A forma como as diversas polícias e o Ministério Público (MP) constituem as suas bases de dados pessoais – e o tratamento que deles fazem, por exemplo cruzando informação para criar perfis – deixará de estar sujeita uma fiscalização independente, devido a duas leis recentemente aprovadas no Parlamento.
Aprovadas a 14 e a 21 de junho, essas leis retiram à Comissão Nacional de Proteção de Dados (CNPD) a competência de “fiscalização e supervisão de operações de tratamento de dados pessoais pelas autoridades judiciárias (…), no âmbito das suas competências processuais”, revelou o Expresso esta segunda-feira.
Isso significa que a informação recolhida e armazenada pelo MP ou por entidades com competências de investigação criminal agindo sob a sua direção (Polícia Judiciária, PSP, GNR, SEF e, em certas circunstâncias, a Autoridade Tributária ou a ASAE) deixa de poder ser escrutinada pela CNPD.
Esta entidade administrativa independente, que funciona na esfera da Assembleia da República, tem aqueles poderes desde que há lei de dados pessoais em Portugal, o que sucede desde 1991.
Para a entrada em vigor do novo quadro legislativo falta a promulgação dos diplomas pelo Presidente da República. As duas leis, que resultaram de propostas do Governo, foram aprovados no Parlamento sem votos contra. Uma delas só teve o apoio do PS, e a abstenção dos restantes partidos, enquanto a outra, além dos socialistas, teve o voto a favor de PSD e PAN, e a abstenção das restantes bancadas.
Os dois diplomas resultam da necessidade de transpor para a legislação nacional as normas europeias relativas à proteção de dados. Uma das leis é inteiramente nova, e visa dar corpo à diretiva para o setor policial e judiciário. A outra é a alteração de uma lei já existente, que precisava de ficar conforme às novas regras europeias (e é na nova versão que a CNPD fica impedida de aceder às bases de dados pessoais de polícias e do MP).
Na mesma altura em que foram a plenário os dois textos, os deputados votaram também a lei nacional de execução do Regulamento Geral de Proteção de Dados (RGPD).
Cidadãos que não são suspeitos de nada
“Agora que a UE obriga o tratamento de dados pessoais recolhidos em contexto de prevenção e investigação criminal a ficar sujeito a supervisão independente, em Portugal retira-se esse controlo à entidade independente”, afirmou ao Expresso Filipa Calvão, a presidente da CNPD.
“As duas leis vêm retirar à Comissão Nacional o controlo do tratamento dos dados pessoais feito pelas polícias sob dependência do MP, ou pelo MP diretamente”, disse. “E com a agravante de isso ser feito sob a aparência de que a CNPD se mantém como autoridade com plenos poderes. Num diploma, aparecemos como supervisor; no outro, ficamos sem possibilidade de intervir”, acrescentou.
“Somos a autoridade de controlo, mas depois foi esvaziada a nossa função”, frisou. Para a professora de Direito da Universidade de Coimbra, que preside à CNPD desde 2012, “dá-se com uma mão para se tirar com a outra, o que até agora era dado com as duas mãos”.
Filipa Calvão dá exemplo de informações que podem constar dessas bases de passos pessoais: elementos fornecidos pelos bancos relativos a transferências, no âmbito da lei contra o branqueamento de capitais. Qualquer movimentação acima de determinado valor, e outro tipo de situações do quotidiano de qualquer agência bancária, têm de ser reportados à PJ e ao MP.
“Há um conjunto enorme de informação recolhida sobre pessoas que não são suspeitas. Na prevenção criminal, a maior parte dos casos são de cidadãos comuns, que não são suspeitos de nada”, salientou.
Em todo o caso, não está ou esteve alguma vez em causa a supervisão ou controlo da CNPD de processos de investigação. Muito menos quando os mesmos já estão nas mãos de um juiz: “A função jurisdicional nunca foi fiscalizada ou controlada por nós”, esclareceu. O direito da UE exclui da supervisão os tratamentos de dados pessoais efetuados sob a autoridade do juiz (este assume por definição a defesa dos direitos dos cidadãos).
Aparentes incongruências
Na crítica ao quadro legislativo prestes a ser consagrado, Filipa Calvão chamou a atenção para duas situações – aparentes incongruências.
Por um lado, aquilo que fica agora longe dos olhares da CNPD pode ficar à mão de entidades terceiras. “É uma coisa caricata: há dados que podem ser verificados e analisados por empresas privadas, no âmbito de subcontratações feitas por organismos públicos”, como a da prestação de serviços de informática, disse a presidente da CNPD. “Mas o legislador está é preocupado que a CNPD não aceda a eles. Empresas privadas até podem; uma entidade administrativa independente é que não!”.
Por outro lado, sugeriu Filipa Calvão, até pode haver uma forma de a CNPD saber de eventuais tratamentos indevidos de dados pessoais em Portugal. Mas terá de receber a notícia de fora, a partir da Autoridade Europeia de Proteção de Dados (EDPS, na sigla em inglês), embora depois tenha de ficar de braços cruzados.
Entre as competências da EDPS está a fiscalização de organismos como a Europol, a Eurojust e outros, que por sua vez recebem dados pessoais dos vários estados membros da UE (e também de países terceiros e organizações internacionais).
“No limite, a Autoridade Europeia de Proteção de Dados pode detetar um tratamento indevido de dados pessoais de um cidadão português por parte das nossas autoridades judiciárias, contacta a CNPD para intervir, mas a CNPD não pode agir, porque não pode aceder a esses dados”, referiu Filipa Calvão.
De acordo com o Expresso, Filipa Calvão certamente falará sobre estas questões na reunião do Comité Europeu de Proteção de Dados, que ocorre na terça-feira, em Bruxelas. O organismo agrega as diversas autoridades nacionais de proteção de dados, a autoridade europeia congénere (a EDPS) e a Comissão Europeia.
A Comissão está a “acompanhar a produção legislativa em cada país” que visa transpor as normas europeias, informou a presidente da CNPD. Quando a informação chegar às instâncias comunitárias, crê que será uma questão de tempo.
“Mais cedo ou mais tarde vamos ter o Tribunal de Justiça da UE a condenar o Estado português por não estar a transpor a diretiva em toda a sua amplitude, amputando uma parte que deve estar sujeita a supervisão independente”, declarou. “Parece que não se está a perceber que estamos a violar o direito da União Europeia”, desabafou ainda.
Lá se vai o RGPD que nunca existiu!
Apenas existe no papel para ficar bonito e quando for para os criminosos escaparem aí sim vai existir, aliás foi para isso que foi criado!!!