24.5.2017   

PT

Jornal Oficial da União Europeia

C 164/1

24.5.2017   

PT

Jornal Oficial da União Europeia

C 164/2

1.

Em 10 de janeiro de 2017, a Comissão Europeia adotou uma Proposta de regulamento do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições, órgãos, organismos e agências da União e à livre circulação desses dados e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (1) (a «Proposta»).

2.

O direito fundamental à proteção dos dados pessoais está consagrado no artigo 8.o da Carta dos Direitos Fundamentais da União Europeia (a «Carta») e no artigo 16.o do Tratado sobre o Funcionamento da União Europeia (o «TFUE»).

3.

A Autoridade Europeia para a Proteção de Dados («AEPD») é a autoridade de supervisão independente responsável por garantir que as instituições, órgãos, organismos e agências da União («instituições da UE») cumprem a legislação em matéria de proteção dos dados aquando do tratamento de dados pessoais (2). O requisito de prever um controlo independente no sistema de proteção de dados da UE está consagrado no direito primário, tanto no artigo 16.o, n.o 2, do TFUE quanto no artigo 8.o, n.o 3, da Carta. O Tribunal de Justiça salientou consistentemente que o controlo por parte uma autoridade independente constitui uma componente essencial do direito à proteção dos dados e estabeleceu os critérios para essa independência (3). Concretamente, a autoridade de supervisão deve atuar com total independência, o que implica um poder decisório isento de qualquer influência, direta ou indireta, externa (4) e isenção de qualquer suspeita ou parcialidade (5).

4.

O principal instrumento jurídico aplicável ao tratamento de dados pessoais pelas instituições da UE é o Regulamento (CE) n.o 45/2001 (6) («Regulamento 45/2001»), complementado pela Decisão n.o 1247/2002/CE (7).

5.

Após a conclusão, em 27 de abril de 2016, das longas negociações sobre o novo quadro da UE em matéria de proteção dos dados – o Regulamento Geral sobre a Proteção de Dados («RGPD» e a Diretiva relativa à proteção de dados nos setores da polícia e da justiça - esta Proposta (juntamente com a proposta da Comissão sobre a um Regulamento relativo à privacidade e às comunicações eletrónicas («Regulamento relativo à privacidade eletrónica» (8)) assinala o início de uma fase crucial no processo de completar este quadro da UE em matéria de proteção dos dados. A mesma visa harmonizar as disposições do Regulamento (CE) n.o 45/2011 com as regras estabelecidas no RGPD, a fim de criar um quadro de proteção dos dados mais forte e mais coerente na União e permitir que ambos os instrumentos sejam simultaneamente aplicáveis. (9). Além disso, a Proposta também integra novas regras para a proteção dos equipamentos terminais dos utilizadores finais, estabelecidas na proposta da Comissão sobre o novo Regulamento relativo à privacidade eletrónica.

6.

Na Estratégia 2015-2019, a AEPD comprometeu-se a trabalhar com o Parlamento Europeu, o Conselho e a Comissão para assegurar que as regras em vigor definidas no Regulamento 45/2001 são harmonizadas com o RGPD e que um quadro revisto entra em vigor o mais tardar no início de 2018. A AEPD saúda o facto de ter sido consultada a título informal pela Comissão antes da adoção da Proposta e de a proposta parecer ter tido em conta muitos dos elementos suscitados nas suas contribuições informais até à data. Considera que a Proposta atual é mais do que satisfatória do ponto de vista da harmonização máxima com o RGPD, salvo se especificidades estritamente definidas do setor público da UE justificarem o contrário, e aprecia especialmente o equilíbrio dos vários interesses em causa alcançado pela Comissão.

7.

Embora o presente Parecer indique alguns domínios nos quais a Proposta ainda poderia ser melhorada, a AEPD incentiva o legislador da UE a alcançar um acordo sobre a Proposta com a maior brevidade possível, de modo a permitir que as instituições da UE beneficiem de um período razoável de transição antes de o novo regulamento poder tornar-se plenamente aplicável.

8.

No passado, a AEPD recomendou que as regras substantivas para as instituições da UE fossem incorporadas no (então) projeto do RGPD (10). O legislador da UE escolheu outra via: um instrumento jurídico separado aplicável às instituições da UE harmonizado e aplicável simultaneamente com o RGPD. A AEPD apoia esta abordagem: seria inaceitável se a Comissão Europeia e as demais instituições da UE não estivessem vinculadas por regras equivalentes às que a breve trecho se tornarão aplicáveis a nível dos Estados-Membros. Além disso, não seria desejável para a AEPD supervisionar a conformidade das instituições da UE com regras substantivas que seriam inferiores às regras supervisionadas pelos seus homólogos a nível nacional, sobretudo pelo facto de que a AEPD se tornará membro do futuro Comité Europeu para a Proteção de Dados (CEPD) (11).

9.

As futuras regras aplicáveis ao tratamento de dados pessoais por parte das instituições da UE devem, por conseguinte, ser harmonizadas com as disposições do RGPD, salvo se especificidades do setor público interpretadas de forma mais estrita justificarem o contrário. A este respeito, a AEPD congratula-se com o considerando 5 da Proposta que salienta a necessidade de harmonizar o mais possível e esclarece que, «[s]empre que as disposições do presente regulamento sejam baseadas no mesmo conceito que as disposições do [RGPD], essas duas disposições devem ser interpretadas de forma homogénea, sobretudo porque o sistema do presente regulamento deve ser entendido como equivalente ao sistema do [RGPD].».

10.

Ao mesmo tempo, a harmonização com o RGPD não pode ser plena, nem automática. O RGPD inclui várias cláusulas que permitem aos Estados-Membros manter ou introduzir legislação específica em certos domínios, nomeadamente para as autoridades públicas (12). Nos casos em que o RGPD prevê regras específicas para as autoridades públicas (13) ou deixa margem para a execução das suas disposições por parte dos Estados-Membros, a Proposta pode ser considerada desempenhar um papel comparável a uma legislação nacional que «dá execução» ao RGPD, como por exemplo no artigo 9.o«Transmissões de dados pessoais a destinatários diferentes das instituições e organismos da União» ou no artigo 66.o«Coimas» da Proposta (ver secção 2.8.1 infra). Além disso, é importante assegurar que é mantido o elevado nível de proteção atualmente aplicável às instituições da UE. Daí a necessidade de manter certas especificidades do Regulamento (CE) n.o 45/2001, tais como no artigo 25.o Limitações (consultar a secção 2.3.1 infra) e no artigo 44.o Designação do encarregado da proteção de dados (consultar a secção 2.4.5.1 infra).

11.

Além da harmonização substantiva com o RGPD, é essencial que as regras revistas se tornem plenamente aplicáveis ao mesmo tempo que o RGPD, ou seja, em 25 de maio de 2018. A rede existente de encarregados da proteção de dados (EPD) proporciona um canal eficiente de intercâmbio de informações e cooperação. Consequentemente, a AEPD está convicta de que poderá ser alcançada conformidade após um período de transição relativamente curto, por exemplo, três meses.

12.

O princípio da responsabilização subjacente ao RGPD - bem como à presente Proposta – vai além da simples conformidade com as regras e implica uma mudança de cultura. A fim de facilitar a transição, a AEPD lançou um «projeto de responsabilização». Neste contexto, a AEPD esteve em contacto ao longo de 2016 e 2017 com sete instituições e órgãos importantes da UE para ajudar a preparar em tempo oportuno a aplicação do RGPD.

13.

No passado, a AEPD exortou por várias vezes a Comissão a propor um sistema robusto e abrangente que fosse ambicioso e reforçasse a eficácia e a coerência da proteção dos dados na UE, de molde a assegurar um ambiente sólido para prosseguir o desenvolvimento nos próximos anos (14). A Comissão optou por uma abordagem diferente e propôs um instrumento jurídico separado para a proteção dos dados no domínio da aplicação da legislação (15). Seguiram-se várias propostas de atos jurídicos que introduzem regimes separados «autónomos» de proteção dos dados (16).

14.

A AEPD reconhece que o atual, embora fragmentado, quadro jurídico de proteção de dados pessoais é o melhor resultado possível presentemente (17). A AEPD reconhece que a presente Proposta continuaria a aplicar-se às instituições da UE atualmente abrangidas pelo âmbito de aplicação do Regulamento 45/2001 (18) (essencialmente, todas as antigas (19) instituições, órgãos, organismos e agências do 1.o e 2.o«pilar»), mas não iria, como tal, afetar os regimes existentes ou pendentes «autónomos» (20). Esses regimes apenas serão afetados pela presente proposta se e na medida em que tal for explicitamente previsto no instrumento jurídico relevante. A AEPD regista esta abordagem, mas sugere que este facto seja indicado de forma mais explícita no preâmbulo da Proposta e, eventualmente, também no artigo 2.o Âmbito de aplicação. Ao mesmo tempo, a AEPD salientaria que a fragmentação e a complexidade crescente do quadro jurídico para o tratamento de dados por parte das várias instituições da UE ativas nos antigos primeiro e terceiro «pilares» não representa um resultado plenamente satisfatório e poderá ter de ser abordado pelo legislador da UE a médio prazo.

15.

O Regulamento (CE) n.o 45/2001 prevê medidas destinadas a proteger a privacidade e a confidencialidade das comunicações nos casos em que as instituições da UE controlam a infraestrutura utilizada para comunicação. Para o efeito, inclui algumas disposições que abrangem partes do âmbito regulamentar da Diretiva 2002/58/CE («Diretiva relativa à privacidade eletrónica») (21), e estabelece o princípio de que as regras para a proteção dos direitos fundamentais devem ser aplicadas de modo consistente e harmonioso em toda a União, fazendo referência aos vários instrumentos, tais como a Diretiva relativa à privacidade eletrónica (22). A necessidade de assegurar o mesmo nível de privacidade e confidencialidade das comunicações que envolvam instituições da UE mantém-se inalterada, pelo que deve ser mantido o princípio da aplicação consistente e harmoniosa. Por conseguinte, a AEPD considera que a Proposta deve assegurar que as regras pertinentes do RGPD e do futuro Regulamento relativo à privacidade eletrónica aplicar-se-ão a todas as instituições da UE mutatis mutandis. Tal deve incluir a preservação da confidencialidade e da privacidade em relação aos serviços de comunicação controlados pelas instituições da UE, bem como outros princípios do futuro Regulamento relativo à privacidade eletrónica, tais como a proteção dos dispositivos terminais e outras regras, por exemplo, relacionadas com rastreamento e spam.

16.

Por último, embora a legislação da UE em matéria de proteção de dados também se aplique ao Espaço Económico Europeu e os países participantes na EFTA sejam obrigados a criar autoridades de supervisão independentes de acordo com o RGPD, as instituições da EFTA não estão sujeitas a quaisquer regras e supervisão específicas de proteção de dados, apesar de trocarem dados com as instituições da UE. A AEPD considera que a presente Proposta poderá ser uma oportunidade para abordar esta questão.

90.

Em termos gerais, a AEPD considera a Proposta bem-sucedida na harmonização das regras para as instituições da UE com o RGPD, tendo simultaneamente em conta as especificidades do setor público da UE. O alto nível de proteção relativamente ao tratamento de dados por parte das instituições da UE é, de um modo geral, preservado na Proposta. A AEPD aprecia particularmente o equilíbrio dos vários interesses em jogo alcançado pela Comissão.

91.

A AEPD considera que a Proposta deveria ser melhorada, nomeadamente no que diz respeito às modalidades para as limitações previstas no artigo 25.o. A fim de assegurar conformidade com a qualidade dos requisitos da legislação referidos anteriormente, o artigo 25.o, n.o 1, da Proposta necessitaria de ser alterado no sentido de que apenas os atos jurídicos adotados com base nos Tratados devem poder restringir os direitos fundamentais, impondo, assim, às instituições da UE as mesmas normas aplicáveis aos Estados-Membros nos termos do RGPD. Na medida em que as restrições previstas no artigo 34.o Confidencialidade das comunicações eletrónicas são contempladas, a AEPD insta o legislador da UE a assegurar que as eventuais restrições do direito fundamental à privacidade das comunicações por parte das instituições da UE nas suas próprias operações seguem as mesmas normas estabelecidas no direito da União conforme interpretadas pelo Tribunal de Justiça neste domínio.

92.

A AEPD saúda o facto de a Proposta incluir um artigo separado dedicado ao papel da AEPD enquanto órgão consultivo das instituições da UE (artigo 42.o da Proposta). No entanto, manifesta preocupação relativamente ao facto de que a redação «[a]pós a adoção das propostas» [em vez de «[q]uando aprovar uma proposta legislativa» no artigo 28.o, n.o 2 do Regulamento (CE) n.o 45/2001] pode pôr em causa o compromisso de longa data da Comissão Europeia de consultar a AEPD sobre projetos de propostas a título informal, normalmente na fase da consulta interserviços. Atendendo à importância da consulta informal, a AEPD saudaria um considerando no qual a Comissão reiterasse o seu compromisso em relação a esta prática de longa data. Apoiaria igualmente que a Proposta mantivesse a redação do artigo 28.o, n.o 2, do Regulamento 45/2001 («quando aprovar»), que confere uma maior margem de manobra a este respeito. Considera que o artigo 42.o tal como proposto esclarece suficientemente em relação às respetivas funções da AEPD e do CEPD, a fim de evitar uma duplicação desnecessária no futuro.

93.

A AEPD considera que a possibilidade de externalizar a função de um EPD não é adequada para as instituições da UE que exercem autoridade pública. Consequentemente, a segunda alternativa do artigo 44.o, n.o 4, («ou exercer as suas funções com base num contrato de prestação de serviços») deve ser suprimida.

94.

A AEPD congratula-se com o artigo 66.o da Proposta que concede à AEPD o poder de impor coimas. Considera que privar a autoridade de supervisão da UE da possibilidade de impor coimas, quando adequado, faria com que as instituições da UE usufruíssem de uma posição privilegiada comparativamente às instituições do setor público em muitos Estados-Membros.

95.

A AEPD considera que os procedimentos de certificação podem ser um instrumento bastante útil para as instituições da UE e já se encontram a ser utilizados em determinados contextos, por exemplo, na certificação da conformidade com as normas geralmente aceites. Por conseguinte, devem ser aditadas referências à utilização da certificação (mas não códigos de conduta) ao artigo 26.o Responsabilidade do responsável pelo tratamento, ao artigo 27.o Proteção de dados desde a conceção e por defeito, bem como ao artigo 33.o Segurança.

96.

Embora o presente Parecer indique alguns domínios nos quais a Proposta ainda poderia ser melhorada, a AEPD incentivaria o legislador da UE a alcançar um acordo sobre a Proposta com a maior brevidade possível, de modo a permitir que as instituições da UE beneficiem de um período razoável de transição antes de o novo regulamento se tornar plenamente aplicável ao mesmo tempo que o RGPD, em maio de 2018.

24.5.2017   

PT

Jornal Oficial da União Europeia

C 164/7

1.

Em 15 de maio de 2017, a Comissão recebeu a notificação de um projeto de concentração nos termos do artigo 4.o do Regulamento (CE) n.o 139/2004 do Conselho (1), pelo qual Zalando SE (Alemanha) e BESTSELLER United A/S (Dinamarca) adquirem, na aceção do artigo 3.o, n.o 1, alínea b), e n.o 4, do Regulamento das Concentrações, o controlo conjunto de uma empresa comum, Fashiontrade.com B.V. (Países Baixos), mediante um aumento de capital da Fashiontrade.com B.V., na sequência do qual Zalando SE e BESTSELLER United A/S deterão, cada uma, 50 % do capital social da empresa comum.

2.

As atividades das empresas em causa são as seguintes:

—   Zalando SE: ativa na venda B2C (retalhista) de produtos de vestuário e calçado. Na sua plataforma de comércio eletrónico em linha, os consumidores podem comprar uma vasta seleção de vestuário e calçado de muitas marcas diferentes. Também vende vestuário e calçado na sua loja em linha. Além disso, a Zalando presta serviços de plataforma de comércio eletrónico B2C e outros serviços com soluções destinadas às marcas.

—   BESTSELLER United A/S: é uma empresa internacional do setor da moda com uma série de diferentes marcas de moda. Opera nos setores de venda B2B (grossista) e B2C (retalhista) de vestuário e calçado através de diferentes marcas.

—   Fashiontrade.com B.V.: estará presente no mercado como prestador de serviços de plataforma de comércio eletrónico entre empresas (B2B). A plataforma permitirá estabelecer a ligação entre as marcas de moda (grossistas) e os retalhistas.

3.

Após uma análise preliminar, a Comissão considera que a operação notificada pode ser abrangida pelo âmbito de aplicação do Regulamento das Concentrações. Reserva-se, contudo, o direito de tomar uma decisão definitiva sobre este ponto. De acordo com a Comunicação da Comissão relativa a um procedimento simplificado para o tratamento de certas concentrações nos termos do Regulamento (CE) n.o 139/2004 do Conselho (2), o referido processo é suscetível de beneficiar do procedimento previsto na comunicação.

4.

A Comissão solicita aos terceiros interessados que lhe apresentem as suas eventuais observações sobre o projeto de concentração em causa.

As observações devem ser recebidas pela Comissão no prazo de 10 dias a contar da data da presente publicação. Podem ser enviadas por fax (+32 22964301), por correio eletrónico para COMP-MERGER-REGISTRY@ec.europa.eu ou por via postal, com a referência M.8433 — Zalando/Bestseller United/Empresa Comum, para o seguinte endereço: