26.7.2011   

PT

Jornal Oficial da União Europeia

C 220/1

1.

Em 24 de Fevereiro de 2011, a Comissão Europeia adoptou uma proposta de directiva do Parlamento Europeu e do Conselho que altera as Directivas 89/666/CEE, 2005/56/CE e 2009/101/CE no que respeita à interconexão dos registos centrais, registos comerciais e registos das sociedades (3) (a seguir designada por «proposta») e consultou subsequentemente a AEPD.

2.

A AEPD congratula-se com a consulta em conformidade com o artigo 28.o, n.o 2, do Regulamento (CE) n.o 45/2001 e com a inclusão de uma referência ao presente parecer no preâmbulo da proposta.

3.

O objectivo da proposta é facilitar e intensificar a cooperação e o intercâmbio de informações transfronteiriças entre registos de empresas no Espaço Económico Europeu, aumentando, assim, a transparência e a fiabilidade das informações disponíveis numa base transfronteiras. A eficiência dos procedimentos de cooperação administrativa no que respeita aos registos de empresas é fundamental para aumentar a confiança no mercado único europeu, garantindo um ambiente empresarial mais seguro para consumidores, mutuantes e outros parceiros comerciais, reduzindo os encargos administrativos e aumentando a segurança jurídica. A intensificação dos procedimentos de cooperação administrativa no que respeita aos registos de empresas na Europa é particularmente importante no quadro dos procedimentos de fusão transfronteiras, de transferência da sede social e de actualização dos registos das sucursais estrangeiras, nos casos em que os mecanismos de cooperação sejam inexistentes ou limitados.

4.

Com este propósito, a proposta visa alterar três directivas existentes do seguinte modo:

5.

Os registos de empresas existem em todos os Estados-Membros, estando organizados ao nível nacional, regional ou local. Em 1968, foram adoptadas regras comuns para criar normas mínimas para a publicidade (registo e publicação) de informação sobre as empresas (7). Desde 1 de Janeiro de 2007, os Estados-Membros também têm de manter registos de empresas electrónicos (8) e permitir a terceiros o acesso ao conteúdo do registo em linha.

6.

A cooperação no que respeita aos registos de empresas de diferentes Estados-Membros é explicitamente exigida por alguns instrumentos jurídicos europeus para facilitar as fusões transfronteiriças de sociedades de responsabilidade limitada (9) e a transferência transfronteiriça da sede social da Sociedade Europeia (SE) (10) e das Sociedades Cooperativas Europeias (SCE) (11).

7.

Em 1992, criou-se um mecanismo de cooperação voluntária no que diz respeito aos registos de empresas na Europa. Actualmente, o Registo Europeu de Empresas (a seguir designado por «EBR») (12) combina registos de empresas oficiais de 19 Estados-Membros e seis outras jurisdições europeias. Entre 2006 e 2009, o EBR participou num projecto de investigação denominado BRITE (13) que teve por objectivo o desenvolvimento de uma plataforma tecnológica com vista à consecução da interoperabilidade entre registos de empresas em toda a Europa. Contudo, a avaliação de impacto que acompanha a proposta explica que o EBR enfrenta desafios significativos no que diz respeito à sua expansão, financiamento e governação: de acordo com a avaliação de impacto, o mecanismo de cooperação actual, tal como existe, não é plenamente satisfatório para os potenciais utilizadores.

8.

A exposição de motivos que acompanha a proposta faz notar que o Portal Europeu da Justiça (14) deverá funcionar como o principal ponto de acesso à informação jurídica, às instituições jurídicas e administrativas, aos registos, às bases de dados e a outros serviços na União Europeia. Confirma igualmente que a proposta é complementar ao projecto e-Justice, devendo contribuir para um acesso mais fácil a terceiros à informação empresarial através do portal.

9.

De acordo com a avaliação de impacto, outro projecto pertinente com potenciais sinergias é o Sistema de Informação do Mercado Interno (IMI) (15). O IMI é uma ferramenta electrónica concebida para dar apoio à cooperação administrativa quotidiana entre administrações públicas no contexto da Directiva relativa aos serviços no mercado interno (2006/123/CE) e da Directiva relativa ao reconhecimento das qualificações profissionais (2005/36/CE). O IMI encontra-se em processo de expansão, sendo igualmente capaz, de acordo com a avaliação de impacto, de apoiar a aplicação de outras directivas, nomeadamente na área do direito das sociedades.

10.

O artigo 3.o da proposta altera a Directiva 2009/101/CE em vários aspectos, sendo que são duas as alterações com uma pertinência significativa para a protecção de dados.

11.

O artigo 2.o da Directiva 2009/101/CE em vigor requer a publicidade de um mínimo de indicações no registo de empresas em cada Estado-Membro de modo a que terceiros possam conhecer informações respeitantes às sociedades. Como explicado na secção 1.2 acima, os Estados-Membros também têm de manter registos de empresas electrónicos e permitir a terceiros o acesso ao conteúdo dos mesmos em linha.

12.

O artigo 2.o discrimina onze elementos de informação básica relativa às sociedades a serem publicados, nomeadamente:

13.

Do ponto de vista da protecção de dados, importa realçar o artigo 2.o, o qual também exige a publicidade da «nomeação e a cessação de funções, assim como a identidade» (sublinhado nosso) das pessoas i) com o poder de vincular a sociedade e/ou ii) que participam de outra forma «na administração, na vigilância ou na fiscalização da sociedade».

14.

A proposta não altera os elementos que devem ser alvo de publicidade ao abrigo do artigo 2.o. Também não é um requisito novo que cada Estado-Membro deva publicar essas informações em suporte electrónico. A novidade da proposta é que as informações até agora disponíveis de uma forma fragmentada, muitas vezes nos idiomas locais e através de sítios web locais, passarão a ser de fácil acesso, através de uma plataforma/ponto de acesso europeu comum, num ambiente multilingue.

15.

Para este efeito, a proposta insere um novo artigo 3.o-A na Directiva, com vista a garantir o seguinte: «Os Estados-Membros asseguram-se de que os actos e indicações referidos no artigo 2.o que se encontrem arquivados no seu registo podem ser obtidos, a pedido de qualquer requerente, por via electrónica, através de uma plataforma electrónica europeia única acessível a partir de todos os Estados-Membros.» A proposta deixa os demais pormenores a cargo de actos delegados.

16.

A proposta introduz igualmente um artigo 4.o-A novo na Directiva 2009/101/CE, com vista a garantir que «os Estados-Membros tomam as medidas necessárias para garantir que os (registos de empresas) são interoperáveis e constituem uma rede electrónica». De novo, a proposta deixa os demais pormenores a cargo de actos delegados.

17.

Para fazer face às preocupações relativas à protecção de dados, a proposta insere no texto das três directivas sujeitas a alterações um artigo específico relativo à protecção de dados, estipulando que «[o] tratamento de dados pessoais no âmbito da [presente] directiva fica sujeito ao disposto na Directiva 95/46/CE».

18.

A AEPD partilha com a Comissão a opinião de que i) o recurso às tecnologias de informação e comunicação poderá ajudar a melhorar a eficiência da cooperação no que diz respeito aos registos de empresas e ii) a maior acessibilidade das informações relativas aos registos de empresas poderá resultar no aumento da transparência, pelo que apoia os objectivos da proposta. Os seus comentários devem ser avaliados à luz desta abordagem construtiva.

19.

Simultaneamente, a AEPD sublinha que o aumento da acessibilidade dos dados pessoais também conduz a mais riscos para os mesmos. Por exemplo, ao passo que a identificação correcta do responsável de uma empresa poderá ser facilitada com a publicidade do seu endereço privado, a mesma também poderá ter um impacto negativo sobre o direito deste indivíduo à protecção dos dados pessoais. Esta consideração aplica-se, em particular, aos dados pessoais disponibilizados na Internet em formato digital em múltiplas línguas e através de uma plataforma/ponto de acesso europeu de fácil acesso.

20.

Ainda até há pouco tempo, os dados pessoais constantes dos registos de empresas (por exemplo, nome, endereço e espécime da assinatura de um administrador) eram publicados em formato de papel e numa língua local no seguimento, muitas vezes, de uma visita pessoal do requerente a um serviço de registo local. É importante reconhecer que esta situação é qualitativamente diferente da publicidade de dados em formato digital através de um ponto de acesso electrónico nacional. A publicidade de dados pessoais através de uma plataforma/ponto de acesso facilmente acessível ao nível europeu leva esta medida ainda mais longe, aumentando a acessibilidade da informação, bem como os riscos para a protecção dos dados pessoais dos indivíduos em causa.

21.

Os riscos para a privacidade (em virtude da fácil disponibilidade dos dados em formato digital através de um ponto de acesso electrónico comum) são, por exemplo, a usurpação de identidade e outras actividades criminais, bem como o risco de que as informações publicadas possam ser recolhidas ilegalmente e utilizadas por sociedades para fins comerciais não previstos originalmente, após a definição dos perfis dos indivíduos em causa. Caso não existam garantias suficientes, as informações também podem ser vendidas a terceiros ou combinadas com outras informações e vendidas aos governos para outros fins não relacionados e desconhecidos (por exemplo, para aplicação do direito fiscal ou outras investigações criminais ou administrativas) sem uma base jurídica adequada (16).

22.

Por estes motivos, deve analisar-se com minúcia que informações deverão ser disponibilizadas através da plataforma/ponto de acesso europeu comum e que garantias suplementares em matéria de protecção de dados devem ser aplicadas, nomeadamente, medidas técnicas de restrição das possibilidades de pesquisa, descarregamento e prospecção de dados.

23.

Como já realçado nas secções 2.1 e 2.2, a proposta de texto para os artigos 3.o-A e 4.o-A da Directiva 2009/101/CE é muito geral, deixando muitas questões fundamentais para os actos delegados.

24.

Embora a AEPD reconheça a necessidade de flexibilidade e, portanto, a necessidade de actos delegados, também sublinha que as garantias necessárias em matéria de protecção de dados são elementos essenciais que devem ser previstos directamente, de uma forma clara e específica, no próprio texto da proposta de directiva. A este respeito, não podem ser considerados como elementos não essenciais que poderão ser incluídos em actos delegados subsequentes adoptados ao abrigo do artigo 290.o do Tratado sobre o funcionamento da União Europeia.

25.

Por conseguinte, a AEPD recomenda que as disposições em matéria de protecção de dados da proposta sejam mais específicas, superando a mera referência à Directiva 95/46/CE (cf. secções 3.4 a 3.13). Será possível incluir disposições adicionais no que diz respeito à instauração de garantias específicas nos actos delegados, após consulta da AEPD e, se for caso disso, das autoridades nacionais de protecção de dados (cf. secções 3.5, 3.6, 3.8, 3.9, 3.10, 3.12 e 3.13).

26.

Além da omissão de garantias-chave em matéria de protecção de dados, a proposta também é bastante vaga em outros aspectos. Em particular, também incumbe aos actos delegados a determinação de elementos essenciais sobre as modalidades de concretização da proposta de i) interconexão de registos de empresas e ii) publicidade de dados.

27.

A clareza sobre estes outros elementos essenciais da proposta é um pré-requisito para a adopção de garantias adequadas em matéria de protecção de dados. Por conseguinte, a AEPD recomenda que estes elementos essenciais sejam expressos na própria proposta de Directiva (cf. secções 3.4 e 3.5).

28.

Actualmente, a proposta incumbe os actos delegados da definição das normas relativas à governação, gestão, operação e representação da rede electrónica (17).

29.

Embora a avaliação de impacto e a exposição de motivos identifiquem algumas sinergias com o IMI e o Portal Europeu da Justiça, o texto da proposta de directiva deixa a porta aberta a várias opções, permitindo que nenhuma ou todas estas sinergias se concretizem, incluindo um redesenho do EBR, a utilização do IMI para determinados intercâmbios de dados e/ou a utilização do Portal Europeu da Justiça como plataforma/ponto de acesso para a divulgação ao público de informações provenientes dos registos de empresas.

30.

Também não se excluem outras opções, nomeadamente, a abertura de um concurso de adjudicação do direito de concepção e operação da rede electrónica e a assunção de uma função directa, por parte da Comissão, na concepção e operação do sistema. Os representantes dos Estados-Membros poderão igualmente participar na estrututura de governação da rede electrónica.

31.

Adicionalmente, embora a proposta, na forma actual, preveja uma «plataforma electrónica europeia única» (nosso sublinhado), não se exclui a possibilidade de o texto ser sujeito a alterações posteriores durante o processo legislativo para garantir uma estrutura mais descentralizada.

32.

A AEPD também faz notar que, embora a proposta actual não aborde em específico a questão da interconexão de registos de empresas com outras bases de dados (por exemplo, registos prediais ou civis), se trata, certamente, de uma possibilidade técnica que já se verifica em alguns Estados-Membros (18).

33.

A selecção de uma ou outra destas opções poderá conduzir a uma estrutura de governação da rede electrónica completamente dieferente e da ferramenta electrónica a ser utilizada para a publicidade, o que, por sua vez, resulta em funções e responsabilidades diferentes das partes envolvidas e em funções e responsabilidades diferentes do ponto de vista da protecção de dados.

34.

A este respeito, a AEPD sublinha que, sempre que uma situação implica o tratamento de dados pessoais, é crucial identificar correctamente o respectivo responsável pelo tratamento. Este facto também é realçado pelo Grupo de Trabalho de Protecção de Dados do Artigo 29.o, no Parecer 1/2010 sobre os conceitos de «controller» (responsável pelo tratamento) e «processor» (subcontratante) (19). O principal motivo que torna crucial a identificação precisa e inequívoca do responsável pelo tratamento é o facto de esta determinar a entidade competente pelo cumprimento das normas de protecção de dados, sendo igualmente pertinente para identificar a legislação aplicável (20).

35.

Como realçado no parecer do Grupo do Artigo 29.o, «[i]f it is not sufficiently clear what is required from whom - e.g. no one is responsible or a multitude of possible controllers - there is an obvious risk that too little, if anything, will happen and that the legal provisions will remain ineffective» (se o que é exigido a cada parte não for suficientemente claro (por exemplo, se ninguém for responsável ou se existirem vários responsáveis pelo tratamento), verifica-se o risco óbvio de muito pouco, ou mesmo nada, acontecer e de as disposições jurídicas permanecerem sem efeito).

36.

A AEPD salienta que a clareza é de particular importância em situações em que há múltiplos actores numa relação cooperativa. Muitas vezes, é este o caso dos sistemas de informação da União Europeia utilizados para fins públicos em que o propósito do tratamento é estabelecido na legislação comunitária.

37.

Por estes motivos, a AEPD recomenda que o próprio texto da proposta de directiva estabeleça de uma forma específica, clara e inequívoca:

38.

Da perspectiva da protecção de dados, estes esclarecimentos deverão ser específicos e inequívocos com vista a determinar, com base na própria proposta de directiva, se um determinado actor deverá ser considerado «responsável pelo tratamento» («controller») ou «subcontratante» («processor»).

39.

Em princípio, a proposta deverá contribuir explicitamente para determinar, como se depreende da globalidade do projecto actual, que tanto os detentores de registos de empresas como o(s) operador(es) do sistema devem ser considerados responsáveis pelo tratamento de dados no âmbito das respectivas actividades. Dito isto, considerando que a actual proposta não descreve a estrutura de governação e não define o(s) operador(es) do sistema electrónico, não é possível excluir que a entidade ou algumas das entidades que, em última análise, operarão o sistema ao nível prático assumirão a função de subcontratante no lugar da de responsável pelo tratamento. Em particular, poderá ser este o caso se esta actividade for subcontratada a uma parte terceira cuja actuação se cinja ao cumprimento de instruções. De qualquer modo, parecem existir múltiplos responsáveis pelo tratamento de dados, no mínimo um em cada Estado-Membro: as entidades que mantêm os registos de empresas. O facto de poder haver outras entidades (privadas) participantes na qualidade de operadores, «distribuidores», etc. não vem alterar este aspecto. Seja como for, a proposta de directiva deverá especificar estes pontos, com vista a garantir a clareza e a segurança jurídica.

40.

Não menos importante, a proposta deverá também descrever as responsabilidades resultantes destas funções com maior pormenor e abrangência. Por exemplo, a proposta deverá discriminar a função do(s) operador(es) no sentido de garantir que o sistema é concebido de uma forma respeitadora da privacidade, bem como a sua função de coordenação no que diz respeito às questões da protecção de dados.

41.

A AEPD realça que todos estes esclarecimentos serão também pertinentes para determinar que autoridades de fiscalização da protecção de dados são competentes e por que tratamento de dados pessoais.

42.

Afigura-se que, no formato actual, a rede electrónica não está concebida para disponibilizar automaticamente todas as informações de cada registo de empresas a todos os outros registos de empresas em todos os outros Estados-Membros: a proposta exige meramente a interconexão e a interoperabilidade dos registos de empresas, prevendo, deste modo, as condições que permitirão os intercâmbios de informações e o acesso no futuro. Para garantir segurança jurídica, a proposta deverá esclarecer se este entendimento está correcto.

43.

Além disso, a proposta também não especifica os procedimentos de cooperação administrativos e no âmbito dos fluxos de dados que poderão ter lugar através dos registos de empresas interconectados (21). A AEPD compreende o imperativo de alguma flexibilidade para assegurar a integração das necessidades que surjam no futuro. Dito isto, a AEPD considera essencial que a proposta especifique o enquadramento dos procedimentos de cooperação administrativos e no âmbito dos fluxos de dados que poderão ocorrer no futuro recorrendo à rede electrónica. Tal reveste-se de especial importância para garantir que i) qualquer intercâmbio de dados ocorrerá numa base jurídica sólida e que ii) estejam previstas garantias adequadas em matéria de protecção de dados.

44.

De acordo com a AEPD, qualquer intercâmbio de dados ou actividade de tratamento de dados recorrendo à rede electrónica (por exemplo, publicidade de dados pessoais através da plataforma/ponto de acesso comum) deverá basear-se num acto vinculativo adoptado ao nível da União Europeia sobre uma base jurídica sólida. Este aspecto deverá ser definido com clareza na proposta de directiva (22).

45.

Além disso, a proposta prevê que os actos delegados determinem as seguintes questões (23):

46.

No que diz respeito ao primeiro e segundo travessões, a AEPD considera que determinadas garantias essenciais devem ser previstas na própria proposta de directiva (ver secções 3.12 e 3.13). Os actos delegados poderão, então, conter pormenores adicionais.

47.

Relativamente aos intercâmbios automáticos de dados, a AEPD congratula-se com o facto de a proposta exigir que os actos delegados prevejam «a definição de normas relativas ao formato, conteúdo e limites para o armazenamento e recuperação dos actos e indicações, que permitam o intercâmbio automático de dados».

48.

Com vista a aumentar a clareza a este respeito, a AEPD recomenda que a própria proposta de directiva especifique claramente que a rede electrónica permite i) pontualmente, intercâmbios de dados manuais específicos entre registos de empresas (como previsto num acto da União Europeia, como sendo no caso de uma fusão ou transferência da sede social); ii) transferências automáticas de dados (como previsto num acto da União Europeia como no caso da actualização de informações nos registos de sucursais estrangeiras).

49.

Para uma maior clareza, a AEPD também recomenda que a proposta de texto para o artigo 4.o-A, n.o 3, alínea i), da Directiva 2009/101/CE seja modificada com vista a garantir que i) os actos delegados abrangerão tanto intercâmbios de dados manuais como automáticos; ii) todas as operações de tratamento que poderão implicar dados pessoais (não limitadas ao armazenamento e à recolha) sejam abrangidas; iii) as disposições específicas relativas à protecção de dados em actos delegados garantirão igualmente a aplicação prática de garantias pertinentes em matéria de protecção de dados.

50.

A título exemplificativo, o artigo 4.o-A, n.o 3, alínea i), poderá passar a ter a seguinte redacção:

51.

Como observação preliminar, a AEPD sublinha que, embora os nomes (e, eventualmente, outros dados como, por exemplo, endereços privados) dos representantes das sociedades (e de outros indivíduos participantes no governo das sociedades) sejam, indubitavelmente, os dados pessoais mais óbvios que poderão ser tratados pela rede electrónica e/ou publicados através da plataforma/ponto de acesso comum, não são, de modo nenhum, as únicas informações pessoais incluídas em registos de empresas.

52.

Antes de mais, alguns dos documentos discriminados no artigo 2.o da Directiva 2009/101/CE (por exemplo, o acto constitutivo, os estatutos e documentos contabilísticos) poderão também conter dados pessoais de outros indivíduos. Estes dados poderão incluir, nomeadamente, nomes, endereços, números de identificação, datas de nascimento e até digitalizações de assinaturas manuscritas de uma multiplicidade de indivíduos, incluindo os indivíduos fundadores da sociedade, os accionistas das sociedades, advogados, contabilistas, trabalhadores ou notários.

53.

Para além disso, os dados da sociedade, quando ligados ao nome de um indivíduo (por exemplo, um administrador), podem também ser considerados dados pessoais relacionados com esse indivíduo. Por exemplo, se os dados do registo de empresas demonstrarem que um determinado indivíduo está no conselho de administração de uma sociedade em processo de liquidação, trata-se de uma informação também pertinente para esse indivíduo.

54.

Para garantir clareza quanto a que dados pessoais são tratados e que o alcance dos dados tratados é proporcional aos objectivos da proposta, a AEPD recomenda os esclarecimentos expostos adiante na presente secção.

55.

O artigo 2.o da Directiva 2009/101/CE não define que «identidade» dos indivíduos em causa (representantes da sociedade e outros participantes no governo da sociedade) é necessário publicar.

56.

De facto, as várias versões linguísticas da proposta revelam diferenças significativas inclusivamente no que diz respeito à tradução da expressão «identidade das pessoas». Por exemplo, a expressão tem a redacção de «l’identité des personnes» (i.e., identidade das pessoas) em francês, «le generalità delle persone» (i.e., pormenores pessoais como nome próprio e apelido) em italiano, «személyek adatai» (i.e., dados dos indivíduos) em húngaro, «de identiteit van de personen» (i.e., identidade das pessoas) em neerlandês e «identitatea persoanelor» (i.e., identidade das pessoas) em romeno.

57.

Além disso, em alguns Estados-Membros, os endereços privados dos administradores de sociedades e/ou de outros indivíduos, como alguns accionistas, são publicados frequentemente na Internet. Em outros Estados-Membros, estas informações são mantidas confidenciais pelo registo de empresas onde são entregues, por suscitarem problemas de confidencialidade, incluindo receio de usurpação de identidade.

58.

A AEPD recomenda a modificação do artigo 2.o da Directiva 2009/101/CE com vista a esclarecer que eventuais dados pessoais, além dos nomes dos indivíduos em causa (representantes da sociedade e outros participantes no governo da sociedade), deverão ser publicados. Para o efeito, a necessidade de transparência e de identificação exacta dos indivíduos deve ser considerada atentamente, mas também deve ser equilibrada com outras preocupações antagónicas, como sendo a necessidade de protecção da privacidade dos indivíduos em causa (24).

59.

Se não existir um acordo devido às diferentes práticas nacionais, o artigo 2.o deverá, no mínimo, ser modificado, passando a exigir a publicação do «nome completo das pessoas em causa e, caso a legislação nacional o exija especificamente, de dados adicionais necessários para a sua identificação». Será, então, evidente que caberá a cada Estado-Membro decidir na legislação nacional que, «identidade», além dos nomes, deverá eventualmente ser publicada e que só se exigirá a publicação de dados pessoais adicionais em caso de necessidade para a identificação dos indivíduos em causa.

60.

Em alternativa, e tendo em consideração que o artigo 2.o discrimina «um mínimo de indicações», não harmonizando completamente o conteúdo dos registos de empresas na Europa, a expressão «identidade das pessoas» pode ser simplesmente substituída pela expressão «nomes completos das pessoas». Caberá, então, a cada Estado-Membro decidir que eventuais informações adicionais pretende publicar.

61.

O artigo 2.o da Directiva 2009/101/CE também requer a publicidade de informações sobre pessoas que participam «na administração, na vigilância ou na fiscalização da sociedade». A partir desta formulação abrangente, não é bem claro se é necessário publicar informações relativas aos accionistas: em particular, informações sobre accionistas i) com uma participação significativa ou que lhes permita exercer influência ou controlo além de um determinado limite ou ii) com um controlo/influência efectiva sobre a sociedade em virtude de acções privilegiadas («golden shares»), acordos contratuais específicos, etc.

62.

A AEPD compreende que é necessária uma formulação abrangente que abarque a ampla variedade de estruturas de governo das sociedades actualmente existentes para sociedades de responsabilidade limitada em diferentes Estados-Membros. Dito isto, do ponto de vista da protecção de dados, é essencial que haja segurança jurídica em relação às categorias de indivíduos cujos dados podem ser publicados. Por conseguinte, a AEPD recomenda a modificação do artigo 2.o da Directiva 2009/101/CE com vista a esclarecer que eventuais dados pessoais relativos aos accionistas deverão ser publicados. Para o efeito, é igualmente necessário proceder a uma análise de proporcionalidade ao abrigo do acórdão Schecke (como já referido).

63.

Apesar de a proposta não exigir o intercâmbio nem a publicidade de dados pessoais além dos requisitos mínimos expostos no artigo 2.o da Directiva 2009/101/CE, também não exclui que os Estados-Membros, caso assim o decidam, possam requerer que os seus registos de empresas tratem ou publicitem dados pessoais adicionais e os disponibilizem através da plataforma/ponto de acesso comum europeu e/ou os intercambiem com registos de empresas em outros Estados-Membros.

64.

Trata-se de uma questão particularmente sensível no que diz respeito às «listas negras». Em alguns países, o registo electrónico também funciona, na prática, como uma espécie de «lista negra», sendo que qualquer terceiro pode pesquisar, através de um portal electrónico, informações dos representantes de sociedades proibidos de exercer as suas funções.

65.

Para fazer face a esta questão, a AEPD recomenda que a proposta esclareça se e em que medida os Estados-Membros poderão, com o tempo, publicar mais informações através do portal comum e/ou poderão, com o tempo, intercambiar mais informações entre si, com base nas respectivas legislações nacionais, se assim o entenderem. Neste caso, uma avaliação rigorosa da proporcionalidade (ver o acórdão Schecke, já citado) deverá basear-se na legislação nacional e também ter em conta, como reflexão, os objectivos do mercado interno.

66.

Além disso, a AEPD sugere a vinculação destes poderes a uma função a ser desempenhada por autoridades nacionais de protecção de dados, por exemplo, através de consulta.

67.

Finalmente, a AEPD sublinha que, se se prevê que um programa europeu exija especificamente «listas negras», tal deverá ser exposto especificamente na proposta de Directiva (25).

68.

A AEPD recomenda que a proposta de directiva preveja especificamente, em todos os casos em que há publicidade ou partilha de outra natureza de dados pessoais entre registos de empresas, a existência de garantias adequadas, em particular, contra a recolha, a prospecção e a combinação de dados e pesquisas indevidas para assegurar que os dados pessoais disponibilizados para efeitos de transparência não sejam utilizados de forma imprópria para objectivos adicionais não relacionados (26).

69.

A AEPD sublinha, em particular, a necessidade de considerar medidas tecnológicas e organizacionais em conformidade com o princípio de respeito pela privacidade desde a concepção (ver a secção 3.14). Ainda que a aplicação prática destas garantias possa ser deixada para actos delegados, os princípios deverão ser expostos na própria proposta de directiva.

70.

A AEPD recomenda que a proposta de directiva inclua uma estipulação específica que exija que as informações ao abrigo dos artigos 10.o e 11.o da Directiva 95/46/CE (e das estipulações correspondentes do Regulamento (CE) n.o 45/2001, caso aplicável) sejam fornecidas às pessoas a quem os dados dizem respeito de forma eficaz e abrangente. Além disso, e em função da estrutura de governação a ser acordada e as funções e responsabilidades das diferentes partes envolvidas, a proposta de directiva poderá exigir especificamente que o operador do sistema deva ter um papel proactivo no fornecimento de notificações e informações às pessoas a quem os dados dizem respeito no respectivo sítio Web, também «em nome» dos registos de empresas. Os pormenores adicionais podem ser incluídos em actos delegados, caso necessário, ou definidos numa política de protecção de dados.

71.

A proposta deverá, no mínimo, incluir uma referência ao requisito de desenvolvimento de modalidades de uma regra (em actos delegados) que permita às pessoas a quem os dados dizem respeito o exercício dos seus direitos. Também se deve fazer referência à possibilidade de criação de um módulo de protecção de dados e à possibilidade de soluções pautadas pelo conceito de privacidade desde a concepção destinadas à cooperação entre as autoridades no que diz respeito aos direitos de acesso, bem como à capacitação das pessoas a quem os dados dizem respeito, sempre que aplicável.

72.

Considerando que é possível que a Comissão ou outras instituições/órgãos da União Europeia também tratem dados pessoais na rede electrónica (por exemplo, actuando como operador da rede ou recolhendo dados pessoais da mesma), dever-se-á igualmente incluir uma referência ao Regulamento (CE) n.o 45/2001.

73.

Dever-se-á também esclarecer que a Directiva 95/46/CE se aplica aos registos de empresas e a outras partes actuando ao abrigo das respectivas legislações nacionais nos Estados-Membros, ao passo que o Regulamento (CE) n.o 45/2001 se aplica à Comissão e a outras instituições e órgãos da União Europeia.

74.

No que diz respeito às transferências de dados pessoais pelo detentor de um registo de empresas na União Europeia para o detentor de um registo de empresas num país terceiro que não assegure um nível adequado de protecção de dados pessoais, a AEPD sublinha, em primeiro lugar, que é importante distinguir duas situações:

75.

No primeiro caso, o artigo 26.o, n.o 1, alínea f), da Directiva 95/46/CE permite uma excepção sempre que «A transferência seja realizada a partir de um registo [público]», sujeita ao respeito de determinadas condições. Por exemplo, se o detentor de um registo de empresas num país europeu pretender transferir um certo conjunto de dados pessoais (nomeadamente, em ligação com o registo de sucursais estrangeiras) para o detentor de um registo de empresas num país terceiro e esses dados já forem, de qualquer modo, do domínio público, a transferência deverá ser possível ainda que o país terceiro em causa não assegure um nível adequado de protecção.

76.

No segundo caso, a AEPD recomenda que a proposta esclareça que as transferências de dados que não sejam do domínio público só possam ser realizadas para entidades ou indivíduos num país terceiro que não assegura uma protecção adequada se o responsável pelo tratamento apresentar garantias suficientes de protecção da vida privada e dos direitos e liberdades fundamentais das pessoas, assim como do exercício dos respectivos direitos. Essas garantias poderão, designadamente, resultar de cláusulas contratuais adequadas instauradas ao abrigo do artigo 26.o, n.o 2, da Directiva 95/46/CE (27). Nos casos em que as transferências de dados para países terceiros impliquem sistematicamente a partilha de dados entre registos de empresas em dois ou mais países da União Europeia ou em que, por outros motivos, seja desejável uma acção ao nível da União Europeia, a negociação de cláusulas contratuais também deverá ocorrer ao nível da União Europeia (artigo 26.o, n.o 4).

77.

A AEPD sublinha que outras derrogações, como sendo a derrogação em que (artigo 26.o, alínea d)) «A transferência seja necessária ou legalmente exigida para a protecção de um interesse público importante, ou para a declaração, o exercício ou a defesa de um direito num processo judicial», não devem ser utilizadas para justificar transferências de dados sistemáticas para países terceiros recorrendo à rede electrónica.

78.

A AEPD recomenda que a proposta faça uma referência específica ao princípio da responsabilização, esforçando-se por o executar (28), e crie um quadro claro de sistemas de controlo e mecanismos internos adequados no sentido de garantir o cumprimento das regras de protecção de dados e fornecer provas do mesmo, nomeadamente:

79.

No que diz respeito à privacidade desde a concepção (29), a proposta deverá incluir uma referência específica a este princípio, bem como materializar este compromisso em acções concretas. Em particular, a proposta deverá prever a construção segura e sólida da rede electrónica, integrando, por omissão, uma vasta panóplia de garantias de privacidade. Eis alguns exemplos possíveis de garantias de privacidade desde a concepção:

80.

A AEPD apoia os objectivos da proposta. Os seus comentários deverão ser avaliados à luz desta abordagem construtiva.

81.

A AEPD sublinha que as garantias necessárias em matéria de protecção de dados deverão ser previstas clara e especificamente no próprio texto da directiva, dado que os considera elementos essenciais. As disposições adicionais no que diz respeito à instauração de garantias específicas poderão ser expostas em actos delegados.

82.

As questões da governação, das funções, das competências e das responsabilidades deverão ser abordadas na proposta de directiva. Com este propósito, a proposta de directiva deverá definir:

83.

Qualquer actividade de tratamento de dados que recorra à rede electrónica deverá basear-se num instrumento jurídico vinculativo, tal como um acto específico da União Europeia adoptado numa base jurídica sólida. Este aspecto deverá ser exposto com clareza na proposta de directiva.

84.

As disposições relativas à legislação aplicável deverão ser esclarecidas e incluir uma referência ao Regulamento (CE) n.o 45/2001.

85.

No que diz respeito às transferências de dados pessoais para países terceiros, a proposta deverá esclarecer que, em princípio, e com a excepção dos casos ao abrigo do artigo 26.o, n.o 1, alínea f), da Directiva 95/46/CE, as transferências só poderão ser feitas para entidades ou indivíduos num país terceiro que não assegure uma protecção adequada se o responsável pelo tratamento apresentar garantias suficientes de protecção da vida privada e dos direitos e liberdades fundamentais das pessoas, assim como do exercício dos respectivos direitos. Essas garantias poderão, designadamente, resultar de cláusulas contratuais adequadas instauradas ao abrigo do artigo 26.o da Directiva 95/46/CE.

86.

Além disso, a Comissão deverá avaliar cuidadosamente as medidas técnicas e organizacionais a tomar para garantir que a privacidade e a protecção de dados são integrados, durante a concepção, na arquitectura da rede electrónica («privacidade desde a concepção») e que existem controlos adequados para assegurar o cumprimento das regras de protecção de dados e a apresentação das respectivas provas («responsabilização»).

87.

A AEPD também faz as seguintes recomendações:

26.7.2011   

PT

Jornal Oficial da União Europeia

C 220/12

26.7.2011   

PT

Jornal Oficial da União Europeia

C 220/16

26.7.2011   

PT

Jornal Oficial da União Europeia

C 220/17