27.10.2007   

PT

Jornal Oficial da União Europeia

C 255/1

1.

Em 7 de Março de 2007, a Comissão enviou à AEPD a sua Comunicação ao Parlamento Europeu e ao Conselho sobre o acompanhamento do programa de trabalho para uma melhor aplicação da directiva relativa à protecção de dados (3). A referida Autoridade apresenta o presente parecer nos termos do artigo 41.o do Regulamento (CE) n.o 45/2001.

2.

A comunicação reitera a importância da Directiva 95/46/CE (4) enquanto marco importante na protecção de dados pessoais e analisa a directiva, bem como a sua aplicação, em três capítulos: o passado, o presente e o futuro. A sua principal conclusão é a de que a directiva não deve ser alterada, devendo antes melhorar-se a sua aplicação através de outros instrumentos políticos, maioritariamente não vinculativos.

3.

O presente parecer da AEPD segue a estrutura da comunicação. Mais ainda, a AEPD partilha da principal conclusão da Comissão, ou seja, a de que a Directiva não deve ser alterada.

4.

Todavia, a AEPD assume esta posição também por uma questão de pragmatismo. Eis os seus pontos de partida:

5.

Estes pontos de partida são essenciais, pois é necessário ter presente que a directiva funciona num contexto dinâmico. Em primeiro lugar, a União Europeia está a mudar: a livre circulação de informações entre os Estados-Membros — e entre os Estados-Membros e os países terceiros — adquiriu maior importância e tornar-se-á uma realidade ainda mais importante. Em segundo lugar, também a sociedade está a mudar. A sociedade da informação está em evolução e apresenta cada vez mais características de uma sociedade da vigilância (5), o que implica uma maior necessidade de protecção eficaz dos dados pessoais para fazer face a estas novas realidades de modo plenamente satisfatório.

6.

Na sua avaliação da comunicação, a AEPD abordará em especial as seguintes perspectivas, pertinentes no que respeita às referidas alterações:

7.

Do primeiro relatório sobre a aplicação da directiva relativa à protecção de dados, datado de 15 de Maio de 2003, constava um programa de trabalho para uma melhor aplicação da referida directiva, com uma lista de 10 iniciativas a levar a cabo em 2003 e 2004. A comunicação dá conta do modo como foi realizada cada uma dessas acções.

8.

Com base na análise dos trabalhos efectuados no âmbito do programa de trabalho, a comunicação faz uma avaliação positiva das melhorias alcançadas na aplicação da directiva. Na avaliação da Comissão, sintetizada nos subtítulos do capítulo 2 da comunicação («O presente»), pode ler-se basicamente o seguinte: a aplicação da directiva melhorou, embora alguns Estados-Membros ainda não a apliquem correctamente; continuam a existir divergências, mas essencialmente na margem de manobra prevista na directiva e que, em todo o caso, não constituem um problema real para o mercado interno. As soluções jurídicas previstas na directiva revelaram-se essencialmente adequadas para garantir o direito fundamental à protecção de dados, ao mesmo tempo que respondem à evolução tecnológica e às condições impostas pelo interesse público.

9.

A AEPD partilha das linhas gerais desta avaliação positiva, reconhecendo sobretudo o trabalho considerável realizado no domínio da circulação transfronteiriça de dados: as verificações do nível de protecção no que respeita aos países terceiros, as novas cláusulas contratuais-tipo, a adopção das regras vinculativas das empresas, a reflexão sobre uma interpretação mais uniforme do n.o 1 do artigo 26.o da directiva e as melhorias efectuadas nas notificações nos termos do n.o 2 do artigo 26.o — todos estes elementos visam facilitar as transferências internacionais de dados pessoais. Todavia, a jurisprudência do Tribunal de Justiça (6) demonstrou que ainda há muito a fazer neste sector crucial para se acompanhar a evolução quer no domínio tecnológico quer no da aplicação da lei.

10.

A comunicação revela ainda que a execução e a sensibilização são fundamentais para promover uma melhor aplicação da directiva, devendo ser mais exploradas. Além disso, o intercâmbio de melhores práticas e a harmonização das disposições em matéria de notificação e informação constituem precedentes bem sucedidos em termos de redução da burocracia e dos custos para as empresas.

11.

Ademais, a análise do passado confirma que não se conseguem melhorias sem a participação de um vasto leque de interessados. A Comissão, as autoridades responsáveis pela protecção de dados e os Estados-Membros são os principais intervenientes na maioria das acções realizadas. Todavia, o papel do sector privado adquire uma importância cada vez maior, especialmente no tocante à promoção da auto-regulação e dos códigos de conduta europeus ou ao desenvolvimento de tecnologias de protecção da privacidade.

12.

Existem várias razões para secundar a conclusão da Comissão de que, nas actuais circunstâncias e a curto prazo, não se deve contemplar nenhuma proposta de alteração da directiva.

13.

A Comissão aduz basicamente duas razões que sustentam a conclusão: primeiro, não foram cabalmente exploradas todas as potencialidades da directiva, sendo ainda possível melhorar consideravelmente a sua aplicação nos domínios de competência dos Estados-Membros; segundo, a Comissão afirma que, embora a directiva deixe uma margem de manobra aos Estados-Membros, não existem provas de que as divergências dentro dessa margem constituam problemas reais para o mercado interno.

14.

Com base nestas duas razões, a Comissão formula a sua conclusão do seguinte modo: explica o que a directiva deveria fazer, nomeadamente garantir a confiança, afirmando depois que a directiva constitui uma referência, é tecnicamente neutra e continua a dar respostas sérias e adequadas (7).

15.

A AEPD congratula-se com o modo como esta conclusão está formulada, embora entenda que a mesma ainda pode ser reforçada com base em dois motivos adicionais:

16.

O direito fundamental das pessoas singulares à protecção dos respectivos dados pessoais é reconhecido no artigo 8.o da Carta dos Direitos Fundamentais da União e consignado, designadamente, na Convenção n.o 108 do Conselho da Europa, de 28 de Janeiro de 1981, para a Protecção das Pessoas relativamente ao Tratamento Automatizado de Dados de Carácter Pessoal. No essencial, a directiva constitui um quadro que contém os principais elementos de protecção desse direito fundamental, consubstanciando e ampliando os direitos e liberdades contidos na Convenção (8).

17.

Um direito fundamental visa proteger os cidadãos em todas as circunstâncias numa sociedade democrática. Os principais elementos de um direito desta natureza não devem ser alterados com facilidade em função da evolução da sociedade ou das preferências políticas dos governos no poder. Por exemplo, as ameaças feitas à sociedade por organizações terroristas podem conduzir a um resultado diferente em determinados casos, porquanto pode haver necessidade de uma maior interferência num direito fundamental de uma pessoa, mas nunca podem afectar os elementos essenciais do próprio direito, nem privar alguém de o exercer ou restringir indevidamente o seu exercício.

18.

A segunda característica da directiva consiste em prever a promoção da livre circulação de informações no mercado interno. Este segundo objectivo também pode ser considerado fundamental num mercado interno em constante evolução e sem fronteiras internas. A harmonização das disposições essenciais do direito nacional é um dos principais instrumentos para garantir a realização e o funcionamento desse mercado interno; consubstancia a confiança mútua, entre os Estados-Membros, nos respectivos ordenamentos jurídicos nacionais. Também por estas razões há que ponderar devidamente as alterações, pois podem afectar essa confiança recíproca.

19.

A terceira característica da directiva é que deve ser encarada como um quadro geral no qual se baseiam instrumentos jurídicos específicos, que incluem medidas de execução do quadro geral, bem como quadros específicos para determinados sectores. A Directiva 2002/58/CE relativa à privacidade e às comunicações electrónicas (9) constitui um desses quadros específicos. Sempre que possível, a evolução da sociedade deverá conduzir a alterações das medidas de execução ou dos quadros jurídicos específicos, e não do quadro geral em que se baseiam.

20.

No entender da AEPD, a conclusão de não alterar para já a directiva é também a consequência lógica dos princípios gerais de boa administração e política legislativa. Só devem ser apresentadas as propostas legislativas — independentemente de implicarem novos domínios de acção comunitária ou alterarem instrumentos legislativos vigentes — cuja necessidade e proporcionalidade forem suficientemente demonstradas. Não deve ser apresentada nenhuma proposta legislativa se se puder atingir o mesmo resultado utilizando outros instrumentos de menor alcance.

21.

Nas actuais circunstâncias, não se demonstrou a necessidade e proporcionalidade de uma alteração da directiva. A AEPD recorda que a directiva estabelece um quadro geral para a protecção de dados nos termos do direito comunitário. Deve assegurar, por um lado, a protecção dos direitos e liberdades das pessoas, nomeadamente do direito à privacidade, no domínio do tratamento de dados pessoais e, por outro, a livre circulação de dados pessoais no mercado interno.

22.

Este quadro geral não deve ser alterado enquanto não tiver sido plenamente aplicado nos Estados-Membros, a menos que haja indicações claras de que os objectivos da directiva não podem ser cumpridos no âmbito do referido quadro. No entender da AEPD a Comissão justificou adequadamente — nas actuais circunstâncias — a ideia de que não foram cabalmente exploradas todas as potencialidades da directiva (cf. Capítulo III do presente parecer). Também não existem provas de que os objectivos não possam ser atingidos no âmbito do actual quadro.

23.

Há que velar também futuramente por que os princípios em matéria de protecção de dados ofereçam uma protecção eficaz às pessoas singulares, tendo presentes o contexto dinâmico em que a directiva funciona (cf. o ponto 5 do presente parecer) e as perspectivas enunciadas no ponto 6: melhor aplicação, interacção com a tecnologia, privacidade e competência a nível global, protecção de dados e aplicação da lei, bem como um Tratado Reformador. Esta necessidade de plena aplicação dos princípios em matéria de protecção de dados estabelece as normas para as futuras alterações da directiva. A AEPD recorda mais uma vez que, a longo prazo, se afigura inevitável alterar a directiva.

24.

No que respeita ao cerne de eventuais futuras medidas, a AEPD faculta desde já alguns elementos que considera essenciais em qualquer sistema futuro de protecção de dados na União Europeia, a saber:

25.

Relativamente aos desafios colocados pelas novas tecnologias, a comunicação menciona o exame em curso da Directiva 2002/58/CE e a eventual necessidade de normas mais específicas que permitam abordar as questões da protecção de dados suscitadas por novas tecnologias como a Internet e a RFID (10). A AEPD congratula-se com esse exame e com essas futuras medidas, que no seu entender não deveriam, contudo, prender-se apenas com a evolução tecnológica, mas ter em conta todo o contexto dinâmico e, numa perspectiva a longo prazo, incluir também a Directiva 95/46/CE. Além disso, é necessária uma maior focalização neste contexto. Infelizmente, a comunicação deixa vários pontos em aberto:

A AEPD sugere que a Comissão especifique estes elementos.

26.

Qualquer futura alteração deve ser precedida da plena aplicação das actuais disposições da directiva. Essa aplicação começa pelo cumprimento dos requisitos jurídicos da directiva. Pode ler-se na comunicação (11) que alguns Estados-Membros não conseguiram incorporar importantes disposições da directiva, destacando nomeadamente a este respeito as disposições relativas à independência das autoridades de controlo. Cabe à Comissão controlar o cumprimento dessas disposições e, se considerar adequado, fazer uso dos poderes que lhe são conferidos pelo artigo 226.o do TCE.

27.

A comunicação prevê uma comunicação interpretativa sobre algumas disposições, em especial as que podem culminar em processos formais por incumprimento, nos termos do artigo 226.o do TCE.

28.

Além disso, a directiva apresenta outros mecanismos para melhorar a aplicação. Nomeadamente, as atribuições do Grupo do artigo 29.o, enumeradas no artigo 30.o da directiva, que foram concebidas para esse efeito, visam fomentar a aplicação nos Estados-Membros a um nível elevado e harmonizado de protecção de dados que exceda o estritamente necessário para cumprir as obrigações da directiva. No exercício das suas funções, o referido grupo elaborou ao longo dos anos inúmeros pareceres e outros documentos.

29.

Segundo a AEPD, a plena aplicação da directiva inclui os dois seguintes elementos:

A AEPD sublinha que é necessário fazer uma distinção clara entre estes dois elementos, em virtude das diferentes consequências do ponto de vista jurídico e das responsabilidades conexas. Concretamente, a Comissão deveria ter plenas competências no que respeita ao primeiro elemento, enquanto que o grupo acima mencionado deveria desempenhar o papel principal no que se refere ao segundo elemento.

30.

Outra distinção, mais precisa, que é igualmente necessário fazer está relacionada com os instrumentos disponíveis para alcançar uma melhor aplicação da directiva. Entre estes contam-se:

31.

A AEPD sugere à Comissão que indique claramente como irá utilizar estes diferentes instrumentos quando elaborar as suas políticas com base na presente comunicação. Neste contexto, a Comissão deverá também estabelecer uma distinção clara entre o que é da sua competência e o que é da competência do Grupo. Para além disso, é evidente que uma boa cooperação entre a Comissão e o Grupo é, em todas as circunstâncias, uma condição necessária para o êxito.

32.

Parte-se do princípio de que as disposições da directiva são formuladas de modo tecnicamente neutro. A comunicação estabelece um elo entre a tónica dada à neutralidade tecnológica e um certo número de progressos tecnológicos, tais como a Internet, os serviços de acesso prestados em países terceiros, o RFID e a combinação de dados constituídos por sons ou imagens com reconhecimento automático. A comunicação distingue dois tipos de acções: primeiro, orientações precisas sobre a aplicação dos princípios relativos à protecção de dados num ambiente tecnológico em evolução, desempenhando o Grupo, e o seu Grupo de Missão da Internet (13), um papel importante neste contexto; segundo, a elaboração de legislação sectorial específica, que poderia ser proposta pela própria Comissão.

33.

A AEPD congratula-se com esta abordagem, que constitui uma primeira etapa importante. Todavia, a longo prazo, poderão ser necessárias outras medidas de carácter mais essencial. A comunicação poderá constituir um ponto de partida para esta abordagem a longo prazo. A AEPD sugere que na sequência da comunicação seja lançado o debate sobre a referida abordagem. Os pontos seguidamente enumerados poderão eventualmente fazer parte dessa abordagem.

34.

Em primeiro lugar, a interacção com as tecnologias funciona do seguinte modo: por um lado, as novas tecnologias em desenvolvimento podem fazer com que seja necessário alterar o quadro jurídico que rege a protecção de dados. Por outro lado, a necessidade de proteger de modo eficaz os dados de carácter pessoal das pessoas singulares pode exigir que sejam impostas novas limitações ou definidas garantias adequadas sobre a utilização de certas tecnologias, o que constitui uma consequência ainda mais vasta. No entanto, as novas tecnologias poderão igualmente ser utilizadas, de modo eficaz e fidedigno, em moldes que respeitem a vida privada.

35.

Em segundo lugar, poderão ser necessárias certas limitações específicas se as novas tecnologias forem utilizadas por instituições estatais no exercício das suas funções públicas. Os debates sobre a interoperabilidade e o acesso aos dados que estão actualmente em curso no espaço de liberdade, de segurança e de justiça, a propósito da aplicação do Programa da Haia, constituem um bom exemplo (14).

36.

Em terceiro lugar, existe uma tendência cada vez maior para a utilização de material biométrico, como o material ADN, mas não só. Os desafios específicos lançados pela utilização de dados pessoais extraídos deste tipo de material poderão ter consequências para a legislação relativa à protecção de dados.

37.

Em quarto lugar, há que constatar que a própria sociedade evolui e se parece cada vez mais com uma sociedade da vigilância (15). Esta evolução deverá ser objecto de um debate de fundo, no âmbito do qual poderão ser abordadas questões essenciais, como saber se tal evolução é inevitável; se é da competência do legislador europeu intervir na mesma, a fim de a limitar, e se, e como, poderá tomar medidas eficazes, etc..

38.

A noção de respeito da vida privada e de competência a nível mundial desempenha um papel limitado na comunicação. Neste contexto, a única intenção é a de que a Comissão continuará a exercer o seu acompanhamento e a contribuir para os debates nas instâncias internacionais, por forma a garantir a coerência entre os compromissos assumidos pelos Estados-Membros e as obrigações que lhes são impostas pela directiva. Para além disso, a comunicação enumera diversas acções realizadas tendo em vista simplificar as obrigações em matéria de transferências internacionais (cf. Capítulo III do presente parecer).

39.

A AEPD lamenta que a comunicação não tenha dado um lugar de maior destaque a esta questão.

40.

Actualmente, o Capítulo IV da directiva (artigos 25.o e 26.o) prevê um regime especial aplicável à transferência de dados para países terceiros, para além das regras gerais relativas à protecção de dados. Este regime foi elaborado ao longo dos anos com o objectivo de encontrar um justo equilíbrio entre a protecção das pessoas cujos dados devam ser transferidos para países terceiros e, nomeadamente, os imperativos do comércio internacional e a realidade das redes mundiais de telecomunicações. A Comissão e o Grupo (16), e também, por exemplo, a Câmara de Comércio Internacional, envidaram muitos esforços para que este sistema funcione, através de verificações da adequação, cláusulas contratuais-tipo, regras vinculativas das empresas, etc..

41.

O acórdão do Tribunal de Justiça no processo Lindqvist  (17) reveste uma importância especial para a aplicabilidade do sistema à Internet. O Tribunal de Justiça, após ter sublinhado o carácter ubíquo das informações que se encontram na Internet, decidiu que a inscrição de dados numa página Internet — ainda que os dados se tornem deste modo acessíveis às pessoas de países terceiros que tenham os meios técnicos de aceder aos mesmos — não constitui transferência para um país terceiro.

42.

Este sistema, que é uma consequência lógica e necessária das limitações territoriais da União Europeia, não pode oferecer uma protecção completa ao titular de dados europeu numa sociedade que funciona em rede, onde as fronteiras físicas perdem a sua importância (ver os exemplos referidos no ponto 6 do presente parecer): a informação que se encontra na Internet é omnipresente, mas a competência do legislador europeu não o é.

43.

O desafio consistirá em encontrar soluções práticas que conciliem a necessidade de proteger os titulares de dados europeus com as limitações territoriais da União Europeia e dos seus Estados-Membros. A AEPD — no seu comentário sobre a comunicação da Comissão intitulada «Uma estratégia relativa à dimensão externa do espaço de liberdade, segurança e justiça» — já encorajou a Comissão a desempenhar um papel proactivo, a fim de promover a protecção dos dados pessoais a nível internacional, apoiando as abordagens bilaterais e multilaterais com os países terceiros e a cooperação com outras organizações internacionais (18).

44.

Tais soluções práticas incluem nomeadamente:

45.

Nenhuma destas soluções é nova. Todavia, é necessário ter uma visão sobre o modo de utilizar esses métodos o mais eficazmente possível e de garantir que as normas relativas à protecção de dados — que são qualificadas como direitos fundamentais na União Europeia — sejam também eficazes numa sociedade que funciona em rede à escala mundial. A AEPD convida a Comissão a começar a desenvolver esta visão com as principais partes interessadas.

46.

A comunicação dá particular atenção às condições impostas pelo interesse público, nomeadamente em matéria de segurança. Explica o n.o 2 do artigo 3.o da directiva e a interpretação dada pelo Tribunal de Justiça no seu acórdão PNR (19), bem como o artigo 13.o da directiva, nomeadamente em conjugação com a jurisprudência do Tribunal Europeu dos Direitos do Homem. Além disso, a comunicação sublinha que, quando concilia medidas destinadas a garantir a segurança com direitos fundamentais não negociáveis, a Comissão vela por que os dados pessoais sejam protegidos, como garantido no artigo 8.o da CEDH. Este princípio aplica-se também ao diálogo transatlântico com os Estados Unidos da América.

47.

A AEPD considera que é importante que a Comissão reitere com igual clareza as obrigações, que incumbem à União em conformidade com o artigo 6.o do TUE, de respeitar os direitos fundamentais como garantido pela Convenção Europeia dos Direitos do Homem. Esta declaração é tanto mais importante agora que o Conselho Europeu decidiu que, por força do Tratado Reformador, a Carta dos Direitos Fundamentais da União Europeia deverá ser juridicamente vinculativa. O artigo 8.o da Carta prevê que todas as pessoas têm direito à protecção dos dados de carácter pessoal que lhes digam respeito.

48.

É do conhecimento geral que os pedidos apresentados pelos serviços de aplicação da lei no sentido de poderem utilizar de modo mais alargado os dados de carácter pessoal para efeitos de luta contra a criminalidade — para não referir a luta contra o terrorismo — apresentam o risco de reduzir o nível de protecção do cidadão, mesmo abaixo do nível garantido pelo artigo 8.o da CEDH e/ou pela Convenção n.o 108 do Conselho da Europa (20). Estas preocupações constituem um dos elementos principais do terceiro parecer da AEPD, publicado em 27 de Abril de 2007, sobre a proposta de decisão-quadro do Conselho relativa à protecção dos dados pessoais tratados no âmbito da cooperação policial e judiciária em matéria penal.

49.

Neste contexto é essencial tomar como base, para efeitos de protecção do cidadão, a norma de protecção definida pela directiva, inclusive em relação aos pedidos apresentados pelos serviços de aplicação da lei. A CEDH e a Convenção n.o 108 prevêem um nível mínimo de protecção, mas não dão a precisão necessária. Além disso, foi necessário adoptar medidas complementares para garantir uma protecção adequada do cidadão. Esta necessidade foi um dos principais factores que levaram à adopção da directiva em 1995 (21).

50.

É também fundamental que este nível de protecção seja garantido de modo eficaz em todas as situações em que os dados pessoais sejam tratados para fins repressivos. Embora a comunicação não tenha por objecto o tratamento de dados no terceiro pilar, trata pertinentemente da situação em que os dados recolhidos (e tratados) para efeitos comerciais são utilizados para fins repressivos. Esta é uma situação que se está a generalizar, uma vez que os serviços de polícia recorrem cada vez mais a informações que estão na posse de terceiros. A Directiva 2006/24/CE (22) é a melhor ilustração desta tendência: esta directiva obriga os fornecedores de comunicações electrónicas a conservar (durante um período mais longo) os dados que recolheram (e armazenaram) para efeitos comerciais, a fim de responderem às necessidades dos serviços de aplicação da lei. Segundo a AEPD, há que garantir plenamente que os dados pessoais recolhidos e tratados no quadro da directiva sejam devidamente protegidos quando utilizados para fins ligados ao interesse público e, nomeadamente, para efeitos de segurança e de luta contra o terrorismo. Todavia, em certos casos, estas últimas finalidades poderão ultrapassar o âmbito de aplicação da directiva.

51.

Estas observações levam a AEPD a apresentar à Comissão as seguintes sugestões:

52.

A Comissão aflora na sua comunicação o impacto — enorme — do Tratado Constitucional no domínio da protecção de dados. Com efeito, esse Tratado — actualmente o Tratado Reformador — é de uma importância vital nesta matéria. O Tratado porá termo à estrutura em pilares, a disposição relativa à protecção de dados (actualmente o artigo 286.o do CE) será esclarecida e a Carta dos Direitos Fundamentais da União Europeia, que inclui no seu artigo 8.o uma disposição relativa à protecção de dados, passará a ser um instrumento vinculativo.

53.

O mandato da Conferência Intergovernamental (CIG) contempla especificamente a protecção de dados. Na alínea f) do seu ponto 19 são feitas essencialmente três afirmações. Em primeiro lugar, as regras gerais em matéria de protecção de dados não prejudicam as regras específicas adoptadas no âmbito do Título PESC (actual segundo pilar). Em segundo lugar, será aprovada uma declaração sobre a protecção de dados no âmbito da cooperação policial e judiciária em matéria penal (actual terceiro pilar). E, em terceiro lugar, serão aprovadas menções específicas nos protocolos pertinentes sobre a posição de cada Estado-Membro (este aspecto está sobretudo relacionado com a posição específica do Reino Unido no que se refere à cooperação policial e judiciária em matéria penal).

54.

É o segundo aspecto — a declaração — que terá de ser esclarecido a nível da CIG. Haverá que ponderar devidamente as consequências do fim da estrutura em pilares, assim como a possível aplicabilidade da directiva relativa à cooperação policial e judiciária em matéria penal, por forma a assegurar uma aplicação tão ampla quanto possível dos princípios de protecção de dados consignados na directiva. O presente parecer não é a via mais apropriada para aprofundar esta questão. A AEPD enviou à Presidência da CIG uma carta com sugestões para a declaração. (25)

55.

A comunicação faz referência a uma série de instrumentos e acções que poderão contribuir para melhorar no futuro a aplicação da directiva. A AEPD gostaria de fazer alguns comentários a este respeito, explorando simultaneamente outros instrumentos suplementares que não são mencionados na comunicação.

56.

Em certos casos, pode ser necessária uma acção legislativa específica a nível da UE. A adopção de legislação sectorial, por exemplo, poderá vir a revelar-se necessária a fim de adaptar os princípios da directiva às questões suscitadas por algumas tecnologias, como no caso das directivas relativas à privacidade no sector das telecomunicações. Convirá reflectir seriamente sobre o recurso a legislação específica, designadamente em sectores como as tecnologias RFID (identificação por radiofrequência).

57.

O instrumento mais poderoso referido na comunicação é o processo por incumprimento. A comunicação identifica uma matéria problemática específica, nomeadamente a independência e as competências das autoridades responsáveis pela protecção de dados, e apenas se refere a outras matérias em termos gerais. A AEPD partilha da opinião de que os processos por incumprimento constituem um instrumento essencial e inevitável, se os Estados-Membros não assegurarem a implementação integral da directiva, especialmente tendo em conta que já decorreram quase nove anos desde o prazo de implementação da directiva e que já teve lugar o diálogo estruturado previsto no programa de trabalho. Todavia, até hoje, não foi instaurado no Tribunal de Justiça nenhum processo por incumprimento da Directiva 95/46.

58.

Uma análise comparativa de todos os casos de transposição supostamente incorrecta ou incompleta (26), bem como uma comunicação interpretativa, podem certamente melhorar a coesão do papel da Comissão enquanto guardiã dos Tratados. Porém, a preparação destes instrumentos, que pode exigir um certo tempo e algum esforço, não deverá provocar atrasos nos processos por incumprimento nos domínios em que já tenha sido claramente identificada pela Comissão uma transposição ou uma prática incorrecta.

59.

Por conseguinte, a AEPD exorta a Comissão a procurar obter uma melhor implementação da directiva, se necessário através de processos por incumprimento. Neste contexto, a AEDP utilizará as suas competências de intervenção perante o Tribunal de Justiça a fim de intervir, se for caso disso, em processos por incumprimento relativos à implementação da Directiva 95/46 ou a outros instrumentos jurídicos no domínio da protecção de dados pessoais.

60.

A comunicação refere-se igualmente a uma comunicação sobre a interpretação de algumas disposições, na qual a Comissão tenciona clarificar a sua interpretação das disposições da directiva cuja implementação é considerada problemática e pode, portanto, conduzir a processos por incumprimento. A AEPD congratula-se pelo facto de que, neste contexto, a Comissão levará em conta o trabalho em matéria de interpretação conduzido pelo Grupo. De facto, é essencial que a posição do Grupo seja devidamente tida em conta quando for redigida a esperada comunicação interpretativa e que o Grupo seja convenientemente consultado, de modo a contribuir com a sua experiência sobre a aplicação da directiva a nível nacional.

61.

Além disso, a AEDP confirma a sua disponibilidade para aconselhar a Comissão em todas as matérias relativas à protecção de dados pessoais. O mesmo é válido no que se refere aos instrumentos, tais como comunicações da Comissão, que não são vinculativos mas que no entanto têm por objectivo definir a política da Comissão no domínio da protecção de dados pessoais. No caso das comunicações, para que esse papel de aconselhamento seja eficaz, a consulta à AEPD deverá ter lugar antes de a comunicação interpretativa ser adoptada (27). O papel de aconselhamento tanto do Grupo do artigo 29.o como da AEPD proporcionará mais-valia a essa comunicação, ao mesmo tempo que preservará a independência da Comissão ao decidir autonomamente do início de processos por incumprimento relativos à implementação da directiva.

62.

A AEPD regista com agrado que a comunicação tratará apenas um número limitado de artigos, permitindo assim focar a atenção em questões mais sensíveis. Nesta perspectiva, a AEPD chama a atenção da Comissão para as seguintes questões, que merecem especial atenção na comunicação interpretativa:

63.

Outros instrumentos, não vinculativos, deverão desenvolver de modo proactivo a conformidade com os princípios de protecção de dados, especialmente nos novos ambientes tecnológicos. Essas medidas deverão assentar no princípio da «privacidade na concepção», assegurando que a arquitectura das novas tecnologias seja desenvolvida e concebida tendo convenientemente em conta os princípios da protecção de dados. A promoção de produtos tecnológicos conformes com a privacidade deverá ser um elemento crucial num contexto em que se está a desenvolver rapidamente a utilização omnipresente de computadores.

64.

Estreitamente associada a tudo isto encontra-se a necessidade de alargar o leque de interessados no reforço da legislação em matéria de protecção de dados. Por um lado, a AEPD apoia decididamente o papel fundamental das autoridades responsáveis pela protecção de dados na aplicação dos princípios da directiva, mediante a plena utilização das suas competências e das possibilidades de coordenação no seio do Grupo do artigo 29.o. A aplicação mais efectiva da directiva é igualmente um dos objectivos da «iniciativa de Londres».

65.

Por outro lado, a AEPD salienta a conveniência de promover a aplicação dos princípios da protecção de dados no sector privado, através da auto-regulação e da concorrência. A indústria deverá ser incentivada a implementar os princípios da protecção de dados e a competir no desenvolvimento de produtos e serviços que respeitem a privacidade, como forma de expandir a sua posição no mercado respondendo melhor às expectativas dos consumidores que desejam proteger a sua privacidade. Neste contexto, pode-se considerar um bom exemplo a criação de rótulos de protecção da privacidade, que poderão ser atribuídos a produtos e serviços previamente submetidos a um processo de certificação (29).

66.

A AEPD gostaria também de chamar a atenção da Comissão para outras ferramentas que, embora não referidas na comunicação, poderão revelar-se úteis para uma melhor implementação da directiva. Eis alguns exemplos de ferramentas susceptíveis de ajudar as autoridades responsáveis pela protecção de dados a melhor fazer aplicar a legislação em matéria de protecção de dados:

67.

Por último, a AEPD faz referência a outros instrumentos que não são mencionados na comunicação, mas que poderão ser tomados em consideração quer para uma futura alteração da directiva quer para inclusão noutra legislação horizontal, nomeadamente:

68.

Diversos intervenientes institucionais têm responsabilidades no que se refere à implementação da directiva. As autoridades de controlo dos Estados-Membros são, nos termos do artigo 28.o da directiva, responsáveis pela fiscalização da aplicação das disposições nacionais de transposição da directiva nos Estados-Membros. O artigo 29.o cria o Grupo das autoridades de controlo, enquanto que o artigo 30.o enumera as suas atribuições. Nos termos do artigo 31.o, a Comissão é assistida, no que se refere às medidas de execução a nível da Comunidade, por um comité composto por representantes dos Governos dos Estados-Membros (um Comité de «Comitologia»).

69.

É necessário definir melhor as responsabilidades dos diversos intervenientes, em particular no que se refere ao Grupo (e às suas actividades). O n.o 1 do artigo 30.o enumera quatro funções do Grupo que podem ser sintetizadas do seguinte modo: analisar a aplicação da directiva a nível nacional, com vista à sua uniformidade, e dar parecer sobre a evolução a nível comunitário: nível de protecção, propostas legislativas e códigos de conduta. Esta lista demonstra a ampla responsabilidade do Grupo no domínio da protecção de dados — também patenteada nos documentos apresentados pelo Grupo ao longo dos anos.

70.

Segundo a comunicação, o Grupo «representa um elemento fundamental para garantir a coerência e uma melhor aplicação.» A AEDP subscreve inteiramente esta afirmação, mas considera igualmente necessário clarificar alguns elementos específicos das responsabilidades.

71.

Em primeiro lugar, a comunicação insiste em que o contributo do Grupo seja melhorado, na medida em que as autoridades nacionais deverão esforçar-se por adaptar as suas práticas nacionais à orientação comum (30). A AEPD congratula-se com a intenção expressa nesta afirmação, mas adverte que pode haver confusão de responsabilidades. Nos termos do artigo 211.o do Tratado CE, cabe à Comissão velar pela aplicação da legislação nos Estados-Membros, inclusive por parte das autoridades de controlo. O Grupo, enquanto conselheiro independente, não pode ser responsabilizado pela aplicação dos seus pareceres pelas autoridades nacionais.

72.

Em segundo lugar, a Comissão deve estar consciente dos seus diferentes papéis no Grupo, dado que não só é membro do Grupo, mas também assegura o seu secretariado. No exercício deste seu segundo papel, a Comissão deve apoiar o Grupo de forma a que este possa efectuar o seu trabalho de modo independente. Isto significa basicamente duas coisas: que a Comissão deve facultar os recursos necessários e que o secretariado deve trabalhar segundo as instruções do Grupo e do seu Presidente no que se refere ao conteúdo e ao âmbito das actividades do Grupo, bem como à natureza dos seus resultados. De modo mais geral, as actividades da Comissão, no cumprimento dos seus outros deveres decorrentes da legislação comunitária, não deverão afectar a sua disponibilidade como secretariado.

73.

Em terceiro lugar, embora o Grupo tenha liberdade para definir as suas próprias prioridades, a Comissão poderá indicar o que espera do Grupo e como considera que os recursos disponíveis podem ser utilizados da melhor forma.

74.

Em quarto lugar, a AEPD lamenta que a comunicação não apresente indicações claras sobre a repartição dos papéis entre a Comissão e o Grupo. A AEPD convida a Comissão a apresentar ao Grupo um documento no qual sejam apresentadas essas indicações. A AEPD tem as seguintes sugestões para as questões a incluir no referido documento:

75.

A AEPD partilha da principal conclusão da Comissão, ou seja, que a directiva não deve ser alterada a curto prazo. Esta conclusão poderá ser reforçada tendo igualmente em conta a natureza da directiva e a política legislativa da União.

76.

Eis os seus pontos de partida da AEPD:

77.

Nas futuras alterações há que ter principalmente em conta os seguintes elementos:

78.

A AEPD sugere que a Comissão defina: um calendário para as actividades referidas no Capítulo 3 da comunicação; um prazo para a subsequente apresentação de um relatório sobre a aplicação da directiva; um mandato para avaliar a realização das actividades previstas; indicações sobre como proceder a longo prazo.

79.

A AEPD congratula-se com a abordagem relativa à tecnologia, que considera um importante primeiro passo, e sugere que se inicie o debate sobre uma abordagem a longo prazo que contemple, nomeadamente, um debate de fundo sobre o desenvolvimento de uma sociedade da vigilância. Congratula-se igualmente com o exame em curso da Directiva 2002/58/CE e com a eventual necessidade de normas mais específicas que permitam abordar as questões da protecção de dados suscitadas pelas novas tecnologias como a Internet ou a identificação por radiofrequência. Estas acções deverão ter em conta o contexto dinâmico no seu todo e, numa perspectiva a longo prazo, incluir também a Directiva 95/46/CE.

80.

A AEPD lamenta que a comunicação dê à perspectiva da privacidade e competência a nível mundial uma importância limitada, e apela a que sejam procuradas soluções práticas que conciliem a necessidade de proteger os titulares europeus de dados com as limitações territoriais da União Europeia e dos seus Estados-Membros, apontando, entre as soluções possíveis: um maior desenvolvimento do quadro mundial para a protecção de dados; um maior desenvolvimento do regime especial aplicável à transferência de dados para países terceiros; a celebração de acordos internacionais em matéria de competência ou acordos similares com países terceiros; o investimento em mecanismos destinados a garantir o respeito das normas a nível mundial, nomeadamente o recurso, pelas empresas multinacionais, a regras vinculativas para as empresas.

A AEPD convida a Comissão a começar a elaborar uma visão sobre esta perspectiva, em associação com as principais partes interessadas.

81.

Em matéria de aplicação da lei, a AEPD apresenta à Comissão as seguintes sugestões:

82.

A plena aplicação da directiva significa: 1) que seja assegurado que os Estados-Membros cumpram integralmente as obrigações que lhes são impostas pelo direito europeu; e 2) que sejam plenamente utilizados outros instrumentos, não vinculativos, que possam ser úteis para garantir um nível elevado e harmonizado de protecção de dados. A AEPD solicita à Comissão que indique claramente de que forma utilizará os diferentes instrumentos e como distingue as suas próprias competências das que incumbem ao Grupo.

83.

No que respeita a esses instrumentos:

84.

A AEPD convida a Comissão a apresentar ao Grupo um documento que dê indicações claras quanto à repartição de papéis entre a Comissão e o Grupo e que contemple as seguintes questões:

85.

Há que estudar devidamente as consequências do Tratado Reformador, por forma a assegurar uma aplicação tão ampla quanto possível dos princípios da protecção de dados consignados na directiva. A AEPD enviou à Presidência da CIG uma carta com sugestões a este respeito.