20 DE JULHO DE 1996

174-(307)

e o endereço do seu responsável» (artigo 13.°, n.° 1, da Lei n.° 10/91, de 29 de Abril);

A finalidade da recolha deve ser conhecida pelo titular dos dados antes de se proceder à sua recolha [cf. os artigos 12.°, n.°3, e 22.°, alínea e)]\

Quando os dados são recolhidos através de impresso, impõe o artigo 22.°, entre outros requisitos, que sejam especificados os destinatários das informações.

Sendo uma das finalidades do ficheiro a «captação de novos clientes», assume particular relevância o direito de informação e de «eliminação» que assiste ao titular dos dados (artigo 30.°, n.° 3, da Lei n.° 10/91);

As entidades que fornecem a informação só podem fazê-lo desde que esse procedimento se enquadre no âmbito da finalidade do ficheiro (cf. o artigo 15." da Lei n.° 10/91), desde que os titulares dos dados tenham conhecimento do seu destino e utilização [artigos 12.°, n.° 3, 13.°, n.° 1, e 22.°, alíneas d) e e), da Lei n.° 10/91] e o ficheiro esteja legalizado nessa perspectiva junto da CNPDPI [artigo 18.°, alínea f), da Lei n.° 10/91].

O A... deverá, previamente ao tratamento, informar os titulares dos dados da existência de ficheiro a seu respeito, finalidade da recolha de dados e destinatários da informação. Assim, em relação aos dados existentes relativos a «potenciais clientes», deve o A... assegurar o direito de informação, de acesso e de eliminação (no domínio da mala directa) se for manifestada essa vontade da parte dos titulares.

Em relação aos cupões, verifica-se que o texto não satisfaz as exigências do artigo 22.° da Lei n.° 10/91. Não vem especificada a natureza obrigatória ou facultativa da resposta [alínea b)], as condições de acesso, rectificação e eliminação [alínea g)]. Por isso, o texto deve ser reformulado.

3 — O A... procede à recolha indirecta de dados sensíveis [especificados no artigo 11.°, n.° 1, alínea b), da Lei n.° 10/91] «junto de entidades registrais e de outras instituições de crédito» e de «empresas de informação especializadas».

A recolha e tratamento desta informação não tem autorização expressa, prévia ou posterior, do titular dos dados.

O artigo 12.° da Lei n.° 10/91 estabelece os princípios da recolha de dados:

Deve efectuar-se de forma lícita e não enganosa (n.° 1); Deve processar-se em estrita adequação e pertinência

à finalidade que a determinou (n.° 2); A finalidade da recolha deve ser conhecida antes do

seu início (n.° 3).

Relativamente à recolha e tratamento de informação sensível (v. g., sobre situação patrimonial), só há legitimidade para o seu tratamento se esta for obtida «com o consentimento dos titulares, com conhecimento do seu destino e utilização» ou resultar de «obrigação contratual» (artigo 17.°, n." 2, da Lei n." 10/91, na redacção da Lei n.° 28/94).

De acordo com os princípios enunciados, entende esta Comissão que aquela informação só pode ser obtida junto das «entidades externas» se houver autorização prévia do titular, o acto de recolha resultar de disposição legal (v. g., cheques) ou cláusula contratual previamente estabelecida. Nesse caso, deverá constar do impresso de recolha de dados a possibilidade de recolha junto dessas entidades.

Em relação à recolha desses dados — quando tratados automaticamente —, deve ser dada particular atenção' ao cumprimento do princípio da finalidade consagrado no artigo 15.° da Lei n.° 10/91.

4 — O A... solicita autorização para «disponibilizar a consulta de dados às empresas que fazem parte do grupo». No grupo'A... há situações diferenciadas a considerar:

4.1 — Há empresas que utilizam o suporte aplicacional do A... para prossecução da sua actividade: B...

Estas empresas acedem, de acordo com o artigo 83.° do Decreto-Lei n.° 298/92, de 31 de Dezembro, à «generalidade da informação do A...»;

4.2 — Há empresas que exercem actividade no domínio financeiro que, dispondo de suporte aplicacional próprio, acedem à informação «com o fim específico de minimizarem os riscos próprios das suas actividades e garantirem a segurança das operações» (cf. o artigo 83.° do Decreto-Lei n.° 298/92): C...;

4.3 — Outras empresas acedem «a informação tratada pelo A... enquanto banco depositário dos títulos por elas geridos, no âmbito das regras próprias que regem a sua actividade e para efeitos de reconciliação da informação recíproca»: D...;

4.4 — Os colaboradores das empresas seguradoras acedem a «aplicações de carácter instrumental geral, nomeadamente a correio electrónico, lista telefónica interna, mercado de câmbios e cotações de bolsa. Podem aceder à informação específica dos produtos e serviços de que são titulares no grupo A...»: F...

Nesta última situação não há consulta de dados pessoais.

Em sede de utilização de dados devemos considerar o artigo 5.°, alínea c), da Convenção do Conselho da Europa, ratificada através do Decreto do Presidente da República n.° 21/93, e o disposto nos artigos 12.°, n.° 3, 15.°, 17.°, n.° 2, e 18.°, alínea /), da Lei n.° 10/91, de 29 de Abril, na redacção dada pela Lei n.° 28/94 de 28 de Agosto.

De acordo com estes preceitos é legítima a comunicação de dados pessoais (nomeadamente de «dados sensíveis») a outras entidades desde que se verifiquem, cumulativamente, os seguintes requisitos:

A comunicação seja conhecida do titular no momento da recolha e o titular tenha dado o consentimento escrito para a sua utilização;

A sua utilização não seja incompatível com as finalidades determinantes da recolha;

Esse procedimento seja consentido pela CNPDPI no âmbito do pedido de autorização, nos termos dos artigos 17.°, n.° 2, e 18.°, alínea f), da Lei n.° 10/91.

No caso em apreço, o A... já obtém a autorização escrita do cliente para a consulta da informação por parte das instituições do grupo, ainda que através de uma formulação que se nos afigura demasiado genérica.

Em relação à informação disponibilizada, nos termos do pedido de autorização, afigura-se-nos que a sua utilização não é incompatível com as finalidades determinantes da recolha. Na generalidade das situações a consulta é efectuada no âmbito dos riscos de crédito e para segurança das operações (fundamentada, por isso, no artigo 83.° do Decreto-Lei n.° 298/92). Para situações de consulta mais específica deve o A... exigir da empresa do grupo uma autorização expressa do cliente, nomeadamente para obviar à violação do sigilo bancário.

5 — Em relação ao prazo de conservação dos dados, o A... considera desejável e adequado um prazo de 20 anos.