Elemento objetivo: objeto regulatório

1.4.1.2.1. Os conceitos de “tratamento” e de “dados pessoais”

A amplitude deste regime decorre também da opção legislativa de delimitação do objeto regulado. Com efeito, tal como a Diretiva554, o RGPD consagra definições compreensivas de “tratamento de dados pessoais” ou, simplesmente, “tratamento” (“operação ou um conjunto de operações efetuados sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição”)555 e de “dados pessoais” (“informação relativa a uma pessoa singular identificada ou identificável (‘titular dos dados’); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos de identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular”)556.

Como sustentou o TJ no caso Nowak, “o emprego da expressão ‘qualquer informação’ no âmbito da definição do conceito de ‘dado pessoal’ (...) reflete o objetivo do legislador da União de atribuir um sentido amplo a esse conceito, que não está limitado

554 _{Art. 2.º, alíneas a) e b): “’Dados pessoais’, qualquer informação relativa a uma pessoa singular}

identificada ou identificável (“pessoa em causa”); é considerado identificável todo aquele que possa ser identificado, direta ou indiretamente, nomeadamente por referência a um número de identificação ou a um ou mais elementos específicos da sua identidade física, fisiológica, psíquica, económica, cultural ou social” e “’tratamento de dados pessoais’ (“tratamento”), qualquer operação ou conjunto de operações efetuadas sobre dados pessoais, com ou sem meios automatizados, tais como a recolha, registo, organização, conservação, adaptação ou alteração, recuperação, consulta, utilização, comunicação por transmissão, difusão ou qualquer outra forma de colocação à disposição, com comparação ou conexão, bem como o bloqueio, apagamento ou destruição”.

555 _{Art. 4.º, n.º 2.}

556 _{Art. 4.º, n.º 1. Desenvolvendo este conceito, v. G29, “Parecer 4/2007 sobre o conceito de dados}

pessoais”, 20 de junho de 2007 e, entre nós, António Menezes CORDEIRO, “Dados pessoais: conceito,

extensão e limites”, Centro de Investigação de Direito Privado da FDUL, 2018, disponível em

às informações sensíveis ou de ordem privada, mas engloba potencialmente qualquer tipo de informações, tanto objetivas como subjetivas sob forma de opiniões ou de apreciações, na condição de ‘dizerem respeito’ à pessoa em causa”557. Em sentido semelhante, o Advogado-Geral JAASKINEN observou que o âmbito de aplicação deste regime é

“surpreendentemente vasto” e as suas definições “amplas” assim abrangendo um largo leque de situações de facto para acautelar ao máximo as incertezas do desenvolvimento tecnológico558.

1.4.1.2.2. Transversalidade

Ainda no que respeita ao objeto regulado, sublinho uma outra opção legislativa distintiva: a transversalidade da matéria regulada, ou seja, regulam-se os tratamentos de dados pessoais independentemente da sua especificidade, da tecnologia em causa, do setor económico ou da sensibilidade da área559. Contudo, esta transversalidade não é absoluta.

O objeto deste trabalho restringe-se ao regime geral, distinto dos regimes especiais que com aquele convivem no ordenamento jurídico da UE. Os mais importantes são os seguintes:

(i) As telecomunicações eletrónicas, reguladas pela Diretiva e-Privacy, em processo de revisão na data em que escrevo560_;

(ii) A Diretiva sobre tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais que constitui, na descrição do SEPD, um instrumento que “vale por si”561;

557 _{Acórdão do TJ, Peter Nowak c. Data Protection Commissioner, C-434/16, 20 de dezembro de 2017, n.º}

34.

558 _{Conclusões do AG no Acórdão do TJ, Google Spain SL e Google Inc. c. Agencia Española de Protección}

de Datos (AEPD) e Mario Costeja González, C-131/12, apresentadas em 25 de junho de 2013, n.º 29 e 30. Criticando esta amplitude, v. L. BERGKAMP, “The Privacy ...” cit., p. 31 e 42.

559 _{A. NEWMAN, Protectors of Privacy cit., p. 23; O. ESTADELLA-YUSTE, “The Draft Directive…” cit., p.}

22; P. SCHWARTZ e D. SOLOVE, Information cit., p. 1.

560 _{Diretiva 2002/58/CE do PE e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados}

pessoais e à proteção da privacidade no setor das comunicações eletrónicas.

(iii) os tratamentos de dados pessoais realizados pelas instituições europeias562;

(iv) Outros domínios cuja regulação cabe ao Estado-Membro, como a liberdade de expressão e de informação (art. 85.º do RGPD), o acesso do público a documentos oficiais (art. 86.º do RGPD), o número de identificação nacional (art. 87.º do RGPD), o contexto laboral (art. 88.º do RGPD), fins de arquivo de interesse público, de investigação científica ou histórica, fins estatísticos (art. 89.º do RGPD), obrigações de sigilo (art. 90.º do RGPD) e igrejas e associações religiosas (art. 91.º do RGPD).

Por conseguinte, em bom rigor, dir-se-á que na UE vigora um regime geral e vários regimes setoriais. Mais uma vez o contraponto encontra-se do outro lado do Atlântico onde não existe qualquer regime geral, mas vários regimes específicos. Na década de 70, a Privacy Protection Study Commission, criada no quadro do Privacy Act, concluiu que “ao invés de adotar normas gerais, a regulação do setor privado deve restringir-se a setores sensíveis”563_{. Desde então foram adotados vários diplomas setoriais, como por} exemplo o Video Privacy Protection Act, de 1988564_.

1.4.2. As imposições para os utilizadores de dados pessoais: princípios, obrigações e direitos do titular dos dados pessoais

A proteção prevista neste corpo de normas materializa-se num conjunto de

imposições, dirigidas essencialmente ao causador de risco ou RT, que conformam a sua

liberdade de reger a respetiva organização e a sua atividade565. Ou, dito de outro modo, os tratamentos de dados pessoais são permitidos desde que realizados com respeito por um conjunto de condições566. Estas visam prosseguir e concretizar a vocação primordial da ação regulatória deste regime manifestada de forma contundente no RGPD:

562 _{Regulamento 45/2001, do PE e do Conselho, de 18 de dezembro de 2000, relativo à proteção das pessoas}

singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados.

563 _{A. NEWMAN, Protectors of Privacy cit., p. 60.}

564 _{Entre outros, v. A. SousaPINHEIRO, Privacy e proteção, cit., p. 477 e ss..} 565 _{Como referi só algumas obrigações são dirigidas ao subcontratante.}

566 _{Daí quem invoca um “efeito legitimador” dos tratamentos de dados pessoais por via do cumprimento}

destas condições (O. LYNSKEY, The Foundations of cit., p. 35) e, por seu turno, quem enfatiza que não há

uma proibição de tratar dados pessoais (Winfried VEIL, “DS-GVO: Risikobasierter Ansatz statt rigidez

Verbotsprinzip – Eine erste Bestandsaufnahme”, Zeitschrift fur Datenschutz, vol. 5, n.º 8, 2015, p. 347 e ss.).

“persuadir”, “incentivar”, “instigar” uma governação responsável dos dados pessoais567,

orientar “uma mudança de atitude” na gestão daqueles dados568tendo em vista a tutela do titular dos dados pessoais.

Simultaneamente, findo o controlo prévio dos tratamentos de dados pessoais, pelas razões enunciadas no já mencionado considerando 89, o controlo dos mesmos como que é descentralizado e, em grande medida, delegado nos utilizadores de dados pessoais por via da ativação da respetiva quota de responsabilidade na proteção dos direitos fundamentais o que, na prática, se deve refletir em medidas internas concretas. Uma governação responsável passará pelo respeito por um conjunto de princípios e pelo cumprimento de obrigações (1.4.2.1), das quais saliento a obrigação de facilitar o exercício dos direitos do titular dos dados pessoais (1.4.2.2).

1.4.2.1. Os princípios relativos ao tratamento de dados pessoais, em especial o princípio da responsabilidade

Em larga medida inspirada pela Convenção n.º 108569, a Diretiva elencava no art. 7.º os “princípios relativos à legitimidade do tratamento de dados” que aparecem agora no art. 5.º do RGPD sob a designação “princípios relativos ao tratamento de dados pessoais”. Descritos como a “espinha dorsal” 570 da proteção de dados pessoais, entre eles contam- se: licitude, lealdade e transparência (art. 5.º, n.º 1, al. a) e art. 6.º); limitação das finalidades (art. 5.º, n.º 1, al. b)); minimização dos dados (art. 5.º, n.º 1, al. c)); exatidão (art. 5.º, n.º 1, al. d)); limitação da conservação (art. 5.º, n.º 1, al. e)); integridade e confidencialidade (art. 5.º, n.º 1, al. f)); e responsabilidade (art. 5.º, n.º 2).

Alguns destes princípios são concretizados noutras disposições. Por exemplo, o princípio da licitude significa que todos os tratamentos de dados pessoais se devem ancorar, sob pena de ilicitude (art. 5.º, n.º 1, alínea a) e art. 6.º do RGPD), num conjunto

567 _{As expressões são do G29, “Parecer 3/2010 ...” cit., p. 5 e 6.} 568 _{L. ÁLVAREZ, “La responsabilidade ...” cit., p. 293.}

569 _{Comissão Europeia, “Handbook on Cost Effective Compliance with Directive 95/46/EC”, Anexo ao}

“Annual Report 1998 (XV D/5047/98) of the Working Party Established by Article 29 of the Directive 95/46/EC”, 1998, p. 18, disponível em http://ec.europa.eu/justice/data- protection/document/studies/files/19971001_ida_handbook_en.pdf, consultado no dia 30 de setembro de 2018.

570 _{ICO, “Information Commissioner’s Office: Initial Analysis of the European Commission’s Proposals}

for a Revised Data Protection Legislative Framework”, 27 de fevereiro de 2012, p. 8, disponível em

https://wiki.laquadrature.net/images/1/12/Ico_initial_analysis_of_revised_eu_dp_legislative_proposals.pd f, consultado no dia 30 de setembro de 2018.

taxativo de “condições de licitude” ou fundamentos do tratamento: o consentimento do titular dos dados, a execução de um contrato ou de diligência pré-contratuais com o titular dos dados, o cumprimento de uma obrigação jurídica, a defesa de interesses vitais, o exercício de funções de interesse público ou exercício de autoridade pública, interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiro571. Já o princípio da transparência implica que “deverá ser transparente para as pessoas singulares que os dados pessoais que lhes dizem respeito são recolhidos, utilizados, consultados ou sujeitos a qualquer outro tipo de tratamento e a medida em que os dados pessoais são ou virão a ser tratados”572. Visa, por conseguinte, implementar uma relação de transparência entre quem trata os dados pessoais e o titular dos mesmos que depende, entre outros aspetos, da prestação de informações nos termos dos artigos 12.º e ss..

Sem prejuízo de não representar uma grande novidade, a arquitetura de um sistema baseado no princípio da responsabilidade foi instigada pelo G29573 . Como tive ocasião de explicar, o princípio da responsabilidade assume particular importância no seguimento da abolição do controlo prévio dos tratamentos de dados pessoais com o RGPD. Na verdade, a introdução deste princípio corporiza uma descentralização do controlo dos tratamentos de dados, antigamente concentrado na autoridade de controlo e, no fundo, viabiliza uma autorização prévia generalizada à realização de tratamentos de dados pessoais que prosseguirão de acordo com uma boa governação ou uma governação responsável574. Este princípio dá corpo a uma obrigação geral, plasmada no art. 24.º do RGPD, que reflete a tal ativação da quota de responsabilidade do RT no qual é delegado o dever de proteger os “direitos e liberdades das pessoas singulares relativamente ao tratamento dos seus dados”575. Só quando aqueles adaptam as suas práticas internas é que essa proteção pode “passar da teoria à prática” – o que se tornou um imperativo em face

571 _{O G29 adotou várias orientações sobre estes fundamentos das quais destaco as seguintes: “Parecer}

06/2014 sobre o conceito de interesses legítimos do responsável pelo tratamento de dados na aceção do artigo 7.º da Diretiva 95/46/CE”, 9 de abril de 2014 e “Guidelines on consent under Regulation 2016/679”, 10 de abril de 2018.

572 _{Considerando 39 e G29, “Guidelines on transparency under Regulation 2016/679”, 11 de abril de 2018.} 573 _{Há exemplos da sua presença na Diretiva, em especial no art. 6.º, n.º 2, que refere que “incumbe ao}

responsável pelo tratamento assegurar a observância do disposto no n.º 1”, isto é, dos princípios relativos à qualidade dos dados ali enunciados; bem como no art. 17.º, n.º 1, que exige do RT a aplicação de medidas de natureza técnica e organizacional. Além do mais existe noutros domínios, como dos serviços financeiros, nos quais vigora uma obrigatoriedade de conformidade, v. G29, “Parecer 3/2010 ...” cit., p. 8. A primeira proposta encontra-se em G29, “The Future of Privacy. Joint contribution on the Consultation of the European Commission on the legal Framework for the fundamental right to protection of personal data”, 1 de dezembro de 2009, n.ºs _{74 a 79. Remeto para este documento o detalhe sobre os precedentes deste}

princípio, em especial a OCDE, o Canadá e o quadro jurídico da APEC.

574 _{G29, “Parecer 3/2010 ...” cit., p. 16.}

da multiplicação dos riscos dos tipos de tratamentos dos dados pessoais no contexto de novas tecnologias e da globalização da economia576.

Num parecer de 2010, o G29 enunciava três questões em torno deste princípio577: quais as medidas que concretizam a sua aplicação (1.4.2.1.1)? Como proporcionar e adaptar as medidas a circunstâncias específicas (1.4.2.1.2)? Quais as desvantagens desta nova abordagem (1.4.2.1.3)? Nos três pontos que se seguem procuro as respostas a estas questões vertidas no RGPD.

1.4.2.1.1. Quais as medidas de responsabilidade?

No RGPD o legislador não se limitou a proclamar, de forma genérica, o princípio da responsabilidade, mas desdobrou-o num conjunto de medidas concretas e práticas, em certas circunstâncias obrigatórias, de índole técnica e/ou organizativa.

Na prática, criou-se uma “caixa de ferramentas” para o RT implementar aquele princípio578. Entre essas ferramentas contam-se as seguintes:

(i) A adoção de políticas de proteção de dados a disponibilizar aos titulares dos dados pessoais579 e de medidas técnicas, como a pseudonimização ou o controlo de acessos, para assegurar a “proteção de dados desde a conceção” e “por defeito”580;

(ii) O recurso a subcontratantes que “apresentem garantias suficientes”581_;

(iii) O mapeamento das operações de tratamento, registando-as e gerindo um inventário das mesmas582;

(iv) A designação de um encarregado de proteção de dados pessoais583;

576 _{G29, “Parecer 3/2010 ...” cit., p. 3, 4 e 20.} 577 _{Idem, p. 12.} 578 _{G29, “Parecer 3/2010 ...” cit., p. 13.} 579 _{Art. 24.º, n.º 2 e art. 12.º e ss. do RGPD.} 580 _{Art. 25.º do RGPD.} 581 _{Art. 28.º do RGPD.}

582 _{Art. 30.º do RGPD. Este registo é relevante para efeito de verificação da conformidade com o RGPD,}

v. F. CALVÃO, Direito cit., p. 62.

(v) A criação de procedimentos para o exercício dos direitos do titular dos dados584;

(vi) A elaboração de um plano de resposta que estabeleça as diretrizes de atuação, os procedimentos para a gestão, documentação e comunicação das violações de dados pessoais585;

(vii) A realização de avaliações de impacto sobre a proteção de dados586;

(viii) A aplicação e o controlo de procedimentos de verificação destinados a assegurar que as medidas existem não só no papel, mas que foram implementadas e funcionam na prática (auditorias internas ou externas)587;

(ix) A implementação de medidas técnicas para garantir a segurança dos dados pessoais, como a pseudonimização ou a cifragem588_;

(x) A realização periódica de programas de formação, educação e sensibilização entre os colaboradores, com o intuito de compreender melhor a legislação aplicável assim como os procedimentos estabelecidos pelo RT para esse fim589;

(xi) A cooperação com a autoridade de controlo em geral e nos termos da consulta prévia590.

Sem prejuízo de me repetir, sublinho que a quota de responsabilidade que recai sobre o RT é distinta da que recai sobre o ST, excluído do art. 24.º, do RGPD, mas vinculado por um conjunto mais limitado de obrigações.

584 _{Art. 12.º, n.º 2 do RGPD. Voltarei a este ponto adiante.} 585 _{Artigos 33.º e 34.º do RGPD.} 586 _{Artigos 35.º e 36.º do RGPD.} 587 _{G29, “Parecer 3/2010 ...” cit., p. 13.} 588 _{Art. 32.º do RGPD.} 589 _{G29, “Parecer 3/2010 ...” cit., p. 13.} 590 _{Artigos 31.º e 36.º do RGPD.}

1.4.2.1.2. A adaptabilidade das medidas de responsabilidade

O RGPD não impõe o cumprimento, sem mais, de todas estas medidas, antes criando vários níveis de responsabilidade591_{. Algumas delas são elementos-chave impostos a}

todos os responsáveis pelo tratamento como é o caso, por exemplo, da criação de

procedimentos para o exercício dos direitos do titular dos dados592, da obrigação em relação à escolha de subcontratantes593, da obrigação de cooperar com a autoridade de controlo594 e, particularmente relevante, da obrigação geral de fazer uma “gestão adequada dos riscos” decorrentes do tratamento595. Como notou o G29, “por forma a gerir os riscos para os direitos e liberdades das pessoas singulares, os riscos têm de ser identificados, analisados, estimados, avaliados, tratados (p. ex. atenuados) e revistos regularmente”596.

Outras medidas, como a segurança dos tratamentos, a notificação e a comunicação de uma violação de dados, a realização de uma avaliação de impacto e a consulta prévia ou a designação de um encarregado da proteção de dados, são aplicáveis “em função dos factos e das circunstâncias de cada caso”597 atendendo, por exemplo, às “técnicas mais avançadas” e aos “custos da sua aplicação”598, à “natureza, âmbito, contexto e finalidades do tratamento dos dados, bem como o risco que possa implicar para os direitos e liberdades das pessoas”599 ou ao “elevado risco”600 apurado casuisticamente. Por seu turno, a dimensão da organização poderá, em certas situações, conformar a obrigação de criar um registo das atividades de tratamento como, aliás, esclareceu o G29, invocando o considerando 13 do RGPD601_.

Ou seja, a quota de responsabilidade de cada RT não cabe toda na mesma bitola porquanto a diversidade, a inconstância e o policentrismo do risco dos tratamentos de

591 _{L. ÁLVAREZ, “La responsabilidade ...” cit., p. 288 e G29, “Statement on the role …” cit., p. 3.} 592 _{Art. 12.º, n.º 2 do RGPD. Volto a este ponto adiante.}

593 _{Art. 28.º do RGPD.} 594 _{Art. 31.º do RGPD.}

595 _{G29, “Orientações relativas ...” cit., p. 7.} 596 _Ibidem.

597 _{G29, “Parecer 3/2010 ...” cit., p. 14.} 598 _{Artigos 25.º e. 32.º do RGPD.}

599 _{Considerando 74 do RGPD e artigos 24.º, 25.º, 32.º, 33.º, 35.º.}

600 _{Artigos 34.º, 35.º e 36.º do RFPD. Com efeito, a graduação do risco tem consequências legais, v. M.}

GRAFENSTEIN, The Principle cit., p. 80 e W. VEIL, “DS-GVO ...” cit., p. 351 e 352.

601 _{Art. 30.º, n.º 5 do RGPD e G29, “Working Party 29 Position Paper on the derogations from the obligation}

to maintain records of processing activities pursuant to Article 30 (5) GDPR”, 19 de abril de 2018. O considerando 13 in fine incentiva os Estados-Membros e as autoridades de controlo a “tomar em consideração as necessidades específicas das micro, pequenas e medias empresas no âmbito de aplicação do presente regulamento”.

dados in casu inviabilizam a sua redução a um denominador comum, quer quanto aos limites, quer quanto a critérios de imputação de responsabilidade. Já aludi à opinião do G29 sobre o papel do risco na proteção de dados pessoais, descrevendo-o como uma solução para incutir proporcionalidade no cumprimento das medidas obrigatórias602. Por conseguinte, estas medidas, em especial a obrigação geral de gerir adequadamente o risco, serão adaptadas à situação e circunstâncias de cada RT603.

1.4.2.1.3. As desvantagens de um sistema assente no princípio da responsabilidade O G29 reconheceu que conjugar o princípio da responsabilidade com a lógica do risco incute flexibilidade na aplicação das soluções normativas, promove o “uso de linguagem aberta”, gera insegurança jurídica quanto à conformidade exigida (v.g. “quando e como nomear um encarregado de proteção de dados, quando devem organizar sessões de formação”) e origina “interpretações nacionais arbitrárias e divergentes sobre o âmbito e a natureza das obrigações”604.

Contudo, o caminho para a conformidade de cada RT não poderia ser hermeticamente fixado pelo legislador numa fórmula mágica: “uma abordagem única obrigaria os responsáveis pelo tratamento a adotar estruturas inadequadas e, por fim, acabaria por falhar”605. Grandes organizações ou até pequenas ou médias que efetuem operações de tratamento que gerem mais riscos para os titulares dos dados pessoais devem aplicar medidas mais rigorosas por contraponto com organizações com menor risco606_{. A} conformidade será sempre casuística e contextual ou, como sustentou o G29: “a adequação das medidas terá de ser decidida caso a caso. Incumbe aos responsáveis pelo tratamento tomar essas decisões, tendo por base as diretrizes emitidas pelas autoridades nacionais de proteção de dados e pelo Grupo de trabalho do artigo 29.º”607.

Cabe a estas entidades compensar o clima de insegurança pela adoção de orientações608. O G29 sugeriu, inclusive, o desenvolvimento de “um modelo de programa

de conformidade dos dados, que podia ser utilizado por organizações de média e de

grande dimensão como elemento de base para a conceção dos seus programas

602 _{G29, “Statement on the …” cit., p. 2 e ss..} 603 _{G29, “Parecer 3/2010 ...” cit., p. 21.} 604 _{Idem, p. 15.} 605 _{Idem, p. 14.} 606 _Ibidem. 607 _Ibidem. 608 _{G29, “Parecer 3/2010 ...” cit., p. 15.}

específicos”609. No mesmo sentido, mais recentemente, a COM apelou a um esforço concertado entre as autoridades de controlo, Estados-Membros e utilizadores de dados pessoais, na implementação do RGPD610. Em especial, compete às primeiras, além de um papel pedagógico de clarificação da aplicação das regras, a promoção do diálogo e de uma cultura de comunicação com os utilizadores de dados pessoais. Este é um ponto reiterado por alguns autores que, à luz do tipo de abordagem regulatória, instigadora de novos comportamentos, defendem que a supervisão deverá assentar na cooperação e na

conversação entre os utilizadores de dados pessoais e as autoridades de controlo: “a

discussão contínua entre reguladores e regulados, no sentido da sua orientação para a conformidade, em detrimento do sancionamento agressivo, será o modo mais eficaz para maximizar o cumprimento de sistemas regulatórios complexos e imprecisos como este” 611_{. Em muitos Estados, como por exemplo na Áustria, é essa a postura das autoridades} de controlo612.

Igualmente relevantes são as orientações retiradas dos procedimentos de certificação