Source: http://docplayer.com.br/666851-Grupo-de-trabalho-para-a-protecao-de-dados-instituido-pelo-artigo-29-o.html
Timestamp: 2018-04-22 03:31:41+00:00
Document Index: 98833860

Matched Legal Cases: ['ARTIGO 29', 'ARTIGO 29', 'ARTIGO 29', 'ARTIGO 29', 'artigo 29', 'artigo 30', 'artigo 15', 'Artigo 29', 'artigo 29', 'artigo 8', 'artigo 10', 'artigo 4', 'artigo 29', 'artigo 2', 'artigo 4', 'artigo 4', 'artigo 4', 'artigo 29', 'artigo 17', 'artigo 29', 'artigo 26', 'artigo 10', 'artigo 11', 'artigo 6', 'artigo 6', 'artigo 17', 'artigo 17', 'artigo 17', 'artigo 8', 'artigo 6']

GRUPO DE TRABALHO PARA A PROTEÇÃO DE DADOS INSTITUÍDO PELO ARTIGO 29.º - PDF
GRUPO DE TRABALHO PARA A PROTEÇÃO DE DADOS INSTITUÍDO PELO ARTIGO 29.º
Download "GRUPO DE TRABALHO PARA A PROTEÇÃO DE DADOS INSTITUÍDO PELO ARTIGO 29.º"
Stefany Cabral Silveira
1 GRUPO DE TRABALHO PARA A PROTEÇÃO DE DADOS INSTITUÍDO PELO ARTIGO 29.º 01037/12/PT GT 196 Parecer 05/2012 relativo a computação em nuvem Adotado em 1 de julho de 2012 Este grupo de trabalho foi instituído ao abrigo do artigo 29.º da Diretiva 95/46/CE. É um organismo europeu consultivo independente para a proteção dos dados e da privacidade. As suas funções estão descritas no artigo 30.º da Diretiva 95/46/CE e no artigo 15.º da Diretiva 2002/58/CE. O secretariado é garantido pela Direção C (Direitos Fundamentais e Cidadania da União) da Comissão Europeia, Direção- Geral Justiça, B-1049 Bruxelas, Bélgica, Gabinete MO-59 02/013. Sítio Web: 1
2 Resumo No presente parecer, o Grupo de Trabalho instituído ao abrigo do Artigo 29.º analisa todas as questões relevantes relativas aos prestadores de serviços de computação em nuvem que desenvolvem atividades no Espaço Económico Europeu (EEE) e aos seus clientes, especificando todos os princípios aplicáveis da Diretiva Proteção de Dados (95/46/CE) e da Diretiva Privacidade das Comunicações Eletrónicas (2002/58/CE) (com a redação que lhe foi dada pela Diretiva 2009/136/CE) da UE sempre que relevante. Apesar das vantagens reconhecidas da computação em nuvem (cloud computing), tanto em termos económicos como societais, o presente parecer descreve o modo como a implantação em grande escala de serviços de computação em nuvem pode desencadear uma série de riscos no que diz respeito à proteção de dados, nomeadamente uma falta de controlo sobre os dados pessoais, bem como informação insuficiente sobre como, quando e por quem estão os dados a ser objeto de tratamento/subtratamento. Estes riscos devem ser cuidadosamente avaliados pelos organismos públicos e empresas privadas quando estudam a hipótese de contratar um prestador de serviços de computação em nuvem. O presente parecer examina as questões associadas à partilha de recursos com outras partes, à falta de transparência de uma cadeia de externalização constituída por múltiplos subcontratantes e subcontratantes ulteriores, à inexistência de um enquadramento comum global em matéria de portabilidade dos dados e à incerteza quanto à admissibilidade da transferência de dados pessoais para prestadores de serviços de computação em nuvem estabelecidos fora do EEE. Do mesmo modo, no presente parecer é salientada, como uma grande preocupação, a falta de transparência em termos das informações que um responsável pelo tratamento de dados é capaz de fornecer à pessoa em causa sobre o modo como os seus dados pessoais são tratados. As pessoas em causa devem 1 ser informadas sobre quem procede ao tratamento dos seus dados e para que finalidades de modo a terem a possibilidade de exercer os seus direitos nesta matéria. Uma conclusão fundamental do presente parecer é que as empresas e as administrações que desejem utilizar a computação em nuvem devem proceder, numa primeira fase, a uma análise dos riscos aprofundada e abrangente. Todos os prestadores de serviços de computação em nuvem que oferecem os seus serviços no EEE devem facultar aos seus clientes todas as informações necessárias para avaliar corretamente as vantagens e desvantagens da contratação de um tal serviço. A segurança, a transparência e a segurança jurídica para os clientes devem ser fatores fundamentais subjacentes à oferta de serviços de computação em nuvem. No que diz respeito às recomendações constantes do presente parecer, salientam-se as responsabilidades do cliente de um serviço de computação em nuvem enquanto responsável pelo tratamento de dados, pelo que se recomenda que o cliente selecione um prestador de serviços de computação em nuvem que garanta o cumprimento da legislação da UE em matéria de proteção de dados. O presente parecer aborda a questão da adequação das cláusulas contratuais de salvaguarda estabelecendo o requisito de que 1 As palavras-chave «DEVE», «NÃO DEVE», «OBRIGATÓRIO», «DEVERÁ», «NÃO DEVERÁ», «DEVERIA», «NÃO DEVERIA», «RECOMENDADO», «PODE» e «FACULTATIVO» devem ser interpretadas tal como descritas no Pedido de Observações RFC O documento está disponível no seguinte endereço No entanto, por uma questão de legibilidade, estas palavras não são todas apresentadas em maiúsculas nesta especificação. 2
3 qualquer contrato celebrado entre o cliente e prestador de serviços de computação em nuvem deve proporcionar garantias suficientes em termos de medidas técnicas e organizativas. Também importante é a recomendação de que o cliente de um serviço de computação em nuvem verifique se o prestador do serviço pode garantir a licitude de todas as transferências internacionais de dados. Como qualquer processo evolutivo, a ascensão da computação em nuvem como um paradigma tecnológico mundial constitui um desafio. O presente parecer, na sua forma atual, pode ser considerado um passo importante na definição das tarefas a assumir nesta matéria pela comunidade responsável pela proteção de dados nos próximos anos. 3
4 Índice Resumo Introdução Riscos em matéria de proteção de dados decorrentes da computação em nuvem Quadro jurídico Quadro relativo à proteção de dados Direito aplicável Deveres e responsabilidades dos diferentes intervenientes Cliente do serviço de computação em nuvem e prestador do serviço de computação em nuvem Subcontratantes Requisitos em matéria de proteção de dados na relação entre o cliente e o prestador de serviços Cumprimento dos princípios básicos Transparência Especificação e limitação da finalidade Salvaguardas contratuais da(s) relação(ões) entre o «responsável pelo tratamento» e o «subcontratante» Medidas técnicas e organizativas relativas à proteção e segurança dos dados Disponibilidade Integridade Confidencialidade Transparência Isolamento (limitação da finalidade) Capacidade de intervenção Portabilidade Responsabilidade Transferências internacionais Porto seguro e países adequados Isenções Cláusulas contratuais-tipo Regras vinculativas para empresas (BCR): para uma abordagem global Conclusões e recomendações Orientações destinadas aos clientes e prestadores de serviços de computação em nuvem Certificações da proteção de dados por terceiros Recomendações: Evolução futura ANEXO a) Modelos de implantação b) Modelos de prestação de serviços
5 1. Introdução Para alguns, a computação em nuvem constitui uma das maiores revoluções tecnológicas dos últimos tempos. Para outros, é apenas a evolução natural de um conjunto de tecnologias que visa realizar o grande sonho que é a computação de utilidade pública. Em qualquer caso, um grande número de partes interessadas deu importância à computação em nuvem no desenvolvimento das suas estratégias tecnológicas. A computação em nuvem consiste num conjunto de tecnologias e modelos de serviços centrados na utilização e fornecimento via Internet de aplicações informáticas, de capacidade de tratamento e armazenamento e de espaço de memória. A computação em nuvem pode gerar importantes benefícios económicos, uma vez que os recursos a pedido podem ser com bastante facilidade configurados, alargados e acedidos via Internet. Para além dos benefícios económicos, a computação em nuvem pode também ter vantagens em termos de segurança, uma vez que as empresas, em especial as pequenas e médias empresas, podem adquirir, a um custo marginal, tecnologias de primeira classe que de outra forma poderiam estar fora do seu orçamento. Há uma vasta gama de serviços oferecidos pelos prestadores de serviços de computação em nuvem, desde sistemas de tratamento virtual (que substituem e/ou funcionam em paralelo com os servidores convencionais sob o controlo direto do responsável pelo tratamento dos dados), passando por serviços de apoio ao desenvolvimento de aplicações e serviços avançados de alojamento, até soluções de software com base na web que podem substituir aplicações instaladas de forma convencional nos computadores pessoais dos utilizadores finais. Estes incluem aplicações de processamento de texto, agendas e calendários, sistemas de arquivo para armazenamento de documentos em linha e soluções de correio eletrónico externalizadas. Algumas das definições mais frequentemente utilizadas para estes diferentes tipos de serviços constam do anexo ao presente parecer. No presente parecer, o Grupo de Trabalho criado ao abrigo do artigo 29.º (a seguir designado GT 29) analisa o direito e as obrigações aplicáveis aos responsáveis pelo tratamento de dados no Espaço Económico Europeu (a seguir designado EEE) e aos prestadores de serviços de computação em nuvem que tenham clientes no EEE. O presente parecer incide na situação em que se presume que a relação se processa entre um responsável pelo tratamento de dados e um subcontratante, em que o cliente atua na qualidade de responsável pelo tratamento dos dados e o prestador de serviços de computação em nuvem atua na qualidade de subcontratante. Nos casos em que o prestador de serviços de computação em nuvem atua também na qualidade de responsável pelo tratamento de dados, é necessário que satisfaça requisitos adicionais. Em consequência, uma condição prévia para utilizar modalidades de computação em nuvem é que o responsável pelo tratamento dos dados proceda a uma avaliação dos riscos adequada, incluindo a localização dos servidores onde os dados são tratados e a análise dos riscos e benefícios de um ponto de vista da proteção dos dados, em conformidade com os critérios definidos nos parágrafos infra. O presente parecer especifica os princípios aplicáveis tanto aos responsáveis pelo tratamento de dados como aos subcontratantes constantes da Diretiva 95/46/CE (Diretiva Geral sobre Proteção de Dados), tais como a especificação e limitação da finalidade, o apagamento de dados e as medidas técnicas e organizativas. O parecer formula orientações sobre os requisitos em matéria de segurança como uma salvaguarda simultaneamente de caráter estrutural e processual. É dado especial destaque às modalidades contratuais que devem reger a relação entre um responsável pelo tratamento de dados e um subcontratante neste contexto. Os 5
6 objetivos clássicos relativos à segurança dos dados são a disponibilidade, a integridade e a confidencialidade. No entanto, a questão de proteção dos dados não se limita à segurança dos mesmos, pelo que estas metas são complementadas com metas específicas de proteção dos dados no que diz respeito à transparência, isolamento, capacidade de intervenção e portabilidade, a fim de garantir o respeito do direito à proteção dos dados pessoais conforme consagrado no artigo 8.º da Carta dos Direitos Fundamentais da UE. No que se refere às transferências de dados pessoais para fora do EEE, são analisados instrumentos como as cláusulas contratuais-tipo adotadas pela Comissão Europeia, a fundamentação da adequação e possíveis futuras regras vinculativas para empresas (Binding Corporate Rules - BCR) aplicáveis aos subcontratantes, bem como os riscos relativos à proteção de dados decorrentes de pedidos de controlo do cumprimento da legislação ao abrigo do direito internacional. O presente parecer encerra com recomendações dirigidas aos clientes de serviços de computação em nuvem na qualidade de responsáveis pelo tratamento de dados, aos prestadores de serviços de computação em nuvem na qualidade de subcontratantes e à Comissão Europeia no que se refere a futuras alterações ao quadro europeu em matéria de proteção de dados. O Grupo de Trabalho Internacional relativo à Proteção de Dados nas Telecomunicações (Grupo de Berlim) adotou o Memorando Sopot 2 em abril de O referido memorando analisa as questões relativas à proteção dos dados e da vida privada no contexto da computação em nuvem e salienta que a respetiva utilização não deve resultar numa redução dos níveis de proteção dos dados em comparação com o tratamento tradicional de dados. 2. Riscos em matéria de proteção de dados decorrentes da computação em nuvem Uma vez que o presente parecer incide nas operações de tratamento de dados que utilizam serviços de computação em nuvem, apenas são considerados os riscos neste contexto 3. A maioria destes riscos inscreve-se em duas categorias gerais de riscos, nomeadamente a falta de controlo sobre os dados e a insuficiência de informação sobre as operações de tratamento em si mesmas (ausência de transparência). Entre os riscos específicos decorrentes da computação em nuvem considerados no presente parecer incluem-se: Falta de controlo Ao confiar dados pessoais aos sistemas geridos por um prestador de serviços de computação em nuvem, os respetivos clientes perdem o controlo exclusivo desses dados e não podem implementar as medidas técnicas e organizativas necessárias para assegurar a disponibilidade, integridade, confidencialidade, transparência, isolamento 4, capacidade de intervenção e portabilidade dos dados. Esta falta de controlo pode manifestar-se da seguinte forma: Para além dos riscos associados aos dados pessoais tratados no âmbito da computação em nuvem explicitamente mencionados no presente parecer, devem também ser tidos em consideração todos os riscos relacionados com a externalização do tratamento de dados pessoais. Na Alemanha, foi introduzido o conceito mais lato de «inviabilidade de ligação» (unlinkability). Ver nota de pé de página 24 infra. 6
7 o Falta de disponibilidade devido à falta de interoperabilidade (dependência em relação a um único fornecedor): Se o prestador de serviços de computação em nuvem dispõe de uma tecnologia patenteada, o cliente desse serviço poderá ter dificuldade na transferência de dados e documentos entre diferentes sistemas baseados em serviços de computação em nuvem (portabilidade dos dados) ou no intercâmbio de informações com entidades que utilizam serviços de computação em nuvem geridos por diferentes fornecedores (interoperabilidade). o Falta de integridade decorrente da partilha de recursos: Um serviço de computação em nuvem é composto por infraestruturas e sistemas partilhados. Os prestadores de serviços de computação em nuvem procedem ao tratamento dos dados pessoais provenientes de uma vasta gama de fontes em termos de organizações e pessoas em causa, pelo que há a possibilidade de surgirem conflitos de interesses e/ou objetivos diferentes. o Falta de confidencialidade em termos de pedidos de controlo da aplicação da legislação diretamente a um prestador de serviços de computação em nuvem: Os dados pessoais em tratamento no âmbito de serviços de computação em nuvem podem ser objeto de pedidos de controlo da aplicação da legislação provenientes de autoridades encarregadas de aplicar a lei dos Estados-Membros da UE e de países terceiros. Existe o risco de os dados pessoais poderem ser divulgados a autoridades encarregadas de aplicar a lei (estrangeiras) sem uma base jurídica válida na UE e, por conseguinte, de uma violação da legislação da UE em matéria de proteção dos dados. o Falta de capacidade de intervenção devido à complexidade e dinâmica da cadeia de externalização: O serviço de computação em nuvem oferecido por um fornecedor poderia ser prestado com uma combinação de serviços entre uma série de outros fornecedores, que podem ser dinamicamente incluídos ou excluídos durante a vigência do contrato com o cliente. o Falta de capacidade de intervenção (direitos das pessoas em causa): Um prestador de serviços de computação em nuvem pode não proporcionar as medidas e ferramentas necessárias para assistir o responsável pelo tratamento de dados na gestão dos mesmos em termos, por exemplo, de acesso, apagamento ou correção dos dados. o Falta de isolamento: O prestador de serviços de computação em nuvem pode utilizar o seu controlo físico sobre os dados de diferentes clientes para estabelecer ligações entre dados pessoais. Se dispuserem de direitos de acesso privilegiado suficientes (perfis de alto risco), os administradores poderiam estabelecer ligações entre informações de diferentes clientes. Falta de informação sobre o tratamento dos dados (transparência) A insuficiência de informações sobre as operações de tratamento do prestador de serviços de computação em nuvem comporta riscos para os responsáveis pelo tratamento de dados, bem como para as pessoas em causa, uma vez que estes podem não estar conscientes de potenciais ameaças e riscos, não podendo, por conseguinte, tomar as medidas que considerem adequadas. Algumas potenciais ameaças podem decorrer do facto de o responsável pelo tratamento de dados não saber que: o Está em curso um tratamento em cadeia que envolve múltiplos subcontratantes e subcontratantes ulteriores. 7
8 o Os dados pessoais são tratados em locais geográficos diferentes no interior do EEE. Este facto tem repercussões diretas no direito aplicável a quaisquer litígios em matéria de proteção de dados que possam surgir entre o utilizador e o prestador do serviço. o Os dados pessoais são transferidos para países terceiros fora do EEE. Os países terceiros podem não proporcionar um nível adequado de proteção dos dados e as transferências podem não estar salvaguardadas por medidas adequadas (por exemplo, cláusulas contratuais-tipo ou regras vinculativas para empresas), pelo que podem ser ilícitas. Um requisito em vigor é que as pessoas em causa cujos dados pessoais são tratados no âmbito da computação em nuvem sejam informadas da identidade do responsável pelo tratamento dos dados e da finalidade desse tratamento (um requisito em vigor aplicável a todos os responsáveis pelo tratamento de dados ao abrigo da Diretiva Proteção dos Dados (95/46/CE)). Tendo em conta a potencial complexidade das cadeias de tratamento de dados num ambiente de computação em nuvem, e com vista a garantir um tratamento leal dos dados no respeito dos direitos da pessoa em causa (artigo 10. da Diretiva 95/46/CE), os responsáveis pelo tratamento de dados devem também, por uma questão de boas práticas, facultar informações complementares sobre os subcontratantes (ou subcontratantes ulteriores) que prestam os serviços de computação em nuvem. 3. Quadro jurídico 3.1 Quadro relativo à proteção de dados O quadro jurídico relevante é a Diretiva Proteção de Dados (95/46/CE). A referida diretiva aplica-se em todos os casos em que são tratados dados pessoais em resultado da utilização de serviços de computação em nuvem. A Diretiva Privacidade das Comunicações Eletrónicas (2002/58/CE) (com a redação que lhe foi dada pela Diretiva 2009/136/CE) é aplicável ao tratamento de dados pessoais no contexto da prestação de serviços de comunicações eletrónicas publicamente disponíveis em redes de comunicações públicas (operadores de telecomunicações) e, por conseguinte, é relevante se tais serviços forem prestados numa modalidade de computação em nuvem Direito aplicável Os critérios relativos à aplicabilidade da legislação constam do artigo 4. da Diretiva 95/46/CE que se refere ao direito aplicável aos responsáveis pelo tratamento 6 com um ou mais estabelecimentos no território do EEE e também ao direito aplicável aos responsáveis pelo tratamento estabelecidos fora do EEE mas que utilizam equipamentos localizados no EEE para o tratamento de dados pessoais. O Grupo de Trabalho instituído pelo artigo 29.º analisou esta questão no seu Parecer 8/2010 sobre a lei aplicável Diretiva Privacidade e Comunicações Eletrónicas (2002/58/CE) (com a redação que lhe foi dada pela Diretiva 2009/136/CE): A Diretiva 2002/58/CE relativa à privacidade nas telecomunicações é aplicável aos prestadores de serviços de comunicações eletrónicas acessíveis ao público e exige que estes assegurem o cumprimento das obrigações relativas ao sigilo das comunicações e à proteção dos dados pessoais, bem como os direitos e obrigações em matéria de redes e serviços de comunicações eletrónicas. Nos casos em que atuem na qualidade de prestadores de um serviço de comunicações eletrónicas disponível ao público, os prestadores de serviços de computação em nuvem estão sujeitos a esta diretiva. O conceito de responsável pelo tratamento está definido no artigo 2.º, alínea h), da diretiva e foi analisado pelo GT 29 no seu Parecer 1/2010 sobre os conceitos de «responsável pelo tratamento» e «subcontratante». 8
9 No primeiro caso, o fator que determina a aplicação da legislação da UE ao responsável pelo tratamento de dados é o seu local de estabelecimento e as atividades que desenvolve, em conformidade com o disposto no artigo 4.º, n.º 1, alínea a), da diretiva, sendo o tipo de serviço de computação em nuvem irrelevante. A legislação aplicável é o direito do país em que está estabelecido o responsável pelo tratamento de dados que contrata os serviços de computação em nuvem e não o do local em que os respetivos prestadores de serviços estão localizados. Caso o responsável pelo tratamento dos dados esteja estabelecido em vários Estados- Membros e proceda ao tratamento dos dados como parte das suas atividades nesses países, o direito aplicável deve ser o de cada um dos Estados-Membros em que é efetuado esse tratamento. O artigo 4.º, n.º 1, alínea c) 8, refere-se ao modo como a legislação em matéria de proteção de dados é aplicável aos responsáveis pelo tratamento de dados não estabelecidos no território do EEE mas que utilizam equipamentos automatizados ou não automatizados localizados no território do Estado-Membro, exceto quando estes são utilizados apenas para fins de trânsito. Isso significa que, se o cliente de um serviço de computação em nuvem estiver estabelecido fora do EEE, mas contratar um prestador de serviços estabelecido no EEE, então o prestador de serviços «exporta» a legislação em matéria de proteção de dados para o seu cliente. 3.3 Deveres e responsabilidades dos diferentes intervenientes Conforme anteriormente referido, a computação em nuvem envolve uma grande variedade de intervenientes. É importante avaliar e clarificar o papel de cada um desses intervenientes a fim de estabelecer as suas obrigações específicas face à legislação em vigor em matéria de proteção de dados. Recorda-se que o GT 29 salientou, no seu Parecer 1/2010 relativo aos conceitos de «responsável pelo tratamento» e de «subcontratante», «que a principal e primeira função no conceito de responsável pelo tratamento é, antes de mais, determinar quem será o responsável pelo cumprimento das normas sobre proteção de dados e o modo como as pessoas em causa podem exercer na prática os seus direitos. Por outras palavras: atribuir a responsabilidade». Estes dois critérios gerais relativos ao cumprimento e atribuição de responsabilidade devem ser tidos em consideração pelas partes envolvidas na análise em causa Cliente do serviço de computação em nuvem e prestador do serviço de computação em nuvem O cliente do serviço de computação em nuvem determina a finalidade última do tratamento, decide sobre a externalização desse tratamento e a delegação da totalidade ou de parte das atividades de tratamento numa organização externa. Por conseguinte, o cliente do serviço de computação em nuvem atua como responsável pelo tratamento dos dados. A diretiva define como responsável pelo tratamento «a pessoa singular ou coletiva, a autoridade pública, o serviço ou qualquer outro organismo que, individualmente ou em conjunto com outrem, determine as finalidades e os meios de tratamento dos dados pessoais». O cliente do serviço 8 O artigo 4.º, n.º 1, alínea c), estabelece que é aplicável a legislação de um Estado-Membro quando «o responsável pelo tratamento não estiver estabelecido no território da Comunidade e recorrer, para tratamento de dados pessoais, a meios, automatizados ou não, situados no território desse Estado- Membro, salvo se esses meios só forem utilizados para trânsito no território da Comunidade». 9
10 de computação em nuvem, na sua qualidade de responsável pelo tratamento dos dados, deve aceitar a responsabilidade de respeitar a legislação em matéria de proteção de dados, está sujeito a todas as obrigações jurídicas estabelecidas na Diretiva 95/46/CE e é responsável pelo respetivo cumprimento. O cliente do serviço de computação em nuvem pode encarregar o respetivo prestador de serviços de escolher os métodos e as medidas de caráter técnico ou organizativo a utilizar para atingir as finalidades do responsável pelo tratamento de dados. O prestador de serviços de computação em nuvem é a entidade que presta esses serviços nas diferentes modalidades supramencionadas. Quando o prestador de serviços de computação em nuvem fornece os meios e a plataforma, agindo em nome do seu cliente, o prestador de serviços é considerado um subcontratante, ou seja, nos termos da Diretiva 95/46/CE «a pessoa singular ou coletiva, a autoridade pública, o serviço ou qualquer outro organismo que 9, 10 trata os dados pessoais por conta do responsável pelo tratamento». Tal como referido no Parecer 1/2010, podem ser utilizados alguns critérios 11 para determinar quem é o responsável pelo tratamento dos dados. De facto, pode haver situações em que o prestador de serviços de computação em nuvem pode ser considerado um responsável conjunto pelo tratamento ou um responsável pelo tratamento de pleno direito, dependendo das circunstâncias concretas. Por exemplo, pode ser esse o caso se o prestador de serviços proceder ao tratamento dos dados para as suas próprias finalidades. É de salientar que, até mesmo em situações complexas de tratamento de dados, em que diferentes responsáveis pelo tratamento desempenham um papel no tratamento dos dados pessoais, o cumprimento das normas sobre proteção de dados e a responsabilidade por eventuais violações das mesmas devem estar claramente atribuídos, a fim de evitar uma redução do grau de proteção dos dados pessoais ou a ocorrência de um «conflito negativo de competências» e lacunas, em que algumas obrigações ou direitos decorrentes da diretiva não sejam assegurados por nenhuma das partes. No atual cenário de computação em nuvem, os clientes destes serviços podem não ter margem de manobra na negociação das condições contratuais da respetiva utilização uma vez que uma característica de muitos serviços de computação em nuvem é oferecerem condições normalizadas. No entanto, é em última análise o cliente que decide sobre a atribuição de parte ou da totalidade das operações de tratamento a serviços de computação em nuvem para finalidades específicas, pelo que o papel do prestador desses serviços será o de um contratante perante o cliente, o que constitui o ponto essencial no presente caso. Conforme consta do Parecer do Grupo de Trabalho instituído pelo artigo 29.º 12 sobre os conceitos de responsável pelo tratamento e subcontratante, «o desequilíbrio na relação contratual entre um pequeno responsável pelo tratamento de dados e uma grande empresa de prestação de serviços não pode ser invocado como justificação para a aceitação de cláusulas e condições incompatíveis com a legislação sobre proteção de dados por parte do responsável pelo tratamento». Por esta razão, o responsável pelo tratamento de dados deve escolher um prestador de serviços de computação em nuvem que garanta o cumprimento da legislação em matéria de proteção de O presente parecer incide apenas na relação normal entre o responsável pelo tratamento e o subcontratante. O ambiente de computação em nuvem também pode ser utilizado por pessoas singulares (utilizadores) para a realização de atividades exclusivamente pessoais ou domésticas. Nesse caso, deve analisar-se cuidadosamente se é aplicável a chamada exceção doméstica que isenta os utilizadores da qualificação de responsáveis pelo tratamento de dados. Contudo, esta questão está fora do âmbito do presente parecer. Por exemplo, nível das instruções, fiscalização por parte do cliente do serviço de computação em nuvem, competências especializadas das partes Parecer 1/2010 sobre os conceitos de «responsável pelo tratamento» e «subcontratante - 10
11 dados. Deve ser colocada especial ênfase nas modalidades dos contratos aplicáveis devendo estas incluir um conjunto de salvaguardas normalizadas em matéria de proteção de dados, nomeadamente as definidas pelo GT nos pontos (Medidas técnicas e organizativas) e 3.5 (Transferências internacionais) bem como de eventuais mecanismos adicionais que se possam revelar adequados para facilitar a devida diligência e a responsabilização (tais como auditorias de terceiros independentes e certificação dos serviços de um prestador de serviços ver ponto 4.2). Os prestadores de serviços de computação em nuvem (na sua qualidade de subcontratantes) têm o dever de assegurar a confidencialidade. A Diretiva 95/46/CE estabelece que: «Qualquer pessoa que, agindo sob a autoridade do responsável pelo tratamento ou do subcontratante, bem como o próprio subcontratante, tenha acesso a dados pessoais, não procederá ao seu tratamento sem instruções do responsável pelo tratamento, salvo por força de obrigações legais». O acesso aos dados por parte do prestador de serviços de computação em nuvem durante o período em que presta esses serviços é também fundamentalmente regido pelos requisitos de cumprimento das disposições do artigo 17.º da diretiva - ver ponto Os subcontratantes devem ter em conta o tipo de computação em nuvem em causa (pública, privada, comunitária ou híbrida/iaas, SaaS ou PaaS [ver anexo a) Modelos de implantação - b) Modelos de prestação de serviços]) e o tipo de serviço contratado pelo cliente. Os subcontratantes são responsáveis pela adoção de medidas de segurança consentâneas com a legislação da UE conforme aplicadas nas jurisdições do responsável pelo tratamento dos dados e do subcontratante. Os subcontratantes devem também apoiar e assistir o responsável pelo tratamento de dados no respeito dos direitos (exercidos) das pessoas em causa Subcontratantes Os serviços de computação em nuvem podem implicar a participação de várias partes contratantes que atuam na qualidade de subcontratantes. É também comum os subcontratantes contratarem subcontratantes ulteriores adicionais, os quais obtêm assim acesso a dados pessoais. Se subcontratarem serviços a subcontratantes ulteriores, os subcontratantes são obrigados a disponibilizar essa informação ao cliente, especificando o tipo de serviço objeto de subcontratação, as características dos atuais ou potenciais subcontratantes ulteriores e as garantias que essas entidades oferecem ao prestador de serviços de computação em nuvem para fins de cumprimento do disposto na Diretiva 95/46/CE. Por conseguinte, todas as obrigações relevantes devem também ser aplicáveis aos subcontratantes ulteriores mediante contratos celebrados entre o prestador de serviços de computação em nuvem e o subcontratante ulterior que transponham as disposições do contrato celebrado entre o cliente e o prestador desses mesmos serviços. No seu Parecer 1/2010 sobre os conceitos de «responsável pelo tratamento» e «subcontratante», o Grupo de Trabalho instituído pelo artigo 29.º refere a multiplicidade de subcontratantes em casos em que estes podem ter uma relação direta com o responsável pelo tratamento dos dados ou atuam na qualidade de subcontratantes ulteriores quando os subcontratantes externalizam parte do trabalho de tratamento de dados de que foram incumbidos. «A diretiva não impede que, devido a requisitos organizativos, várias entidades possam ser designadas como subcontratantes (diretos ou indiretos), subdividindo as tarefas em causa. No entanto, todas elas devem cumprir as instruções emitidas pelo responsável pelo tratamento na realização das atividades de tratamento» Ver GT 169, Parecer 1/2010 sobre os conceitos de «responsável pelo tratamento» e «subcontratante (http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2010/wp169_en.pdf) 11
12 Nesses cenários, as obrigações e responsabilidades decorrentes da legislação em matéria de proteção de dados deve ser claramente definidas e não ser dispersas ao longo de toda a cadeia da externalização ou de subcontratação, a fim de assegurar o controlo efetivo das atividades de tratamento e a atribuição de responsabilidades claras. Um modelo possível de garantias que pode ser utilizado para clarificar os direitos e obrigações dos subcontratantes quando subcontratam atividades de tratamento foi introduzido pela primeira vez pela Decisão da Comissão de 5 de fevereiro de 2010 relativa a cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para subcontratantes estabelecidos em países terceiros 14. Nesse modelo, é permitida a subcontratação ulterior apenas com o consentimento prévio escrito do responsável pelo tratamento e com um acordo escrito que imponha ao subcontratante ulterior obrigações idênticas àquelas a que está sujeito o subcontratante. Em caso de incumprimento pelo subcontratante ulterior das obrigações em matéria de proteção de dados que lhe incumbem nos termos do referido acordo escrito, o subcontratante continua a ser plenamente responsável perante o responsável pelo tratamento de dados pelo cumprimento das obrigações do subcontratante ulterior ao abrigo do referido acordo. Uma disposição deste tipo pode ser utilizada em quaisquer cláusulas contratuais entre um responsável pelo tratamento de dados e um prestador de serviços de computação em nuvem, quando este último tenciona prestar serviços recorrendo a subcontratação, a fim de assegurar as garantias necessárias na subcontratação ulterior. A Comissão propôs recentemente uma solução similar em matéria de garantias aplicáveis a subcontratação ulterior na proposta relativa ao Regulamento Geral sobre Proteção de Dados 15. Os atos do subcontratante devem ser regidos por um contrato ou outro ato jurídico que o vincule ao responsável pelo tratamento de dados e que estipule, designadamente, que, entre outros requisitos, o subcontratante apenas recorrerá a outro subcontratante com a autorização prévia do responsável pelo tratamento (artigo 26.º, n.º 2, da proposta). Na opinião do GT 29, o subcontratante só pode subcontratar as suas atividades com o consentimento do responsável pelo tratamento, que pode, de modo geral, ser dado no início do serviço 16 com a obrigação clara de o subcontratante informar o responsável pelo tratamento de quaisquer alterações previstas relativas à adição ou substituição de subcontratantes ulteriores, mantendo o responsável pelo tratamento permanentemente a possibilidade de apresentar objeções a essas alterações ou de rescindir o contrato. Deve existir uma obrigação clara de o prestador de serviços de computação em nuvem facultar o nome de todos os subcontratantes utilizados. Além disso, devia ser assinado um contrato entre o prestador de serviços de computação em nuvem e o subcontratante que transponha as disposições do contrato celebrado entre o cliente e o prestador de serviços de computação em nuvem. O responsável pelo tratamento deve poder utilizar as possibilidades contratuais de recurso em caso de violações do contrato causadas por subcontratantes ulteriores. Para esse fim, poder-se-ia garantir que o subcontratante seja diretamente responsável perante o responsável pelo tratamento de dados por quaisquer violações causadas por subcontratantes ulteriores por ele contratados ou poder-se-ia criar um direito de terceiro beneficiário em benefício do responsável pelo tratamento de dados nos contratos assinados entre o subcontratante e os subcontratantes ulteriores ou prever que esses contratos sejam assinados Ver FAQ, ponto II.5 do GT 176. Proposta de Regulamento do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares relativamente ao tratamento de dados pessoais pelas instituições e organismos comunitários e sobre a livre circulação desses dados, Ver FAQ II, 1) do GT 176, adotadas em 12 de julho de
13 em nome do responsável pelo tratamento de dados, o que faz deste último uma parte no contrato. 3.4 Requisitos em matéria de proteção de dados na relação entre o cliente e o prestador de serviços Cumprimento dos princípios básicos A licitude do tratamento de dados pessoais no âmbito dos serviços de computação em nuvem depende da adesão aos princípios básicos da legislação da UE em matéria de proteção de dados. Deve, nomeadamente, ser garantida a transparência face à pessoa em causa e ser respeitado o princípio da especificação e limitação da finalidade e os dados pessoais devem ser apagados logo que a sua conservação já não seja necessária. Além disso, devem ser implementadas medidas técnicas e organizativas adequadas a fim de garantir um nível adequado de proteção e segurança dos dados Transparência A transparência é de importância crucial para um tratamento justo e legítimo dos dados pessoais. A Diretiva 95/46/CE obriga o cliente de serviços de computação em nuvem a facultar à pessoa em causa, junto da qual recolha dados que lhe digam respeito, informações sobre a sua identidade e a finalidade do tratamento. O cliente dos serviços de computação em nuvem deve também facultar quaisquer informações, nomeadamente relativas aos destinatários ou categorias de destinatários dos dados, que podem também incluir subcontratantes e subcontratantes ulteriores na medida em que essas outras informações sejam necessárias para garantir um tratamento leal dos dados face à pessoa em causa (ver o artigo 10.º da diretiva) 17. Deve igualmente ser assegurada a transparência na relação entre o cliente do serviço de computação em nuvem, o prestador desses serviços e os subcontratantes (caso existam). O cliente de serviços de computação em nuvem só pode avaliar a licitude do tratamento de dados pessoais no âmbito da computação em nuvem se o prestador de serviços o informar de todas as questões relevantes. Um responsável pelo tratamento de dados que considere a possibilidade de contratar um prestador de serviços de computação em nuvem deve verificar cuidadosamente os termos e condições do prestador desses serviços e avaliá-los numa perspetiva de proteção de dados. A transparência no âmbito da computação em nuvem significa que é necessário que o cliente desses serviços seja informado de todos os subcontratantes que contribuem para a prestação do respetivo serviço de computação em nuvem, bem como da localização de todos os centros de dados em que os dados pessoais podem ser tratados. 18 Caso a prestação do serviço exija a instalação de software nos sistemas do cliente de serviços de computação em nuvem (por exemplo, módulos de expansão (plug-ins) para o programa de navegação), o prestador desses serviços deve, por questão de boas práticas, informar o cliente dessa circunstância e, em particular, das suas implicações do ponto de vista da proteção e segurança dos dados. E vice-versa, o cliente de serviços de computação em nuvem deve O correspondente dever de informação da pessoa em causa existe quando os dados que não tenham sido recolhidos junto da pessoa em causa, mas a partir de diferentes fontes, são registados ou comunicados a terceiros (ver artigo 11.º) Só então poderá decidir se os dados pessoais podem ser transferidos para um chamado país terceiro fora do Espaço Económico Europeu (EEE) que não assegure um nível adequado de proteção na aceção da Diretiva 95/46/CE. Ver também a secção infra. 13
14 apresentar essa questão ex ante, caso esta não seja abordada de forma suficiente pelo prestador desses serviços Especificação e limitação da finalidade O princípio da especificação e limitação da finalidade determina que os dados pessoais devem ser recolhidos para finalidades especificadas, explícitas e legítimas e que não serão posteriormente tratados de forma incompatível com essas finalidades (ver artigo 6.º, n.º 1, alínea b), da Diretiva 95/46/CE). O cliente de serviços de computação em nuvem deve determinar a(s) finalidade(s) do tratamento antes da recolha dos dados pessoais da pessoa em causa e informá-la do facto. O cliente de serviços de computação em nuvem não deve proceder ao tratamento de dados pessoais para outras finalidades que não sejam compatíveis com as finalidades originais. Além disso, há que assegurar que os dados pessoais não sejam tratados (ilicitamente) para outras finalidades pelo prestador de serviços de computação em nuvem ou por um dos seus subcontratantes. Uma vez que um cenário típico da computação em nuvem pode facilmente envolver um maior número de subcontratantes, o risco de tratamento de dados pessoais para outras finalidades incompatíveis deve, por conseguinte, ser avaliado como bastante elevado. A fim de minimizar este risco, o contrato celebrado entre o prestador de serviços de computação em nuvem e o respetivo cliente deve incluir medidas técnicas e organizativas para atenuar esse risco e proporcionar garantias sobre o registo e auditoria das operações de tratamento relevantes relativas a dados pessoas que sejam efetuadas por empregados do prestador de serviços de computação em nuvem ou por subcontratantes 19. Devem ser impostas no contrato sanções aplicáveis ao prestador de serviços ou ao subcontratante em caso de violação da legislação em matéria de proteção de dados Apagamento de dados Nos termos do artigo 6.º, n.º 1, alínea e), da Diretiva 95/46/CE, os dados pessoais devem ser conservados de forma a permitir a identificação das pessoas em causa apenas durante o tempo necessário para a prossecução das finalidades para que foram recolhidos os dados ou para o seu tratamento posterior. Os dados pessoais que já não sejam necessários devem ser apagados ou verdadeiramente anonimizados. Se estes dados não puderem ser apagados devido a disposições jurídicas em matéria de conservação (por exemplo, regulamentação fiscal), o acesso a esse dados pessoais deve ser bloqueado. Cabe ao cliente dos serviços de computação em nuvem a responsabilidade de assegurar que os dados pessoais sejam apagados logo que já não sejam necessários no sentido supramencionado 20. O princípio de apagamento dos dados é aplicável aos dados pessoais, independentemente de estes estarem armazenados em discos rígidos ou noutros suportes de armazenamento de dados (por exemplo, bandas magnéticas de salvaguarda). Uma vez que os dados pessoais podem ser mantidos de forma redundante em diferentes servidores e em diferentes locais, deve garantirse que todas as ocorrências desses dados sejam apagadas sem possibilidade de recuperação (ou seja, devem ser também apagadas versões anteriores, ficheiros temporários e mesmo fragmentos de ficheiros) Ver também a secção infra. O apagamento de dados é uma questão que se coloca tanto ao longo de todo o período de duração de um contrato de serviços de computação em nuvem como após o seu termo. É igualmente pertinente no caso da substituição ou retirada de um subcontratante. 14
15 Os clientes de serviços de computação em nuvem devem estar cientes de que os dados de registo 21 que facilitam a realização de auditorias, por exemplo, sobre o armazenamento, alterações ou apagamento de dados, podem também ser considerados dados pessoais relativos à pessoa que iniciou o respetivo tratamento 22. Para garantir o apagamento dos dados pessoais é necessário proceder à destruição ou desmagnetização dos meios de armazenamento ou à supressão efetiva dos dados pessoais armazenados mediante a reescrita de dados. Para fins de reescrita de dados pessoais, deverão ser utilizadas ferramentas informáticas especiais que reescrevem dados múltiplas vezes em conformidade com uma especificação reconhecida. O cliente de serviços de computação em nuvem deve certificar-se que o prestador desses serviços garante o apagamento seguro dos dados na aceção supramencionada e que o contrato entre o prestador de serviços e o cliente contém disposições claras relativas ao apagamento de dados pessoais 23. O mesmo se aplica aos contratos celebrados entre os prestadores de serviços de computação em nuvem e os subcontratantes Salvaguardas contratuais da(s) relação(ões) entre o «responsável pelo tratamento» e o «subcontratante» Quando decidem contratar serviços de computação em nuvem, os responsáveis pelo tratamento de dados são obrigados a escolher um subcontratante que ofereça garantias suficientes no que se refere às medidas de segurança técnica e de organização do tratamento a efetuar e devem zelar pelo cumprimento dessas medidas (artigo 17.º, n.º 2, da Diretiva 95/46/CE). Além disso, têm a obrigação legal de assinar um contrato formal com o prestador de serviços de computação em nuvem, tal como estabelecido no artigo 17.º, n.º 3, da Diretiva 95/46/CE. O referido artigo estabelece que a relação entre o responsável pelo tratamento e o subcontratante deverá ser regida por um contrato ou outro ato jurídico vinculativo. Para efeitos de conservação de provas, os elementos do contrato ou do ato jurídico relativos à proteção dos dados, bem como o requisitos relativos às medidas técnicas e organizativas, devem ser consignados por escrito ou sob forma equivalente. O contrato deve, no mínimo, estabelecer o facto de, em especial, o subcontratante dever seguir as instruções do responsável pelo tratamento dos dados e aplicar medidas técnicas e organizativas para a proteção adequada dos dados pessoais. A fim de garantir a segurança jurídica, o contrato deve igualmente conter os seguintes elementos: 1. Informações pormenorizadas sobre (o âmbito e as modalidades de) instruções do cliente a fornecer ao prestador de serviços, em especial no que diz respeito aos acordos sobre o nível de serviço aplicáveis (que devem ser objetivos e mensuráveis) e às sanções relevantes (financeiras ou outras, incluindo a capacidade de processar o prestador de serviços em caso de incumprimento). 2. Especificação das medidas de segurança que o prestador de serviços de computação em nuvem deve aplicar, em função dos riscos inerentes ao tratamento e à natureza dos dados a proteger. É de grande importância que sejam especificadas medidas técnicas e organizativas concretas, tais como as referidas no ponto infra. Estas em nada No ponto são apresentadas observações sobre os requisitos relativos a registo de dados. Isto significa que devem ser definidos períodos razoáveis para a conservação de ficheiros de registo e que devem estar criados processos que salvaguardem o apagamento ou anonimização atempados desses dados. Ver também a secção infra. 15
16 prejudicam a aplicação de disposições mais rigorosas, caso existam, que possam ser consideradas ao abrigo do direito nacional do cliente. 3. Objeto e escala temporal do serviço de computação em nuvem a fornecer pelo prestador de serviços, extensão, forma e finalidade do tratamento de dados pessoais pelo prestador desses serviços, bem como tipos de dados pessoais tratados. 4. Especificação das condições para a devolução dos dados (pessoais) ou a destruição dos dados uma vez concluído o serviço. Além disso, há que assegurar que os dados pessoais sejam apagados em condições de segurança a pedido do cliente dos serviços de computação em nuvem. 5. Inclusão de uma cláusula de confidencialidade vinculativa tanto para o prestador de serviços de computação em nuvem como para todos os seus empregados que possam ter acesso aos dados. Apenas as pessoas autorizadas podem ter acesso aos dados. 6. Obrigação por parte do prestador de serviços de apoiar o cliente na facilitação do exercício dos direitos das pessoas em causa de acederem aos seus dados e de os corrigirem ou suprimirem. 7. O contrato deve estabelecer expressamente que o prestador de serviços de computação em nuvem não pode comunicar os dados a terceiros, mesmo para fins de conservação, exceto se estiver previsto no contrato que haverá subcontratantes. O contrato deve especificar que os subcontratantes ulteriores só podem ser contratados com consentimento que pode, em geral, ser dado pelo responsável pelo tratamento dos dados em consonância com o dever claro de o subcontratante informar o responsável pelo tratamento de dados de quaisquer alterações previstas a este respeito, mantendo o responsável pelo tratamento permanentemente a possibilidade de se opor a essas alterações ou de rescindir o contrato. Deve haver uma obrigação clara por parte do prestador de serviços de computação em nuvem de indicar o nome de todos os subcontratantes contratados (por exemplo, num registo digital público). Deve ser assegurado que os contratos celebrados entre o prestador de serviços de computação em nuvem e o subcontratante transponham as disposições do contrato celebrado entre o cliente dos serviços de computação em nuvem e o prestador desses serviços (ou seja, que os subcontratantes ulteriores estejam sujeitos a deveres contratuais idênticos aos do prestador de serviços de computação em nuvem). Em particular, deve garantir-se que tanto o prestador de serviços de computação em nuvem como todos os subcontratantes apenas atuarão de acordo com instruções dadas pelo cliente dos referidos serviços. Conforme explicado no capítulo relativo a subcontratação ulterior, a cadeia de responsabilidades deve ser claramente indicada no contrato. Deve estabelecer-se que o subcontratante tem a obrigação de enquadrar as transferências internacionais mediante, por exemplo, a assinatura de contratos com subcontratantes ulteriores, com base nas cláusulas contratuais-tipo estabelecidas na Decisão 2010/87/UE. 8. Clarificação da obrigação do prestador de serviços de computação em nuvem de notificar o cliente dos referidos serviços em caso de violação de dados que afete os dados do cliente desses mesmos serviços. 9. Obrigação do prestador de serviços de computação em nuvem de facultar uma lista dos locais em que os dados podem ser tratados. 10. Direito do responsável pelo tratamento de fiscalizar e correspondente obrigação do prestador de serviços de computação em nuvem de cooperar. 16
17 11. Deve ser estabelecido contratualmente que o prestador de serviços de computação em nuvem deve informar o cliente sobre alterações relevantes referentes ao respetivo serviço, tais como a implementação de funções adicionais. 12. O contrato deve prever o registo e a auditoria das operações de tratamento de dados pessoais relevantes que sejam efetuadas pelo prestador de serviços de computação em nuvem ou pelos subcontratantes. 13. Notificação do cliente de serviços de computação em nuvem sobre qualquer pedido juridicamente vinculativo de divulgação de dados pessoais por parte de uma autoridade competente para a aplicação da lei, a não ser que exista uma proibição em contrário como, por exemplo, uma proibição prevista no direito penal para preservar a confidencialidade de uma investigação policial. 14. Obrigação geral de o prestador de serviços garantir que a sua organização interna e as modalidades de tratamento de dados (e os dos seus subcontratantes ulteriores, se for o caso) estão conformes com as normas e requisitos jurídicos nacionais e internacionais aplicáveis. Em caso de violação por parte do responsável pelo tratamento de dados, qualquer pessoa que tenha sofrido danos decorrentes de tratamento ilícito de dados tem o direito de obter desse responsável a reparação pelos prejuízos causados. Caso utilizem os dados para quaisquer outras finalidades ou os comuniquem ou utilizem de uma forma que viole o contrato, os subcontratantes serão igualmente considerados responsáveis pelo tratamento dos dados e serão responsabilizados pelas violações em que estejam pessoalmente envolvidos. É de salientar que, em muitos casos, os prestadores de serviços de computação em nuvem propõem serviços e contratos normalizados a assinar pelos responsáveis pelo tratamento dos dados, que estabelecem um formato normalizado para o tratamento de dados pessoais. O desequilíbrio na relação contratual entre um pequeno responsável pelo tratamento de dados e uma grande empresa de prestação de serviços não pode ser invocado pelo primeiro como justificação para a aceitação de cláusulas e condições incompatíveis com a legislação sobre proteção de dados Medidas técnicas e organizativas relativas à proteção e segurança dos dados O artigo 17.º, n.º 2, da Diretiva 95/46/CE atribui plena responsabilidade aos clientes dos serviços de computação em nuvem (que atuem na qualidade de responsáveis pelo tratamento) pela escolha de prestadores desses serviços que apliquem medidas de segurança técnica e organizativa adequadas para proteger os dados pessoais e que possam demonstrar o seu sentido de responsabilidade. Para além dos objetivos de segurança de base relativos à disponibilidade, confidencialidade e integridade, deve também chamar-se a atenção para as metas complementares de proteção de dados relativas a transparência (ver ponto supra), isolamento 24, capacidade de intervenção, responsabilidade e portabilidade. A presente secção destaca estas metas centrais de proteção de dados, sem prejuízo de outras análises de risco complementares orientadas para questões de segurança Na Alemanha, foi introduzido o conceito mais lato de «inviabilidade de ligação» (unlinkability) que é promovido pela Conferência dos Comissários para a Proteção de Dados. Ver, por exemplo,. ENISA em: 17
18 Disponibilidade Por disponibilização entende-se garantir o acesso atempado e fiável aos dados pessoais. Uma ameaça grave à disponibilidade nos serviços de computação em nuvem é a quebra acidental de ligação à rede entre o cliente e o prestador de serviços ou de desempenho do servidor devido a ações maliciosas, tais como ataques de recusa de serviços (distribuídos) (Distributed Denial of Service -DoS) 26. Entre outros riscos relativos à disponibilidade contamse falhas acidentais dos equipamentos, quer na rede quer nos sistemas de computação em nuvem para armazenamento e tratamento de dados, falhas de energia elétrica e outros problemas com infraestruturas. Os responsáveis pelo tratamento de dados devem verificar se o prestador de serviços de computação em nuvem adotou medidas razoáveis para fazer face aos riscos de perturbações, tais como ligações alternativas à internet e mecanismos redundantes e eficazes de armazenamento e salvaguarda de dados Integridade A integridade pode ser definida como a propriedade que garante que os dados são autênticos e não foram alterados acidental ou intencionalmente durante o tratamento, armazenamento ou transmissão. O conceito de integridade pode ser alargado a sistemas informáticos e exige que o tratamento de dados pessoais nesses sistemas permaneça inalterado. A deteção de alterações aos dados pessoais pode obter-se mediante mecanismos de autenticação criptográfica, tais como códigos ou assinaturas de autenticação de mensagens. A interferência com a integridade dos sistemas informáticos no serviço de computação em nuvem pode ser evitada ou detetada por meio de sistemas de deteção/prevenção de intrusão (intrusion prevention/detection systems - IPS/IDS). Este aspeto é particularmente importante no tipo de ambientes de rede aberta em que geralmente operam os serviços de computação em nuvem Confidencialidade Num ambiente de computação em nuvem, a cifragem pode contribuir de forma significativa para garantir a confidencialidade dos dados pessoais se for aplicada corretamente, embora não torne os dados pessoais irreversivelmente anónimos 27. A cifragem de dados pessoais deve ser utilizada em todos os casos para dados «em trânsito» e sempre que disponível para dados «em repouso» 28. Em alguns casos (por exemplo, serviços de armazenamento IaaS), o cliente do serviço de computação em nuvem pode não confiar na solução de cifragem oferecida pelo prestador de serviços, optando por cifrar os dados pessoais antes do seu envio para o serviço de computação em nuvem. A cifragem de dados em repouso exige uma especial atenção Um ataque sob a forma de negação de serviço («DoS attack») é uma tentativa coordenada para tornar indisponível um recurso de um computador ou de uma rede relativamente aos seus utilizadores autorizados, quer temporariamente quer por um período indeterminado (por exemplo, por meio de um grande número de sistemas de ataque que paralisam o seu alvo com uma multitude de pedidos de comunicação externa). Diretiva 95/46/CE - Considerando 26: «(...) considerando que os princípios da proteção não se aplicam a dados tornados anónimos de modo tal que a pessoa já não possa ser identificável; (...)». Na mesma linha, os processos técnicos de fragmentação de dados que podem ser utilizados no âmbito da prestação de serviços de computação em nuvem não permitirão uma anonimização irreversível, pelo que não implicam a não-aplicação das obrigações em matéria de proteção dos dados. É o caso, nomeadamente, dos responsáveis pelo tratamento de dados que desejam transferir dados sensíveis na aceção do artigo 8.º da Diretiva 95/46/CE (por exemplo, dados no domínio da saúde) para os serviços de computação em nuvem ou que estão sujeitos a obrigações legais específicas de sigilo profissional. 18
19 quanto à gestão da chave criptográfica, uma vez que a segurança dos dados depende então, em última análise, da confidencialidade das chaves de cifragem. As comunicações entre o prestador de serviços de computação em nuvem e o cliente, bem como entre os centros de dados, devem ser cifradas. A administração à distância da plataforma de computação em nuvem só deve fazer-se através de um canal de comunicação seguro. Se um cliente desejar não só armazenar, mas também proceder ao tratamento dos dados pessoais no âmbito do serviço de computação em nuvem (por exemplo, para a pesquisa de registos em bases de dados), deve ter em conta que a cifragem não pode ser mantida durante o tratamento dos dados (exceto em processos de tratamento muito específicos). Entre outras medidas técnicas que visam garantir a confidencialidade contam-se os mecanismos de autorização e de autenticação profunda (por exemplo, autenticação bi-fatorial). As cláusulas contratuais devem também impor obrigações de confidencialidade aos empregados de clientes de serviços de computação em nuvem e respetivos prestadores de serviços e subcontratantes Transparência As medidas técnicas e organizativas devem promover a transparência a fim de permitir a sua análise (ver ponto ) Isolamento (limitação da finalidade) No âmbito dos serviços de computação em nuvem, as infraestruturas, os recursos como o armazenamento, a memória e as redes são partilhados entre muitos clientes. Esta situação gera novos riscos de divulgação e tratamento de dados para fins ilegítimos. A meta de proteção relativa ao «isolamento» incide nesta questão e contribui para garantir que os dados sejam utilizados apenas para a sua finalidade inicial (artigo 6.º, n.º 1, alínea b), da Diretiva 95/46/CE) e para manter a sua confidencialidade e integridade 29. Para fins de isolamento, é primeiro necessária uma governação adequada dos direitos e perfis de acesso aos dados pessoais, que seja revista periodicamente. Deve ser evitada a utilização de perfis com privilégios excessivos (por exemplo, nenhum utilizador ou administrador deve ser autorizado a aceder a toda a plataforma de computação em nuvem). De um modo mais geral, os administradores e os utilizadores devem ter apenas acesso à informação que seja necessária para os seus fins legítimos (princípio do menor privilégio). Em segundo lugar, o isolamento depende igualmente de medidas técnicas, tais como o endurecimento de hipervisores e a boa gestão dos recursos partilhados se forem utilizadas máquinas virtuais para partilhar recursos físicos entre diferentes clientes de serviços de computação em nuvem Capacidade de intervenção A Diretiva 95/46/CE confere à pessoa em causa os direitos de acesso, retificação, apagamento, bloqueio e oposição (ver artigos 12.º e 14.º). O cliente de serviços de computação em nuvem deve verificar que o prestador desses serviços não impõe obstáculos técnicos e organizativos a estes requisitos, inclusive nos casos em que os dados são objeto de tratamento complementar por parte de subcontratantes. 29 Ver ponto
20 O contrato entre o cliente e o prestador de serviços deve estipular que o prestador de serviços de computação em nuvem está obrigado a dar apoio ao cliente a fim de facilitar o exercício dos direitos das pessoas em causa e de garantir que o mesmo acontece na sua relação com qualquer subcontratante Portabilidade Atualmente, a maior parte dos prestadores de serviços de computação em nuvem não utiliza formatos de dados normalizados e interfaces de serviços que facilitem a interoperabilidade e a portabilidade entre diferentes prestadores desses serviços. Se o cliente de um serviço de computação em nuvem decidir migrar de um prestador de serviços para outro, esta falta de interoperabilidade pode resultar na impossibilidade ou, pelo menos, em dificuldades de transferência dos dados (pessoais) do cliente para o novo prestador de serviços (dependência em relação a um único vendedor). O mesmo se aplica aos serviços que o cliente tenha desenvolvido numa plataforma oferecida pelo prestador de serviços de computação em nuvem inicial (PaaS). O cliente de serviços de computação em nuvem deve verificar se e de que modo o prestador de serviços garante a portabilidade dos dados e serviços antes de contratar um serviço de computação em nuvem Responsabilidade No domínio das tecnologias da informação, a responsabilidade pode ser definida como a capacidade para determinar o que uma entidade fez num determinado momento no passado e o modo como o fez. Em matéria de proteção de dados, adquire frequentemente uma aceção mais lata e descreve a capacidade das partes para demonstrar que tomaram as medidas adequadas para garantir que foram aplicados os princípios relativos à proteção de dados. A responsabilidade no domínio das tecnologias da informação é particularmente importante para investigar violações de dados pessoais, em que os clientes de serviços de computação em nuvem, os prestadores desses serviços e os subcontratantes ulteriores podem cada um deles ter um certo grau de responsabilidade operacional. Quanto a este aspeto, é de importância primordial a capacidade da plataforma de computação em nuvem de proporcionar mecanismos de fiscalização fiáveis e mecanismos de registo exaustivo. Além disso, os prestadores de serviços de computação em nuvem devem apresentar provas documentais da implementação de medidas adequadas e eficazes que permitam obter os resultados visados nos princípios de proteção de dados enunciados nas secções anteriores. Exemplos dessas medidas são procedimentos para assegurar a identificação de todas as operações de tratamento de dados, a resposta a todos os pedidos de acesso, a atribuição de recursos, incluindo a designação de pessoas responsáveis pela proteção de dados que sejam responsáveis pela organização do cumprimento das disposições relativas à proteção de dados, ou procedimentos de certificação independentes. Além disso, os responsáveis pelo tratamento de dados devem garantir que estão preparados para demonstrar à autoridade supervisora competente, a pedido desta 32, que foram adotadas as medidas necessárias Ver ponto 3.4.2, n.º 6 supra. O prestador de serviços pode mesmo ser instruído para responder a pedidos em nome do cliente. De preferência, o prestador de serviços deve utilizar interfaces e formatos de dados normalizados ou abertos. Em qualquer caso, devem ser acordadas cláusulas contratuais que estipulem formatos assegurados, a preservação de relações lógicas e quaisquer custos decorrentes da migração para um outro prestador de serviços de computação em nuvem. O Grupo de Trabalho apresentou observações pormenorizadas sobre a questão da responsabilidade no seu Parecer 3/2010 sobre o princípio da responsabilidade: 20
Deliberação n.º 1770/2015 relativa ao procedimento de análise dos Acordos Intragrupo (IGA) para transferências de dados para fora da UE
Deliberação n.º 1770/2015 relativa ao procedimento de análise dos Acordos Intragrupo (IGA) para transferências de dados para fora da UE I. Introdução As transferências de dados pessoais para fora da União