A proteção de dados pessoais e o quadro regulatório atual – pistas de reflexão para uma heterorregulação mitigada?

alí iv DIREITOS DE AUTOR E CONDIÇÕES DE UTILIZAÇÃO DO TRABALHO POR TERCEIROS Este é um trabalho académico que pode ser utilizado por terceiros desde que respeitadas as regras e boas práticas internacionalmente aceites, no que concerne aos direitos de autor e direitos conexos. Assim, o presente trabalho pode ser utilizado nos termos previstos na licença abaixo indicada. Caso o utilizador necessite de permissão para poder fazer um uso do trabalho em condições não previstas no licenciamento indicado, deverá contactar o autor, através do RepositóriUM da Universidade do Minho. Licença concedida aos utilizadores deste trabalho Atribuição CC BY https://creativecommons.org/licenses/by/4.0/ v Agradecimentos Dedico esta dissertação à minha família e amigos. Pela paciência, amor e carinho neste caminho. Um obrigado nunca será suficiente para vocês. Dedico ainda à minha orientadora por me ter ajudado a navegar pelas dificuldades sempre com os melhores conselhos e recomendações quer quanto à sugestão do tema quer quanto ao melhor caminho em termos de investigação científica. A vocês, Obrigada mais uma vez. vi DECLARAÇÃO DE INTEGRIDADE Declaro ter atuado com integridade na elaboração do presente trabalho académico e confirmo que não recorri à prática de plágio nem a qualquer forma de utilização indevida ou falsificação de informações ou resultados em nenhuma das etapas conducente à sua elaboração. Mais vii A proteção de dados pessoais e o quadro regulatório atual – pistas de reflexão para uma heterorregulação mitigada? Resumo A presente dissertação trata de um tema atual que se encontra em permanente evolução e adaptação às expectativas e necessidades que a sociedade vai apresentando. O impacto das novas tecnologias de informação e de comunicação é evidente na vida em sociedade, determinando que os dados pessoais conheçam hoje um quadro regulatório mais ambicioso. No entanto, cabe equacionar se a solução encerrada na legislação aplicável – que parece surgir como uma heterorregulação, pois pressupõe a intervenção de uma autoridade reguladora nacional (a autoridade de controlo), mas mitigada, na medida em que confia nas diligências levadas a efeito pelos responsáveis pelo tratamento – é suficiente para os avanços tecnológicos verificados. Palavras-chave: dados pessoais, RGPD, Administração Pública, responsável pelo tratamento. viii The protection of personal data and the current regulatory framework – clues for reflection for mitigated heteroregulation? Abstract This dissertation deals with a current topic that is constantly evolving and adapting to the expectations and needs that society is presenting. The impact of new information and communication technologies is evident in life in society, which means that personal data now has a more ambitious regulatory framework. However, it is important to consider whether the solution set out in the applicable legislation - which appears to be heteroregulation, as it presupposes the intervention of a national regulatory authority (the supervisory authority), but is mitigated insofar as it relies on the steps taken by those responsible for processing - is sufficient for the technological advances that have taken place. Keywords: personal data, GDPR, Public Administration, data controller. ix Índice DIREITOS DE AUTOR E CONDIÇÕES DE UTILIZAÇÃO DO TRABALHO POR TERCEIROS .............................................................................................................................................. iv Agradecimentos ................................................................................................................... v DECLARAÇÃO DE INTEGRIDADE ...................................................................................... vi Resumo ............................................................................................................................... vii Abstract ............................................................................................................................. viii Abreviaturas e Siglas ........................................................................................................ xii Introdução ........................................................................................................................... 1 1. A digitalização ................................................................................................................. 3 1.1. A digitalização e a sua evolução ............................................................................... 4 1.2. Digitalização e a Administração Pública ................................................................... 6 1.2.1. A digitalização da Administração Pública na União Europeia ............................. 9 1.2.2. Programas a nível nacional ............................................................................ 11 1.3. Principais problemáticas da digitalização ............................................................... 14 1.3.1. Problema da proteção de dados ..................................................................... 15 2. Proteção de dados ........................................................................................................ 17 2.1. Conceito de dados pessoais .................................................................................. 20 2.1.1. Informações relevantes .................................................................................. 22 2.1.2. Relativa a ...................................................................................................... 24 2.1.3. Pessoa identificada ou identificável ................................................................ 25 2.1.4. Pessoas singulares ........................................................................................ 26 2.1.5. Casos problemáticos ..................................................................................... 28 2.2. Tratamento dos Dados Pessoais ............................................................................ 30 2.2.1. Consentimento .............................................................................................. 32 2.2.2. Princípios aplicáveis em matéria de proteção de dados .................................. 34 2.2.2.1. Princípio da Lealdade ................................................................................. 36 4 investimento económico necessário possa a ser visto como viável. A digitalização impõe uma permanente avaliação destes benefícios e a ponderação dos mesmos com os riscos que dela também advém, tendo sempre de haver um equilíbrio entre o que se espera alcançar e os riscos que essa tentativa irá significar. Os direitos fundamentais dos cidadãos não podem ser postos em causa com a aplicação de um meio tecnológico apenas por significar uma diminuição dos custos. O caminho da transformação digital tem de ser feito sempre de uma forma ponderada de modo a que possam ser feitas as escolhas das medidas adequadas e justificativas para o que se quer atingir. A existência prévia de apenas documentos físicos não significava que não existam esses mesmos riscos, o que diferencia é a sua magnitude quer em termos de quantidade de dados pessoais quer em termos de facilidade e velocidade em que os mesmos podem ocorrer. Com a digitalização há riscos que passam a existir, há um maior número de dados pessoais que passam a circular entre dois pontos diferentes e consequentemente a probabilidade de um determinado meio tecnológico não funcionar e bloquear a prática de atos necessários ou de haver uma partilha indevida existem e tem que ser considerados, representando deste modo um risco para a segurança dos dados pessoais partilhados e confiados pelos titulares dos dados pessoais. 1.1. A digitalização e a sua evolução A consciencialização da potencialidade da digitalização leva a que haja uma necessidade de programação de cada Estado e da União Europeia 6 que venha permitir uma evolução contínua, ponderada e correspondente aos interesses e necessidades dos cidadãos e dos Estados. Neste sentido são criados programas/planos que delimitam a cronologia adequada à realidade digital em termos do que e como se quer atingir no futuro, do que já existe em termos de meios tecnológicos, o ponto de situação em termos de aplicabilidade destes mesmos meios e o que se poderá ambicionar para o futuro, assim como agendas digitais e estudos sobre o que pode ser melhorado e de como os programas/planos criados estão a ter efeitos práticos e de que modo o seguinte terá de ter isso em consideração. A evolução que se tem registado tem sido sempre feita de uma forma progressiva e no caminho e entendimento de que apenas com uma ponderação do que se pode fazer e do que pode evoluir é que se consegue avançar de programa em programa ou de plano em plano de uma forma que se revele proveitosa em termos de 6 https://www.europarl.europa.eu/pdfs/news/expert/2021/4/story/20210414STO02010/20210414STO02010_pt.pdf. 5 aproveitamento de todas as vantagens que podem ser adquiridas com um determinado meio tecnológico. A nível europeu o caminho da digitalização começou com a perceção de que os EstadosMembros recorriam à tecnologia na sua atuação no mercado interno mesmo antes de haver alguma regulação legislativa europeia e sem que existissem programas definidos que fossem ao encontro do que seria o melhor aproveitamento dos meios existentes tendo em conta as finalidades adequadas 78 . Havia, ainda, uma desigualdade quanto à capacidade de investimento em meios tecnológicos levando, deste modo, a pouca igualdade em termos de desenvolvimento e harmonização quanto ao nível de tecnologia utilizada, o que fazia com que o recurso à tecnologia não estivesse a ter os benefícios que poderia ter com os recursos económicos europeus. Não havendo uma base comum a todos os Estados não é possível haver uma evolução como Estado e como União e consequentemente há um desperdício de recursos resultante do facto de que não se encontrarem todos ao mesmo nível em termos de desenvolvimento tecnológico e aplicação dos recursos existentes. Reconheceu-se, nesse sentido, à Comissão Europeia o papel de criadora desta base comum através de iniciativas que permitissem que esta aposta no digital ocorresse de uma forma generalizada e ao mesmo nível entre os Estados. Esta competência, assumida pela Comissão, partilhada entre a União Europeia e os Estados-Membros deriva da previsão legal dos artigos 4.º, n.º 2, alínea a) e 2.º, n.º 2 do Tratado sobre o Funcionamento da União Europeia (TFUE). Preveem estas normas que o reconhecimento aos Estados de autonomia ocorre sempre até ao momento em que se reconhece que é necessária a intervenção da União para agir naquilo que os Estados não estão a agir. Os Estados são quem tem a iniciativa e a liberdade de atuação, sendo apenas da competência da União na medida do que se considerar que está a ser feita de forma insuficiente. A criação de um espaço comum em que os cidadãos possam circular sem limitação não fundamentada ou com inconvenientes desnecessários deve ser o objetivo que resume o interesse e investimento de recursos que é feito pela União sempre que reúne esforços para melhorar a sua atuação como um todo e a qualidade de vida dos seus cidadãos. Todos os caminhos traçados 7 ABREU, Joana Covelo de “Os princípios gerais da Administração Pública em linha na União Europeia e a análise do artigo 14.º do CPA – revisitando as necessidades de literacia digital” in Carla Amado Gomes et al . (ed.), Comentários ao Código do Procedimento Administrativo , Lisboa, AAFDL, volume I, 2023, páginas 2 e 3. 8 Subentendem-se como finalidades adequadas todas aquelas que são definidas no sentido de melhoramento da utilização dos meios existentes e que definem o que se pretende alcançar no futuro. As finalidades para serem consideradas como adequadas tem que também ter em consideração a capacidade de investimento de cada Estado e de que forma precisam de modificar a sua realidade para cumprir com o delimitado pela União nos seus programas/planos. 6 pela União devem ser feitos para que haja uma circulação mais fácil, incentivadora e sem elementos que possam de alguma forma condicionar a liberdade que se reconhece e ambiciona. Tratando-se de criar os elementos para a existência de um espaço sem fronteiras entre os seus Estados-Membros, a União Europeia tem de facilitar, assim e centralizando o tópico da digitalização na Administração Pública, no contexto da prestação de serviços públicos, uma interoperabilidade de dados (pessoais e não pessoais) entre as entidades públicas congéneres dos Estados-Membros e as instituições, órgãos e organismos da União envolvidos. Só assim os cidadãos se sentem efetivamente motivados a exercer as liberdades de circulação. 1.2. Digitalização e a Administração Pública A digitalização, como foi adiantado previamente, abrange toda a sociedade sem fazer discriminação quanto ao que se pode aplicar e aos setores que podem beneficiar das alterações positivas que da mesma derivam. A Administração Pública não se exclui desse âmbito e rapidamente se entendeu que a evolução dela e a prestação de serviços mais próximos do cidadão passaria por soluções tecnológicas que ligariam de forma mais efetiva os cidadãos ao Estado. Surge, deste modo, a possibilidade de existir uma Administração Pública Digital, também denominada por autores como Miguel Prata Roque como Administração Eletrónica, em que a tecnologia assume um papel importante e vem transformar tudo o que até então era praticado. Os serviços públicos assumem deste modo uma vertente digital e começam a transformar a prestação de serviços aos cidadãos e empresas mais prática, simples e com uma maior conetividade. Ao puderem ser praticados à distância, o que revoluciona de uma forma positiva o acesso aos serviços públicos, vem significar para além da sua melhoria, uma diminuição dos custos que representam para um Governo e possibilitar que os meios que existem numa sociedade, em termos de recursos humanos e monetários, possam ser aproveitados de uma melhor forma e, consequentemente, aumentado a sua efetividade. A tecnologia já existia nos serviços públicos, mas não era utilizada como meio de substituição de atos praticados por humanos por máquinas, mas sim como um meio que ajudava o ser humano a praticar esses mesmos atos. O registo numa plataforma de determinados atos é uma forma de recorrer à tecnologia, mas que não se equipara à criação de uma plataforma que une diversos serviços públicos prestados em locais diferentes como ocorre, a título de exemplo, na saúde. 7 A evolução que se tem registado na Administração Pública resulta de estudos 9 sobre a potencialidade das tecnologias e de qual seria o melhor proveito dos recursos existentes assim como o estabelecimento de metas realistas face àquilo que pode ser investido pelo Estado de forma a tornar este cada vez mais ligado com os seus cidadãos e com maior capacidade de correspondência com o que estes precisam e ambicionam 10 . Esta compreensão da realidade tem que ser feita sempre que se considerar pertinente de modo a que haja uma atuação concertada com o que se pretende e consegue evoluir. Não é suficiente haver uma ambição daquilo que não se consegue atingir ou do que dificilmente se vai conseguir concretizar. A pandemia que todos vivemos, associada à Covid-19, foi a demonstração ideal de que a Administração Pública já se encontrava a dar passos decisivos em termos digitais, embora um longo caminho ainda tivesse de ser percorrido, e que a presença da tecnologia já existia e era aplicada 11 . Os serviços públicos continuaram em funcionamento, dentro das limitações inerentes ao período que atravessávamos, e permitiram que a sociedade continuasse a ter acesso aos mesmos serviços que tinha, contudo, através maioritariamente de um único formato, o formato digital 12 . Nem todos os serviços se encontravam preparados para a modificação inesperada e repentina do seu modo de exercício e, por este motivo, encontraram dificuldades práticas nos serviços que prestaram à população. Foi, noutro sentido, uma forma de testar até que ponto poderia a tecnologia interferir na relação que se estabelece entre o Estado e a população e de que modo pode essa mesma tecnologia ser utilizada para desempenhar o papel que aquele tem perante esta 13 . A digitalização veio simplificar a Administração Pública e desprendê-la de meios e mecanismos que não conseguem corresponder da melhor forma possível, como outrora o fizeram, às necessidades dos cidadãos 14 , e veio, por outro lado, pôr em ênfase na importância da existência de uma administração pública cada vez mais aberta e capaz de permitir que todos 9 Foi criada na União um Centro responsável em matéria de aplicabilidade de tecnologias que dá um apoio aos Estados sobre o que se pode ambicionar no futuro e quais serão as melhores estratégias e políticas a adotar. Para mais informações pode ser consultado https://knowledge4policy.ec.europa.eu/foresight/digital-transformation-public-administration-services_en. 10 https://knowledge4policy.ec.europa.eu/foresight/digital-transformation-public-administration-services_en. 11 A pandemia veio colocar ênfase na realidade digital existente e nas fragilidades que existiam. Com a necessidade inesperada dos recursos tecnológicos foi facilitada a perceção de que ainda haveria muitas coisas a serem melhoradas e investimento a fazer para se conseguir ter serviços públicos digitais com meios suficientes de resposta. 12 SILVA, Artur Flamínio, “Inteligência Artificial e Direito Administrativo”, in Artur Flamínio Silva (dir.), Direito Administrativo e Tecnologia , 2ªEdição, Coimbra, Almedina, 2021, página 10. 13 ALVES, Joel A. – “Administração eletrónica, eficiência e proteção de dados: breves considerações à luz dos princípios gerais da atividade administrativa”, in PEREIRA COUTINHO, Francisco e CANTO MONIZ, Graça (coord.). Anuário da Proteção de Dados 2022. Lisboa: CEDIS, 2022. 14 SANTOS, Helena Patrícia Neves dos, “Administração eletrónica local: análise sobre a modernização da administração local e respetivos desafios”, in Isabel Celeste M. Fonseca (dir.), Governação Pública DigitaL, Smart Cities e Privacidade , 1ª Edição, Coimbra, Almedina, 2022, páginas 127 a 147. 8 os cidadãos tenham e consigam exercer o direito de aceder aos seus dados e informações pessoais sempre que assim entenderem e de uma forma mais fácil e acessível. Com o recurso à tecnologia é possível que de forma mais direta possam os cidadãos aceder aos seus dados e alterá-los sempre que assim se justificar no exercício do seu direito de retificação previsto no artigo 16.º do RGPD. Este acesso e alteração já existia antes, mas a facilidade com que passou a existir é uma novidade que surge com a utilização de tecnologias. A perspetivação de uma Administração Pública Digital tem, contudo, de ser feita sem que sigamos a falácia de considerar que a transição digital vai abranger a totalidade da sociedade no momento de utilização dos meios tecnológicos. Os meios digitais em si não são discriminatórios, mas a verdade é que na sua aplicação prática acabam por não conseguirem ser utilizados por todos os cidadãos de igual forma. Não pode ser entendido pela Administração Pública que os seus serviços podem ser todos integralmente e completamente digitais e esperar que os cidadãos com pouco conhecimento de tecnologias ou muito limitado acesso a meios digitais ou sem acesso e conhecimento, como são as pessoas com mais idade, possam de algum modo serem esquecidos ou desvalorizados. A existência e a necessidade de evolução não podem se considerar como universal, abrangente e justificativa para haver discriminação ou uma diminuição das exigências que se impõe aos serviços públicos praticados de forma física 15 . Todos os cidadãos têm que ter acesso à Administração Pública independentemente da evolução da mesma e sempre dos mesmos modos, não podendo haver uma diferenciação de exigência de acordo com a forma como os serviços são prestados. A prestação de serviços à distância tem que ser pautada pelo mesmo rigor que a prestação em cada serviço público presencialmente. A existência de meios tecnológicos no seio da Administração Pública veio criar a possibilidade de os serviços públicos de cada país terem como se ligar uns com os outros e trabalharem em conjunto no sentido de uma atuação mais facilitada e interligada. Se um serviço público apenas tem a responsabilidade de praticar parte do que o cidadão necessita, é desejável que aproveite os meios tecnológicos para comunicar com outro serviço público de modo a que seja possibilitado ao cidadão o respeito pelos seus interesses sem que tenha de comunicar todos os dados novamente. É neste sentido que surge o termo interoperabilidade. Esta interoperabilidade, referida já previamente, leva a falar da administração em linha 16 , que surge como a concretização 15 BRANDÃO, Ana Paula et al. (eds.) - Enciclopédia da União Europeia , Lisboa, Petrony, 2017. 16 A União Europeia tem demonstrado a necessidade de os Estados e a própria União apostarem numa interligação entre si, entre os seus serviços e entre os serviços dentro de cada Estado. Tem neste sentido adotado algumas estratégias e atos que tem como objetivo orientar os Estados no melhor sentido possível. Para mais informações pode ser consultado https://digital-strategy.ec.europa.eu/en/policies/egovernment. 9 da aplicabilidade da interoperabilidade nos serviços públicos da Administração Pública. A interligação criada possibilita a prestação única de uma determinada informação, princípio da declaração única ou da uma única vez (once-only principle), ao invés de ter de ser prestada sempre que necessário, através de uma comunicação entre serviços e Administrações Públicas. Com esta comunicação surge uma Administração Pública diferente da que tínhamos até então, interligada entre si, nas suas variadas vertentes, através de “um fio condutor” que permite menos burocracia, mais simplicidade nos procedimentos e serviços que tem para oferecer ao cidadão e empresas e consequentemente mais capacidade de resposta dada às necessidades de cada cidadão e/ou empresa. 1.2.1. A digitalização da Administração Pública na União Europeia Quanto à aposta na digitalização na Administração Pública na União Europeia houve a delimitação, através da iniciativa da Comissão Europeia, de um plano de criação de uma administração pública em linha entre os Estados que vem permitir que haja a constituição de uma comunicação/interligação entre os serviços públicos europeus. A prestação de serviços públicos aos cidadãos europeus ocorre independentemente da nacionalidade do cidadão, ou seja, a prestação de um serviço a um cidadão num determinado Estado-Membro não tem em consideração se esse cidadão é daquele Estado ou se é natural de outro Estado. Sempre foi assim, contudo, com o surgimento da aplicabilidade da tecnologia, cedo se percebeu que a burocracia e os custos que existiam poderiam ser facilmente reduzidos e assim deste modo tornar o acesso de um cidadão de outro Estado mais motivante com a redução dos entraves territoriais. Um cidadão que prestasse informações suas no seu Estado tinha de o fazer novamente no Estado a que se dirigia e nesse sentido era uma limitação para a efetividade da prestação de serviços. Com a criação de uma administração pública em linha no seio da União Europeia, houve a criação de um fio condutor entre os serviços dos diferentes Estados e uma interoperabilidade entre os mesmos. Esta interoperabilidade, e consequente administração em linha, foi sendo criada dentro de cada Estado, sendo o desafio a criação de um alinhamento de entendimentos dos diferentes Governos dos Estados. Todos os Estados têm a sua autonomia reconhecida, a sua soberania nacional, com a adesão à União Europeia, mas no fundo todos querem que haja uma comunicação entre todos de modo a que possam também beneficiar da circulação dos seus cidadãos. A interoperabilidade que deriva de uma administração pública em linha, como vimos 10 anteriormente, começou a ser perspetivada como uma oportunidade de desenvolvimento com vantagens inegáveis e que apenas beneficiariam cidadãos e empresas. A União Europeia tem se revelado um importante motor em matéria da digitalização dos serviços públicos ao adotar diversos projetos, atos, planos e recomendações sobre o modo como deve a União Europeia atingir de forma planeada e estruturada novos patamares de desenvolvimento que permitam alcançar consideráveis vantagens para os Estados-Membros e respetivas Administrações Públicas. A Comissão Europeia tem trabalhado no sentido de compreender o que o mercado precisa e de que modo cada Estado tem acompanhado as necessidades e nova realidade que a digitalização dos serviços públicos requer e de que forma necessita de um apoio europeu. A evolução organizada e delimitada de acordo com as necessidades dos cidadãos europeus é essencial para a compreensão de tudo aquilo que tem de ser trabalhado, quais as fragilidades que se verificam e que riscos têm de ser equacionados no planeamento de novos avanços nesta matéria. Um dos programas que está neste momento em vigor é o Programa Europa Digital 17 que visa contribuir para que as economias europeias sejam cada vez mais competitivas em termos de tecnologia e atinjam níveis de progressão cada vez mais elevados, tendo sido este programa o primeiro a ser um apoio financeiro para a promoção do desenvolvimento dos cidadãos e das empresas no sentido digital e contribuir para que fosse dado o investimento inicial necessário para que a digitalização pudesse ser posta em prática. Por ter sido o primeiro merece o destaque e menção face aos outros programas adotados. Podemos juntar a este programa o Guião para a Década Digital que estabelece o quadro de governação para alcançar os objetivos em matéria digital até 2030 ao definir as linhas condutoras a ser tidas em consideração quando praticados atos governamentais. Para que haja estes programas é importante que haja um índice como o Índice de Digitalidade da Economia e da Sociedade (IDES), criado pela Comissão Europeia em 2014, que visa analisar através de um relatório a competitividade digital dos Estados-Membros entre si e a evolução de cada um ao longo dos anos 18 . Através deste índice tornou-se possível perceber quais os Estados que tinham de ter mais apoio na aposta na digitalização de modo a acompanhar, dentro do possível, o mesmo nível os restantes Estados-Membros. Ao longo dos 17 https://eurocid.mne.gov.pt/europa-digital. 18 O IDES foi criado em 2014 e é elaborado todos os anos. É um instrumento que visa analisar a evolução da União Europeia nesta matéria e, por outro lado, analisar o progresso de cada Estado-Membro em termos digitais. É um relatório que se foca, deste modo, não apenas na União Europeia e nas suas instituições, mas também nos Estados em específico. Nem todos os Estados tem o mesmo número de recursos e por este motivo nem todos progridem ao mesmo ritmo. Todas as informações relativas ao índice mencionado podem ser consultadas em https://digitalstrategy.ec.europa.eu/en/policies/desi. 11 anos temos assistido a uma evolução significativa do índice mencionado, perspetivando-se que assim continue à medida que se aposta mais na digitalização e se abra novos horizontes. Estamos perante, como tem sido aflorado, de uma verdadeira e extensiva transformação digital da Administração Pública que requer um acompanhamento a todos os níveis da sociedade e um esforço de todos cidadãos de modo a que se consiga passar da teoria para a prática e se concretizar os objetivos estabelecidos. Neste âmbito tem que ser destacada uma plataforma que vem trazer uma maior colaboração entre os Estados-Membros ao disponibilizar informações sobre acontecimentos recentes em matéria de administração em linha e interoperabilidade e que permitem que haja uma cooperação constante de notícias e eventos que podem ajudar outros Estados na reunião de informações úteis e no solucionamento de alguma dúvida que possa existir. Conjuntamente foi criada a plataforma JOIN UP 19 que é um ponto de comunicação que se estabelece entre os Estados e que tem em vista o cumprimento da política de interoperabilidade e a demonstração aos Governos de soluções digitais para os problemas que possam existir ou ideias que possam precisar para evoluir digitalmente. É um espaço de conhecimento e de troca de informações que possam de alguma forma ser úteis. Para além dos eventos e notícias que a plataforma disponibiliza a verdade é que estes precisam que haja um meio mais direto de partilha de informações que permitam uma maior interoperabilidade entre os serviços públicos e o combate a qualquer fragilidade que a possa limitar. todos os meios que possam ajudar a pôr as políticas em prática, a passar da previsão legal para a prática, devem ser vistas com bons olhos. Todos estes instrumentos tem um objetivo principal de criar uma sociedade digital com as bases necessárias para que os seus interesses possam ser respondidos de uma forma progressivamente mais simplificada, mas, sem que com isso, haja uma diminuição da qualidade dos serviços prestados. Todos os instrumentos mencionados a nível europeu devem ser acompanhados e integrados em cada Estado-Membro através de programas nacionais se assim se revelar adequado. 1.2.2. Programas a nível nacional O nosso país foi adotando os programas, recomendações e orientações emanadas pela União Europeia de modo a adaptar-se e evoluir no sentido da digitalização da sua Administração 19 Podemos falar da iniciativa da Comissão de criar uma Europa Interoperativa. Foi criado para o efeito uma plataforma que pode ser consultada em https://joinup.ec.europa.eu/. 12 Pública e a definição do que deve e precisa de ser feito. Quando avaliada a evolução que fomos registando podemos constatar que o nosso país se encontra ainda em 15º lugar dentro dos 27 20 Estados-Membros em termos de desenvolvimento e aposta na digitalização, o que demonstra que apesar do esforço feito ainda existe um longo caminho para a frente e que a aposta nos meios digitais deve continuar a existir e a ser reforçada. Registou-se uma evolução desde 2021, com a subida de uma posição (que era o 16º lugar), contudo, ainda não temos a qualificação igual, pelo menos, à média europeia que se encontra consideravelmente acima, mas que pode ser vista como o incentivo e referência na continuação do trabalho nesta matéria e com a demonstração de que há resultados com as políticas que já foram adotadas e que continuam em vigor. Todos os programas que foram sendo adotados pela União, tais como, a Estratégia para a Transformação Digital da Administração Pública 2021-2026 21 ou o Plano de Ação Transversal de 2020-2023 22 , encontram-se atualmente em vigor de modo a contribuir para que o nosso país evolua nesta matéria e alcance um IDES superior a cada ano que passa 23 . A transformação da sociedade portuguesa em matéria jurídica, económica, política e social tem imposto um investimento económico, mas tem também significado alterações que permitem que haja vantagens reconhecidas aos cidadãos e que permitem que a justiça portuguesa consiga ser mais eficiente e correspetiva ao que se espera ser. Uma justiça mais ágil, menos burocrática e com mais capacidade de resposta para os problemas que surjam e para a concretização de projetos e ambições dos seus cidadãos. Em termos de programas podemos destacar o programa SIMPLEX+ 24 , criado em 2006, que tem como objetivo principal a simplificação da Administração Pública quer em benefício dos cidadãos com um acesso mais direto e simples quer para a prestação do serviço público de uma forma mais próxima do cidadão e com uma maior efetividade. Este programa foi reforçado em 20 Foi no ano de 2022 que se registou este IDES podendo o mesmo ser consultado em https://digital-strategy.ec.europa.eu/en/policies/desiportugal. Neste relatório podemos constatar que a avaliação feita ao nosso país e o que foi tido em consideração para a avaliação do ponto de situação do nosso índice. 21 Esta estratégia estabelece que “pretende contribuir para uma administração pública mais digital, que disponibilize melhores serviços e com maior valor acrescentado, estando mais perto dos cidadãos e das empresas”. Podemos consultar, de modo a obtermos mais informações o seguinte endereço https://www.portugal.gov.pt/pt/gc22/comunicacao/noticia?i=governo-aprova-estrategia-para-a-transformacao-digital-daadministracao-publica-2021-2026. 22 Este plano integra os contributos de todas as áreas governativas de modo a produzir diversos instrumentos para fomentar a mudança e apoiar a Administração Pública (AP). Este apoio é concretizado através de um processo de adoção de soluções cloud pelo Conselho para as Tecnologias de Informação e Comunicação na Administração Pública (CTIC), por atribuição por parte do Estado a este Conselho. Toda a informação relativa a este Plano pode ser consultada em https://tic.gov.pt/documents/37177/280325/Plano+de+A%C3%A7%C3%A3o+Transversal+para+a+Transforma%C3%A7%C3%A3o+Digital+da+ AP+2021-2023.pdf/1a8bdefc-ad29-e7a9-898c-d21f55cbea7b. 23 Estes dados são criados pela Comissão Europeia que todos os anos analisa como é que se encontra o Índice de Digitalidade da Economia e da Sociedade em cada Estado-Membro para poder assim orientá-los nos melhores meios de concretização mais ativa da digitalização. Em concreto, podemos analisar o que a Comissão concluiu na sua análise sobre o nosso país através do documento presente em https://digitalstrategy.ec.europa.eu/en/policies/countries-digitisation-performance. 24 https://www.simplex.gov.pt/. 13 2016 e vai se adaptando nas suas medidas ao longo dos anos para que possa atingir novos objetivos no sentido de melhoria das finalidades para as quais foi criado e que foram mencionadas anteriormente. Em termos de medidas podemos destacar as que se centraram na melhoria dos contratos públicos com a obrigatoriedade, desde 2009, de os contratos públicos serem eletrónicos. de modo a que todos os contratos públicos que tenham de ser do conhecimento dos interessados e que tenham de ser, deste modo, publicitados pelas entidades adjudicantes através da sua publicação no Portal dos Contratos Públicos (Portal Base). Com esta abertura a um acesso simplificado aos contratos públicos estamos perante transparência, simplificação, democracia e reconhecimento de que pode haver uma discordância quanto, por exemplo, ao resultado de um determinado concurso. Com um acesso mais direto há a possibilidade de haver um melhor exercício de direitos 25 . A análise que é feita ao nosso país através do IDES é de extrema importância para pudermos perceber o que é necessário ainda adotar e em que medida estão os programas e planos a ser eficazes no seu objetivo e como estão os recursos criados a ser interpretados na prática, por outras palavras, se estes estão a ser vistos como um fator benéfico e diferenciador ou se os riscos e custo que representam não compensa os benefícios que estão a existir. Sem o índice acabamos por não ter a perceção sobre se a evolução ocorreu, ou se, pelo contrário o nosso país se encontra estagnado ou praticamente estagnado nesta matéria e em que sentido temos de modificar o que tem vindo a ser feito. Vemos que apesar de este índice estar abaixo da média da União Europeia a verdade é que já existem, como foi referido anteriormente, demonstrações de efeitos positivos e com impacto na Administração Pública com o melhor acesso aos serviços públicos, melhor prestação dos mesmos e a redução dos custos com a prestação de um serviço. A Agência para a Modernização Administrativa (AMA), foi criada nesse sentido, sendo uma plataforma atualizada de forma a regular através os dados disponibilizados no portal nacional de dados abertos da responsabilidade das entidades com competência e responsabilidade para tal. Esta plataforma reúne informações sobre vários setores/temas que compõem a Administração Pública, tais como, dados públicos portugueses, através da plataforma dados.gov 26 , contratação 25 https://repositorium.sdum.uminho.pt/bitstream/1822/71364/1/relatorio_etica.direito2020__observatoriociberseguranca_cncs.pdf. 26 Quando falamos nos dados públicos portugueses torna-se claro que é uma plataforma que permite que haja um acesso a todos os dados indicadores de como se encontra a nossa sociedade em vários temas e segundo determinadas estatísticas. 20 dados ser detetada, mas é de igual importância saberem os utilizadores desses mesmos serviços como podem atuar e reagir em caso de uma violação de dados tenha ocorrido e os seus dados tenham sido partilhados indevidamente. Em 2016 foi criado o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho de 27 de abril de 2016 relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) 36 , que veio estabelecer uma atualização da matéria de proteção de dados de forma a ficar mais adequado à evolução de 21 anos que ocorreram. Esta Diretiva não conseguia prover segurança necessária para a partilha dos dados pessoais, havendo uma fragmentação na aplicação das normas em matéria de proteção de dados ao nível da União e a existência de um sentimento negativo generalizado da opinião pública relativamente aos riscos significativos para a proteção das pessoas singulares, nomeadamente no que diz respeito às atividades por via eletrónica. Neste sentido o Regulamento vem tentar dissipar estas inquietações e permitir que haja mais uniformidade na proteção de direitos dos titulares dos dados nos Estados-Membros visto que apenas assim conseguimos ter um espaço comum mais coeso e com mais capacidade de resposta aos riscos que podem existir em matéria de proteção de dados. 2.1. Conceito de dados pessoais O conceito de dados pessoais está previsto no artigo 4.º, 1) do RGPD determinando que os dados pessoais são a “informação relativa a uma pessoa singular identificada ou identificável” 37 , procedendo o legislador na parte final do conceito à determinação do que se entende por identificável. Para alguns autores não estamos perante um conceito completamente esclarecedor, apesar da delimitação na segunda parte, quanto ao seu âmbito quer relativamente ao que se entende por dado pessoal quer à questão de saber qual o critério que pode ser usado para delimitar os dados que podem identificar uma determinada pessoa. Consideram que o âmbito do conceito é demasiado amplo, o que se traduz em desentendimentos e consequentemente em uma dificuldade para haver coerência sobre o mesmo dado quando colocadas questões por interpretes diferentes. Podem haver ainda casos em que pôr falta de delimitação do conceito se pode considerar como sendo dados pessoais quando na realidade não reúnem os requisitos. Entendem que com este conceito pouco concretizador pode haver 36 Pode ser consultada em https://eur-lex.europa.eu/legal-content/PT/TXT/PDF/?uri=CELEX:32016R0679&qid=1667850894976&from=PT. 37 https://eur-lex.europa.eu/legal-content/PT/TXT/PDF/?uri=CELEX:32016R0679&qid=1667850894976&from=PT página 33. 21 uma aplicação sem limites e consequentemente a desacreditação do próprio conceito e a sua importância nesta matéria não permite que aceitemos que assim o seja, segundo estes autores. A legislação é composta por um conjunto de conceitos jurídicos que se espera serem concretos, claros e delimitadores e que se transformem no início, na ponte, da resolução dos casos jurídicos que são colocados em tribunal ou outras instâncias. Se em termos gerais dizemos ser este o ponto de partida, numa matéria como a digitalização e a proteção de dados, nova e com uma maior tendência, por isso, para se modificar com maior frequência e rapidez, torna-se ainda mais urgente e justificável a preocupação com a atualização e acompanhamento da lei das modificações e novas necessidades que vão surgindo e a definição dos conceitos claros na sua delimitação. Pode ser contra-argumentado que é necessário que o âmbito do conceito seja em parte discricionário de modo a que possa abranger e prever uma diversidade de casos concretos que, de outro modo, com um conceito menos amplo, não seriam abrangidos. Os autores a favor da construção linguística do conceito consideram que a incerteza que existe quanto a uma matéria ainda a ser explorada como é a transição digital deve ser protegida por conceitos amplos que possam de certo modo eliminar parte dessa mesma incerteza e contribuir para que possam ser exploradas e investigadas tendo por base uma certeza jurídica 38 que é o conceito. Em caso de partilha indevida, consideram ainda que o conceito não pode ser considerado como prejudicial para a definição do que pode ser considerado como dado pessoal nos dados que foram partilhados e/ou acedidos por terceiros. As questões que se colocam relativamente ao conceito são de facto pertinentes e podem fazer com que na prática casos que não cumpram os requisitos de aplicação do conceito sejam considerados como dados pessoais e pode, noutra perspetiva, induzir em erro as entidades responsáveis pelo tratamento de dados pessoais quanto aos dados que podem ser recolhidos 39 e quais os dados que não sendo consideráveis como dados pessoais, ou pelo menos não o deveriam ser, não devem ter tratados como tais. Jurisprudencialmente, através de questões prejudiciais, tem se denotado preocupações e a necessidade de se estabelecer um entendimento mais concreto sobre o âmbito do conceito de dado pessoal através de critérios delimitadores e concretizadores deste. Nem todos os casos juridicamente relevantes são de fácil compreensão e resolução ou com consagração clara e evidente da sua solução jurídica e, nesse sentido, a falta 38 MONIZ, Graça Canto – Manual de Introdução à Proteção de Dados Pessoais , Coimbra, Almedina, 2023, página 44. 39 Os considerandos 16 a 21 assim como os artigos 2.º e 3.º, tudo do RGPD, consagram o que se deve entender como âmbito e o que este abrange. Contudo, tal como mencionado, há uma delimitação suscetível de ser usada em demasia e aplicada a casos que não deveria ser aplicada. 22 de concretização do conceito significa que há uma margem de interpretação discricionária que permite que possa ser aplicado o conceito a um leque de casos jurídicos abrangente, mas que, noutra perspetiva, “abre portas” a um uso excessivo do conceito e a perspetivas diferentes e variadas sobre o mesmo caso e da aplicação do conceito ao mesmo. Quando estamos perante um dispositivo que recolhe determinados dados, como as aplicações que surgiram em alguns países, como Portugal, sobre a Covid-19 e respetivas pessoas infetadas, levanta-se a questão de quem tem a legitimidade para tratar os dados pessoais e de que modo e em que termos o RGPD protege estes casos. A consagração jurisprudencial tem-se relevado fundamental para o esclarecimento das questões que foram surgindo com a aplicação quer da Diretiva quer do Regulamento. Por outro lado, temos verificado que jurisprudencialmente e doutrinalmente o facto de não enquadrarmos determinado dado como sendo um dado pessoal segundo o RGPD isso não significa que não possamos aplicar a lei estadual de modo a proteger o titular desse mesmo dado, o que demonstra que a modificação do âmbito não seria limitadora para a resolução dos casos. Tem sido invocado em determinados acórdãos que não podemos considerar como negativo o âmbito demasiado abstrato dado que deste modo é possível serem mais casos abrangidos pela norma e maior será a capacidade de haver uma proteção e previsão de casos concretos numa matéria tão volátil como é a proteção de dados e as tecnologias. Não há um ritmo ponderado e previsível quando falamos em tecnologias que permita ao legislador conseguir prever e acompanhar essa evolução e, por este motivo, quanto mais amplo for o conceito melhor se consegue combater este fator 40 . Tendo um conhecimento completo sobre os elementos que compõe o conceito torna-se mais facilitada a tarefa de compreender o âmbito do conceito e aplicar do melhor modo possível aquilo que pretende abranger na realidade. 2.1.1. Informações relevantes Todas as informações são consideradas como relevantes para a aplicação do Regulamento Geral de Proteção de Dados 41 desde que se revelem capazes de se associarem a uma determinada pessoa, de identificá-la e fazer concluir que aquela informação é sobre aquela pessoa em específico. É esta a conclusão que se pode retirar da letra da norma quando interpretamos o conceito presente no artigo 4.º do RGPD, não existindo, deste modo, uma lista 40 Tem sido defendida esta ideia em alguns acórdãos como o Acórdão Nowak ou o Acórdão Google Spain. 41 CORDEIRO, A. Barreto Menezes, - Comentário ao Regulamento Geral de Proteção de Dados e à Lei n.º 58/2019, Coimbra, Almedina, 2021, páginas 81 e ss. 23 taxativa do âmbito de informação relevante para que possamos aplicar o regime jurídico de proteção de dados pessoais. Uma vez mais estamos perante um âmbito abstrato que permite que não havendo motivação legal para a exclusão de uma determinada informação, possa ser considerado como dado pessoal qualquer informação, privada, profissional ou social, com “características identificadoras” de uma determinada pessoa 4243 . Cabe ainda no conceito objetos se houver uma referência e ligação entre o objeto e a pessoa a quem pertence esse mesmo objeto e seja possível fazer através dela uma interconexão entre o objeto e a pessoa a quem este pertence. Não é humanamente possível ao legislador conseguir determinar todas as informações ou tipos de informação que tenham no seu conteúdo um determinado dado pessoal e nesse sentido a limitação que seria imposta caso houvesse uma lista de informações relevantes taxativa implicaria que houvesse demasiadas situações desprotegidas legalmente. Todas as matérias são importantes para o titular dos dados e, por outro lado, seria impossível determinar o que é considerado importante para cada pessoa, o que eu considero como importante pode não ser o mesmo que outra pessoa considera e a minha consideração não deve nem pode limitar o outro. O conceito tem que ter um âmbito suficientemente amplo para abranger o mais vasto leque de casos concretos que merecem que haja uma proteção jurídica dos mesmos. A lista poderia ser, contudo, exemplificativa de modo a que pudesse haver uma linha condutora e orientadora para os aplicadores do direito, visto que sendo apenas uma lista com casos exemplo não haveria uma limitação do âmbito. O aplicador do direito ao interpretar a norma identificaria alguma das alíneas como semelhante ao caso que pretendia dar resposta e deste modo fundamentaria a sua resposta jurídica com base numa norma mais concreta. Torna-se, contudo, essencial perceber que nem todas as informações relevantes consideradas como dados pessoais podem ser interpretadas como inacessíveis por parte da Administração Pública, não sendo a sua caracterização como dado pessoal um limitador à ação por direito da Administração Pública. Quando estamos perante um documento que é composto por nome e morada de uma determinada pessoa não podemos deduzir de modo imediato que apenas com o consentimento do titular podem ser acedidas, nem todos os dados pessoais são acessíveis apenas com o consentimento do respetivo titular. Para que possamos ter um documento que seja considerado como inacessível temos de estar perante um documento nominativo que, por outras palavras, significa que é um “documento que contenha dados 42 MAGALHÃES, Filipa Matias, e PEREIRA, Maria Leitão – Regulamento Geral de Proteção de Dados - Manual Prático , Porto, VidaEconómica, 2017. 43 CORDEIRO, A. Barreto Menezes, “Direito de Proteção de Dados”, Almedina, Coimbra, 2022. 24 pessoais, na aceção do regime jurídico de proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados” 44 . Caso não seja um documento nominativo, pode a Administração Pública aceder ao mesmo sempre que considerar necessário 45 e sem que com isso esteja a incorrer num desrespeito pelos direitos reconhecidos ao titular dos dados nos artigos 15.º e ss do RGPD. Um terceiro que queira aceder a um documento que seja considerado como nominativo só o poderá fazer caso haja uma autorização explicita e escrita do titular dos dados e desde que estejam discriminadas todas as finalidades que se pretendem atingir com o acesso que está a ser autorizado. O acesso a dados para finalidade que não esteja autorizada é uma violação de dados pessoais e deve ser restringida e consequências jurídicas poderão de ser tomadas, nomeadamente pelo incumprimento da alínea a) do n.º 1 do artigo 6.º do RGPD, que como se sabe tem aplicação direta no ordenamento jurídico português. Consagra esta alínea que quando “a) O titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas;” estamos perante um dos fundamentos de licitude 46 . O acesso da Administração Pública, pelo papel que ocupa na sociedade, é apenas uma exceção à regra de necessidade de consentimento do titular dos dados. A qualificação de uma informação como relevante e consequentemente como um dado pessoal é deste modo mais complexo do que poderia à partida parecer dado que o seu leque de abrangência é de mais difícil delimitação do que esperado numa primeira leitura e nesse sentido é necessário recorrer a outros critérios que estabelecem outros parâmetros do que pode ser definido e identificado como dado pessoal. 2.1.2. Relativa a Quando há a menção à expressão “relativa a” estamos a tentar perceber a origem dos dados, para que objetivo foram pedidos e consentidos os dados partilhados pelo titular dos mesmos ao responsável pelo tratamento. Sempre que é requerido determinado dado é necessário que esteja delimitado o objetivo segundo os quais os dados serão utilizados, de modo a que haja um controlo e conhecimento do mapa da partilha de dados e uma maior organização do caminho que os dados percorrerão em caso de um incidente ocorrer. Quando nos dirigimos a um determinado serviço público, como por exemplo para fazer a renovação do cartão de cidadão, os 44 Artigo 3.º n.º 1 alínea b) da Lei n.º 26/2016, de 22 de agosto. 45 Acórdão com o processo n.º 0169/10 de 12 de maio de 2010 do Supremo Tribunal Administrativo. 46 Acórdão com o processo n.º 0684/21.6BELSB de 3 de novembro de 2022 do Supremo Tribunal Administrativo. 25 dados que são recolhidos cumprem a necessidade concreta de criação do mesmo, apenas são pedidos os dados que compõe o cartão de cidadão e apenas com o objetivo de o criar. Todos os dados que sejam pedidos que não se encontrem previstos no cartão de cidadão já não estão no âmbito da finalidade a que se destina o mesmo e encontra-se em incumprimento de uma norma legal, do RGPD e do conceito por ele consagrado. O cumprimento estrito da finalidade/do objetivo estabelecido no registo de tratamento de dados é um elemento que assume um papel central da determinação e contenção da extensão de alguma partilha que possa ocorrer. 2.1.3. Pessoa identificada ou identificável No tratamento de dados pessoais mais importante do que a determinação do conceito de informações relevantes e de quais são as finalidades consentidas pelo titular dos dados, sem descorar a sua importância, é perceber quem é o titular dos dados, ou melhor, quem pode ser o titular dos dados. Não importa perceber qual ou quais as finalidades consentidas ou que informações pessoais são relevantes sem se perceber quando temos um titular dessas mesmas informações que consentiu para que estas fossem partilhadas para uma ou mais finalidades e quando não temos, no primeiro caso merece tratamento de dados de acordo com a lei e no segundo caso não há para o responsável pelo tratamento qualquer responsabilidade. O conceito é claro neste ponto ao afirmar que o titular dos dados tem de ser uma pessoa que possa ser identificada através daquele(s) dado(s) ou identificável quando não permite identificar de modo direto o titular dos dados, mas através dele é possível identificá-lo devido a uma correlação com outro dado ou elemento social, a ligação do dado a uma pessoa concreta tem que existir sempre. Estamos perante dados pessoais nos dois casos, contudo, não com a mesma capacidade identificativa, e o responsável pelo tratamento tem a mesma responsabilidade em ambos, não fazendo a lei qualquer distinção. A identificação do titular através de meios eletrónicos é o mais recorrente com a utilização diária de diversas fontes de dados pessoais tais como as redes sociais, a obtenção de um determinado serviço ou a marcação e realização de serviços de modo digital. Esta forma de identificação tem os seus riscos, inegavelmente, ao ser de acesso mais facilitado a quem tenha intenções reprováveis, mas também tem as suas vantagens 47 ao permitir que se tenha um acesso de modo menos moroso ao exercício dos nossos direitos e interesses. Não é o único meio ou forma, bastando recordar que sempre que nos dirigimos a um determinado local para a prestação de um serviço ou 47 SANTOS, Sofia Berberan, e GABRIEL, João, “Regulamento Geral sobre a Proteção de Dados, Legislação e Algumas Notas”, Lisboa, Edição GPA Academy, 2020, páginas 31 a 38. 26 obtenção de um bem e nos é questionado determinado(s) dado(s) pessoal(ais) estamos a partilhar elementos identificativos. Desde que haja uma partilha de dados há uma forma de identificação do titular desses dados e cada uma representa sempre um risco e uma necessidade de tratamento para o responsável pelo tratamento que assume essa responsabilidade. O critério base que norteia a definição de quais as informações relevantes que permitem a identificabilidade é inquestionável, contudo, por outro lado, não pode ser afirmado o mesmo quanto aos critérios que definem o que pode ser considerado como identificador de uma pessoa, mas que não o consegue fazer de modo direto, apesar de como vimos o tratamento que o responsável tem que cumprir por imposição legal ser exatamente o mesmo. Como podemos definir o modo como um determinado facto pode ser considerado como identificativo e outro não, o que pode uma determinada pessoa considerar como suficiente para identificar outra pode não considerar o mesmo. O considerando 26 da RGPD é a chave para esta enigma ao consagrar que terá de ser através de critérios objetivos que se deverá perceber quando através de uma determinada informação relevante estamos perante um dado pessoal, ou seja, é tendo por base a consideração de que quer o responsável pelo tratamento quer outra pessoa consegue sem grande dificuldade e sem demandar muito tempo determinar de que titular dos dados aquela informação relevante se associa. Não podem ser usados critérios subjetivos dado que podem levar a que haja mais do que uma interpretação e consequentemente pode existir a possibilidade de uma informação não ser considerada como identificadora e na verdade não ser ou a situação contrária. Em conexão com o elemento identificativo temos de relacionar com a questão de saber se quando falamos em pessoas se estamos apenas a mencionar e referir as pessoas singulares ou se podemos incluir as pessoas coletivas cujos dados pessoais também teremos de salvaguardar e ter em consideração quando há o tratamento dos seus dados pessoais. 2.1.4. Pessoas singulares Nos sucessivos entendimentos sobre a interpretação que deve ser feita dos conceitos presentes no RGPD tem sido um debate constante saber se as pessoas coletivas podem, por interpretação extensiva por analogia, ser consideradas como incluídas no conceito de dados pessoais, havendo quem argumente em favor e quem seja da opinião de que isso não faz sentido. Os argumentos a favor chegam à conclusão, com base em vários estudos e investigações, de que as pessoas coletivas não podem ser consideradas como titulares dos dados pessoais, não 27 se lhes aplicando o RGPD, visto que não se pode considerar que determinada informação relevante permite que haja a identificação de um titular dos dados em concreto. Os considerandos 1 e 2 preveem que o tratamento dos dados pessoais é um direito fundamental das pessoas singulares e que os princípios e as regras se aplicam às pessoas singulares e apenas a estas devido à sua natureza intrinsecamente pessoal 48 , demonstrando deste modo que apesar dos argumentos que possam ser invocados, a lei demonstra que o âmbito da lei é apenas relativamente a pessoas singulares, descartando a possibilidade de uma interpretação extensiva segundo esta forma de pensar. As pessoas coletivas não integram o âmbito por não haver um elemento identificativo que as identifique e distinga como tal, ao contrário do que acontece com as pessoas singulares que através do nome, por exemplo, se consegue identificar e distinguir uma pessoa de outra. A firma, apesar de identificar uma pessoa coletiva, é apenas um elemento que identifica a empresa como um todo e não uma pessoa em específico. Tem-se notado uma maior abertura a abrangência de pessoas coletivas em determinados assuntos e de serem consideradas pessoas jurídicas para o mundo jurídico, contudo, nesta matéria ainda não pode ser considerado como passível de modificação como demonstra o Regulamento Geral sobre a Proteção de Dados nos vários considerandos e artigos presentes neste diploma. Para além dos considerandos invocados, temos ainda o considerando 14 que não poderia ser mais claro quanto à exclusão das pessoas coletivas do âmbito do RGPD ao consagrar que “A proteção conferida pelo presente regulamento deverá aplicar-se às pessoas singulares, independentemente da sua nacionalidade ou do seu local de residência, relativamente ao tratamento dos seus dados pessoais. O presente regulamento não abrange o tratamento de dados pessoais relativos a pessoas coletivas, em especial a empresas estabelecidas enquanto pessoas coletivas, incluindo a denominação, a forma jurídica e os contactos da pessoa coletiva.”. Em termos de artigos 49 são vários os que demonstram que apenas se aplicam a pessoas singulares, dos quais podemos destacar, o artigo 4.º na definição prevista de dados pessoais, sendo que não podemos argumentar de outro modo e negar o que o conceito consagra e prevê. Fica deste modo demonstrado como deve ser entendido o conceito de dados pessoais nos casos mais simples e sem grandes problemáticas doutrinais e jurisprudenciais. Contudo como para toda a regra há uma exceção, para toda interpretação de conceitos há um conjunto de 48 O regulamento pode ser consultado em https://eur-lex.europa.eu/legal-content/PT/TXT/PDF/?uri=CELEX:32016R0679&from=PT. 49 O artigo 1.º, 24.º, 25.º do RGPD entre outros são exemplos do que foi referido. 28 casos que não são de fácil e direta resolução e que implicam que sejam repensados alguns entendimentos de modo a que se possa ser mais abrangente. 2.1.5. Casos problemáticos A aplicação do conceito presente no artigo 4.º do RGPD é na generalidade dos casos de aplicação e interpretação não problemática visto que o seu âmbito é percetível e os critérios que norteiam o aplicador do direito, como vimos anteriormente, desde que sejam objetivos são de fácil compreensão. Há a questão abordada das pessoas coletivas, mas esta, como se demonstrou, é respondida de forma facilitada através de demonstração legal de que não é uma questão por resolver ou de equação. Nem todos os casos/situações são de fácil resolução e resposta e nesse sentido a lei não consegue responder tão de forma clara e direta às questões concretas que se podem levantar. Um caso problemático é relativamente à consideração dos nascituros como titulares de dados relativamente a alguma partilha ou utilização dos seus dados durante a gravidez da sua progenitora. As informações que são relativas aos nascituros são dados pessoais, ao preencherem todos os requisitos do conceito de dados pessoais, tendo por isso que ser protegidos, mas não é clara a lei quanto ao facto de que os nascituros, não tendo ainda personalidade jurídica, não podem à partida assumir nenhum direito ou dever 50 . Até este ponto não há dúvidas. A questão que se coloca é quem é o titular desses mesmos dados pessoais até ao momento em que o nascituro adquire a personalidade jurídica com o seu nascimento. Não há um consenso se é a mãe ou o próprio nascituro, quando adquire a personalidade jurídica, contudo é certo que os dados têm de ser protegidos e tratados, sem qualquer dúvida sobre isso, porque são dados pessoais 51 ou o que ocorre quando não adquire personalidade jurídica, mas existem dados clínicos que tem dados sobre o nascituro. No caso de o nascituro não chegar a adquirir personalidade jurídica, por ter nascido sem vida, não pode ser recusado o exercício do direito de acesso à mãe relativamente aos documentos que estejam na posse do hospital sobre o parto, tempo de internamento e dados clínicos sobre o bebé nado morto ou outro documento relativo à mãe 52 . Não considerar a mãe como legitima para o acesso aos documentos descarta qualquer outro terceiro que pudesse invocar ter legitimidade para consultar, dado que, se quem 50 O nosso Código Civil (CC) consagra que “A personalidade adquire-se no momento do nascimento completo e com vida.”, segundo o n.º 1 do artigo 66.º do CC, e que “Os direitos que a lei reconhece aos nascituros dependem do seu nascimento.”, segundo o n.º 2 do mesmo artigo. Perante este artigo reconhece-se no artigo seguinte a capacidade jurídica, que supõe a existência de personalidade jurídica para existir, e que juntos demonstram que o nascituro não tem personalidade e capacidade jurídica. 51 CORDEIRO, A. Barreto Menezes - Comentário ao Regulamento Geral de Proteção de Dados e à Lei n.º 58/2019, op.cit., página 114. 52 Parecer n.º 8/97 Data: 1997.01.16 Processo n.º 164. 29 gerou o feto não teve, muito menos se justifica que outros possam aceder ao mesmo. Os pais assumem deveres quando decidem prosseguir com a gravidez e passam a ser legalmente responsáveis pelo bem-estar do bebé e pela sua proteção, não se conseguindo justificar porque não o poderão ser relativamente aos dados pessoais. Outro caso é relativamente às pessoas falecidas e à existência de uma obrigatoriedade de os seus dados pessoais continuarem a ser protegidos. Não há uma previsão no RGPD, nem nos seus artigos nem nos considerandos, sobre como deve ser regulada esta matéria sobre o tratamento de dados pessoais das pessoas falecidas 53 , contudo, o considerando 27 2ª parte consagra que os Estados-Membros, se assim o entenderem podem regular esta matéria nos termos que considerarem relevantes e adequados. Há, deste modo, o reconhecimento que esta matéria, apesar de não prevista, não implica que não possa ser regulada pelos Estados de acordo com o que legislativamente vem de encontro à sua doutrina e jurisprudência. Os EstadosMembros aplicam a legislação europeia e cumprem-na na aplicação do direito, mas ao mesmo tempo preservam a sua soberania na tomada de decisões e posições legislativas que lhes permite aplicar normas e criar outras de uma forma coerente com aquilo que é o seu entendimento do melhor para a regularização dos seus cidadãos. No nosso país há a previsão desta matéria no artigo 17.º da Lei da Proteção de Dados Pessoais, Lei n.º 58/2019, de 8 de agosto, que consagra que apenas os dados que se inserem na denominada categoria especial 54 e os dados que se relacionam com a “à intimidade da vida privada, à imagem ou aos dados relativos às comunicações, ressalvados os casos previstos no n.º 2 do mesmo artigo.” 55 é que podem ser considerados como dados das pessoas falecidas que devem ser protegidos legalmente pela lei mencionada. Contudo, não podemos deixar de constatar que o artigo 17.º é incompleto relativamente à consagração de alguns direitos, como o direito à personalidade e do que se entende ser o conceito de intimidade da vida privada e dados relativos às comunicações, tornando a especificidade nacional face ao regulamento europeu com lacunas que podem comprometer o que se entendeu necessário regular na realidade portuguesa. A pessoa designada pelo titular dos dados ou os herdeiros, caso não haja nenhuma pessoa designada, 53 O artigo 68.º do CC consagra o termo da personalidade jurídica. A morte define o fim da personalidade jurídica e de todos os direitos e deveres e consequentemente subentende-se que com o termo da personalidade jurídica não existe mais o dever de tutela e tratamento dos dados pessoais da pessoa falecida. 54 Que se encontram consagrados no artigo 9.º n.º 1 do RGPD “1. É proibido o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, bem como o tratamento de dados genéticos, dados biométricos para identificar uma pessoa de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa.”. 55 Lei disponível em https://www.pgdlisboa.pt/leis/lei_mostra_articulado.php?nid=3118&tabela=leis&nversao=. 36 apesar do cumprimento das normas e do tratamento dos dados apenas de acordo com as finalidades o incidente ocorreu estaremos a falar de uma responsabilidade, que existe sempre, do responsável pelo tratamento diferente face àquela que existiria caso não tivesse havido esse cumprimento. O tema desta dissertação impõe que seja dado relevo a dois dos princípios é o princípio da lealdade e o princípio da segurança, revelando-se imperiosos na determinação da responsabilidade em caso de incidentes. A escolha por estes dois princípios tem como fundamento a sua importância para a delimitação da responsabilidade dos responsáveis pelo tratamento. Estes têm um papel central na proteção dos dados pessoais que lhes são confiados. Nesse sentido a sua atuação deve ser sempre de acordo com a ideia de que a proteção que lhes é confiada não pode ser outra senão aquela que permita ao titular dos dados conhecer a todo o momento que tratamento de dados que está a ser feito, e não apenas no inicio quando partilha os dados, e por outro lado esse tratamento tem que ser feito no interesse de uma proteção adequada e conforme as medidas técnicas e organizativas que se justifiquem face aos dados partilhados e responsabilidade assumida pelo responsável pelo tratamento. A responsabilidade que vai ser abordada no ponto 3. deriva e tem efeito naquilo que o responsável faz ao longo da sua atuação, desde o momento em que o titular partilha os dados até ao momento em que o tratamento deixa de existir. Os outros princípios são relevantes no tratamento de dados pessoais, mas para questões de responsabilidade assumida em caso de tratamento ou partilha indevida de dados, são estes os princípios fundamentais, se o titular foi informado e se as medidas adequadas foram adotadas. 2.2.2.1. Princípio da Lealdade O princípio da lealdade encontra-se consagrado na alínea a) do n.º 1 do artigo 5.º do RGPD em conjunto com outros dois princípios que em conjunto com aquele impõe nos primeiros momentos determinados requisitos para que o tratamento de dados possa ocorrer de acordo sempre com a imperatriz do tratamento de dados pessoais, ou seja, tendo sempre em consideração os direitos e os interesses do titular dos dados. Estamos a falar do princípio da transparência e o princípio da licitude como dois princípios que em conjunto com o princípio da lealdade norteiam o responsável pelo tratamento e lhe impõe os limites e exigências em matéria de proteção de dados. 37 O princípio da lealdade relaciona-se com a exigência de que o titular dos dados tem de estar sempre informado sobre a partilha dos dados que consentiu e confiou ao responsável pelo titular dos dados. O titular dos dados só consente livremente, um dos requisitos essenciais do consentimento, caso tenha sido informado da(s) finalidade(s) do tratamento na sua integra e perceba o que estas representam em termos de partilha dos seus dados pessoais. Sem o conhecimento de todos os aspetos do tratamento dos dados nunca poderá o consentimento ser verdadeiramente livre dado que o titular não consentiu sobre um ou mais aspetos 69 . Um titular que não tenha a intenção de partilhar os seus dados para uma finalidade que não tenha sido transmitida não pode dar o seu consentimento para tal. Quando ocorreu a partilha dos dados esta ocorre porque o titular assim o quis e não apenas porque poderia estar subentendido pelo responsável pelo tratamento de que apenas lhe bastava ter em conta os interesses do titular para que o cumprimento de lei estivesse a ser praticado e o consentimento fosse fundamento de licitude. Os artigos 13.º e 14.º preveem que o cumprimento por parte do responsável pelo tratamento deste conjunto de obrigações sobre as informações que devem sempre ser prestadas ao titular dos dados de modo a cumprir o princípio da lealdade e a possibilitar que os casos que se baseiam no consentimento o possam ser. O responsável pelo tratamento não pode nunca descorar as suas obrigações e deixar de atuar em conformidade com a lei, interesses e direitos do titular e desvalorizar o seu papel no cumprimento das mesmas, não podendo assumir que se o titular consentiu ele saberia dos riscos que a partilha dos dados representa. Como foi mencionado anteriormente este princípio encontra-se em correlação com outros dois que tem de ser e são cumpridos de modo a que possamos ter o cumprimento do princípio da lealdade. Os três princípios relacionam-se e interligam-se entre si. Um dos princípios, tal como foi mencionado, é o princípio da transparência que consagra que o tratamento dos dados tem de ser baseado na clareza das finalidades do tratamento e de todos os atos praticados pelo responsável. Não podem haver atos dos quais o titular não tenha entendido na sua plenitude e não podem haver falta de honestidade por parte do responsável quando está a prestar as informações de acordo com o imposto nos mencionados artigos 13.º e 14.º do RGPD. Só com esta explicação breve sobre o que se entende pelo princípio já é percetível a sua correlação com o princípio da lealdade, dado que, só podemos ter um consentimento livre se este for informado sobre tudo aquilo que recai e o for de forma transparente e esclarecedor para o titular dos dados. 69 MONIZ, Graça Canto – Manual de Introdução à Proteção de Dados Pessoais, op.cit. , página 102. 38 O outro princípio, por sua vez, é o princípio da licitude que estabelece que o tratamento tem de ser de acordo com as disposições legais que impõe os requisitos a obedecer por parte do responsável de modo a que possamos ter um tratamento leal e transparente dos nossos dados pessoais e tenhamos deste modo um consentimento que possa ser considerado como livre e fundamento desse mesmo tratamento. Encontram-se deste modo conexos os três princípios como um só e como suporte uns dos outros para a sua aplicabilidade como um todo e como impulsionadores para que os dados pessoais dos titulares sejam sempre vistos pelo responsável pela importância que representam. Recai sobre o responsável pelo tratamento a responsabilidade pelo cumprimento deste princípio de forma sublime e na sua integra em todos os momentos da “sua responsabilidade” e em todos os atos que praticar relativamente ou com os dados do titular dos dados. O cumprimento deste princípio tem de ser conseguido através da criação e previsão de meios suficientes e claros para que possa o titular, sempre que entender, exercer os seus direitos. O titular tem de ter sempre, como forma de exercício dos seus direitos, mecanismos de exercício de direitos que lhe permitam exercê-los sempre que considerar que algum dos seus direitos ou interesses não está a ser cumprido. O responsável tem de informar sempre com clareza, transparência, de forma informada e de acordo com as disposições legais esses mesmos mecanismos ao titular dos dados sempre que este consente com a sua partilha. Não podem haver questões sobre os mecanismos ou até mesmo desconhecimento sobre a sua existência sendo o exercício dos direitos pelo titular dos dados uma das obrigações do responsável pelo tratamento. Ocorrendo uma desconformidade no tratamento o titular tem de saber sempre quais os mecanismos que pode recorrer, como o pode fazer e que respostas e respetivos fundamentos poderá ter ao uso dos mesmos. Tem de ser criados sempre com vista o melhor exercício dos direitos e interesses do titular, para além do óbvio cumprimento legal. Não adianta ter os meios previstos se o titular não tiver forma de perceber de forma indúvia do que consistem esses meios e como pode beneficiar dos mesmos. A Administração Pública quando atua como responsável pelo tratamento dos dados dos seus cidadãos tem de o fazer com a consciência de que, apesar de a lei não fazer uma diferenciação entre responsáveis pelo tratamento, assume uma responsabilidade que se diferencia para o titular dos dados. Não há uma discriminação legal, mas a verdade é que uma partilha de dados numa entidade privada não tem as mesmas consequências, quer pelo possível 39 número de dados partilhados quer pela importância que o responsável assume perante um cidadão, que aquela que existem caso ocorra num determinado serviço público. Há uma imposição mais exigente do modo como é o comportamento do Estado como responsável pelo tratamento que se justifica e leva a que a transparência do seu comportamento deva ser cumprida de forma eximia. Se há elementos pouco esclarecedores no tratamento é necessário corrigir 70 , a Administração Pública tem de ser proativa e atuar sempre antes dos problemas, antes das limitações de exercícios dos direitos e antes de qualquer argumento negativo ou demonstrador de que se tivesse atuado de outro modo os riscos de partilha ou modificação ou desaparecimento indevida poderiam ter sido evitados, fazendo-o sempre com o conhecimento de que é seu dever informar os cidadãos 71 . O princípio da administração aberta não poderia ser melhor impulsionador da necessidade de transparência que tem que existir no tratamento de dados pessoais pela Administração Pública e de que forma a proatividade que deve existir pode beneficiar com a possibilidade de os titulares terem sempre acesso de forma clara aos seus dados pessoais. 2.2.2.2. Princípio da Segurança Um outro princípio nesta matéria é o princípio da segurança 72 , princípio este que se encontra relacionado com o princípio da confidencialidade e encontra-se previsto na alínea f) do n.º 1 do artigo 5.º do RPGD, que consagra a imposição da obrigação ao responsável pelo tratamento de que o tratamento dos dados por si efetuado seja sempre de acordo com as normas da segurança dos dados, independentemente das circunstâncias. As medidas técnicas e organizativas adotadas têm de ser sempre criadas tendo em consideração os dados aos quais se vão aplicar, à sua relevância e ao seu formato de conservação de modo a que haja uma adaptação do comportamento do responsável pelo tratamento aos diferentes riscos que podem existir 73 . O responsável deve estruturar antes de recolher os dados o modo como o tratamento dos mesmos irá ocorrer, como será a sua conservação e que medidas serão adotadas para o caso de haver a partilha indevida dos dados. Este planeamento não deve ocorrer num momento posterior e deve, por outro lado, ser adaptado caso se revele insuficiente ao circunstancialismo que foi tido em consideração mas que se revelou insuficiente na prática ou caso tenha-se alterado algum 70 FREITAS, Tiago Fidalgo, e ALVES, Pedro Delgado – O acesso à informação administrativa , 1ª Edição, Almedina, 2021. 71 Prevê o artigo 11.º do Código do Procedimento Administrativo no seu n.º 1 “Os órgãos da Administração Pública devem atuar em estreita colaboração com os particulares, cumprindo-lhes, designadamente, prestar aos particulares as informações e os esclarecimentos de que careçam”. 72 Encontra-se previsto no artigo 5.º n.º 1 alínea e) do RGPD e onde é consagrado o ónus imposto aos responsáveis pelo tratamento de dados pessoais. 73 SALDANHA, Nuno – Novo Regulamento Geral de Proteção de Dados - O que é? A quem se aplica? Como implementar? , Lisboa, FCA, 2020. 40 ponto de ponderação no tratamento adequado e que leva a que se modifique o mesmo sob pena de se revelar desadequado e incumpridor de normas 74 . Todos os dados são, a partir do momento em que o titular os partilha, confidenciais e íntegros não relevando nenhuma circunstância como argumento justificativo para a ocorrência da partilha indevida ou para que estes sejam modificados, esquecidos ou perdidos sem que haja consentimento ou conhecimento do titular dos dados. O não cumprimento deste princípio representa uma contraordenação grave devendo sempre que possível recorrer à anonimização 75 ou à pseudonimização 76 dos dados que identifiquem o titular dos dados de modo a reforçar a segurança e a confidencialidade dos mesmos 77 . Este princípio não se encontrava consagrado na Diretiva 95/46/CE e resulta de uma sugestão e proposta do Parlamento de modo a diminuir os riscos da partilha dos dados ao atribuir mais responsabilidade ao responsável pelo tratamento. Foi visto como um princípio que era a peça que faltava no puzzle dos princípios e que iria contribuir para que a evolução que se estava a registar na digitalização e na quantidade de dados partilhados que estava a existir, muitas vezes irrefletida como vimos, fosse mais cautelosa e, por outro lado, adequada a essas mesmas circunstâncias. Ao impor que os dados sejam tratados como confidenciais, independentemente do que possa ser o seu circunstancialismo, e que cabe ao responsável garantir que existam meios de reforço da sua responsabilidade para proteção dos dados pessoais que passa a ser responsável, permite que a evolução possa ocorrer e que estejamos perante de uma realidade com regras. Este princípio foi ainda pensado para se aplicar aos subcontratantes que assumam em nome do responsável pelo tratamento o tratamento de determinados dados recolhidos pelo responsável e que devem-se comportar, como veremos, da mesma maneira que o responsável e segundo as orientações que lhe são dadas por este. O responsável assume sempre a responsabilidade pelos atos praticados pelo subcontratante e, nesse sentido, deve garantir que 74 SANTOS, Graça - O Regulamento Geral de Proteção de Dados da Teoria à Prática , Lisboa, Chiado Editorial, 2023. 75 O responsável ao recorrer à anonimização divide, de forma irreversível, as informações de modo a que seja mais complicada a identificação do titular dos dados, tornando deste modo os dados mais confidenciais e consequentemente seguros, concretizando deste modo o princípio da segurança. 76 De modo a tornar os dados mais confidenciais e cumprindo de forma sublime o princípio da segurança o responsável pode também recorrer à pseudonimização dos dados, que significa que os dados, tal como na anonimização, são separados, contudo, com a diferença de que se necessário é possível juntar de novo os dados e identificar o titular dos dados. A medida não torna deste modo os dados separados de forma irreversível. 77 RODRIGUES, José Noronha, e TEVES, Daniela Medeiros – A proteção de dados pessoais e a Administração Pública – O novo paradigma jurídico , Lisboa, AAFDL Editora, 2020, página 54. 41 este assume as medidas técnicas e organizativas por si adotadas e que cumpre todas as normas e princípios que se impõe ao tratamento de dados pessoais 78 . 2.2.3. Problemáticas do tratamento de dados pessoais O tratamento de dados pessoais nem sempre é uma tarefa pacífica na determinação do seu âmbito de atuação e que comportamentos representam uma ameaça aos direitos e interesses que se visam salvaguardar, os do titular dos dados, e quais são as medidas que serão mais eficazes para que a tutela dos dados seja feita de acordo com a expectativa gerada. Um dos problemas que pode surgir quando o responsável pelo tratamento inicia a sua delimitação de como os dados tem que ser tratados é o entendimento de quais são os meios e medidas técnicas e organizativas que devem ser adotadas de modo a minimizar os riscos que o tratamento representa para os interesses e direitos do titular dos dados. O responsável não consegue prever e projetar no presente, assim como acontece com o legislador, todos os momentos da sua atuação que podem significar um risco ou quais os comportamentos que terceiros, subcontratantes, que atuam em seu nome podem ser um iminente risco ou ainda que comportamentos de pessoas que em nada se relacionam com o titular ou com o responsável ou seu subcontratante, os verdadeiros terceiros. O responsável assume a obrigação de prever todos os riscos que conseguir, contudo, não pode nunca assegurar que, tal como foi mencionado antes, que em nenhum momento surgirá um desrespeito pelos dados pessoais. O principal problema no tratamento de dados, e que foi sendo várias vezes mencionado, é a possibilidade iminente e real de haver uma partilha indevida dos dados a qualquer momento e que apesar dos esforços que sejam encabeçados pelo responsável pelo tratamento não há maneira de impedir que os mesmos ocorram. Estes podem ocorrer com um conjunto de medidas técnicas e organizativas adequadas a ser postas em prática e a serem sempre cumpridas ou no caso completamente oposto, a responsabilidade do responsável pelo tratamento existe sempre e independentemente de tudo o que foi feito para prevenir. É uma certeza de que o responsável assumirá toda a responsabilidade pelas violações de dados que ocorram sem que possa argumentar de que não teve qualquer intenção ou culpa pelo que sucedeu. 78 Texto retirado do Eur-Lex sem autor identificado, com a data de 08/03/2014, encontrando-se disponível em https://eur-lex.europa.eu/legalcontent/PT/LSU/?uri=celex:31995L0046. 42 3. Violações de Dados Os riscos com as partilhas indevidas de dados existem desde o momento em que o titular partilha os seus dados até à sua eliminação dos sistemas informáticos e backups que existem na rede de trabalho do responsável pelo tratamento, independentemente das medidas de segurança que são adotadas e seguidas, e tem que ser acautelados para que não passem da mera possibilidade para a realização na prática. A prudência que é exigida ao responsável pelo tratamento e a imposição de normas de tratamento têm que existir, mas sempre com a consciencialização dada ao titular dos dados que incidentes podem ocorrer e que meios tem estes disponíveis para reagir. O responsável tem conhecimento de que para além das normas do modo como cada dado tem que ser conservado, há que saber como deve ser a sua atuação caso um ataque informático ou algum erro por sua parte ocorrer e como pode impedir que as consequências negativas sejam de uma proporção evitável. A atuação de um responsável que tem uma organização que lhe permite conhecer o “percurso” que os dados que detêm percorrem e dos casos em que o titular tem que ser informado de forma a puder tomar precauções são essenciais para que o que ocorreu já de negativo não seja mais danoso para os titulares dos dados. Quanto maior for o número de dados que são recolhidos maior será o risco de ocorrer uma violação de dados, maior é a necessidade de que o tratamento desempenhado seja adequado e maior é a exigência de que o responsável pelo tratamento tenha a responsabilidade bem definida e organizada. Uma violação de dados pode ser definida como “uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento” nos termos do artigo 4.º, 12). Representa deste modo alteração ou partilha indevida dos dados pessoais que foram partilhados pelo titular com base ou de acordo com uma ou mais finalidades específicas e de acordo com as medidas e meios de segurança que confiaram ser suficientes e que sem o seu consentimento assistem a uma violação daquilo que lhes foi prometido. O titular dos dados tinha uma expectativa jurídica de quais eram as finalidades de tratamento dos seus dados e que estes estariam salvaguardados de qualquer modificação ao seu conteúdo, mas, por atos de terceiros, acabam por verificar que quem assumiu a responsabilidade de lhes prestar um serviço ou fornecer um determinado bem não conseguiu fazê-lo sem que requerido para o fazer acabem por condicionar ou inviabilizar o que era pretendido pelo titular quando partilhou os seus dados. Se houvesse o conhecimento deste de 43 que os seus dados seriam partilhados de forma indiscriminada e sem qualquer controlo ou seriam modificados poderia ter tomado outra decisão quanto à ponderação entre a execução de serviços e aquisição de bens para seu interesse e a partilha dos seus dados. A violação dos dados pode ser dividida em três tipos 79 de acordo com o que o princípio que foi posto em causa com a violação dos dados, podendo estar baseada numa partilha indevida dos dados, princípio da confidencialidade, numa alteração dos mesmos quer de forma acidental ou quer seja sem autorização, princípio da integridade, ou na perda de acesso ou sua destruição sem que tenha existido o exercício dessa vontade pelo titular 80 , princípio da disponibilidade 81 . Esta ideia das diferentes problemáticas que podem acontecer sem o consentimento do titular dos dados demonstra que apesar da adoção de todas as medidas técnicas e organizativas os dados nem sempre estão salvaguardados ou nem sempre estão reunidas todas as condições para que todos os riscos venham mesmo a concretizar-se e que todos os tipos de violação de dados mencionados podem ocorrer em simultâneo na mesma situação. Todas estas violações de dados devem ser documentadas de modo a que o responsável tenha um registo de todos os incidentes que ocorreram, que dados foram postos afetados e quais foram as medidas adotadas posteriormente ao ocorrido para que assim tenham um mecanismo de demonstração de responsabilidade e de empenho naquilo que terão de modificar na sua atuação como responsável. Apesar de nem sempre haver um descuido e tudo aquilo que era exigível a um responsável ter sido feito, a verdade é há sempre algum ponto que poderia ser melhor trabalhado e que levou, ou não, a que a violação dos dados ocorresse. Há, para além do que foi exposto, ainda a exigência de saber como devem proceder de modo a que possam de alguma forma assumir a responsabilidade de saber atuar e dar respostas sobre o circunstancialismo da violação de dados que ocorreu. 3.1. Procedimento em caso de violação de dados O procedimento em caso de violação de dados encontra-se definido legalmente nos artigos 33.º e 34.º e nos considerandos 85 a 88 do RGPD que nos veem orientar do que devemos entender como violação de dados e de que forma tem os responsáveis pelo tratamento de dados a obrigação de ter conhecimento sobre como devem atuar e de quais são os primeiros deveres 79 Alínea f) do n.º 1 do artigo 5.º do RGPD. 80 O RGPD prevê no artigo 17.º as possibilidades de os titulares dos dados requererem que os seus dados sejam destruídos a partir do momento em que o tratamento dos seus dados passar a não existir e o responsável deixar de ter fundamento de licitude para o fazer. Este direito apenas existe se o tratamento de dados não for baseado no exercício de obrigações legais. Caso seja feita sem que o titular tenha requerido ou sem que haja a imposição legal de o fazer, quando os prazos de conservação são atingidos, há uma clara violação dos dados. 81 O Grupo de Trabalho do artigo 29.º para a proteção de dados veio defender que são estes os três tipos de violações que podem ocorrer. 44 depois de ocorrer uma violação de dados. Há um conjunto de deveres que tem que ser postos em prática previamente e como modo preventivo do que possa ocorrer, como foi feita menção anteriormente, mas que apenas existem como meio para evitar que haja a violação de dados e podem apenas servir como posteriores atenuantes face às consequências que a violação de dados pode significar. Depois de a violação de dados ocorrer o objetivo passa a ser o de controlar os danos que dela resultaram, avaliar o que pode ter levado à violação de dados e as fragilidades que o tratamento de dados tem que devem ser corrigidas para um futuro melhor. Num primeiro passo é necessário comunicar à autoridade de controlo, num prazo de 72 horas, de acordo com o artigo 33.º do RGPD, e aos titulares dos dados 82 que ocorreu uma violação dos seus dados pessoais, qual a extensão e consequências da mesma e que precauções devem tomar tendo em conta os dados que tenham sido partilhados, modificados ou perdidos com o incidente. Existem vários critérios que são utilizados para orientar o modo de proceder junto do titular dos dados e nesse sentido determinar, de imediato, se os titulares dos dados têm ou não que tomar conhecimento de que os seus dados foram em parte ou num todo afetados e que dados em concreto. O dever de transmitir ao titular dos dados é excecionado pelo n.º 3 do artigo 34.º do RGPD que consagra que caso não haja motivos para crer que as medidas técnicas e organizativas não existiam ou não foram adotadas, que todos os atos necessários para proteger os direitos, liberdades e garantias foram adotados e caso implique um esforço desproporcional a comunicação individual e que esta pode ser substituída por uma informação dada a todos os titulares dos dados, cumprindo deste modo mais simples o direito à informação dos titulares dos dados, não existe a exigência de cumprir o dever de informação a cada titular e de forma individualizada. A comunicação ao titular representa sempre uma importância prioritária face à feita às autoridades de controlo, devendo ocorrer sempre que exista um “elevado risco” que provoquem “danos físicos reversíveis ou não reversíveis” para o titular 83 , servindo a comunicação para alertar o titular dos dados da cautela que tem que assumir face a “fragilidade” dos seus dados 84 . Os danos que podem existir e que põe em causa a segurança dos dados são aqueles 82 Obedece este dever de comunicação em todo o seu conteúdo ao princípio da segurança na medida em que a comunicação tem de ser sempre transparente com o titular dos dados e revelar na integra quais os dados que foram envolvidos no incidente, as consequências, as medidas adotadas e as precauções que o titular deve ter em consideração. O artigo 12.º do RGPD é claro quanto à necessidade de as comunicações com o titular dos dados terem de ser o mais transparentes possível. Não podem restar dúvidas ao titular sobre o que ocorreu no incidente e o que este significou para os seus dados. 83 O RGPD fala em elevado risco, mas não define o que pode ser entendido como elevado risco e em que situações, a título de exemplo, devem ser consideradas como de elevado risco. A definição apenas foi avançada pelo Grupo de Trabalho do artigo 29.º e que situações é que estavam aqui inseridas. O legislador europeu ficou aquém nesta definição que se revela essencial para a definição dos casos em que é preciso que haja a comunicação e conduz a situações em que não se consegue definir com toda a certeza se há ou não a responsabilidade de comunicar o incidente. 84 O titular dos dados ao tomar conhecimento que os seus dados foram partilhados indevidamente ou com quem não tinha competência fica consciente de que os seus dados poderão ser utilizados para finalidades com as quais não concorda e até ilícitas. 45 em que ocorreu uma violação que permitiu que houvesse um acesso aos dados por quem não tem competência, como vimos violação de dados por incumprimento do princípio da confidencialidade, ou que levou a um impedimento de acesso ou destruição dos dados, violação do princípio da disponibilidade, e são estes danos que afetam o titular dos dados e permitem afirmar que face à autoridade de controlo que vai avaliar a extensão do incidente são mais importantes os titulares dos dados. A importância da comunicação à autoridade de controlo não está aqui a ser descorada, de modo algum, pois o seu papel não se questiona, mas o papel deste é também ele pensado no titular dos dados apenas e é nesse sentido que referi que os titulares dos dados são a prioridade. Caso o responsável não pratique os atos que são adequados ao caso e não comunique ao titular, a autoridade de controlo assumirá esse papel 85 , essa obrigação, nos casos em que tem que haver essa comunicação, e comunicará ao titular dos dados. Independentemente de como ocorreu o incidente ou de quem comunica o mesmo, a verdade é que o titular tem de ser sempre a preocupação que deve e tem de ser assumida por quem tem a responsabilidade e competência para o fazer. A este possível impasse no assumir do dever de comunicação, acresce os casos em que existe um subcontratante que terá de comunicar ao responsável o incidente e adotar todas as medidas técnicas e organizativas estabelecidas pelo responsável pelo tratamento de forma a mitigar os danos, ao mesmo tempo que este toma a decisão se tem ou não de comunicar aos titulares dos dados e assume a obrigação de comunicar às autoridades de controlo no prazo de 72 horas. Como já foi expresso anteriormente o responsável assume sempre a responsabilidade pelos atos praticados pelo subcontratante desde que este tenha cumprido todas as medidas e orientações estabelecidas pelo responsável, não devendo ser a violação dos dados imputada ao subcontratante. O titular dos dados não tem interesse em saber quem trata os seus dados, mas sim que os mesmos sejam protegidos e que caso a violação dos dados ocorra o responsável assuma a responsabilidade. Para além de sabermos quem assume a responsabilidade de comunicar ao titular dos dados em caso de violação de dados, é necessário entender quais são os procedimentos que podem ser adotados de modo a que possam os titulares dos dados reagir à violação dos seus dados pessoais e deste modo conter e prevenir-se dos efeitos negativos que podem existir. Quando ocorre uma violação de dados pessoais estamos perante um dano que é provocado na esfera 85 N.º 4 do artigo 34.º do RGPD. 52 um Estado apostar na digitalização e para que possa haver a previsão de meios que correspondam ao nível de exigência digital. Há a vontade de evoluir, como foi mencionado antes, mas essa evolução é feita a partir da necessidade de os cidadãos em alcançar novas metas de desenvolvimento e com a confiança e recurso a essas mesmas metas. Um Estado-Membro que tem a perceção de que a digitalização ainda se encontra num estado inicial e de que é necessário apostar financeiramente em meios tecnológicos, não consegue atingir exigências de cumprimento de metas em termos de proteção de dados. Nesse sentido se não houver a transmissão de segurança, através de meios e poderes reconhecidos legislativamente a quem tem a competência de a transmitir, não há as bases necessárias para que possa ocorrer. As autoridades de controlo atuam no cumprimento de todas as normas e princípios que devem ser cumpridos por todos os responsáveis pelo tratamento e nesse sentido um dos pontos a ser cumprido é o cumprimento do princípio da segurança e o princípio da lealdade. A nossa autoridade só consegue cumprir o princípio da segurança e o princípio da lealdade se conseguir ter a capacidade legislativa 94 de conseguir advertir, corrigir ou investigar a atuação dos responsáveis pelo tratamento e perceber se tem as medidas previstas para o exercício de direitos do titular dos dados. Como é que conseguiria a autoridade de controlo perceber se atuação de um determinado responsável está de acordo com os princípios mencionados se não tivesse os poderes necessários para adotar todas as medidas de investigação necessárias e se uma vez averiguado que mão cumpre os princípios mencionados não pudesse tomar as medidas de acordo com os resultados dessa mesma investigação. Como é do conhecimento de todos a palavra preferida dos juristas, ou uma das, é “depende”, cada caso é um caso e nesse sentido cada exigência da vida prática é diferente. Se a autoridade de controlo estivesse limitada nos poderes que lhe são reconhecidos poderia não ter a legitimidade para atuar da melhor forma para garantir a transparência adequada e a confidencialidade adequada para cada titular de dados e caso concreto. Uma atuação de qualquer autoridade que desempenhe funções numa matéria que pode ser de conteúdo muito variável é uma autoridade com uma limitação evidente e aquém das suas capacidades e necessidades para ter um desempenho de acordo com as suas expectativas e determinação de proteger o titular dos dados e agir da melhor maneira possível. 94 E neste sentido para além dos poderes que são reconhecidos pelo RGPD às autoridades de controlo existe um conjunto de outros poderes que lhe são reconhecidos pela Lei n.º 58/2019 e que alargam o leque de competência que é reconhecido pelo RGPD. Há deste modo a nível nacional o entendimento que pode a CNPD atuar em mais âmbitos do que aqueles que lhe são reconhecidos pela lei que deu base à nacional. 53 A atuação desta autoridade de controlo tem ainda de ser pautada pelo princípio da proporcionalidade e sempre tendo em conta que antes que seja concluída qualquer ideia sobre um determinado ato que ocorreu deve ser ouvida a parte que agiu em desconformidade, ou suposta desconformidade, de modo a que seja percebido o que ocorreu e para que haja oportunidade de defesa. Depois de ouvida a parte e com as provas reunidas é que se pode concluir sobre o que se passou e que medidas é que devem ser tomadas de modo proporcional. Não podem ser assumidas como verificadas as provas que são observadas pela autoridade ou que parecem demonstrar que determinados atos poderão vir a se verificar. O considerado 129 do RGPD prevê que “Os poderes das autoridades de controlo deverão ser exercidos em conformidade com as garantias processuais adequadas previstas no direito da União e do EstadoMembro, com imparcialidade, com equidade e num prazo razoável. Em particular, cada medida deverá ser adequada, necessária e proporcionada a fim de garantir a conformidade com o presente regulamento, tendo em conta as circunstâncias de cada caso concreto, respeitar o direito de todas as pessoas a serem ouvidas antes de ser tomada qualquer medida individual que as prejudique, e evitar custos supérfluos e inconvenientes excessivos para as pessoas em causa”. Tendo cada Estado-Membro a(s) sua(s) autoridade(s) de controlo e tendo todas o mesmo objetivo, cumprimento do RGPD no seu Estado, torna-se essencial que todas ajam de certo modo em conjunto e consigam mutuamente se ajudar no cumprimento desse mesmo objetivo. Se há uma União, legislação, órgãos e instituições comuns então também deve haver uma cooperação no sentido de otimizar a atuação e permitir que, para além do cumprimento do objetivo mencionado, haja uma atuação igual ou muito parecida e permita que assim como há a circulação de bens e pessoas, haja também uma circulação de entendimentos sobre casos concretos que possam de certo modo ter mais do que uma resposta. Os cidadãos ao denotar estar unificação de atuação confiam mais na recolha dos seus dados pessoais, consequentemente permitindo que a administração aberta possa existir e que possa ser o caminho a seguir como já foi mencionado inúmeras vezes anteriormente. Quando o cidadão europeu permite uma recolha dos seus dados pessoais num Estado diferente do seu EstadoOrigem tem que ter a confiança de que os seus dados serão tratados exatamente do mesmo modo que seriam quando os partilha no seu Estado de origem. 54 O nosso Estado-Membro decidiu ter apenas uma autoridade de controlo independente sendo ela a Comissão Nacional de Proteção de Dados (CNPD) que atua em todo o território e controla todos os responsáveis pelo tratamento de todas as entidades portuguesas. Esta autoridade desempenha as funções enumeradas anteriormente em nome do nosso Estado, atuando sozinha no cumprimento dessas funções. 3.2.2.1. Comissão Nacional de Proteção de Dados A Comissão Nacional de Proteção de Dados (CNPD) é uma entidade administrativa independente 95 que desempenha funções junto da Assembleia da República em matéria de proteção de dados e cumprimento do Regulamento (UE) n.º 679/2016, de 27 de abril, tendo de assegurar que todas as entidades públicas e privadas a quem pede a colaboração cumprem as disposições de regulamento em todos os atos que pratiquem que tenham no seu conteúdo dados pessoais 96 . Devem as entidades, independentemente do seu estatuto ou posição hierárquica colaborar com a CNPD atuando em conformidade com o regulamento e demonstrando que o fazem sempre que lhes é requerido. Os direitos, liberdades e garantias dos titulares de dados são a prioridade de atuação da CNPD e a independência de atuação que lhes é reconhecida deve ser sempre com o objetivo de os ter em consideração e os proteger o melhor possível em cada situação 97 . A CNPD atua deste modo como auxiliar no cumprimento das normas e como controladora do seu cumprimento em qualquer tratamento de dados que ocorra. Esta Comissão foi constituída com um propósito inicial, que depois se tornou a sua principal finalidade, de implementar todas as medidas e atos que se revelam necessárias, adequadas e proporcionais para a transposição do Regulamento sobre a Proteção de Dados no nosso ordenamento jurídico e de cooperar com a União Europeia para a digitalização das suas sociedades e economias. Este processo foi demorado em Portugal, tornando-nos um dos últimos Estados a implementar o regulamento, tendo esta demora existido pelo facto de haver uma recusa por parte da CNPD em aplicar determinadas normas previstas na Lei de Execução do Regulamento aplicável a todos os Estados-Membros. Esta recusa não foi vista com bons olhos e levou a que se considerasse que algumas dessas recusas eram injustificáveis e não podiam ocorrer mesmo sendo feitas por uma autoridade administrativa independente. A independência 95 As autoridades nacionais em matéria de controlo de aplicação do RGPD têm de ser sempre caracterizadas pela sua independência. É de tal modo importante que o sejam que o RGPD consagra que tem que agir “com total independência”, n.º 1 do artigo 52.º do RGPD. 96 Este título é lhe reconhecido apenas a ela, CNPD, não tendo Portugal escolhido a possibilidade de ter mais do que uma entidade competente nesta matéria. O artigo 3.º da Lei n.º 59/2019, lei de execução do RGPD, reconhece-a como tal, não fazendo menção a outra autoridade. Nos artigos seguintes consagra as suas características e modo de atuação. 97 Artigo 4.º, 2) da Lei n.º 58/2019, de 8 de agosto. 55 reconhecida legalmente a esta Comissão não lhe permitia, segundo determinados entenderes, que pudesse simplesmente atuar como desejava e não aplicasse determinadas normas sem que para isso tivesse uma motivação. Por outro lado, considerou, na sua análise à lei de execução 98 , que muitas das disposições eram desrespeitosas do Direito da União Europeia e que nesse sentido não faria sentido estar a cumprir uma lei ilegalmente constituída. A questão que se colocou na altura, e que ainda hoje passados 5 anos ainda se coloca, é de saber se pode uma autoridade recusar-se a aplicar determinadas normas com o fundamento de não concordar com as mesmas e sob a legitimidade de ser uma autoridade independente, até onde vai a independência de uma autoridade independente, quais os limites e se algum órgão a controla. Esta autoridade é essencial e o seu papel como guardiã do RGPD é constantemente posto à prova, quer através de pareceres, decisões, deliberações ou em tribunal, sempre que é necessário haver uma reflexão e opinião dominante e esclarecida sobre um determinado ponto, matéria, em que a lei não é tão clara como deveria ser para aquele caso concreto, visto que o legislador por muito que pense em todos os casos concretos que possam surgir no dia-a-dia não consegue prever, nesta matéria, e em todas as outras que compõe qualquer ordenamento jurídico, todos os pormenores que caracterizam ou podem caracterizar um caso concreto. Dois casos podem ser semelhantes, mas terem um detalhe que os diferencia e ser esse detalhe num dos casos que leva a que seja preciso uma pronúncia por parte da CNPD. Ou, por outro lado, podemos ter circunstâncias sociais que nunca surgiram nem são possíveis de prever, como a pandemia do Covid-19, que revelam que apesar de haver uma previsão de meios digitais não havia ainda perceção de como é que a recolha de dados poderia ocorrer com a utilização de aplicações como a aplicação do Covid-19 e a necessidade de os serviços públicos continuarem em funcionamento através de sistemas informáticos. O Covid-19 foi um momento em que se valorizou a atuação da CNPD e se exigiu que houvesse capacidade de resposta para todas as questões que iam surgindo à medida que a sociedade funcionava apenas ou praticamente apenas com mecanismos à distância e que obrigava, como vimos no ponto 1, a uma adaptação dos serviços. Em termos de jurisprudência podem determinadas decisões da CNPD ou pareceres da mesma ser questionados quanto à sua aplicabilidade a um caso concreto ou podem ser chamados a pronunciar-se quanto a um determinado ponto de forma a que possam ser uma espécie de fonte legislativa que tenha influência na perceção dos detalhes do caso concreto e na 98 A lei de execução é a Lei n.º 58/2019 de 8 de agosto, como lei que transpôs o Regulamento no nosso ordenamento jurídico e que visa o seu cumprimento. As normas que a compõe refletem e remetem para o Regulamento, sendo o espelho do que nele se prevê. 56 aplicabilidade de normas à resposta jurídica necessária. É chamada deste modo para ser “a voz decisora” em momentos de indecisão ou como esclarecedora de pontos que podem influenciar a decisão que está a ser tomada. Este papel que assume foi o principal motivo para se considerar muito grave a posição adotada pela CNPD quanto à lei de execução, como foi mencionado antes, visto que, como é que a autoridade responsável máxima se recusa a exercer o papel que lhe foi reconhecido constitucionalmente e no Tratado para o Funcionamento da União Europeia? Ao não querer aplicar certas normas da lei de execução está de forma clara e inequívoca a não transpor o direito da união na totalidade e com isso a descredibilizar a sua autoridade. Como é que se iria cumprir o que a autoridade administrativa independente impunha se ela própria não cumpria com o que o RGPD determinava? Gerou muita controvérsia e fez com que se duvidasse da sua capacidade e legitimidade de atuação 99 . Embora haja o entendimento de que o melhor é uma atuação nacional e de que esta atuação é independente, a verdade é que cumpre à CNPD uma atuação sempre em cooperação com a União, com os seus órgãos e com a legislação que a legitima como autoridade. Há aqui a presença de uma cooperação leal entre as autoridades de cada Estado-Membro e a União Europeia que se revela imprescindível para que possa cada Estado evoluir. Cada uma das autoridades age no interesse dos seus cidadãos, mas sempre em conexão, não dependente, com o que são as linhas de atuação, entendimento e vontade da União Europeia 100 . A sua atuação como autoridade de controlo é diferente de outras autoridades administrativas independentes, visto que atua quase como se fosse uma agência europeia apesar de serem autoridades nacionais, e consequentemente aumenta também a sua responsabilidade e consciência da sua importância. Esta autoridade, como já foi mencionado antes, precisa da cooperação das entidades, do Estado-Membro, para que possa exercer as suas funções e sabemos que sem a existência da União e dos seus mecanismos não é possível a um Estado alcançar determinadas metas de desenvolvimento e evolução por falta de meios económicos para tal 101 . O RGPD tem aplicabilidade direta, tem uma lei que a transpôs para o nosso ordenamento, mas isso não retira 99 Bacelar de Vasconcelos considera que o “direito à resistência” apesar de existir não pode ser um fundamento de desrespeito e desconsideração pelo Direito da União Europeia. 100 Podem ser consultadas em https://ec.europa.eu/justice/article-29/structure/data-protection-authorities/index_en.htm as várias autoridades de controlo que existem na União Europeia, encontrando-se este site dividido por Estado-Membro com as informações básicas de cada autoridade nacional de controlo. 101 Portugal com a adesão à União Europeia, tal como os outros Estados, teve a possibilidade de crescer economicamente e de conquistar patamares de desenvolvimento que não conseguiria ou em outros casos teria bastantes dificuldades em conseguir e demoraria muito tempo a fazê-lo. Esta autoridade tem por isso a responsabilidade de garantir que há um aproveitamento dos meios dados pela União ao cumprir com os pressupostos de proteção dos dados pessoais. Os Estados se não trabalharem em conjunto para a proteção dos dados não conseguirão que os progressos que se quer alcançar sejam conseguidos. A administração aberta, benéfica para os cidadãos e para os Estados, só consegue funcionar se houver um cumprimento legal. 57 a importância e perceção de que sem um empenho de todos elementos num Estado, nada disso adianta. 3.2.2.1.1. Funções das autoridades de controlo O RGPD prevê uma lista extensa das funções/competências/atribuições que são reconhecidas à CNPD e que reunidas constituem aquilo que se espera que uma autoridade responsável pelo tratamento de dados execute, em síntese a função de guardiã do RGPD. A atuação de uma autoridade com esta dimensão e importância tem de ter de forma precisa a delimitada as funções que assume, tendo de haver uma proporcionalidade da responsabilidade que assume. O artigo 58.º RGPD e a lei nacional de cada Estado em matéria de proteção de dados preveem quais são essas funções e dentro de cada uma quais as atividades que pode desempenhar 102 sendo estas funções apenas exemplificativas e não absolutas daquilo que em concreto é esperado da CNPD. As leis nacionais têm um papel muito importante não só como cumpridoras da lei europeia, mas também como criadoras de normas ou recomendações que complementem esta lei e que façam com que a atuação das autoridades seja em conformidade com a lei, mas também com as características e necessidades de cada Estado, como vimos anteriormente. Nem todos os países que compõe a União Europeia são iguais em termos de desenvolvimento digital e nesse sentido as autoridades de controlo terão de ter em conta essas diferenças e reajustar-se às mesmas. O legislador nacional tem conhecimento de que deve fazer uso da soberania nacional que lhe é reconhecida e reunir num diploma todas as normas que consigam o melhor dos dois mundos, ou seja, que consiga cumprir e ter vantagens com o que a digitalização traz em termos daquilo que a lei europeia prevê e ao mesmo tempo saber como pode criar normas que complementem e ajudem neste acolhimento das vantagens. 3.2.2.1.2. Poderes de investigação O n.º 1 do artigo 58.º do RGPD consagra que são reconhecidos à CNPD poderes de investigação quanto aos atos praticados por quem tem a obrigação de fazer cumprir o RGPD. Os responsáveis pelo tratamento de dados e os subcontratantes, que em nome deste atuam, nos casos em que existam, tem o dever de cumprir com todas as obrigações que o RGPD lhes impõe, cabendo à autoridade de controlo, a CNPD, encarregar-se de garantir, como superior hierárquica, 102 Todos os Estados-Membros tem os mesmos poderes, com o mesmo alcance e objetivos, de acordo com o RGPD, não pudendo haver diferenciação entre os Estados quanto à atuação das autoridades de controlo por eles nomeadas. Todas desempenham a função de proteção do RGPD e de garantia de cumprimento de todas as normas do RGPD. Para que os cidadãos europeus tenham os seus dados protegidos em qualquer circunstância tem de essa proteção ser igual em todos os Estados. Para que possamos falar em administração aberta na União tem de haver a garantia de que os dados que um Estado partilha com outro não põe em nenhum momento em causa os mesmos já que esse Estado terá uma autoridade de controlo com a mesma capacidade de atuação e proteção desses dados. 58 que esse cumprimento ocorre e de acordo total com todas as especificidades que as compõe. A CNPD tem o direito de controlar os responsáveis pelo tratamento ou outras entidades, mas ao mesmo tempo tem o dever de o fazer, tem de garantir que tem conhecimento de todas as atividades de tratamento que se encontram na sua jurisdição. Não basta apenas esperar que cumpram o RGPD ou de agir em caso de risco, mas sim ter também, tal como o responsável pelo tratamento, um comportamento proativo, preventivo e informado sobre todos os dados que são recolhidos pelas entidades a si subordinadas. É quem tem a responsabilidade máxima de, perante a União Europeia e o titular dos dados pessoais, demonstrar que apesar dos esforços pela eliminação dos riscos, estes não foram possíveis de eliminar naquele caso em concreto e o indesejado acabou mesmo por ocorrer. Toda a atividade tem de ser pautada por uma comunicação permanente entre a CNPD e o responsável pelo tratamento que está a ser supervisionado e investigado de modo a que saiba o que se está a tentar perceber e de que modo pode contribuir para a demonstração da sua realidade quanto aos dados que recolheu e de forma a identificar os possíveis problemas que terá de corrigir e sob os quais poderão ser aplicadas coimas. Por outro lado, pode o responsável não concordar com o que está a ser concluído e ter a necessidade de se defender apresentando os fundamentos necessários para isso e ajudando também deste modo a uma atuação mais célebre da autoridade de controlo. 3.2.2.1.3. Poderes de correção A CNPD desempenha de igual modo funções de correção, que derivam de observações que foram feitas no decorrer do exercício dos seus poderes de investigação, sendo estes de modo explicativamente previstos no n.º 2 do artigo 58.º, sempre que considerar como necessários, adequados e proporcionais ao caso concreto e com o intuito de melhorar a atuação do responsável pelo tratamento e prevenir que efeitos negativos se possam mesmo verificar. Os poderes de correção podem compreender atos de advertência ou ordens no sentido de alteração de determinados comportamentos, não havendo deste modo apenas correção de um comportamento que já existiu ou que está na iminência de ocorrer. Podem ser tomadas medidas mais graves nos casos em que se decide que a certificação que foi reconhecida e atribuída a uma determinada entidade 103 deve ser retirada por terem praticado algum ato desconforme com 103 Encontram-se previstos os seus termos nos artigos 42.º e 43.º do RGPD. 59 o imposto como requisitos para que uma certificação seja atribuída 104 . Pode ainda aplicar uma coima por algum dos atos praticados de acordo com as alíneas anteriores à alínea i) do n.º 2. Um dos poderes de correção mais importantes que a autoridade de controlo tem a desempenhar é a de ordenar ao responsável pelo tratamento que comunique aos titulares dos dados que houve um incidente com os seus dados e quais as consequências e precauções que existem e que devem ser postas em prática caso o responsável pelo tratamento ainda não o tenha feito. Por outro lado, como já foi mencionado anteriormente são quem recebe as reclamações dos titulares dos dados, o que lhes impõe que atuem em conformidade e percebam o fundamento das reclamações e a sua veracidade. 3.2.2.1.4. Poderes consultivos e de autorização A CNPD desempenha ainda poderes de consulta e autorização de atos que estejam a ser estudados pelos responsáveis pelo tratamento, como melhorias do seu tratamento ou dúvidas sobre como devem proceder num determinado caso de modo a que o seu tratamento seja o mais protetivo dos dados pessoais possível, como possíveis atos a praticar. O desempenho destas funções é feito através de consultas prévias a pedido dos responsáveis, através de pareces requeridos ou que a CNPD entendeu como necessários e relevantes. Os responsáveis pelo tratamento nem sempre tem o conhecimento de como determinado ato que pretende praticar poderá de alguma forma pôr em causa os dados pessoais pelos quais é responsável e por vezes precisa que haja também um reconhecimento superior de que pode praticar determinados atos. 3.2.2.2. Encarregado de proteção de dados A nomeação de um Encarregado da Proteção de Dados existe como obrigação em determinados casos, tais como, entre outros, os casos em que estamos perante uma autoridade ou um organismo público. A Administração Pública tem de nomear sempre um Encarregado da Proteção de Dados independentemente dos dados pessoais que trata e dos riscos que estão presentes. A obrigatoriedade de haver a nomeação de um Encarregado da Proteção de Dados advém da Diretiva de 95 em que se previa como um dos requisitos para a sua existência era haver um encarregado de proteção de dados, tendo em consideração o número de trabalhadores que as componha. Atualmente este critério não é aplicado dado que se considerou, e bem, que não é o número de trabalhadores que uma entidade tem que deve e determina o risco do 104 Sabemos que as câmaras de videovigilância tinham que ter uma autorização da CNPD para que pudessem existir e ser autorizadas a recolher imagens. A autorização era feita relativamente ao número existente de câmaras e à direção da sua imagem. Caso houvesse uma alteração com o acrescento de mais câmaras ou com a mudança de direção da mesma, a autorização deixava de existir. 60 tratamento de dados, dado que, uma entidade com poucos trabalhadores, mas com determinadas funções e tratamento de dados pode representar mais risco. Tudo depende do tratamento que cada entidade faz, e não o número de trabalhadores, das medidas técnicas e organizativas e de que modo avalia o impacto de uma nova atividade de tratamento que pretende pôr em prática. Estando perante uma autoridade ou organismo da Administração Pública entende a lei, alínea a) do n.º 1 do artigo 37.º do RGPD, que o simples facto de terem um elemento que se enquadra no RGPD, o tratamento de dados pessoais para a prestação de um serviço, é motivação suficiente para a obrigação da nomeação do Encarregado da Proteção de Dados independentemente se trata apenas dados pessoais básicos ou de poucos dados pessoais. Não há qualquer verificação de preenchimento de critérios, tal como ocorre com os restantes tratamentos de dados, para que a obrigação seja criada. Contudo, há que assinalar que a parte final da alínea a) do n.º 1 do artigo 37.º do RGPD faz a ressalva que não há esta obrigação quando falamos de tribunais ou autoridades judiciais, visto que, estes, apesar de teoricamente terem esta obrigação, a verdade é que não faz sentido o terem devido ao princípio da independência que lhes é reconhecido. Não podem ser influenciados ou obrigados a atuar de um determinado modo e comprometer a sua atuação de acordo com o que se revela como verdade e juridicamente justo devido ao que um determinado encarregado lhes diz como devem fazer. Para os demais responsáveis pelo tratamento, que não pertencem à Administração Pública, é necessário que esteja preenchido um de dois critérios para que esta obrigação exista. As alíneas b) e c) do n.º 1 do artigo 37.º determinam que caso a natureza, âmbito ou finalidade justifiquem que haja um maior controlo por parte do titular dos dados ou quando for um tratamento em grande escala de dados pessoais sensíveis tem de haver obrigatoriamente a nomeação de um Encarregado da Proteção de Dados. A diferença entre as exigências legais de acordo com quem assume o papel de responsável pelo tratamento parece justificado pelas responsabilidades que são assumidas por cada um dos responsáveis pelo tratamento, não sendo possível equiparar o gerente de uma empresa com uma autoridade ou entidade pública. Podem os dois recolher os mesmos dados pessoais e recorrer aos mesmos meios informáticos para o fazer, contudo, a quantidade de dados será certamente superior e consequentemente a responsabilidade assumida será na proporção dessa 61 quantidade de dados. A imposição legal da União quanto às entidades e circunstâncias do tratamento de dados que cada uma desempenha não impede, segundo o n.º 4, que haja por parte de cada Estado a consagração de outras circunstâncias em que se imponha a obrigatoriedade de haver um encarregado da proteção de dados. Não há por parte da União uma imposição dos casos em que tem de haver uma nomeação deixando deste modo a possibilidade de cada Estado adaptar este aspeto às suas particularidades, havendo o respeito pela soberania que tem e de forma a que possam corresponder às particularidades da sua realidade social. A limitação às três primeiras alíneas do artigo 37.º seria assumir que mesmo que um Estado estivesse perante um caso que na prática se revelasse suscetível de riscos não pudesse impor esta obrigatoriedade e deste modo poderia estar a ser imprudente para com os seus cidadãos, não podendo estes agir de alguma forma contra o seu Estado. 3.2.2.3. Responsável pelo tratamento Ao longo do texto foi mencionado e referido em vários momentos e devido a vários fundamentos o responsável pelo tratamento dos dados como o principal e único responsável pelo tratamento e proteção dos dados pessoais, mesmo nos casos em que contrate um subcontratante para atuar em determinados aspetos em seu nome. Ao determinar que o subcontratante irá cumprir atos em seu nome não exclui a sua responsabilidade pelo que ocorrer aos dados do titular dos dados, visto que, a autonomia do subcontratante não existe na sua atuação com os dados pessoais recolhidos. Foi sendo aflorado este papel central e determinante do responsável pelo tratamento ao longo das páginas anteriores, não nos podendo esquecer que é esta a responsabilidade que falamos quando afirmarmos que a digitalização e o conceito de dados pessoais têm que estar sempre protegidos por quem assume a responsabilidade. Quem é o responsável pelo tratamento dos dados e de que modo assume este a responsabilidade total pelo tratamento dos dados pessoais que lhe são confiados? Consagra o artigo 4.º, 7) do RGPD o que se entende por responsável pelo tratamento e como é feita a sua determinação em todos os casos em que há dados pessoais que precisam de ser protegidos. A determinação de quem pode ser qualificado como responsável pelo tratamento de dados é feita com base em "critérios específicos aplicáveis à sua nomeação podem ser previstos pelo direito da União ou de um Estado-Membro”. A questão que se coloca é que critérios são referência para que determinada entidade possa ser considerada prevista no artigo e número mencionado e cumpra deste modo o direito da união em termos de determinação de competências em matéria 68 inevitáveis que a recolha de dados significa para o titular dos mesmos 110 . Apesar de todos os esforços que o representante possa assumir para cumprir a legislação aplicável nunca poderá garantir com segurança que todos os dados que recolheu não podem ser ameaçados de algum modo. É da sua responsabilidade o cumprimento da legislação aplicável 111 e nesse sentido são vários os artigos e considerandos que impõe ao responsável um comportamento inquestionável sempre que recolhe dados pessoais e em vários aspetos que compõe o tratamento. Em matéria de pseudonomização, a título de exemplo e no seguimento da sua menção como concretizador do princípio da segurança, consagra o considerando 29 do RGPD, que deve ser permitido ao responsável aplicar as medidas técnicas e organizativas que permitam que o tratamento que desempenhe relativamente aos dados pessoais que recolheu seja dividido de acordo com os dados e permita que determinados dados possam ser assim separados dos outros recolhidos e limitar a possibilidade de identificação do titular dos dados. Assim como o considerando 41 que consagra que devem ser adotadas as medidas necessárias para a transparência e minimização dos dados, que pode ser correlacionada com os princípios da lealdade e da segurança mencionados, e que significam que o responsável terá sempre de zelar pelos dados que recolhe e ser transparente quanto aos riscos e correções necessárias aos dados, por estarem incorretos ou desatualizados, tomando sempre as precauções que os direitos e interesses dos cidadãos assim o impõe. Esta preocupação com a adoção de todos os meios e mecanismos que reduzam os riscos já existe desde a Diretiva e por isso muito antes de os dados pessoais serem partilhados do modo e rapidez que o são hoje. Como já foi mencionado anteriormente nos dias de hoje as tecnologias assumiram um papel central indiscutível e muito importante em termos de desenvolvimento e com isso passamos a ter a prestação de serviços de modo digital, sem eliminar, contudo, o formato presencial, e aquisição de bens via digital, para além de lojas físicas. Com a digitalização, em continuação com o pensamento exposto no ponto 1, temos uma partilha de dados pessoais muito superior ao que tínhamos no início da existência da primeira legislação em matéria de proteção de dados, Diretiva 95/46/CE, o que exige uma preocupação e exigência superior das medidas técnicas e organizativas que devem ser adotadas de modo a que possamos ter uma diminuição dos riscos àqueles que são inevitáveis e que podem mesmo assim ocorrer. Sem as medidas que os responsáveis preveem e aplicam teríamos um risco de partilhas, 110 A adoção de medidas técnicas e organizativas que se adequem ao tratamento a ser efetuado pelo responsável pelo tratamento segue a imposição do artigo 24.º. 111 Artigo 24.º do RGPD. 69 modificações ou desaparecimento de dados muito superior ao que temos e que traria consequências negativas à confiança que os titulares teriam na adesão a serviços e aquisição de bens a nível digital. Como já foi sendo aflorado anteriormente, a evolução da era digital precisa que a sociedade adira e veja neles uma alternativa à realidade tradicional da prestação de serviços e aquisição de bens. A Administração Pública existe na era digital cada vez mais porque há por parte dos cidadãos a correspondência e adesão positiva à mesma, há a transmissão da confiança de que pode serlhes prestado um serviço com as mesmas finalidades e segurança que o formato presencial. Isto só é conseguido, em parte, porque são adotadas as medidas necessárias para que essa confiança exista e cresça na proporção necessária. Assume aqui um papel absolutamente fulcral para o desenvolvimento e atingimento de novas metas em termos de evolução dos serviços e aquisição de bens que como sociedade desejamos atingir e adquirir para que novos níveis de evolução sejam assim assumidos. O responsável pelo tratamento assume, independentemente de quem seja, um objetivo que só pode ser claro e concreto, a proteção dos dados do titular dos dados que recolhe. As finalidades e meios que adota para o tratamento e para a resolução de eventuais problemas que surgem devem ser o mais claro para o titular. Não podem haver questões quanto ao modo como responsável, ou subcontratante que atua em nome deste, procederá no tratamento dos dados a partir do momento em que os recolhem, tem de estar por ele, responsável, definido para que finalidades estão a recolher os dados, que meios adotaram para o tratamento do mesmo em casos de estes serem partilhados de forma indevida, modificados ou desaparecidos assim como os que adotará para que não isso ocorra. Têm de ter a consciência da responsabilidade que assumem sem puderem alegar que desconheciam as funções que lhes incumbiam, não basta terem as medidas técnicas e organizativas determinadas e previstas se depois não as puserem em prática, praticarem atos relativamente aos dados pessoais que não estão previstos nas finalidades estabelecidas ou não souberem e adotarem os meios que são essenciais para o tratamento dos dados. Tem de haver transparência na sua atuação e clareza de que todos os seus atos têm consequências, sejam elas positivas ou negativas, que podem ser esperadas, inesperadas, reversíveis ou irreversíveis. 70 3.2.2.3.5. Competências assumidas pelo responsável pelo tratamento Sabendo quem são os responsáveis pelo tratamento e as linhas básicas da sua atuação enquanto tais, torna-se importante delimitar as competências que irão assumir ou que podem assumir na sua atuação sendo elas a definição das finalidades que irão nortear a sua atuação no tratamento de dados, adoção de meios tratamentos adequados aos dados que recolheu e sob os quais se responsabilizou 112 e a nomeação do Encarregado da Proteção de Dados. 3.2.2.3.5.1. Definição das finalidades O responsável pelo tratamento tem a competência de definir qual ou quais são as finalidades que cada uma das atividades que desempenha, que envolvam dados pessoais, de modo a que o titular dos dados possa saber e ter um conhecimento esclarecido sobre quais os atos que o responsável vai praticar. Estabelecida a finalidade fica deste modo demonstrado que os dados serão tratados para aquele determinado fim e consequentemente é de clara evidência quais os atos que poderão ocorrer. Se o responsável pelo tratamento recolhe a impressão digital para o registo e controlo de trabalho é evidente para o titular, colaborador neste caso, que a finalidade de registo e controlo de tempos de trabalho é a finalidade que motiva a recolha da sua impressão digital. As finalidades de cada atividade de tratamento atuam como limites/barreiras ao responsável pelo tratamento não podendo este praticar atos que não se encontrem enquadrados com a finalidade que foi comunicada ao titular dos dados. Este tem determinada expectativa e tem o direito de que os seus dados sejam tratados apenas de acordo com aquilo que o responsável se comprometeu quando os recolheu. Estabelece o princípio de limitação de finalidades, consagrado na alínea b) do n.º 1 do artigo 5.º do RGPD, que os dados pessoais são “recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades” e em conjunto com o considerando 60 estabelece que a atuação do responsável para que seja transparente e equitativa tem de ser sempre de acordo com as finalidades que ele próprio delimitou. Como é que o princípio da segurança, ou princípio da transparência, pode ser cumprido se o titular não puder na verdade contar com todas as informações reais e verdadeiras sobre o tratamento dos seus dados, se a finalidade que lhe foi informada pelo responsável já não é a mesma que inicialmente prestada? Como foi desenvolvido previamente a atuação em matéria de proteção de dados tem de ser 112 No conceito de responsável pelo tratamento previsto no artigo 4.º, 7) do RGPD é estabelecido estas duas competências. 71 sempre transparente e clara para o titular dos dados quer quanto aos atos, quer quanto aos meios quer quanto ao modo como o tratamento vai ser efetuado. As finalidades do tratamento fazem logicamente parte dos elementos a ser conhecidos pelo titular 113 de modo a que possa exercer os seus direitos sempre que entender e para que não seja surpreendido com o tratamento dos seus dados para uma finalidade que não concorda e para a qual não consentiu, quando o consentimento é o fundamento, ou segundo a qual não formou a sua vontade em partilhar os seus dados. O consentimento, um dos fundamentos de licitude mencionado anteriormente, é, como já se constatou, um fundamento exigente e frágil porque basta que não seja completamente claro e delimitado o seu âmbito para que não possa ser fundamento de licitude. Se o consentimento é prestado de acordo com determinadas finalidades basta que estas não correspondam à realidade para que estejamos perante um caso de tratamento ilícito de dados. É esta a importância da transparência das finalidades e do cumprimento rigoroso dessas finalidades. Não existem casos em que se compreende que o responsável possa não estar consciente que os atos que praticou durante o tratamento se estão a afastar ou que não se enquadram com as finalidades que estabeleceu por serem atos que parecem estar conforme essas finalidades, o responsável pelo tratamento tem que ter sempre consciência dos seus atos. Os direitos que estão previstos a partir do artigo 15.º do RGPD são reconhecidos ao titular e podem ser exercidos se a atuação do tratamento não corresponder com as finalidades que estabeleceu. Por exemplo o direito de acesso, artigo 15.º, reconhece ao titular o direito de aceder aos dados que foram recolhidos pelo responsável e de saber quais são as finalidades em que os seus dados estão a ser utilizados. As informações prestadas nesta matéria têm de corresponder à verdade e não podem desviar-se dela e o titular dos dados deve ter a possibilidade de reagir relativamente a qualquer desconformidade. 3.2.2.3.5.2. Meios de tratamento O responsável pelo tratamento tem de prever ainda como é que os titulares dos dados poderão exercer os seus direitos, previsto no artigo 15.º do RGPD e seguintes, sempre que o entendam fazer. O modo de exercício de direitos poderá ser feto através de email ou de modo presencial através do preenchimento de um formulário. Havendo a decisão de permitir que o exercício de direitos ocorra por email há a necessidade de consagrar um meio de fazer 113 Considerando 63 do RGPD. 72 presencialmente visto que nem todas as pessoas tem email. O titular não pode sentir dificuldades em exercer os seus direitos sempre que assim o entender. Os meios de tratamento são pensados, como se pode perceber, sempre no titular. 3.2.2.3.6. Obrigações do responsável pelo tratamento de acordo com as suas competências Uma das principais obrigações do responsável pelo tratamento e que permite que, em caso de partilha indevida, possam ser adotadas medidas de proteção mais concretas que protejam e minimizem os prejuízos que podem ter ocorrido com a partilha dos dados de forma indevida e por outro lado demonstra a magnitude da partilha, é o Registo de Atividades de Tratamento (RAT) 114 . Os responsáveis pelo tratamento devem ter sempre atualizado este registo que consiste numa síntese que permite perceber como é que os dados circulam dentro da organização do responsável pelo tratamento, quer através da descrição de como é que circulam quer que meios informáticos e de arquivo são usados, e que em caso de partilha indevida dos dados permite perceber que dados foram comprometidos e possíveis lacunas que possibilitaram a partilha. Se a partilha se verificar, a título de exemplo, no Departamento dos Recursos Humanos de uma entidade é possível perceber com quem partilham os dados, que aplicações informáticas usam e como é o arquivo dos documentos que contém dados pessoais. O conhecimento integral do percurso dos dados pessoais e o modo como estes são conservados é a chave essencial para que se possa adotar medidas que diminuam os danos que se verificaram com a partilha indevida dos mesmos. Sem um RAT atualizado não se tem num primeiro instante e de modo rápido, e talvez nunca se terá, uma perceção da realidade dos danos que foram causados e de quais são os melhores atos a ser praticados pelo responsável em resposta ao incidente. Estamos a falar, como já foi mencionado mais do que uma vez anteriormente, de dados de extrema importância para o titular e que só com o comportamento correto e adequado é que os direitos e interesses do titular dos dados podem ser salvaguardados e acautelados outros possíveis danos que podem eventualmente surgir. O subcontratante 115 tem que ter o seu registo relativamente às atividades que desempenham em nome do responsável de modo a que possa cooperar com este em caso de incidentes relacionados com dados que tem acesso no exercício das suas atividades como subcontratante. Esta obrigação 116 , contudo, é apenas para responsáveis pelo tratamento de 114 O artigo 30.º do RGPD consagra no seu n.º 1 a obrigação de o responsável elaborar e conservar o registo de todas as atividades que desempenha que contenham dados pessoais e todas as informações relativas ao modo como desempenha essas atividades. 115 O n.º 2 do artigo 30.º do RGPD consagra a responsabilidade do subcontratante em matéria de registo das atividades de tratamento que pratica em nome do responsável. 116 N.º 5 do artigo 30.º do RGPD. 73 entidades com mais de 250 trabalhadores 117 , quando a atividade desempenhada possa pôr em causa direitos e liberdades do titular dos dados, quando não seja ocasional, quando estejam em causa categorias especiais de dados ou ainda quando estamos perante dados pessoais relativos a condenações penais e infrações. As autoridades de controlo requerem este registo, nos casos aplicáveis, de modo a que possam perceber como é que houve dados divulgados indevidamente, que dados é que foram e a verdadeira extensão da violação de dados ocorrida. Esta obrigação é de alguma forma um meio de orientação para os responsáveis pelo tratamento de modo a saberem sempre como agir e cumprir as normas legais com mais facilidade e com mais rapidez de atuação nos casos necessários. Ao ter mais de 250 trabalhadores estamos a falar de entidades com um volume de dados considerável e consequentemente maior será a dificuldade de tratamento de dados quanto maior for o número de dados que recolhem. A organização de como o tratamento é efetuado e sobre que atividades é feito pode ser o primeiro passo para que a minimização dos riscos, a minimização dos dados recolhidos e a minimização dos efeitos negativos para os direitos e interesses do titular sejam minimizados. A perceção do caminho que os dados percorrem e que atividades são praticadas pelo responsável e sob a justificação de determinadas finalidades é a representação de uma atuação conforme e de acordo com o principal foco no tratamento dos dados: o titular dos dados. Os problemas que possam existir no tratamento de dados e que potenciam determinados problemas, confusões ou menor eficiência podem advir e ser corrigidos ou minimizados caso haja uma organização num único registo das atividades que são desenvolvidas e de como estas ocorrem na prática. Uma outra obrigação que é da competência do responsável pelo tratamento de dados e que ajuda na concretização dos objetivos mencionados com a existência do RAT é a realização de Avaliação de Impacto do Tratamento de Dados (AIPD) 118 . A obrigação de serem feitas avaliações de impacto decorre do artigo 35.º do RGPD e existe sempre que, devido aos elevados riscos que uma atividade de tratamento representa para os dados pessoais, seja prudente o responsável pelo tratamento perceber qual o impacto que aquela atividade terá para os dados recolhidos. É uma ferramenta que deve e que tem de ser usada pelo responsável antes de iniciar a atividade e não no decorrer da mesma. A avaliação feita durante o tratamento, para além de incorrer num 117 A CNPD não concorda com a limitação desta obrigação aos responsáveis com mais de 250 trabalhadores, visto que. entende que todos os responsáveis pelo tratamento devem ter um registo das atividades de tratamento (RAT) que desempenham independentemente do seu número de trabalhadores. O RAT é muito útil para todos os responsáveis pelo tratamento em caso de violações de dados. 118 Considerando 80 do RGPD. 74 incumprimento legal, pode representar que o(s) impacto(s) negativo(s) que se quer evitar pode já não ser possível de se fazer. o impacto que se pretende avaliar é aquele que se não se quer que se verifique e que venha a causar mais desvantagens do que vantagens para o tratamento dos dados pessoais. A avaliação é feita pelo encarregado pela proteção de dados 119 , se tiver sido designado, ou por outra pessoa com essas competências, ou pelo próprio responsável pelo tratamento. Estas avaliações são mais significativas quando meios informáticos são usados para o desempenho de atividades pelo responsável pelo tratamento ou pelo subcontratante e que por serem meios que, teoricamente, representam mais riscos e mais probabilidade de tratamento ilícito dos dados e, por outro lado, são dados que permitem com muita facilidade identificar o titular dos dados. O uso de câmaras de vigilância ou o uso de geolocalização de veículos de uma empresa são dois exemplos de atividades que precisam que seja feita uma AIPD para que se possa perceber qual o impacto que a atividade terá para o titular dos dados. Compreende-se esta abordagem e esta perceção de que há atividades que representam e impõe um comportamento preventivo ativo por parte de quem recolhe os dados pessoais, só assim podem os titulares confiar os dados e perceber que estes estão salvaguardados, e como forma de prevenir que seja responsabilizado por riscos que podiam ser minimizados e alguns evitáveis. Os riscos não deixam de existir, mas há mecanismos como estes dois que permitem que a probabilidade de ocorrerem seja diminuída ou que caso ocorram, no caso do RAT, sejam uma forma de diminuir os efeitos negativos. Estas duas obrigações são igualmente essenciais para o exercício de funções pela Administração Pública, à medida que caminhamos para uma administração aberta, princípio da administração aberta, como responsável pelo tratamento. A administração aberta onde os dados circulam com uma maior facilidade só pode ser possível se houve um registo de todas atividades que são desempenhadas ao pormenor, com toda a correspondência com a verdade e com a avaliação dos casos em que pode haver um impacto negativo mais significativo com um determinado tratamento. A Administração Pública não pode permitir que os dados circulem quer nacionalmente quer em conexão com a União Europeia se não tiver consciência e perceção do que a mesma significa para o universo de titulares de dados que abrange. A circulação de dados significa um progresso benéfico para a sociedade e representa a concretização da ideia de que 119 O encarregado pela proteção de dados nem sempre tem de ser designado pelo responsável pelo tratamento. O artigo 37.º prevê os casos em que pode o responsável pelo tratamento designar estando nos artigos seguintes a consagração das suas funções e da sua relação com o responsável pelo tratamento e com o(s) subcontratante(s) caso exista. Contudo, há casos, previstos no n.º 1 do artigo 37.º em que é obrigatório que o responsável pelo tratamento e o subcontratante designem um encarregado. 75 a sociedade deve evoluir, adaptar-se e querer sempre mais para que se consiga sempre melhorar hoje aspetos do passado, mas com isso não pode significar uma evolução a todo o custo. Os tempos mudam e evoluem e a necessidade de haver novas conquistas, novos meios e serviços melhores é evidente, inegável e necessária para que os problemas do passado sejam resolvidos e para que os problemas que existam hoje possam ter uma solução no futuro, é inegável, mas tudo tem o seu custo e este tem que ser acautelado sempre. Um serviço que pode ser prestado por mais do que uma entidade, que comunicam dados entre si sem que o titular tenha de o fazer sempre que se dirige ao mesmo, só beneficia todos, o serviço e o titular. O serviço torna-se mais rápido e prestativo dos interesses do titular e consegue ele próprio evoluir e ao mesmo tempo o titular consegue ver os seus interesses a cumprirem-se com mais rapidez, menos burocracia e com isso menos problemas para o titular. Há deste modo uma comunicação e ligação maior entre os serviços e entre estes e os cidadãos que visam, contudo sem que signifique ao mesmo tempo que estamos a concordar pôr em causa direitos fundamentais em nome de uma evolução. A evolução tecnológica pode esperar se isso significar proteger os cidadãos e permitir que os benefícios sejam sempre superiores às desvantagens. A renovação do cartão de cidadãos, a título de exemplo, sem ter de haver uma deslocação, com possível perda de parte do seu horário de trabalho e consequentemente remuneração, puder ser feita com segurança dos dados que introduzimos no sistema online é de facto benéfico para o cidadão. Num outro prisma estes benefícios deixam de existir se com eles houver uma violação de dados para o titular e consequentemente passam a significar um inconveniente que o mesmo ato praticado da forma tradicional tem maior dificuldade em ocorrer. Não nos podemos esquecer ao mesmo tempo que esta evolução não pode, contudo, eliminar os meios e os serviços físicos, uma pessoa sem os meios informáticos necessários tem de ter sempre a possibilidade de os serviços lhe serem prestados. A prestação de serviços de modo presencial ou online tem de ser para o cidadão duas formas iguais em termos de qualidade, representando assim verdadeiras alternativas. 3.3. Responsabilização em caso de violação de dados A questão que se coloca é saber se é sempre de fácil determinação quem assume a figura de responsável pelo tratamento, de quem verdadeiramente assume a responsabilidade quando ocorre uma violação de dados. Será a lei suficientemente clara sobre quem deve assumir a responsabilidade em todos os casos de incidentes ou ainda haverá casos concretos em que quem deve assumir a responsabilidade é pouco claro? A determinação de quem é o responsável pelo tratamento não é em todos os casos preto no branco, havendo determinados casos em que 76 os elementos práticos do caso nos colocam a dúvida. Por outro lado, o controlo que é feito sobre os atos praticados pelo responsável pelo tratamento, e que determinam que haja a necessidade de haver uma alteração do tratamento, tem sido encarado de modo diferente pelo legislador. Estas modificações derivam do que a realidade revela como necessário para que possa haver uma legislação de acordo com aquilo que faz sentido para as dificuldades que existem no dia-adia e que tem que ser combatidas através de alterações legislativas. Atualmente o modelo de controlo dos responsáveis pelo tratamento é a autorregulação do tratamento de dados desempenhado pelo responsável pelo tratamento, entendendo-se que não há uma necessidade de haver um controlo prévio dos atos praticados por aquele e que caso haja a necessidade de agir ocorrerá posteriormente. Entende-se segundo este modelo que o controlo prévio dos atos que o responsável pelo tratamento entender praticar e que possam ter um impacto nos dados pessoais não é de seguir dado os inconvenientes temporais. O controlo prévio dos responsáveis, a heterorregulação, pode parecer mais protetivo para os dados dos titulares, pelo modo como são atenuados os efeitos e probabilidade das violações de dados e das medidas que são adotadas para que o tratamento de dados seja feito de acordo com os parâmetros que melhor se adequam ao cumprimento legal e para que o impacto que um determinado ato possa ter possa ser amenizado ou impedido de ser praticado esse ato. São diversos os fundamentos que existem para que exista quer uma autorregulação quer uma heterorregulação, mas o que importa aqui é saber qual dos dois modelos é o mais eficaz, quer em termos substantivos em matéria de atos a ser praticados, quer em termos temporais, demora na tomada de decisões, para que a probabilidade de ocorrência de uma violação de dados possa ser o mais diminuída possível. Nem sempre houve o mesmo entendimento, mas tudo tem relação com o que está a acontecer na realidade digital e com as necessidades de o legislador agir em conformidade com o que vai beneficiar mais a atuação do responsável pelo tratamento e no que pode ser exigível para que a digitalização não seja limitada. 3.3.1. Principais modificações legislativas entre 1995 e 2018 – o impacto na perceção da regulação de heterorregulação a heterorregulação mitigada? A legislação em matéria de proteção de dados foi evoluindo ao longo do tempo de acordo com o que foi sendo entendido como necessário para acompanhar a evolução digital, com o aumento do número de dados que circulam e com a existência de mais responsáveis pelo tratamento. O entendimento sobre a realidade digital foi modificando e foi sendo claro que era 77 necessário reconhecer autonomia aos responsáveis pelo tratamento pelos dados no que toca ao tratamento dos dados se queríamos que a digitalização não se tornasse numa tarefa demasiado penosa e pesada. Nos primeiros anos de digitalização foi consagrado que a heterorregulação dos responsáveis pelo tratamento permitia que houvesse um maior controlo e uma ação mais ponderada e com um maior conhecimento sobre quais os atos que tinham que ser praticados e que medidas técnicas e organizativas tinham que ser adotadas para que a tutela dos dados pessoais fosse a melhor que poderia existir. O conhecimento técnico era pouco dada a novidade do tema e a dificuldade de saberem determinar num caso concreto como haveriam de agir para que o tratamento de dados que determinaram ou os atos que queriam praticar não fossem mais prejudiciais do que benéficos para aqueles que queriam beneficiar, os titulares dos dados. Foi assim que o legislador entendeu quando analisou os riscos que um serviço público digital representava e como deveria agir para que fizesse aquilo que permitisse uma atuação adequada e que levasse à existência da confiança necessária na partilha de dados não deixasse rapidamente de existir por falta de benefícios que justificassem os riscos que estavam a ser criados. Não podíamos esperar que houvesse um cenário diferente por parte de quem tem que tomar decisões sobre o seu serviço ou entidade dado que não há conhecimento que se adquira sem que a prática exista, sem prática não há evolução, mas há ao mesmo tempo erros que podem ser demasiado prejudiciais e que podem ser evitados, entendiam assim, com um controlo prévio que funcionava como cooperação para com o responsável. 3.3.1.1. Diretiva 95/46/CE A Diretiva 95/46/CE 120 surge como diploma sucessor à Convenção 108 do Conselho da Europa de 1981, por sua vez, surgindo depois de duas resoluções aprovadas em 1973 e 1974 relativas à proteção da privacidade das pessoas singulares perante os bancos eletrónicos de dados no setor público e no setor privado, respetivamente, criada com o objetivo de regular a matéria da proteção de dados numa fase embrionária da digitalização dos dados, circulação e tratamento dos mesmos e, como já foi mencionada anteriormente, de uma importância 120 A Lei n.º 67/98, de 26 de outubro foi a lei portuguesa que transpôs a Diretiva 95/46/CE e que marcou a evolução legislativa em matéria de proteção de dados. A nossa Constituição já previa esta matéria no seu artigo 35.º, contudo, não era, de forma evidente, suficiente para regular uma matéria tão vasta e em claro crescimento. A Diretiva veio permitir que, através da sua transposição pela lei mencionada, houvesse em conjunto com a CRP uma regulação da matéria de acordo com o que eram as necessidades na época e do que era necessário para que pudesse haver uma evolução dessas mesmas necessidades. 84 tratamento e não pelas autoridades de controlo 131 . Cada responsável deve ter registado, como foi mencionado anteriormente, todas as suas atividades de tratamento de modo a que caso haja um incidente haja um conhecimento de todas as atividades e do modo como os dados circulam. As autoridades de controlo assumem agora apenas um papel de conhecedores destes registos de modo a cooperar com o responsável pelo tratamento quanto ao que devem fazer no caso de haver um incidente ou caso considerem que é necessário conhecer a atividade do responsável pelo tratamento. 3.3.1.3. Heterorregulação mitigada O tratamento dos dados pessoais e a responsabilidade que dele deriva nem sempre é uma delimitação que possa ser entendida e posta em prática de uma forma não problemática e sem questões sobre como deve um determinado caso ser resolvido ou quem é que assumirá a responsabilidade em caso de partilha indevida pelos atos praticados ou pelas medidas de técnicas e organizativas não adequadas ao tratamento de dados. O RGPD é claro nas regras que determina para o tratamento de dados e como os responsáveis pelo tratamento devem atuar de forma a cumprir com os princípios aplicáveis à proteção dos dados pessoais. Contudo, tem que ser referido que existem determinadas normas que criam “zonas cinzentas” quanto a quem tem que permitir e assumir a responsabilidade inicial quanto ao controlo de determinados atos. A responsabilidade que existe nesta matéria é inegável e tem que haver sempre quem a assuma adotando todas as medidas que possam minimizar as violações de dados que podem existir e com as quais é necessário ter em conta e esperar que ocorram quando são requeridos e recolhidos dados de uma determinada pessoa. Com o RGPD, como vimos, houve uma passagem de obrigações das autoridades de controlo para os responsáveis pelo tratamento no que concerne aos atos automatizados, total ou parcialmente, e à obrigação de elaboração de registos de atividades de tratamento. Os responsáveis pelo tratamento passaram a assumir mais obrigações e responsabilidades no tratamento dos dados pessoais, mas ao mesmo tempo ganharam mais autonomia na tomada de decisões quanto à prática de atos durante o exercício das suas funções. Contudo com o desenrolar da aplicabilidade do RGPD foram sendo colocadas questões sobre se na realidade não estaremos perante uma heterorregulação mitigada ao invés 131 O artigo 21.º da Diretiva 95/46/CE estabelecia que eram as autoridades de controlo de cada Estado-Membro que tinham de ter um registo de acordo com o artigo 19.º da Diretiva. 85 de uma autorregulação, ou seja, se a autonomia acabada de referir na verdade apenas ocorre para uma parte dos atos praticados pelo responsável pelo tratamento. Nos dias de hoje vemos que há por parte das empresas o recurso a diferentes softwares que permitem a execução, como vimos, de diferentes atos e funcionalidades que antes não existiam e que vieram permitir que a digitalização pudesse ocorrer e todos nós beneficiássemos com esta nova realidade. Os EUA são um dos principais criadores destes sistemas informáticos e consequentemente ao serem utilizados na União Europeia implicam que haja uma transferência de dados para um país que não se encontra no âmbito territorial de aplicabilidade do RGPD previsto no seu artigo 3.º. Havendo a necessidade de haver esta transferência é exigível que sejam elaborados acordos 132 entre a UE e esses países, sob a coordenação e aprovação da Comissão Europeia, de modo a que seja acordado por parte destes países o cumprimento das normas europeias quanto ao tratamento de dados ou uma autorização por parte das autoridades de controlo nacionais. Há deste modo uma diminuição dos riscos que a transferência de dados 133 implica e uma consagração e garantia que há uma proteção adequada que irá ser praticada relativamente aos dados que lhe forem partilhados. Seria no mínimo contraditório considerar-se que as normas do RGPD têm que ser cumpridas e ao mesmo tempo permitir-se que haja uma facilidade na transferência de dados que põe em causa a segurança dos dados e a sua proteção 134 . Estaríamos a exigir aos responsáveis pelo tratamento europeus por um lado, e a permitir por outro lado aos não europeus a possibilidade de agirem de acordo com níveis de exigência diferentes. A digitalização e as vantagens que podem ser conquistadas com ela não podem nunca se sobrepor aos riscos que com ela podem ocorrer e levar assim a que as desvantagens se sobreponham às vantagens. Nos casos em que há acordos estabelecidos, não existe, nos termos do artigo 45.º, a necessidade de haver uma autorização especifica sobre o tratamento de dados por parte das autoridades de controlo nacionais antes de a transferência de dados ocorrer. Neste caso haveria uma intervenção necessária de uma autoridade de controlo nacional antes que pudesse haver por parte do responsável pelo tratamento o início da atividade de tratamento, de modo a que 132 Já existem a nível das redes sociais acordos que permitem que haja um ponto de concordância sobre parâmetros de proteção e tratamento de dados a ser adotados pelos sistemas americanos e acautelam os dados na mesma medida e com o mesmo rigor que o RGPD entende. 133 Estamos perante uma transferência de dados quando os dados são partilhados para um país terceiro ou para uma organização internacional à qual não se aplica o RGPD, mas com o qual pode ser celebrado acordos que permitem que haja um ponto comum de acordo quanto ao tratamento de dados. 134 Comissão Europeia, “Amended proposal for a Council Directive on the protection of individuals with regard to the processing of personal data and on the free movement of such data. Explanatory Memorandum”, 15 de outubro de 1992, p. 34, disponível em http://aei.pitt.edu/10375/1/10375.pdf, consultado no dia 30 de setembro de 2018. 86 fosse avaliada a salvaguarda dos dados pessoais. Mas havendo cada vez mais uma comunicação com outros mercados que não o nosso europeu e sendo necessário que assim o seja 135 , podemos questionar se a vida económica não nos obrigou a ter que transferir dados para fora da União numa proporção superior à que seria esperada e se na verdade o que seria uma autorregulação dos dados se revelou na prática uma heterorregulação. Os responsáveis pelo tratamento continuam a ter a responsabilidade de tomar as decisões quanto aos atos que praticam, automatizados ou não, mas a verdade é que continuam a depender que haja uma regulação por parte da autoridade de controlo ou por parte da Comissão Europeia. Não há uma quebra de quem assume a decisão pelas atividades de tratamento que pretende desempenhar como parecia transparecer em 2016 com o regulamento face ao estabelecido em 1995 com a diretiva. Se para adotarmos um determinado sistema informático que implica uma transferência de dados temos que recorrer a mecanismos de avaliação da segurança dos dados quer através de uma autorização, no caso de não haver um acordo estabelecido naquela matéria, quer através de um prévio acordo, então estaremos perante uma necessidade que já existia antes e que continua atualmente. Um responsável pelo tratamento precisa que haja um acordo estabelecido ou a estabelecer ou de uma autorização para que possa exercer uma determinada atividade de tratamento relativamente a atos que existem na sua maioria hoje em dia como foi mencionado. Esta autorização é dada através de uma decisão da Comissão, nos termos do artigo 45.º, depois de avaliados os riscos e percebido de que modo o país ou instituição que recebe os dados os trata e se existe uma adequação do tratamento dos dados ao caso em concreto. Esta avaliação é contínua, ou seja, tem que ser revista e reavaliada pela Comissão sempre que entender que seja necessário, podendo levar a uma mudança da decisão de existência do acordo caso haja alguma alteração ao tratamento executado que signifique uma desproteção dos dados. O receio que existe quanto ao tratamento de dados por entidades que não tenham na sua base as mesmas normas que a regulamentação europeia é a motivação de todas as revisões e ponderações que tem que ser feitas por parte da Comissão. É neste sentido necessário ter conhecimento de todas as listas de entidades, organizações ou instituições internacionais que já obtiveram aprovação no seu tratamento de dados e nesse sentido, apesar de haver ainda os riscos e não deixar de ser uma transferência de dados internacionais, não precisam de ser 135 No Acórdão com o processo n.º C-362/14 no ponto 56 é mencionada esta dependência que existe em se apostar numa económica europeia capaz de se relacionar com outras economias e como essa capacidade é necessária para que se alcance uma evolução que se espera que aconteça e que seja o futuro da Europa. 87 autorizadas as atividades de tratamento nestes casos. Relativamente aos EUA 136137 , existe uma ligação estabelecida com a União Europeia, Inglaterra e Suíça que permite que haja um conhecimento do que é necessário para que haja o recurso a softwares americanos, existindo uma lista destes casos, o que ajuda significativamente dada a influencia e existência nestes softwares 138 . Há uma mitigação da realidade da responsabilidade quanto a quem determina que atividades ou atos podem ser praticados pelo responsável pelo tratamento sem precisar de terceiros para avaliar as suas decisões. Quando analisamos o regulamento percebemos que a aclamada autorregulação na verdade não existe na totalidade dos casos concretos ou podemos arriscar na maioria dos casos. Levanta-se a questão de como é que se soluciona os casos em que aparentemente não existe nenhuma divergência de aplicabilidade das normas e de quem assume a responsabilidade, mas na verdade ao analisarmos as atividades de tratamento ao pormenor e verificarmos que existe mais do que um meio automatizado podemos perceber que apesar de o responsável pelo tratamento ter adotado todas as medidas técnicas e organizativas que considerou como aplicáveis na verdade existe uma determinada atividade ou ato que não cumpriu a legislação europeia por falta de autorização ou acordo. Caso ocorra uma violação de dados podemos considerar que o princípio da segurança não foi cumprido pelo incumprimento do descrito apesar de haver um modelo de autorregulação imposto. Na Administração Pública todos os tratamentos de dados nos serviços públicos têm que 139 cumprir sempre os princípios do artigo 5.º do RGPD, ter uma finalidade ou finalidades estabelecidas segundo o artigo 6.º do RGPD e cumprir a previsão do modo como os titulares podem exercer os seus direitos de acordo com o previsto nos artigos 12.º a 14.º sempre que recorrem a meios informáticos que levem a uma partilha de dados com outro serviço público seja de que nacionalidade for 140 . Neste sentido também eles quando recorrem a sistemas informáticos que não aplicam o RGPD tem que garantir que existe um acordo com país que criou 136 Podem ser consultadas mais informações em https://www.dataprivacyframework.gov/. 137 Um dos casos em que foi colocada em causa a transferência de dados pessoais para os Estados Unidos ao se questionar a adequação no tratamento de dados foi o caso de SCHERMS. Este caso veio levantar questões sobre o cumprimento por parte dos EUA das normas que são identificadas na União Europeia como as protetoras do direito previsto no artigo 8.º do CDFUE e levar a que haja uma ponderação entre a existência de um ponto em comum criado para que haja um acordo de como o tratamento deve ocorrer e como este de facto ocorre. Esse caso é o caso mais mediático em matéria de transferência de dados pessoais e que merece o destaque pelas inquietações que veio provocar quanto à veracidade prática do acordo celebrado. 138 https://www.dataprivacyframework.gov/list. 139 O Data Sharing and Governance Act 2019, Section 1 (irishstatutebook.ie) refere que requisitos tem que ser cumpridos na partilha de dados entre serviços públicos. Apesar de ter sido criada pela Irlanda reflete a preocupação que os Estados Europeus devem ter no tratamento de dados nos serviços públicos. 140 Esta maior exigência foi mencionada no Acórdão Bara & Others (C-201/2014) e demonstrou que o setor público tem características que o diferenciam do setor privado e que impõe que haja uma proteção que vá nesse sentido. 88 esses sistemas de modo a que haja uma proteção dos cidadãos e a consideração de que sendo uma entidade do setor público a quantidade de dados partilhados é superior assim como a responsabilidade que a mesma acarreta. Há como que uma maior exigência por parte dos cidadãos quanto aos serviços públicos. O mapa que se cria com a circulação de dados partilhados entre os serviços públicos e com os programas que são utilizados cria aqui uma problemática que leva a que haja uma delimitação clara de como os atos administrativos automatizados podem ser praticados e que pode levar a que esta heterorregulação mitigada que existe na prática derivada da previsão das normas de autorregulação do RGPD possa ser uma limitação à celeridade que se pretendia com a mudança de perspetiva com o regulamento. Na Administração Pública foram criados os atos administrativos automatizados, que existem quando são praticados completamente ou parcialmente de forma eletrónica, que vieram desafiar o modo como aplicamos o direito administrativo e questionar como é que esta nova realidade deve ser entendida. Estes atos são praticados desde o seu início até ao fim por uma máquina, programada por seres humanos é certo, que decidirá e praticará o ato que considerar aplicável ao caso de acordo com o que foi programado por seres humanos. O ato administrativo que conhecemos deixa de existir em determinadas matérias e leva a que haja um entendimento diferenciado sobre que leitura e interpretação devemos ter sobre o modo como os serviços públicos se posicionam na vida dos cidadãos. Vem significar benefícios para os cidadãos e levar a que tenhamos serviços públicos e uma justiça com uma maior capacidade de resposta, mas levanta também questões sobre a capacidade de resposta para as entidades públicas se continuarem a ter uma dependência em autorizações ou acordos e deste modo a responsabilidade assumida pelo responsável. Fica claro que nos casos em que se aplica o artigo 45.º do RGPD estamos perante uma heterorregulação feita pela Comissão prevista no sistema de autorregulação do RGPD. Não restam dúvidas que apesar de este diploma consagrar que quem assume a responsabilidade pelo tratamento de dados é o responsável pelo tratamento, não dependendo de nenhuma autorização ou controlo por parte da autoridade de controlo, mas, contudo, ao mesmo tempo, prevê que existem casos em que esta responsabilidade é assumida pelo responsável pelo tratamento mas com a intervenção e controlo da Comissão. Há como uma mitigação de uma realidade de prévia revisão e aprovação dos atos praticados pelo responsável pelo tratamento quando são utilizados meios automatizados, total ou parcialmente, e que fica de certo modo 89 disfarçada pelas normas previstas no RGPD. Pode ser argumentado que apenas em determinados casos é que há uma intervenção da Comissão, mas rapidamente se percebe que com o mundo tecnológico como temos o de hoje e com a quantidade de dados que circulam a probabilidade de haver uma necessidade de controlo prévio é demasiado elevada para que consideremos que a autorregulação se sobrepõe à heterorregulação que tem que existir de acordo com as normas do RGPD. Como vimos anteriormente mesmo havendo um acordo celebrado, não significa que não tenha de haver um controlo da aplicabilidade e adequação para a realidade que foi criado. O cumprimento das medidas técnicas e organizativas, na decorrência do princípio da segurança, e a necessidade de haver um controlo prévio de atos que podem implicar um maior risco para os dados pessoais dos titulares dos dados, com a transferência internacional de dados, tem como objetivo um tratamento de dados direcionado para a tutela dos dados pessoais dos titulares dos dados que confiaram ao responsável pelo tratamento. O responsável pelo tratamento dos dados tem que ter a consciência de que o titular dos dados tem direito a toda a transparência sobre como os dados que lhe confiou estão a ser tratados, em cumprimento do princípio da lealdade. Não revela para ele quem é que vai controlar os atos praticados pelo responsável pelo tratamento. A lei tem que se necessário que esteja tudo esclarecido e determinado legalmente de quem é que verdadeiramente assume a determinação de quais os atos que podem para que saibam os responsáveis pelo tratamento e as autoridades nacionais como agir. 90 Conclusão A presente dissertação de mestrado, neste tema tão atual como é a adoção de meios tecnológicos na sociedade, permitiu concluir que um longo caminho tem sido percorrido quanto ao papel da tecnologia na sociedade e no direito e que está longe de estar concluído. Um caminho complicado, com desafios, mas que se tem revelado gratificante e de reconhecido valor para os Estados e seus cidadãos ao permitir que haja um desenvolvimento de soluções que correspondam às necessidades individuais e coletivas de uma sociedade. Em termos legislativos revelou-se importante a criação de instrumentos que estabelecessem conceitos, delimitassem limites e obrigações ao tratamento de dados e estabelecessem quem assumiria a responsabilidade em caso de desrespeito pelas normas previstas em diversos diplomas sobre a aplicação de meios tecnológicos. A adoção de meios tecnológicos não era o principal problema, mas sim a perceção de como haveria a criação de uma realidade diferente, e com proporções que rapidamente se revelariam de resolução complicada, ser tratada de modo a que a proteção de dados fosse sempre a prioridade. A questão que verdadeiramente se coloca nesta matéria é a clareza na definição de responsabilidade em caso de violação de dados. Se os dados forem partilhados indevidamente ou utilizados para finalidades não consentidas pelo titular dos dados tem que haver uma definição de quem assumirá em todos esses casos, de forma expressa ou por analogia, a responsabilidade. Esta começa a ser definida desde o início da prática dos atos, ou seja, desde o momento em que o responsável pelo tratamento de dados decide praticar determinado ato que envolve dados pessoais e apenas termina quando a(s) finalidade(s) para as quais foram partilhados os dados deixaram de existir ou no caso de o consentimento for retirado pelo titular dos dados. No caso da Administração Pública a decisão de uma entidade pública começar a praticar determinado ato tem que decorrer de uma prévia definição de quem irá controlar a sua legalidade quanto ao tratamento e proteção de dados pessoais. Inicialmente nos primeiros diplomas foi definido a heterorregulação em que seria da responsabilidade da autoridade nacional da proteção de dados, a CNPD, o controlo e decisão sobre todos os atos, não havendo a responsabilidade do responsável pelo tratamento de dados, que se queriam praticar e que envolvessem dados pessoais. Rapidamente se percebeu que se queríamos avançar nesta matéria não poderíamos depender todas as decisões numa única autoridade/entidade. A demora e a sobrecarga que existiam excluíam qualquer praticabilidade que se pudesse querer numa matéria que se queria 91 com a capacidade de resposta adequada à velocidade de desenvolvimento da matéria. Concluiuse que essa responsabilidade teria de caber ao responsável pelo tratamento e que à autoridade apenas caberia um controlo à posteriori, passando de uma heterorregulação para uma autorregulação. A realidade tem revelado que esta mudança da “titularidade” da responsabilidade tem tido pouca aplicação na prática devido ao que a direito sempre nos habituou: para toda a regra há uma exceção. As diversas exceções e a sua aplicação recorrente nos casos concretos fazem levantar a questão se não estamos perante não de uma autorregulação, mas sim de uma heterorregulação mitigada. Perspetiva-se a necessidade de uma nova mudança no modo de definição de responsabilidade e de um maior reconhecimento de capacidade de os responsáveis pelo tratamento na definição de quais os atos que irão representar um impacto negativo nos dados pessoais superior às vantagens que deles derivariam. 92 Lista Bibliográfica ABREU, Joana Covelo de “Os princípios gerais da Administração Pública em linha na União Europeia e a análise do artigo 14.º do CPA – revisitando as necessidades de literacia digital” in Carla Amado Gomes et al . (ed.), Comentários ao Código do Procedimento Administrativo , Lisboa, AAFDL, volume I, 2023. ALVES, Joel A. – “Administração eletrónica, eficiência e proteção de dados: breves considerações à luz dos princípios gerais da atividade administrativa”, in PEREIRA COUTINHO, Francisco e CANTO MONIZ, Graça (coord.). Anuário da Proteção de Dados 2022. Lisboa: CEDIS, 2022. ALVES, Joel A. – O novo modelo de proteção de dados de dados pessoais europeu , Coimbra, Almedina, 2021. BRANDÃO, Ana Paula et al. (eds.) - Enciclopédia da União Europeia , Lisboa, Petrony, 2017. CALVÃO, Filipa Urbano – “Os estados de exceção e a proteção de dados pessoais”, in Carla Amado Gomes et al . (ed.), Direito Administrativo de necessidade e de exceção , Lisboa, AAFDL Editora, 2020. CORDEIRO, A. Barreto Menezes, - Comentário ao Regulamento Geral de Proteção de Dados e à Lei n.º 58/2019, Coimbra, Almedina, 2021. CORDEIRO, A. Barreto Menezes, “Direito de Proteção de Dados”, Almedina, Coimbra, 2022 COUTINHO, Francisco Pereira, “A independência da Comissão Nacional de Proteção de Dados”, in Francisco Pereira Coutinho et al . (ed.), Anuário da Proteção de Dados , Lisboa, CEDIS, 2020. DELGADO, Isaac Martín, “El acceso electrónico a los servicios públicos: hacia um modelo de administración digital autenticamente inovador”, in Sociedad Digital y Derecho, Imprensa Nacional del Boletín Oficial del Estado, 2018. FONSECA, Isabel Celeste, “Governação Pública (Local) Digital: notas breves sobre a estratégia em curso de aceleração da transição digital”, in Artur Flamínio da Silva (coord.), Direito Administrativo e Tecnologia , Coimbra, Almedina, 2021. FREITAS, Tiago Fidalgo de et al. (eds.) - Direito da Proteção de Dados: perspetivas públicas e privadas , Coimbra, Almedina, 2023. FREITAS, Tiago Fidalgo, e ALVES, Pedro Delgado – O acesso à informação administrativa , 1ª Edição, Almedina, 2021. MAGALHÃES, Filipa Matias, e PEREIRA, Maria Leitão – Regulamento Geral de Proteção de Dados - Manual Prático , Porto, VidaEconómica, 2017. 93 MONIZ, Graça Canto – Manual de Introdução à Proteção de Dados Pessoais , Coimbra, Almedina, 2023. RODRIGUES, José Noronha, e TEVES, Daniela Medeiros – A proteção de dados pessoais e a Administração Pública – O novo paradigma jurídico , Lisboa, AAFDL Editora, 2020. SALDANHA, Nuno – Novo Regulamento Geral de Proteção de Dados - O que é? A quem se aplica? Como implementar? , Lisboa, FCA, 2020. SANTOS, Graça - O Regulamento Geral de Proteção de Dados da Teoria à Prática , Lisboa, Chiado Editorial, 2023. SANTOS, Helena Patrícia Neves dos, “Administração eletrónica local: análise sobre a modernização da administração local e respetivos desafios”, in Isabel Celeste M. Fonseca (dir.), Governação Pública DigitaL, Smart Cities e Privacidade , 1ª Edição, Coimbra, Almedina, 2022. SANTOS, Sofia Berberan, e GABRIEL, João, “Regulamento Geral sobre a Proteção de Dados, Legislação e Algumas Notas”, Lisboa, Edição GPA Academy, 2020. SILVA, Artur Flamínio, “Inteligência Artificial e Direito Administrativo”, in Artur Flamínio Silva (dir.), Direito Administrativo e Tecnologia , 2ªEdição, Coimbra, Almedina, 2021.