Parecer n.º 60/2025

PAR/2025/64 1   PARECER 2025/60 I. Pedido 1. O Ministério dos Negócios Estrangeiros, através da Direção-Geral de Política Externa, solicitou à Comissão Nacional de Proteção de Dados (CNPD) que se pronunciasse sobre o projeto de Convenção entre a República Portuguesa e a República do Azerbaijão para Evitar a Dupla Tributação em Matéria de Impostos sobre o Rendimento e Prevenir a Evasão Fiscal (doravante CDT). 2. A CNPD emite parecer no âmbito das suas atribuições e competências enquanto autoridade nacional de controlo dos tratamentos de dados pessoais, conferidas pela alínea c) do n.º 1 do artigo 57.º e pelo n.º 4 do artigo 36.º do Regulamento (UE) 2016/679, de 27 de abril de 2016 – Regulamento Geral sobre a Proteção de Dados (RGPD), em conjugação com o disposto no artigo 3.º, no n.º 2 do artigo 4.º, e na alínea a) do n.º 1 do artigo 6.º, todos da Lei n.º 58/2019, de 8 de agosto. II. Análise 3. A CNPD pronunciou-se através do Parecer n.º 2025/32, de 1 de abril de 2025, sobre um projeto de Convenção da mesma natureza então em processo de negociação. Vem agora o Ministério dos Negócios Estrangeiros solicitar parecer sobre a contraproposta que surge na sequência da reação das Autoridades da República do Azerbaijão ao clausulado que mereceu parecer positivo da CNPD. 4. A Convenção em apreço elimina o artigo 27.º, inteiramente dedicado à proteção de dados, incorporando algumas das suas disposições no artigo 26.º. Tal artigo agora suprimido visava regular o tratamento de dados de pessoas singulares que são objeto de transferência internacional de dados para os fins da Convenção de eliminação da dupla tributação em matéria de impostos sobre o rendimento e para prevenção de fraude e evasão fiscal. 5. Com efeito, o artigo 27.º da Convenção, sob a epígrafe “Protection of Personal Data”, estabelecia normas específicas quanto ao tratamento de dados pessoais, que correspondiam ao clausulado que foi objeto do Parecer/2024/5 da CNPD, de 5 de março de 2024, através do qual a CNPD se pronunciou sobre um pedido do Ministério dos Negócios Estrangeiros para que a CNPD verificasse a adequação ao RGPD, do texto das Convenções para evitar a Dupla Tributação (CDT) que implicam a transferência internacional de dados. 6. Através do texto então proposto, pretendia-se fixar um clausulado conforme ao RGPD que viesse a dotar as CDT das garantias apropriadas para a transferência internacional de dados pessoais.   1v.  7. Nesse parecer, a CNPD considerou que o modelo de clausulado de proteção de dados a inserir nas Convenções para eliminar a Dupla Tributação, na sua integralidade e nos termos propostos, está conforme as disposições do RGPD, tal como interpretadas pelo Tribunal de Justiça. 8. A CNPD entendeu ainda que as disposições ali contidas oferecem as garantias adequadas para que as transferências de dados pessoais para Estados terceiros se possam realizar, na medida em que fica assegurado um nível de proteção das pessoas singulares essencialmente equivalente ao existente na União. 9. Ora, a contraposta da CDT em análise consagra agora no n.º 6 do artigo 26.º vários princípios de tratamento de dados pessoais, a saber: o princípio da finalidade (alínea a)), o princípio da minimização dos dados (alínea b)), o princípio da exatidão (alínea c)), o princípio da limitação da conservação (alínea d)) do referido artigo). 10. No entanto, elimina a referência à obrigação dos Estados Contratantes adotarem as medidas de segurança adequadas e necessárias, de natureza técnica e organizacional, para garantir que os dados são mantidos confidenciais e protegidos contra o acesso acidental ou ilícito, a destruição, a perda, a alteração ou a divulgação não autorizada. Caso ocorra um incidente de segurança que afete os dados pessoais transferidos, a autoridade competente do Estado requerente informa sem demora a autoridade competente do Estado requerido e fornece uma descrição do incidente, das suas consequências prováveis e as medidas adotadas ou a adotar para atenuar os seus eventuais efeitos negativos. 11. Elimina ainda a disposição que referia que o acesso aos dados pelo titular pode ser total ou parcialmente limitado, desde que tal limitação constitua uma medida necessária e proporcional numa sociedade democrática para, designadamente, evitar prejuízo para ações de controlo, inspeções, investigações, inquéritos ou processos administrativos ou judiciais, bem como para salvaguardar a investigação ou repressão de infrações penais ou contraordenações fiscais ou para proteger os direitos, liberdades e garantias de terceiros. Agora apenas se refere que o acesso pode ser recusado ao abrigo da Lei interna desse Estado. 12. Por último, importa referir que a CDT deixa de contemplar uma disposição essencial do ponto de vista dos direitos e garantias dos titulares dos dados, que importa introduzir no clausulado em análise, a saber, «Os Estados Contratantes garantem que as pessoas singulares titulares dos dados gozam de direitos efetivos e oponíveis e vias efetivas de recurso administrativo e/ou judicial, caso considerem que os seus direitos foram violados em resultado do tratamento dos seus dados pessoais em incumprimento das condições previstas na presente Convenção».   PAR/2025/64 2   III. Conclusão 13. A CNPD considera que a Convenção a celebrar entre a República Portuguesa e a República do Azerbaijão, na atual redação do artigo 26.º cujas disposições regulam o tratamento de dados pessoais realizados ao abrigo da presente Convenção para Evitar a Dupla Tributação em Matéria de Impostos sobre o Rendimento e Prevenir a Fraude e a Evasão Fiscal, não oferece garantias adequadas no âmbito da transferência internacional de dados para pais terceiro, em conformidade com as disposições conjugadas dos artigos 44.º e 46.º do RGPD. 14. Assim, recomenda que se reintroduzam no texto da CDT as cláusulas relativas à proteção de dados pessoais acima referidas. Aprovado na reunião de 14 de outubro de 2025 Paula Meira Lourenço (Presidente)  Assinado por: PAULA CRISTINA MEIRA LOURENÇO Data: 2025.10.14 19:46:47+01'00' Certificado por: Diário da República Atributos certificados: Presidente - Comissão Nacional de Proteção de Dados