Source: https://eur-lex.europa.eu/legal-content/PT/TXT/HTML/?uri=OJ:C:2009:229:FULL&from=RO
Timestamp: 2019-12-08 21:47:14+00:00
Document Index: 137778293

Matched Legal Cases: ['artigo 2', 'artigo 286', 'artigo 8', 'artigo 41', 'artigo 28', 'artigo 28', 'artigo 4', 'artigo 4', 'artigo 4', 'artigo 4', 'artigo 4', 'artigo 4', 'artigo 4', 'artigo 33', 'artigo 33', 'artigo 30', 'artigo 8', 'artigo 36', 'artigo 32', 'artigo 15', 'artigo 15', 'artigo 33', 'artigo 15', 'artigo 38', 'artigo 25', 'artigo 286', 'artigo 8', 'artigo 41', 'artigo 28', 'artigo 14', 'artigo 25', 'artigo 25', 'artigo 26', 'artigo 15', 'artigo 47', 'artigo 47', 'artigo 3', 'artigo 6', 'artigo 3', 'artigo 6', 'artigo 4', 'artigo 4', 'artigo 4', 'artigo 9', 'artigo 9', 'artigo 8', 'artigo 9', 'artigo 12', 'artigo 12', 'artigo 20', 'artigo 21', 'artigo 21', 'artigo 21', 'artigo 23', 'artigo 23', 'artigo 25', 'artigo 23', 'artigo 23', 'artigo 23', 'artigo 25', 'artigo 23', 'artigo 28', 'artigo 23', 'artigo 41', 'artigo 41', 'artigo 2', 'artigo 30', 'artigo 34', 'artigo 1', 'artigo 2', 'artigo 20', 'artigo 4', 'artigo 6', 'artigo 8', 'artigo 1', 'artigo 22', 'artigo 29', 'artigo 5', 'artigo 3', 'artigo 2', 'artigo 8', 'artigo 1', 'artigo 3', 'artigo 8', 'artigo 3', 'artigo 3', 'artigo 3', 'artigo 8', 'artigo 8', 'artigo 25', 'artigo 11', 'artigo 8', 'artigo 8', 'artigo 26', 'artigo 13', 'artigo 13', 'artigo 22', 'artigo 14', 'artigo 21', 'artigo 21', 'artigo 21', 'artigo 11', 'artigo 12', 'artigo 12', 'artigo 37', 'artigo 7', 'artigo 26', 'artigo 26', 'artigo 8', 'artigo 41', 'artigo 10', 'artigo 8', 'artigo 8', 'artigo 8', 'artigo 28', 'artigo 41', 'artigo 27', 'artigo 102', 'artigo 2', 'artigo 57', 'artigo 102', 'artigo 22', 'artigo 104', 'artigo 24', 'artigo 103', 'artigo 57', 'artigo 57', 'artigo 57', 'artigo 57', 'artigo 10', 'artigo 8', 'artigo 106', 'artigo 26', 'artigo 106', 'artigo 25', 'artigo 24', 'artigo 24', 'artigo 24', 'artigo 57', 'artigo 24', 'artigo 24', 'artigo 11', 'artigo 10', 'artigo 12', 'artigo 13', 'artigo 18', 'artigo 14', 'artigo 101', 'artigo 10', 'artigo 13', 'artigo 24', 'artigo 13', 'artigo 10', 'artigo 8', 'artigo 24', 'artigo 24', 'artigo 13', 'artigo 101', 'artigo 10', 'artigo 106', 'artigo 2', 'artigo 29', 'artigo 2', 'artigo 2', 'artigo 34']

Jornal Oficial C 229/2009
doi:10.3000/17252482.C_2009.229.por
Sobre a proposta de Regulamento do Parlamento Europeu e do Conselho que estabelece os critérios e mecanismos de determinação do Estado-Membro responsável pela análise de um pedido de protecção internacional apresentado num Estado-Membro por um nacional de um país terceiro ou um apátrida [COM(2008) 820 final]
Sobre a proposta de Regulamento do Parlamento Europeu e do Conselho relativo à criação do Sistema Eurodac de comparação de impressões digitais para efeitos da aplicação efectiva do Regulamento (CE) n.o […/…] (que estabelece os critérios e mecanismos de determinação do Estado-Membro responsável pela análise de um pedido de protecção internacional apresentado num dos Estados-Membros por um nacional de um país terceiro ou um apátrida) [COM(2008) 825]
Sobre a Iniciativa da República Francesa referente a uma decisão do Conselho relativa à utilização da informática no domínio aduaneiro (5903/2/09 REV 2)
Parecer da Autoridade Europeia para a Protecção de Dados sobre a proposta de Regulamento do Parlamento Europeu e do Conselho que altera, no que diz respeito à farmacovigilância dos medicamentos para uso humano, o Regulamento (CE) n.o 726/2004 que estabelece procedimentos comunitários de autorização e de fiscalização de medicamentos para uso humano e veterinário e que institui uma Agência Europeia de Medicamentos, esobre a proposta de Directiva do Parlamento Europeu e do Conselho que altera a Directiva 2001/83/CE que estabelece um código comunitário relativo aos medicamentos para uso humano
Actualização da lista de pontos de passagem de fronteira referidos no n.o 8 do artigo 2.o, Regulamento (CE) n.o 562/2006 do Parlamento Europeu e do Conselho, que estabelece o código comunitário relativo ao regime de passagem de pessoas nas fronteiras (Código das Fronteiras Schengen) (JO C 316 de 28.12.2007, p. 1; JO C 134, 31.5.2008, p. 16; JO C 177 de 12.7.2008, p. 9; JO C 200 de 6.8.2008, p. 10; JO C 331 de 31.12.2008, p. 13; JO C 3 de 8.1.2009, p. 10; JO C 37 de 14.2.2009, p. 10; JO C 64 de 19.3.2009, p. 20; JO C 99 de 30.4.2009, p. 7)
PROCEDIMENTOS RELATIVOS À EXECUÇÃO DA POLÍTICA COMERCIAL COMUM
Aviso relativo às medidas anti-dumping aplicáveis às importações de nitrato de amónio originário da Rússia
A AUTORIDADE EUROPEIA PARA A PROTECÇÃO DE DADOS,
Tendo em conta o Tratado que institui a Comunidade Europeia, nomeadamente o artigo 286.o,
Tendo em conta a Carta dos Direitos Fundamentais da União Europeia, nomeadamente o artigo 8.o,
Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1),
Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (2), nomeadamente o artigo 41.o,
Tendo em conta o pedido de parecer nos termos do n.o 2 do artigo 28.o do Regulamento (CE) n.o 45/2001 recebido da Comissão em 3 de Dezembro de 2008,
ADOTOU O SEGUINTE PARECER:
Consulta da AEPD
A proposta de Regulamento do Parlamento Europeu e do Conselho que estabelece os critérios e mecanismos de determinação do Estado Membro responsável pela análise de um pedido de protecção internacional apresentado num Estado Membro por um nacional de um país terceiro ou um apátrida (adiante referida como «proposta» ou «proposta da Comissão» foi enviada pela Comissão à AEPD para consulta em 3 de Dezembro de 2008, em conformidade com o n.o 2 do artigo 28.o do Regulamento (CE) n.o 45/2001. Esta consulta deveria ser explicitamente mencionada no preâmbulo da decisão.
A AEPD contribuiu para a proposta numa fase preliminar e muitas das questões que levantou informalmente durante o processo de preparação foram tomadas em consideração pela Comissão no texto final da sua proposta.
A proposta no seu contexto
A proposta constitui uma reformulação do Regulamento (CE) n.o 343/2003 do Conselho, de 18 de Fevereiro de 2003, que estabelece os critérios e mecanismos de determinação do Estado Membro responsável pela análise de um pedido de asilo apresentado num Estado Membro por um nacional de um país terceiro (3) (a seguir designado Regulamento de Dublim). Foi apresentada pela Comissão como parte do primeiro pacote de propostas destinadas a assegurar uma maior harmonização e níveis mais elevados de protecção no âmbito do Sistema Europeu Comum de Asilo, tal como sugerido no Programa da Haia de 4-5 de Novembro de 2004 e anunciado no plano de acção em matéria de asilo da Comissão, de 17 de Junho de 2008. No Programa da Haia, a Comissão foi convidada a concluir a avaliação da aplicação dos instrumentos jurídicos da primeira fase e a apresentar ao Conselho e ao Parlamento Europeu instrumentos e medidas para a segunda fase de aplicação, com vista à sua adopção até 2010.
A proposta foi sujeita a um intensivo processo de avaliação e consulta. A proposta atende em especial aos resultados do relatório sobre a avaliação do sistema de Dublim publicado pela Comissão em 6 de Junho de 2007 (4), que identificou um certo número de deficiências, do ponto de vista jurídico e prático, no sistema em vigor, bem como aos contributos enviados à Comissão por várias partes interessadas em resposta ao Livro Verde sobre o futuro do Sistema Europeu Comum de Asilo (5).
O principal objectivo da proposta é aumentar a eficiência do sistema e garantir níveis mais elevados de protecção aos requerentes de protecção internacional sujeitos ao procedimento de Dublim. A proposta tem ainda por objectivo reforçar a solidariedade para com os EstadosMembros que se deparam com situações de pressão migratória excepcional (6).
A proposta alarga o âmbito de aplicação do Regulamento de Dublim a fim de incluir os requerentes (e os beneficiários) de protecção subsidiária. A alteração é necessária para assegurar a coerência com o acervo comunitário, nomeadamente a Directiva 2004/83/CE do Conselho, de 29 de Abril de 2004, que estabelece normas mínimas relativas às condições a preencher por nacionais de países terceiros ou apátridas para poderem beneficiar do estatuto de refugiado ou por pessoas que, por outros motivos, necessitem de protecção internacional, bem como relativas ao respectivo estatuto e ao teor da protecção concedida (7) (adiante referida como «Directiva de Qualificação»), que introduziu a noção de protecção subsidiária. A proposta harmoniza também as definições e a terminologia utilizadas no Regulamento de Dublim com as contidas noutros instrumentos jurídicos em matéria de asilo.
Para melhorar a eficiência do sistema, a proposta determina, em particular, o prazo para a apresentação dos pedidos de retomada a cargo e reduz o prazo de resposta a pedidos de informação. Clarifica também as cláusulas relativas à cessação da responsabilidade, bem como as circunstâncias e os procedimentos de aplicação das cláusulas discricionárias (humanitária e de soberania). Acrescenta regras em matéria de transferências e alarga o mecanismo de resolução de litígios em vigor. A proposta inclui ainda uma disposição sobre a organização de uma entrevista obrigatória.
Além disso, e também na óptica de aumentar o nível de protecção dado aos requerentes, a proposta da Comissão prevê o direito de recurso de uma decisão de transferência assim como a obrigação de as autoridades competentes decidirem se a aplicação de tal decisão deve ou não ser suspensa. Prevê o direito à assistência jurídica e/ou representação e à assistência linguística. A proposta reafirma o princípio de que ninguém deve ser colocado em retenção apenas pelo facto de solicitar protecção internacional. Alarga também o direito à reunificação da família e debruçase sobre as necessidades dos menores não acompanhados e de outros grupos vulneráveis.
Enfoque do parecer
O presente parecer debruçase essencialmente sobre as alterações ao texto mais relevantes do ponto de vista da protecção dos dados pessoais:
as disposições que têm por objectivo uma melhor aplicação do direito à informação, ou seja, que dizem respeito ao teor, forma e calendário da prestação de informações foram clarificadas, e foi proposta a adopção de um folheto informativo comum,
um novo mecanismo de partilha de informações relevantes entre os EstadosMembros antes de as transferências serem levadas a cabo,
utilização do canal seguro de transmissão DubliNet para a troca de informações.
II. OBSERVAÇÕES GERAIS
A AEPD apoia os objectivos da proposta da Comissão, em especial no que se refere a melhorar a eficiência do sistema de Dublim e a garantir níveis mais elevados de protecção aos requerentes de protecção internacional sujeitos ao processo de Dublim. A AEPD partilha também das razões que levaram a Comissão a decidir efectuar a revisão do sistema de Dublim.
A garantia de um nível de protecção dos dados pessoais adequado é uma condição sine qua non para assegurar também o respeito efectivo e um elevado nível de protecção de outros direitos fundamentais. A AEPD emite o presente parecer na plena consciência da dimensão mais alargada dos direitos fundamentais da proposta, que diz respeito não só ao tratamento de dados pessoais mas também a muitos outros direitos de cidadãos de países terceiros e/ou apátridas, como particularmente o direito de asilo, o direito à informação no sentido lato, o direito à reunificação da família, o direito efectivo de recurso, o direito à liberdade e à livre circulação, os direitos da criança ou os direitos dos menores não acompanhados.
Tanto o considerando 34 da proposta como a Exposição de Motivos salientam os esforços envidados pelo legislador para assegurar a coerência da proposta com a Carta dos Direitos Fundamentais. Neste contexto, a Exposição de Motivos refere explicitamente a protecção dos dados pessoais e o direito de asilo. A Exposição de Motivos salienta também o facto de a proposta ter sido apresentada após uma análise aprofundada a fim de garantir que as suas disposições são plenamente compatíveis com os direitos fundamentais, enquanto princípios gerais do direito comunitário e internacional. No entanto, tendo em mente o mandato da AEPD, o presente parecer centrarseá principalmente nos aspectos da proposta relativos à protecção dos dados. Neste contexto, a AEPD congratulase com a atenção considerável que foi dada na proposta a este direito fundamental, que considera essencial para assegurar a eficiência do processo de Dublim dentro do pleno cumprimento das exigências dos direitos fundamentais.
A AEPD nota também que a proposta da Comissão busca a coerência com outros instrumentos jurídicos que regem o estabelecimento e/ou uso de outros sistemas de TI de larga escala. Em especial, a AEPD gostaria de salientar que tanto a partilha de responsabilidades relativamente à base de dados como a forma como o modelo de supervisão é formulado na proposta são coerentes com o quadro jurídico do Sistema de Informação de Schengen II e o Sistema de Informação sobre Vistos.
A AEPD vê com satisfação o seu papel no domínio da supervisão claramente estabelecido, o que, por razões óbvias, não era o caso no texto anterior.
III. DIREITO À INFORMAÇÃO
O n.o 1 alíneas f) e g) do artigo 4.o da proposta estipula:
«Após a apresentação de um pedido de protecção internacional, as autoridades competentes dos EstadosMembros devem informar o candidato a asilo da aplicação do presente regulamento e em especial dos seguintes elementos:
O facto de as autoridades competentes poderem trocar dados sobre o requerente unicamente para dar cumprimento às obrigações decorrentes do presente regulamento;
A existência do direito de acesso aos dados que lhe digam respeito e o direito de solicitar que os dados inexactos sejam corrigidos e que sejam suprimidos os dados tratados ilicitamente, incluindo o direito de receber informações sobre os procedimentos aplicáveis ao exercício de tais direitos e os elementos de contacto das autoridades nacionais responsáveis pela protecção dos dados competentes para analisar queixas em matéria de protecção de dados pessoais».
O n.o 2 do artigo 4.o descreve a forma como as informações referidas no n.o 1 devem ser fornecidas ao candidato.
A efectiva implementação do direito à informação é crucial para o correcto funcionamento do procedimento de Dublim. Em particular, é essencial assegurar que as informações sejam prestadas de forma a permitir ao candidato a asilo entender plenamente a sua situação bem como todos os seus direitos, incluindo as fases processuais que pode seguir na sequência das decisões administrativas tomadas no seu caso.
Quanto aos aspectos práticos da implementação do direito, a AEPD gostaria de referir o facto de que, em conformidade com o n.o 1, alínea g), e o n.o 2 do artigo 4.o da proposta, os EstadosMembros devem utilizar um folheto comum para os candidatos, o qual deverá incluir, entre outras informações, «os elementos de contacto das autoridades nacionais responsáveis pela protecção dos dados competentes para analisar queixas em matéria de protecção de dados pessoais». Neste contexto, a AEPD gostaria de salientar que, enquanto as autoridades nacionais responsáveis pela protecção dos dados (adiante referidas por «APD») mencionadas no n.o 2 do artigo 4.o da proposta são na verdade competentes para analisar queixas em matéria de protecção de dados pessoais, a redacção da proposta não deve impedir o candidato (titular dos dados) de dirigir a sua queixa em primeiro lugar ao responsável pelo tratamento dos dados (neste caso, as autoridades nacionais competentes em matéria da cooperação de Dublim). A disposição do n.o 2 do artigo 4.o, na versão actual, parece implicar que o candidato deveria apresentar o seu pedido directamente e caso a caso à APD, enquanto o procedimento normal, e a prática nos EstadosMembros, é que o candidato apresenta o seu pedido em primeiro lugar ao responsável pelo tratamento dos dados.
A AEPD sugere também que a redacção da alínea g) do n.o 1 do artigo 4.o deve ser reformulada de forma a clarificar os direitos do candidato. A redacção proposta não é clara, uma vez que «o direito de receber informações sobre os procedimentos aplicáveis ao exercício de tais direitos (…)» pode ser interpretado como fazendo parte do direito de acesso aos dados e/ou o direito de solicitar que os dados inexactos sejam corrigidos (…). Além disso, de acordo a redacção actual da disposição atrás referida, os Estados-Membros têm a obrigação de informar o candidato não do teor dos seus direitos mas da sua «existência». Uma vez que esta última parece ser uma questão de estilo, a AEPD sugere que a alínea g) do n.o 1 do artigo 4.o passe a ter a seguinte redacção:
«Imediatamente após a apresentação de um pedido de protecção internacional, as autoridades competentes dos EstadosMembros devem informar o candidato a asilo (…):
da existência do direito de acesso aos dados que lhe digam respeito e do direito de solicitar que os dados inexactos sejam corrigidos e que sejam suprimidos os dados que lhe digam respeito tratados ilicitamente, bem como dos procedimentos aplicáveis ao exercício de tais direitos, incluindo a forma de contactar as autoridades referidas no artigo 33.o do presente regulamento e as autoridades nacionais responsáveis pela protecção dos dados».
No tocante aos métodos de prestar informações aos candidatos, a AEPD remete para os trabalhos realizados pelo Grupo de Coordenação do Controlo do Eurodac (8) (constituído por representantes das APD de cada um dos Estados participantes e pela AEPD). Este Grupo está neste momento a analisar esta questão no âmbito do Eurodac tendo em vista propor orientações relevantes, logo que os resultados dos estudos nacionais estejam completos e disponíveis. Embora este estudo diga respeito especificamente ao Eurodac, os seus resultados deverão ser interessantes no contexto de Dublim, uma vez que tratam de questões tais como línguas/traduções e a avaliação da compreensão real da informação pelo candidato a asilo, etc.
IV. PARA UMA MAIOR TRANSPARÊNCIA
Quanto às autoridades referidas no artigo 33.o da proposta, a AEPD congratulase com o facto de a Comissão ir publicar uma lista consolidada das autoridades mencionadas no n.o 1 da disposição acima no Jornal Oficial da União Europeia. Se houver alterações à mesma, a Comissão deverá publicar uma vez por ano uma lista consolidada actualizada. A publicação da lista consolidada contribuirá para assegurar a transparência e facilitar a supervisão pelas APD.
V. NOVO MECANISMO DE INTERCÂMBIO DE INFORMAÇÕES
A AEPD regista a introdução do novo mecanismo relativo ao intercâmbio de informações relevantes entre os Estados-Membros antes das transferências (estipulado no artigo 30.o da proposta). A AEPD considera legítimo o objectivo desta partilha de informações.
A AEPD regista também a existência na proposta de salvaguardas específicas em matéria de protecção de dados, em conformidade com o artigo 8.o (n.os 13) da Directiva 95/46/CE relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, tais como: a) consentimento explícito do candidato e/ou do seu representante, b) supressão imediata dos dados pelo Estado Membro que procede à transferência logo que esta seja finalizada e c) «tratamento de dados pessoais em matéria de saúde (…) realizado exclusivamente por um profissional de saúde que esteja obrigado, por força da legislação nacional ou das regras estabelecidas por organismos nacionais competentes, a respeitar o sigilo profissional ou por outra pessoa obrigada a sigilo equivalente» (desde que tenha a formação médica apropriada). A AEPD apoia também o facto de o intercâmbio de informações se efectuar unicamente através do sistema seguro «DubliNet» e pelas autoridades previamente notificadas.
A forma como este mecanismo será estruturado é de importância crucial para o cumprimento do regime de protecção de dados, em especial atendendo a que o intercâmbio de informações abrangerá também dados pessoais sensíveis, tais como, por exemplo, informações sobre «eventuais necessidades especiais da pessoa a transferir que, em casos específicos, podem incluir informações acerca do seu estado de saúde físico e mental». Neste contexto, a AEPD apoia plenamente a inclusão do artigo 36.o da proposta, que obriga os EstadosMembros a tomarem as medidas necessárias para assegurar que a utilização abusiva dos dados (…) é passível de sanções, incluindo sanções administrativas e/ou penais previstas no direito interno.
VI. REGULAMENTAÇÃO DA PARTILHA DE INFORMAÇÕES NO ÂMBITO DO SISTEMA DE DUBLIM
O artigo 32.o da proposta da Comissão regula a partilha de informações. A AEPD contribuiu numa fase preliminar para esta disposição e apoia a redacção proposta pela Comissão.
A AEPD salienta que é importante que as autoridades dos EstadosMembros partilhem informações sobre pessoas através da rede DubliNet. Isso garante não só uma maior segurança como também uma melhor rastreabilidade das transacções. A este respeito, a AEPD remete para o documento dos serviços da Comissão de 6 de Junho de 2007, intitulado «Documento de acompanhamento do relatório da Comissão ao Parlamento Europeu e ao Conselho sobre a avaliação do sistema de Dublim» (9), no qual a Comissão recorda que «a utilização da DubliNet é obrigatória, excepto nos casos referidos no n.o 1, segundo parágrafo, do artigo 15.o» do Regulamento (CE) n.o 1560/2003 da Comissão, de 2 de Setembro de 2003, relativo às modalidades de aplicação do Regulamento (CE) n.o 343/2003 do Parlamento Europeu e do Conselho, que estabelece os critérios e mecanismos de determinação do Estado Membro responsável pela análise de um pedido de protecção internacional apresentado num Estado Membro por um nacional de um país terceiro (10) (adiante referido como «regulamento de aplicação do Regulamento de Dublim»). A AEPD insiste que a possibilidade de derrogar à utilização da DubliNet referida no artigo 15.o atrás referido deve ser interpretada de modo restritivo.
Foram inseridas, ou reformuladas, algumas disposições na proposta para garantir que esta possibilidade de derrogar à utilização da DubliNet seja interpretada de modo restritivo, e a AEPD congratulase com todos estes esforços. Por exemplo, o novo n.o 4 do artigo 33.o da proposta foi reformulado para tornar mais claro que tanto os pedidos como as respostas e toda a correspondência por escrito estarão sujeitos a regras relativas ao estabelecimento de canais seguros de transmissão electrónica (estipulado no n.o 1 do artigo 15.o do regulamento de aplicação do Regulamento de Dublim). Além disso, a supressão do n.o 2 do novo artigo 38.o que, no texto anterior (artigo 25.o), obrigava os EstadosMembros a enviar pedidos e respostas «por qualquer via que permita apresentar prova de recepção» deverá tornar claro que os EstadosMembros devem usar a DubliNet também neste contexto.
A AEPD regista que muito pouco foi regulado no âmbito do regime de Dublim no que se refere à troca de informações de carácter pessoal. Embora certos aspectos do intercâmbio de informações já tenham sido tratados no regulamento de aplicação do Regulamento de Dublim, o actual regulamento não parece abranger todos os aspectos da troca de informações de carácter pessoal, o que é de lamentar (11).
Neste contexto, vale à pena mencionar que esta questão da partilha de informações sobre o candidato a asilo foi também objecto de discussão no âmbito do Grupo de Coordenação do Controlo do Eurodac. Sem antecipar os resultados dos trabalhos do Grupo, a AEPD gostaria de mencionar desde já que uma das eventuais recomendações poderia ser a adopção de uma série de regras semelhantes às acordadas no Manual SIRENE de Schengen.
A AEPD apoia a proposta da Comissão de regulamento que estabelece os critérios e mecanismos de determinação do Estado Membro responsável pela análise de um pedido de protecção internacional apresentado num dos EstadosMembros por um nacional de país terceiro ou um apátrida. A AEPD partilha também das razões que levaram a Comissão a decidir efectuar a revisão do actual sistema.
A AEPD congratulase com a coerência da proposta da Comissão com outros instrumentos jurídicos que regulamentam o complexo quadro jurídico relativo a este domínio.
A AEPD congratulase com a atenção considerável dada nesta proposta ao respeito pelos direitos fundamentais, em especial relativamente à protecção dos dados pessoais. A AEPD considera esta abordagem um prérequisito essencial do melhoramento do processo de Dublim. A AEPD chama em particular a atenção dos legisladores para os novos mecanismos de intercâmbio de dados que envolverão, nomeadamente, dados pessoais extremamente sensíveis dos candidatos a asilo.
A AEPD gostaria também de referir os importantes trabalhos empreendidos nesta área pelo Grupo de Coordenação do Controlo do Eurodac, e está convicta que os resultados dos trabalhos do Grupo podem contribuir, com utilidade, para uma melhor formulação das características do sistema.
A AEPD considera que algumas das observações constantes deste parecer podem ser mais bem desenvolvidas depois de ver a implementação prática do sistema revisto. Em particular, tenciona contribuir para a definição das medidas de implementação relativas ao intercâmbio de informações através da DubliNet, tal como mencionado nos pontos 24 a 27 do presente parecer.
Feito em Bruxelas, a 18 de Fevereiro de 2009.
(1) JO L 281 de 23.11.1995, p. 31.
(2) JO L 8 de 12.1.2001, p. 1.
(3) JO L 50 de 25.2.2003, p. 1.
(4) COM(2007) 299.
(5) COM(2007) 301.
(6) Ver: Exposição dos motivos da proposta.
(7) JO L 304, 30.9.2004, p. 12.
(8) Para uma explicação sobre os trabalhos e o estatuto deste Grupo, ver: http://www.edps.europa.eu/EDPSWEB/edps/lang/en/pid/79. Este Grupo está a realizar uma supervisão coordenada do sistema EURODAC. Contudo, do ponto de vista da protecção dos dados, os seus trabalhos terão igualmente impacto no contexto geral da troca de informações do procedimento de Dublim. Esta informação diz respeito ao mesmo sujeito dos dados e é partilhada no mesmo procedimento que lhe diz respeito.
(9) SEC(2007) 742.
(10) JO L 222 de 5.9.2003, p. 3.
(11) Isto tornase ainda mais evidente quando se faz a comparação com a medida em que a troca de informações suplementares foi regulamentada no âmbito do Sistema de Informação de Schengen (SIRENE).
Sobre a proposta de Regulamento do Parlamento Europeu e do Conselho relativo à criação do Sistema «Eurodac» de comparação de impressões digitais para efeitos da aplicação efectiva do Regulamento (CE) n.o […/…] (que estabelece os critérios e mecanismos de determinação do Estado-Membro responsável pela análise de um pedido de protecção internacional apresentado num dos Estados-Membros por um nacional de um país terceiro ou um apátrida) [COM(2008) 825]
Tendo em conta o Tratado que institui a Comunidade Europeia, nomeadamente o seu artigo 286.o,
Tendo em conta a Carta dos Direitos Fundamentais da União Europeia, nomeadamente o seu artigo 8.o,
Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (2), nomeadamente o seu artigo 41.o,
ADOPTOU O SEGUINTE PARECER:
Em 3 de Dezembro de 2008, a Comissão enviou à AEPD para consulta, nos termos do n.o 2 do artigo 28.o do Regulamento (CE) n.o 45/2001, a proposta de regulamento do Parlamento Europeu e do Conselho relativo à criação do Sistema «Eurodac» de comparação de impressões digitais para efeitos da aplicação efectiva do Regulamento (CE) n.o […/…] (que estabelece os critérios e mecanismos de determinação do EstadoMembro responsável pela análise de um pedido de protecção internacional apresentado num dos EstadosMembros por um nacional de um país terceiro ou um apátrida) (a seguir denominada «proposta» ou «proposta da Comissão»). Essa consulta deverá ser explicitamente mencionada no preâmbulo do regulamento.
Tal como referido na exposição de motivos, a AEPD deu o seu contributo para a presente proposta numa fase anterior e muitos dos pontos por si suscitados informalmente foram tidos em conta no texto final da proposta da Comissão.
O contexto da proposta
O Regulamento (CE) n.o 2725/2000 (3) do Conselho, de 11 de Dezembro de 2000, relativo à criação do sistema «Eurodac» (a seguir designado «Regulamento Eurodac»), entrou em vigor em 15 de Dezembro de 2000. O Eurodac, um sistema informático a nível da Comunidade, foi criado para facilitar a aplicação da Convenção de Dublim, que visava estabelecer um mecanismo claro e viável para determinar o EstadoMembro responsável pela análise de um pedido de asilo apresentado num dos EstadosMembros. A Convenção de Dublim foi posteriormente substituída por um acto jurídico comunitário, o Regulamento (CE) n.o 343/2003 do Conselho, de 18 de Fevereiro de 2003, que estabelece os critérios e mecanismos de determinação do EstadoMembro responsável pela análise de um pedido de asilo apresentado num dos EstadosMembros por um nacional de um país terceiro (4) (a seguir designado «Regulamento de Dublim») (5). O Eurodac começou a funcionar em 15 de Janeiro de 2003.
A proposta consiste na revisão do Regulamento Eurodac e do seu regulamento de execução, o Regulamento n.o 407/2002/CE do Conselho, e visa nomeadamente:
melhorar a eficácia da aplicação do Regulamento Eurodac,
assegurar a coerência com o acervo em matéria de asilo que evoluiu desde a adopção do referido regulamento,
actualizar determinadas disposições tendo em conta as evoluções factuais ocorridas desde a adopção do regulamento,
estabelecer um novo quadro de gestão.
Salientese também que um dos principais objectivos da proposta é assegurar melhor o respeito pelos direitos fundamentais, nomeadamente a protecção dos dados pessoais. O presente parecer analisará se as disposições da proposta cumprem esse objectivo de forma adequada.
A proposta tem em conta os resultados do relatório sobre a avaliação do sistema de Dublim, de Junho de 2007, elaborado pela Comissão (a seguir denominado «relatório de avaliação»), que abrange os primeiros três anos de funcionamento do Eurodac (2003-2005).
Embora reconhecendo que o sistema instituído no regulamento foi aplicado de forma geralmente satisfatória nos EstadosMembros, o relatório de avaliação da Comissão identificou alguns problemas relacionados com a eficácia das disposições actuais e destacou os que têm de ser resolvidos para melhorar o sistema Eurodac e facilitar a aplicação do regulamento de Dublim. Em particular, o relatório referiu o atraso persistente na transmissão das impressões digitais por alguns EstadosMembros. O regulamento Eurodac actualmente prevê apenas um prazo muito vago para a transmissão das impressões digitais, o que, na prática, pode causar atrasos significativos. Tratase de uma questão crucial para a eficácia do sistema, uma vez que qualquer atraso na transmissão se pode traduzir em resultados contrários aos princípios de responsabilidade enunciados no Regulamento de Dublim.
O relatório de avaliação sublinhou também que a ausência de um método eficaz para os EstadosMembros se informarem mutuamente da situação em que se encontra um requerente de asilo levou em muitos casos a uma gestão ineficaz da supressão de dados. Frequentemente, os EstadosMembros que inserem dados sobre uma determinada pessoa ignoram que outro EstadoMembro de origem suprimiu dados e, por conseguinte, não se apercebem de que também deveriam suprimir os dados que possuem em relação a essa pessoa. Consequentemente, não se pode assegurar suficientemente a observância do princípio de que «os dados pessoais devem ser conservados de forma a permitir a identificação das pessoas em causa apenas durante o período necessário para a prossecução das finalidades para que foram recolhidos».
Além disso, segundo a análise apresentada no relatório de avaliação, a imprecisão relativa à designação das autoridades nacionais que têm acesso ao Eurodac impede a Comissão e a Autoridade Europeia para a Protecção de Dados de desempenharem o seu papel de controlo.
Aspectos centrais do presente parecer
Dado o papel de autoridade de controlo que actualmente desempenha em relação ao Eurodac, a AEPD está particularmente interessada na proposta da Comissão e no resultado positivo da revisão do sistema Eurodac no seu conjunto.
A AEPD regista que a proposta inclui vários aspectos relacionados com os direitos fundamentais dos requerentes de asilo, como sejam o direito de asilo, o direito à informação num sentido mais lato e o direito à protecção dos dados pessoais. Todavia, dada a missão da AEPD, o presente parecer centrarseá sobretudo nas questões relativas à protecção de dados tratadas no regulamento revisto. A este propósito, a AEPD saúda a atenção considerável que a proposta dedica ao respeito e à protecção dos dados pessoais e aproveita a oportunidade para salientar que garantir um elevado nível de protecção dos dados pessoais e uma maior eficácia na sua aplicação na prática devem ser considerados prérequisitos essenciais para melhorar o funcionamento do Eurodac.
O presente parecer aborda sobretudo as seguintes alterações ao texto, visto serem as mais relevantes do ponto de vista da protecção dos dados pessoais:
o controlo pela AEPD, inclusive nos casos em que parte da gestão do sistema está confiada a outra entidade (como uma empresa privada),
o processo de recolha de impressões digitais, incluindo a definição dos limites de idade,
os direitos dos titulares dos dados.
A AEPD saúda o facto de a proposta procurar a coerência com os demais instrumentos jurídicos que regem a criação e/ou utilização de outros sistemas informáticos de grande escala. Em particular, a partilha de responsabilidades em relação à base de dados, bem como o modo como o modelo de supervisão foi formulado na proposta, são compatíveis com os instrumentos jurídicos que criam o Sistema de Informação Schengen II (SIS II) e o Sistema de Informação sobre Vistos (VIS).
A AEPD constata a compatibilidade da proposta com a Directiva 95/46/CE e com o Regulamento (CE) n.o 45/2001. Neste contexto, saúda em particular os novos considerandos 17, 18 e 19, que estipulam que a Directiva 95/46/CE e o Regulamento (CE) n.o 45/2001 se aplicam ao tratamento de dados pessoais efectuado em aplicação do regulamento proposto respectivamente pelos EstadosMembros e pelas instituições e pelos órgãos comunitários implicados.
Por último, a AEPD chama a atenção para a necessidade de garantir também a coerência total entre os regulamentos Eurodac e de Dublim e aproveita a oportunidade do presente parecer para dar indicações mais precisas em relação a essa coerência. A AEPD regista, porém, que em determinados aspectos esta questão já foi tratada na proposta, por exemplo na exposição de motivos, que menciona que a «coerência com o Regulamento de Dublim (bem como as preocupações em matéria de protecção dos dados, nomeadamente o princípio da proporcionalidade) será assegurada graças a um alinhamento do período de conservação dos dados relativos aos nacionais de países terceiros ou apátridas objecto da recolha de impressões digitais na sequência de uma passagem irregular da fronteira externa com o prazo durante o qual o n.o 1 do artigo 14.o do Regulamento de Dublim atribui a responsabilidade com base nessas informações (ou seja, um ano).».
III. OBSERVAÇÕES ESPECÍFICAS
III.1. Supervisão pela Autoridade Europeia para a Protecção de Dados
A AEPD saúda o modelo de supervisão enunciado na proposta, bem como as tarefas específicas que lhe foram confiadas por força dos artigos 25.o e 26.o da proposta. O artigo 25.o confia à AEPD duas tarefas de supervisão:
«verificar que as actividades de tratamento de dados pessoais efectuadas pela autoridade de gestão sejam realizadas nos termos do Regulamento» (n.o 1 do artigo 25.o), e
«assegurar que seja efectuada, no mínimo a cada quatro anos, uma auditoria das actividades de tratamento de dados pessoais da autoridade de gestão, de acordo com as normas internacionais de auditoria».
O artigo 26.o trata da questão da cooperação entre as autoridades nacionais de controlo e a AEPD.
A AEPD constata também que a proposta apresenta uma abordagem semelhante à utilizada no SIS II e no VIS: um sistema estratificado de supervisão em que as autoridades responsáveis pela protecção de dados e a AEPD supervisionam, respectivamente, a actuação a nível nacional e a nível da UE, havendo um sistema de cooperação entre ambos os níveis. O modo como o modelo de cooperação está previsto na proposta reflecte também a prática actual que se revelou eficaz e incentivou uma estreita colaboração entre a AEPD e as autoridades responsáveis pela protecção de dados. Por isso, a AEPD saúda a sua formalização na proposta e o facto de, ao prevêlo, o legislador ter assegurado a coerência com os sistemas de controlo dos outros sistemas informáticos de grande escala.
III.2. Subcontratação
A AEPD constata que a proposta não aborda a questão da subcontratação de parte das tarefas da Comissão a outra organização ou entidade (como uma empresa privada). No entanto, a Comissão recorre comummente à subcontratação na gestão e desenvolvimento quer do sistema quer da infraestrutura de comunicação. Embora a subcontratação em si não seja contrária às exigências em matéria de protecção de dados, é necessário que haja importantes salvaguardas para assegurar que a aplicabilidade do Regulamento (CE) n.o 45/2001, incluindo a supervisão da protecção de dados pela AEPD, não seja de todo afectada pela subcontratação de actividades. Além disso, também devem ser adoptadas salvaguardas adicionais de carácter mais técnico.
A este respeito, a AEPD sugere que, no âmbito da revisão do Regulamento Eurodac, sejam estabelecidas salvaguardas jurídicas idênticas às previstas nos instrumentos jurídicos do SIS II, nas quais se especifique que mesmo quando a Comissão confia a gestão do sistema a outra autoridade isso «não deverá ter repercussões negativas sobre qualquer mecanismo de controlo eficaz instituído ao abrigo do direito comunitário, quer se trate do Tribunal de Justiça, do Tribunal de Contas ou da Autoridade Europeia para a Protecção de Dados» (n.o 7 do artigo 15.o da Decisão e do Regulamento SIS II).
As disposições são ainda mais precisas no artigo 47.o do Regulamento SIS II, que estipula o seguinte: «Caso a Comissão delegue as suas responsabilidades noutro órgão ou órgãos (…), deve assegurar que a Autoridade Europeia para a Protecção de Dados tenha o direito e a possibilidade de desempenhar cabalmente as suas funções, designadamente de efectuar verificações in loco e de exercer quaisquer outras competências que lhe tenham sido atribuídas pelo artigo 47.o do Regulamento (CE) n.o 45/2001».
As disposições acima mencionadas proporcionam a clareza necessária no que se refere às consequências da subcontratação de parte das tarefas da Comissão a outras autoridades. Por isso, a AEPD sugere que ao texto da proposta da Comissão sejam aditadas disposições para o mesmo efeito.
III.3. Processo de recolha de impressões digitais (n.o 5 do artigo 3.o e artigo 6.o)
O n.o 5 do artigo 3.o da proposta aborda o processo de recolha de impressões digitais. Esta disposição estipula que o processo «deve ser determinado e aplicado de acordo com a prática nacional do EstadoMembro em questão e com as salvaguardas estabelecidas na Carta dos Direitos Fundamentais da União Europeia, na Convenção para a Protecção dos Direitos do Homem e das Liberdades Fundamentais, na Convenção Europeia dos Direitos do Homem e na Convenção das Nações Unidas sobre os Direitos da Criança». O artigo 6.o da proposta estipula que o limite mínimo de idade para a recolha das impressões digitais de um requerente é 14 anos e que estas devem ser recolhidas o mais tardar 48 horas após a apresentação do pedido.
Em primeiro lugar, no que respeita ao limite de idade, a AEPD salienta a necessidade de assegurar a coerência da proposta com o Regulamento de Dublim. O sistema Eurodac foi criado para garantir a aplicação efectiva do Regulamento de Dublim, o que significa que se o resultado da revisão em curso do referido regulamento tiver efeitos na sua aplicação aos requerentes de asilo menores, isso terá de se reflectir no Regulamento Eurodac (6).
Em segundo lugar, no que respeita à determinação dos limites de idade para a recolha de impressões digitais em geral, a AEPD gostaria de assinalar que a maior parte da documentação actualmente disponível tende a indicar que a precisão da identificação através das impressões digitais diminui com o processo de envelhecimento. Neste contexto, é aconselhável seguir de perto o estudo sobre impressões digitais que está sendo realizado no âmbito da aplicação do VIS. Sem antecipar os resultados desse estudo, a AEPD pretende desde já salientar que, em todos os casos em que a recolha de impressões digitais se revele impossível ou se traduza em resultados pouco fiáveis, é importante recorrer a processos alternativos, que deverão respeitar plenamente a dignidade da pessoa.
Em terceiro lugar, a AEPD regista os esforços envidados pelo legislador para assegurar que as disposições sobre recolha de impressões digitais satisfaçam as exigências internacionais e europeias em matéria de direitos humanos. Todavia, chama a atenção para as dificuldades existentes em vários EstadosMembros para determinar a idade de jovens requerentes de asilo. Muitas vezes, os requerentes de asilo ou os imigrantes ilegais não têm documentos de identificação e, para decidir se se deve proceder à recolha das suas impressões digitais, é necessário determinar a idade. Os métodos utilizados para o fazer suscitam muita polémica em diferentes EstadosMembros.
A este propósito, a AEPD chama a atenção para o facto de o Grupo de Coordenação do Controlo do Eurodac (7) ter lançado uma inspecção coordenada sobre esta questão, cujos resultados — aguardados no primeiro semestre de 2009 — deverão facilitar a definição de procedimentos comuns nesta matéria.
À guisa de observação final sobre esta questão, no entender da AEPD, é necessário o mais possível coordenar melhor e harmonizar a nível da UE os processos de recolha de impressões digitais.
III.4. Melhores técnicas disponíveis (artigo 4.o)
O n.o 1 do artigo 4.o da proposta estipula que: «Após um período transitório, uma autoridade de gestão, financiada pelo orçamento geral da União Europeia, deve ser encarregada da gestão operacional do Eurodac. A autoridade de gestão deve assegurar que, em cooperação com os Estados-Membros, o Sistema Central beneficie permanentemente da melhor tecnologia disponível, sob reserva de uma análise custobenefício». Embora se congratule com a exigência enunciada no n.o 1 do artigo 4.o, a AEPD gostaria de assinalar que a expressão «melhor tecnologia disponível» referida nessa disposição deveria ser substituída por «melhores técnicas disponíveis» que inclui tanto a tecnologia utilizada como o modo de concepção, construção, manutenção e funcionamento da instalação.
III.5. Apagamento antecipado de dados (artigo 9.o)
O n.o 1 do artigo 9.o da proposta aborda a questão do apagamento antecipado de dados. Esta disposição obriga o EstadoMembro de origem a apagar do Sistema Central «os dados referentes a uma pessoa que tenha adquirido a cidadania de qualquer EstadoMembro antes do termo do período previsto no artigo 8.o» logo que o EstadoMembro de origem tenha conhecimento de que a pessoa adquiriu essa cidadania. A AEPD congratulase com a obrigação de apagar os dados, já que se coaduna bem com o princípio da qualidade dos dados. Além disso, a AEPD acredita que a revisão desta disposição constitui uma oportunidade para incentivar os EstadosMembros a instituírem procedimentos que assegurem o apagamento fiável e atempado (automático, se possível) de dados quando uma pessoa adquire a cidadania de um dos EstadosMembros.
Além disso, a AEPD gostaria de salientar que o n.o 2 do artigo 9.o que trata do apagamento antecipado de dados deveria ser reformulado, porquanto a redacção proposta é pouco clara. Como observação estilística, a AEPD sugere a substituição do termo «transmitiu» por «transmitiram».
III.6. Período de conservação dos dados relativos aos nacionais de países terceiros interceptados por ocasião da passagem ilegal de fronteiras (artigo 12.o)
O artigo 12.o da proposta trata da conservação de dados. A AEPD gostaria de assinalar que fixar em 1 ano (em vez de dois como consta do actual texto do regulamento) o período de conservação de dados constitui uma boa aplicação do princípio da qualidade dos dados, que estipula que estes devem ser conservados apenas durante o período necessário para cumprir a finalidade para que foram tratados. Tratase de uma melhoria do texto que é de saudar.
III.7. Lista de autoridades com acesso ao Eurodac (artigo 20.o)
A disposição que prevê a publicação pela autoridade de gestão da lista de autoridades com acesso ao Eurodac é bemvinda. Esta disposição contribuirá para uma melhor transparência e para criar um instrumento prático para uma melhor supervisão do sistema, por exemplo pelas autoridades responsáveis pela protecção de dados.
III.8. Registos (artigo 21.o)
O artigo 21.o da proposta diz respeito à conservação dos registos de todas as operações de tratamento de dados efectuadas pelo Sistema Central. Lêse no n.o 2 do artigo 21.o que esses registos só podem ser utilizados para controlar, nos termos da protecção dos dados, o carácter admissível do tratamento (…). Poderia clarificarse que isto também inclui medidas de auditoria interna.
III.9. Direitos do titular dos dados (artigo 23.o)
Reza a alínea e) do n.o 1 do artigo 23.o da proposta que:
«O EstadoMembro de origem comunica às pessoas abrangidas pelo presente Regulamento (…) as seguintes informações:
A existência de um direito de acesso aos dados que lhe digam respeito e o direito de solicitar a rectificação dos dados inexactos que lhe digam respeito ou a supressão dos dados ilegalmente tratados que lhe digam respeito, incluindo o direito a ser informado sobre os procedimentos para o exercício de tais direitos e a forma de contactar as autoridades nacionais de controlo referidas no n.o 1 do artigo 25.o, que recebem as reclamações relativas à protecção dos dados pessoais».
A AEPD assinala que a aplicação efectiva do direito à informação é fundamental para o correcto funcionamento do Eurodac. Em particular, é essencial assegurar que a informação seja prestada de modo a que o requerente de asilo possa perceber completamente a sua situação e o alcance dos seus direitos, incluindo os procedimentos a seguir na sequência das decisões administrativas tomadas no seu caso.
Quanto aos aspectos práticos da aplicação do direito, a AEPD gostaria de salientar que embora as autoridades responsáveis pela protecção de dados sejam efectivamente competentes para receber as reclamações relativas à protecção dos dados pessoais, a redacção da proposta não deve impedir o requerente (titular do dado) de dirigir primeiro a reclamação ao responsável pelo tratamento dos dados. O disposto na alínea e) do n.o 1 do artigo 23.o na sua versão actual parece implicar que o requerente apresente o pedido — directamente e em cada caso — à autoridade responsável pela protecção de dados, quando o procedimento normalizado e a prática existente nos EstadosMembros é o requerente apresentar primeiro a reclamação ao responsável pelo tratamento dos dados.
A AEPD sugere também a reformulação da alínea e) do n.o 1 do artigo 23.o para clarificar os direitos de que deve beneficiar o requerente. A redacção proposta não é clara, pois pode ser interpretada como considerando «o direito a ser informado sobre os procedimentos para o exercício de tais direitos (…)» parte do direito de acesso aos dados e/ou do direito de solicitar a rectificação dos dados inexactos (…). Além disso, de acordo com a actual redacção da supracitada disposição, os EstadosMembros devem informar a pessoa abrangida pelo regulamento não do conteúdo dos direitos mas da sua «existência». Como esta última parece ser uma questão estilística, a AEPD sugere que a alínea e) do n.o 1 do artigo 23.o seja reformulada do seguinte modo:
O direito de acesso aos dados que lhe digam respeito e o direito de solicitar a rectificação dos dados inexactos que lhe digam respeito ou a supressão dos dados ilegalmente tratados que lhe digam respeito, bem como informação sobre os procedimentos para o exercício de tais direitos, incluindo a forma de contactar as autoridades nacionais de controlo referidas no n.o 1 do artigo 25.o».
Pela mesma lógica, o n.o 10 do artigo 23.o deverá ser alterado do seguinte modo: «Em cada EstadoMembro, a autoridade nacional de controlo, se adequado (ou: a pedido da pessoa em causa), deve prestar assistência à pessoa em causa no exercício dos seus direitos, nos termos do n.o 4 do artigo 28.o da Directiva 95/46/CE.». Mais uma vez, a AEPD gostaria de salientar que, em princípio, não deveria ser necessária a intervenção da autoridade responsável pela protecção de dados; pelo contrário, deve incentivarse o responsável pelo tratamento dos dados a responder adequadamente às reclamações dos titulares dos dados. O mesmo se aplica quando é necessária a cooperação entre autoridades de diferentes EstadosMembros. Os responsáveis pelo tratamento dos dados devem ser os primeiros responsáveis por tratar os pedidos e cooperar para esse efeito.
No que respeita ao n.o 9 do artigo 23.o, a AEPD saúda não só a finalidade desta disposição (que prevê o controlo da utilização de «pesquisas especiais» tal como recomendado pelas autoridades responsáveis pela protecção dos dados no seu primeiro relatório sobre inspecções coordenadas), mas regista também com satisfação o procedimento proposto para o conseguir.
No que respeita aos métodos para prestar informações aos requerentes, a AEPD remete para o trabalho levado a cabo pelo Grupo de Coordenação do Controlo do Eurodac, que está actualmente a analisar esta questão no âmbito do Eurodac, tendo em vista propor orientações pertinentes, logo que sejam conhecidos e coligidos os resultados das investigações nacionais.
A AEPD apoia a proposta de Regulamento do Parlamento Europeu e do Conselho relativo à criação do Sistema «Eurodac» de comparação de impressões digitais para efeitos da aplicação efectiva do Regulamento (CE) n.o […/…] que estabelece os critérios e mecanismos de determinação do EstadoMembro responsável pela análise de um pedido de protecção internacional apresentado num dos EstadosMembros por um nacional de um país terceiro ou um apátrida.
A AEPD saúda o modelo de controlo apresentado na proposta, bem como o papel e as tarefas que lhe foram confiados no novo sistema. O modelo previsto reflecte a prática actual que se revelou eficaz.
A AEPD regista que a proposta procura a coerência com os demais instrumentos jurídicos que regem a criação e/ou utilização de outros sistemas informáticos de grande escala.
A este propósito, a AEPD saúda a atenção considerável que a proposta dedica ao respeito pelos direitos fundamentais, nomeadamente à protecção de dados pessoais. Como também foi referido no parecer sobre a revisão do regulamento de Dublim, a AEPD considera essa abordagem um pré-requisito essencial para melhorar os procedimentos de asilo na União Europeia.
A AEPD chama a atenção para a necessidade de assegurar a coerência total entre o Regulamento Eurodac e o Regulamento de Dublim.
A AEPD considera necessária uma melhor coordenação e harmonização a nível da UE dos processos de recolha de impressões digitais, digam eles respeito aos requerentes de asilo ou a outras pessoas sujeitas ao procedimento Eurodac. A AEPD chama especialmente a atenção para a questão dos limites de idade para a recolha de impressões digitais, em particular para as dificuldades existentes em vários Estados-Membros para determinar a idade de jovens requerentes de asilo.
A AEPD insiste na clarificação das disposições relativas aos direitos dos titulares dos dados, e sublinha em particular que é aos responsáveis nacionais pelo tratamento de dados que cabe em primeiro lugar assegurar a aplicação desses direitos.
Feito em Bruxelas, em 18 de Fevereiro de 2009.
(3) JO L 316 de 15.12.2000, p. 1.
(4) JO L 50 de 25.2.2003, p. 1.
(5) O Regulamento de Dublim também está a ser revisto [COM(2008) 820 final], de 3.12.2008 (reformulação). A AEPD também deu parecer sobre a proposta relativa a este regulamento.
(6) Neste contexto, a AEPD chama a atenção para o facto de a proposta da Comissão sobre a revisão do regulamento de Dublim, apresentada em 3 de Dezembro de 2008 [COM(2008) 820 final] definir «menor» como «um nacional de um país terceiro ou um apátrida com menos de 18 anos de idade».
(7) Para uma explicação do trabalho e do estatuto deste Grupo ver: http://www.edps.europa.eu/EDPSWEB/edps/site/mySite/pid/79. Este Grupo está a exercer um controlo coordenado do sistema Eurodac.
Tendo em conta a Decisão-Quadro 2008/977/JAI do Conselho, de 27 de Novembro de 2008, relativa à protecção dos dados pessoais tratados no âmbito da cooperação policial e judiciária em matéria penal (2),
Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (3), nomeadamente o artigo 41.o,
EMITIU O SEGUINTE PARECER:
Consulta à AEPD
A Iniciativa da República Francesa tendo em vista a adopção de uma decisão do Conselho sobre a utilização da informática no domínio aduaneiro foi publicada no Jornal Oficial de 5 de Fevereiro de 2009 (4). Não foi solicitado o parecer da AEPD sobre esta iniciativa nem pelo Estado-Membro que a apresentou, nem tampouco pelo Conselho. Todavia, a Comissão das Liberdades, Justiça e Assuntos Internos do Parlamento Europeu solicitou à AEPD que, ao abrigo do artigo 41.o do Regulamento (CE) n.o 45/2001, tecesse comentários sobre a iniciativa francesa, no contexto do parecer emitido pelo Parlamento Europeu sobre a mesma iniciativa. Tal como sucedeu já em casos semelhantes (5), em que a AEPD emitiu pareceres por sua própria iniciativa, também o presente parecer deve ser visto como reacção ao pedido formulado pelo Parlamento Europeu.
No entender da AEPD, o presente parecer deveria ser mencionado no preâmbulo da decisão do Conselho, à semelhança do que sucede com vários instrumentos jurídicos adoptados com base numa proposta da Comissão, em que o seu parecer é mencionado.
Embora não exista obrigação jurídica de um Estado-Membro que apresente uma iniciativa relativa a uma medida legislativa no âmbito do Título VI do Tratado UE solicitar o parecer da AEPD, as regras aplicáveis também não o impedem de o fazer. A AEPD lamenta que nem a República Francesa nem o Conselho tenham solicitado o seu parecer no caso vertente.
A AEPD sublinha que, tendo em conta os trabalhos em curso no Conselho a respeito da proposta, as observações apresentadas no presente parecer se baseiam na versão da proposta de 24 de Fevereiro de 2009 (5903/2/09 REV 2), que se encontra publicada no sítio web do Parlamento Europeu (6).
A AEPD considera que há necessidade de melhorar a justificação não só da própria iniciativa, mas também de alguns artigos e mecanismos específicos nela previstos, e lamenta que não tenha sido feita uma avaliação de impacto nem apresentada uma exposição de motivos, em complemento da iniciativa. Tratase de um elemento necessário que reforça a transparência e, de um modo mais geral, a qualidade do processo legislativo. Seria também mais fácil avaliar determinados aspectos da proposta, como por exemplo os referentes à necessidade e à justificação do acesso ao SIA a conceder à Europol e à Eurojust, se fossem fornecidos mais elementos explicativos.
A AEPD teve em consideração o Parecer 09/03 sobre o projecto de decisão do Conselho relativa à utilização da informática no domínio aduaneiro emitido pela Autoridade Supervisora Comum no domínio aduaneiro a 24 de Março de 2009.
O enquadramento jurídico do Sistema de Informação Aduaneiro (a seguir designado por «SIA») regese actualmente por instrumentos do Primeiro e do Terceiro Pilares. O quadro jurídico do Terceiro Pilar pelo qual o sistema se rege é constituído sobretudo pela Convenção de 26 de Julho de 1995, estabelecida com base no artigo K3 do Tratado da União Europeia, sobre a utilização da informática no domínio aduaneiro (a seguir designada por «Convenção SIA») (7), bem como pelos Protocolos de 12 de Março de 1999 e de 8 de Março de 2003.
O regime actual em matéria de protecção de dados exige a aplicação da Convenção do Conselho da Europa para a Protecção das Pessoas relativamente ao Tratamento Automatizado de Dados de Carácter Pessoal, de 28 de Janeiro de 1981 (a seguir designada por «Convenção 108 do Conselho da Europa»). Além disso, a proposta prevê que seja aplicável aos SIA a Decisão-Quadro 2008/977/JAI.
A parte do sistema abrangida pelo Primeiro Pilar é regida pelo Regulamento (CE) n.o 515/97 do Conselho de 13 Março de 1997 relativo à assistência mútua entre as autoridades administrativas dos Estados-Membros e à colaboração entre estas e a Comissão, tendo em vista assegurar a correcta aplicação das regulamentações aduaneira e agrícola (8).
Nos termos do n.o 2 do artigo 2.o da Convenção SIA, o objectivo do sistema de informação aduaneiro consiste em «prestar assistência na prevenção, investigação e repressão de infracções graves à legislação nacional, aumentando, através da rápida divulgação de informações, a eficácia dos processos de cooperação e de controlo das administrações aduaneiras dos Estados-Membros».
Em conformidade com a mesma Convenção, o Sistema de Informação Aduaneiro consiste numa base de dados central acessível através de terminais instalados em cada Estado-Membro. Algumas das suas outras principais características são as seguintes:
A Convenção SIA prevê que o sistema contenha apenas os dados, incluindo dados pessoais, necessários ao cumprimento do seu objectivo, referentes às seguintes categorias: a) Mercadorias; b) Meios de transporte; c) Empresas; d) Pessoas; e) Tendências da fraude; f) Conhecimentos especializados disponíveis (9),
Os Estados-Membros determinam quais os elementos a incluir no SIA relativamente a cada uma das três últimas categorias, na medida do necessário para atingir o objectivo do sistema. Nas duas últimas categorias não devem constar dados pessoais. O acesso directo aos dados existentes no Sistema de Informação Aduaneiro encontrase actualmente reservado exclusivamente às autoridades nacionais designadas por cada Estado-Membro. Essas autoridades nacionais são autoridades aduaneiras ou outras autoridades igualmente competentes nos termos das disposições legislativas, regulamentares e processuais do Estado-Membro em causa para actuarem de modo a realizar o objectivo da Convenção,
Os Estados-Membros só podem utilizar os dados obtidos a partir do Sistema de Informação Aduaneiro para realizarem o objectivo da Convenção; todavia, podem utilizar esses dados para fins administrativos ou outros mediante autorização prévia do Estado-Membro que introduziu os dados no sistema e observando as condições impostas por esse mesmo Estado. Foi criada uma Autoridade Supervisora Comum para supervisionar a parte do SIA abrangida pelo Terceiro Pilar,
A iniciativa francesa, que se baseia na alínea a) do n.o 1 do artigo 30.o e no n.o 2 do artigo 34.o do Tratado da União Europeia, pretende substituir a Convenção SIA, bem como os Protocolos de 12 de Março de 1999 e de 8 de Março de 2003, para alinhar a parte do sistema abrangida pelo Terceiro Pilar aos instrumentos do Primeiro Pilar.
No entanto, a proposta não se limita a substituição o texto da Convenção SIA por uma decisão do Conselho. Altera ainda uma quantidade significativa de disposições da Convenção e alarga à Europol e à Eurojust o acesso ao SIA. A proposta incorpora, além disso, as disposições similares relativas ao funcionamento do SIA que se encontram previstas no já referido Regulamento (CE) n.o 766/2008, por exemplo no que toca à criação de um ficheiro de identificação dos processos de inquérito aduaneiro (Capítulo VI).
A proposta tem ainda em conta novos instrumentos jurídicos como a Decisão-Quadro 2008/977/JAI e a Decisão-Quadro 2006/960/JAI do Conselho, de 13 de Dezembro de 2006, relativa à simplificação do intercâmbio de dados e informações entre as autoridades de aplicação da lei dos Estados-Membros da União Europeia (10).
A proposta visa, nomeadamente:
reforçar a cooperação entre as autoridades aduaneiras, criando procedimentos no âmbito dos quais estas possam actuar em conjunto e proceder ao intercâmbio de dados pessoais e de outros dados relacionados com as actividades ilícitas de tráfico, recorrendo a novas tecnologias para gerir e transmitir essas informações. Estas operações ficam sujeitas ao disposto na Convenção 108 do Conselho da Europa e na Decisão-Quadro 2008/977/JAI, bem como à aplicação dos princípios enunciados na Recomendação R (87) 15 do Conselho de Ministros do Conselho da Europa, de 17 de Setembro de 1987, que regulamenta a utilização de dados pessoais no sector da polícia,
aumentar as complementaridades por meio de acções desenvolvidas no contexto da cooperação com a Europol e a Eurojust, permitindo que estes organismos tenham acesso ao Sistema de Informação Aduaneiro.
Neste contexto, o SIA tem por objectivo nos termos do artigo 1.o da proposta «ajudar a prevenir, investigar e reprimir infracções graves à legislação nacional tornando os dados mais rapidamente disponíveis e reforçando, assim, a eficácia dos procedimentos de cooperação e controlo das administrações aduaneiras dos Estados-Membros». Esta disposição corresponde em larga medida ao n.o 2 do artigo 2.o da Convenção SIA.
A fim de alcançar esse objectivo, a proposta alarga as possibilidades de utilização dos dados do SIA, incluindo pesquisas nos sistemas e a realização de análises estratégicas e operacionais. A AEPD regista que é alargada a finalidade do sistema, bem como a lista das categorias de dados pessoais a recolher e tratar, e que passa a ser mais extensa a lista dos titulares dos dados que têm acesso directo ao SIA.
Conteúdo essencial do parecer
Tendo em consideração o papel de autoridade de controlo que lhe cabe relativamente aos elementos essenciais da parte do sistema abrangida pelo Primeiro Pilar, a AEPD está particularmente interessada nesta iniciativa e na recente evolução dos trabalhos do Conselho sobre o seu conteúdo. A AEPD salienta a necessidade de adoptar uma abordagem coerente e global para a harmonização das partes do sistema que são abrangidas pelo Primeiro e pelo Terceiro Pilares.
A AEPD regista que a proposta compreende vários aspectos relacionados com os direitos fundamentais, nomeadamente o direito à protecção dos dados pessoais e o direito à informação, além de outros direitos que assistem aos titulares dos dados.
No que toca ao regime de protecção de dados actualmente consagrado na Convenção SIA, a AEPD não quer deixar de referir que havia necessidade de alterar e actualizar várias das suas disposições em vigor, dado que já não preenchem nem as exigências nem os padrões dos nossos dias em matéria de protecção de dados. A AEPD aproveita também esta oportunidade para salientar que garantir um elevado nível de protecção de dados bem como uma maior eficácia de sua aplicação prática, sao pré-requisitos para o aperfeiçoamento do funcionamento do SIA.
Após algumas observações de carácter geral, pretendese abordar no presente parecer principalmente as questões que a seguir se enunciam e assumem relevância do ponto de vista da protecção dos dados pessoais:
salvaguardas do sistema em matéria de protecção de dados,
ficheiro de identificação dos processos de inquérito aduaneiro,
acesso da Eurojust e da Europol ao sistema (proporcionalidade e necessidade do acesso a conceder a estes organismos),
modelo de supervisão previsto para o SIA na sua globalidade,
lista das autoridades com acesso ao SIA.
Coerência entre as partes do sistema abrangidas pelo Primeiro e pelo Terceiro Pilares
Como se referiu já nas observações introdutórias, a AEPD está particularmente interessada na mais recente evolução dos trabalhos referentes à parte do SIA abrangida pelo Terceiro Pilar, uma vez que exerce já funções de controlo dos aspectos centrais da parte abrangida pelo Primeiro Pilar, nos termos do novo Regulamento (CE) n.o 766/2008 (11), tendo em vista assegurar a correcta aplicação das regulamentações aduaneira e agrícola.
Neste contexto, a AEPD chama a atenção do legislador para o facto de ter já comentado questões relacionadas com o controlo da parte do SIA abrangida pelo Primeiro Pilar em vários dos seus pareceres, nomeadamente no Parecer de 22 de Fevereiro de 2007 (12).
No referido Parecer, a AEPD sublinha que «a criação e actualização dos diversos instrumentos destinados a reforçar a cooperação comunitária, como o SIA, implicam um aumento da partilha de informações pessoais que serão recolhidas e posteriormente objecto de intercâmbio com as autoridades administrativas dos Estados-Membros e, em certos casos, também com países terceiros. As informações pessoais tratadas e posteriormente partilhadas podem incluir informações relacionadas com um alegado ou confirmado envolvimento das pessoas em acções dolosas na área das operações aduaneiras ou agrícolas. (…) Além disso, a sua importância é reforçada se se considerar o tipo de dados recolhidos e partilhados, nomeadamente suspeitas de pessoas singulares se encontrarem envolvidas em acções dolosas, e a finalidade e o resultado globais de todo o processo.».
Necessidade de uma abordagem estratégica do SIA na sua globalidade
A AEPD salienta que, ao contrário do que sucedeu com as alterações introduzidas pelo Regulamento (CE) n.o 766/2008, no instrumento do Primeiro Pilar que rege o SIA, a proposta prevê uma revisão completa da Convenção SIA que dá ao legislador uma visão mais completa de todo o sistema, com base numa abordagem coerente e global.
No entender da AEPD, esta abordagem deve compreender também uma perspectiva de futuro. Deverá reflectirse devidamente sobre factores mais recentes como a aprovação da Decisão-Quadro 2008/977/JAI e a (eventual) entrada em vigor do Tratado de Lisboa e têlos em consideração antes de tomar qualquer decisão sobre o próprio conteúdo da proposta.
No que diz respeito ao Tratado de Lisboa, a AEPD chama a atenção do legislador para a necessidade de analisar aprofundadamente os efeitos que a abolição da estrutura em pilares da UE poderia ter sobre o SIA após a entrada em vigor do Tratado, uma vez que o sistema assenta actualmente numa combinação de instrumentos do Primeiro e do Terceiro Pilar. A AEPD lamenta a falta de informações que esclareçam este importante novo elemento, que viria afectar significativamente o quadro jurídico pelo qual o SIA se deverá futuramente reger. Em termos mais gerais, a AEPD coloca a questão de saber se não seria mais oportuno o legislador adiar a revisão até à entrada em vigor do Tratado de Lisboa, a fim de evitar qualquer incerteza jurídica.
A AEPD pede coerência com outros sistemas de grande dimensão
Na opinião da AEPD, a substituição integral da Convenção SIA constitui igualmente uma boa oportunidade para assegurar a coerência do SIA com outros sistemas e mecanismos que se desenvolveram desde a aprovação da Convenção. Neste contexto, a AEPD pede coerência, inclusivamente no que toca ao modelo de supervisão, com outros instrumentos jurídicos, em especial os que criam o Sistema de Informação Schengen II e o Sistema de Informação sobre Vistos.
Relação com a Decisão-Quadro 2008/977/JAI
Considerando o intercâmbio de dados entre os EstadosMembros que tem lugar no âmbito do SIA, a AEPD saúda o facto de a proposta ter em conta a Decisão-Quadro relativa à protecção dos dados pessoais. A proposta de decisão estipula claramente no seu artigo 20.o que a Decisão-Quadro 2008/977/JAI é aplicável à protecção do intercâmbio de dados realizado nos termos da presente decisão, salvo disposição em contrário da presente decisão. A AEPD regista ainda que a proposta remete também para a Decisão-Quadro noutras das suas disposições, nomeadamente no n.o 5 do artigo 4.o, onde se estipula que não serão incluídos os dados a que se refere o artigo 6.o da Decisão-Quadro 2008/977/JAI, no artigo 8.o, sobre a utilização dos dados obtidos a partir do SIA a fim de atingir o objectivo previsto no n.o 2 do artigo 1.o da decisão, no artigo 22.o, referente aos direitos das pessoas em relação aos dados pessoais contidos no SIA, e ainda no artigo 29.o, em matéria de responsabilidades e obrigações.
A AEPD considera que os conceitos e princípios estabelecidos na Decisão-Quadro são adequados no contexto do SIA, pelo que deveriam ser aplicáveis por uma questão tanto de certeza jurídica como de coerência entre os regimes jurídicos.
Sem prejuízo do que precede, a AEPD não deixa de salientar que o legislador deveria prever as necessárias garantias de que, enquanto se aguarda a plena aplicação da Decisão-Quadro 2008/977/JAI, de acordo com as suas disposições finais, não se registará nenhum hiato no sistema de protecção de dados. Por outras palavras, a AEPD quer sublinhar que é a favor da abordagem que permitir a existência das salvaguardas consideradas necessárias e convenientes antes de se proceder a novos intercâmbios de dados.
Salvaguardas em matéria de protecção de dados
A AEPD considera que a implementação efectiva do direito à protecção dos dados e o direito à informação constituem elementos fundamentais indispensáveis ao bom funcionamento do Sistema de Informação Aduaneiro. A existência de salvaguardas em matéria de protecção de dados não só é necessária para assegurar a verdadeira protecção das pessoas cujos dados constem do SIA, mas deve também servir para facilitar o funcionamento correcto e mais eficiente do sistema.
A AEPD chama a atenção do legislador para que a necessidade de salvaguardas sólidas e eficientes em matéria de protecção de dados se torna ainda mais evidente quando se considera que o SIA constitui uma base de dados que assenta sobretudo em «suspeitas», e não tanto em condenações ou noutras decisões judiciais ou administrativas. Essa é a reflexão que se faz do artigo 5.o da proposta de decisão, ao estipular que «os dados relativos às categorias referidas no artigo 3.o serão introduzidos no Sistema de Informação Aduaneiro unicamente para efeitos de observação e informação, vigilância discreta, controlos específicos e análise estratégica ou operacional. Para efeitos das acções propostas (…), os dados pessoais (…) apenas podem ser incluídos no sistema de informação aduaneira se, especialmente com base em antecedentes de actividades ilegais, existirem razões concretas para crer que a pessoa em questão cometeu, está a cometer, ou virá a cometer infracções graves à legislação nacional.». Dada esta característica do SIA, a proposta exige salvaguardas equilibradas, eficientes e reforçadas em termos de protecção dos dados pessoais e de mecanismos de controlo.
No que toca às disposições específicas da proposta em matéria de protecção de dados pessoais, a AEPD regista o esforço desenvolvido pelo legislador no sentido de prever mais salvaguardas do que as consagradas na Convenção SIA. Todavia, a AEPD não pode também deixar de levantar algumas questões associadas às disposições sobre protecção de dados que lhe suscitam grande apreensão e se prendem, concretamente, com a aplicação do princípio da limitação da finalidade.
Importa ainda referir neste contexto que as observações formuladas no presente parecer a respeito das salvaguardas em matéria de protecção de dados não se restringem às disposições que alteram ou alargam o âmbito da Convenção SIA, mas se aplicam também às partes copiadas do actual texto da Convenção. Assim é porque, como se referiu já nas observações gerais, a AEPD entende que algumas das disposições da Convenção não satisfazem já as actuais exigências em matéria de protecção de dados e que a iniciativa francesa constitui uma boa oportunidade para fazer uma nova análise de todo o sistema e assegurar o nível conveniente de protecção de dados, equivalente ao proporcionado pela parte do sistema que é abrangida pelo Primeiro Pilar.
A AEPD regista com satisfação que só podem ser incluídos no SIA os dados pessoais constantes de uma lista fechada e exaustiva. Saúda igualmente o facto de a proposta definir os termos «dados pessoais» de uma forma mais alargada do que a Convenção SIA. Nos termos do n.o 2 do artigo 2.o, entendese por «dados pessoais» qualquer informação relativa a uma pessoa singular, identificada ou identificável (titular); é considerado identificável todo aquele que possa ser identificado, directa ou indirectamente, nomeadamente por referência a um número de identificação ou a um ou mais elementos específicos da sua identidade física, fisiológica, psíquica, económica, cultural ou social.
Limitação da finalidade
Refirase como exemplo de uma das disposições que são motivo de grave apreensão em matéria de protecção dos dados o artigo 8.o da proposta, que estipula que «os Estados-Membros só podem utilizar os dados obtidos a partir do SIA para realizarem o objectivo estabelecido no n.o 2 do artigo 1.o. Todavia, podem utilizar esses dados para fins administrativos ou outros mediante autorização prévia do Estado-Membro que introduziu os dados no sistema e observando as condições impostas por esse mesmo Estado. Essas outras utilizações devem ser conformes com as disposições legislativas, regulamentares e processuais do Estado-Membro que pretende utilizar os referidos dados de acordo com o n.o 2 do artigo 3.o da Decisão-Quadro 2008/977/JAI». Esta disposição referente à utilização dos dados obtidos a partir do SIA é essencial para a estrutura do sistema, pelo que se lhe deve especial atenção.
O artigo 8.o da proposta remete para o n.o 2 do artigo 3.o da Decisão-Quadro 2008/977/JAI, que incide sobre os «Princípios da licitude, proporcionalidade e finalidade». Reza o artigo 3.o da Decisão-Quadro:
«1. Os dados pessoais podem ser recolhidos pelas autoridades competentes apenas para finalidades especificadas, explícitas e legítimas, no âmbito das suas funções, e podem ser tratados exclusivamente para a finalidade para que foram recolhidos. O tratamento dos dados deve ser lícito e adequado, pertinente e não excessivo em relação à finalidade para que foram recolhidos.
2. O tratamento posterior para outras finalidades é admissível desde que:
Não seja incompatível com a finalidade determinante da recolha dos dados;
As autoridades competentes estejam autorizadas a tratar esses dados em conformidade com as disposições legislativas que lhes são aplicáveis; e
O tratamento seja necessário e proporcionado para a prossecução dessa finalidade.».
Embora o n.o 2 do artigo 3.o da Decisão-Quadro 2008/977/JAI preveja condições gerais em que é admissível o tratamento dos dados para outras finalidades, a AEPD chama a atenção para o facto de a disposição do artigo 8.o da proposta, ao prever a possibilidade de utilizar os dados para quaisquer fins administrativos ou outros, que a própria proposta não define, levantar problemas quanto ao cumprimento das exigências em matéria de protecção de dados, em especial do princípio da limitação da finalidade. Além disso, o instrumento do Primeiro Pilar não prevê esse tipo de utilização geral. Por esse motivo, a AEPD pede que se especifiquem os fins para os quais os dados podem ser utilizados. Trata-se de uma questão de importância fundamental do ponto de vista da protecção dos dados, uma vez que afecta os princípios essenciais da utilização de dados nos sistemas de grande dimensão: «os dados apenas devem ser usados para fins bem definidos e claramente delimitados no âmbito do quadro jurídico regulamentar aplicável».
Transferência de dados para países terceiros
O n.o 4 do artigo 8.o da proposta rege a transferência de dados para países terceiros ou organizações internacionais. Estipula este preceito que «os dados obtidos a partir do SIA podem, mediante autorização prévia do Estado-Membro que os introduziu no sistema e observando as condições por ele impostas, ser transferidos para (…) países terceiros e (…) organizações internacionais ou regionais que deles pretendam servise. Cada Estado-Membro tomará medidas especiais para garantir a segurança dos dados sempre que estes sejam transferidos para serviços situados fora do seu território. Os detalhes dessas medidas devem ser comunicados à Autoridade Supervisora Comum referida no artigo 25.o».
A AEPD observa que o artigo 11.o da Decisão-Quadro relativa à protecção de dados é aplicável neste contexto. Convém todavia sublinhar que, dada a natureza muito geral da aplicação do n.o 4 do artigo 8.o da proposta, que permite, em princípio, que os Estados-Membros transmitam dados obtidos a partir do SIA para países terceiros e organizações internacionais ou regionais que deles pretendam servir-se, as salvaguardas previstas nessa mesma disposição estão longe de ser suficientes da perspectiva da protecção dos dados pessoais. A AEPD pede que se reconsidere o conteúdo do n.o 4 do artigo 8.o, de modo a garantir a uniformidade do sistema de avaliação da adequação, através do mecanismo mais conveniente, por exemplo associando ao processo de avaliação o Comité a que se refere o artigo 26.o da proposta.
Outras salvaguardas em matéria de protecção de dados
A AEPD congratula-se com as disposições sobre a alteração de dados (Capítulo IV, artigo 13.o), que constituem um elemento importante do princípio da qualidade dos dados. A AEPD saúda, em particular, o facto de o âmbito desta disposição ter sido alterado e alargado por comparação com a Convenção SIA, passando a consagrar o direito de rectificar e de apagar dados. O n.o 2 do artigo 13.o determina, por exemplo, que, se um Estado-Membro fornecedor de dados ou a Europol verificar ou for informado de que os dados que introduziu são factualmente incorrectos ou foram introduzidos ou armazenados em violação do disposto na presente decisão, deve alterar, completar, rectificar ou apagar os referidos dados, consoante o caso, e informar os restantes Estados-Membros e a Europol.
A AEPD regista também o disposto no Capítulo V, referente à conservação de dados, que se baseia sobretudo na Convenção SIA e prevê, nomeadamente, prazos para a conservação dos dados copiados a partir do SIA.
O Capítulo IX (Protecção de dados pessoais) reflecte muitas das disposições da Convenção SIA. Prevê, no entanto, uma alteração significativa, que consiste na aplicação da Decisão-Quadro relativa à protecção de dados pessoais ao SIA e na referência, constante do artigo 22.o, a que «os direitos das pessoas em relação aos dados pessoais contidos no Sistema de Informação Aduaneiro, em particular o seu direito de acesso a esses dados ou de rectificação, apagamento ou bloqueamento dos mesmos, são exercidos nos termos das disposições legislativas, regulamentares e processuais dos Estados-Membros que aplicam a Decisão-Quadro 2008/977/JAI em que esses direitos sejam invocados.». Neste contexto, a AEPD não quer deixar de salientar, em especial, a importância de manter o procedimento pelo qual os titulares dos dados podem invocar os seus direitos e solicitar acesso aos dados em qualquer Estado-Membro. A AEPD analisará atentamente a aplicação prática deste importante direito dos titulares.
A proposta alarga também o âmbito da Convenção SIA ao proibir que sejam copiados dados pessoais do SIA para outros ficheiros de dados nacionais. A Convenção SIA refere explicitamente no n.o 2 do artigo 14.o que «os dados pessoais introduzidos por outros Estados-Membros não podem ser copiados do Sistema de Informação Aduaneiro para outros ficheiros de dados nacionais». No n.o 3 do artigo 21.o, a proposta prevê uma derrogação «para cópias nos sistemas de gestão de riscos destinados a orientar os controlos aduaneiros a nível nacional ou para cópias num sistema de análise operacional que permita coordenar as acções.». A este respeito, a AEPD faz suas as observações tecidas pela Autoridade Supervisora Comum no domínio aduaneiro no Parecer 09/03, em especial a propósito dos termos «sistemas de gestão de riscos», bem como da necessidade de estipular mais pormenorizadamente em que casos e circunstâncias seria possível efectuar as cópias autorizadas nos termos do n.o 3 do artigo 21.o
A AEPD congratula-se também com as disposições da proposta em matéria de segurança, que são essenciais para o bom funcionamento do SIA (Capítulo XII).
Ficheiro de identificação dos processos de inquérito aduaneiro
A proposta estabelece novas disposições relativas ao ficheiro de identificação dos processos de inquérito aduaneiro (artigos 16.o a 19.o), o que é consequência da sua criação no âmbito do instrumento do Primeiro Pilar. Embora a AEPD não ponha em causa a necessidade destas novas bases de dados no quadro do SIA, chama a atenção para que é preciso prever as convenientes salvaguardas em matéria de protecção de dados. Neste contexto, saúda o facto de a derrogação prevista no n.o 3 do artigo 21.o não ser aplicável aos ficheiros de identificação dos processos de inquérito aduaneiro.
Acesso da Europol e da Eurojust ao SIA
A proposta concede acesso ao sistema ao Serviço Europeu de Polícia (Europol) e à Unidade Europeia de Cooperação Judiciária (Eurojust).
Em primeiro lugar, a AEPD salienta que é necessário definir claramente os fins a que se destina e avaliar a proporcionalidade e a necessidade do alargamento desse acesso. Não se esclarecem as razões por que é necessário tornar o acesso ao sistema extensivo à Europol e à Eurojust. A AEPD salienta também que, quando está em causa o acesso a bases de dados, a funcionalidades e ao tratamento de dados pessoais, é claramente necessário avaliar previamente não só a utilidade do acesso, mas também a necessidade real e documentada de fazer tal tipo de proposta. A AEPD sublinha uma vez mais que não foram apresentadas razões que o justifiquem.
A AEPD solicita também que seja introduzida no texto uma definição clara e precisa das missões para as quais se pode conceder à Europol e à Eurojust o acesso aos dados.
O artigo 11.o estipula que, «dentro dos limites do seu mandato e para efeitos de desempenho das suas funções, a Europol tem o direito de aceder aos dados introduzidos no SIA e de os consultar directamente, bem como de inserir dados no referido sistema».
A AEPD manifesta a sua satisfação por terem sido estabelecidos na proposta determinados limites, nomeadamente que:
a utilização das informações recolhidas do SIA fique sujeita ao consentimento do Estado-Membro que introduziu os dados no sistema,
a limitação da transmissão de informações pela Europol a países ou organismos terceiros (somente poderá ser efectuada com o consentimento do Estado que introduziu os dados no sistema),
o acesso ao SIA seja limitado (pessoal autorizado),
as actividades da Europol fiquem sujeitas à supervisão da Instância Comum de Controlo.
A AEPD gostaria ainda de referir que, sempre que a proposta remete para a Convenção Europol, se deveria ter em conta a Decisão do Conselho segundo a qual, com efeitos a partir de 1 de Janeiro de 2010, a Europol passa a constituir uma agência da UE.
O acesso da Eurojust ao SIA é regulado pelo artigo 12.o da proposta, o qual estipula que, «sob reserva do disposto no capítulo IX, dentro dos limites do seu mandato e para efeitos de desempenho das suas funções, os membros nacionais da Eurojust e seus assistentes têm o direito de aceder aos dados introduzidos no SIA em conformidade com os artigos 1.o, 3.o, 4.o, 5.o e 6.o e de os consultar.». No que toca ao consentimento do Estado-Membro que introduziu os dados no sistema, a proposta estabelece neste caso mecanismos semelhantes aos previstos para a Europol. Aplicam-se também à Eurojust os anteriores comentários a propósito da necessidade não só de apresentar as razões que justificam ser necessário conceder esse acesso, mas também de, sendo concedido, prever os indispensáveis limites adequados.
A AEPD congratula-se com o facto de o acesso ao SIA ter sido limitado aos membros nacionais, seus adjuntos e assistentes, mas não deixa de registar que o n.o 1 do artigo 12.o apenas menciona os membros nacionais e seus assistentes, enquanto outros números do mesmo artigo se referem também aos adjuntos. Chama-se atenção do legislador para que deve assegurar clareza e coerência neste contexto.
Supervisão — Adoptar um modelo coerente, consistente e global
Relativamente ao controlo que se propõe para a parte do SIA abrangida pelo Terceiro Pilar, a AEPD chama a atenção do legislador para que importa assegurar o controlo coerente e global de todo o sistema. Deve terse em conta o complexo quadro jurídico que rege o SIA, assente em duas bases jurídicas, e evitar dois modelos diferentes de controlo, tanto por uma questão de clareza jurídica como por motivos práticos.
Como já se referiu, a AEPD exerce funções de controlo dos aspectos centrais da parte do sistema abrangida pelo Primeiro Pilar, o que decorre do artigo 37.o da Regulamento (CE) n.o 515/97, com a redacção que lhe foi dada pelo Regulamento (CE) n.o 766/2008, que estipula: «a Autoridade Europeia para a Protecção de Dados controla a conformidade do SIA com o Regulamento (CE) n.o 45/2001.». A AEPD regista que o modelo de controlo que se encontra previsto na proposta francesa não tem em consideração este papel desempenhado pela AEPD. O modelo de controlo baseia-se no papel da Autoridade Supervisora Comum do SIA.
Embora a AEPD aprecie o trabalho desenvolvido pela Autoridade Supervisora Comum do SIA, não quer deixar de salientar duas razões pelas quais considera que deveria ser aplicado um modelo de controlo coordenado, coerente com as suas actuais funções de controlo ao nível de outros sistemas de grande dimensão. Em primeiro lugar, um sistema desse tipo garantiria a coerência interna entre as partes do sistema que são abrangidas pelo Primeiro e pelo Segundo Pilares. Em segundo lugar, ficaria também assegurada a coerência com os modelos adoptados noutros sistemas de grande dimensão. Por esse motivo, a AEPD aconselha a que se aplique ao SIA, no seu conjunto, um modelo semelhante ao que é aplicado ao SIS II («supervisão coordenada» ou «modelo estratificado»). Como se refere no Parecer da AEPD sobre a parte do SIA abrangida pelo Primeiro Pilar, «no quadro do SIS II, o legislador europeu optou por uma racionalização do modelo de supervisão, aplicando o mesmo modelo estratificado acima referido tanto nos ambientes do primeiro como do segundo pilardo sistema».
A AEPD considera que a melhor forma de alcançar esse objectivo será criar um sistema de controlo mais uniforme que consiste no modelo já comprovado que se baseia numa estrutura estratificada tripla: autoridades responsáveis em matéria de protecção de dados ao nível nacional, AEPD ao nível central e coordenação entre ambos os níveis. A AEPD está convicta de que a substituição da Convenção SIA constitui uma oportunidade única para simplificar e reforçar a coerência do sistema de controlo, totalmente de acordo com o que sucede com os sistemas de grande dimensão (VIS, SIS II, Eurodac).
Por fim, o modelo de supervisão coordenada permite ainda antecipar mais eficazmente as alterações que a entrada em vigor do Tratado de Lisboa trará consigo e a abolição da estrutura em pilares da UE.
A AEPD não se pronuncia sobre a questão de saber se a criação do modelo de supervisão coordenada exigiria ou não alterações ao instrumento do Primeiro Pilar que rege o SIA, nomeadamente o Regulamento (CE) n.o 766/2008 mas chama a atenção do legislador para a necessidade de analisar esse aspecto também da perspectiva da coerência jurídica.
Lista das autoridades com acesso ao SIA
O n.o 2 do artigo 7.o impõe a cada Estado-Membro a obrigação de enviar aos outros Estados-Membros e ao Comité a que se refere o artigo 26.o uma lista das autoridades competentes que tiver designado para terem acesso directo aos dados do SIA, referindo os dados a que cada autoridade poderá ter acesso e com que finalidade.
A AEPD chama a atenção para o facto de a proposta apenas dispor que os Estados-Membros troquem entre si as informações referentes às autoridades que tenham acesso ao SIA e que o Comité a que se refere o artigo 26.o seja informado, não prevendo porém a publicação da referida lista de autoridades. É lamentável que assim seja, uma vez que a publicação da lista contribuiria para aumentar a transparência e criar um instrumento prático de efectiva supervisão do sistema, por exemplo por parte das autoridades competentes em matéria de protecção de dados.
A AEPD apoia o projecto de decisão do Conselho relativa à utilização da informática no domínio aduaneiro. Convém ter presente que, em virtude de os trabalhos legislativos não se encontrarem ainda terminados no Conselho, os seus comentários não se baseiam na versão final da proposta.
A AEPD lamenta a falta de documentação explicativa que pudesse fornecer os necessários esclarecimentos e informações acerca dos objectivos e da especificidade de algumas das disposições da proposta.
A AEPD pede que se dedique na proposta maior atenção à necessidade de prever salvaguardas específicas em matéria de protecção de dados. A AEPD constata que a aplicação prática das salvaguardas em matéria de protecção de dados não está suficientemente assegurada sob vários aspectos, nomeadamente no que toca à aplicação do princípio da limitação das finalidades à utilização dos dados introduzidos no SIA. A AEPD considera ser esta uma condição essencial para aperfeiçoar o funcionamento do Sistema de Informação Aduaneiro.
A AEPD pede que se preveja na proposta um modelo de supervisão coordenada. Convém notar que a AEPD exerce actualmente funções de controlo da parte do sistema abrangida pelo Primeiro Pilar. Sublinha que, por uma questão de coerência, a melhor abordagem consistiria em tornar o modelo de supervisão coordenada aplicável também à parte abrangida pelo Terceiro Pilar. Sempre que necessário e conveniente, este modelo garantiria ainda a coerência com outros instrumentos jurídicos que regem a criação e/ou utilização de outros sistemas informáticos de grande dimensão.
A AEPD solicita mais esclarecimentos a respeito da necessidade e da proporcionalidade do acesso a conceder à Eurojust e à Europol e salienta a falta de informações explicativas sobre este assunto na proposta.
A AEPD insiste ainda em que seja reforçada a disposição do n.o 4 do artigo 8.o da proposta, relativo à transmissão de dados para países terceiros ou organizações internacionais, o que implica também a necessidade de garantir a existência de um sistema uniforme de avaliação da adequação.
A AEPD solicita que seja inserida no texto uma disposição que determine a publicação da lista das autoridades com acesso ao SIA, a fim de aumentar a transparência e facilitar o controlo do sistema.
Feito em Bruxelas, em 20 de Abril de 2009.
(2) JO L 350 de 30.12.2008, p. 60.
(3) JO L 8 de 12.1.2001, p. 1.
(4) JO C 29 de 5.2.2009, p. 6.
(5) Ver, no caso mais recente, o Parecer da Autoridade Europeia para a Protecção de Dados sobre a Iniciativa de 15 Estados-Membros tendo em vista a adopção de uma decisão do Conselho relativa ao reforço da Eurojust e que altera a Decisão 2002/187/JAI, JO C 310, de 5.12.2008, p. 1.
(7) JO C 316 de 27.11.1995, p. 33.
(8) JO L 82 de 22.3.1997, p. 1.
(9) A proposta acrescenta uma nova categoria: g) mercadorias retidas, apreendidas ou confiscadas.
(10) JO L 386 de 29.12.2006, p. 89.
(11) JO L 218 de 13.8.2008, p. 48.
(12) Parecer de 22 de Fevereiro de 2007 sobre a proposta de regulamento [COM(2006) 866 final], JO C 94 de 28.4.2007, p. 3.
Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas físicas no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1),
Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas físicas no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (2), nomeadamente o artigo 41.o,
Propostas de alteração do actual sistema de farmacovigilância
Em 10 de Dezembro de 2008, a Comissão adoptou duas propostas relativas à alteração do Regulamento (CE) n.o 726/2004 e da Directiva 2001/83/CE (3) O Regulamento (CE) n.o 726/2004 do Parlamento Europeu e do Conselho (4) estabelece procedimentos comunitários de autorização e de fiscalização de medicamentos para uso humano e veterinário e institui uma Agência Europeia de Medicamentos (a seguir denominada EMEA). A Directiva 2001/83/CE do Parlamento Europeu e do Conselho (5) contém regras referentes ao código comunitário relativo aos medicamentos para uso humano e trata de processos específicos a nível do Estado-Membro As alterações propostas referemse às partes relativas à farmacovigilância dos medicamentos para uso humano constantes de ambos os instrumentos.
Entende-se por farmacovigilância a ciência e as actividades de detecção, avaliação, inteligibilidade e prevenção dos efeitos prejudiciais dos medicamentos (6). O sistema de farmacovigilância actualmente em vigor na Europa torna possível aos doentes e profissionais de saúde informarem de reacções adversas aos medicamentos os organismos públicos e privados relevantes envolvidos a nível nacional e europeu. A EMEA gere uma base de dados a nível europeu (a base de dados EudraVigilance) que funciona como ponto centralizado para a gestão e informação sobre reacções adversas a medicamentos.
A farmacovigilância é encarada como um complemento necessário ao sistema comunitário de autorização de medicamentos que data de 1965, com a adopção da Directiva 65/65/CEE (7).
Como se depreende das Exposições dos Motivos e da Avaliação do Impacto anexos à proposta, o actual sistema de farmacovigilância apresenta várias deficiências, que incluem a falta de clareza relativamente ao papel e responsabilidade dos vários agentes envolvidos, os complicados processos de informação das reacções adversas aos medicamentos, a necessidade de uma maior transparência e melhor comunicação sobre a segurança dos medicamentos, bem como a necessidade de racionalização dos planos de gestão dos riscos dos medicamentos.
A intenção geral das duas propostas é remediar estas deficiências e melhorar e reforçar o regime comunitário de farmacovigilância com o objectivo de melhor proteger a saúde pública, assegurar o bom funcionamento do mercado interno e simplificar as regras e processos em vigor (8).
Dados pessoais na farmacovigilância e consulta da AEPD
O funcionamento geral do actual sistema de farmacovigilância baseia-se no tratamento de dados pessoais. Esses dados estão incluídos nas informações sobre reacções adversas aos medicamentos e podem ser considerados como dados relativos à saúde das pessoas em causa («dados de saúde»), uma vez que revelam informações sobre a utilização de medicamentos e os problemas de saúde com ela associados. O tratamento de tais dados está sujeito às rigorosas regras de protecção de dados estabelecidas no artigo 10.o do Regulamento (CE) n.o 45/2001 e no artigo 8.o da Directiva 95/46/CE (9). A importância da protecção desses dados foi recentemente reiterada pelo Tribunal Europeu dos Direitos do Homem no contexto do artigo 8.o da Convenção Europeia dos Direitos do Homem: a protecção dos dados pessoais, em particular dos dados médicos, é de importância fundamental para o gozo dos direitos que qualquer pessoa tem à vida privada e familiar garantido pelo artigo 8.o da Convenção (10).
Apesar disso, não foi incluída qualquer referência à protecção de dados no texto actual do Regulamento (CE) n.o 726/2004 e da Directiva 2001/83/CE, com excepção de uma referência específica no regulamento, que será discutida adiante no ponto 21 e seguintes.
A Autoridade Europeia para a Protecção de Dados (AEPD) lamenta que os aspectos de protecção de dados não sejam considerados nas alterações propostas e lamenta também não ter sido formalmente consultada sobre as duas propostas de alteração como previsto no n.o 2 do artigo 28.o do Regulamento (CE) n.o 45/2001. O parecer actual baseia-se, pois, no n.o 2 do artigo 41.o do mesmo regulamento. A AEPD recomenda que no preâmbulo de ambas as propostas seja incluída uma referência ao presente parecer.
A AEPD regista que, embora a protecção de dados não seja suficientemente considerada nem no quadro jurídico actual da farmacovigilância nem nas propostas de alteração, a aplicação prática do regime central comunitário EudraVigilance levanta claramente questões nesta matéria. Assim, o actual regime EudraVigilance foi notificado pela EMEA à AEPD em Junho de 2008 para uma análise prévia com base no artigo 27.o do Regulamento (CE) n.o 45/2001.
O presente parecer e as conclusões pela AEPD relativamente à análise prévia (cuja publicação se aguarda para mais tarde neste ano) incluirão necessariamente algumas repetições. No entanto, é diferente o enfoque de ambos os documentos: enquanto o presente parecer se centra no quadro jurídico geral subjacente ao sistema, tal como decorre do Regulamento (CE) n.o 726/0224 e da Directiva 2001/83/CE e das alterações propostas a estes instrumentos, a análise prévia constitui uma análise pormenorizada da protecção de dados com enfoque na forma como as regras actuais foram desenvolvidas nos instrumentos subsequentes (p. ex. decisões e directrizes) emitidos pela EMEA ou, conjuntamente, pela Comissão e pela EMEA, e a forma como o regime EudraVigilance funciona na prática.
O presente parecer prosseguirá, em primeiro lugar, com uma explicação simplificada do sistema de farmacovigilância na UE tal como decorre do Regulamento (CE) n.o 726/2004 e da Directiva 2001/83/CE na sua forma actual. Subsequentemente, será analisada a necessidade de processar os dados pessoais no contexto da farmacovigilância. Em seguida, serão discutidas as propostas da Comissão para melhorar o quadro jurídico actual e previsto, e serão feitas recomendações sobre a forma como garantir e melhorar os padrões de protecção de dados.
II. O SISTEMA DE FARMACOVIGILÂNCIA DA UE: TRATAMENTO DE DADOS PESSOAIS E CONSIDERAÇÕES EM MATÉRIA DE PROTECÇÃO DE DADOS
Agentes envolvidos na recolha e divulgação da informação
Vários agentes estão envolvidos na recolha e divulgação da informação sobre os efeitos prejudiciais dos medicamentos na União Europeia. A nível nacional, os dois principais agentes são os Titulares de Autorização de Introdução no Mercado (companhias que estão autorizadas a introduzir medicamentos no mercado) e as Autoridades Nacionais Competentes (autoridades responsáveis pela autorização de mercado). As Autoridades Nacionais Competentes autorizam os medicamentos através de procedimentos a nível nacional, que incluem o «procedimento de reconhecimento mútuo» e o «procedimento descentralizado» (11). No que se refere aos medicamentos autorizados através do chamado «procedimento centralizado», a Comissão Europeia pode actuar também como Autoridade Competente. Outro agente importante a nível europeu é a EMEA. Uma das tarefas desta agência é assegurar a divulgação da informação sobre reacções adversas a medicamentos autorizados na Comunidade, através de uma base de dados que é a já referida base de dados EudraVigilance.
Recolha e armazenamento de base de dados pessoais a nível nacional
A Directiva 2001/83/CE menciona, em termos gerais, a responsabilidade dos Estados-Membros em manter um sistema de farmacovigilância em que são recolhidas informação úteis em matéria de vigilância dos medicamentos (artigo 102.o). Com base nos artigos 103.o e 104.o da Directiva 2001/83/CE [ver também os artigos 23.o e 24.o do Regulamento (CE) n.o 726/2004], os Titulares de Autorização de Introdução no Mercado devem ter montado o seu próprio sistema de farmacovigilância a fim de assumirem a responsabilidade pelos medicamentos que introduzem no mercado e assegurarem que as medidas adequadas sejam tomadas quando necessário. A informação é recolhida directamente dos profissionais de saúde e dos doentes. Todas as informações relevantes para o balanço risco-benefício de um medicamento têm de ser comunicadas por via electrónica pelo Titular de Autorização de Introdução no Mercado à Autoridade Competente.
A Directiva 2001/83/CE propriamente dita não é muito precisa acerca do tipo de informação sobre reacções adversas que deve ser recolhida a nível nacional, a forma como deve ser armazenada ou como deve ser comunicada. Os artigos 104.o e 106.o só se referem às «comunicações» que têm de ser elaboradas. Nas directrizes emitidas pela Comissão após consulta da EMEA, dos Estados-Membros e das partes interessadas, podem ser encontradas regras mais pormenorizadas sobre estas comunicações. Nestas directrizes sobre farmacovigilância de medicamentos para uso humano (adiante designadas por «directrizes») é feita referência às chamadas «notificações de segurança sobre casos individuais» (adiante: ICSR), que são comunicações dos efeitos prejudiciais dos medicamentos relativamente a um doente específico (12). Decorre das directrizes que um dos elementos da informação mínima exigida pelo ICSR é «um doente identificável» (13). É indicado que o doente pode ser identificado pelas iniciais, pelo número de doente, data de nascimento, peso, altura e sexo, número de registo hospitalar, informação sobre a história clínica do doente, informação sobre os progenitores do doente (14).
Ao salientar a identificabilidade do doente, o tratamento da informação faz claramente parte do âmbito das regras de protecção de dados estabelecidas na Directiva 95/46/CE. Na verdade, embora o doente não seja nomeado, é possível, juntando as diversas informações (p. ex., hospital, data de nascimento, iniciais) e em condições específicas (p. ex., em comunidades fechadas ou em terras pequenas) identificá-lo. Por conseguinte, a informação tratada no contexto da farmacovigilância deve, em princípio, ser considerada como relativa a uma pessoa física identificável na acepção da alínea a) do artigo 2.o da Directiva 95/46/CE (15). Embora isto não esteja claro nem no regulamento nem na directiva, é reconhecido na directiva quando declara que a informação deve ser tão completa quanto possível, atendendo à legislação comunitária sobre protecção de dados (16).
É preciso salientar que, apesar das directrizes, a comunicação de efeitos prejudiciais a nível nacional está longe de ser uniforme. Isto será discutido mais à frente nos pontos 24 e 25.
Base de dados EudraVigilance
A base de dados EudraVigilance, mantida pela EMEA, desempenha um papel essencial no sistema de farmacovigilância da UE. Como já foi dito, a EudraVigilance é uma rede de tratamento de dados centralizada e um sistema de gestão dos dados centralizado relativos à comunicação e avaliação de reacções adversas suspeitas tanto durante o desenvolvimento de autorizações de introdução de medicamentos no mercado como depois dessa introdução na Comunidade Europeia e nos países que fazem parte do Espaço Económico Europeu. O fundamento jurídico da base de dados EudraVigilance pode ser encontrado na alínea d) do n.o 1 do artigo 57.o do Regulamento (CE) n.o 726/2004.
A actual base de dados EudraVigilance consiste em dois compartimentos, nomeadamente: 1. a informação resultante dos ensaios clínicos (realizados antes da colocação do medicamento no mercado, ou seja, no período de préautorização), e 2. a informação proveniente da comunicação de reacções adversas (recolhidas depois, por conseguinte, no período pós-autorização). O presente parecer centra-se no período pós-autorização, uma vez que as alterações propostas dizem respeito a esta parte.
A base de dados EudraVigilance contém dados sobre doentes provenientes de ISCR. As Autoridades Nacionais Competentes enviam ISCR à EMEA [ver artigo 102.o da Directiva 2001/83/CE e artigo 22.o do Regulamento (CE) n.o 726/2004] e, em alguns casos, os Titulares de Autorização de Introdução no Mercado fazem-no também directamente [ver artigo 104.o da Directiva 2001/83/CE e artigo 24.o do Regulamento (CE) n.o 726/2004].
A ênfase do presente parecer é colocada no tratamento da informação pessoal acerca dos doentes. No entanto, é de notar que a base de dados EudraVigilance contém também informações pessoais acerca das pessoas que trabalham para a Autoridade Nacional Competente ou para os Titulares de Autorização de Introdução no Mercado quando estes comunicam as informações às bases de dados. O nome completo, o endereço, os contactos, os elementos dos documentos de identificação dessas pessoas constam do sistema. Outra categoria de informações pessoais são os dados sobre as chamadas pessoas qualificadas responsáveis pela farmacovigilância, que são nomeadas pelos Titulares de Autorização de Introdução no Mercado de acordo com o artigo 103.o da Directiva 2001/83/CE. Obviamente, os direitos e obrigações decorrentes do Regulamento (CE) n.o 45/2001 aplicam-se plenamente ao tratamento destas informações.
Acesso à base de dados EudraVigilance
A alínea d) do n.o 1 do artigo 57.o do Regulamento (CE) n.o 726/2004 determina que a base de dados deveria ser permanentemente acessível a todos os Estados-Membros. Os profissionais de saúde, os Titulares de Autorização de Introdução no Mercado e o público devem ainda dispor de níveis de acesso apropriados a esta base de dados, com a garantia da protecção dos dados de carácter pessoal. Como dito anteriormente no ponto 7, esta é a única disposição, tanto no regulamento como na Directiva 2001/83/CE, que faz referência à protecção de dados.
A alínea d) do n.o 1 do artigo 57.o conduziu ao seguinte regime de acesso. Logo que a EMEA recebe ICSR, a informação é directamente introduzida na plataforma EudraVigilance, que é plenamente acessível à EMEA, às Autoridades Nacionais Competentes e à Comissão. Depois de a informação ICSR ter sido validada (verificada quanto à autenticidade e singularidade), pela EMEA, a informação é transferida para a base de dados propriamente dita. Tanto a EMEA como as Autoridades Nacionais Competentes e a Comissão têm pleno acesso à base de dados, enquanto os Titulares de Autorização de Introdução no Mercado só têm acesso à base de dados sob determinadas condições, ou seja, acesso apenas aos dados que eles próprios comunicaram à EMEA. A informação agregada proveniente de ICSR é finalmente colocada na página web da EudraVigilance a que tem acesso o público em geral, incluindo profissionais de saúde.
Em 19 de Dezembro de 2008, a EMEA publicou um projecto de política de acesso na sua página web para consulta pública (17). O documento mostra como a EMEA tenciona aplicar a alínea d) do n.o 1 do artigo 57.o do Regulamento (CE) n.o 762/2004. A AEPD voltará a esta questão a partir do ponto 48 adiante.
Pontos fracos do actual sistema e falta de salvaguardas em matéria de protecção de dados
A Avaliação do Impacto da Comissão aponta um certo número de pontos fracos no actual regime comunitário de farmacovigilância, que é considerado complexo e pouco claro. A complicação do sistema de recolha, armazenamento e partilha de dados pelos diversos agentes a nível nacional e europeu é apresentado como uma das principais deficiências. Esta situação é ainda mais complicada pelo facto de existirem disparidades na forma como a Directiva 2001/83/CE é aplicada pelos Estados-Membros (18). Por conseguinte, tanto as Autoridades Nacionais Competentes como a EMEA são frequentemente confrontadas com comunicações de casos de reacções adversas aos medicamentos incompletas ou duplicadas (19).
Isto deve-se ao facto de, embora ser facultada uma descrição do conteúdo ICSR nas directrizes anteriormente mencionadas, é deixada ao critério dos Estados-Membros a decisão sobre a forma como estas comunicações são feitas a nível nacional. Isto inclui tanto os meios de comunicação utilizados nas comunicações dos Titulares de Autorização de Introdução no Mercado às Autoridades Nacionais Competentes como às informações efectivamente incluídas nos relatórios (não são utilizados formulários normalizados para a comunicação de informações na Europa). Além disso, algumas das Autoridades Nacionais Competentes poderão aplicar critérios de qualidade específicos à admissibilidade dos relatórios (consoante o seu conteúdo, quantidade de informação, etc.), enquanto que em outros países poderá não ser o caso. É óbvio que a abordagem utilizada a nível nacional para a comunicação de informações e a avaliação qualitativa do ICRS tem um impacto directo na forma como as informações são comunicadas à EMEA, por exemplo, na base de dados EudraVigilance.
A AEPD gostaria de salientar que as deficiências atrás apontadas não só causam inconvenientes práticos como também constituem uma considerável ameaça à protecção dos dados relativos à saúde dos cidadãos. Embora, tal como se indicou nos pontos anteriores, o tratamento dos dados relativos à saúde se realiza em várias fases do processos da operação de farmacovigilância, não existem actualmente quaisquer disposições para a protecção de tais dados. A única excepção é a referência geral à protecção de dados constante da alínea d) do n.o 1 do artigo 57.o do Regulamento (CE) n.o 726/2004, que diz respeito unicamente à última fase do tratamento de dados, nomeadamente à acessibilidade dos dados constantes da base de dados EudraVigilance. Além disso, a falta de clareza em relação aos papéis e responsabilidades dos diversos actores envolvidos no tratamento, bem como a falta de normas específicas para o tratamento propriamente dito constitui uma ameaça à confidencialidade e também à integridade e responsabilização pelos dados pessoais tratados.
Por conseguinte, AEPD quer salientar que a ausência de uma análise exaustiva da protecção de dados, reflectida no quadro jurídico que constitui a base do sistema de farmacovigilância na UE deve também ser encarada como uma deficiência do actual sistema. Esta deficiência deve ser remediada através de alterações à actual legislação.
III. FARMACOVIGILÂNCIA E NECESSIDADE DE DADOS PESSOAIS
Como ponto preliminar e geral, a AEPD pretende levantar aqui a questão de saber se o tratamento de dados relativos à saúde de pessoas físicas identificáveis é efectivamente necessário em todas as fases do sistema de farmacovigilância (tanto a nível nacional como a nível europeu).
Tal como explicado acima, no ICSR o doente não indicado pelo seu nome e, como tal, não é identificado. No entanto, o doente pode ainda ser identificável em certos casos através da combinação de vários elementos de informação constantes do ICSR. Como decorre das directrizes em certas circunstâncias, é dado um número de doente específico, que implica que o regime, na sua totalidade, permite a rastreabilidade da pessoa envolvida. No entanto, nem a directiva nem o regulamento fazem referência à rastreabilidade da pessoa como parte do objectivo do sistema de farmacovigilância.
A AEPD insta pois o legislador a esclarecer se se pretende que a rastreabilidade sirva um objectivo da farmacovigilância a vários níveis do tratamento e, mais especificamente, no âmbito da base de dados EudraVigilância.
A este respeito, é instrutiva a comparação como o regime previsto para a doação e transplantação de órgãos (20). No contexto da transplantação de órgãos, a rastreabilidade de um órgão para o dador bem como para o receptor é de importância fundamental, especialmente nos casos de eventos ou reacções adversos.
Todavia, no contexto da farmacovigilância, a AEPD não dispõe de indicações suficientes para concluir que a rastreabilidade é, efectivamente, sempre necessária. Farmacovigilância significa comunicar os efeitos prejudiciais de medicamentos que estão a ser usados, ou irão ser usados por (na maioria dos casos) um número desconhecido de pessoas. Existe portanto — pelo menos no período pós-autorização — uma relação menos automática e individual entre a informação sobre os efeitos prejudiciais e a pessoa em questão do que no caso da informação sobre os órgãos e os indivíduos envolvidos na transplantação de um órgão específico. É óbvio que os doentes que tenham utilizado um determinado medicamento e tenham comunicado os seus efeitos prejudiciais têm interesse em conhecer os resultados de qualquer avaliação subsequente. No entanto, isto não implica que a informação comunicada deva em todos os casos ser associada a essa pessoa específica através de todo o processo de farmacovigilância. Em muitos casos, deveria ser suficiente associar a informação sobre os efeitos prejudiciais com o próprio medicamento, o que permite aos agentes envolvidos, eventualmente através de profissionais de saúde, informarem os doentes em geral das consequências de tomarem ou terem tomado um determinado medicamento.
Se apesar disso é mantida a possibilidade de rastreabilidade, a AEPD gostaria de recordar a análise que fez no seu parecer sobre a proposta da Comissão para a directiva relativa a normas de qualidade e segurança dos órgãos humanos destinados a transplantação. Neste parecer, a AEPD explicou a relação entre rastreabilidade, anonimato e confidencialidade dos dados. A identificabilidade é um termo crucial na legislação sobre a protecção de dados (21). As regras da protecção de dados aplicam-se aos dados referentes a pessoas que são identificadas ou identificáveis (22). A rastreabilidade dos dados para uma pessoa específica pode ser entendida como identificabilidade. Na legislação da protecção de dados, o anonimato é o oposto de identificabilidade e, por conseguinte, de rastreabilidade. Só se for impossível identificar (ou retraçar) a pessoa com a qual os dados se relacionam, é que os dados são considerados anónimos. A noção de «anonimato» é, por conseguinte, diferente da forma como é normalmente entendida no dia-a-dia, nomeadamente que um indivíduo não pode ser identificado a partir dos dados enquanto tais, por exemplo, porque o seu nome foi retirado. Nestas circunstâncias, é costume referir a confidencialidade dos dados, significando que a informação só é (plenamente) acessível às pessoas autorizadas a ter acesso a ela. Enquanto que a rastreabilidade e o anonimato não podem coexistir, a rastreabilidade e a confidencialidade podem.
Aparte a rastreabilidade, outra justificativa para manter os doentes identificáveis durante todo o processo de farmacovigilância poderia ser o bom funcionamento do sistema. A AEPD entende que quando a informação se refere a um indivíduo identificável e, como tal, único, é fácil para as autoridades competentes (ou seja, as Autoridades Nacionais Competentes e a EMEA) acompanhar e controlar o conteúdo de um ICSR (p. ex., verificar duplicações). Embora a AEPD veja a necessidade de tal controlo, não está convencida de que, por si só, justifique manter os dados identificáveis em todas as fases do processo de farmacovigilância e, em especial, na base de dados EudraVigilance. Através de uma melhor reestruturação e coordenação do sistema de informação, por exemplo, através de um sistema descentralizado tal como adiante discutido no ponto 42 e adiante, a duplicação pode ser evitada já a nível nacional.
A AEPD reconhece que, em circunstâncias especiais, é impossível anonimizar os dados. Isto é, por exemplo, o caso de certos medicamentos usados por um número muito limitado de indivíduos. Para esses casos específicos, devem ser instauradas salvaguardas especiais para cumprir as obrigações decorrentes da legislação de protecção de dados.
Para concluir, a AEPD duvida seriamente do facto de a rastreabilidade ou a utilização de dados relativos a doentes identificáveis ser necessária em cada fase do processo de farmacovigilância. A AEPD está ciente de que pode não ser possível excluir o tratamento de dados identificáveis em cada fase, especialmente a nível nacional, quando se faz a recolha da informação sobre os efeitos prejudiciais propriamente dita. No entanto, as regras de protecção de dados exigem que o tratamento de dados relativos à saúde só seja feito quando é estritamente necessário. A utilização de dados identificáveis deve por conseguinte ser reduzida o mais possível e impedida ou suspendida quando não é considerada necessária. A AEPD insta pois o legislador a voltar a analisar a necessidade de utilizar essa informação a nível europeu, bem como a nível nacional.
Note-se que, nos casos em que existe uma real necessidade de processar dados identificáveis ou sempre que os dados não possam ser anonimizados (ver ponto 35 acima), deveriam ser exploradas as possibilidades técnicas de identificação indirecta dos titulares dos dados, por exemplo, através de mecanismos de pseudonimização (23).
A AEPD recomenda pois que se introduza no Regulamento (CE) n.o 726/2004 e na Directiva 2001/83/CE um novo artigo que determine que o disposto no Regulamento (CE) n.o 726/2004 e na Directiva 2001/83/CE não prejudicam os direitos e obrigações decorrentes das disposições do Regulamento (CE) n.o 45/2001 e da Directiva 95/46/CE, respectivamente, com especial referência ao artigo 10.o do Regulamento (CE) n.o 45/2001 e ao artigo 8.o da Directiva 95/46/CE, respectivamente. A isto deve ser aditado que os dados relativos à saúde que são identificáveis só serão processados quando estritamente necessário, e as partes envolvidas devem avaliar essa necessidade em cada uma das fases do processo de farmacovigilância.
IV. ANÁLISE PORMENORIZADA DA PROPOSTA
Embora a protecção de dados mal seja tomada em consideração nas alterações propostas, uma análise mais pormenorizada continua a ser instrutiva uma vez que demonstra que as alterações consideradas reduzem o impacto e os subsequentes riscos para a protecção de dados.
A intenção geral das duas propostas é melhorar a coerência das regras, introduzir clareza quanto às responsabilidades, simplificar o regime de comunicação da informação e reforçar a base de dados EudraVigilance (24).
Clareza quanto às responsabilidades
É óbvio que a Comissão procurou melhorar a clareza quanto às responsabilidades através da alteração das disposições em vigor, de forma a que a legislação propriamente dita seja explícita sobre quem deve fazer o quê. Certo que introduzir clareza quanto aos agentes envolvidos e às respectivas obrigações no que se refere à comunicação de efeitos prejudiciais melhora a transparência do regime e, por conseguinte, é uma evolução positiva também do ponto de vista da protecção de dados. Em termos gerais, os doentes devem poder compreender, a partir da legislação, como, quando e por quem os seus dados pessoais estão a ser tratados. No entanto, a clareza proposta em matéria de obrigações e responsabilidades deveria também ser relacionada, de um modo explícito, com as obrigações e responsabilidades decorrentes da legislação sobre a protecção de dados.
Simplificação do regime de informação
A simplificação do regime de informação deve ser alcançada através da utilização de portais informáticos de segurança dos medicamentos a nível nacional, ligados ao portal informático de segurança dos medicamentos a nível europeu [ver a recente proposta de artigo 106.o da Directiva 2001/83/CE e de artigo 26.o do Regulamento (CE) n.o 726/2004]. Os portais informáticos nacionais incluirão formulários disponibilizados ao público para comunicação de suspeitas de reacções adversas, por parte de profissionais de saúde e doentes [ver a recente proposta de n.o 3 do artigo 106.o da Directiva 2001/83/CE e de artigo 25.o do Regulamento (CE) n.o 726/2004]. Também o portal informático europeu incluirá informação sobre a forma de comunicar a informação, incluindo formulários normalizados para a comunicação da informação por via informática pelos doentes e profissionais de saúde.
A AEPD pretende salientar que, embora a utilização desses portais e formulários normalizados melhore a eficácia do regime de informação, aumenta ao mesmo tempo o risco do regime em matéria de protecção de dados. A AEPD insta o legislador a sujeitar o desenvolvimento de tal regime de informação aos requisitos da legislação em matéria de protecção de dados. Isto implica, como já foi indicado, que a necessidade de tratamento de dados pessoais deve ser correctamente avaliada relativamente a cada fase do processo. Isto deve reflectir-se na forma como a comunicação da informação é organizada a nível nacional, bem como a comunicação da informação à EMEA e à base de dados EudraVigilance. Num sentido mais lato, a AEPD recomenda vivamente que sejam desenvolvidos formulários uniformes a nível nacional, o que impediria que surgissem práticas divergentes conducentes a vários níveis de protecção de dados.
O regime proposto parece implicar que os doentes podem informar directamente a EMEA, ou talvez directamente a própria base de dados EudraVigilance. Isto significaria que, na actual aplicação da base de dados da EudraVigilance, a informação será colocada no portal EMEA que, como foi explicado atrás nos pontos 2122, é plenamente acessível à Comissão e às autoridades competentes.
Em termos gerais, a AEPD defende com vigor um regime de informação descentralizado. A comunicação para o portal informático europeu deve ser coordenado através da utilização de portais informáticos nacionais, sob a responsabilidade das Autoridades Nacionais Competentes. A comunicação indirecta pelos doentes, por exemplo, através de profissionais de saúde, (através da utilização de portais informáticos ou não) deveria também ser usada em vez da possibilidade de comunicação directa pelos doentes, especialmente para base de dados EudraVigilance.
Um sistema de comunicação da informação através de portais informáticos exige, de qualquer forma, regras estritas de segurança. A esse respeito, a AEPD gostaria de remeter para o seu parecer atrás referido sobre a proposta de directiva relativa aos cuidados de saúde transfronteiriços, especialmente a parte relativa à segurança dos dados nos Estados-Membros e à privacidade nas aplicações de saúde em linha (25). Neste parecer, a AEPD já salientou que a privacidade e a segurança deviam fazer parte da concepção e implementação de qualquer aplicação de saúde em linha («privacidade na concepção») (26). O mesmo se aplica aos portais informáticos em apreço.
A AEPD recomendaria pois que se incluísse na proposta de novos artigos 25.o e 26.o do Regulamento (CE) n.o 726/2004 e 106.o da Directiva 2001/83/CE, que tratam do desenvolvimento de um sistema de comunicação de efeitos prejudiciais através de portais informáticos, uma obrigação de incorporar medidas correctas de privacidade e segurança. Os princípios da confidencialidade, integridade, responsabilização e disponibilidade dos dados podiam também ser mencionados como os principais objectivos em matéria de segurança, que deveriam ser garantidos ao mesmo nível em todos os Estados-Membros. Pode ser ainda acrescentada a utilização de normas e meios técnicos apropriados, tal como cifragem e assinatura digital reconhecida.
Reforço da base de dados EudraVigilance: melhor acesso
O proposto artigo 24.o do Regulamento (CE) n.o 726/2004 trata da base de dados EudraVigilance. O artigo esclarece que o reforço da base de dados implica um maior uso da mesma pelas diversas partes envolvidas, em termos de dar e ter acesso à base de dados. Dois números do artigo 24.o são de particular interesse.
O n.o 2 do artigo 24.o diz respeito à acessibilidade da base de dados. Substitui a actual alínea d) do n.o 1 do artigo 57.o do Regulamento (CE) n.o 729/2004, que já foi discutida antes como sendo a única disposição que actualmente se refere à protecção de dados. A referência à protecção de dados mantém-se, mas o número de agentes a ela sujeitos é reduzido. Enquanto o actual texto indica que deverão ser dados níveis adequados de acesso à base de dados aos profissionais de saúde, aos Titulares de Autorização de Introdução no Mercado e ao público, com protecção de dados pessoais, a Comissão propõe agora transferir os Titulares de Autorização de Introdução no Mercado desta lista e darl-hes acesso «na medida do necessário para poderem cumprir as suas obrigações de farmacovigilância», sem qualquer referência à protecção de dados. As razões para isto não são claras.
O terceiro número do artigo 24.o estabelece ainda as regras de acesso ao ICSR. O acesso pode ser solicitado pelo público e será concedido no prazo de 90 dias «a menos que tal comprometa o anonimato dos sujeitos das comunicações». A AEPD apoia a ideia subjacente a esta disposição, nomeadamente que só dados anónimos podem ser disponibilizados. No entanto, a AEPD gostaria de salientar, tal como anteriormente explicado, que o anonimato deve ser entendido como a completa impossibilidade de identificar a pessoa que comunicou os efeitos prejudiciais (ver também o ponto 33).
A acessibilidade do sistema EudraVigilance deveria, em geral, voltar a ser avaliada à luz das regras de protecção de dados. Isto tem igualmente consequências directas para o projecto de política de acesso publicado pela EMEA em Dezembro de 2008, mencionado atrás no ponto 23 (27). Na medida em que a informação constante da base de dados EudraVigilance se relaciona necessariamente com pessoas físicas identificáveis, o acesso a esses dados deve ser tão restritivo quanto possível.
A AEPD recomenda pois a inclusão no proposto n.o 2 do artigo 24.o do Regulamento (CE) n.o 726/2004 de uma frase que explicite que a base de dados EudraVigilance será regulamentada em conformidade com os direitos e obrigações decorrentes da legislação comunitária em matéria de protecção de dados.
A AEPD gostaria de salientar que, uma vez tratados os dados identificáveis, a parte responsável por tal tratamento deveria cumprir todos os requisitos da legislação comunitária em matéria de protecção de dados. Isto implica, nomeadamente, que a pessoa em causa é bem informada do destino que será dado aos seus dados e quem os tratará, além de qualquer outra informação adicional requerida com base no artigo 11.o do Regulamento (CE) n.o 45/2001 e/ou no artigo 10.o da Directiva 95/46/CE. A pessoa em questão deverá além disso poder invocar o seu direito de acesso [artigo 12.o da Directiva 95/46/CE e artigo 13.o do Regulamento (CE) n.o 45/2001], o direito a levantar objecções [artigo 18.o do Regulamento (CE) n.o 45/2001 e artigo 14.o da Directiva 95/46/CE], etc.
A AEPD recomendaria pois que fosse aditado ao proposto artigo 101.o da Directiva 2001/83/CE um número que explicitasse que, em caso de tratamento de dados pessoais, o indivíduo deve do facto ser correctamente informado em conformidade com o artigo 10.o da Directiva 95/46/CE.
A questão do acesso à informação que diz respeito ao próprio, constante da base de dados EudraVigilance não é tratada na legislação actual e proposta. Importa salientar que, nos casos em que é considerado necessário manter dados pessoais na base de dados, como acabámos de dizer, o doente em questão deveria poder invocar o seu direito a aceder aos seus próprios dados em conformidade com o artigo 13.o do Regulamento (CE) n.o 45/2001. A AEPD poderia pois recomendar o aditamento de um número ao proposto artigo 24.o explicitando que serão tomadas medidas que garantam que os titulares dos dados podem exercer o seu direito de acesso aos dados pessoais que lhe dizem respeito, nos termos do artigo 13.o do Regulamento (CE) n.o 45/2001.
V. CONCLUSÃO E RECOMENDAÇÕES
A AEPD é de opinião que a falta de uma correcta avaliação das implicações em matéria de protecção de dados na farmacovigilância constitui uma das deficiências do actual quadro jurídico constituído pelo Regulamento (CE) n.o 726/2004 e pela Directiva 2001/83/CE. A actual alteração a este regulamento e a esta directiva deve ser vista como uma oportunidade para introduzir a protecção de dados como um elemento importante e de pleno direito na farmacovigilância.
Uma questão geral que deve ser tratada é a verdadeira necessidade de tratamento de dados pessoais relativos à saúde em todas as fases do processo de farmacovigilância. Como já foi dito neste parecer, a AEPD duvida seriamente desta necessidade e insta o legislador a voltar a avaliá-la nos diversos níveis do processo. É muito claro que o objectivo da farmacovigilância pode, em muitos casos, ser alcançado através da partilha de informações sobre os efeitos prejudiciais de uma forma anónima na acepção da legislação da protecção de dados. A duplicação da comunicação de informações pode ser evitada através de procedimentos de comunicação de dados bem estruturados já a nível nacional.
As alterações propostas têm por objectivo um regime de comunicação da informação simplificado e um reforço da base de dados EudraVigilance. A AEPD explicou que estas alterações conduzem a maiores riscos para a protecção de dados, especialmente quando envolvem a comunicação directa de informações pelos doentes para a EMEA ou para a base de dados EudraVigilance. Neste contexto, a AEPD defende vivamente um regime de comunicação de informação indirecta descentralizado segundo o qual a comunicação para o portal informático europeu é coordenado através da utilização dos portais informáticos nacionais. A AEPD sublinha ainda que a privacidade e a segurança devem fazer parte da concepção e da implementação de um regime de comunicação da informação através da utilização de portais informáticos («privacidade na concepção»).
A AEPD salienta ainda que, uma vez que os dados relativos à saúde de pessoas físicas identificadas ou identificáveis são tratados, a pessoa responsável pelo tratamento deve cumprir os requisitos da legislação comunitária em matéria de protecção de dados.
Mais especificamente, a AEPD recomenda:
A inclusão de uma referência a este parecer no preâmbulo de ambas as propostas;
A inclusão, tanto no Regulamento (CE) n.o 726/2004 quanto na Directiva 2001/83/CE, de um considerando que explicite a importância da protecção de dados no contexto da farmacovigilância, com referências à relevante legislação comunitária;
a inclusão, tanto no Regulamento (CE) n.o 726/2004 quanto na Directiva 2001/83/CE, de um novo artigo de carácter geral que explicite que:
as disposições do Regulamento (CE) n.o 726/2004 e da Directiva 2001/83/CE não prejudicam os direitos e obrigações decorrentes das disposições do Regulamento (CE) n.o 45/2001 e da Directiva 95/46/CE, com especial referência ao artigo 10.o do Regulamento (CE) n.o 45/2001 e ao artigo 8.o da Directiva 95/46/CE,
os dados relativos à saúde identificáveis só podem ser objecto de tratamento quando estritamente necessário, e as partes envolvidas devem avaliar a sua necessidade em cada uma das fases do processo de farmacovigilância;
A inclusão no proposto n.o 2 do artigo 24.o do Regulamento (CE) n.o 726/2004 de uma frase que explicite que a acessibilidade da base de dados EudraVigilance deve ser regulamentada em conformidade com os direitos e obrigações decorrentes da legislação comunitária em matéria de protecção de dados;
O aditamento ao proposto artigo 24.o de um número que explicite que serão instauradas medidas para assegurar que os titulares dos dados podem exercer o seu direito de acesso aos dados pessoais que lhes dizem respeito, como previsto no artigo 13.o do Regulamento (CE) n.o 45/2001;
O aditamento ao proposto artigo 101.o da Directiva 2001/83/CE de um número que explicite que, em caso de tratamento de dados pessoais, a pessoa seja do facto informada nos termos do artigo 10.o da Directiva 95/46/CE;
A inclusão nos propostos artigos 25.o e 26.o do Regulamento (CE) n.o 726/2004 e no artigo 106.o da Directiva 2001/83/CE, que tratam do desenvolvimento de um regime de comunicação de efeitos prejudiciais através de portais informáticos, uma obrigação de incorporar medidas correctas de privacidade e segurança ao mesmo nível em todos os Estados-Membros, tomando em consideração os princípios básicos da confidencialidade, integridade, responsabilização e disponibilidade dos dados.
Feito em Bruxelas, em 22 de Abril de 2009.
Autoridade Europeia para a Protecção dos Dados
(3) COM(2008) 664 final e COM(2008) 665 final.
(4) JO L 136 de 30.4.2004, p. 1.
(5) JO L 311 de 28.11.2001, p. 67.
(6) Ver a Exposição de Motivos de ambas as propostas, na página 3.
(7) JO 22 de 9.2.1965, p. 369.
(8) Ver as Exposições dos Motivos, p. 2.
(9) Ver definição dos dados relativos à saúde constante do parecer da AEPD, de 2 de Dezembro de 2008, sobre a proposta de directiva relativa à aplicação dos direitos dos doentes em matéria de cuidados de saúde transfronteiriços, pontos 15-17, disponível em http://www.edps.europa.eu
(10) Ver CEDH, de 17 de Julho de 2008, Finlândia (pedido n.o 20511/03), ponto 38 e CEDH, de 25 de Novembro de 2008, Armonas v. Lituânia (pedido n.o 36919/02), ponto 40.
(11) Ver a Avaliação do Impacto, p. 10.
(12) Ver volume 9A das regras que regem os produtos farmacêuticos na União Europeia: directrizes sobre farmacovigilância de medicamentos para uso humano, que se encontram em http://ec.europa.eu/enterprise/pharmaceuticals/eudralex/vol-9/pdf/vol9a_09-2008.pdf
(13) Ver directrizes, p. 57.
(14) Ver a nota de rodapé 13.
(15) A alínea a) do artigo 2.o da Directiva 95/46/CE define «dados pessoais» como «qualquer informação relacionada com uma pessoa física (“titular do dado”); é considerado identificável todo aquele que possa ser identificado, directa ou indirectamente, nomeadamente por referência a um número de identificação ou a um ou mais elementos específicos da sua identidade física, fisiológica, psíquica, económica, cultural ou social.» O considerando 26 especifica ainda: «... que, para determinar se uma pessoa é identificável, importa considerar o conjunto dos meios susceptíveis de serem razoavelmente utilizados, quer pelo responsável pelo tratamento dos dados quer por qualquer outra pessoa, para identificar a referida pessoa». Para uma análise mais aprofundada, ver o parecer 4/2007 do Comité do artigo 29.o sobre o conceito de dados pessoais (documento WP 136), adoptado em 20 de Junho de 2007 e disponível em http://ec.europa.eu/justice_home/fsj/privacy/index_en.htm Isto é igualmente relevante para o Regulamento (CE) n.o 45/2001.
(16) Ver a nota de rodapé 13.
(17) Ver projecto de política de acesso aos medicamentos para uso humano, de 19 de Dezembro de 2008, em http://ec.europa.eu/enterprisepharmaceuticals/eudralex/vol9/pdf/vol9a_092008.pdf
(18) Ver Avaliação do Impacto, p. 17.
(19) Ver a nota de rodapé 18.
(20) Ver proposta da Comissão para a Directiva do Parlamento Europeu e do Conselho relativa a normas de qualidade e segurança dos órgãos humanos destinados a transplantação, COM(2008) 818 final. Ver parecer da AEPD, de 5 de Março de 2009, em http://www.edps.europa.eu
(21) Ver parecer da AEPD, pontos 11-28.
(22) Ver alínea a) do artigo 2.o da Directiva 95/46/CE e do Regulamento (CE) n.o 45/2001 e explicação constante da nota de rodapé 13.
(23) A pseudonimização é um processo que pode ser utilizado para disfarçar a identidade do titular dos dados, mantendo simultaneamente a rastreabilidade dos dados. Existem diversas possibilidades técnicas, por exemplo, a conservação, em segurança, de listas entre as identidades verdadeiras e os pseudónimos, a utilização de algoritmos criptográficos biunívocos, etc.
(24) Ver Exposição dos Motivos, p. 2-3.
(25) Ver parecer da AEPD referido na nota de rodapé 7 sobre a proposta de directiva relativa aos direitos dos doentes em matéria de cuidados de saúde transfronteiriços, pontos 32-34.
(26) Ver ponto 32 do parecer.
(27) Ver também a nota de rodapé 15.
Taxas de câmbio do euro (1)
yuan-renminbi chinês
(1) Fonte: Taxas de câmbio de referência publicadas pelo Banco Central Europeu.
A publicação da lista de pontos de passagem de fronteira referidos no n.o 8 do artigo 2.o do Regulamento (CE) n.o 562/2006 do Parlamento Europeu e do Conselho, de 15 de Março de 2006, que estabelece o código comunitário relativo ao regime de passagem de pessoas nas fronteiras (Código das Fronteiras Schengen), baseia-se nas informações comunicadas pelos Estados-Membros à Comissão nos termos do artigo 34.o do Código das Fronteiras Schengen.
Além da publicação no Jornal Oficial, é feita uma actualização mensal no sítio Web da Direcção-Geral da Justiça, Liberdade e Segurança.
Substituição da lista publicada no JO C 316 de 28.12.2007, p. 1.
HUNGRIA–CROÁCIA
Drávaszabolcs (rio, a pedido) (1)
Gyékényes–Koprivnica (caminho-de-ferro)
Letenye–Goričan II (via rápida)
Magyarboly–Beli Manastir (caminho-de-ferro)
Mohács (rio)
Murakeresztúr–Kotoriba (caminho-de-ferro)
HUNGRIA–SÉRVIA
Kelebia–Subotica (caminho-de-ferro)
Röszke–Horgoš (via rápida)
Röszke–Horgoš (caminho-de-ferro)
Szeged (rio) (2)
HUNGRIA–ROMÉNIA
Ágerdőmajor (Tiborszállás)–Carei (caminho-de-ferro)
Biharkeresztes–Episcopia Bihorului (caminho-de-ferro)
Kötegyán–Salonta (caminho-de-ferro)
Lőkösháza–Curtici (caminho-de-ferro)
Nyírábrány–Valea Lui Mihai (caminho-de-ferro)
HUNGRIA–UCRÂNIA
Eperjeske–Salovka (caminho-de-ferro)
Záhony–Čop (caminho-de-ferro)
Fronteiras aéreas
Budapeste Nemzetközi Repülőtér
Aeródromos (funcionam apenas a pedido):
(2) Ver nota (*).
(4) Ver nota (*).
Na sequência de um pedido apresentado pela empresa JSC Kirovo-Chepetsky Khimichesky Kombinat, o Tribunal de Primeira Instância das Comunidades Europeias, pelo acórdão de 10 de Setembro de 2008 no processo T-348/05, anulou o Regulamento (CE) n.o 945/2005 (1) do Conselho, de 21 de Junho de 2005, que altera 1) o Regulamento (CE) n.o 658/2002 (2) que cria um direito anti-dumping definitivo sobre as importações de nitrato de amónio originário da Rússia, bem como 2) o Regulamento (CE) n.o 132/2001 (3) que cria um direito anti-dumping definitivo sobre as importações de nitrato de amónio originárias, nomeadamente, da Ucrânia. Na sequência de um pedido de interpretação, o Tribunal de Primeira Instância declarou ainda, através do seu acórdão de 9 de Julho de 2009, que o dispositivo do acórdão de 10 de Setembro de 2008 deve ser interpretado no sentido de que o Regulamento (CE) n.o 945/2005, de 21 de Junho de 2005, é anulado no que diz respeito à empresa JSC Kirovo-Chepetsky Khimichesky Kombinat.
Consequentemente, os direitos anti-dumping definitivos pagos pela empresa JSC Kirovo-Chepetsky Khimichesky Kombinat sobre as importações de nitrato de amónio na Comunidade Europeia, nos termos do Regulamento (CE) n.o 658/2002 do Conselho, com excepção dos cobrados aquando da importação de nitrato de amónio actualmente classificado nos códigos NC 3102 30 90 e 3102 40 90, deverão ser objecto de reembolso ou dispensa de pagamento. O reembolso ou a dispensa de pagamento devem ser solicitados às autoridades aduaneiras nacionais em conformidade com a legislação aduaneira aplicável.
(1) JO L 160 de 23.6.2005, p. 1.
(2) JO L 102 de 18.4.2002, p. 1.
(3) JO L 23 de 25.1.2001, p. 1.