304

II SÉRIE-C — NÚMERO 34

antes no dever de sigilo profissional, quer na vertente dos profissionais das telecomunicações, quer na da protecção de dados pessoais informatizados, uma vez que esse dado existe em ficheiro informatizado.

Os referidos sigilos, quando em colisão com o também constitucionalmente garantido «acesso ao direito e tutela jurisdicional efectiva», na vertente do «direito à acção», devem ceder e dar a primazia a este, atenta a sua característica pública, no sentido de garantir a «paz social», contrastando com o interesse privado. Considerou-se nula a danosidadé social resultante da comunicação de tal dado, perante e em confronto com a resultante da violação do direito à acção, constituindo medida equilibrada e proporcionada.

Sendo o único meio ao dispor do tribunal para apurar a morada do réu e estando garantida a mínima utilização de tal informação, limitada apenas àquele fim — a citação do réu —, considerou a Comissão legítima a requisição judicial da informação.

Acesso da Polícia Judiciária a base de dados não sensíveis

Determinada empresa requereu autorização para ceder à Polícia Judiciária elementos identificativos de determinado cliente, constantes da sua base de dados de marketing. O acesso da PJ a base de dados não sensíveis, como é o caso, para mera identificação complementar de determinada pessoa não carece de uma decisão de intermediação da Comissão. Porque, integrado nas atribuições da PJ, o acesso em causa encontra a sua legitimidade em disposição legal (artigo 7.° do Decreto-Lei n.° 259-A/90, de 21 de Setembro), nada obstando a que se efectue essa comunicação.

Comunicação de dados ao SIS

A possibilidade de comunicação de dados do sistema integrado do Serviço de Estrangeiros e Fronteiras, por força do Decreto Regulamentar n.° 4/95, de 31 de Janeiro, é admissível se se destinar a uma força de segurança ou a um serviço público, disser respeito a um caso determinado, os serviços ou forças de segurança em causa estejam devidamente identificados e a informação pedida se integre no quadro das atribuições da entidade requisitante. É necessário também que exista obrigação e autorização legal, autorização expressa da CNPDPI e, cumulativamente, os dados sejam indispensáveis ao destinatário desde que a sua finalidade não seja incompatível com a finalidade determinante da recolha.

Na medida em que o SIS integra os Serviços de Informação da República, o processamento de informação pessoal por este serviço está excluído do âmbito de aplicação da Lei n.° 10/91, de 29 de Abril, por força do n.° 3 do artigo 3." Não está, contudo, excluído das regras constitucionais, designadamente do artigo 35.° da CRP. As polícias aplicam-se as regras constantes da lei de protecção de dados pessoais. O Serviço de Informação e Segurança (SIS) carece de habilitação legal para aceder ao sistema de informações do SEF. Integrando o SIS 0 sistema de forças de segurança interna, poderão ser-\he comunicados dados que constem do SEF, nas condições acima descritas, desde que seja possível determinar os fundamentos para o acesso.

Dados destinados à definição de perfis de consumidor

Uma empresa recolhe dados relativos às preferências dos consumidores quanto a determinados produtos.

Considerou a Comissão que a empresa em questão deve indicar, no documento de recolha de dados, que os dados serão segmentados e utilizados para a definição de perfis de consumidores, expressamente e de forma visível, e que o ficheiro se destina a ser cedido a terceiros para a finalidade de marketing directo.

Também determinou que o nome do cônjuge só pode constar do ficheiro se este, expressamente e nas mesmas condições do titular, o autorizar.

Este ficheiro não poderá, em nenhuma circunstância, ser cruzado com outros ficheiros.

A Comissão deve ser informada dos critérios utilizados na definição de perfis de consumidor.

Deve ser mantida uma lista de entidades a quem foram cedidos os dados pàrà fins de controlo e de auditoria da Comissão.

Transferência de dados pessoais para EUA

Uma empresa solicitou autorização à CNPDPI para,a transferência de dados constantes do seu ficheiro de pessoal para a casa-mãe nos Estados Unidos da América. Foram pedidos esclarecimentos quanto às garantias que a empresa-mãe poderia assegurar por forma a avaliar-se da existência de protecção adequada dos dados pessoais transferidos para os EUA. Neste contexto, foi apresentada uma declaração, pela destinatária dos dados em causa, nos termos da qual se compromete a não transmitir a terceiros os dados pessoais recebidos da empresa portuguesa e a conferir ao tratamento desses dados as garantias previstas na legislação portuguesa de protecção de dados e na Convenção n.° 108 do Conselho da Europa.

PARTE III Decisões da CNPD Deliberações Deliberação n.9 9/98

A empresa S... (adiante designada S...) veio requerer à Comissão que esta emitisse deliberação sobre a conformidade com a Lei n.° 10/91, de 29 de Abri), de uma iniciativa de marketing que pretende concretizar com o banco E...

Em resumo:

O E... dirigirá uma campanha de marketing junto dos titulares de cartões de crédito, promovendo um livro editado pelas S.... Para tal utilizará o ficheiro desses clientes, apenas quanto ao nome e morada. Junto a este envelope (colado a este) seguirá, para o mesmo universo, uma carta das S... — sob controlo e responsabilidade daquela instituição financeira. As S... só terão acesso aos clientes E... que responderem e solicitarem a compra do livro.

As duas questões a dirimir, em matéria de protecção

de dados pessoais informatizados, são a da conformidade da utilização dos dados,com a finalidade do ficheiro e, caso se verifique que tal processamento é legalmente possível, as condições em que tal utilização deve ocorrer.