços Integrados (RDSI) (3) (4) ( 5 );
      Comunidade Europeia novas redes públicas telefóni-
     cas digitais avançadas que suscitam requisitos especí-
      ficos relativos à protecção de dados pessoais e da vida
      privada do utilizador;                                                  (6)    Considerando que a Recomendação 81/679/CEE da
                                                                                     Comissão faz apelo à adopção e ratificação pelos
(3)   Considerando que esta questão está especialmente
      relacionada com a introdução da Rede Digital de
      Serviços Integrados (RDSI) e de redes públicas móveis
     digitais;                                                                (!) JO n? C 257 de 4. 10. 1988, p. 1.
                                                                              (2)  JO  n? C   196 de 1. 8. 1989, p. 4.
                                                                              (3)  JO  n? C   7 de 12. 1. 1987, p. 334.
(4)  Considerando que o Conselho de Ministros, na sua                         (4)  JO  n? C   12 de 16. 1. 1989, p. 69.
     resolução de 30 de Junho de 1988 relativa ao                             (5)  JO  n? C   12 de 16. 1. 1989, p. 66.