16.10.2010   

PT

Jornal Oficial da União Europeia

C 280/16

1.

Em 3 de Dezembro de 2008, a Comissão adoptou uma proposta de directiva do Parlamento Europeu e do Conselho relativa aos resíduos de equipamentos eléctricos e electrónicos (REEE) (a seguir designada por «a proposta») (1). A proposta tem o propósito de reformular a Directiva 2002/96/CE relativa aos resíduos de equipamentos eléctricos e electrónicos (REEE), adoptada em 27 de Janeiro de 2003 (a seguir designada por «a directiva») (2) sem mudar a motivação e a fundamentação da recolha e da reciclagem de REEE.

2.

A AEPD não foi consultada, apesar de tal consulta ser exigida no artigo 28.o, n.o 2, do Regulamento (CE) n.o 45/2001 (3). Por iniciativa própria, a AEPD adoptou o presente parecer com base no artigo 41.o, n.o 2, do mesmo regulamento. A AEPD recomenda que seja feita referência a este parecer no preâmbulo da proposta.

3.

A AEPD está ciente de que o parecer surge numa fase tardia do processo legislativo, mas ainda assim considera que é adequado e útil formulá-lo, uma vez que a proposta suscita importantes questões de protecção de dados, que não são abordadas no texto. O presente parecer não se destina a alterar o objectivo e o conteúdo principais e predominantes da proposta, cujo «centro de gravidade» (4) continua a ser a protecção do ambiente, mas apenas a conferir-lhe uma dimensão adicional, que se está a tornar cada vez mais importante para a nossa sociedade da informação (5).

4.

A AEPD, também ciente do âmbito limitado do procedimento de reformulação, insta, todavia, o legislador a ter em conta estas recomendações, nos termos do ponto 8 do Acordo Interinstitucional relativo ao procedimento de reformulação (que prevê a possibilidade de introduzir alterações nas disposições inalteradas) (6).

5.

O objectivo da proposta é actualizar a directiva existente relativa à eliminação, reutilização e reciclagem dos REEE. Os problemas técnicos, jurídicos e administrativos registados nos primeiros anos de aplicação da directiva conduziram à apresentação da proposta, que estava prevista no artigo 17.o, n.o 5, da directiva.

6.

Os equipamentos eléctricos e electrónicos (EEE) constituem um vasto grupo de produtos que inclui um conjunto variado de suportes capazes de armazenar dados pessoais — como os equipamentos informáticos e de telecomunicações (designadamente, computadores pessoais, computadores portáteis e terminais de comunicações electrónicos) — caracterizados, no actual contexto técnico e económico, por ciclos de inovação cada vez mais rápidos e, devido à convergência tecnológica, pela disponibilidade de equipamentos polivalentes. A evolução dos suportes electrónicos de armazenamento está a acelerar rapidamente, sobretudo no que diz respeito à capacidade de armazenamento e à dimensão, e consequentemente as forças de mercado levam a que a rotação dos EEE (que contêm grandes quantidades de dados pessoais, muitas vezes de natureza sensível) acelere em conformidade. Deste modo, não só os REEE «são considerados como o fluxo de resíduos que cresce mais rapidamente na UE» (7), como também há, em caso de eliminação inadequada, um risco manifestamente acrescido de perda e dispersão dos dados pessoais armazenados neste tipo de equipamentos.

7.

Há muito tempo que as políticas da União Europeia em matéria de ambiente e desenvolvimento sustentável procuram reduzir o desperdício dos recursos naturais e introduzir medidas para prevenir a poluição.

8.

A eliminação, a reutilização e a reciclagem dos REEE estão incluídas neste quadro. Essas medidas procuram evitar a eliminação dos resíduos dos equipamentos eléctricos e electrónicos juntamente com os resíduos mistos, obrigando os produtores a assegurar que a eliminação é efectuada em conformidade com as prescrições da directiva.

9.

Entre as várias medidas previstas pela directiva, importa destacar, em particular, as que visam reutilizar (isto é, qualquer operação através da qual os REEE ou os seus componentes sejam utilizados para o mesmo fim para que foram concebidos, incluindo o prosseguimento da utilização dos equipamentos ou dos respectivos componentes que forem entregues em centros de recolha, distribuidores, instalações de reciclagem ou fabricantes), reciclar (isto é, o reprocessamento, no âmbito de um processo de produção, dos materiais residuais para o fim original ou para outros fins) e encontrar outras formas de valorização dos REEE, de modo a reduzir a quantidade de resíduos a eliminar [ver artigos 1.o e 3.o, alínea d) e e), da directiva].

10.

Estas operações, nomeadamente a reutilização e a reciclagem dos REEE, sobretudo de equipamentos informáticos e de telecomunicações, podem apresentar um risco, maior do que no passado, de as pessoas que recolhem os REEE, ou que vendem e compram os equipamentos usados ou reciclados, tomarem conhecimento de eventuais dados pessoais neles armazenados. Esses dados podem ser, frequentemente, de natureza sensível ou dizerem respeito a um grande número de pessoas.

11.

Por todos estas razões, a AEPD considera urgente que todas as partes interessadas (utilizadores e produtores de equipamentos eléctricos e electrónicos) sejam sensibilizadas para os riscos que correm os dados pessoais, especialmente na fase final do ciclo de vida dos EEE. Nessa fase, apesar de os EEE terem menos valor económico, é provável que contenham uma grande quantidade de dados pessoais, sendo, por isso, susceptíveis de ter um elevado valor «intrínseco» para o titular dos dados e/ou outras pessoas.

12.

A AEPD não tem observações a fazer sobre o objectivo geral da proposta e apoia inteiramente a iniciativa tomada, que se destina a melhorar as políticas respeitadoras do ambiente no domínio dos REEE.

13.

Contudo, a proposta, bem como a directiva, está unicamente centrada nos riscos ambientais relacionados com a eliminação dos REEE. Não tem em conta outros riscos adicionais para as pessoas singulares e/ou organizações que possam surgir das operações de eliminação, reutilização ou reciclagem de REEE, nomeadamente os que se prendem com a probabilidade de uma aquisição, difusão ou divulgação indevidas dos dados pessoais armazenados nos REEE.

14.

É importante referir que a Directiva 95/46/CE (8) é aplicável a «qualquer operação ou conjunto de operações efectuadas sobre dados pessoais», incluindo o seu «apagamento ou destruição» [artigo 2.o, alínea b)]. A eliminação dos EEE pode envolver operações de tratamento de dados. Por este motivo, há uma sobreposição entre a proposta e a supramencionada directiva e, como tal, as regras de protecção de dados podem ser aplicadas a actividades abrangidas pela proposta.

15.

A AEPD pretende realçar os riscos significativos que podem afectar as pessoas singulares e/ou as organizações que actuam como «responsáveis pelo tratamento» (9) nos casos em que os REEE, em especial os equipamentos informáticos e de telecomunicações, contêm dados pessoais relativos aos utilizadores desses equipamentos e/ou a terceiros no momento da eliminação. O acesso ou a difusão ilegítimos dessas informações pessoais, por vezes constituídas por categorias específicas de dados, que revelam a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a filiação sindical, e por dados relativos à saúde e à vida sexual (os denominados «dados sensíveis») (10), são, na verdade, susceptíveis de afectar a privacidade e a dignidade das pessoas a quem as informações dizem respeito, bem como outros interesses legítimos dessas pessoas singulares/organizações (nomeadamente interesses económicos).

16.

Em termos gerais, a AEPD considera necessário salientar a importância da adopção de medidas de segurança adequadas em todas as fases (do princípio até ao fim) do tratamento de dados pessoais, como foi repetidamente afirmado noutros pareceres (11). O mesmo vale, a fortiori, na fase delicada em que o responsável pelo tratamento de dados pretende eliminar os equipamentos que contêm dados pessoais.

17.

Na verdade, o respeito das medidas de segurança constitui, muitas vezes, um pré-requisito para garantir eficazmente o direito à protecção dos dados pessoais.

18.

Seria, por conseguinte, incoerente introduzir a obrigação de adoptar medidas de segurança (às vezes dispendiosas) no exercício corrente das operações de tratamento de dados pessoais [como prevê o artigo 17.o da Directiva 95/46/CE, quando aplicável (12)] e depois não ponderar, pura e simplesmente, a introdução de garantias adequadas em relação à eliminação dos REEE.

19.

Seria igualmente incoerente dar importância à questão da segurança dos dados a ponto de introduzir uma notificação da violação de dados através do artigo 2.o da Directiva 2009/136/CE (13) e depois não prever qualquer tipo de garantia ou salvaguarda durante a eliminação dos REEE, bem como em caso de reutilização ou reciclagem dos mesmos.

20.

A AEPD lamenta que a proposta não tenha em conta os efeitos potencialmente nocivos que a eliminação dos REEE pode ter sobre a protecção dos dados pessoais armazenados nos equipamentos «usados».

21.

Este aspecto também não foi tido em conta na avaliação de impacto realizada pela Comissão (14), não obstante a experiência ter demonstrado que a não adopção de medidas de segurança adequadas em caso de eliminação dos REEE pode comprometer a protecção dos dados pessoais (15). Devido à complexidade das questões envolvidas (por exemplo, a quantidade de métodos legítimos, tecnologias e intervenientes no ciclo de eliminação dos REEE), a AEPD considera que teria sido conveniente realizar uma «avaliação do impacto sobre a privacidade e a protecção de dados» nos processos relativos à eliminação dos REEE.

22.

Todavia, a AEPD aconselha vivamente que se desenvolvam as «Melhores Técnicas Disponíveis» em matéria de privacidade, protecção de dados e segurança neste domínio.

23.

Acresce ainda que, durante a consulta pública prévia à reformulação da directiva, as partes interessadas, nomeadamente as empresas informáticas e de comunicações electrónicas (16), levantaram por vezes questões relativas à segurança e à protecção dos dados pessoais.

24.

Por último, vale a pena realçar que algumas autoridades nacionais responsáveis pela protecção de dados publicaram orientações para minimizar os riscos que podem resultar da não adopção das medidas de segurança necessárias, nomeadamente aquando da eliminação de materiais sujeitos à aplicação da directiva (17).

25.

A AEPD reitera que a Directiva 95/46/CE é aplicável na fase de eliminação dos REEE que contêm dados pessoais. Os responsáveis pelo tratamento — principalmente os que utilizam equipamentos informáticos e de comunicações — têm, por conseguinte, de cumprir as suas obrigações de segurança para prevenir a difusão ou divulgação indevidas de dados pessoais. Para esse efeito e a fim de não ser responsabilizado pela violação das medidas de segurança, o responsável pelo tratamento, no sector público ou privado, com a cooperação dos responsáveis pela protecção de dados (quando estejam presentes), deve adoptar políticas adequadas em matéria de eliminação dos REEE que contêm dados pessoais.

26.

Caso os responsáveis pelo tratamento que eliminam os EEE não possuam as competências e/ou os conhecimentos técnicos necessários para apagar os dados pessoais em causa, podem confiar essa tarefa a subcontratantes qualificados (por exemplo, centros de assistência, fabricantes e distribuidores de equipamentos) nas condições prescritas no artigo 17.o, n.os 2, 3 e 4, da Directiva 95/46/CE. Esses subcontratantes certificarão, por sua vez, o desempenho das operações em questão e/ou realizá-las-ão.

27.

Devido a estas considerações, a AEPD chega à conclusão de que a reformulação da directiva deve adicionar princípios de protecção de dados às disposições consagradas à protecção do ambiente.

28.

A AEPD recomenda, portanto, que o Conselho e o Parlamento Europeu incluam uma disposição específica na proposta actual em que se declare que a directiva é aplicável à eliminação dos REEE sem prejuízo do disposto na Directiva 95/46/CE.

29.

Encontrando-se numa situação que lhes permite tomar decisões autónomas sobre os dados contidos nos equipamentos eléctricos e electrónicos (EEE), as pessoas incumbidas das operações de eliminação podem ser consideradas como «responsáveis pelo tratamento» (18). Por conseguinte, devem adoptar procedimentos internos no sentido de evitar operações de tratamento desnecessárias em relação a quaisquer dados pessoais armazenados nos REEE, nomeadamente outras operações para além das estritamente necessárias para verificar a eliminação efectiva dos dados neles contidos.

30.

Além disso, não devem permitir que pessoas não autorizadas tomem conhecimento ou tratem dados armazenados nos EEE. Em especial, quando os suportes de armazenamento forem reciclados ou reutilizados, voltando a entrar, desse modo, no mercado, há um risco acrescido de difusão ou divulgação indevidas de dados pessoais, sendo necessário prevenir o acesso não autorizado aos mesmos.

31.

A AEPD recomenda, assim, que o Conselho e o Parlamento Europeu incluam uma disposição específica na actual proposta tendo em vista proibir a comercialização de equipamentos usados que não tenham sido previamente sujeitos a medidas de segurança adequadas, em conformidade com as normas técnicas mais avançadas [por exemplo «multi-pass overwriting» (gravação por cima em múltiplas passagens)], a fim de apagar quaisquer dados pessoais que eles possam conter.

32.

O próximo quadro jurídico sobre resíduos electrónicos deverá incluir não só uma disposição específica sobre o «princípio de concepção ecológica» dos equipamentos em geral (ver artigo 4.o da proposta, relativo à «Concepção dos produtos»), mas também — como já foi declarado noutros pareceres da AEPD (19) — uma disposição relativa ao princípio da «privacidade desde a fase de concepção» (20) ou, mais precisamente, neste domínio, da «segurança desde a fase de concepção» (21). Na medida do possível, a protecção da privacidade e dos dados deve ser integrada na concepção dos equipamentos eléctricos e electrónicos «por defeito», a fim de permitir que os utilizadores apaguem — por meios simples e gratuitos — dados pessoais que possam existir nos equipamentos aquando da eliminação destes últimos (22).

33.

Esta abordagem é claramente sustentada pelo artigo 3.o, n.o 3, alínea c), da Directiva 1999/5/CE (23) relativa à concepção dos equipamentos de rádio e equipamentos terminais de telecomunicações e pelo artigo 14.o, n.o 3, da Directiva 2002/58/CE (24).

34.

Por conseguinte, os produtores devem incorporar garantias de privacidade e segurança através de soluções tecnológicas (25). Neste contexto, as iniciativas destinadas a aconselhar os interessados sobre a necessidade de apagar todos os dados pessoais antes da eliminação dos REEE (incluindo a disponibilização pelos produtores de software gratuito para o efeito) também devem ser promovidas e apoiadas (26).

35.

Tendo em conta o exposto, a AEPD recomenda que as autoridades responsáveis pela protecção de dados, designadamente através do Grupo do Artigo 29.o para a Protecção de Dados, e a AEPD sejam estreitamente envolvidas nas iniciativas respeitantes à eliminação de REEE, através de consultas numa fase suficientemente precoce, antes do desenvolvimento das medidas em causa.

36.

Considerando o contexto em que os dados pessoais são tratados, a AEPD aconselha que a proposta inclua disposições específicas:

37.

A AEPD recomenda, assim, vivamente que a proposta seja alterada, em conformidade com a Directiva 95/46/CE, do seguinte modo:

—   Considerando 11:

—   Artigo 2.o, n.o 3:

38.

Além disso, a AEPD considera conveniente que as seguintes alterações sejam tomadas em consideração:

—   Artigo 4.o, n.o 2:

—   Artigo 8.o, n.o 7:

—   Artigo 14.o, n.o 6: