CNPD pede estudo de impacto para o novo Cartão do Cidadão

A CNPD diz que a omissão do estudo pode comprometer uma avaliação mais completa quanto aos prováveis riscos decorrentes dos tratamentos de dados pessoais a realizar.

A presidente da CNPD, Paula Meira Lourenço, num parecer de 21 de março, reafirma que continua a não dispor "por não ter sido facultado" de elementos necessários para realizar uma avaliação jurídica e técnica do sistema informático do novo regime de identificação, mantendo a posição expressa num parecer em novembro.

A CNPD avisa que pedidos de parecer sobre disposições legais e regulamentares em preparação "devem ser remetidos", pelo titular do órgão com poder legislativo ou regulamentar, instruídos com o respetivo estudo de impacto sobre a proteção de dados pessoais.

"Ora o presente pedido de parecer foi apresentado sem o referido estudo", constata Paula Meira Lourenço, precisando que, tal omissão, pode comprometer uma avaliação mais completa quanto aos prováveis riscos decorrentes dos tratamentos de dados pessoais a realizar.

"E, sobretudo, pode prejudicar a decisão ponderada dos titulares do poder político-legislativo (...) numa matéria em que a compreensão de tais riscos é essencial para concluir, no plano legislativo, quanto à admissibilidade e condições de execução dos novos tratamentos" de dados pessoais, acrescenta.

A nova geração do Cartão de Cidadão foi anunciada pelo Governo cessante, em março, como sendo um cartão "mais completo, mais seguro, mais digital" e "muito inovador em termos tecnológicos", com tecnologia sem contacto (contactless) com o objetivo de simplificar a leitura da informação e abrir novas formas de utilização.

No seu parecer, a CNPD invoca as críticas da Agência Europeia de Proteção de Dados (AEPD) aos novos modelos de cartão de identificação na Europa, emitidas em 2018, e conclui recomendando um "reforço das normas de segurança aplicáveis ao cartão de cidadão, em conformidade com o apontado pela AEPD".

Esta agência, destaca a CNPD, considera compreensível que o armazenamento de imagens de impressões digitais melhora a interoperabilidade mas, ao mesmo tempo, aumenta a quantidade de dados biométricos tratados e o risco de falsificação de identidade em caso de violação de dados pessoais.

"Por isso, a AEPD recomenda que se limite, os dados das impressões digitais armazenados no chip dos documentos a minúcias ou padrões, a um subconjunto das características extraídas da imagem da impressão", avisa no parecer.

Num parecer de 15 de março, a CNPD voltou a escrever que "não dispõe de momento, por não ter sido facultado, os elementos necessários para realizar uma avaliação jurídica e técnica do sistema informático do presente projeto".

O secretário da Justiça cessante, que pediu este parecer, terá justificado a não apresentação de estudo de impacto sobre a proteção de dados pessoais em virtude de o impacto constar do documento objeto de parecer pela CNPD aquando das alterações à Lei que em 2007, que criou o cartão de cidadão, destacando que se mantinha atual.

"A CNPD não pode deixar de expressar a sua perplexidade por um estudo de impacto de uma alteração legislativa de 2007 ainda manter atualidade em 2024, como nada tivesse sido legislativamente alterado desde então, o que não sucede", escreve a presidente, lembrando que já tinha manifestado essa lacuna.

Deste modo, a comissão conclui recomendando "a necessidade de realização do respetivo estudo de impacto sobre a proteção de dados pessoais" do novo cartão que começa a ser emitido, à medida que vai caducando, a partir de 10 de junho, Dia de Portugal.