14.4.2020   

PT

Jornal Oficial da União Europeia

L 114/7


RECOMENDAÇÃO (UE) 2020/518 DA COMISSÃO

de 8 de abril de 2020

relativa a um conjunto de instrumentos comuns a nível da União com vista à utilização de tecnologias e dados para combater a crise da COVID-19 e sair da crise, nomeadamente no respeitante às aplicações móveis e à utilização de dados de mobilidade anonimizados

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 292.o,

Considerando o seguinte:

(1)

A crise de saúde pública causada pela atual pandemia de COVID-19 (a seguir designada por «crise da COVID-19») obriga a União e os Estados-Membros a enfrentar um desafio sem precedentes com impacto nos seus sistemas de saúde, no seu modo de vida, na sua estabilidade económica e nos seus valores. Nenhum Estado-Membro pode ser bem-sucedido na luta contra a crise da COVID-19 agindo isoladamente. Uma crise excecional desta magnitude exige uma ação determinada de todos os Estados-Membros e das instituições e órgãos da UE, que são chamados a colaborar num verdadeiro espírito de solidariedade.

(2)

Uma vez que, na Europa, muitas pessoas estão ligadas à Internet através de dispositivos móveis, as tecnologias e os dados digitais têm um papel importante a desempenhar na luta contra a crise da COVID-19. Estas tecnologias e dados podem constituir um instrumento valioso para informar o público e ajudar as autoridades públicas competentes nos seus esforços de contenção da propagação do vírus e para permitir que as organizações de saúde troquem dados relativos à saúde. Porém, uma abordagem fragmentada e descoordenada pode prejudicar a eficácia das medidas destinadas a lutar contra a crise da COVID-19, causando, ao mesmo tempo, danos graves ao mercado único e aos direitos e liberdades fundamentais.

(3)

Por conseguinte, é necessário desenvolver uma abordagem comum no que respeita à utilização de tecnologias e dados digitais para dar resposta à atual crise. A abordagem deve ser eficaz no apoio às autoridades nacionais competentes, em particular às autoridades de saúde e aos decisores políticos, fornecendo-lhes dados suficientes e precisos que permitam compreender a evolução e a propagação do vírus da COVID-19, bem como os seus efeitos. Do mesmo modo, estas tecnologias podem capacitar os cidadãos para que tomem medidas eficazes e mais específicas de distanciamento social. Ao mesmo tempo, a abordagem proposta visa preservar a integridade do mercado único e proteger os direitos e liberdades fundamentais, nomeadamente os direitos à privacidade e à proteção dos dados pessoais.

(4)

As aplicações móveis podem ajudar as autoridades de saúde, a nível nacional e da UE, a monitorizar e conter a atual pandemia de COVID-19. Podem fornecer orientações aos cidadãos e facilitar a organização do acompanhamento médico dos doentes. As aplicações de alerta e de rastreio podem desempenhar um papel importante na identificação de contactos, na limitação da propagação de doenças e na interrupção das cadeias de transmissão. Por conseguinte, se conjugadas com estratégias de despistagem e rastreio de contactos adequadas, as aplicações podem ser particularmente úteis para fornecer informações sobre o nível de circulação do vírus, avaliar a eficácia das medidas de distanciamento físico e de confinamento e orientar as estratégias de inversão da escalada.

(5)

A Decisão n.o 1082/2013/UE do Parlamento Europeu e do Conselho (1) estabelece regras específicas em matéria de vigilância epidemiológica, monitorização, alerta rápido e combate contra as ameaças transfronteiriças graves para a saúde. Nos termos do artigo 2.o, n.o 5, da decisão, a Comissão deve, em articulação com os Estados-Membros, assegurar a coordenação e a informação mútua entre os mecanismos e as estruturas estabelecidos ao abrigo dessa decisão e mecanismos e estruturas semelhantes estabelecidos ao nível da União ao abrigo do Tratado Euratom cujas atividades sejam relevantes para o planeamento da preparação e da resposta, a monitorização, o alerta rápido, e o combate contra as ameaças transfronteiriças graves para a saúde. O fórum de coordenação dos esforços no contexto de ameaças transfronteiriças graves para a saúde é o Comité de Segurança da Saúde, criado pelo artigo 17.o da referida decisão. Por outro lado, o artigo 6.o, n.o 1, da decisão estabelece uma rede de vigilância epidemiológica das doenças transmissíveis, administrada e coordenada pelo Centro Europeu de Prevenção e Controlo das Doenças.

(6)

A Diretiva 2011/24/UE do Parlamento Europeu e do Conselho (2) relativa ao exercício dos direitos dos doentes em matéria de cuidados de saúde transfronteiriços exige que a rede de saúde em linha crie sistemas e serviços de saúde em linha e aplicações interoperáveis que proporcionem vantagens económicas e sociais sustentáveis, com vista a alcançar um elevado nível de confiança e segurança, reforçar a continuidade dos cuidados e assegurar o acesso a cuidados de saúde seguros e de elevada qualidade.

(7)

O Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (3) relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados estabelece as condições aplicáveis ao tratamento de dados pessoais, incluindo aos dados relativos à saúde. Esses dados podem ser tratados, inter alia, se o titular dos dados der o seu consentimento expresso ou caso o tratamento seja de interesse público, tal como especificado no direito do Estado-Membro ou da União, em especial para fins de monitorização e alerta em matéria de saúde, prevenção ou controlo de doenças transmissíveis e outras ameaças graves para a saúde.

(8)

Vários Estados-Membros criaram legislação específica que lhes permite tratar dados relativos à saúde com base no interesse público [artigo 6.o, n.o 1, alínea c) ou e), e artigo 9.o, n.o 2, alínea i), do Regulamento (UE) 2016/679]. Importa estabelecer de forma clara e precisa as finalidades e os meios do tratamento dos dados, que dados devem ser tratados e por quem.

(9)

A Comissão pode consultar a Autoridade Europeia para a Proteção de Dados e o Comité Europeu para a Proteção de Dados, em conformidade com o artigo 42.o do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (4) e com o artigo 70.o do Regulamento (UE) 2016/679.

(10)

A Diretiva 2002/58/CE do Parlamento Europeu e do Conselho (5) estabelece as regras aplicáveis aos dados de tráfego e de localização, bem como ao armazenamento de informações e à obtenção de acesso à informação armazenada no equipamento terminal, como um dispositivo móvel, de um utilizador ou assinante. Nos termos do artigo 5.o, n.o 3, da diretiva, o armazenamento ou a possibilidade de acesso só são permitidos em circunstâncias estritamente definidas ou após o consentimento do utilizador ou assinante, com base em informações claras e completas, em conformidade com os requisitos do Regulamento (UE) 2016/679. Além disso, o artigo 15.o, n.o 1, da diretiva prevê que os Estados-Membros possam adotar medidas legislativas para restringir o âmbito dos direitos e obrigações previstos na diretiva, incluindo os estabelecidos no artigo 5.o, sempre que essas restrições constituam uma medida necessária, adequada e proporcionada numa sociedade democrática para alcançar determinados objetivos.

(11)

Na comunicação «Uma estratégia europeia para os dados» (6), a Comissão Europeia anunciou que a UE iria criar um mercado único em que os dados podem circular dentro da UE e entre todos os setores, em benefício de todos, em que as regras europeias, em especial em matéria de privacidade e de proteção de dados, bem como no domínio do direito da concorrência, são plenamente respeitadas e em que as regras de acesso e utilização dos dados são equitativas, práticas e claras. Em especial, a Comissão declarou que iria estudar a necessidade de medidas legislativas para promover a partilha de dados entre empresas e a administração pública para fins de interesse público.

(12)

Desde o início da crise da COVID-19, foram desenvolvidas várias aplicações móveis, algumas das quais por autoridades públicas, e houve apelos dos Estados-Membros e do setor privado para uma coordenação a nível da União, nomeadamente para dar resposta às preocupações em matéria de cibersegurança, segurança e privacidade. Estas aplicações tendem a servir três funções gerais: i) informar e aconselhar os cidadãos e facilitar a organização do acompanhamento médico de pessoas com sintomas, muitas vezes com a ajuda de um questionário de autodiagnóstico; ii) alertar as pessoas que tenham estado na proximidade de uma pessoa infetada com o fim de interromper as cadeias de infeção e evitar o ressurgimento de infeções durante a fase de reabertura; e iii) controlar e obrigar a cumprir a quarentena às pessoas infetadas, eventualmente em combinação com funcionalidades que avaliem o seu estado de saúde durante o período de quarentena. Algumas aplicações estão disponíveis ao público em geral, enquanto outras apenas estão acessíveis a grupos fechados de utilizadores e são destinadas ao rastreio de contactos no local de trabalho. Em geral, a eficácia destas aplicações não foi avaliada. As aplicações de informação e de controlo dos sintomas podem ser úteis para aumentar a sensibilização dos cidadãos. No entanto, segundo os pareceres dos peritos, as aplicações destinadas a informar e alertar os utilizadores parecem ser as mais promissoras para prevenir a propagação do vírus, tendo também em conta o seu impacto mais limitado na privacidade, e vários Estados-Membros estão atualmente a explorar a sua utilização.

(13)

Algumas dessas aplicações móveis podem ser consideradas dispositivos médicos se forem destinadas pelo fabricante a ser utilizadas, nomeadamente, para o diagnóstico, a prevenção, o acompanhamento, a previsão, o prognóstico, o tratamento ou a atenuação da doença, sendo, por conseguinte, abrangidas pelo âmbito de aplicação do Regulamento (UE) 2017/745 do Parlamento Europeu e do Conselho (7) ou da Diretiva 93/42/CEE do Conselho (8). No respeitante às aplicações destinadas ao autodiagnóstico e ao controlo dos sintomas, se prestarem informações relacionadas com o diagnóstico, a prevenção, o acompanhamento, a previsão ou o prognóstico, a sua eventual qualificação como dispositivo médico deve ser avaliada de acordo com o quadro regulamentar dos dispositivos médicos [Diretiva 93/42/CEE ou Regulamento (UE) 2017/745].

(14)

A eficácia destas aplicações móveis depende de uma série de fatores. Tais fatores incluem o grau de penetração junto dos utilizadores, ou seja, a percentagem da população que utiliza um dispositivo móvel e, desta, a percentagem que descarregou a aplicação, consentiu o tratamento dos seus dados pessoais e não retirou esse consentimento. Outros fatores importantes são a confiança do público em que os dados serão protegidos por meio de medidas de segurança adequadas, que serão utilizados exclusivamente para alertar pessoas que possam ter sido expostas ao vírus, que haverá a aprovação da autoridade de saúde pública, assim como a confiança na capacidade das autoridades de saúde para tomarem medidas com base nos dados gerados pela aplicação, na integração e partilha de dados com outros sistemas e aplicações e na interoperabilidade transfronteiriça e inter-regional com outros sistemas.

(15)

As aplicações de alerta e rastreio são úteis para os Estados-Membros para efeitos de identificação de contactos e podem desempenhar um papel importante de contenção durante os cenários de inversão da escalada do confinamento. Podem também constituir um instrumento valioso para os cidadãos exercerem um distanciamento social efetivo e orientado. O seu impacto pode ser multiplicado por uma estratégia de apoio baseada na realização mais generalizada de testes. O rastreio de contactos requer que as autoridades de saúde pública identifiquem rapidamente todos os contactos de um paciente infetado com COVID-19, que solicitem o autoisolamento desses contactos e que os testem e isolem rapidamente caso manifestem sintomas. Além disso, os dados anonimizados e agregados obtidos a partir dessas aplicações, combinados com informações sobre a incidência da doença, podem ser utilizados para avaliar a eficácia das medidas de distanciamento comunitário e físico. Embora sejam de utilidade evidente para os Estados-Membros, estas aplicações podem também acrescentar valor ao trabalho do ECDC.

(16)

As aplicações de autodiagnóstico e de controlo de sintomas podem fornecer informações importantes sobre o número de casos com sintomas compatíveis com o COVID-19, por idade e por semana, em áreas bem definidas em que exista uma elevada cobertura da aplicação. Se estas aplicações forem bem-sucedidas, as autoridades nacionais de saúde pública podem decidir utilizar os dados da aplicação para a vigilância sindromática de cuidados primários da COVID-19. Estes dados poderiam ser transmitidos ao ECDC semanalmente, num formato agregado (por exemplo, número de estados gripais (ILI) ou de infeções respiratórias agudas (ARI) por semana, por grupo etário, em percentagem da população total coberta pelos médicos sentinela). Tal permitiria às autoridades nacionais e ao ECDC estimar o valor preditivo positivo dos sintomas respiratórios numa determinada comunidade, fornecendo assim informações sobre o nível de circulação do vírus com base nos dados da aplicação.

(17)

Tendo em conta as funções das aplicações para telemóveis inteligentes acima descritas, a sua utilização é suscetível de afetar o exercício de determinados direitos fundamentais, designadamente o direito ao respeito pela vida privada e familiar. Uma vez que qualquer interferência com esses direitos deve estar em conformidade com a lei, as legislações dos Estados-Membros que estabeleçam ou autorizem limitações do exercício de determinados direitos fundamentais devem estar em conformidade com os princípios gerais do direito da União, com as tradições constitucionais comuns aos Estados-Membros e com as obrigações que lhes incumbem por força do direito internacional, tal como previsto no artigo 6.o do Tratado da União Europeia.

(18)

Para a aceitação de diferentes tipos de aplicações (e dos sistemas de informação das cadeias de transmissão de infeções subjacentes) e para garantir que estas cumprem o objetivo visado de vigilância epidemiológica, as políticas, os requisitos e os controlos subjacentes devem estar alinhados e ser aplicados de forma coordenada pelas autoridades nacionais de saúde. A experiência de vários Estados-Membros que começaram a introduzir aplicações de rastreio de contactos mostra que, para de aumentar a aceitação, uma governação integrada é útil para preparar e aplicar as medidas, envolvendo não só as autoridades de saúde, mas também outras autoridades (incluindo as autoridades de proteção de dados), bem como o setor privado, peritos, académicos e partes interessadas, como grupos de doentes. Uma vasta comunicação sobre a aplicação é também essencial para a sua aceitação e êxito.

(19)

A fim de detetar encontros de proximidade entre utilizadores de diferentes aplicações de rastreio de contactos (cenário mais provável entre pessoas que se deslocam através das fronteiras nacionais e regionais), deve prever-se a interoperabilidade entre as aplicações. As autoridades de saúde nacionais responsáveis pela supervisão das cadeias de transmissão de infeções devem poder trocar informações interoperáveis sobre os utilizadores que apresentaram resultados positivos noutros Estados-Membros ou regiões, a fim de lutar contra as cadeias de transmissão transfronteiriças.

(20)

Algumas empresas, incluindo fornecedores de telecomunicações e grandes plataformas tecnológicas, publicaram ou disponibilizaram aos poderes públicos dados de localização anonimizados e agregados. Estes dados são necessários para a investigação de combate ao vírus, para a modelização para compreensão da forma como o vírus se irá propagar, assim como para a modelização dos efeitos económicos da crise. Em especial, os dados ajudarão a compreender e a modelizar a dinâmica espacial das epidemias e a avaliar o impacto, sobre a mobilidade, das medidas de distanciamento social (limitações de viagem, encerramentos de atividades não essenciais, confinamento total, etc.). Tal é essencial, em primeiro lugar, para conter os efeitos do vírus e avaliar as necessidades, nomeadamente em termos de equipamento de proteção individual e de unidades de cuidados intensivos, e, em segundo lugar, para apoiar a estratégia de saída com modelos baseados em dados que indiquem os efeitos potenciais da flexibilização das medidas de distanciamento social.

(21)

A crise atual tem demonstrado que as autoridades de saúde pública e as instituições de investigação beneficiariam de um maior acesso a informações essenciais para analisar a evolução do vírus e avaliar a eficácia das medidas de saúde pública.

(22)

Alguns Estados-Membros tomaram medidas para simplificar o acesso aos dados necessários. No entanto, os esforços comuns da UE para combater o vírus são dificultados pela atual fragmentação das abordagens.

(23)

Tornou-se igualmente necessário adotar uma abordagem comum na União para a crise da COVID-19, uma vez que as medidas tomadas em determinados países, tais como a monitorização de indivíduos através da geolocalização, a utilização da tecnologia para classificar o nível de risco sanitário dos indivíduos e a centralização de dados sensíveis, suscitam questões do ponto de vista de vários direitos e liberdades fundamentais garantidos na ordem jurídica da UE, incluindo o direito à privacidade e o direito à proteção dos dados pessoais. Em todos os casos, nos termos da Carta dos Direitos Fundamentais da União, as restrições ao exercício dos direitos e liberdades fundamentais nela reconhecidos devem ser justificadas e proporcionadas. Tais restrições devem, nomeadamente, ser temporárias, ou seja, limitar-se ao estritamente necessário para combater a crise e não continuar a existir, sem uma justificação adequada, após o termo da crise.

(24)

Além disso, a Organização Mundial da Saúde e outros organismos alertaram para o risco de as aplicações e os dados inexatos poderem resultar na estigmatização de pessoas que partilham determinadas características, com base na perceção de uma relação entre estas características e a doença.

(25)

Em conformidade com o princípio da minimização de dados, as autoridades de saúde pública e as instituições de investigação devem tratar os dados pessoais apenas quando tal é adequado, pertinente e limitado ao necessário, e devem aplicar salvaguardas adequadas, como a pseudonimização, a agregação, a cifragem e a descentralização.

(26)

A eficácia das medidas de cibersegurança e de segurança dos dados é essencial para proteger a disponibilidade, a autenticidade, a integridade e a confidencialidade dos dados.

(27)

A consulta das autoridades responsáveis pela proteção de dados, em conformidade com os requisitos estabelecidos na legislação da União relativa à proteção dos dados pessoais, é essencial para garantir que os dados pessoais são tratados de forma lícita e que os direitos das pessoas em causa são respeitados.

(28)

O artigo 14.o da Diretiva 2011/24/UE estipula que a União apoia e promove a cooperação e o intercâmbio de informações científicas entre os Estados-Membros no âmbito de uma rede voluntária composta pelas autoridades nacionais responsáveis pela saúde em linha designadas pelos Estados-Membros («rede de saúde em linha»). Os objetivos incluem a criação de sistemas e serviços de saúde em linha e aplicações interoperáveis que proporcionem vantagens económicas e sociais sustentáveis, com vista a alcançar um elevado nível de confiança e segurança, reforçar a continuidade dos cuidados e assegurar o acesso a cuidados de saúde seguros e de elevada qualidade. A Decisão de Execução (UE) 2019/1765 da Comissão (9) estabelece as regras para a criação, a gestão e o funcionamento transparente da rede de saúde em linha. Devido à sua composição e ao seu domínio de especialização, a rede de saúde em linha deve ser o principal fórum de discussão sobre as necessidades das autoridades de saúde pública e das instituições de investigação em matéria de dados, envolvendo também funcionários das entidades nacionais reguladoras em matéria de comunicações eletrónicas, dos ministérios responsáveis pelas questões digitais e das autoridades de proteção de dados.

(29)

A rede de saúde em linha e a Comissão devem também cooperar estreitamente com outros organismos e redes que possam contribuir para a aplicação da presente recomendação, incluindo o Comité de Segurança da Saúde, a rede de vigilância epidemiológica das doenças transmissíveis, o ECDC, o Comité Europeu para a Proteção de Dados, o Conselho de Reguladores Europeus das Comunicações Eletrónicas (Board of European Regulators for Electronic Communications) e o grupo de cooperação Segurança das Redes e da Informação.

(30)

Para garantir a confiança do público no âmbito do combate à crise da COVID-19, será fundamental assegurar a transparência, comunicar de forma clara e regular e ter em conta o contributo das pessoas e das comunidades mais afetadas.

(31)

Tendo em conta a rápida evolução da crise da COVID-19 nos vários Estados-Membros, é essencial que, enquanto a crise persistir, a abordagem constante da presente recomendação seja objeto de comunicação pelos Estados-Membros e reavaliada pela Comissão de forma rápida e regular.

(32)

A presente recomendação deve, sempre que necessário, ser completada por orientações adicionais da Comissão, nomeadamente quanto às implicações da utilização de aplicações móveis de alerta e prevenção na proteção dos dados e da privacidade,

ADOTOU A PRESENTE RECOMENDAÇÃO:

FINALIDADE DA PRESENTE RECOMENDAÇÃO

(1)

A presente recomendação estabelece um processo para o desenvolvimento de uma abordagem comum, designada por «conjunto de instrumentos», para a utilização de meios digitais no combate à crise. O conjunto de instrumentos consistirá em medidas práticas para uma utilização eficaz das tecnologias e dos dados, com especial incidência em dois domínios:

(1)

Uma abordagem pan-europeia, coordenada a nível da União, com vista à utilização de aplicações móveis que permitam aos cidadãos tomarem medidas eficazes e mais específicas de distanciamento social e que alertem, previnam e rastreiem os contactos, a fim de limitar a propagação da COVID-19. Essa abordagem incluirá um método de acompanhamento e partilha das avaliações da eficácia das aplicações, da sua interoperabilidade e das implicações transfronteiriças, bem como do modo como as aplicações garantem o respeito pela segurança, pela privacidade e pela proteção dos dados; e

(2)

Um sistema comum de utilização de dados anonimizados e agregados sobre a mobilidade das populações destinado a i) modelizar e prever a evolução da doença, ii) monitorizar a eficácia da tomada de decisões pelas autoridades dos Estados-Membros no que respeita a medidas como o distanciamento social e o confinamento, e iii) contribuir para uma estratégia coordenada de saída da crise da COVID-19.

(2)

Os Estados-Membros devem tomar estas medidas com urgência e em estreita coordenação com outros Estados-Membros, a Comissão e outras partes interessadas, sem prejuízo das competências dos Estados-Membros no domínio da saúde pública. Devem assegurar que todas as medidas são tomadas em conformidade com o direito da União, nomeadamente a legislação sobre dispositivos médicos e o direito à privacidade e à proteção dos dados pessoais, juntamente com outros direitos e liberdades consagrados na Carta dos Direitos Fundamentais da União. O conjunto de instrumentos será completado por orientações da Comissão, incluindo orientações sobre a proteção dos dados e as implicações em matéria de privacidade decorrentes da utilização de aplicações móveis de alerta e prevenção.

DEFINIÇÕES

(3)

Para efeitos da presente recomendação, entende-se por:

(a)

«Aplicações móveis», os softwares de aplicação que funcionam em dispositivos inteligentes, nomeadamente telemóveis inteligentes, geralmente concebidos para uma interação abrangente e específica com recursos em linha, que tratam dados de proximidade e outras informações contextuais recolhidas por vários sensores presentes em qualquer dispositivo inteligente, e que são capazes de trocar informações através de várias interfaces de rede com outros dispositivos conectados;

(b)

«Rede de saúde em linha», a rede estabelecida pelo artigo 14.o da Diretiva 2011/24/UE, e cujas funções foram clarificadas pela Decisão de Execução (UE) 2019/1765;

(c)

«Comité de Segurança da Saúde», o órgão composto por representantes dos Estados-Membros, criado em virtude do artigo 17.o da Decisão n.o 1082/2013/UE;

(d)

«Rede de vigilância epidemiológica», a rede de vigilância epidemiológica de doenças transmissíveis e de problemas sanitários especiais conexos, administrada e coordenada pelo ECDC, e que assegura a comunicação permanente entre a Comissão, o ECDC e as autoridades competentes responsáveis a nível nacional pela vigilância epidemiológica, criada em virtude do artigo 6.o da Decisão 1082/2013/UE.

PROCESSO DE ELABORAÇÃO DE UM CONJUNTO DE INSTRUMENTOS PARA A UTILIZAÇÃO DE TECNOLOGIA E DE DADOS

(4)

Este processo deverá facilitar a elaboração e a adoção urgentes, pelos Estados-Membros e pela Comissão, de um conjunto de instrumentos constituído por medidas práticas, incluindo uma abordagem europeia para as aplicações móveis relacionadas com a COVID-19 e para a utilização de dados de mobilidade destinados a modelizar e prever a evolução do vírus.

(5)

Com vista à elaboração do conjunto de instrumentos, os Estados-Membros, representados na rede de saúde em linha, devem reunir-se imediatamente e, em seguida, frequentemente, com representantes da Comissão e do Centro Europeu de Prevenção e Controlo das Doenças. Devem partilhar pontos de vista sobre a forma de melhor utilizar os dados provenientes de várias fontes para fazer face à crise da COVID-19, assegurando simultaneamente um elevado nível de confiança e de segurança no respeito do direito da União, em especial no domínio da proteção dos dados pessoais e da privacidade, bem como sobre a forma de partilhar as melhores práticas e facilitar abordagens comuns a esse respeito.

(6)

A rede de saúde em linha deve reunir-se imediatamente para pôr em prática a presente recomendação.

(7)

Ao executar a presente recomendação, os Estados-Membros, representados na rede de saúde em linha, devem, se for caso disso, informar e solicitar o contributo do Comité de Segurança da Saúde, do Conselho de Reguladores Europeus das Comunicações Eletrónicas, do grupo de cooperação SRI e das agências competentes da Comissão, incluindo a ENISA, a Europol e os grupos de trabalho do Conselho.

(8)

O Comité Europeu para a Proteção de Dados e a Autoridade Europeia para a Proteção de Dados devem igualmente ser estreitamente associados para assegurar a integração, no conjunto de instrumentos, dos princípios relativos à proteção de dados e à privacidade.

(9)

As autoridades dos Estados-Membros e a Comissão devem assegurar uma comunicação regular, clara e completa ao público sobre as medidas tomadas ao abrigo da presente recomendação e proporcionar ao público a oportunidade de interagir e participar nos debates.

(10)

Ao longo de todo o processo, é essencial garantir o respeito de todos os direitos fundamentais, nomeadamente a privacidade e a proteção de dados, evitando o controlo e a estigmatização. No que se refere a estas questões específicas, o conjunto de instrumentos deve, por conseguinte:

(1)

limitar rigorosamente o tratamento de dados pessoais para fins de combate à crise da COVID-19 e assegurar que os dados pessoais não sejam utilizados para outros fins, nomeadamente repressivos ou comerciais;

(2)

reavaliar regularmente a necessidade de continuar o tratamento de dados pessoais para fins de combate à crise da COVID-19 e estabelecer cláusulas de caducidade adequadas, a fim de garantir que o tratamento não excede o estritamente necessário para esses fins;

(3)

tomar medidas para garantir que, logo que deixe de ser estritamente necessário, o tratamento cesse efetivamente e que os dados pessoais em causa sejam destruídos de forma irreversível, a menos que, com base no parecer dos conselhos de ética e das autoridades de proteção de dados, o seu valor científico ao serviço do interesse público seja superior ao impacto nos direitos em causa, sob reserva das salvaguardas adequadas.

(11)

O conjunto de instrumentos deve ser elaborado progressivamente, à luz dos debates com todas as partes interessadas e da evolução da situação, das boas práticas, das questões e das soluções relativas às fontes e aos tipos de dados necessários e disponíveis para as autoridades de saúde pública e as instituições públicas de investigação no domínio da saúde para combater a pandemia de COVID-19.

(12)

O conjunto de instrumentos deve ser partilhado com os parceiros internacionais da União Europeia, de forma a trocar boas práticas e ajudar a combater a propagação do vírus a nível mundial.

UMA ABORDAGEM PAN-EUROPEIA PARA AS APLICAÇÕES MÓVEIS COVID-19

(13)

A primeira prioridade do conjunto de instrumentos deve ser uma abordagem pan-europeia para as aplicações móveis COVID-19, a elaborar em conjunto pelos Estados-Membros e pela Comissão, até 15 de abril de 2020. O Comité Europeu para a Proteção de Dados e a Autoridade Europeia para a Proteção de Dados serão associados ao processo. Uma tal abordagem deve consistir em:

(1)

especificações para assegurar a eficácia da informação móvel, aplicações de alerta e de rastreio para combater o COVID-19 do ponto de vista médico e técnico;

(2)

medidas para impedir a proliferação de aplicações que não sejam compatíveis com o direito da União, para apoiar os requisitos de acessibilidade das pessoas com deficiência e para a interoperabilidade e promoção de soluções comuns, sem excluir uma potencial aplicação pan-europeia;

(3)

mecanismos de governação a aplicar pelas autoridades de saúde pública e cooperação com o ECDC;

(4)

identificação de boas práticas e mecanismos de intercâmbio de informações sobre o funcionamento das aplicações e

(5)

partilha de dados com organismos públicos epidemiológicos e instituições de investigação no domínio da saúde pública pertinentes, incluindo dados agregados ao ECDC.

(14)

As autoridades dos Estados-Membros, representadas pela rede de saúde em linha (e-Saúde), devem estabelecer um processo de intercâmbio de informações e assegurar a interoperabilidade das aplicações quando estiverem previstos cenários transfronteiras.

ASPETOS DA UTILIZAÇÃO DAS APLICAÇÕES MÓVEIS EM MATÉRIA DE PRIVACIDADE E PROTEÇÃO DE DADOS

(15)

O desenvolvimento do conjunto de instrumentos deve ser orientado pelos princípios da privacidade e da proteção de dados.

(16)

No que diz respeito, em particular, à utilização de aplicações móveis de alerta e prevenção da COVID-19, devem ser observados os seguintes princípios:

(1)

salvaguardas que garantam o respeito pelos direitos fundamentais e a prevenção da estigmatização, em especial regras aplicáveis em matéria de proteção dos dados pessoais e de confidencialidade das comunicações;

(2)

preferência pelas medidas menos intrusivas mas eficazes, incluindo a utilização de dados de proximidade e a necessidade de evitar o tratamento de dados sobre a localização ou os movimentos de pessoas, bem como a utilização de dados anonimizados e agregados, sempre que possível;

(3)

requisitos técnicos relativos às tecnologias adequadas (por exemplo, Bluetooth de baixo consumo) para estabelecer a proximidade dos dispositivos, a encriptação, a segurança dos dados, o armazenamento dos dados sobre o dispositivo móvel, o eventual acesso das autoridades sanitárias e o armazenamento de dados;

(4)

requisitos eficazes em matéria de cibersegurança para proteger a disponibilidade, a autenticidade, a integridade e a confidencialidade dos dados;

(5)

termo do prazo das medidas tomadas e supressão dos dados pessoais obtidos através das medidas, o mais tardar quando se declara que a pandemia está sob controlo;

(6)

carregamento de dados de proximidade em caso de infeção confirmada e métodos adequados para alertar as pessoas que tenham estado em estreito contacto com a pessoa infetada, que serão mantidos anónimos; e

(7)

requisitos de transparência sobre os parâmetros de privacidade, a fim de assegurar a confiança nas aplicações.

(17)

A Comissão publicará orientações mais pormenorizadas sobre os princípios da proteção da privacidade e dos dados, à luz das considerações de ordem prática decorrentes da elaboração e da aplicação do conjunto de instrumentos.

UTILIZAÇÃO DOS DADOS DE MOBILIDADE PARA ESCLARECER AS MEDIDAS E A ESTRATÉGIA DE SAÍDA

(18)

A segunda prioridade do conjunto de instrumentos deve consistir numa abordagem comum quanto à utilização dos dados de mobilidade anonimizados e agregados necessários para:

(1)

os trabalhos de modelização destinados a cartografar e prever a propagação da doença e o impacto nas necessidades dos sistemas de saúde nos Estados-Membros, tais como, mas não exclusivamente, unidades de cuidados intensivos em hospitais e equipamentos de proteção individual, e

(2)

a otimização da eficácia das medidas destinadas a conter a propagação do vírus da COVID-19 e a fazer face aos seus efeitos, incluindo o confinamento (e o fim do confinamento), e a obter e utilizar esses dados.

(19)

Ao desenvolver esta abordagem, os Estados-Membros (representados na rede de saúde em linha, que coordenará com o Comité de Segurança da Saúde, a Rede Epidemiológica, o ECDC e, se necessário, a ENISA) deverão proceder ao intercâmbio de boas práticas sobre a utilização dos dados de mobilidade, partilhar e comparar modelos e previsões de propagação do vírus e acompanhar o impacto das medidas para limitar a sua propagação.

(20)

Tal deve incluir:

(1)

a utilização adequada de dados de mobilidade anonimizados e agregados para fins de modelização, a fim de compreender a forma como o vírus se propagará e a modelização dos efeitos económicos da crise;

(2)

aconselhamento das autoridades públicas aquando da verificação junto dos fornecedores quanto à metodologia aplicada para anonimizar os dados e da realização de um controlo de plausibilidade da metodologia aplicada;

(3)

a aplicação de salvaguardas para evitar a desanonimização e a reidentificação de pessoas, incluindo garantias quanto ao nível suficiente de segurança dos dados e da infraestrutura informática, e avaliação dos riscos de reidentificação no caso de os dados anonimizados serem correlacionados com outros dados;

(4)

a eliminação imediata e irreversível de todos os dados acidentalmente tratados que possam conduzir à identificação de pessoas e a comunicação aos fornecedores dos dados, bem como às autoridades competentes, do tratamento e da eliminação acidentais;

(5)

a eliminação dos dados, em princípio, após um período de 90 dias ou, em qualquer caso, o mais tardar quando a pandemia for declarada sob controlo, e

(6)

a restrição do tratamento dos dados exclusivamente para os fins acima indicados e a exclusão da partilha dos dados com terceiros.

COMUNICAÇÃO DE INFORMAÇÕES E REVISÃO

(21)

A abordagem pan-europeia para as aplicações móveis COVID-19 será publicada a 15 de abril e será completada com orientações da Comissão em matéria de privacidade e proteção de dados.

(22)

Os Estados-Membros devem comunicar à Comissão, até 31 de maio de 2020, as medidas tomadas em conformidade com a presente recomendação. Essas comunicações deverão continuar a ser efetuadas regularmente enquanto persistir a crise da COVID-19.

(23)

A partir de 8 de abril de 2020, os Estados-Membros devem comunicar as medidas aplicadas nos domínios abrangidos pela presente recomendação aos outros Estados-Membros e à Comissão, para análise pelos pares. No prazo de uma semana, os Estados-Membros e a Comissão apresentarão observações sobre as medidas. O Estado-Membro interessado deve ter na máxima conta essas observações.

(24)

A partir de junho de 2020, a Comissão avaliará, com base nas comunicações dos Estados-Membros, os progressos realizados e os efeitos da presente recomendação. A Comissão pode fazer outras recomendações aos Estados-Membros, nomeadamente sobre o calendário das medidas aplicadas nos domínios abrangidos pela presente recomendação.

Feito em Bruxelas, em 8 de abril de 2020.

Pela Comissão

Thierry BRETON

Membro da Comissão


(1)  Decisão n.o 1082/2013/UE do Parlamento Europeu e do Conselho, de 22 de outubro de 2013, relativa às ameaças sanitárias transfronteiriças graves e que revoga a Decisão n.o 2119/98/CE (JO L 293 de 5.11.2013, p. 1).

(2)  Diretiva 2011/24/UE do Parlamento Europeu e do Conselho, de 9 de março de 2011, relativa ao exercício dos direitos dos doentes em matéria de cuidados de saúde transfronteiriços (JO L 88 de 4.4.2011, p. 45).

(3)  Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

(4)  Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39).

(5)  Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas) (JO L 201 31.7.2002, p. 37).

(6)  Comunicação da Comissão ao Parlamento Europeu, ao Conselho, ao Comité Económico e Social e ao Comité das Regiões — Uma estratégia europeia para os dados [COM(2020) 66 final].

(7)  Regulamento (UE) 2017/745 do Parlamento Europeu e do Conselho, de 5 de abril de 2017, relativo aos dispositivos médicos, que altera a Diretiva 2001/83/CE, o Regulamento (CE) n.o 178/2002 e o Regulamento (CE) n.o 1223/2009 e que revoga as Diretivas 90/385/CEE e 93/42/CEE do Conselho (JO L 117 de 5.5.2017, p. 1).

(8)  Diretiva 93/42/CEE do Conselho, de 14 de junho de 1993, relativa aos dispositivos médicos (JO L 169 de 12.7.1993, p. 1).

(9)  Decisão de Execução (UE) 2019/1765 da Comissão, de 22 de outubro de 2019, que estabelece as regras para a criação, a gestão e o funcionamento da rede de autoridades nacionais responsáveis pela saúde em linha e que revoga a Decisão de Execução 2011/890/UE (JO L 270 de 24.10.2019, p. 83).