1. Introdução

Para além do tratamento de dados pessoais de pessoas singulares que apresentem queixas, o Provedor de Justiça pode, em função dos factos do caso, ter de tratar dados pessoais em relação a outras pessoas singulares («titulares de dados terceiros»).

Após a receção de uma queixa, o Provedor de Justiça avalia se as informações fornecidas contêm quaisquer dados pessoais de terceiros, ou seja, quaisquer informações relativas a uma pessoa singular identificada ou identificável, que não o queixoso.

O conceito de dados pessoais é muito amplo [1]. A título de exemplo, inclui informações sobre a identidade e as características pessoais de uma pessoa, declarações e opiniões e estatutos civis e profissionais [2].

A presente política diz respeito à forma como o Provedor de Justiça dá cumprimento ao dever de informar os titulares dos dados sobre o tratamento dos seus dados pessoais no contexto de uma queixa ou de um inquérito, caso os dados não tenham sido obtidos junto desses titulares. Na elaboração da presente política, o Provedor de Justiça teve em conta as orientações da Autoridade Europeia para a Proteção de Dados («AEPD»)[3].

2. O dever de informar

Quando os dados pessoais de um terceiro titular de dados são incluídos numa queixa ou noutros documentos relacionados com o inquérito, o Provedor de Justiça tem o dever de fornecer à pessoa em causa determinadas informações [4], nomeadamente:

a) A identidade e os dados de contacto do responsável pelo tratamento, ou seja, do Provedor de Justiça [5];

b) Os dados de contacto do responsável pela proteção de dados do Provedor de Justiça;

c) A finalidade da operação de tratamento (por exemplo, tratamento de uma queixa) e a base jurídica para o tratamento (por exemplo, as regras relativas ao tratamento de dados pessoais pelas instituições da UE [6] e/ou o Estatuto do Provedor de Justiça [7]);

d) As categorias de dados em causa (por exemplo, a identidade e o estatuto profissional da pessoa em causa);

e) Os destinatários dos dados [8];

f) Se for caso disso, que o Provedor de Justiça tenciona transferir os dados pessoais para um país terceiro ou uma organização internacional e a existência ou ausência de uma decisão de adequação da Comissão ou de garantias adequadas ou adequadas e os meios para obter uma cópia dos mesmos ou onde foram disponibilizados; e

g) As seguintes informações adicionais, necessárias para garantir um tratamento justo e transparente dos dados pessoais da pessoa:

i) Os prazos para o armazenamento dos dados pertinentes;

ii) o facto de a pessoa ter o direito de solicitar o acesso, a retificação, o apagamento ou a limitação do tratamento dos seus dados pessoais ou o direito de se opor ao tratamento [9];

iii) o direito da pessoa a recorrer à AEPD, e

iv) a origem dos dados (incluindo, se for caso disso, fontes de acesso público).

3. A política

A - Queixas fora do mandato

Se o Provedor de Justiça considerar que uma queixa que contenha dados pessoais de terceiros não é abrangida pelo seu mandato, informa o queixoso em conformidade e aconselha-o, sempre que possível, sobre o organismo que poderá tratar da queixa. Se o queixoso concordar com a transferência da sua queixa caso o Provedor de Justiça não possa tratá-la, o Provedor de Justiça transmite a queixa ao organismo competente (por exemplo, um Provedor de Justiça nacional).

Nesses casos, o Provedor de Justiça não considera necessária a prestação das informações individuais mencionadas no ponto 2 supra, uma vez que i) a finalidade para a qual o Provedor de Justiça trata esses dados pessoais (avaliação sobre se a queixa é abrangida pelo mandato do Provedor de Justiça e, em caso negativo, eventual transferência da queixa para outro organismo) não exige a identificação do terceiro titular de dados pelo Provedor de Justiça [10]; e ii) informar individualmente terceiros titulares de dados sobre o facto de o Provedor de Justiça poder estar a tratar os dados que lhes dizem respeito, mesmo que possível, resultaria numa multiplicação desnecessária de dados pessoais e, por conseguinte, implicaria um esforço desproporcionado [11].

Em vez disso, a Provedora de Justiça publica uma nota informativa no seu sítio Web informando o público em geral de que pode estar a tratar dados pessoais de outras pessoas que não a queixosa no contexto do seu tratamento de queixas. Esta nota inclui uma ligação para esta política e para uma declaração relativa ao tratamento de dados pessoais no contexto do tratamento de queixas e inquéritos pelo Provedor de Justiça. A presente nota, a presente política e a declaração são consideradas suficientes para fornecer todas as informações pertinentes às pessoas cujos dados pessoais o Provedor de Justiça possa tratar [12] e para lhes permitir solicitar o acesso, a retificação, o apagamento e a limitação do tratamento dos seus dados pessoais, se assim o desejarem [13].

B - No âmbito do mandato, mas inadmissíveis e admissíveis, nenhuma acusação

Nos casos acima referidos, o Provedor de Justiça não considera necessária a prestação das informações individuais mencionadas no ponto 2 supra, uma vez que informar individualmente os titulares de dados terceiros sobre o facto de o Provedor de Justiça poder estar a tratar os dados que lhes dizem respeito, mesmo que possível, resultaria numa multiplicação desnecessária de dados pessoais que, tendo em conta as ações limitadas envolvidas, nomeadamente a ausência de qualquer transferência da queixa para fora do gabinete do Provedor de Justiça, implicaria um esforço desproporcionado [14].

A nota informativa publicada no sítio Web do Provedor de Justiça e a presente política e declaração são consideradas suficientes para fornecer todas as informações pertinentes às pessoas cujos dados pessoais o Provedor de Justiça possa tratar [15] e para lhes permitir solicitar o acesso, a retificação, o apagamento e a limitação do tratamento dos seus dados pessoais, se assim o desejarem [16].

C - Inquéritos

Nos casos acima referidos, o Provedor de Justiça deve, em primeiro lugar, decidir se os dados relativos a terceiros são ou não relevantes para o objeto do inquérito. Uma forma de o fazer é examinar se o Provedor de Justiça trataria o inquérito de forma diferente se o terceiro titular dos dados não tivesse sido mencionado ou identificado no processo de inquérito.

Os dados pertinentes podem ser, por exemplo, os relativos à experiência profissional anterior do funcionário da UE que é membro de um júri alegadamente em situação de conflito de interesses. Os dados irrelevantes podem ser, por exemplo, os relacionados com o estado civil desse funcionário da UE. Outros dados irrelevantes suscetíveis de serem recolhidos durante o inquérito do Provedor de Justiça de forma puramente incidental são, por exemplo, os nomes de outros funcionários da UE mencionados nas decisões da instituição em causa e os documentos recolhidos durante o inquérito do Provedor de Justiça.

A decisão quanto à relevância desses dados e à análise subjacente será apresentada no resumo registado no processo pertinente do sistema de gestão de processos (CMS) do Provedor de Justiça.

Dados irrelevantes

Nos casos em que os dados são irrelevantes para o objeto do inquérito, o Provedor de Justiça não considera necessária a prestação de informações individuais ao terceiro porque i) uma vez que os dados são irrelevantes, a finalidade para a qual o Provedor de Justiça trata esses dados pessoais (tratamento da queixa/inquérito) não exige a identificação dos titulares dos dados de terceiros pelo Provedor de Justiça [17]; e ii) informar individualmente esses terceiros titulares de dados, mesmo que possível, resultaria numa multiplicação desnecessária de dados pessoais e implicaria um esforço desproporcionado, tendo em conta o facto de o Provedor de Justiça não utilizar os dados em questão no contexto do seu inquérito [18]. Os dados manifestamente irrelevantes incluídos no texto da queixa não serão tratados posteriormente pelo Provedor de Justiça [19].

A nota informativa publicada no sítio Web do Provedor de Justiça, a presente política e a declaração são consideradas suficientes para fornecer todas as informações pertinentes às pessoas cujos dados pessoais o Provedor de Justiça possa tratar [20] e para lhes permitir solicitar o acesso, a retificação, o apagamento e a limitação do tratamento dos seus dados pessoais, se assim o desejarem [21].

Dados pertinentes

Se os dados forem pertinentes, o Provedor de Justiça considera a possibilidade de fornecer as informações referidas no ponto 2 supra ao terceiro titular dos dados.

No entanto, se a avaliação da queixa permitir concluir que o terceiro titular dos dados já dispõe das informações (quando, por exemplo, o funcionário da UE alegadamente em situação de conflito de interesses dispõe de uma cópia integral da queixa e dos documentos comprovativos)[22], ou que a prestação das informações é impossível ou implica um esforço desproporcionado (quando, por exemplo, a pessoa em causa abandonou entretanto o serviço e não pode ser rastreada)[23], o Provedor de Justiça regista a avaliação pormenorizada que conduziu a essa conclusão no resumo do processo no SGC e a nota publicada no seu sítio Web, juntamente com a presente política e declaração, são consideradas suficientes para fornecer as informações necessárias às pessoas cujos dados pessoais o Provedor de Justiça possa tratar [24] e para lhes permitir solicitar o acesso, a retificação, o apagamento e a limitação do tratamento dos seus dados pessoais, se assim o desejarem [25].

Nos casos em que o terceiro titular dos dados não dispõe das informações e em que é possível informá-lo e não implica um esforço desproporcionado, o Provedor de Justiça examina se a informação do terceiro titular dos dados é suscetível de tornar impossível ou prejudicar gravemente a realização dos objetivos desse tratamento, a saber, investigar adequadamente e decidir sobre uma eventual má administração nas atividades das instituições, órgãos ou organismos da UE, na sequência do exercício de um direito fundamental (uma queixa ao Provedor de Justiça) ou por iniciativa própria [26].

Tal seria o caso se, por exemplo, o terceiro titular dos dados estivesse em condições de influenciar a investigação: escondendo elementos de prova importantes, por exemplo, ou retaliando contra o queixoso por ter exercido um direito fundamental (queixar-se ao Provedor de Justiça), o que tem impacto no inquérito (com o queixoso a deixar de estar disposto a contribuir para o inquérito, por exemplo).

Se, na sequência da análise acima referida, o Provedor de Justiça concluir que a prestação de informações ao terceiro titular dos dados é suscetível de tornar impossível ou prejudicar gravemente o inquérito e a capacidade do Provedor de Justiça para tomar uma decisão sobre as alegações de má administração, a avaliação e a conclusão subsequente serão registadas no processo no CMS. A nota publicada no sítio Web do Provedor de Justiça, juntamente com a presente política e declaração, são consideradas suficientes para fornecer as informações necessárias às pessoas cujos dados pessoais o Provedor de Justiça possa tratar nesses casos excecionais [27] e para lhes permitir solicitar o acesso, a retificação, o apagamento e a limitação do tratamento dos seus dados pessoais, se assim o desejarem [28].

Se, pelo contrário, o Provedor de Justiça concluir que a prestação de informações ao terceiro titular dos dados não é suscetível de tornar impossível ou prejudicar gravemente o inquérito e a capacidade do Provedor de Justiça para tomar uma decisão sobre as alegações de má administração, fornece ao terceiro titular dos dados as informações referidas no ponto 2 supra assim que a análise da queixa estiver concluída e a instituição for informada [29].

4. Contribuições em resposta às consultas públicas do Provedor de Justiça

Os princípios estabelecidos nesta política aplicam-se também a quaisquer dados pessoais recebidos no contexto das consultas públicas do Provedor de Justiça.

 

Emily O'Reilly

Estrasburgo, 16/07/2019

 

[1] Artigo 3.°, n.° 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.° 45/2001 e a Decisão n.° 1247/2002/CE (JO 2018, L 295, p. 39): «Dados pessoais», qualquer informação relativa a uma pessoa singular identificada ou identificável («titular dos dados»); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, nomeadamente por referência a um identificador como, por exemplo, um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular».

[2] Para uma análise pormenorizada do conceito de dados pessoais, consultar o parecer 4/2007 do Grupo de Trabalho do Artigo 29.o para a Protecção de Dados, disponível em: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_en.pdf

[3] https://secure.edps.europa.eu/EDPSWEB/

[4] Artigo 16.o, n.os 1 e 2, do Regulamento 2018/1725.

[5] Artigo 3.o, n.o 8, do Regulamento 2018/1725: «Responsável pelo tratamento», a instituição ou o órgão da União, a direção-geral ou qualquer outra entidade organizacional que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais; Se as finalidades e os meios desse tratamento forem determinados por um ato específico da União, o responsável pelo tratamento ou os critérios específicos para a sua nomeação podem ser previstos pelo direito da União.»

[6] Artigo 5.o do Regulamento 2018/1725.

[7] Decisão do Parlamento Europeu, de 9 de março de 1994, relativa ao estatuto e às condições gerais de exercício das funções de Provedor de Justiça Europeu (94/262/CECA, CE, Euratom), JO 1994, L 113, p. 15, alterada pelas suas decisões de 14 de março de 2002, JO 2002, L 92, p. 13, e de 18 de junho de 2008, JO 2008, L 189, p. 25.

[8] Artigo 3.o, ponto 13, do Regulamento 2018/1725: «Destinatário», uma pessoa singular ou coletiva, autoridade pública, agência ou outro organismo a quem os dados pessoais sejam comunicados, independentemente de se tratar ou não de um terceiro. No entanto, as autoridades públicas que possam receber dados pessoais no âmbito de um inquérito específico em conformidade com o direito da União ou dos Estados-Membros não são consideradas destinatários; o tratamento desses dados por essas autoridades públicas deve estar em conformidade com as regras aplicáveis em matéria de proteção de dados em função das finalidades do tratamento».

[9] Artigos 17.o a 20.o e 23.o do Regulamento 2018/1725.

[10] Artigo 12.o, n.o 1, do Regulamento 2018/1725: «Se as finalidades para as quais um responsável pelo tratamento trata dados pessoais não exigirem ou deixarem de exigir a identificação de um titular de dados pelo responsável pelo tratamento, este não é obrigado a manter, adquirir ou tratar informações adicionais para identificar o titular dos dados com o único objetivo de dar cumprimento ao presente regulamento».

[11] Artigo 16.o, n.o 5, alínea b), do Regulamento 2018/1725: «Os n.os 1 a 4 não se aplicam quando e na medida em que: [...] a prestação dessas informações se revele impossível ou implique um esforço desproporcionado [...]»

[12] Artigo 16.o, n.o 6, do Regulamento 2018/1725: «Nos casos referidos no n.o 5, alínea b), o responsável pelo tratamento toma as medidas adequadas para proteger os direitos, as liberdades e os interesses legítimos do titular dos dados, incluindo a disponibilização das informações ao público».

[13] Artigo 12.o, n.o 2, do Regulamento 2018/1725: «Se, nos casos referidos no n.o 1 do presente artigo, o responsável pelo tratamento puder demonstrar que não está em condições de identificar o titular dos dados, informa-o desse facto, se possível. Nesses casos, os artigos 17.o a 22.o não são aplicáveis, exceto se o titular dos dados, para efeitos do exercício dos seus direitos ao abrigo desses artigos, fornecer informações adicionais que permitam a sua identificação.» Tal pode ser o caso, por exemplo, quando um terceiro titular de dados solicita o acesso aos seus dados pessoais tratados pelo Provedor de Justiça e, após uma pesquisa no sistema de gestão de processos (CMS) do Provedor de Justiça, o Provedor de Justiça informa-o de que os seus dados não foram encontrados. No entanto, se o titular dos dados fornecer posteriormente informações adicionais, como o número da queixa ou o nome do queixoso, por exemplo, tal pode permitir a sua identificação nos processos do Provedor de Justiça e que este tome uma decisão sobre o pedido.

[14] Artigo 16.o, n.o 5, alínea b), do Regulamento 2018/1725.

[15] Artigo 16.o, n.o 6, do Regulamento (UE) 2018/1725.

[16] Artigo 12.o, n.o 2, do Regulamento (UE) 2018/1725. Ver nota de rodapé 13 supra.

[17] Artigo 12.o, n.o 1, do Regulamento (UE) 2018/1725

[18] Artigo 16.o, n.o 5, alínea b), do Regulamento (UE) 2018/1725.

[19] É possível que os dados que possam não ser considerados relevantes para o objeto de um inquérito nas suas fases iniciais possam, no entanto, em última análise, ser utilizados para efeitos do inquérito e ter impacto no seu resultado.

[20] Artigo 16.o, n.o 6, do Regulamento (UE) 2018/1725.

[21] Artigo 12.o, n.o 2, do Regulamento 2018/1725. Ver nota de rodapé 13 supra.

[22] Artigo 16.o, n.o 5, alínea a), do Regulamento 2018/1725: «Os n.os 1 a 4 não são aplicáveis quando e na medida em que:...  o titular dos dados já dispõe das informações...»

[23] Artigo 16.o, n.o 5, alínea b), do Regulamento 2018/1725: «Os n.os 1 a 4 não são aplicáveis quando e na medida em que: [...] a prestação dessas informações se revele impossível ou implique um esforço desproporcionado [...]»

[24] Artigo 16.o, n.o 6, do Regulamento 2018/1725.

[25] Artigo 12.o, n.o 2, do Regulamento 2018/1725. Ver nota de rodapé 13 supra.

[26] Artigo 16.o, n.o 5, alínea b), do Regulamento 2018/1725: «Os n.os 1 a 4 não são aplicáveis quando e na medida em que: [...] a obrigação referida no n.° 1 do presente artigo for suscetível de tornar impossível ou prejudicar gravemente a realização dos objetivos desse tratamento [...]»

[27] Artigo 16.o, n.o 6, do Regulamento 2018/1725.

[28] Artigo 12.o, n.o 2, do Regulamento 2018/1725. Ver nota de rodapé 13 supra.

[29] Artigo 16.o, n.o 3, do Regulamento 2018/1725: «O responsável pelo tratamento fornece as informações referidas nos n.os 1 e 2:... c) Se estiver prevista a divulgação a outro destinatário, o mais tardar quando os dados pessoais forem divulgados pela primeira vez.»