2. Dados pessoais e privacidade do utilizador no setor das comunicações eletrónicas
2.2 Da Diretiva n.º 2002/58/CE, de 12 de julho à conjuntura atual
O surgimento de novas tecnologias, através da internet e de redes móveis digitais, com um custo essencialmente cadente e acessível a maioria das pessoas, faz com que o número de utilizadores cresça todos os dias, bem como a dependência deste meio, tornando maior o risco para a privacidade dos seus utilizadores. No quadro normativo reveste-se de particular importância a Diretiva n.º 2002/58/CE, de 12 de julho171, do Parlamento Europeu e do Conselho, de 12 de julho que revogou172 a Diretiva n.º 97/66/CE, do Parlamento Europeu e do Conselho, de 15 de dezembro. Conforme consta no preâmbulo esta Diretiva visa assegurar o respeito dos direitos fundamentais e a observância dos princípios reconhecidos em especial pela Carta dos Direitos Fundamentais da União Europeia, com evidência pelos direitos consignados nos artigos 7.º e 8.º.
Contudo, a inviolabilidade das comunicações está garantida nos instrumentos internacionais relativos aos direitos humanos, nomeadamente a Convenção Europeia para a proteção dos Direitos do Homem e das Liberdades Fundamentais e nas Constituições dos Estados-Membros. No quadro da Diretiva n.º 2002/58/CE são reconhecidos, entre os direitos e os deveres específicos deste setor, outros, tais como os deveres de adotar as medidas de segurança adequadas e de informar da falta de segurança; o direito a confidencialidade das comunicações; o direito à destruição dos dados de tráfego e a faturação; os direitos sobre a faturação, a identidade da linha chamadora e da linha conectada; o direito de oposição ao tratamento dos dados de localização; o direito de pôr termo ao reencaminhamento automático de chamadas; o direito a ser informado das finalidades a que se destinam as listas de assinantes impressas ou eletrónicas publicamente disponíveis; a proibição da prática do envio de correio eletrónico para fins de comercialização direta.
Entretanto a Diretiva n.º 2002/58/CE foi transposta para ordem jurídica portuguesa através da Lei n.º 41/2004, de 18 de agosto que regula o tratamento de dados pessoais e a
171 “No que diz respeito ao tratamento de dados pessoais no setor das telecomunicações foi particularmente
relevante a Diretiva 97/66/CE, de 15 de dezembro. Esta diretiva foi transposta para a ordem jurídica portuguesa pela Lei 69/98, de 28 de outubro que regula o tratamento e a proteção de dados pessoais no setor das telecomunicações. Contudo, com a aprovação e subsequente publicação da Diretiva 2002/58/CE, de 12 de julho, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas, foi prevista a revogação daquela a 31 de outubro de 2003 […] ”.CASTRO, Catarina Sarmento e – op. cit., p. 23. No mesmo sentido, MARQUES, Garcia; MARTINS, Lourenço – op. cit., p. 381 e 382.
172 Nos termos do disposto do artigo 19.º da Diretiva 2002/58/CE “ a Diretiva 97/66/CE é revogada a partir da
data referida no n.º 1 do artigo 17.º”. Preceito que, por sua vez, estabelece, no seu n.º 1 “antes de 31 de outubro de 2003, os Estados Membros devem pôr em vigor as disposições necessárias para dar cumprimento à presente Diretiva e informar imediatamente a Comissão desse facto”.
54
proteção da privacidade no setor das comunicações eletrónicas. O seu regime jurídico dispunha sobre matérias variadas como a lista de assinantes de serviços de telecomunicações e comunicações eletrónicas, os serviços de localização do utilizador de um terminal de comunicações móveis, a conservação de dados de tráfego das telecomunicações ou as comunicações comerciais não solicitadas.
Com efeito, a Lei n.º 46/2012173, de 29 de agosto de 2012, foi publicada em Diário da República, que procede à transposição da Diretiva n.º 2009/136/CE174, do Parlamento Europeu e do Conselho, de 12 de julho, procedendo a primeira alteração à Lei n.º 41/2004 de 18 de agosto, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas, e a segunda alteração ao Decreto- Lei n.º 7/2004 de 7 de janeiro, relativo aos serviços da sociedade da informação e ao comércio eletrónico.
O âmbito de aplicação da Lei n.º 46/2012 estende-se ao tratamento de dados pessoais no contexto da prestação de serviços de comunicações eletrónicas acessíveis ao público em redes de comunicação públicas, nomeadamente nas redes públicas de comunicações que sirvam de suporte a dispositivos de recolha de dados e de identificação, especificando e complementando as disposições da Lei n.º 67/98, de 26 de outubro175.
Entretanto este dispositivo legal ditou novas definições, tais como a de correio
eletrónico, que passa a ter um conjunto de realidades, no qual inclui mensagem textual, vocal,
sonora ou gráfica, e o conceito de violação de dados pessoais; e a de violação de dados
pessoais onde constitui uma violação da segurança que provoque, de modo acidental ou
ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizado a dados pessoais transmitidos, armazenados ou de outro modo tratados no contexto da prestação de um serviço de comunicações eletrónicas ou com qualquer utilizador identificável que receba a informação. É ainda alterada a definição de comunicação e de dados de localização que passa a incluir os dados tratados no âmbito de um serviço de comunicações eletrónicas176.
173
A Lei n.º 46/2012 procedeu alterações à Lei n.º 41/2004, de 18 de agosto nos artigos n.ºs 1.º, 2.º, 3.º, 5.º, 6.º, 7.º, 8.º, 14.º e 15.º, bem como ao aditamento dos artigos n.ºs 3.ºA, 13.ºA, 13.ºB, 13.ºC, 13.ºD, 13.º E, 13.ºF, 13.ºG, 15.ºA, 15.ºB e 15.ºC.
174 A Diretiva n.º 2009/136/CE do Parlamento Europeu e do Conselho de 25 de novembro de 2009, altera a
Diretiva n.º 2002/22/CE relativa ao serviço universal e aos direitos dos utilizadores em matéria de redes e serviços de comunicações eletrónicas, a Diretiva 2002/58/CE relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas e o Regulamento (CE) n.º 2006/2004 relativo à cooperação entre as autoridades nacionais responsáveis pela aplicação da legislação de defesa do consumidor.
175 Lei n.º 46/2012, de 29 de agosto, artigo 2.º. 176
55
Com as alterações à Lei n.º 41/2004, de 18 de agosto, as empresas que oferecem serviços de comunicações eletrónicas acessíveis ao público devem adotar as medidas técnicas e organizacionais adequadas para garantir a segurança dos seus serviços, assegurando a aplicação de uma política de segurança no tratamento dos dados pessoais. O armazenamento de informações e a possibilidade de acesso à informação armazenada, apenas são permitidos se houver o consentimento prévio, do assinante ou utilizador, com base em informações claras e completas nos termos da Lei n.º 67/98, de 26 de outubro177.
No que respeita a obrigação de notificação da violação de dados pessoais, a Lei n.º 46/2012 acrescenta ainda um novo artigo, 3.º-A, à Lei n.º 41/2004, de 18 de agosto, fazendo recair sobre as empresas que oferecem serviços de comunicações eletrónicas acessíveis ao público a obrigação de notificarem imediatamente a CNPD em caso de violação de dados pessoais, bem como os titulares de dados pessoais, sempre que a referida violação possa afetar negativamente os dados pessoais, entendendo-se que isso acontece sempre que resultar, designadamente, em usurpação ou fraude de identidade, danos físicos, humilhação significativa ou danos para a reputação, quando associados a prestação e utilização de serviços de comunicação eletrónicas acessíveis ao público.
No entanto, tal notificação só terá lugar quando as empresas que oferecem serviços de comunicações eletrónicas acessíveis ao público não adotarem as medidas tecnológicas de proteção adequada e quando essas medidas não forem aplicadas aos dados a que a violação diz respeito. Essas medidas devem tornar os dados incompreensíveis para todas a pessoas não autorizadas a aceder-lhes. É igualmente de ressalvar a obrigação das empresas manterem um registo atualizado das situações de violação de dados pessoais.
Contudo, foram definidos alguns propósitos elencados na exposição de motivos da proposta de Lei, tais como reforçar a segurança do processamento dos dados pessoais; introduzir a notificação obrigatória de violação de dados pessoais à CNPD e aos titulares de dados, por parte das entidades que oferecem serviços de comunicações eletrónicas acessíveis ao público; sujeitar o armazenamento de dados ao consentimento pelo seu titular; reforçar as salvaguardas dos assinantes e utilizadores contra a invasão da sua privacidade por comunicações não solicitadas para fins de comercialização direta, no contexto da utilização de redes de comunicações eletrónicas. Nessa medida, o objetivo naturalmente pretendido será o
177
56
de estabelecer por parte dos prestadores de serviços de comunicações eletrónicas e dos operadores o aumento da confiança dos consumidores na celebração de contratos à distância.
Na realidade, a Lei n.º 46/2012, vem reforçar a proteção dos utilizadores da internet em matéria de dados pessoais e salvaguardar de uma forma significativa a sua extensão da privacidade, uma vez que a mesma dificulta em grande medida a criação de perfis de consumidores. Algumas restrições foram impostas, como a obrigação de respeitarem listas de consentimentos, de consultarem a lista de recusas da Direção Geral do Consumidor178 e de salvaguardarem o direito de opt in dos utilizadores. Também a publicidade na modalidade
marketing direto179 fica restrita, sendo proibido o envio de correio eletrónico para este fim, ocultando ou dissimulando a identidade da pessoa em nome de quem é efetuada a comunicação, em violação do artigo 21.º do Decreto-Lei n.º 7/2004180, de 7 de janeiro, sem a indicação de um meio de contacto válido. O processamento de tais comunicações permanece dependente já não só do consentimento prévio do titular de dados pessoais, mas do seu consentimento expresso.
Cabe ainda referenciar no quadro normativo das comunicações eletrónicas a Lei n.º 5/2004, de 10 de fevereiro que estabelece o regime jurídico aplicável às redes e serviços de comunicações eletrónicas e aos recursos e serviços conexos e define as competências da autoridade reguladora nacional neste domínio, no âmbito do processo de transposição das Diretivas n.os 2002/19/CE, 2002/20/CE e 2002/21/CE, todas do Parlamento Europeu e do Conselho, de 7 de março, alteradas pela Diretiva n.º 2009/140/CE, do Parlamento Europeu e do Conselho, de 25 de novembro, e das Diretivas n.os 2002/22/CE, do Parlamento Europeu e do Conselho, de 7 de março, alterada pela Diretiva n.º 2009/136/CE, do Parlamento Europeu e do Conselho, de 25 de novembro, e 2002/77/CE, da Comissão Europeia, de 16 de setembro181. Além das competências da autoridade reguladora nacional neste domínio, está previsto, nesta Lei, na redação que lhe foi dada pela Lei n.º 51/2004, de 13 de setembro salvo
178 A Direção Geral do Consumidor remete para a Associação Portuguesa de Marketing Direto a inscrição em
lista própria [Em linha] [Consult. 07 Fev. 2015].Disponível em http://www.consumidor.pt/ms/1/pagina.aspx?codigoms=5003&back=1&codigono=0011AAAAAAAAAAAAA AAAAAAA.
179 “A comunicação publicitária pode ter somente por fim promover a imagem de um operador comercial,
industrial, artesanal ou integrante de uma profissão regulamentada”, conforme artigo 20.º, n.º 2 do Decreto-Lei n.º 7/2004, de 07 de janeiro.
180
O Decreto-Lei n.º 7/2004, de 7 de janeiro, transpõe para ordem jurídica interna a Diretiva n.º 2000/31/CE, do Parlamento Europeu e do Conselho, de 8 de junho de 2000, relativa a certos aspetos legais dos serviços da sociedade da informação, em especial do comércio eletrónico, no mercado interno bem como o artigo 13.º da Diretiva n.º 2002/58/CE, de 12 de julho.
181
57
disposições específicas da Lei n.º 41/2004, outras definições que serão aplicáveis. Entre essas definições encontra-se a de consumidor, sendo que para o efeito considera-se consumidor a pessoa singular que utiliza ou solicita um serviço de comunicações eletrónicas acessível ao público para fins não profissionais182.
Notemos as definições para os dados gerados através de uma rede de comunicações eletrónicas e quais os dados tratados neste processamento.