Dados estatísticos – a utilização por terceiros

A vocação das informações estatísticas produzidas pelo Sistema Estatístico Na- cional é a sua divulgação, para cumprimento de finalidades variadas. A questão dos limi- tes da libertação de informação respeita, como antes sublinhámos, aos registos estatísti- cos individuais que permitem identificar as unidades estatísticas, pessoas singulares ou coletivas públicas ou privadas, em regra sujeitos a segredo estatístico, e à possibilidade da utilização destes registos, por terceiros.

4.1. Dados estatísticos e levantamento do segredo estatístico

Apesar da proibição genérica de divulgação de informações relativas às unida- des estatísticas, prevista no artigo 6.º da LSEN, a Lei prevê limitações à sua confidencia- lidade, admitindo situações de levantamento do segredo estatístico.

4.1.1. Como afirmámos já, a lei exclui do âmbito do segredo estatístico as infor-

mações relativas às pessoas coletivas públicas. Assim sendo, os dados individuais res- peitantes a unidades estatísticas públicas podem ser utilizados por terceiros (desde que excecionados os dados estatísticos individuais relacionados com indivíduos ou pessoas coletivas privadas, com eles conexionados).

4.1.2. Também no que respeita às pessoas coletivas privadas, embora vigoran-

do uma regra geral de confidencialidade, a LSEN estabelece exceções, fixando que os dados estatísticos individuais que lhes respeitem, bem como os respeitantes à atividade

163

empresarial ou profissional de pessoa singular, não estão abrangidos pelo segredo esta- tístico, quando sejam objecto de publicidade por força de disposição legal (por exemplo, de inscrição em registos públicos), ou quando sejam disponibilizados por escalões, por variável ou conjunto de variáveis (e, assim sendo, não identificadores).

A autorização expressa de quem represente a pessoa coletiva privada é outra forma de afastar o dever de segredo, tornando possível a utilização dos dados individu- alizadores dessas pessoas coletivas31_.

Por outro lado, o Conselho Superior de Estatística pode deliberar autorizar, caso a caso, sobre pedidos fundamentados de levantamento de segredo estatístico, relativos a registos estatísticos individuais das pessoas coletivas privadas (por isso, incluindo mi- crodados, utilizados para a elaboração de estatísticas, e não, meramente, dados agrega- dos), sempre que estejam em causa ponderosas razões de saúde pública, planeamento e coordenação económica, relações económicas externas ou proteção do ambiente, e desde que os dados sejam exclusivamente utilizados para fins estatísticos, sob compro- misso expresso de absoluto sigilo em relação aos dados fornecidos32_.

4.1.3. A regra da confidencialidade das informações referentes a unidades esta-

tísticas que respeitem a pessoas singulares também sofre derrogações de modo a per- mitir a divulgação ou o acesso de terceiros a informações que as identifiquem. estando legalmente prevista, embora mais limitada.

Tal como determinado relativamente às pessoas coletivas, admite-se a utilização da informação estatística reveladora da identidade do titular dos dados por terceiros, para finalidade diversa da estatística, sempre que este o autorizar expressamente, assim dispondo das informações que lhe respeitam, por esta via dando cumprimento a uma das facetas do seu direito à autodeterminação informativa.

Para que este consentimento seja válido, o titular dos dados tem de ser infor- mado acerca das condições em que terá lugar este outro tratamento das informações pessoais (que por ser diverso, deve ser comunicado à Comissão Nacional de Protecção de Dados), designadamente quanto à finalidade do tratamento, às informações tratadas, e ao responsável pelo tratamento. O dever de sigilo transmite-se ao novo responsável pelo tratamento de dados, que pode aceder à informação, para um fim específico, mas que não poderá divulgá-la ou permitir o acesso de terceiros.

Tal como sucede relativamente aos dados que respeitam a pessoas coletivas, também quanto a informações pessoais das unidades estatísticas o Conselho Superior de Estatística poderá autorizar a sua utilização para fins diversos, quando estejam em causa ponderosas razões de saúde pública, mas, neste caso, apenas desde que anoni- mizados, e quando sejam utilizados exclusivamente para fins estatísticos. Também aqui, sob compromisso expresso de absoluto sigilo em relação aos dados pessoais fornecidos.

31 _{Artigo 6.º, n.º 6, da LSEN.}

32 _{Artigo 6.º, n.º 6, da LSEN. Veja-se, por exemplo, as deliberações do Conselho Superior de Estatística n.º 32,}

164

4.2. Entre os tratamentos de dados estatísticos, nomeadamente de dados esta-

tísticos individuais, para fins diferentes dos fins determinantes da recolha, assume espe- cial relevo o caso da sua utilização para fins de investigação científica.

Estas finalidades justificaram a criação de regime especial de cedência, para além das situações previstas de consentimento do titular dos dados e de autorização do Conselho Superior de Estatística, nos limitadores termos previstos no n.º 5 e n.º 6 do artigo 7.º da LSEN33_.

4.2.1. Segundo o disposto no n.º 8 do artigo 6.º da LSEN, “são considerados

como visando fins científicos, os pedidos de cedência de dados efectuados no âmbito de um concreto projecto científico, por investigadores de universidades ou de outras instituições de ensino superior legalmente reconhecidas e organizações, instituições ou departamentos de investigação científica reconhecidos pelos competentes serviços”.

O progresso científico, designadamente em domínios social e politicamente re- levantes, justifica a previsão de derrogações ao regime geral de segredo estatístico, e a eleição destas finalidades como finalidades relevantes, determinantes do novo uso dos dados. A autorização para um desvio à finalidade originária encontra fundamento na procura da obtenção da maximização das vantagens dos dados individuais recolhidos para a produção de estatísticas, melhorando o acesso dos investigadores a dados con- fidenciais, para fins científicos34

4.2.2. As finalidades científicas justificam, desde logo, que os dados estatísticos

individuais sobre pessoas singulares e coletivas possam ser cedidos, mediante o es- tabelecimento de acordo entre a autoridade estatística cedente e a entidade científica solicitante.

Mas, nesta previsão, a lei apenas admite a cedência de dados que hajam sido objeto de anonimização, pelo que são dados que deixam de identificar as unidades esta- tísticas. Isto significa que os dados podem ser transmitidos de forma muito desagregada, desde que tenham sido eliminados os sinais de possível identificação.

A questão está em averiguar se esta exigência se coaduna com as finalidades de investigação científica, que em muitos casos exigem a utilização de “dados concretos e circunstanciados que permitam análises aprofundadas”35_{, por um lado, mas também} implica saber se hoje a anonimização ainda representa um mecanismo técnico que infa- livelmente garante a privacidade das informações, o que se discutirá no ponto seguinte.

33 _{Diz-se “limitadores”, pois a lei define as concretas situações que devem estar em causa (“ponderosas razões}

de…”) e, no caso de dados relativos a pessoas singulares, impõe a sua anonimização. A previsão para fins científicos escapa à restrição imposta pelas ponderosas razões admitidas como fundamento (n.º 7 do artigo 6.º, da LSEN), já que a investigação científica é, aqui, o fim determinante, mas obriga à anonimização, no que aos dados relativos a pessoa singulares diga respeito.

34 _{Considerando 2 do Regulamento (UE) da Comissão 557/2013, de 17 de junho, relativo às estatísticas euro-}

peias no que diz respeito ao acesso a dados confidenciais para fins estatísticos.

35 _{Considerando o Regulamento (UE) da Comissão 557/2013, de 17 de junho, relativo às estatísticas europeias}

165

Para além das situações em que os dados tratados são previamente anonimiza- dos, os fins de investigação científica podem justificar que o segredo estatístico possa, ainda, sofrer derrogações mesmo no que respeita ao conhecimento dos dados estatís- ticos (individuais ou microdados) identificadores das unidades, nos termos genéricos atrás previstos para os casos de utilização de dados para fins diversos, ou seja, sem anonimização, nas situações previstas na LSEN36_.

Pressuposto desta utilização é o facto de a atividade científica que utilize dados estatísticos identificadores, estar, em qualquer dos casos, sujeita a dever de segredo.

Nos termos da LSEN, o acordo de cedência deve definir “as medidas técnicas e organizativas necessárias para assegurar a protecção dos dados confidenciais e evitar qualquer risco de divulgação ilícita ou de utilização para outros fins aquando da divulga- ção dos resultados” (artigo 6.º, n.º 7, da LSEN).

Apesar do disposto na LSEN, o Regulamento (UE) 557/2013 da Comissão, de 17 de junho, aplicável à produção de estatísticas europeias, prevê um regime de maior aber- tura no acesso a dados com vista à realização de análises estatísticas para fins científi- cos, aplicável a todos os dados confidenciais transmitidos ao Eurostat. O Regulamento prevê que dados confidenciais para fins científicos, ou seja, dados que indiretamente permitem identificar as unidades estatísticas, possam ser acedidos, quando requeridos por um organismo de investigação reconhecido, sob compromisso de confidencialidade, sendo apresentada uma proposta de investigação para a qual os dados sejam perti- nentes, desde que a autoridade estatística nacional tenha dado o seu acordo37_{. O que} significa que, por esta via, se torna possível aceder a esta informação não anonimizada.

4.3. A anonimização dos dados é a forma que privilegiadamente tem tornado pos-

sível ultrapassar as dificuldades geradas pela proibição de divulgação da informação que dê a conhecer a identificação das unidades estatísticas (microdados), já que esta informa- ção, deixando de identificar, direta ou indiretamente, as unidades estatísticas individuais (nos casos mais comuns, retirando nome, números de identificação, data de nascimento, morada e outros dados distintivos), passa a não estar sujeita à disciplina mais rigorosa para dados individualizáveis38_{. A anonimização tem facilitado a divulgação ou cedência de} dados a terceiros, por exemplo, dentro de uma mesma organização, para fins diferentes da recolha, ou a favor de entidades externas, ou, ainda, para divulgação pública genérica.

36 _{No caso de pessoas coletivas privadas, nas situações já antes descritas.}

37 _{Artigo 3.º do Regulamento (EU) da Comissão 557/2013, de 17 de junho, relativo às estatísticas europeias}

no que diz respeito ao acesso a dados confidenciais para fins estatísticos. O estatuto e missão da entidade requerente, a sua experiência, reputação e qualidade científica, as condições de segurança físicas, técnicas e organizacionais, são, entre outros, requisitos relevantes a ter em conta.

38 _{Veja-se, sobre as técnicas de anonimização, o Parecer n.º 5/2014, do Grupo de Trabalho do Artigo 29.º da}

Diretiva 95/46/CE, consultado em 2 de janeiro de 2016, acessível: Opinion on anonymisation techniques, http://

ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp216_ en.pdf.. A evolução da tecnologia põe cada vez mais em causa a anonimização efetiva. Alertando para a impor- tância crescente da reidentificação, que traz significado acrescido à necessidade de análise das vantagens e desvantagens da cedência de dados: Ohm, P. (2010). Broken Promises of Privacy: Responding to the Surprising Failure of Anonymization, UCLA Law Review, 57, p. 1701; Sarmento e Castro, C., (2016). In Estudos em Homenagem ao Conselheiro Presidente Rui Moura Ramos, Vol. I, Coimbra: Almedina.

166

A consideração de que a anonimização é a panaceia para a identificação dos titulares dos registos estatísticos, protegendo-os, está bem patente na lei39_{. Assim, por} exemplo, a LSEN distingue entre “dados estatísticos individuais” (artigo 2º alínea c) da Lei n.º 22/2008, de 13 de maio), que direta ou indiretamente identificam a unidade esta- tística, incluindo dados pessoais (Lei n.º 67/98, de 26 de outubro), e “dados estatísticos individuais anonimizados” (artigo 2º alínea d) da Lei n.º 22/2008, de 13 de maio), in- cluindo dados pessoais anonimizados (a que também se refere a Lei n.º 67/98, de 26 de outubro). E retira consequências desta distinção, apenas autorizando, em muitos casos, que a informação estatística que serviu de base às estatísticas oficiais seja utilizada quando anonimizada.

Todavia, a anonimização, para ser efetiva, obriga à supressão de informação muito relevante, tornando a informação remanescente desinteressante, por exemplo do ponto de vista da investigação científica40_.

Acresce que, hoje, as técnicas que permitem a reversão eletrónica da anonimi- zação evoluíram enormemente. Significando que, para além do facto de a anonimização tornar a restante informação, em muitos casos, desinteressante e inútil, por outro lado, esta técnica é cada vez menos robusta e, assim, menor garante da privacidade procura- da41_{.Importa ter ainda em conta que, nos atuais tempos tecnológicos, por vezes, apenas} tem lugar uma “pseudonimização”, significando que o tratamento de dados assume uma forma tal que estes deixam de poder ser atribuídos a um titular de dados específico, sem recorrer a informações suplementares, sendo essas informações suplementares mantidas separadamente e sujeitas a medidas técnicas e organizativas para assegurar que os dados pessoais não possam ser atribuídos a uma pessoa singular identificada ou identificável.

Isto mostra que as exigências de anonimização cega (e, afinal, não necessa- riamente eficaz) deverão, dentro de algum tempo, ser substituídas pela urgência de en- contrar critérios que ponderem a necessidade de informação útil – por exemplo indis- pensável à investigação científica – e os custos para a privacidade, nomeadamente de reidentificação, obrigando ao reconhecimento dos riscos da utilização da informação identificativa42_.

Há, aqui, que fazer uma gestão de risco que sopese vantagens de acesso aos dados e perigo de utilização ilícita ou divulgação, obrigando a que se procure um equi- líbrio entre utilidade e segredo. Pesarão, naturalmente, as finalidades a prosseguir, a

39 _{E não só nesta matéria: a mesma solução é escolhida pela Diretiva 2003/98/CE, de 17 de novembro, alterada}

pela Diretiva 2013/37/EU, de 26 de junho, relativas à reutilização de informações do serviço público: quando tornada anónima, a informação pode ser processada sem obedecer às regras da proteção de dados.

40 _{Também neste sentido, Van Der Slot, B. (2011). Public Sector Information & Data Protection: a Plea for Per-}

sonal Privacy Settings for the Re-use of PSI, Informatica e Diritto, n.º 1 e 2, p. 233 e ss., em especial, p. 234.

41 _{Ohm, P. (2010). Broken Promises of Privacy: Responding to the Surprising Failure of Anonymization, UCLA}

Law Review, 57, p. 1742 e ss..

42 _{Encontramo-nos, segundo Ohm, na “the post-anonymization age”: Ohm, P. (2010). Broken Promises of Priva-}

167

sua legitimidade e as suas vantagens – como a utilização para fins científicos ou de reaproveitamento de informação pessoal pela Administração Pública, que merecem ser valorizadas. Mas, igualmente, o grau de fiabilidade das diferentes técnicas utilizadas nas operações de anonimização (desejavelmente, de acordo com as melhores práticas dis- poníveis no momento), o público-alvo da divulgação de dados (por exemplo, apenas uma unidade científica), a quantidade de dados libertados (e não apenas o tipo ou qualida- de), a probabilidade da existência de motivação para proceder à reidentificação (muitas vezes inexistente quando pura investigação científica; mas a merecer maior ponderação em caso de existirem interesses económicos), e a confiança que merecem os destinatá- rios dos dados43_.