ARTIGO 29.º - Grupo de Protecção de Dados Pessoais

Transcrição

1 ARTIGO 29.º - Grupo de Protecção de Dados Pessoais 12054/02/PT WP 69 Parecer 1/2003 sobre o armazenamento dos dados de tráfego para efeitos de facturação Adoptado em 29 de Janeiro de 2003 O Grupo de Trabalho foi instituído pelo artigo 29.º da Directiva 95/46/CE. É um órgão europeu independente, com carácter consultivo em matéria de protecção de dados e privacidade. As suas atribuições são definidas no artigo 30.º da Directiva 95/46/CE e no artigo 14.º da Directiva 97/66/CE. O secretariado é assegurado pela Direcção E (Serviços, propriedade intelectual e industrial, meios de comunicação social e protecção de dados), B-1049 Bruxelas, Bélgica, Gabinete n.º C100-6/136. Endereço Internet:

2 O GRUPO DE PROTECÇÃO DAS PESSOAS NO QUE DIZ RESPEITO AO TRATAMENTO DE DADOS PESSOAIS Instituído pela Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de , Tendo em conta o seu artigo 29.º e o n.º 1, alínea a), e o n.º 3 do seu artigo 30.º, e o n.º 3 do artigo 14.º da Directiva 97/66/CE do Parlamento Europeu e do Conselho, de 15 de Dezembro de 1997, Tendo em conta o seu regulamento interno, nomeadamente os seus artigos 12.º e 14.º, ADOPTOU O PRESENTE PARECER: 1. Introdução: 1.1 O presente parecer analisa a questão do período de armazenamento durante o qual os dados de tráfego decorrentes do fornecimento de comunicações electrónicas podem ser tratados para efeitos de facturação. No seu Parecer 7/2000 sobre a proposta da Comissão que culminou com a adopção da Directiva 2002/58/CE 2, o Grupo de Trabalho salientou que esta proposta de directiva não propunha qualquer harmonização do período durante o qual a factura pode ser legalmente contestada. O presente parecer pretende rever a Recomendação 3/99 3 que esboçava já alguma orientação sobre este assunto, em particular nos casos em que a factura tenha sido paga e não seja contestada e, assim, contribuir para a aplicação uniforme das directivas comunitárias sobre protecção dos dados, ajudando simultaneamente as companhias de telecomunicações, as autoridades nacionais 4 e os titulares dos dados. 1.2 Na União Europeia, a Directiva 95/46/CE harmoniza as condições que governam a protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais. 1 JO L 281 de , p. 31, disponível em : 2 Proposta de directiva do Parlamento Europeu e do Conselho relativa ao tratamento de dados pessoais e à protecção da privacidade no sector das comunicações electrónicas, de 12 de Julho de COM (2000) Recomendação 3/99 relativa à conservação dos dados referentes ao tráfego, por parte dos fornecedores de serviços Internet, para efeitos de aplicação da lei - O presente parecer deverá auxiliar as autoridades de protecção dos dados quando verificam se as medidas adoptadas pelos Estados-Membros estão em conformidade com as directivas de protecção dos dados ou quando são consultadas sobre as medidas administrativas nacionais em elaboração ou sobre a legislação em matéria de tratamento de dados de tráfego. Deverá ainda contribuir para ajudar os Estados-Membros na elaboração de medidas nacionais de implementação da Directiva 2002/58/CE. -2-

3 O artigo 6.º dessa directiva prevê que: 1. Os Estados-membros devem estabelecer que os dados pessoais serão (a) Objecto de um tratamento leal e lícito (e) Conservados de forma a permitir a identificação das pessoas em causa apenas durante o período necessário para a prossecução das finalidades para que foram recolhidos ou para que são tratados posteriormente. Os Estados-membros estabelecerão garantias apropriadas para os dados pessoais conservados durante períodos mais longos do que o referido, para fins históricos, estatísticos ou científicos. 2. Aplicação das directivas comunitárias no sector das telecomunicações e da protecção de dados 2.1 A Directiva 97/66/CE prevê a harmonização da legislação nacional dos Estados-Membros necessária para assegurar um nível de protecção equivalente dos direitos e liberdades fundamentais, em particular, o direito à privacidade no que toca ao tratamento dos dados pessoais no sector das telecomunicações, e para garantir a livre circulação desses dados e do equipamento e dos serviços de telecomunicações na Comunidade. O artigo 6.º da referida directiva define que : 1. Sem prejuízo do disposto nos n. os 2, 3 e 4, os dados do tráfego relativos aos utilizadores e assinantes tratados para estabelecer chamadas e armazenados pelo fornecedor de uma rede pública de telecomunicações e/ou serviço de telecomunicações acessível ao público devem ser apagados ou tornados anónimos após a conclusão da chamada. 2. Para efeitos de facturação dos assinantes e de pagamentos das interligações, podem ser tratados os dados indicados no anexo. O referido tratamento é lícito apenas até final do período durante o qual a factura pode ser legalmente contestada ou o pagamento reclamado. 2.2 A referida directiva será revogada em Novembro de 2003 pela Directiva 2002/58/CE, de 12 de Julho de 2002, relativa ao tratamento de dados pessoais e à protecção da privacidade no sector das comunicações electrónicas (directiva relativa à privacidade e às comunicações electrónicas) 5. O artigo 6.º da Directiva 2002/58/CE confirma a opção tomada na Directiva 97/66/CE e alarga o seu âmbito de aplicação ao contexto mais geral das comunicações electrónicas, estipulando que: «1.Sem prejuízo do disposto nos n. os 2, 3 e 5 do presente artigo e no n.º 1 do artigo 15.º, os dados de tráfego relativos a assinantes e utilizadores tratados e armazenados pelo fornecedor de uma rede pública de comunicações ou de um 5 JO L 201 de 31 de Julho de

4 serviço de comunicações electrónicas publicamente disponíveis devem ser eliminados ou tornados anónimos quando deixem de ser necessários para efeitos da transmissão da comunicação. 2. Podem ser tratados dados de tráfego necessários para efeitos de facturação dos assinantes e de pagamentos de interligações. O referido tratamento é lícito apenas até final do período durante o qual a factura pode ser legalmente contestada ou o pagamento reclamado». 2.3 Na sua Recomendação 3/99, o Grupo de Trabalho do artigo 29.º relembrou a obrigação, nos termos do artigo 6.º da Directiva 97/66/CE, de apagar ou tornar anónimos os dados de tráfego após a conclusão da chamada (n.º 1 do artigo 6.º). O Grupo de Trabalho explicou que "isto resulta da sensibilidade dos dados de tráfego que revelam perfis individuais de comunicação, incluindo fontes de informação e localizações geográficas do utilizador de telefones fixos ou móveis e os riscos potenciais para a privacidade resultantes da recolha, divulgação ou usos posteriores desses dados." Finalmente, o Grupo de Trabalho relembrou que o n.º 2 do artigo 6.º prevê uma excepção ao tratamento de dados de tráfego, com o objectivo de estabelecer as facturas dos assinantes e permitir efectuar pagamentos de interligação, que considera "lícito apenas até final do período durante o qual a factura pode ser legalmente contestada ou o pagamento reclamado". 2.4 O n.º 2 do artigo 6.º da Directiva 97/66/CE (e o n.º 2 do artigo 6.º da Directiva 2002/58/CE) devem ser interpretados em conformidade com os objectivos das directivas gerais e específicas. O considerando 10 da Directiva 95/46/CE estipula que: (10) Considerando que o objectivo das legislações nacionais relativas ao tratamento de dados pessoais é assegurar o respeito dos direitos e liberdades fundamentais, nomeadamente do direito à vida privada, reconhecido não só no artigo 8º da Convenção europeia para a protecção dos direitos do Homem e das liberdades fundamentais como nos princípios gerais do direito comunitário; que, por este motivo, a aproximação das referidas legislações não deve fazer diminuir a protecção que asseguram, devendo, pelo contrário, ter por objectivo garantir um elevado nível de protecção na Comunidade; 2.5 O n.º 5 do artigo 6.º da Directiva 2002/58/CE (e o n.º 4 do artigo 6.º da Directiva 97/66/CE) refere que "O tratamento de dados de tráfego, em conformidade com o disposto nos n. os 1 a 4, (...) será limitado ao necessário para efeitos das referidas actividades". O considerando 17 da Directiva 97/66/CE contribui para a interpretação particular do n.º 2 do artigo 6.º (ver ainda considerando 26 da Directiva 2002/58/CE): "(17) Considerando que os dados relativos aos assinantes tratados para estabelecer chamadas contêm informações sobre a vida privada das pessoas singulares e afectam o seu direito à privacidade das comunicações ou os legítimos interesses das pessoas colectivas; que esses dados apenas podem ser armazenados na medida do necessário para a oferta do serviço para efeitos de facturação e de pagamentos de interligação, e por um período limitado; que quaisquer outros tratamentos que o fornecedor do serviço de telecomunicações acessível ao -4-

5 público possa querer efectuar para a comercialização dos seus próprios serviços de telecomunicações só podem ser autorizados se o assinante tiver com isso concordado e na base de informações completas e exactas do fornecedor do serviço de telecomunicações acessível ao público sobre os tipos de tratamento posterior que pretenda efectuar;" 2.6 Parece claro, nestes considerandos, que os dados armazenados para fins de facturação e para permitir efectuar pagamentos de interligação só devem ser armazenados durante um período limitado, não devendo ser retidos por rotina durante longos períodos, tal como se acentua também na Recomendação 3/99 do Grupo de Trabalho. Assim sendo, a questão que se coloca é a de saber quanto tempo podem os dados de tráfego pessoais ser retidos para "efeitos de facturação e de pagamentos de interligação" especialmente nos casos em que a factura tenha sido paga sem ter sido contestada. 2.7 Os diferentes sistemas legais dos Estados-Membros contemplam várias medidas no direito dos contratos relativas ao período em que podem ser iniciadas acções. Estes períodos são por vezes usados para definir o limite máximo de armazenamento dos dados quando uma factura for contestada ou o pagamento reclamado. Contudo, esta disposição deve ser aplicada em conformidade com o princípio de que o tratamento de dados pessoais se deve restringir ao necessário para cumprir os objectivos da recolha e do tratamento posterior dos dados. Na grande maioria dos casos as facturas são pagas no prazo previsto. Na opinião do Grupo de Trabalho, a aplicação do princípio da proporcionalidade e o facto de que, de acordo com o n.º 2 do artigo 6.º da Directiva 97/66/CE (e n.º 2 do artigo 6.º da Directiva 2002/58/CE), os dados de tráfego só possam ser tratados "até final do período durante o qual a factura pode ser legalmente contestada ou o pagamento reclamado devem ser objecto da seguinte interpretação: Os dados de tráfego devem ser armazenados durante o tempo necessário ao pagamento de facturas e à resolução de litígios. Regra geral, isto envolve um período máximo de armazenamento de 3 a 6 meses em casos em que as facturas tenham sido pagas sem que tenham sido objecto de reclamação ou litígio (tendo em conta o direito à privacidade dos assinantes) 6. Em casos particulares de litígio ou reclamação, os dados poderão ser armazenados durante mais tempo para facilitar o pagamento da factura. Mesmo no caso em que o pagamento é efectuado, um período mais longo de armazenamento pode justificar-se excepcionalmente se houver indicação concreta de que está para surgir um litígio ou uma reclamação. Neste tipo de situações, convém considerar os períodos de armazenamento em função das condições 6 Ver em particular a situação grega nesta matéria. De acordo com uma decisão do comité nacional grego de telecomunicações e correios (EETT) (seguido de uma decisão positiva da autoridade grega de protecção dos dados), os assinantes podem recorrer à possibilidade de pedir ao fornecedor que elimine os dados de tráfego de que são titulares, na condição de o assinante não reclamar o pagamento depois disso. Nesse caso, o fornecedor é obrigado a eliminar os dados de tráfego independentemente do período previsto na lei para esse efeito. -5-

6 particulares de cada caso, para permitir a resolução dos litígios em curso. O limite máximo destes períodos mais longos são os estabelecidos na legislação nacional 7. O período de referência deve começar a contar a partir da data em que os dados de tráfego já não são necessários para efeitos de transmissão de comunicações, de acordo com o artigo 6.º da Directiva 97/66/CE (ou da Directiva 2002/58/CE) 8. O momento exacto da conclusão da transmissão de uma comunicação pode depender do tipo de serviço de comunicação electrónica fornecido O Grupo de Trabalho deseja sublinhar que, tal como foi dito, de acordo com o artigo 6.º da Directiva 95/46/CE e o n.º 4 do artigo 6.º da Directiva 97/66/CE (além do n.º 5 do artigo 6.º da Directiva 2002/58/CE), os dados de tráfego armazenados devem ser limitados ao «necessário». Só os dados adequados, pertinentes e não excessivos em relação com os objectivos de facturação e de pagamentos de interligações podem ser tratados (princípio da proporcionalidade do tratamento dos dados). Entre outras coisas, isto implica que, se não há facturação relativamente a certos tipos de comunicações, os dados de tráfego não possam ser tratados para este fim. O Grupo de Trabalho sublinha que a Directiva 2002/58/CE institui um regime unificado para todos os dados abrangidos pela definição de "dados de tráfego" (ver a alínea a) do n.º 2 do artigo 2.º da Directiva 2002/58/CE). De acordo com o princípio da proporcionalidade do tratamento dos dados referido no anterior parágrafo, caberá aos Estados-Membros e, consoante o caso, às autoridades nacionais de controlo, no âmbito das respectivas competências, tomar as medidas necessárias em função das diferentes categorias de dados de tráfego aquando da implementação da Directiva 2002/58/CE. Neste contexto, deve ser tida particular atenção para evitar o armazenamento durante longos períodos de dados de tráfego que não são necessários para efeitos de facturação ou de pagamentos de interligações. Deve também ser dada especial atenção às implicações dos sistemas de comunicação inteiramente baseados em taxas fixas. 3. Tratamento de dados pessoais para efeitos fiscais O Grupo de Trabalho está ao corrente de que, muitas vezes, os responsáveis pelo tratamento invocam finalidades relacionadas com a fiscalidade para justificar longos períodos de armazenamento dos dados. As razões fiscais estão de facto relacionadas com as de facturação. Contudo, e conquanto possa ser necessário que os responsáveis pelo tratamento mantenham uma prova do pagamento durante vários anos, incluindo montantes de facturação agregados, para efeitos de fiscalidade, esta necessidade não deve alargar-se aos dados de tráfego subjacentes às contas telefónicas. Em linha com o artigo 6.º da Directiva 97/66/CE (e com o artigo 6.º da Directiva 2002/58/CE), esta necessidade só pode justificar o tratamento de montantes de facturação agregados mas não justifica o tratamento dos dados de tráfego em que se baseiam as facturas de comunicação. 4. Recomendação 7 Em países como a Irlanda e o Reino Unido, o período é de seis anos. 8 A formulação usada na Directiva 97/66/CE foi modificada na Directiva 2002/58/CE por forma a ter em conta os vários tipos de serviços de comunicação electrónicos. 9 Ver considerando 27 da Directiva 2002/58/CE. -6-

7 4.1 Há algumas indicações de que existem divergências na prática entre as companhias de telecomunicações dos Estados-Membros, no que respeita aos períodos de armazenamento de dados de tráfego. O Grupo de Trabalho considera que as práticas que desrespeitam os princípios estabelecidos nos pontos 2.7 e 2.8 supra, e que não são claramente autorizadas pelas medidas legislativas previstas no artigo 14.º da Directiva 97/66/CE (e no artigo 15.º da Directiva 2002/58/CE) 10 são, prima facie, incompatíveis com os requisitos da legislação europeia em matéria de protecção de dados. 4.2 Assim, é importante que sejam tomadas medidas para interpretar de uma maneira harmonizada o período limitado durante o qual os fornecedores de serviços de telecomunicações estão autorizados a tratar dados de tráfego para efeitos de facturação e pagamentos de interligações. De acordo com o princípio estabelecido no ponto 2.7, o Grupo de Trabalho considera que uma interpretação razoável das directivas sobre protecção de dados deveria prever, regra geral, um período máximo de armazenamento dos dados para efeitos de facturação de 3 a 6 meses, com excepção de casos particulares de litígio em que os dados podem ser tratados durante mais tempo. Além disso, só os dados de tráfego adequados, pertinentes e não excessivos para efeitos de facturação e pagamentos de interligações poderão ser tratados. Os restantes dados de tráfego deverão ser eliminados. Feito em Bruxelas, 29 de Janeiro de 2003 Pelo Grupo de Trabalho O Presidente Stefano RODOTA 10 Segundo o artigo 14.º da Directiva 97/66/CE, os Estados-Membros podem adoptar medidas legislativas para restringir o âmbito das obrigações e direitos estabelecidos noutras disposições da directiva, incluindo o artigo 6.º relacionado com os dados de tráfego, sempre que essas restrições constituam uma medida necessária para salvaguardar a segurança do Estado, a defesa, a segurança pública, a prevenção, investigação, detecção e repressão de infracções penais ou da utilização não autorizada do sistema de telecomunicações. O artigo 15.º da Directiva 2002/58/CE não altera o sentido desta medida, uma vez que refere que as restrições devem ser necessárias, adequadas e proporcionadas numa sociedade democrática e acrescenta que os Estados-Membros também podem, inter alia, adoptar medidas legislativas que prevejam a retenção de dados por um período limitado justificado com base nos motivos referidos no n.º 1 do artigo 15.º e, ainda, que as medidas aí referidas deverão estar em conformidade com os princípios gerais da legislação comunitária, incluindo os referidos no n.º 1 e no n.º 2 do artigo 6.º do Tratado da União Europeia. Ver sobre este aspecto o Parecer 5/2002 do Grupo de Trabalho relativo à Declaração dos Comissários Europeus para a Protecção dos Dados na Conferência Internacional de Cardiff (9-11 de Setembro de 2002) sobre a conservação sistemática obrigatória dos dados relativos ao tráfego de telecomunicações, onde se declara que a retenção sistemática de todos os tipos de dados de tráfego por períodos de um ano ou mais é claramente desproporcionada e, por isso mesmo, inaceitável numa sociedade democrática. -7-