Parecer n.º 43/2024

PAR/2024/51 1 PARECER/2024/43 I. PEDIDO 1. O Presidente da Câmara Municipal do Município de Arganil solicitou à Comissão Nacional de Proteção de Dados (CNPD) a emissão de parecer sobre o Projeto de Alteração do Regimento da Assembleia Municipal de Arganil, que prevê a filmagem e a transmissão áudio e vídeo das sessões daquele órgão deliberativo. 2. O pedido formulado e o presente parecer enquadram-se nas atribuições e competências da CNPD, enquanto entidade administrativa independente com poderes de autoridade para o controlo dos tratamentos de dados pessoais, conferidos pela alínea c) do n.º 1 do artigo 57º, conjugada com a alínea b) do n.º3 do artigo 58º e com o nº 4 do artigo 36.º, todos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (Regulamento Geral sobre a Proteção de Dados - RGPD), em conjugação com o disposto no artigo 3.º, no n.º 2 do artigo 4.º e da alínea a) do n.º 1 do artigo 6.º, todos da Lei n.º 58/2019, de 8 de agosto, que executa na ordem jurídica interna o RGPD. II. ANÁLISE 3. O presente pedido de pronúncia tem por objeto a inclusão, no Regimento da Assembleia Municipal de Arganil, de um capítulo titulado de “Transmissão Online das Sessões”, composto por 4 artigos não numerados, epigrafados “transmissão online”, “direitos dos intervenientes”, “filmagem e transmissão das sessões”, e “cumprimento do direito de informação”. 4. O referido projeto é composto, ainda, pelo “Anexo II”, respeitante ao modelo de declaração de consentimento a ser fornecida aos titulares dos dados envolvidos. 5. Relativamente à transmissão na internet das reuniões de órgão autárquicos, esta Comissão teve já oportunidade de em geral se pronunciar, na sua Orientação de 18 de abril de 2023, que se encontra disponível no seu sítio da internet1. 6. Nesse documento, a CNPD destaca “[…]que a transmissão áudio e vídeo em direto e online das reuniões dos principais órgãos autárquicos corresponde a um tratamento de dados pessoais, nos termos das alíneas 1) e 2) do artigo 4.º do Regulamento (UE) 2016/679, de 27 de abril de 2016 (Regulamento Geral sobre a Proteção de Dados – RGPD), por implicar a recolha e divulgação de informação relativa a pessoas singulares identificadas 1 https://www.cnpd.pt/media/toipux2r/2023-04-18_transmiss%C3%A3o-internet-reuni%C3%B5es-%C3%B3rg%C3%A3os- autarquicos.pdf  PAR/2024/51 1v. ou identificáveis. Essa informação compreende não apenas a imagem das pessoas, o que revela ainda o local e contexto em que se encontram em determinado momento, como também o conteúdo das suas declarações, as quais podem expor, entre outros dados pessoais, aspetos da vida privada dos declarantes ou de terceiros e revelar convicções políticas, filosóficas ou de outra natureza. 4. Nessa medida a referida divulgação afeta, desde logo, os direitos fundamentais à imagem e à proteção dos dados pessoais (ou direito à autodeterminação informativa), e é suscetível, em função do conteúdo das declarações proferidas, de afetar o direito à reserva da vida privada – cf. n.º 1 do artigo 26.º e artigo 35.º da Constituição da República Portuguesa (CRP). Demais, pode ainda promover ou facilitar a estigmatização e discriminação das pessoas cujos dados sejam assim divulgados, tendo em conta o risco de reutilização dos dados pessoais expostos na Internet – sendo certo que a exposição da vida privada é irreversível.”, e que “6. Importa por isso, aqui, neste contexto, atender aos riscos de exposição e de reutilização indevida das imagens e das declarações proferidas pelos cidadãos nesse contexto, ponderação que deve ser feita tendo presente o regime de proteção de dados pessoais constante do RGPD e da Lei n.º 58/2019, de 8 de agosto. 7. Como também se refere no PAR/2024/1 desta Comissão, “não existe atualmente, como seria desejável, uma norma legal que preveja ou discipline o tratamento de dados pessoais decorrentes da transmissão na Internet, seja em direto, seja em diferido, das intervenções em reuniões como os que estão em causa, nem tal transmissão se afigura necessária para a realização do princípio da publicidade das reuniões das assembleias municipais.” 8. Por outro lado, o juízo de necessidade do tratamento de dados obriga a considerar o impacto ou riscos deste decorrente para os direitos dos titulares dos dados e a sua ponderação com o grau de satisfação da finalidade da publicidade, na comparação com outros meios menos impactantes de publicitação das reuniões, e porque o risco de reutilização dessas imagens e declarações proferidas para quaisquer finalidades, sem possibilidade de controlo, é muito elevado quando as mesmas são disponibilizadas em rede aberta, terá de se obedecer aos princípios e regras consagradas no RGPD e encontrar-se, desde logo, o fundamento de licitude para as operações de tratamento. 9. Como também se fez constar nas referidas Orientações, é entendimento da CNPD que o consentimento prévio e expresso de todos as pessoas abrangidas pela filmagem e transmissão aparece como única condição suscetível de legitimar o referido tratamento de dados – cf. alínea a) do n.º 1 do artigo 6.º e alínea a) do n.º 2 do artigo 9.º do RGPD. 10. Consentimento esse que terá de respeitar as exigências da alínea 11) do artigo 4.º e do artigo 7.º do RGPD (devendo existir um meio adequado de registo do consentimento) e, portanto, a necessidade de se garantir o direito de informação a que se refere o artigo 13.º do RGPD, assinalando-se a importância de se alertar  PAR/2024/51 2 especificamente para o facto de as imagens e som, uma vez disponibilizados online, serem suscetíveis de reutilização e difusão por terceiros, bem como oferecer-se uma alternativa a não ser filmado, como impõe a noção de liberdade de consentimento. 11. Daqui decorre, igualmente, que essas condições deverão ser dirigidas a todas as pessoas abrangidas pela filmagem e transmissão, isto é, em relação aos que exercem o direito de participação naquelas reuniões através da mera presença ou de intervenção ativa, bem como àqueles que naquele ato participem no exercício das suas funções, e em relação aos trabalhadores que prestem apoio durante a reunião. 12. Quanto a estes, não poderá deixar-se de notar que o relevo jurídico do seu consentimento dependerá ainda mais evidentemente do consentimento livre, com a faculdade de lhes ser garantida a alternativa de não ser filmado, tendo em consideração o desequilíbrio da relação entre o empregador – ainda que público – e o trabalhador, como o Comité Europeu para a Proteção de Dados explicitou nas Diretrizes 5/2020 relativas ao consentimento na aceção do Regulamento 2026/6792. 13. As condições aplicáveis ao consentimento estão, em geral, previstas nos artigos 4.º n.º11, 6.º n.º1, alínea a) e 7.º desse mesmo Diploma, enquanto elementos materiais de licitude para o tratamento de dados pessoais. Nessa medida, para que o consentimento seja um fundamento lícito para o tratamento de dados, deverá radicar numa manifestação genuína da liberdade volitiva do titular do direito - condição prévia, e não meramente acessória, para a licitude desse tratamento-, bem como no facto do titular dos dados dispor de um efetivo/real controlo sobre os mesmos. 14. O papel crucial do consentimento -e seu regime, que lhe dá identidade- para o tratamento de dados é realçado, desde logo, nos artigos 7.º e 8.º da CDFUE, onde se declara, respetivamente, que, “Todas as pessoas têm direito ao respeito pela sua vida privada e familiar, pelo seu domicílio e pelas suas comunicações.” e que “Todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito. 2. Esses dados devem ser objeto de um tratamento leal, para fins específicos e com o consentimento da pessoa interessada ou com outro fundamento legítimo previsto por lei. Todas as pessoas têm o direito de aceder aos dados coligidos que lhes digam respeito e de obter a respetiva retificação.” 15. Assim, como afirma o Legislador Europeu, o consentimento tem de ser livre, específico, informado e inequívoco, conceitos que, constituindo também coordenadas valorativas, exigem a sua reflexão no tratamento concreto e no respeito do recorte das suas particulares dimensões. 2 Acessíveis em https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_pt.pdf  PAR/2024/51 2v. 16. A liberdade de consentimento pressupõe uma verdadeira escolha, uma determinação autónoma e de domínio dos titulares dos dados em relação aos seus direitos. Como corolário deste princípio, não pode o titular dos dados ser coagido, por forma nenhuma, a dar o seu consentimento, ou sofrer quaisquer consequências negativas no caso de não consentir num certo tratamento. 17. Dito doutro modo, o consentimento nunca poderá ser livre se não for suscetível de ser recusado ou retirado sem prejuízo para o seu exercitante, ou for obtido sob alguma forma de pressão ou influência direta ou indireta capaz de afetar o núcleo de conformação do titular do direito. Perturbado ou deturpado o pleno nexo volitivo, sacrificar-se-á a liberdade de livremente consentir. 18. Por maioria de razão, nesta aceção, livre não será, também, o consentimento, se, no conjunto contextual de elementos informativos a prestar ao declarante, essa confusão servir uma errada representação do titular que possa ter consentido em função de propósitos que não se encontram no universo de fins a que esse consentimento, de facto, se destina. 19. De resto, incumbe ao responsável pelo tratamento a demonstração das condições de validade da prestação do consentimento, nomeadamente que, no tratamento em causa, é possível retirar ou recusar o consentimento sem que o titular fique prejudicado, por exemplo, sem que exista uma consequência negativa em relação os seus direitos em sede de proteção de dados pessoais. 20. O consentimento não pode, pois, ser condicionado. Quer isto dizer, e.g., que o consentimento associado à aceitação de condições gerais ou a uma execução de contrato ou prestação de serviço que não seja necessário para essa execução ou prestação deve, também, ser afastado. 21. Simplificando, por maioria de razão, o tratamento de dados pessoais relativamente ao qual se pede o consentimento não poderá servir, tampouco, por se não confundirem os fundamentos do tratamento, de elemento subordinante doutras concessões de direitos, sob pena de se eliminar, novamente, o conceito de liberdade por que se partiu. Isto é, 22. Para que o consentimento seja dado de livre vontade, a pessoa tem de o poder escolher livremente e de poder recusar ou retirar o consentimento sem sofrer qualquer desvantagem, fáctica ou jurídica. 23. O consentimento específico haverá de só poder ser obtido quando os titulares dos dados são especificamente informados das finalidades previstas de utilização dos dados que lhes digam respeito, e dado de forma granular para cada um desses fins, e aferir-se a sua justificação em função de cada um.  PAR/2024/51 3 24. Por tudo isto, exigir-se-á também que o titular dos dados deverá agir deliberadamente para consentir o tratamento dos seus dados, enquanto irradiação de um “ato positivo inequívoco”, como plasmado no artigo 4.º n.º 11 do RGPD. 25. Isto terá consequências nas observações que se farão infra. Isto posto, 26. Coligidos os aspetos mais importantes do regime que deverá presidir a este tratamento de dados, poderá dizer-se que, em geral, a proposta de alteração procura dar-lhe resposta, nomeadamente em sede de direitos dos intervenientes, aí se prevendo a necessidade de consentimento prévio e explícito de todos os eventuais participantes, nomeadamente os eleitos locais, os trabalhadores do município, bem como os cidadãos que estejam no exercício do direito à participação. 27. Prevê-se, ainda, a possibilidade de suspensão da transmissão quando um cidadão pretenda intervir não tendo consentido na filmagem e transmissão áudio e vídeo, bem como se garante a existência de “uma zona não abrangida pela captação de imagem”. 28. Igualmente, prevê-se que a transmissão seja visionada através do sítio institucional do Município, oferecendo-se informação sobre o risco de reutilização e difusão por terceiros dessas imagens, que de facto poderá acontecer, e que deverá estar presente na ciência do titular dos dados aquando da prestação do seu consentimento livre. 29. Como se disse supra, porém, terá de estar previsto o direito de revogar o consentimento3, como previsto no artigo 7.º n.º 3 do RGPD, devendo ser “tão fácil de retirar como de prestar”, o que se encontra omisso na Proposta. 30. Em sede de finalidade para este tratamento de dados, prescreve-se na proposta de alteração que “Fica proibido qualquer tratamento dos dados recolhidos para além da finalidade de transmissão audiovisual em direto e em diferido das sessões da Assembleia Municipal de Arganil e a sua disponibilização permanente para consulta ou visualização no sítio institucional do Município.” 31. Daqui resulta que as transmissões das sessões da Assembleia Municipal não serão apenas realizadas em direto ou streaming, mas também poderão ser visualizadas noutros momentos, armazenados que são esses conteúdos por parte do Município. 3 Refira-se que a revogação do consentimento não afeta a licitude das operações de tratamento que entretanto tenham sido realizadas.  PAR/2024/51 3v. 32. Nessa medida, dever-se-á, desde logo, ter presente as medidas técnicas e de segurança a deverem ser adotadas, obrigação que impende sobre os responsáveis pelo tratamento, considerando que a forna como os tratamentos são levados à prática não constituem um mero aspeto secundário do seu regime de tratamento, mas antes se incluem na materialidade do seu regime. Nesse sentido, invoca-se a matéria constante na Diretriz/2023/14 desta Comissão, urgindo a garantia do seu cumprimento. 33. Prevendo-se, pois, um armazenamento e disponibilização de conteúdos como os descritos na Proposta, é imperioso, igualmente e desde logo, fixar-se, aí, o prazo de conservação dos dados pessoais e o que os fundamenta/justifica, bem como o modus como serão realizadas ou os fins que cada um dos “armazenamentos” servem, nomeadamente o que se entende por “arquivo permanente”, quando neste contexto e neste particular tratamento, o que se encontra, nesse documento, omisso – como se disse, tais aspetos fazem parte do regime autorizante do tratamento de dados pessoais e respondem também ao núcleo de garantia dos direitos dos titulares, não se tratando de meras execuções discricionárias. 34. Quanto a esta matéria exige-se, no artigo 5.º n.º1, alínea e) do RGPD, que os dados pessoais sejam “Conservados de uma forma que permita a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados; os dados pessoais podem ser conservados durante períodos mais longos, desde que sejam tratados exclusivamente para fins de arquivo de interesse público, ou para fins de investigação científica ou histórica ou para fins estatísticos, em conformidade com o artigo 89.o, n.o 1, sujeitos à aplicação das medidas técnicas e organizativas adequadas exigidas pelo presente regulamento, a fim de salvaguardar os direitos e liberdades do titular dos dados («limitação da conservação»); 35. Se se estiver, pois, perante alguma dessas excecionais situações, haverá que se atender às exigências particulares do artigo 89.º do RGPD, devendo fazer-se constar na Proposta, com clareza, como é que essas exceções possam estar justificadas e como se garantem essas prossecuções de tratamento. 36. Finalmente, afigura-se criticável a formulação adotada no Anexo II – “Declaração de consentimento”, onde se prevê que, conjuntamente com o consentimento, o titular dos dados renuncia, também, “[...] desde já, a quaisquer direitos ou compensações resultantes dessa utilização.”, provenientes, a saber, da “[...] captura, uso e divulgação de imagens/áudio e conservação no sítio institucional do Município de Arganil (transmissão online em direto e em diferido), obtidas durante as sessões da Assembleia Municipal de Arganil [...].” 37. Como também se disse supra, em sede de consentimento, não se poderá confundir o ato de consentimento que eventualmente seja dado pelo titular dos dados para “captura, uso e divulgação de imagens/áudio e 4 Disponível em https://www.cnpd.pt/comunicacao-publica/noticias/diretriz-sobre-medidas-de-seguranca/  PAR/2024/51 4 conservação no sítio institucional do Município de Arganil” aproveitando, em bloco e com o mesmo ato volitivo positivo, se procurar que aquele renuncie, também, a outros direitos que inequivocamente lhe assistem, e que assumem diferente natureza. Remete-se, neste ponto, para o que se disse quanto aos princípios que devem regular o consentimento livre. 38. Ademais, afigura-se essa renúncia como ilícita. 39. Haverá de se ter presente que o artigo 82.º do RGPD estabelece um regime imperativo de direito de indemnização e à responsabilidade, que corresponde a uma tutela subjetiva própria em sede de direitos fundamentais, que reflete o previsto no artigo 47.º da Carta de Direitos Fundamentais da EU. 40. De resto, esse artigo não deixa qualquer regime de discricionariedade aos Estados Membros destinatários que permitam o seu afastamento, bem como goza de aplicabilidade direta no ordenamento jurídico português, representando normas obrigatórias, podendo ser invocado diretamente perante os tribunais nacionais. 41. Trata-se, na verdade, de uma manifestação de um princípio ontológico em sede de proteção de dados, como seja o controlo efetivo destes por parte dos seus titulares, onde se incluirá, como correspondência ao carácter subjetivo desses direitos, a heterotutela de garantias adequadas em vista à sua proteção e reparação – ubi ius, ibi remedium. 42. Todavia, ao mesmo resultado se chegaria se se apreciasse esta questão na perspetiva de direito de origem exclusivamente interna, já que as várias situações que podem dar origem a respondência não são uniformes e podem nascer de variados factos originadores responsabilidade, envolvendo ou não participações de terceiros que não este particular responsável pelo tratamento, pelo que tal renuncia, por indeterminação de objeto, padeceria de vício. 43. Refira-se que a arquitetura do RGPD assenta no princípio da responsabilidade, tal como plasmado no artigo 5.º n.º 2 desse Diploma, obrigações que, situadas na sua esfera jurídica exclusiva, o Município não poderá afastar, por ser o responsável pelo tratamento e, bem assim, estar onerado por as fazer cumprir. III. CONCLUSÃO 44. Nos termos e com os fundamentos expostos a CNPD recomenda: a. Estabelecer o direito a revogar/retirar o consentimento dos titulares dos dados, de acordo com o previsto no artigo 7.º, n.º 3, do RGPD; b. Adotar-se medidas técnicas e de segurança que assegurem um nível de segurança adequado ao risco, como prescrito no artigo 32.º do RGPD;  PAR/2024/51 4v. c. Fixar-se, na referida Proposta, o prazo de conservação dos dados pessoais e o que os fundamenta/justifica, bem como o modus como serão realizados ou os fins que cada um dos “armazenamentos” servem, nomeadamente o que se entende por “arquivo permanente”, quando neste contexto e neste particular tratamento, estabelecendo o respetivo regime. d. Eliminar a expressão “[...]renunciando, desde já, a quaisquer direitos ou compensações resultantes dessa utilização” constante no modelo de declaração de consentimento – Anexo II. Aprovado na reunião de 22 de outubro de 2024 Paula Meira Lourenço (Presidente) Assinado por: PAULA CRISTINA MEIRA LOURENÇO Data: 2024.10.22 20:28:18+01'00' Certificado por: Diário da República Atributos certificados: Presidente - Comissão Nacional de Proteção de Dados