Parecer n.º 24/2025

rJ PAR/2025/20 11 CNPD Comissão Nacional de Proteção de Dados PARECER/2025/24 I. Pedido 1. OMinistério de Negócios Estrangeiros solicitou a 18 de fevereiro de 2025 à Comissão Nacional de Proteção de Dados (CNPD) a emissão de parecer "com maior urgência" sobre o projeto de Acordo de cooperação entre a República Portuguesa e a República Federativa do Brasil para Fortalecer a Prevenção e o Combate ao Tráfico de Pessoas e ao Tráfico Ilícito de Migrantes e a Assistência às Vítimas (doravante Projeto de Acordo). 2. A CNPD emite parecer no âmbito das suas atribuições e competências, enquanto autoridade administrativa independente com poderes de autoridade para o controlo dos tratamentos de dados pessoais, conferidos pela alínea v) do n.0 1 do artigo 57°, a alínea b) do n.0 3 do artigo 58. 0 , ambos do Regulamento (UE) 2016/679, de 27 de abril de 2016- Regulamento Geral sobre a Proteção de Dados (doravante RGPD), em conjugação com o disposto na alínea a) do n° 1 do artigo 6. 0 da Lei n. 0 58/2019, de 8 de agosto, que executa na ordem jurídica interna o RGPD (doravante LERGPD). 11. Análise i) Os propósitos do "Projeto de Acordo" 3. No seu Preâmbulo começa por referenciar como considerando que "ambas são partes na Convenção das Nações Unidas contra a Criminalidade Organizada Transnacional, de 15 de novembro de 2000, do Protocolo para Prevenir, Reprimir e Punir o Tráfico de Pessoas, especialmente de Mulheres e Crianças", e do Protocolo contra o tráfico ilícito de migrantes por terra, mar e ar, que complementam aquela". 4. Mais apresentou como considerando que "o Acordo entre a República Portuguesa e a República Federativa do Brasil para a Prevenção e a Repressão do Tráfico Ilícito de Migrantes, assinado em Lisboa em 11 de Julho de 2003". 5. Acrescentou ainda a "necessidade de garantir os direitos e obrigações consagrados nas respetivas ordens jurídicas, bem como aqueles contidos nas convenções internacionais de que são Partes". 6. Para o efeito estabeleceu como objetivo "fortalecer os mecanismos de cooperação entre elas [Partes]. para que favoreçam e promovam a implementação de medidas adequadas de prevenção, de perseguição penal, de assistência e de proteção que orientem e facilitem a implementação coordenada de atividades e de esforços no enfrentamento conjunto aos crimes de tráfico de pessoas e de tráfico de migrantes". Av. O. Carlos I, 134, 1° T (+351) 213 928 400 geral@cnpd.pt 1200-651 Lisboa F (+351) 213 976 832 www.cnpd.pt  PAR/2025/20 llv. 7. Para o efeito estabeleceu como seu objeto no artigo 1. 0 "a promoção e realização de ações conjuntas de cooperação entre as Partes para a prevenção e combate ao tráfico de pessoas, ao tráfico de migrantes e demais criminalidade associada, bem como a assistência e proteção de vítimas, no pleno respeito pelos direitos humanos e pela legislação de cada Parte". ii) A tutela jurídico-legal da privacidade e dos dados pessoais 8. A plataforma jurídica multi nível respeitante à proteção da privacidade e dos dados pessoais para apreciação do presente "Projeto de Acordo" encontra-se estabelecida nos acordos internacionais e bilaterais celebrados pelas respetivas Partes, anteriormente mencionados, assim como, no que concerne à República Portuguesa, pelo quadro jurídico europeu dos direitos humanos e da União Europeia, assim como da respetiva legislação nacional, com destaque para a Convenção para a Proteção das Pessoas relativamente ao Tratamento Automatizado de Dados de Carácter Pessoal (doravante Convenção 108 +),a Carta dos Direitos Fundamentais da União Europeia (doravante CDFUE) e do Regulamento Geral sobre a Proteção de Dados. 9. A referida Convenção das Nações Unidas contra a Criminal idade Organizada Transnacional (DR 1-A, n. 0 79, de 02 de abril de 2004), consagra no seu artigo 6. 0 , n. 0 1 que "[n]os casos em que se considere apropriado e na medida em que o permita o seu direito interno, cada Estado Parte deverá proteger a privacidade e a identidade das vítimas de tráfico de pessoas, nomeadamente estabelecendo a confidencial idade dos processos judiciais relativos a esse tráfico". 1O. Por sua vez, no referido Acordo entre a República Portuguesa e a República Federativa do Brasil para a Prevenção e a Repressão do Tráfico Ilícito de Migrantes, assinado em Lisboa em 11 de Julho de 2003 ficou estabelecido que "[o] intercâmbio de informações previsto na presente disposição observará a legislação interna de cada um dos Estados Contratantes, especialmente a relativa à proteção de dados pessoais e da privacidade das pessoas". 11. A Convenção do Conselho da Europa relativa à Luta Contra o Tráfico de Seres Humanos (STE n. 0 197) estabelece no artigo 11. 0 , epigrafado de "Proteção da vida Privada", mais precisamente no n. o 1 que "Cada uma das Partes protegerá a vida privada e a identidade das vítimas. Os dados de natureza pessoal que lhes digam respeito serão registados e utilizados nas condições previstas pela Convenção 108 +. No n. 0 2 consagra que "Cada uma das Partes tomará medidas que, nomeadamente, garantem que a identidade, ou os elementos que permitam a identificação, de uma criança vítima de tráfico não serão tornados públicos pelos meios de comunicação ou outros, excepto se, em circunstâncias excepcionais, tal publicidade facilitar a localização dos  rJ PAR/2025/20 12 CNPD Comissão Nacional de Proteção de Dados membros da família da criança ou garantir, de outro modo, o seu bem-estar e a sua proteção". No n. 0 3 estabelece que "Cada uma das Partes considerará a adopção, em conformidade com o artigo 10. 0 da Convenção para a Proteção dos Direitos do Homem e das Liberdades Fundamentais, de medidas que visem encorajar os meios de comunicação a proteger a vida privada e a identidade das vítimas através da auto- regulação ou de medidas de regulação ou co-regulação". 12. A Convenção do Conselho da Europa para a Proteção das Pessoas relativamente ao Tratamento de Dados de Carácter Pessoal, vulgarmente conhecida como Convenção 108 +,nas suas definições enunciadas no artigo 2. 0 considera como "dados pessoais" "qualquer informação relativa a uma pessoa singular identificada ou identificável ("titular dos dados"), enquanto "tratamento de dados" refere-se "a qualquer operação ou conjunto de operações efetuadas sobre dados pessoais, tais como a recolha, armazenamento, preservação, alteração, recuperação, divulgação, disponibilização, supressão, destruição ou execução de operações lógicas e/ou aritméticas sobre esses dados". 13. Mais adiante ao estabelecer no artigo 14. 0 os parâmetros dos fluxos transfronteiriços, precisa no n. o 2 que "Quando o destinatário estiver sujeito à jurisdição de um Estado ou organização internacional que não seja Parte na presente Convenção, a transferência de dados pessoais só pode ser efetuada se for assegurado um nível de proteção apropriado com base nas disposições da presente Convenção". 14. Por sua vez, de acordo com o artigo 8. ° CDFUE, o tratamento dos dados de carácter pessoal deve processar- se no estrito respeito pelos direitos, liberdades e garantias das pessoas singulares, em especial pelo direito à proteção dos dados pessoais (princípio da legalidade) . 15. No que concerne ao RGPD, este veio consignar no artigo 5. 0 , n. 0 1 que os dados pessoais são: i) Objeto de um tratamento lícito, leal e transparente (licitude, lealdade e transparência); ii) Recolhidos para finalidades determinada s, explícitas e legítimas, não podendo ser tratados de forma incompatível com essas finalidades (limitação das finalidades); iii) Adequados, pertinentes e limitados ao mínimo necessário à prossecução das finalidades para as quais são tratados (minimização dos dados); iv) Exatos e atualizados sempre que necessário, devendo ser tomadas todas as medidas razoáveis para que os dados inexatos sejam apagados ou retificados sem demora (exatidão dos dados); v) Conservados de forma a permitir a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados (limitação da conservação); vi) Tratados de uma forma que garanta a sua segurança, incluindo a proteção contra o seu tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidentais, recorrendo a medidas técnicas ou organizativas adequadas (integridade e confidencia/idade) . Av. D. Carlos I, 134, 1o T (+351) 213 928 400 geral@cnpd.pt 1200-651 Lisboa F (+351) 213 976 832 www.cnpd.pt  PAR/2025/20 12v. 16. Oartigo 5. 0 , n. 0 2 veio estabelecer o comando de que o responsável pelo tratamento deve adotar as medidas que lhe permitam comprovar que o tratamento de dados pessoais é realizado em conformidade com os princípios enunciados (responsabilidade). 17. Por último, a disciplina de transferência de dados para países terceiros ou organizações internacionais encontra-se estabelecida nos artigos 44. 0 a 50. 0 do RGPD. iii) Odesenho normativo do "Projeto de Acordo" 18. O "Projeto de Acordo" compreende dezasseis artigos, conforme se passa a descrever: Objeto (artigo 1. 0 ); Sigilo (artigos 2. 0 ); Definições (artigo 3. 0 ); Âmbito da cooperação (artigo 4. 0 ); Autoridades competentes (artigo 5. 0 ); Despesas (artigo 6. 0 ); Direito à proteção da identidade e privacidade das vítimas (artigo 7. 0 ); Repatriação voluntária de vítimas de tráfico de pessoas (artigo 8. 0 ); Proteção de documentação (artigo 9. 0 ), Envio de informações para um Estado terceiro (artigo 1O. 0 ); Consultas (artigo 11. 0 ); Relação com outras convenções internacionais (artigo 12. 0 ); Entrada em vigor (artigo 13. 0 ), Solução de controvérsias (artigo 14. 0 ); Revisão (artigo 15. 0 ); Vigência e denúncia (artigo 16. 0 ). iv) Opossível impacto na proteção dos dados pessoais 19. A propósito será de referir que as normas do "Projeto de Acordo" não se devem limitar à reprodução das disposições dos mencionados acordos internacionais celebrados pela República Portuguesa e a República Federativa do Brasil. Tal corresponderia a uma mera "tautologia normativa". 20. Assim, partindo-se de tais acordos internacionais, o presente "Projeto de Acordo" deveria precisar os normativos em que estivessem em causa a tutela jurídica dos dados pessoais, de modo a densificar o seu conteúdo. 21. As disposições do "Projeto de Acordo" com implicações imediatas na proteção dos dados pessoais consistem nas seguintes: artigo 3. 0 Definições; artigo 5. o Autoridades competentes; artigo 7. 0 Direito à proteção da identidade e privacidade das vítimas; artigo 1O. 0 Envio de informações para um Estado terceiro. 22. Nas definições do "Projeto de Acordo" não consta qualquer referência a "dados pessoais" e ao "tratamento de dados pessoais", sendo por isso esse elenco acentuadamente incompleto relativamente à proteção dos dados pessoais.  PAR/2025/20 13 Comissão Nacional de Proteção de Dados 23. No que concerne às Autoridades competentes portuguesas do "Projeto de Acordo" para solicitar e proceder à comunicação dos dados pessoais relativamente às vítimas do tráfico de pessoas e do tráfico ilícito de migrantes constatamos que as mesmas são em número de sete, a saber: a Polícia Judiciária; a Guarda Nacional Republicana; a Polícia de Segurança Pública; o Observatório do Tráfico de Seres Humanos; a Comissão para a Cidadania e a Igualdade de Género. Por sua vez, o Brasil referencia apenas a Polícia Federal. 24. A propósito e de modo a prevenir a uma divulgação indevida dos dados pessoais de tais vítimas, assegurando ainda a implementação concentrada das correspondentes medidas de segurança, essas funções de contacto deveriam estar concentradas numa única entidade. 25. Nesta conformidade, relembramos que a Lei n. 0 53/2008, de 29 de agosto, conhecida como Lei de Segurança Interna, estabelece no seu artigo 23. 0 -A o Ponto Único de Contacto para a Cooperação Policial Internacional (PUC-CPI), enunciando no n. 0 1 que "[o] Ponto Único de Contacto para a Cooperação Policial Internacional (PUC-CPI) é o centro operacional responsável pela coordenação da cooperação policial internacional, que assegura o encaminhamento dos pedidos de informação nacionais, a receção, o encaminhamento e a difusão nacional de informação proveniente das autoridades estrangeiras, a transmissão de informação e a satisfação dos pedidos por estas formulados". 26. O artigo 7. 0 do "Projeto de Acordo" tem como título o "Direito à proteção da identidade e privacidade das vítimas", mas na sua enumeração faz referência a dados pessoais, como seja "ascendência, condição social, sexo, género, etnia, raça, idade, religião, deficiência, convicções políticas ou ideológicas, orientação sexual e identidade de género, cultura e do nível educacional". 27. Ora a menção a privacidade, de origem anglo-saxónica (privacy), próximo da referência a vida privada ou reserva da intimidade, por um lado, e a omissão da designação a dados pessoais, pode conduzir a indesejáveis confusões, para além de propiciar as respetivas imprecisões jurídicas, num acordo bilateral que é essencialmente de cooperação judiciária. 28. Mais será de referir que a norma que permite o envio de dados pessoais a terceiros, não se encontra devidamente densificada, de modo a propiciar uma proficiente verificação e fiscalização desse específico tratamento de dados pessoais. 29. A CNPD proferiu recentemente o Parecer/2025/17 e o Parecer/2025/23 de, respetivamente, 09 e 17 de fevereiro de 2025 respeitante ao Acordo entre a República Portuguesa e a República Federativa do Brasil sobre a Troca de Informação Relativa ao Registo Criminal e a Antecedentes Criminais. T (+351) 213 928 400 geral@cnpd.pt Av. O. Carlos I, 134, 1° F(+351) 213 976 832 www.cnpd.pt 1200-651 Lisboa  PAR/2025/20 13v. 30. No mencionado Parecer/2025/17 estabeleceu as seguintes recomendações: a) É indispensável que o texto do Acordo contenha normas que supram a falta de legislação de proteção de dados neste domínio na República Federativa do Brasil, de modo a que estejam asseguradas as garantias adequadas de proteção de dados pessoais previstas pelo Direito português e pela Direito da União Europeia; b) Na medida do possível, devem ser especificadas para que outras finalidades - que não as de Processo Penal - admitem os tratamentos de dados pessoais abrangidos pelo Acordo e indicadas as categorias de dados pessoais que lhes estão associadas; c) O Acordo deve conter obrigações relativas à segurança dos tratamentos de dados pessoais, devendo os meios e condições efetivas em que ocorrem as transferências internacionais de dados ser mais bem clarificados; d) Devem ser densificadas as normas relativas ao tratamento de dados pessoais, nomeadamente, as condições específicas para o exercício de direitos, as condições em que tais direitos podem ser derrogados, quais as entidades responsáveis pela satisfação dos direitos do titular de dados e se este pode exercê-los indistintamente junto de um ou outro Estado Parte; e) Deve ser acrescentada uma obrigação da Parte requerida notificar a Parte recetora dos dados sempre que os dados pessoais careçam de retificação ou devam ser apagados, ou sujeitos a outras restrições, devendo, consequentemente, ser prevista a obrigação de a Parte recetora dar cumprimento a esta notificação; f) Oartigo 7. 0 do Acordo estabelece o dever de custódia dos dados por parte do Estado Requerente, «para efeitos de possível retransmissão». Esta norma deve ser reposicionada no artigo 11. 0 , explicitando as situações em que tal retransmissão possa ocorrer e distinguindo claramente duas situações: os "terceiros" dentro do mesmo país e os "terceiros" localizados em país terceiro, o que significa que há uma transferência ulterior. Assim, em primeiro lugar, deve ser expressamente previsto que a comunicação a terceiros, seja ela de que natureza for, está sujeita a autorização prévia da Parte requerida, a qual deve ser pedida e respondida por escrito, devidamente fundamentada; g) Por outro lado, caso venha a existir uma transferência de dados para "países terceiros ou organizações internacionais", deve ser aditado que além da autorização da Parte requerida, tal só  rJ CNPD PAR/2025/20 14 Comissão Nacional de Proteção de Dados poderá ocorrer na condição de existirem garantias adequadas em matéria de proteção de dados no país de destino; h) Deve ainda ser aditado que a Parte recetora dos dados fica obrigada a respeitar quaisquer restrições a que os dados pessoais estejam sujeitos; i) Por último, no Acordo deve constar uma norma relativa às vias de recurso administrativas e/ou judiciais para os titulares dos dados, as quais devem ser garantidas em relação a qualquer tratamento de dados pessoais resultante deste Acordo. 31 . Estas recomendações mantêm-se, mutatis mutandis, no presente Parecer, salvo a referenciada na alínea f), porquanto a mencionada autorização prévia da autoridade primitiva encontra-se salvaguardada no artigo 1O.o do "Projeto de Acordo". 111. Conclusões 32. Nos termos e com os fundamentos acima expostos, a CNPD emite o presente Parecer, mediante o qual recomenda que: a) As definições do "Projeto de Acordo" passem a integrar os significados de "dados pessoais" e "tratamento de dados pessoais"; b) A epígrafe do artigo 7.o do "Projeto de Acordo" seja epigrafada de "Direito à privacidade e proteção dos dados das vítimas"; c) Proceda-se à densificação do regime de transferência dos dados pessoais a países terceiros; d) Proceda-se à densificação das normas relativas ao tratamento de dados pessoais, em conformidade com o assinalado nos itens 28 a 30 anteriormente mencionados. Lisboa, 19 de fevereiro de 2025 Av. D. Carlos I, 134, 1° T (+351) 213 928 400 geral@cnpd.pt 1200-651 Lisboa F (+351) 213 976 832 www.cnpd.pt