Parecer n.º 02/P/2008/GPDP Assunto: Pedidos de fornecimento dos dados de cliente do hotel por parte do Serviço Competente A à Companhia B A Companhia B vem pedir a nossa opinião sobre a situação de que, para as finalidades de investigação, o Serviço Competente A (abaixo simplesmente tratado por Serviço A) lhe solicitou o fornecimento de dados de cliente do hotel. Segundo informação fornecida pela Companhia B, os dados pessoais de cliente do hotel que o Serviço A solicitou incluem: os dados de registos constantes no hotel relativo aos clientes, a fotocópia dos documentos do bilhete de identificação, o modo de pagamento, a preferência dos clientes e os serviços prestados. Nos termos da alínea 1) do n.º 1 do artigo 4.º da Lei da Protecção de Dados Pessoais, os dados pertencem aos clientes identificados de hotel, sujeitando, por isso, ao âmbito da aplicação desta lei conforme o seu artigo 3.º. Relativamente à questão da conformidade do pedido com a Lei da Protecção de Dados Pessoais, a Companhia B cita a Lei Orgânica do Serviço A e a Lei da Protecção de Dados Pessoais, entendendo que se tratam do dever da entidade responsável pelo tratamento a protecção deste tipo de dados pessoais, e antes de esclarecer sobre se as finalidades do tratamento é no exercício da competência legítima do Serviço A, tem dúvida sobre a possibilidade de fornecimento destes dados. Quanto a esta questão, somos da seguinte opinião: 1. A legitimidade do pedido do Serviço A para que a Companhia B forneça dados do cliente de hotel Entende a Companhia B que o Serviço A pode aceder a estes dados apenas quando isto for necessário para a execução de uma missão de interesse público ou no exercício de poderes de autoridade pública em que esteja investido o responsável pelo 1
tratamento. Segundo o artigo XX da Lei Orgânica do Serviço A, a Companhia B entende que os actos de investigação e de inquérito no exercício das atribuições do Serviço A estão restringidos apenas ao âmbito determinado. Contudo, segundo dados fornecidos pelo Serviço A, não se pode ajuizar-se sobre a sua finalidade em relação aos interesses públicos a realizar no exercício das atribuições do Serviço A. Pelo que a Companhia B mantém reserva em relação às condições de legitimidade do tratamento de dados dos clientes do hotel nos termos da alínea 4) do artigo 6.º da Lei da Protecção de Dados Pessoais. O GPDP é de opinião de que o Serviço A apenas pode exerce os poderes conferidos pelo artigo XX da Lei Orgânica deste Serviço no exercício da competência nele consagrada, pedindo ao responsável pelo tratamento de dado - Companhia B o fornecimento dos dados de cliente do hotel apenas quando se trata da execução de uma missão de interesse público ou no exercício de poderes de autoridade pública constante na referida alínea 4) do artigo 6.º da Lei da Protecção de Dados Pessoais. A questão de saber se o pedido de fornecimento de dados é feito no exercício das competências legítimas do Serviço A, envolve, no fundo ao conhecimento das finalidades do tratamento. Haverá, portanto, de apurar as finalidades com que pretendam o Serviço A ao exigir à Companhia B fornecer dados do cliente. De facto, manda a alínea 2) do n.º 1 do artigo 5.º da Lei da Protecção de Dados Pessoais que os dados pessoais devem ser recolhidos para finalidades determinadas, explícitas e legítimas e directamente relacionadas com o exercício da actividade do responsável pelo tratamento, não podendo ser posteriormente tratados de forma incompatível com essas finalidades. Segundo informação fornecida pelo Serviço A, a finalidade pela qual solicita o fornecimento de dados de cliente visa a realização de fins de inquérito e segundo o artigo XX da Lei Orgânica do Serviço A, este tem todos os poderes funcionais necessários à execução de acto de investigação e de inquérito, estabelecendo ainda no seu artigo XX o dever da colaboração de acordo com qual a Companhia deve fornecer ao Serviço A dados necessários aos fins do inquérito. No presente caso, o Serviço A já revelou claramente os fins do fornecimento de dados e segundo o artigo XX da Lei Orgânica do Serviço A, a revelação dos fins do tratamento está sujeito ao segredo de justiça, não podendo, envolver conteúdo concreto. Pelo que o GPDP considera que a legitimidade do tratamento dos dados 2
de cliente do hotel da Companhia B, que se consiste na realização dos fins do inquérito, pode ser baseada no n.º 3 do artigo 8.º e não, na alínea 4) do artigo 6.º da Lei da Protecção de Dados Pessoais. Embora o Serviço A tenha legitimidade para o tratamento dos dados de cliente de hotel, é de considerar ainda a adequação e a proporcionalidade do mesmo pedido, encontrando os seus princípios consagrados no artigo 5.º da Lei da Protecção de Dados Pessoais. É que, segundo documentos fornecidos pela Companhia B, o Serviço A pediu apenas dados de ficheiro de determinados clientes do hotel e não de todos os clientes. A não ser que a Companhia B tenha motivos legais e legítimos ou consiga fornecer dados que provem a ausência de ligação entre os dados pedidos e a realização das competências legais do Serviço A, ou provem o excesso do pedido, que viola o princípio de adequação e de proporcionalidade consagrado no artigo 5.º da Lei da Protecção de Dados Pessoais, caso contrário ela não pode negar o cumprimento do artigo XX da Lei Orgânica do Serviço A e o dever geral de colaboração com este. 2. Tratamento de dados sensíveis da vida privada Seguem-se a questão de saber se os dados que o Serviço A pediu, como sejam o modo de pagamento, a preferência e a utilização dos serviços do hotel, estão ou não dentro do alcance da norma do tratamento de dados sensíveis da vida privada constante no n.º 1 do artigo 7.º ; e a questão de saber se o tratamento dos dados em causa, incluindo os já fornecidos ao Serviço A, é ou não o tipo de tratamento constante nas alíneas 1) a 4) do artigo 22.º da Lei da Protecção de Dados Pessoais e sujeito à autorização prévia do GPDP. Segundo o artigo 74.º (Direito à reserva sobre a intimidade da vida privada) do Código Civil, todos devem guardar reserva quanto à intimidade da vida privada de outrem. A mesma protecção, a nível penal, se verifica no Capítulo VII que regula os crimes contra a reserva da vida privada (vejam-se os artigos 183.º a 193.º do Código Penal). Nos termos ainda do artigo 7.º da Lei da Protecção de Dados Pessoais, que estabeleceram normas rigorosas para o tratamento de dados sensíveis, proibindo-o em princípio e admitindo-o somente nos casos excepcionais, casos em que é exigida a 3
adopção de medidas especiais de protecção. Ou seja, o seu tratamento é feito no pressuposto da salvaguarda do princípio de não discriminação, assim como mediante a adopção das medidas especiais de segurança constantes no n.º 1 do artigo 16.º da Lei da Protecção de Dados Pessoais e mediante a autorização prévia deste gabinete no termos do n.º 1 do artigo 22.º da Lei da Protecção de Dados Pessoais (excepto as situações em que os tratamentos podem ser autorizados por disposição legal ou disposição regulamentar de natureza orgânica, veja-se o n.º 2 do artigo 22.º). No caso sub judice, a legitimidade da recolha dos dados como sejam o modo de pagamento, a preferência e a utilização dos serviços do hotel pela B, baseia-se no consentimento dos seus titulares. Ora, o problema de saber se o tratamento destes dados pode ser considerado como dos dados da vida privada, depende de dois factores: primeiro, que é conteúdo concreto destes dados; e o segundo, a finalidade do tratamento. De modo geral, o registo do modo de pagamento permite saber se o pagamento é feito com numerário, cheque ou cartão de crédito, a preferência do uso de serviços do hotel revela, por sua vez, o hábito de fumar, a preferência pelo quarto de vista do mar ou da montanha enquanto a utilização de serviços do hotel diz respeito aos serviços como sejam os serviços de refeições no quarto ou de massagem. A finalidade da recolha destes dados por parte da Companhia B visa a prestação de serviço e contagem de consumo e não a análise da vida privada dos clientes, tratando-se, por isso, de registo de consumo do hotel e não da vida privada. Nestes termos, o GPDP entende que o seu tratamento não é susceptível de ser subsumido no âmbito dos dados sensíveis sobre vida privada mencionados no n.º 1 do artigo 7.º da Lei da Protecção de Dados Pessoais, logo, não é necessária pedir a autorização prévia nos termos da alínea 1) do n.º 1 do artigo 22.º. Pelo contrário, se o tratamento visa registar e analisar o costume do titular de dados, ele está dentro do âmbito do tratamento dos dados sensíveis. Casos esses, porém, não afectam a legitimidade do acesso aos dados referidos por parte do Serviço A, pois nos termos do n.º 3 do artigo 8.º da Lei da Protecção de Dados Pessoais e previsto na sua lei orgânica, o tratamento de dados pessoais para fins de investigação policial isenta-o da controlo prévio deste Gabinete. Todavia, o tratamento dos dados da vida privado dos particulares para os fins de 4
inquérito, por parte do Serviço A, não é totalmente livre. Segundo o artigo 251.º do Código de Processo Penal, compete exclusivamente ao juiz de instrução ordenar ou autorizar certos actos de inquérito, tais como as buscas domiciliárias, as apreensões de correspondência, a intercepções ou gravações de conversações ou comunicações telefónicas. Normas que visam proteger o direito à privacidade da intimidade privada, e que têm em consideração a questão de equilíbrio entre os direitos fundamentais e os relevantes interesse públicos. Quanto à questão de saber se o fornecimento de dados de cliente pela Companhia B ao Serviço A pode ser considerado como o uso de dados pessoais para fins diferentes da recolha mencionada na alínea 4) do n.º 1 do artigo 22.º, cabe-nos destacar que o fornecimento dos dados recolhidos com vista à prestação de serviço a cliente e à gestão hoteleira, é feito no cumprimento do artigo XX da Lei Orgânica do Serviço A e este, por sua vez, os recolha igualmente no cumprimento da competência conferida pela mesma lei e para fins de inquérito, e os trata no termos do n.º 3 do artigo 8.º da Lei da Protecção de Dados Pessoais, logo, não se coloca a questão do uso de dados recolhidos para finalidades diferentes, não precisando de pedir, por isso, autorização prévia conforme manda a alínea 4 do n.º 1 do artigo 22.º da Lei da Protecção de Dados Pessoais. 3. Conclusão Resumindo o referido, o GPDP considera que o Serviço A tem legitimidade para pedir à Companhia B os dados do cliente do hotel para fins de inquérito, no cumprimento das competências consagrados no artigo XX da Lei Orgânica do Serviço A e nos termos do n.º 3 do artigo 8.º da Lei da Protecção de Dados Pessoais, por conseguinte, não precisa de pedir autorização prévia deste Gabinete nos termos do n.º 1 do artigo 22.º da mesma. A não ser que a Companhia B prove a ausência de ligação entre os dados pedidos e a realização das competências legais do Serviço A, ou o mesmo viola o princípio de adequação e de proporcionalidade consagrado no artigo 5.º da Lei da Protecção de Dados Pessoais, não se pode negar o cumprimento do dever legal previsto no artigo XX da Lei Orgânica do Serviço A que obriga-lhe fornecer os dados pedidos. 5
O tratamento dos dados pessoais como o modo de pagamento, a preferência e a utilização dos serviços com vista à prestação de serviços aos clientes e no âmbito da gestão hoteleira, não se integra no âmbito do tratamento dos dados sensíveis da vida privada. O funcionamento dos dados clientes para serviço A por cumprimento do dever legal, não se coloca a questão do uso de dados recolhidos para finalidades diferentes, logo, não é necessária pedir a autorização prévia do GPDP. Aos 21 de Maio de 2008. A Coordenadora Chan Hoi Fan 6