21.7.2011   

PT

Jornal Oficial da União Europeia

C 215/13

1.

Em 22 de Dezembro de 2010, a Comissão adoptou uma proposta de regulamento do Parlamento Europeu e do Conselho relativo às disposições financeiras aplicáveis ao orçamento anual da União [adiante designada «proposta»]. A proposta reúne num só texto e substitui duas anteriores propostas da Comissão de revisão do Regulamento Financeiro [adiante designado «RF», Regulamento (CE, Euratom) n.o 1605/2002 do Conselho (3)]. Estas duas propostas anteriores em causa referiam-se, por um lado, à revisão trienal do RF e, por outro lado, à revisão do RF com vista à sua harmonização com o Tratado de Lisboa (4).

2.

Em 5 de Janeiro de 2011, a proposta foi enviada à AEPD em conformidade com o artigo 28.o, n.o 2, do Regulamento (CE) n.o 45/2001. A AEPD foi consultada a título informal, antes da adopção da proposta. A AEPD recomenda ao legislador que inclua uma referência à consulta da AEPD no início do regulamento proposto.

3.

A proposta tem certas implicações em matéria de protecção de dados a nível europeu, bem como a nível nacional, as quais serão discutidas no presente parecer.

4.

As referências aos instrumentos pertinentes em matéria de protecção dos dados podem ser encontradas na proposta. Porém, como será exposto no presente parecer, é necessário aprofundar e clarificar melhor com vista a garantir o cumprimento integral do quadro jurídico da protecção de dados.

5.

A proposta de regulamento abrange várias matérias que envolvem o tratamento de dados pessoais por parte de instituições, agências e órgãos comunitários, bem como de entidades ao nível dos Estados-Membros. Estas actividades de tratamento serão, em seguida, objecto de uma análise mais pormenorizada. Ao proceder ao tratamento de dados pessoais, as instituições, as agências e os órgãos da UE são obrigados a cumprir as regras relativas à protecção de dados nos termos do Regulamento (CE) n.o 45/2001. As entidades que operam a nível nacional são obrigadas a cumprir as disposições nacionais do respectivo Estado-Membro que transpõem a Directiva 95/46/CE.

6.

A AEPD congratula-se com as referências a um destes dois instrumentos ou a ambos na proposta de regulamento (5). Porém, a referência aos instrumentos na proposta não é sistemática nem coerente. Assim, a AEPD incentiva o legislador a assumir uma abordagem mais abrangente nesta matéria no regulamento.

7.

A AEPD recomenda ao legislador a inclusão, no preâmbulo do Regulamento, da seguinte referência à Directiva 95/46/CE e ao Regulamento (CE) n.o 45/2001:

«O presente regulamento não prejudica os requisitos da Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e do Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados.»

8.

Além disso, a AEPD recomenda a inclusão de uma referência à Directiva 95/46/CE e ao Regulamento (CE) n.o 45/2001 no artigo 57.o, n.o 2, alínea f), à semelhança do que foi feito no artigo 31.o, n.o 3, da proposta.

9.

O artigo 28.o da proposta trata do controlo interno da execução orçamental. No ponto 2, alínea d), prevê-se que, para efeitos da execução do orçamento, o controlo interno se destine a providenciar um nível razoável de fiabilidade da prevenção, detecção e correcção de fraudes e irregularidades.

10.

Em caso de execução indirecta do orçamento pela Comissão através da gestão partilhada com os Estados-Membros ou com entidades e pessoas que não os Estados-Membros, no artigo 56.o, n.o 2, e no artigo 57.o, n.o 3, respectivamente, é precisado que os Estados-Membros e as entidades e outras pessoas devem prevenir, detectar e corrigir irregularidades e fraudes no âmbito da realização das tarefas relacionadas com a execução do orçamento. Obviamente, essas medidas devem cumprir na íntegra as disposições nacionais que transpõem a Directiva 95/46/CE.

11.

Nessa medida, no ponto 4, alínea f), do artigo 56.o [que deveria ser o ponto 4, alínea e), de acordo com a sequência lógica das alíneas], declara-se que os organismos acreditados pelos Estados-Membros com a responsabilidade exclusiva pela boa gestão e controlo dos fundos «asseguram uma protecção dos dados pessoais, que satisfaça os princípios estabelecidos na Directiva 95/46/CE». A AEPD recomenda o reforço desta referência através da sua alteração para «asseguram que qualquer tratamento de dados pessoais cumpre as disposições nacionais que transpõem a Directiva 95/46/CE».

12.

No que diz respeito às entidades e pessoas que não os Estados-Membros, o artigo 57.o, n.o 2, alínea f) declara que estas entidades e pessoas «asseguram um nível razoável de protecção dos dados pessoais.» A AEPD critica veementemente esta expressão, dado que parece deixar margem para uma aplicação menos estrita das normas de protecção de dados. Por conseguinte, a AEPD recomenda igualmente a sua substituição por «asseguram que qualquer tratamento de dados pessoais cumpre as disposições nacionais que transpõem a Directiva 95/46/CE».

13.

O artigo 63.o, n.o 8, da proposta debruça-se sobre o fenómeno da denúncia, colocando nos agentes a obrigação de informar o gestor orçamental (ou a instância especializada em matéria de irregularidades financeiras criada em conformidade com o artigo 70.o, n.o 6, da proposta) caso considerem que uma decisão que o seu superior hierárquico os obrigue a aplicar é irregular ou contrária aos princípios da boa gestão financeira ou às regras profissionais que estão obrigados a respeitar. No caso de uma actividade ilegal, de fraude ou de corrupção susceptível de prejudicar os interesses da União, os agentes informam as autoridades e organismos designados pela legislação em vigor.

14.

A AEPD frisa que a posição dos denunciantes é sensível. As pessoas que recebem informações desta natureza devem certificar-se de que a identidade do denunciante é mantida confidencial, sobretudo perante a pessoa em relação à qual se comunica a alegada infracção (6). A garantia de confidencialidade da identidade de um denunciante não só protege a pessoa que fornece a informação, mas também garante a eficiência do próprio regime de denunciantes. Sem garantias suficientes em matéria de confidencialidade, os agentes terão menos inclinação para comunicar actividades irregulares ou ilegais.

15.

No entanto, a protecção da confidencialidade da identidade do denunciante não é absoluta. Após a primeira investigação interna, poderá haver medidas de procedimento ou judiciais que requerem a revelação da identidade do denunciante a, por exemplo, autoridades judiciais, sendo que as normas nacionais que regulam os procedimentos judiciais devem ser respeitadas (7).

16.

Poderão igualmente verificar-se situações em que a pessoa acusada de uma infracção tem o direito de ser informada do nome do denunciante. Tal é possível se o acusado necessitar da identidade para actuar judicialmente contra o denunciante depois de se estabelecer que o denunciante fez falsas declarações contra si com a intenção de o prejudicar (8).

17.

A AEPD recomenda a alteração da actual proposta, assegurando-se que a identidade dos denunciantes é mantida confidencial durante as investigações na medida em que tal não viole as normas nacionais que regulam os procedimentos judiciais e na medida em que a pessoa acusada de uma infracção não tenha direito à identidade do denunciante por esta ser necessária para actuar legalmente contra o denunciante depois de se estabelecer que o denunciante fez falsas declarações sobre si com a intenção de prejudicar.

18.

De acordo com o artigo 31.o, n.o 2 (Publicação dos beneficiários de fundos da União e de outras informações), a Comissão disponibiliza, de maneira apropriada, a informação de que dispõe sobre os beneficiários de fundos provenientes do orçamento quando este é executado pela Comissão, directamente ou por delegação.

19.

No artigo 31.o, n.o 3, afirma-se que esta informação «é disponibilizada na observância dos requisitos de confidencialidade, nomeadamente da protecção dos dados pessoais, tal como previstos na Directiva 95/46/CE do Parlamento Europeu e do Conselho e no Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, e dos requisitos de segurança, tendo em conta as especificidades de cada modalidade de gestão referida no artigo 53.o e, quando aplicável, em conformidade com as normas sectoriais específicas pertinentes».

20.

A publicação da identidade dos beneficiários de fundos da UE foi tratada pelo Tribunal de Justiça da União Europeia (adiante designado «TJUE») no acórdão de Novembro de 2010 no caso Schecke e Eifert  (9). Sem entrar nos pormenores deste caso, cumpre sublinhar que o TJUE avaliou com minúcia se a legislação da UE, que incluía a obrigação de divulgar informações, estava em conformidade com os artigos 7.o e 8.o da Carta dos direitos fundamentais da União Europeia.

21.

O TJUE analisou o objectivo da divulgação da informação e subsequentemente a proporcionalidade da medida. O TJUE considerou que as instituições estão obrigadas a ponderar, antes de divulgar informações relativas a uma pessoa singular, o interesse da União Europeia na divulgação e a violação dos direitos reconhecidos pela Carta dos direitos fundamentais da União Europeia (10). O TJUE sublinhou que as derrogações à protecção dos dados pessoais e as suas limitações devem ocorrer na estrita medida do necessário (11).

22.

O TJUE considerou que as instituições devem explorar diferentes métodos de publicação com vista a identificar a forma conforme com o objectivo dessa publicação e que fosse ao mesmo tempo menos lesiva do direito desses beneficiários ao respeito da sua vida privada, em geral, e à protecção dos seus dados pessoais, em particular (12). No contexto específico do caso, o TJUE referiu a limitação da publicação de dados nominativos relativos aos beneficiários de acordo com os períodos de recepção de ajudas ou a frequência ou natureza e montante das ajudas recebidas (13).

23.

A AEPD volta a sublinhar que o papel da protecção da vida privada e de dados não é o de impedir o acesso público à informação sempre que haja dados pessoais envolvidos, limitando indevidamente a transparência da administração da UE. A AEPD defende o ponto de vista de que o princípio da transparência «permite assegurar uma melhor participação dos cidadãos no processo decisório e garantir uma maior legitimidade, eficácia e responsabilidade da Administração perante os cidadãos num sistema democrático»; a publicação, via Internet, dos dados nominativos relativos aos beneficiários de fundos, feita adequadamente, «contribui para a adequada utilização dos fundos públicos pela Administração» e «reforça o controlo público sobre a utilização das quantias em questão» (14).

24.

Nesta base, a AEPD enfatiza que as considerações do TJUE conforme referidas nos números anteriores são directamente pertinentes para a proposta actual. Apesar da referência feita à Directiva 95/46/CE e ao Regulamento (CE) n.o 45/2001, não é assegurado que a publicação prevista cumpra os requisitos, tal como explicados pelo TJUE no acórdão Schecke. A este respeito, cumpre salientar que o TJUE não só anulou o regulamento da Comissão que incluía as regras no que respeita à publicação de informação sobre os beneficiários de fundos agrícolas (15), como também a disposição no regulamento que constitui a base jurídica do regulamento da Comissão e que continha o requisito geral de divulgar informação sempre que esta dissesse respeito a beneficiários que fossem pessoas singulares (16).

25.

A AEPD duvida seriamente que a proposta actual satisfaça os critérios expostos pelo TJUE no acórdão Schecke. Nem o artigo 31.o nem os artigos circundantes incluem um objectivo claro e bem definido visado pela publicação de informações pessoais. Além disso, a data e o formato da divulgação das informações também não são claros, pelo que se torna impossível avaliar se existe um equilíbrio adequado entre os vários interesses envolvidos e verificar, como o TJUE bem enfatiza no acórdão Schecke, se a publicação será proporcional. Adicionalmente, a forma de garantir os direitos das pessoas envolvidas não é clara.

26.

Ainda que se contemple a implementação de legislação (algo que não é afirmado inequivocamente), os esclarecimentos básicos mencionados devem ser contemplados na base jurídica que o RF deveria constituir para a divulgação de dados dessa natureza.

27.

Por conseguinte, a AEPD recomenda que o legislador clarifique o objectivo e explique a necessidade da divulgação prevista, indique a forma e o grau de divulgação dos dados pessoais, se certifique de que os dados só serão divulgados em caso de proporcionalidade e garanta que as pessoas possam invocar os seus direitos contemplados pela legislação da UE em matéria de protecção de dados.

28.

O artigo 103.o da proposta trata a possibilidade de a entidade adjudicante impor sanções administrativas ou financeiras (a) aos contratantes, candidatos ou proponentes caso estes sejam culpados de falsas declarações ao fornecer as informações exigidas pela entidade adjudicante para a sua participação no procedimento de contrato público, ou não tenham fornecido essas informações [cf. artigo 101.o, alínea b)] ou (b) aos contratantes que tenham sido declarados em situação de falta grave na execução das suas obrigações relativas a contratos financiados pelo orçamento.

29.

No artigo 103.o, n.o 1, afirma-se que a pessoa em causa deve ter a oportunidade de apresentar observações. Em conformidade com o artigo 103.o, n.o 2, as sanções referidas podem consistir na exclusão da pessoa em causa dos contratos e subvenções financiados pelo orçamento durante um período máximo de dez anos e/ou no pagamento de sanções financeiras até ao limite do valor do contrato em causa.

30.

Em comparação com a situação actual, um elemento novo da proposta é a possibilidade de a instituição mencionada no artigo 103.o, n.o 3, publicar as decisões ou o resumo das decisões que indicam o nome do operador económico, uma descrição sucinta dos factos e a duração da exclusão ou o montante das sanções financeiras.

31.

Dado que tal implica a divulgação de informações sobre pessoas singulares, esta disposição levanta algumas questões do ponto de vista da protecção de dados. Em primeiro lugar, o uso da palavra «pode» torna claro que a publicação não é obrigatória, o que, porém, deixa em aberto uma série de pontos em que o texto da proposta não proporciona clareza. Por exemplo, qual é o objectivo da divulgação? Quais são os critérios que regem a tomada de decisão relativa à divulgação por parte da instituição em causa? Durante quanto tempo ficarão as informações disponíveis ao público e através de que meio? Quem será responsável pela verificação da exactidão das informações e pela respectiva actualização? Quem informará a pessoa em causa da divulgação? Todas estas questões estão relacionadas com os requisitos relativos à qualidade dos dados contemplados pelo artigo 6.o da Directiva 95/46/CE e pelo artigo 4.o do Regulamento (CE) n.o 45/2001.

32.

É de realçar que a publicação de informações desta natureza tem um impacto negativo adicional sobre a pessoa em causa. A publicação só deve ser autorizada na estrita medida do necessário para o objectivo previsto. Os comentários feitos na Parte II, n.o 4, no contexto do acórdão do TJUE no caso Schecke são igualmente pertinentes neste quadro.

33.

Na forma actual, o texto proposto no artigo 103.o, n.o 3, não satisfaz na íntegra os requisitos da legislação de protecção de dados. Por conseguinte, a AEPD recomenda que o legislador clarifique o objectivo e explique a necessidade da divulgação prevista, indique a forma e o grau de divulgação dos dados pessoais, se certifique de que os dados só serão divulgados em caso de proporcionalidade e garanta que as pessoas possam invocar os seus direitos contemplados pela legislação da UE em matéria de protecção de dados.

34.

A proposta também implica a constituição de uma base de dados central sobre as exclusões que conterá elementos sobre os candidatos e proponentes excluídos da participação nos convites a concorrer (cf. artigo 102.o). Esta base de dados já foi adoptada com base no actual RF, sendo que o seu funcionamento é tratado com maior detalhe no Regulamento (CE) n.o 1302/2008 da Comissão. As operações de tratamento de dados pessoais no âmbito da base de dados central sobre as exclusões foram analisadas pela AEPD num parecer de controlo prévio, com data de 26 de Maio de 2010 (17).

35.

São múltiplos os destinatários dos dados disponibilizados na base de dados central sobre as exclusões. Em função da identidade de quem acede à base de dados, aplicam-se os artigos 7.o, 8.o ou 9.o do Regulamento (CE) n.o 45/2001.

36.

No parecer de controlo prévio mencionado, a AEPD concluiu que a prática actual no que diz respeito à implementação dos artigos 7.o (consulta da base de dados por outras instituições e agências da UE) e 8.o (consulta da base de dados central sobre as exclusões por autoridades e determinados organismos dos Estados-Membros) cumpre o Regulamento (CE) n.o 45/2001.

37.

No entanto, não foi possível retirar a mesma conclusão no que diz respeito à transferência de dados para autoridades de países terceiros, regulada pelo artigo 9.o do Regulamento (CE) n.o 45/2001, e que trata a transferência de dados para autoridades de países terceiros e/ou organizações internacionais. No artigo 102.o, n.o 2, afirma-se que países terceiros também terão acesso à base de dados central sobre as exclusões.

38.

O artigo 9.o, n.o 1, do Regulamento (CE) n.o 45/2001 estipula que «Os dados pessoais só podem ser transferidos para destinatários distintos das instituições e dos órgãos comunitários que não estejam sujeitos à legislação nacional aprovada por força da Directiva 95/46/CE, se for garantido um nível de protecção adequado no país do destinatário ou no quadro da organização internacional destinatária e se os dados forem transferidos exclusivamente para o desempenho de funções da competência do responsável pelo tratamento.» Em derrogação do artigo 9.o, n.o 1, o artigo 9.o, n.o 6, permite a transferência de dados para países que não proporcionam protecção adequada caso «A transferência seja necessária ou legalmente exigida por motivos de interesse público importantes (…)».

39.

No parecer de controlo prévio mencionado, a AEPD sublinhou a necessidade de medidas adicionais para assegurar que, em caso de transferência para uma organização ou país terceiro, o destinatário proporciona um nível adequado de protecção. A AEPD destaca que a determinação da adequação deve basear-se numa avaliação caso a caso, devendo incluir uma análise detalhada das circunstâncias que envolvem a operação de transferência de dados ou o conjunto de operações de transferência de dados. O RF não pode eximir a Comissão desta obrigação. Do mesmo modo, as transferências baseadas em mais do que uma das derrogações previstas no artigo 9.o devem também ser precedidas de uma avaliação caso a caso.

40.

Neste aspecto, a AEPD recomenda ao legislador o acrescento de um número ao artigo 102.o que verse especificamente sobre a protecção de dados pessoais. O número poderá começar pela primeira frase já incluída no artigo 102.o, n.o 1, mais concretamente, que «Será constituída uma base de dados central gerida pela Comissão, em observância da regulamentação comunitária relativa à protecção dos dados pessoais», à qual se deverá acrescentar que o acesso a autoridades de países terceiros só é permitido em caso de observação das condições estipuladas no artigo 9.o do Regulamento (CE) n.o 45/2001.

41.

A proposta actual tem certas implicações em matéria de protecção de dados a nível europeu, bem como a nível nacional, as quais foram discutidas no presente parecer. As referências aos instrumentos pertinentes em matéria de protecção dos dados podem ser encontradas na proposta. Porém, como foi exposto no presente parecer, é necessário aprofundar e clarificar melhor com vista a garantir o cumprimento integral do quadro jurídico da protecção de dados. A AEPD faz as seguintes recomendações: