Outra legislação da UE em matéria de proteção de dados
Algumas utilizações de dados pessoais não estão abrangidas pelo Regulamento Geral de Proteção de Dados (RGPD) e são regidas por atos legislativos distintos.
Por exemplo, a Diretiva relativa à aplicação da lei estabelece normas de proteção de dados no domínio das infrações penais e das sanções. A menos que uma questão de proteção de dados se enquadre claramente nos termos da Diretiva de Aplicação da Lei, será regida pelo RGPD. A Diretiva de Aplicação da Lei é implementada na legislação irlandesa através da Lei de Proteção de Dados de 2018.
Outra área onde existe um conjunto específico de regras é em relação ao tratamento de dados de passageiros de companhias aéreas para prevenir e reprimir crimes graves e terrorismo. Isto é regido pela Diretiva de Registro de Nome de Passageiro e pelos Regulamentos da União Europeia (Dados de Registro de Nome de Passageiro) de 2018.
Diretiva de aplicação da lei
A Diretiva de Aplicação da Lei (Diretiva 2016/680) regula especificamente o tratamento de dados pelas autoridades policiais e de justiça criminal na UE, como a An Garda Síochána. A diretiva exige que os dados recolhidos pelas autoridades responsáveis ​​pela aplicação da lei sejam:
- Processado de forma legal e justa
- Coletados para finalidades específicas, explícitas e legítimas e processados ​​apenas de acordo com essas finalidades
- Adequado, relevante e não excessivo em relação à finalidade para a qual é processado
- Preciso e atualizado quando necessário
- Conservado num formato que permita a identificação do indivíduo durante o período não superior ao necessário para a finalidade do tratamento
- Devidamente protegido, incluindo proteção contra processamento não autorizado ou ilegal
A diretiva exige que as autoridades responsáveis ​​pela aplicação da lei façam uma distinção clara entre os dados de diferentes categorias de pessoas, tais como:
- Suspeitos de infração
- Infratores condenados
- Outras testemunhas
As autoridades nacionais devem implementar medidas para garantir um nível de segurança dos dados pessoais, por exemplo, impedindo o acesso de pessoas não autorizadas aos equipamentos de processamento; impedir a leitura, cópia, alteração ou remoção não autorizada de dados; e impedir a entrada, visualização, alteração ou exclusão não autorizada de dados pessoais armazenados.
Os titulares dos dados têm direitos semelhantes ao abrigo da Diretiva de Aplicação da Lei e ao abrigo do RGPD, tais como direitos à informação, acesso, retificação de informações incorretas, apagamento e ser notificado de violações de dados.
No entanto, há maior margem para que estes direitos sejam limitados do que no âmbito do RGPD. Esses direitos podem ser restringidos, se for proporcional e necessário, a
- Evitar obstruir investigações ou procedimentos oficiais ou legais
- Evitar prejudicar a prevenção, detecção, investigação ou repressão de infracções penais ou a execução de sanções penais
- Proteger a segurança pública ou nacional
- Proteger os direitos e liberdades de outras pessoas.
Diretiva de Registro de Nome de Passageiro
A Diretiva dos Registos de Identificação dos Passageiros (PNRD) (Diretiva 2016/681) regula a utilização de dados dos registos de identificação dos passageiros (PNR) na UE para a prevenção, deteção, investigação e repressão de infrações terroristas e crimes graves.
Os dados PNR são informações pessoais fornecidas pelos passageiros e recolhidas e conservadas pelas companhias aéreas. Inclui:
- Datas de viagem
- Itinerário de viagem
- Informações sobre ingressos
- Detalhes do contato
- Meio de pagamento utilizado
- Informações sobre bagagem
Cada Estado-Membro da UE dispõe de uma Unidade de Informações de Passageiros (UIP), que é responsável pela recolha, armazenamento e tratamento de dados PNR, bem como pela transferência desses dados ou dos resultados do seu tratamento para as autoridades nacionais competentes de outros Estados-Membros e para a Europol. A UIP irlandesa opera sob a alçada do Departamento de Justiça.
As companhias aéreas devem fornecer às UIP dos Estados-Membros da UE os dados PNR dos voos que entram ou partem da UE. A diretiva também permite, mas não exige, que os Estados-Membros da UE recolham dados PNR relativos a voos internos selecionados da UE.
Os dados fornecidos pelas companhias aéreas serão armazenados numa base de dados por uma UIP durante 5 anos. Após seis meses de armazenamento, os dados PNR devem ser despersonalizados para que o titular dos dados deixe de ser imediatamente identificável.
Os dados recolhidos só podem ser tratados para prevenir, detetar, investigar e reprimir infrações terroristas e crimes graves. Os crimes graves incluem homicídio, agressões graves, participação em organização criminosa, tráfico de seres humanos e de drogas e exploração sexual de crianças.
Os dados só deverão ser tratados nos seguintes casos:
- Para uma avaliação pré-chegada dos passageiros em relação a critérios de risco pré-determinados
- Para uso em investigações ou processos específicos
- Como contributo para o desenvolvimento de critérios de avaliação de risco
Os Regulamentos da UE (dados PNR) de 2018 transpuseram o PNRD para a legislação irlandesa.
Há mais informações sobre a Diretiva de Aplicação da Lei sobre proteção de dados.