:.~- ...•.... . ,',A'. . ..... , . \, .!(J

<:i:W?

Comissão Nacional de

Protecção de Dados

Processo n." 222/2019

l-Pedido

Dignou o Banco de Cabo Verde (BCV) solicitar à Comissão Nacional de Protecção de Dados (CNPD) a emissão de parecer sobre a proposta de "Protocolo de Colaboração entre o Banco de Cabo Verde (BCV) e o Ministério das Finanças (MF)", adiante Protocolo.

o protocolo tem por finalidade formalizar e fortalecer a colaboração institucional existente entre o BCV e o MF em matéria de produção estatísticas oficiais e de avaliação do risco de crédito.

No âmbito das suas atribuições, a CNPD dispõe de poder de emitir pareceres prévios ao tratamento de dados pessoais, nos termos da alínea c), n." 2, do artigo 8.° da Lei n." 42NIIl/2013, de 17 de setembro, que regula a composição, competência, organização e funcionamento da CNPD.

Com efeito, a nossa apreciação incidir-se-á especialmente sobre matérias relativas a proteção de dados pessoais 1.

Cumpre assim emiti-lo.

1 Dados pessoais: qualquer informação, de qualquer natureza, e independentemente do respetivo suporte, incluindo som e imagem relativa a uma pessoa singular identificada ou identificável, «titular dos dados», nos termos da alínea a) do n." 1 da Lei n.? 133N/2001, de 22 de janeiro, alterada pela Lei n." 4 lN111/20 13, de 17 de setembro, que aprova o regime jurídico geral de proteção de dados pessoais das pessoas síngulares. Acresce o n." 2 do artigo 5.° da mesma Lei que é considerada identificável a pessoa que possa ser identificada, direta ou indiretamente, designadamente por referência a um número de identificação ou a um ou mais elementos específicos da sua identidade fisica, fisiológica, psíquica, económica, cultural ou social.

1~· Contribuinte N°: 370636406, Av, Da China, Rampa da Terra Branca, Apartado 1002, c.p, 7600, Praia, Te!: (238) 5340390,

cnpd@cnpd,cv, www.cnpd.cv

Comissão Nacional de

Protecção de Dados

11- Apreciando,

1- Estribando-se nas respetivas atribuições e na colaboração institucional, o BCV e MF pretendem celebrar o protocolo ora em apreciação com vista, por um lado, à contínua melhoria da qualidade das estatísticas do país e, por outro lado, ao aprimoramento do ecossistema de financiamento da economia, de acordo com a Cláusula Primeira.

A materialização deste protocolo passará sobretudo pelo intercâmbio de informações a que se refere a Cláusula Quarta.

2- Ora, de entre as informações descritas na Cláusula Quarta destacam-se apenas as que são passíveis de integrar o conceito de dados pessoais, ou seja, as que identificam ou que são suscetíveis de identificar pessoas singulares.

São, portanto, as informações relativas à identificação fiscal de pessoas singulares, incluindo toda a informação de identificação das, mesmas, número de bilhete de identidade, cartão nacional de identificação ou passaporte e filiação; à atividade comercial do empresário (em nome individual), a qual também corresponde à sua atividade profissional; a lista das pessoas singulares de dívidas fiscais; e os dados de créditos concedidos pelos bancos no quadro do protocolo ecossistema.

3- As informações referentes às dívidas fiscais e aos dados de créditos concedidos pelos bancos, quando determinem a identificação de uma pessoa singular ou sej am suscetíveis dessa identificação, são elementos da sua vida privada-.

Por conseguinte, são dados pessoais sensíveis nos termos do n." 1 do artigo 8.° da Lei n.? 133N/2001, de 22 de janeiro, alterada pela Lei n." 4INIIII2013, de 17 de setembro, que aprova o regime jurídico geral de proteção de dados pessoais das pessoas singulares, daqui em diante designada por LPDP.

2 "A situação patrimonial (relação entre passivo e ativo), os bens, os créditos e os meios patrimoniais de existência, a respetiva origem, os débitos e respect6ivas circunstâncias são elementos da vida privada, sem prejuízo de exigências fiscais, de participação política (v.g. declaração de bens e rendimentos dos titulares de cargos políticos) ou de justiça". Capelo de Sousa, Rabindranath Valentino Aleixo, O DIREITO GERAL ~ DE PERSONALIDADE, reimpressão, Coimbra Editora, página 323, nota 814. ~ •

Contribuinte N°: 370636406, Av. Da China, Rampa da Terra Branca, Apartado 1002, C.P. 7600, Praia, Tel: (238) 5340390, cnpd@cnpd.cv, www.cnpd.cv

Comissão Nacional de

Protecção de Dados

4- O intercâmbio dessas informações na modalidade proposta pela Cláusula Quarta configura tratamento de dados".

Ora, atenta a sensibilidade dos dados antes referidos e a necessidade de salvaguardar o sigilo bancário e o profissional, o tratamento desses dados deve ter uma das seguintes condições de legitimidade: uma lei de autorização, consentimento expresso do titular de dados e autorização da CNPD ou quando se destinem a processamento de dados estatísticos não individualmente identificáveis, nos termos do n." 2 do artigo 45.° da Constituição, do artigo 8.° e da alínea a) do n." 1 do artigo 24.°, ambos da LPDP.

Por outro lado, o intercâmbio de dados pessoais relativos às dívidas fiscais e aos créditos concedidos pelos bancos constitui tratamento de dados pessoais pertencentes ao crédito e à solvabilidade dos seus titulares.

O tratamento de dados pessoais pertencentes ao crédito e à solvabilidade dos seus titulares deve ter igualmente como fundamento jurídico uma lei, caso contrário, carece de autorização da CNPD, nos termos do disposto na alínea b) do n." 1 do artigo 24.° da LPDP.

5- O BCV dispõe de um serviço de centralização de risco de crédito (Central de Risco de Crédito) 4, o qual tem por escopo a centralização dos elementos informativos respeitantes aos riscos de concessão e aplicação de crédito por parte das instituições jinance iras de crédito, nos termos do n. ° 1 do artigo 1.° do Decreto­ lei n.? 36/95, de 17 de julho.

A Central de Risco de Crédito contem informações referentes às operações realizadas pelas instituições de créditos com as pessoais singulares ou coletivas, pelo que, essas informações são recolhidas por aquelas e comunicadas, através de uma rede privada, ao BCV, nos termos dos n.os 2 e 3 do artigo 1.0 e artigo 2.° do Decreto-lei antes referido e da Autorização da CNPD n." 81/2018, de 24 de maio de 20185•

3 "Qualquer operação ou conjunto de operações sobre dados pessoais efetuadas, total ou parcialmente, com ou sem meios automatizados, tais como a recolha, o registo, a organização, disponíbilização e comunicação, nos termos da alínea b), n.01, do artigo 5.° da LPDP. 4 Veja o caderno "Central de Risco de Crédito", Banco de Cabo Verde, Praia, 2011, disponível em http://www.bcv.cv/v PT /Supervisao/centralderiscodecreditolDocuments/CentralRisco Webf ll.pdf sln http://www.cnpd.cv/doc.php?&id=477

Contribuinte N°: 370636406, Av. Da China, Rampa da Terra Branca, Apartado 1002, C.P. 7600, Praia, Tel: (238) 5340390, cnpdíaJcnpd.cv, www.cnpd.cv

Comissão Nacional de

Protecção de Dados

..

As informações assim recolhidas apenas poderão ser usados para os fins de serviço de centralização de risco de crédito ou os de elaboração de estatísticas e são comunicados às instituições de crédito, nos termos do disposto nos artigos 3.°, 4.° e 5.° do referido Decreto-lei e da Autorização da CNPD n. ° 81/2018, de 24 de maio de 2018.

6- Não se descortina, portanto, nenhuma lei de autorização e nem autorização da CNPD para que o MF disponibilize ao BCV, semanalmente, ficheiros atualizados de identificação fiscal com novos registos de pessoais singulares e nem listagem atualizada de pessoas singulares com dívidas fiscais, nos termos propostos pelas subalíneas i. e ii. da alínea a) do n.? 2 da Cláusula Quarta do Protocolo, para fins de avaliação de risco de crédito.

Deste modo, antes da assinatura do Protocolo de Colaboração em análise, impõe­ se que se verifique fundamento jurídico para o tratamento de dados pessoais antes referidos, ou seja, na ausência de lei de autorização, os responsáveis pelo tratamento de dados devem solicitar uma autorização da CNPD antes de firmarem o protocolo, de acordo com o dispositor no n." 1 do artigo 8.°, n." 1 do artigo 23.°, alíneas a) e b) do n.? 1.0 do artigo 24.° e artigo 26.°, todos da LPDP e na alínea a) do n. ° 1 do artigo 10.° da Lei n. ° 42NIII/20 13, de 17 de setembro.

7- Em relação à disponibilização de informações. para fins estatísticos, entende a CNPD que as informações devem ser agregadas e anonimizadas, ou seja, insuscetíveis de determinar a pessoa singular titular de dados. Quando assim é, não se aplica as regras de proteção de dados, pois não está em causa tratamento de dados pessoais.

8- O princípio da finalidade é fundamental na determinação da justificação e da legitimidade do tratamento de dados, razão pela qual, em regra, os dados pessoais devem ser recolhidos para finalidades determinadas, explícitas e legítimas, não podendo ser posteriormente tratados de formas incompatível com essas finalidades, de acordo com o disposto na alínea b) do n." 1 do artigo 6.° da LPDP.

A finalidade subjacente à recolha dos dados pelo MF é diversa da que se pretende dar com a sua comunicação ao BCV, razão pela qual impõe-se aquilatar da compatibilidade entre a finalidade inicial e a posterior do tratamento.

Contribuinte N°: 370636406, Av. Da China, Rampa da Terra Branca, Apartado 1002, C.P. 7600, Praia, TeJ: (238) 5340390, cnpd@cnpd.cv, www.cnpd.cv

Comissão Nacional de

Protecção de Dados

Dispõe a alínea d) do n.? 1 do artigo 24.° da LPDP que, salvo se autorizado por diploma legal, carece de autorização da CNPD a utilização de dados pessoais para fins não determinantes da recolha.

A este respeito estipula ainda a alínea b) do n." 1 do artigo 10.° da Lei n." 42NIlI/2013, de 17 de setembro, que compete em especial à CNPD autorizar excecionalmente a utilização de dados pessoais para finalidades não determinantes da recolha, com respeito pelos princípios definidos na lei.

No caso em apreço, ficou claro que o tratamento na fase de comunicação que se pretende efetuar não estava e nem está previsto no memento da recolha das informações bem como não está autorizado por lei, razão pela qual carece de autorização da CNPD. Para tanto, o responsável pelo tratamento deve notificar à CNPD nos termos do artigo 23.° n." 1 da LPDP.

111- Conclusão

De todo o exposto a CNPD é parecer que:

1. O intercâmbio das informações referentes à identificação fiscal, às dívidas fiscais e aos dados de créditos concedidos pelos bancos, quando determinem a identificação de uma pessoa singular ou sejam suscetíveis dessa identificação constitui, por um lado, tratamento de dados pessoais sensíveis e, por outro lado, tratamento de dados relativos ao crédito e à solvabilidade dos seus titulares;

11. Está em causa tratamento de dados para finalidades não determinantes da recolha de dados;

111. Não se descortina nenhuma lei autorizando o tratamento dos dados referidos nos pontos anteriores, pelo que cabe à CNPD, mediante notificação dos responsáveis pelo tratamento, efetuar controlo prévio e emitir a competente autorização;

Contribuinte N°: 370636406, Av. Da China, Rampa da Terra Branca, Apartado 1002, C.P. 7600, Praia, Tel: (238) 5340390, cnpdía>cnpd.cv. www.cnpd.cv

Comissão Nacional de

Protecção de Dados

IV. A assinatura do Protocolo de Colaboração em apreço, nesse particular, deve ser precedida de controlo prévio por parte da CNPD e emissão da competente autorização.

Salvo melhor entendimento, este é o parecer da CNPD.

Praia, 26 de julho de 2019

6 Contribuinte N°: 370636406, Av. Da China, Rampa da Terra Branca, Apartado 1002, C.P. 7600, Praia, Tel: (238) 5340390,

cnpdéa)cnpd.cv, www.cnpd.cv