Parecer n.º 7/2024

PAR/2024/12 1 PARECER/2024/7 I. Pedido 1. O Secretário de Estado da Presidência do Conselho de Ministros solicitou em 12 de março de 2024 à Comissão Nacional de Proteção de Dados (CNPD) a emissão de parecer até ao dia 17 de março de 2024 sobre o projeto de Decreto-Lei que adapta o ordenamento jurídico ao novo sistema de informação “Empresa 2.0” (doravante Projeto DL). 2. A Ministra da Justiça solicitou em 13 de março de 2024 à Comissão Nacional de Proteção de Dados (CNPD) a emissão de parecer até ao dia 17 de março de 2024 sobre o projeto de portaria que regulamenta o procedimento de constituição on-line de sociedade, a página da entidade, com alteração da Portaria n.º 1416- A/2006, de 19 de dezembro e o Regulamento do Registo Comercial (doravante Projeto Portaria). 3. A CNPD emite parecer no âmbito das suas atribuições e competências, enquanto autoridade administrativa independente com poderes de autoridade para o controlo dos tratamentos de dados pessoais, conferidos pela alínea c) do n.º 1 do artigo 57.º, a alínea b) do n.º 3 do artigo 58.º e n.º 4 do artigo 36.º, todos do Regulamento (UE) 2016/679, de 27 de abril de 2016 – Regulamento Geral sobre a Proteção de Dados (doravante RGPD), em conjugação com o disposto no artigo 3.º, no n.º 2 do artigo 4.º e na alínea a) do n.º 1 do artigo 6.º, todos da Lei n.º 58/2019, de 8 de agosto, que executa na ordem jurídica interna o RGPD (doravante LERGPD). II. Análise i) O enquadramento legal dos Projetos 4. O Decreto-Lei n.º 318/2007, de 29 de junho criou um regime especial de constituição online de sociedades comerciais e civis sob forma comercial do tipo por quotas e anónima, com ou sem a simultânea aquisição, pelas sociedades, de marca registada, através de sítio na Internet, regulado por portaria do membro do Governo responsável pela área da justiça. 5. Este diploma foi alterado pelos Decreto-Lei n.º 318/2007, Decreto-Lei n.º 247-B/2008, Decreto-Lei n.º 33/2011, Decreto-Lei n.º 209/2012 e Decreto-Lei n.º 109-D/2021. 6. O Decreto-Lei n.º 109-D/2021, de 09 de dezembro criou o registo online de representações permanentes de sociedades com sede no estrangeiro, transpondo parcialmente para a ordem jurídica interna a Diretiva (UE) 2019/1151 do Parlamento Europeu e do Conselho, de 20 de junho de 2019, que altera a Diretiva (UE) 2017/1132 no respeitante à utilização de ferramentas e procedimentos digitais no domínio do direito das sociedades.  PAR/2024/12 1v. 7. Por sua vez, a plataforma normativa legal respeitante à proteção de dados pessoais estabelece o quadro jurídico pertinente para a apreciação dos presentes Projetos, designadamente quanto aos princípios relativos ao tratamento dos dados pessoais, com destaque para a Carta dos Direitos Fundamentais da União Europeia (doravante CDFUE) e o Regulamento Geral sobre a Proteção de Dados. 8. Assim, de acordo com o artigo 8.º CDFUE O tratamento dos dados de carácter pessoal deve processar-se no estrito respeito pelos direitos, liberdades e garantias das pessoas singulares, em especial pelo direito à proteção dos dados pessoais (princípio da legalidade). 9. No que concerne ao RGPD, este veio consignar no artigo 5.º, n.º 1 que os dados pessoais são: i) Objeto de um tratamento lícito, leal e transparente (licitude, lealdade e transparência); ii) Recolhidos para finalidades determinadas, explícitas e legítimas, não podendo ser tratados de forma incompatível com essas finalidades (limitação das finalidades); iii) Adequados, pertinentes e limitados ao mínimo necessário à prossecução das finalidades para as quais são tratados (minimização dos dados); iv) Exatos e atualizados sempre que necessário, devendo ser tomadas todas as medidas razoáveis para que os dados inexatos sejam apagados ou retificados sem demora (exatidão dos dados); v) Conservados de forma a permitir a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados (limitação da conservação); vi) Tratados de uma forma que garanta a sua segurança, incluindo a proteção contra o seu tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidentais, recorrendo a medidas técnicas ou organizativas adequadas (integridade e confidencialidade). 10. Por último o artigo 5.º, n.º 2 veio estabelecer o comando de que o responsável pelo tratamento deve adotar as medidas que lhe permitam comprovar que o tratamento de dados pessoais é realizado em conformidade com os princípios enunciados (responsabilidade). ii) O desenho dos Projetos e a sua sustentabilidade 11. A exposição de motivos do Projeto DL menciona a dado momento que “Através destas iniciativas pretendeu- se simplificar procedimentos e reduzir significativamente os custos de contexto, melhorando as condições de investimento e de criação de riqueza em Portugal”. 12. Mais se acrescentou que “O regime especial de constituição online de sociedades assumiu uma especial relevância e tem tido um impacto extremamente significativo junto dos cidadãos e empresas, tornando-se no método preferencial de constituição de sociedades”. 13. Mencionando que “Neste contexto, passam a ser disponibilizadas às empresas novas funcionalidades. Destaca-se a disponibilização às empresas de um novo espaço digital, através da criação de uma página eletrónica específica dedicada a cada entidade, que centraliza a informação disponível no sistema de registos e  PAR/2024/12 2 que permite o acesso à sua informação de registo e uma interação fácil com os serviços de registo disponibilizados online”. 14. Refere também que “Por outro lado, para poupar encargos aos particulares e evitar que tenham de voltar a ceder informação que já é detida pela Administração Pública, incluindo a que é detida pelo próprio Instituto dos Registos e do Notariado, I. P., prevê-se a interoperabilidade entre a nova plataforma «Empresa Online 2.0» e outros sistemas de informação públicos”. 15. A Proposta de Portaria vem implementar a referida Proposta de DL. iii) O possível impacto dos Projetos na proteção dos dados pessoais 16. As alterações constantes nos Projetos incidem essencialmente nos dados das pessoas coletivas e relativamente a estas não se aplica a legislação sobre a proteção de dados pessoais. 17. No entanto, a reformulação do Projeto do DL no que concerne à reformulação do tratamento de dados e interoperabilidade elencada no seu artigo 8.º tem óbvias repercussões na proteção dos dados pessoais. 18. A propósito a CNPD não encontra no desenho legislativo dos Projetos quaisquer mecanismos de segurança reforçada que controlem o acesso aos seguintes dados pessoais: nome completo da pessoa individual, morada, data de nascimento, estado civil. 19. A CNPD chama também a atenção para a observância do disposto no n.º 4 do artigo 18.º da Lei n.º 43/2004, de 18 de agosto (Lei de Organização e Funcionamento da Comissão Nacional de Proteção de Dados), segundo o qual “Os pedidos de parecer sobre disposições legais e regulamentares em preparação devem ser remetidos à CNPD pelo titular do órgão com poder legiferante ou regulamentar, instruídos com o respetivo estudo de impacto sobre a proteção de dados pessoais”. 20. Deste modo, tal omissão compromete a realização de um parecer sustentado e sustentável quanto à validade e fiabilidade relativamente aos prováveis riscos decorrentes dos tratamentos de dados pessoais constantes nesta Proposta de Portaria. III. CONCLUSÕES 21. Nos termos e com os fundamentos acima expostos, a CNPD emite o presente parecer, mediante o qual recomenda: a) A necessidade de estabelecer mecanismos de segurança relativamente ao tratamento de dados e interoperabilidade elencada no artigo 8.º do Projeto de Decreto-Lei;