O acordo para a revisão da legislação foi alcançado ontem no Comité de Representantes Permanentes do Conselho (Coreper), dando  à presidência portuguesa do Conselho  da União Europeia o mandato para negociar a alteração das regras em matéria de proteção da privacidade e da confidencialidade na utilização dos serviços de comunicações eletrónicas.

Esta é uma área sensível, onde tem faltado sintonia, e que pode trazer alterações significativas à proteção de dados nas comunicações eletrónicas, acesso a metadados e utilização de cookies. A Comissão Europeia tinha apresentado uma proposta em janeiro de 2017 e é com base neste texto que o Conselho vai agora iniciar as negociações com o Parlamento Europeu para se chegar a uma redação final do regulamento.

A nova legislação abrange a área da privacidade eletrónica, definindo os casos em que os prestadores de serviços estão autorizados a tratar dados de comunicações eletrónicas ou a ter acesso aos dados armazenados nos equipamentos dos utilizadores finais.

“A existência de regras firmes em matéria de privacidade é vital para criar e manter a confiança num mundo digital. Não foi fácil definir a posição do Conselho, mas temos agora um mandato que reflete um bom equilíbrio entre uma proteção sólida da vida privada das pessoas e a promoção do desenvolvimento de novas tecnologias e da inovação. A Presidência portuguesa está muito satisfeita por encetar agora com o Parlamento Europeu conversações sobre esta proposta fundamental”, afirmou Pedro Nuno Santos, ministro português das Infraestruturas e da Habitação.

Os Estados membros consideram que a Diretiva Privacidade Eletrónica, que está em vigor desde 2002, deve ser atualizada para ter em conta os novos desenvolvimentos tecnológicos e de mercado, como a atual utilização generalizada da voz sobre IP e dos serviços de mensagens e correio eletrónico com base na Web, bem como a emergência de novas técnicas destinadas a rastrear o comportamento dos utilizadores online.

O projeto de regulamento relativo à privacidade eletrónica revogará a diretiva atualmente em vigor. Enquanto lex specialis em relação ao Regulamento Geral sobre a Proteção de Dados (RGPD), complementará o RGPD e introduzirá especificações sobre a matéria nele tratada, explica o comunicado da presidência portuguesa. Um dos exemplos apontados é que, ao contrário do previsto no RGPD, muitas das disposições em matéria de privacidade eletrónica aplicar-se-ão tanto a pessoas singulares como a pessoas coletivas.

Metadados protegidos e alargamento a informação de IoT

Segundo a informação partilhada, no âmbito do mandato do Conselho, o regulamento aplicar-se-á ao conteúdo das comunicações eletrónicas transmitido através de serviços e redes acessíveis ao público, bem como aos metadados relacionados com a comunicação. Estes abrangem, por exemplo, informações sobre a localização, a hora e o destinatário da comunicação, sendo considerados potencialmente tão sensíveis como o conteúdo.

Para assegurar a plena proteção dos direitos à privacidade e promover uma Internet das Coisas (IoT) fiável e segura, as regras serão igualmente extensivas aos dados máquina-a-máquina transmitidos através de uma rede pública.

"As regras aplicar-se-ão quando os utilizadores finais se encontrem na UE, abarcando igualmente os casos em que o tratamento ocorra fora da UE ou em que o prestador de serviços esteja estabelecido ou localizado fora da UE", refere ainda o documento.

Pela indicações partilhadas, os dados de comunicações eletrónicas serão confidenciais. "Qualquer interferência, incluindo a escuta, o controlo e o tratamento de dados por outra pessoa que não o utilizador final, será proibida, a não ser que o regulamento relativo à privacidade e às comunicações eletrónicas a permita", refere-se.

Proteção de dados: Hoje é apenas o primeiro dia do resto das nossas vidas com o RGPD
Proteção de dados: Hoje é apenas o primeiro dia do resto das nossas vidas com o RGPD
Ver artigo

O tratamento autorizado de dados de comunicações eletrónicas sem o consentimento do utilizador engloba, por exemplo, a garantia da integridade dos serviços de comunicações, a verificação da presença de programas maliciosos ou vírus, ou ainda casos em que o prestador de serviços esteja vinculado pela legislação da UE ou dos Estados-Membros em matéria de repressão de infrações penais ou de prevenção de ameaças à segurança pública!.

Está prevista a possibilidade do tratamento de metadados, nomeadamente, para efeitos de faturação ou para detetar ou impedir utilizações fraudulentas dos serviços. Com o consentimento do utilizador, os prestadores de serviços poderão, designadamente, utilizar metadados para apresentar os movimentos de tráfego, a fim de ajudarem as autoridades públicas e os operadores de transporte a desenvolver novas infraestruturas onde estas sejam mais necessárias.

Refere-se ainda que os metadados também podem ser tratados para proteger interesses vitais dos utilizadores, nomeadamente para monitorizar epidemias e a sua propagação ou em situações de emergência humanitária, em especial catástrofes naturais ou provocadas pelo homem.

Exceções ao tratamento dos metadados e consentimento dos utilizadores

A informação da presidência portuguesa destaca ainda que, em certos casos, os fornecedores de redes e serviços de comunicações eletrónicas podem tratar metadados para fins diferentes daqueles para os quais estes foram recolhidos, mesmo que tal não pressuponha o consentimento do utilizador ou seja fundamentado em determinadas disposições respeitantes a medidas legislativas adotadas ao abrigo do direito da UE ou dos Estados-Membros. "Este tratamento para outros fins deve ser compatível com a finalidade inicial, aplicando-se-lhe firmes salvaguardas específicas", pode ler-se na informação partilhada.

Há ainda um ponto especial relativo aos smartphones, computadores e outros equipamentos. "Uma vez que o equipamento terminal do utilizador, incluindo o hardware e o software, pode armazenar informações altamente pessoais, como fotografias e listas de contactos, a utilização das capacidades de tratamento e armazenamento e a recolha de informações contidas no dispositivo só serão permitidas com o consentimento do utilizador ou para outros fins específicos e transparentes estabelecidos no regulamento".

Isto significa que o utilizador final deverá poder escolher se aceita ou não os cookies de ligação ou identificadores semelhantes. "O acesso a um sítio Web dependente do consentimento da utilização de cookies de ligação para outros fins como alternativa a um sistema de acesso pago será permitido se o utilizador puder escolher entre essa oferta e uma oferta equivalente do mesmo prestador que não implique o seu consentimento a respeito da utilização de testemunhos de conexão", indica-se.

Para evitar o chamado "cansaço do consentimento" à utilização de cookies, o utilizador final terá a possibilidade de consentir que sejam utilizados , estabelecendo nas predefinições do seu browser permissões para um ou vários prestadores. Os fornecedores de software serão incentivados a facilitar que os utilizadores criem e alterem permissões nos seus programas de navegação e retirem o seu consentimento a qualquer momento.

O texto que foi aprovado inclui ainda regras em matéria de identificação online, listas públicas, comunicações não solicitadas e marketing direto.

Depois da aprovação do regulamento no Parlamento Europeu e da publicação no Jornal Oficial da UE está previsto um período de transição de dois anos até à sua aplicação, como aconteceu com o RGPD.