Parecer n.º 28/2025

PAR/2025/24 1 PARECER/2025/28 I. Pedido 1. O Secretário de Estado da Presidência do Conselho de Ministros solicitou à Comissão Nacional de Proteção de Dados (CNPD) emissão de parecer sobre o Projeto de Decreto-Lei 431/XXIV/2024 que altera o Decreto-Lei n.º 109-E/2021, de 9 de dezembro, que cria o Mecanismo Anticorrupção e estabelece o Regime Geral de Prevenção da Corrupção. 2. A CNPD emite parecer no âmbito das suas atribuições e competências enquanto autoridade administrativa independente com poderes de autoridade para o controlo dos tratamentos de dados pessoais, conferidos pela alínea c) do n.º 1 do artigo 44.º em conjugação com o disposto no n.º 2 do artigo 30.º e do n.º 1 do artigo 43.º, todos da Lei n.º 59/2019, de 8 de agosto, que transpôs a Diretiva 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016. II. Análise 3. O Projeto de Decreto-Lei em apreço, submetido à apreciação da CNPD (doravante Projeto) tem como objeto, nos termos do artigo 1.º, proceder à alteração do Decreto-Lei n.º 109-E/2021, de 9 de dezembro, que cria o Mecanismo Nacional Anticorrupção (MENAC) e estabelece o Regime Geral de Prevenção da Corrupção (RGPC). 4. A pronúncia da CNPD incide apenas sobre as normas do Projeto de Decreto-Lei que preveem ou implicam tratamentos de dados pessoais, ou estão diretamente relacionadas com estes, para avaliar da sua conformidade com as regras relativas ao tratamento de dados pessoais para efeitos de prevenção, deteção, investigação ou repressão de infrações penais, aprovadas pela Lei n.º 59/2019, de 8 de agosto. 5. Antes de iniciar a análise do articulado agora proposto, a CNPD faz notar que na parte final do Preâmbulo, em que são identificadas as entidades ouvidas, se encontra omissa a referência de ter sido obtido parecer da Comissão Nacional de Proteção de Dados. 6. Como se lê no Preâmbulo do Decreto-Lei, as alterações ora introduzidas visam conformar a organização e funcionamento do MENAC às prioridades previstas na Agenda Anticorrupção adotada pelo Governo em 20 de junho de 2024 para aquele Mecanismo, pretendendo-se agilizar o seu funcionamento e tornar operacional a sua atuação, dotando-o de eficácia, designadamente através da redefinição da sua estrutura interna e do seu modelo de governação, e assegurar uma maior operacionalidade do organismo.  PAR/2025/24 1v. 7. Para alcançar aquele desiderato, altera-se a estrutura do MENAC, eliminando-se a figura do Presidente e do Vice-Presidente, que são substituídos por um órgão colegial o Conselho de Administração composto por um Presidente e dois vogais, procede-se à alteração da composição do Conselho Consultivo e cria-se o órgão Fiscal Único, prevendo-se as respetivas competências. 8. Por outro lado, no que respeita aos serviços, são eliminadas as duas comissões atualmente previstas a Comissão de Acompanhamento e a Comissão de Sanções passando agora a existir a Unidade de Planeamento, Prevenção e Informação e a Unidade de Fiscalização e Contraordenações, o que tem como consequência a reafectação de competências das anteriores comissões a estas unidades e Conselho de Administração. 9. Assim, prevê-se, no artigo 13.º-D, agora aditado, que compete à Unidade de Planeamento, Prevenção e Informação, de entre outras competências, «criar o banco de informações e operar e atualizar a plataforma prevista na alínea i) do n.º 3 do artigo 2.º» e «[p]roduzir, recolher e divulgar informação sobre corrupção e infrações conexas» (alíneas d) e h) do n.º 1, respetivamente), que anteriormente estavam acometidas à Unidade de Acompanhamento. 10. A CNPD teve oportunidade de se pronunciar através do Parecer/2021/66 sobre o Projeto de Lei que deu origem ao Decreto-Lei n.º 109-E/2021, de 9 de dezembro, ali assinalando a falta de previsão regulatória que estabeleça aspetos relevantes em matéria de proteção de dados, mantendo-se válidas as observações ali expendidas a propósito de algumas normas então previstas e que se mantêm na nova versão com pequenas alterações terminológicas. 11. Nomeadamente, fez notar que não estava esclarecida a natureza da informação a recolher, nem a integrar no banco de informações e, admitindo-se que tais bancos incluam dados pessoais, quais as categorias de dados pessoais ali integráveis. A redação final substit observação expendida pela CNPD uma vez que os dados pessoais são também informação. Ainda, fez notar que o caráter genérico e amplo daquelas disposições não cumpre a função orientadora que se espera de normas legais, nem integra quaisquer garantias dos direitos dos cidadãos num contexto de tratamento de dados que tem uma carga restritiva da esfera jurídica destes. 12. Ademais, tendo em consideração o teor do n.º 2 do artigo 5.º da Lei n.º 59/2019, de 8 de agosto, que exige que a lei que legitima os tratamentos de dados pessoais preveja as finalidades e objetivos dos tratamentos, bem como explicite quais os dados pessoais objeto de tratamento, será desejável que se proceda à alteração normativa que conforme o regime do MENAC com aquelas exigências legais. 13. Por outro lado, no artigo 7.º, cuja epígrafe é «Cooperação e dever de colaboração», prevê-se agora, num novo número 4 e de forma inovatória, que «[s]em prejuízo do segredo de justiça, devem ser remetidos ao MENAC  PAR/2025/24 2 cópias de todas as decisões de arquivamento, de acusação, de pronúncia ou de não pronúncia, sentenças absolutórias ou condenatórias respeitantes a factos enunciados na alínea g) do n.º 3 do artigo 2.º1», não existindo qualquer outro preceito que permita aferir da compatibilidade deste procedimento com o regime de proteção de dados pessoais. 14. De facto, por um lado, nada é dito quanto à entidade ou entidades sobre quem recai o dever de transmitir ao MENAC tais informações, o que será necessário concretizar, uma vez que apenas sabendo-se qual a entidade sobre a qual recai o dever se pode exigir-se o seu cumprimento. 15. Por outro lado, não é dito se estas decisões são transmitidas em bruto, ou se serão transmitidas após um processo de pseudonimização ou anonimização, o que ficará dependente das finalidades da transmissão de informação, o que também não vem explicitado, nomeadamente não é dito se integrará o banco de informações atrás referido. 16. Caso se entenda que é suficiente, para cumprir as finalidades da aquisição desta informação pelo MENAC que se ignoram que as decisões sejam anonimizadas, teria de se concretizar-se a quem caberia essa anonimização, se à entidade que proferiu as decisões, se à entidade que as vai transmitir ao MENAC ou se ao próprio MENAC. De todo o modo, apenas conhecendo as finalidades da aquisição da informação por parte do MENAC se poderá ajuizar da conformidade do processo com as normas de proteção de dados. 17. Caso a aquisição da informação por parte do MENAC vise o conhecimento do fenómeno e não quem são os agentes dos factos o que parece ser o mais adequado tendo em consideração as suas competências, então deverão as decisões ser transmitidas já anonimizadas. 18. De todo o modo, deve ser estabelecido o procedimento para a anonimização dos dados, caso exista, e, sobretudo para o caso de serem transmitidas com dados pessoais, deve ser previsto o regime para esse tratamento, incluindo transmissão e prazos de conservação, bem como serem garantidas medidas de segurança, admitindo-se que tal matéria venha a ser regulada por protocolo a celebrar entre o MENAC e as entidades a quem caiba a transmissão de tal informação, o qual deverá ser submetido à apreciação da CNPD 1 Ou seja, decisões relativas aos seguintes crimes: alínea g) do n.º 3 do artigo 2.º «Recolher e organizar informação relativa à prevenção e repressão da corrupção ativa ou passiva, do recebimento e oferta indevidos de vantagem, de tráfico de influência, de fraude na obtenção ou desvio de subsídio, subvenção ou crédito, de apropriação ilegítima de bens públicos, de administração danosa, de peculato, de participação económica em negócio, de abuso de poder, violação de dever de segredo e de branqueamento de vantagens provenientes destes crimes, bem como de aquisições de imóveis ou valores mobiliários em consequência da obtenção ou uso ilícitos de informação privilegiada no exercício de funções na Administração Pública ou no sector público empresarial.»  PAR/2025/24 2v. nos termos da lei, e que regule, entre outros aspetos, também a matéria relativa aos direitos dos titulares de dados e como podem exercê-los, as petos que se encontram absolutamente omissos no Projeto. III. Conclusão 19. Com os fundamentos atrás expostos, a CNPD recomenda que: a. Havendo previsão de vários tratamentos de dados pessoais, e porque se mantêm válidas as reservas aduzidas no Parecer/2021/66, se regulem os principais elementos desses tratamentos, pelo menos indicando os dados pessoais objeto de tratamento, nomeadamente, se especifiquem dos dados pessoais que integram ou podem integrar o «Banco de informações» a que se refere a alínea d) do n.º 1 do artigo 13.º-D do Projeto; b. Seja regulado o modo como podem os titulares dos dados exercer os seus direitos; c. Se proceda à densificação do regime relativo à comunicação de decisões, previsto no n.º 4 do artigo 7.º do Projeto, nos termos acima indicados. Lisboa, 10 de março de 2025 Ana Lourenço (Relatora)