Políticas de segurança e protecção de dados pessoais na União Europeia

1. Seminário 23 Maio 2012 Políticas de segurança e protecção de dados pessoaisnaUniãoEuropeia Maria Eduarda Gonçalves Inês Andrade Jesus Semináriorealizado no âmbito do projecto de investigação “PROTECT – Proteger a vidaprivada e os dados pessoaisnuma era pós-Carta”, financiadopelaFundaçãopara a Ciência e a Tecnologia (PTDC-CPJ/JUR/112008/2009)

2. A sociedade da informação e os dados pessoais • A protecção dos dados pessoaisconstituihojeumaquestão-chavena “sociedade da informação” ou “sociedadeemrede” • Aumentoexponencial da quantidade e da diversidade dos dados coligidos, processados e comunicadospelasempresas, administraçõespúblicas,políciase serviços de segurança. • Internet e expansão das redessociaiscom exposiçãopública de informaçãopessoal. • Osriscospara a defesa de direitoshumanosfundamentais: a reservada vidaprivada; a protecçãode dados pessoais; as liberdades…

3. Aquestãoemanálise • As preocupaçõesemmatéria de direitosfundamentaisacentuam-se perante a aparenteinadequação do quadro legal europeuno querespeitaàutilização de dados pessoais no domínio das políticas de segurança e de combateao crime. • Assiste-se aoreforçodas políticas de segurançana Europa (e no mundo): expansão dos sistemas de informação e bases de dados pessoais; métodossofisticados de pesquisa e tratamento de dados (‘data mining’; ‘individual risk assessment’). • Como está a serrealizado o “balancing” dos valores e interessesemconflito? • Queefeitospoderá/deveráter a consagraçãodo direito fundamentalàprotecção de dados pelaCarta dos DireitosFundamentais? As propostas da CE de Janeiro de 2012.

4. Os interesses e valores em conflito • Das organizaçõespúblicas e privadasnumamaioreficiência das suasactividades e serviçospormeio do tratamentoelectrónico de dados, tãolivrequantopossível. • Dos indivíduosnaprotecção dos dados quelhesdizemrespeito, da reserva da intimidade da suavidaprivada e de um modogeral das suasliberdades.

5. A protecção de dados pessoaisna UE: umaprotecçãoadequada? Directiva 95/46/EC relativaàprotecção dos indivíduos no querespeitaaotratamento de dados pessoais e àlivrecirculaçãodesses dados (DPD). Fundamento: o direito do Mercado Interno Artigo 3: tratamento de dados no domínio da políticaexterna e de segurançacomum e da cooperaçãopolicial e judiciária, segurançapública, defesa e direito criminal foramexcluídos do âmbito de aplicação da DPD. Decisão-quadro do Conselho 2008/977/JAI sobre a protecção de dados pessoaisprocessados no quadro da cooperaçãopolicial e judiciária. Fundamento: o Espaçode Liberdade, Segurança e Justiça. Principaisinstrumentos

6. Osprincípios de protecção de dados (DPD) • Limitação do fim • Consentimento • Minimização e proporcionalidade • Controlo • Direitos do titular dos dados: acesso, rectificação; oposição • Transferênciaparapaísesterceiros

7. “in practice, the Directive has by now become the international data protection metric against which data protection adequacy is measured.” (De Hert and Papakonstantinou, 2012).

8. Políticas de segurança na UE • A instituição do Espaço de Liberdade, Segurança e JustiçapeloTratado de Amesterdão (1997): reforço da segurança externa quando se reduz o controlo da segurança interna. • Ossistemas de informação • SIS I (1990); SIS II (2013) -base de dados das polícias nacionais e das autoridades alfandegárias • Eurodac - impressõesdigitais de requerentes de asilo (2000) • VIS - Visa Information System (2008)

9. Regulamento do Conselho (CE) n.º 2252/2004 sobreo ‘passaporteelectrónico’ contendo dados biométricos. • Acordos com os EUA paraa transferência de dados de passageirosaéreos (PNR). • Directiva 2006/24/CE – retenção de dados de telecomunicações. • Osataquesterroristas de • Nova Iorque, 11/9 Madrid, 11/3 • Londres, 7/7 O reforço das políticas de segurançana Europa

10. Queprotecção de dados: um enquadramento legal insuficiente… • “Decision 2008/977/JHA contains too wide an exception on the purpose limitation principle. … this and other weaknesses may directly affect the possibilities for individuals to exercise their rights… .” (EC, 2010) • “… The Commission has no powers to enforce its rules, as it is a Framework Decision, and this has contributed to uneven implementation. In addition, the scope of the Framework decision is limited to cross-border processing.” (EC, 2010) • São várias as excepçõesaosprincípios de protecção de dados (e.g. limitação do fim; consentimento; cf. Artigo 3.º) e aosdireitos dos titularesdos dados (e.g. acesso; informação). • Édeixadalargamargem de discricionariedadeàsautoridadescompetentesnainterpretação e aplicaçãodestesprincípios e excepções.

11. Decisão 2008/977/JAI – Artigo 3.º 1. Os dados pessoaispodemserrecolhidospelasautoridadescompetentesapenasparafinalidadesespecificadas, explícitas e legítimas, no âmbito das suasfunções, e podemsertratadosexclusivamentepara a finalidadeparaqueforamrecolhidos. … 2. O tratamento posterior paraoutrasfinalidadeséadmissíveldesdeque: a) Nãosejaincompatível com a finalidadedeterminante da recolha dos dados; b) As autoridadescompetentesestejamautorizadas a trataresses dados emconformidade com as disposiçõeslegislativasquelhessãoaplicáveis; e c) O tratamentosejanecessário e proporcionadopara a prossecuçãodessafinalidade.

12. Maisacesso, maisinformação A acçãovigorosada ComissãoEuropeiavisandopromover o amploacessodas polícias e dos serviçosde segurançaaossistemas de informação (v.g. SIS, VIS e Eurodac). • “Security in the EU depends on effective mechanisms for exchanging information between national authorities and other European players.” (CE, 2009) • “effectiveness, enhanced interoperability and synergies among European databases in the area of JHA.” (CE, 2005) • “In relation to the objective of combating terrorism and crime, the Council now identifies the absence of access by internal security authorities to VIS data as a shortcoming. The same could also be said for SIS II immigration and Eurodacdata” (CE, 2005). O princípio da disponibilidade da informação(availability of information)

13. Mas … o ‘European Data Protection Supervisor’ vênestasmedidas… • umatendênciamaisgeralparaatribuiràsautoridadespoliciais e judiciáriasacessoaosváriossistemas de informação e de identificação; • mais um passonatendênciaparafacilitar oacessopelasautoridadesa dados de indivíduosinsuspeitos da prática de qualquer crime, assimcomo … • … a dados recolhidospara fins nãorelacionados com o combateao crime (v.g. PNR; pedidos de asilo, …). (EDPS, 2010)

14. Governo cede dados dos BI portuguesesaosEstadosUnidosporLUÍS FONTES 02 Janeiro 2011 Emnome da luta contra o terrorismo, os EUA queremacederaoselementos do Arquivo de Identificação OsEstadosUnidos (EUA) queremteracesso a bases de dados biométricas e biográficas dos portuguesesqueconstam no Arquivo de Identificação Civil e Criminal. O FBI, com a justificação da luta contra o terrorismo, quertambémacederàaindalimitada base de dados de ADN de Portugal. O acordo com o Governo portuguêsestáfeito e sófaltaserratificadona Assembleia da República. No entanto, estemêsvaisair um parecer da ComissãoNacional de Protecção de Dados (CNPD) quealertaparaosproblemasqueconstam no texto do acordo bilateral.

15. O discurso político europeu sobre a segurança • Uma ‘win-winsituation’, não um conflito de valores ou de direitos. • “a liberdade e a segurança andam de mãos dadas” (António Vitorino, ex-comissário europeu responsável pelo Espaço de LSJ). • “security in Europe is a precondition of prosperity andfreedom.” (EC, 2006) • “[informationtechnologies] can serve to protectandamplifythe fundamental rightsofthe individual.” (EC 2010)

16. E a Carta? 1. Todas as pessoastêmdireitoàprotecção dos dados de carácterpessoalquelhesdigamrespeito. 2. Essesdados devemserobjecto de um tratamentoleal, para fins específicos e com o consentimento da pessoainteressadaou com outro fundamentolegítimoprevistopor lei. Todas as pessoastêm o direito de acederaos dados … 3. O cumprimentodestasregrasficasujeito a fiscalizaçãopor parte de umaautoridadeindependente. Artigo 8.º, Cartados DireitosFundamentais

17. A estratégia europeiano domínio dos direitos humanos • ‘Strategy for the effective implementation of the Charter of Fundamental Rights’ (COM (2010) 573 final): • “The Charter’s new status as a binding normative document will boost up the Union’s work in this field.” • “The Charter is not a text setting out abstract values, it is an instrument to enable people to enjoy the rights enshrined within it when they are in a situation governed by Union law.”

18. A proposta de regulamento (2012) “A definite cause for celebration for human rights.” (De Hert and Papakonstantinou, 2012) • Maiorharmonizaçãodos regimes entre osEstados-Membros. • Reforço dos mecanismos de supervisão e controloinstitucional. • Reforço das obrigações de controladores e processadores de dados.

19. A proposta de directiva (2012) Uma propostacontroversa “A single instrument would give more guarantees to citizens, render the task of police authorities easier, as well as enabling data protection authorities the same extensive and harmonised powers vis-à-vis police and judicial authorities …” (EDPS, 2011) • Dois instrumentos, um regulamento e umadirectiva, emlugar de apenas um instrumentogeral. • Uma linguagempermissiva (“as far as possible”, “all reasonable steps”). • Limitaçõesaodireito de acesso. • Ausência de um princípiode transparência. • “... impõe-se que as regras para a transferência internacional de dados pessoais sejam bem definidas, as condições bem delimitadas e as salvaguardas acauteladas. Tal não acontece, de maneira nenhuma, no texto desta Proposta de Directiva...” (CNPD, 2012).

20. Conclusões • Assiste-se a um movimentodeliberadoda UE de encorajamentoàutilização de dados pessoaispara fins de segurançaemdetrimento da protecção de dados pessoais. • As instituiçõeseuropeiastêmadoptadoumaretóricaconciliatóriaqueapresenta, regularmente, a segurança e osdireitosfundamentaiscomo as duas faces da mesmamoeda. • No entanto, estaretóricaconciliatóriaéinconsistentecom políticase medidasadoptadas, reconhecidamentelesivasdessesdireitos, designadamente, dos princípios deprotecção dos dados pessoais.

21. Conclusões • Defender o direito fundamental àprotecção de dados nãosignificaqueeste deva prevalecerabsolutamentesobre outros valoresfundamentaisnumasociedadedemocrática. • Mas a consagraçãodestedireitodeveterconsequênciasnanatureza e no âmbito da protecçãoa conceder, de forma a garantir: • a aplicação, emtodososcasos, dos princípios da protecção de dados; • queosdireitos dos titularespossamserefectivamenteexercidos; • que as limitaçõesaodireito fundamental sejamexcepcionais e devidamentejustificadas.

22. “The fundamental right to data protection is continuously eroded or downright overridden by alleging the prevailing interests of security and market logic.” • “… no real debate or analysis of the necessity or proportionality of measures taken for fighting terrorism and no real evaluation of the balancing vis-à-vis fundamental rights.” (Rodotà, 2006)