Parecer n.º 65/2023

PAR/2023/62 1 PARECER/2023/65 I. Pedido O Secretário de Estado da Presidência do Conselho de Ministros solicitou à Comissão Nacional de Proteção de Dados (CNPD) a emissão de parecer sobre o projeto de Decreto-Lei que visa regular as atividades de investigação científica marinha realizadas por entidades não nacionais no espaço marítimo nacional, estabelecendo os procedimentos de autorização das atividades e as obrigações e direitos das respetivas entidades e criando mecanismos que promovem a participação de investigadores e entidades do sistema científico nacional nas atividades de investigação. 1. A CNPD emite parecer no âmbito das suas atribuições e competências, enquanto autoridade administrativa independente com poderes de autoridade para o controlo dos tratamentos de dados pessoais, conferidos pela alínea c) do n.º 1 do artigo 57.º, a alínea b) do n.º 3 do artigo 58.º e n.º 4 do artigo 36.º, todos do Regulamento (UE) 2016/679, de 27 de abril de 2016 – Regulamento Geral sobre a Proteção de Dados (doravante RGPD), em conjugação com o disposto no artigo 3.º, no n.º 2 do artigo 4.º e na alínea a) do n.º 1 do artigo 6.º, todos da Lei n.º 58/2019, de 8 de agosto, que executa na ordem jurídica interna o RGPD. II. Análise 2. O projeto de Decreto-Lei visa concretizar os direitos conferidos pela Convenção das Nações Unidas sobre o Direito do Mar (CNUDM), aprovada pela Resolução da Assembleia da República n.º 60-B/97, de 14 de outubro, aos Estados e organizações internacionais em matéria de investigação científica marinha, fomentar a cooperação internacional, estabelecendo procedimentos simplificados e desmaterializados e regras que tornam a relação com o Estado Português transparente, com o objetivo de criar um ambiente favorável à cooperação internacional, com benefícios para o sistema científico nacional. 3. O projeto de decreto-lei é aplicável, de acordo com o artigo 2º, n. º 3, a entidades não nacionais, isto é: Estados estrangeiros, organizações internacionais e outras entidades não nacionais independentemente da sua natureza, 4. O artigo 4.º do Projeto prevê que compete à Direção-Geral de Política Externa (DGPE), no âmbito das suas atribuições de coordenação político-diplomática e de coordenação interministerial no acompanhamento e tratamento de questões internacionais, receber os pedidos de autorização de atividades de investigação científica marinha, os pedidos relacionados com a respetiva autorização, emitir as respetivas decisões e estabelecer as comunicações com os requerentes, (n.º 2) e ao Instituto Português do Mar e da Atmosfera (IPMA) compete a direção do procedimento de autorização e os procedimentos conexos.  PAR/2023/62 1v. 5. O artigo 5º, que regula a “Tramitação dos procedimentos”, prevê que a submissão dos pedidos de autorização e os pedidos conexos seja efetuada pelos canais diplomáticos, (n.º 1). Contudo, o n.º 2 estabelece que: “Sem prejuízo do disposto no número anterior, os procedimentos previstos no presente decreto-lei são tramitados através do Balcão Eletrónico do Mar (BMar), previsto no Decreto-Lei n.º 43/2018, de 18 de junho”, o qual é acessível através do portal único de serviços, nos termos da Resolução do Conselho de Ministros n.º 46/2019, de 22 de fevereiro e deve disponibilizar toda a informação sobre o procedimento e a documentação necessária, (n.ºs 3 e 4). 6. O pedido de autorização é instruído, entre outros elementos e documentos de ordem prática e científica, com a informação da “Identificação do requerente e da entidade que representa, bem como identificação das pessoas e entidades que integram o projeto;” – al. a) do n.º 2 do artigo 8º - sendo que os requerentes estão dispensados da apresentação dos documentos na posse de qualquer serviço e organismo da administração pública, quando derem o seu consentimento para a sua obtenção utilizando a Plataforma de Interoperabilidade da Administração Pública ou recorram ao mecanismo previsto no n.º 2 do artigo 4º. A da Lei n.º 37/2014, de 26 de junho, que regula a autenticação dos cidadãos nos Portais da Administração Pública. 7. Importa desde já assinalar que o diploma é omisso sobre os dados pessoais a recolher para tratamento automatizado, a que alude o artigo 8º, n.º 2, al. a). 8. O n.º 5 do artigo 5º especifica que têm acesso a toda a informação constante do BMar o IPMA, a DGPE e as dez entidades identificadas no artigo 9º, n.º 2 e ainda as entidades fiscalizadoras – Marinha, Autoridade Marítima Nacional, Autoridade Aeronáutica Nacional, Instituto da Conservação da Natureza e das Florestas, IP, (ICNF). IPMA, IP, Direção-Geral dos Recursos Naturais, Segurança e Serviços Marítimos (DGRM) e autoridades policiais. 9. O artigo 15º, com a epígrafe “Acessos e divulgação de informação”, prevê nos seus n.ºs 1 e 2, que a DGPM, através do BMar, tem acesso a toda a informação relativa aos pedidos e autorizações emitidos, assim como aos procedimentos e documentos e assegura o acesso público à informação da qual consta a identidade e nacionalidade do titular das autorizações atribuídas, entre outras. 10. Analisando o projeto de Decreto-Lei do ponto de vista da sua conformidade com o regime legal de proteção de dados pessoais, constata-se que não está expressamente prevista uma entidade responsável pelo tratamento dos dados recolhidos, nos termos e para os efeitos previstos na legislação em vigor em matéria de proteção de dados. 11. Como se referiu, os procedimentos previstos neste diploma são tramitados através do balcão eletrónico BMar, que é, nos termos do artigo 4.º do Decreto-Lei n.º 43/2018, de 18 de junho, o suporte desmaterializado dos atos realizados no contexto do Sistema Nacional de Embarcações e Marítimos (SNEM)., constituído por uma  PAR/2023/62 2 base de dados nacional única em que são recolhidas as informações relativas a navios, embarcações e marítimos por forma a imprimir maior clareza e facilidade no acesso aos serviços na área do mar. 12. Na ausência de previsão autónoma relativamente ao tratamento de dados e entidade responsável pelos mesmos no âmbito deste diploma, questionamo-nos se se pretende que essa matéria esteja regulada pelo artigo 6º do Decreto-Lei n.º 43/18, de 18 de junho, que dispõe: “A Direção-Geral dos Recursos Marinhos (DGRM) é responsável pelo tratamento de dados inseridos no SNEM (Sistema Nacional de Embarcações e Marítimos), (…) “nos termos e para os efeitos previstos na legislação em vigor em matéria de proteção de dados, cabendo-lhe assegurar o direito de informação e de acesso aos dados pelos respetivos titulares, a correção de inexatidões e de omissões e a supressão de dados indevidamente registados”. 13. Se essa for a intenção do legislador, deve considerar-se fazer de forma expressa essa menção e remissão, para maior clareza e transparência. 14. Convém ainda salientar que, da definição de quem é o responsável pelo tratamento, também decorrem as obrigações que sobre si impendem quanto à transparência, previstas nos artigos 13.º e 14.º do RGPD, e quanto à garantia dos direitos dos titulares dos dados – o que está atualmente omisso no diploma. 15. O diploma em análise não especifica quais os dados pessoais recolhidos e objeto de tratamento (cfr. Ponto 6), limitando-se a referir serem relativos à identidade e nacionalidade do requerente da autorização, bem como das pessoas que integram o projeto. Atento o âmbito do diploma e a necessidade de apreciar projetos de investigação científica, admite-se que venha a ser tratada muita informação de natureza curricular, pelo que o decreto-lei deve prever expressamente as categorias de dados pessoais objeto de tratamento. 16. Além disso, considerando que o n.º 2 do artigo 8.º do projeto de decreto-lei prevê que toda a informação e documentação a entregar conjuntamente com o pedido de autorização venham a ser definidas por despacho dos membros do Governo responsáveis pelas áreas dos negócios estrangeiros e do mar, sublinha-se que as matérias de proteção de dados, porque relativas a um direito fundamental, devem ser reguladas por lei e não determinadas por despacho ministerial. 17. Na ausência de especificação dos dados pessoais a tratar, a CNPD não pode emitir um juízo relativamente à sua conformação com os princípios da finalidade e da minimização consagrados nas alíneas b) e c) do n.º 1 do artigo 5º do RGPD. 18. Há ainda que estabelecer o prazo de conservação dos dados pessoais para este tratamento, sem prejuízo da manutenção da restante informação por período indeterminado, o que também não foi feito.  PAR/2023/62 2v. 19. Por último, assinala-se a importância de estabelecer neste diploma que dados pessoais podem ser tornados públicos e de que forma podem ser tornados públicos (v.g. por solicitação de consulta ou disponibilizados na Internet), tendo em conta critérios de adequação, necessidade e de proporcionalidade. III. Conclusão 20. Nos termos e com os fundamentos acima referidos a CNPD recomenda: a) Especificar que dados pessoais são recolhidos, devendo respeitar-se os princípios da finalidade e minimização, previstos nas alíneas b) e c) do n.º 1 do artigo 5.º do RGPD; b) Identificar a entidade responsável pelo tratamento dos dados recolhidos, fazendo, se necessário, a remissão para o Decreto-Lei n.º 43/2018, de 18 de junho; c) Concretizar o prazo de conservação dos dados pessoais e a extensão e forma como os dados pessoais podem ser tornados públicos. Aprovado na reunião de 4 de julho de 2023 Paula Meira Lourenço (Presidente)