Diretrizes n.º 4/2020 – Utilização de Dados de Localização e Ferramentas de Contact Tracing no Contexto do surto de COVID-19

Consulte aqui o documento original

O Comité Europeu para a Proteção de Dados

Tendo em conta o artigo 70.º, n. º1, alínea e), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, e que revoga a Diretiva 95/46/CE (a seguir designado como «RGPD»);

Tendo em conta o Acordo EEE, nomeadamente o anexo XI e o Protocolo n.º 37, com a redação que lhe foi dada pela Decisão do Comité Misto do EEE n. º 154/2018, de 6 de julho de 2018^[1] As referências aos « Estados-Membros » feitas ao longo do presente documento devem ser entendidas como referências aos « Estados-Membros do EEE »;

Tendo em conta os artigos 12.º e 22.º do seu Regulamento Interno.

ADOTOU AS SEGUINTES DIRETRIZES:

1 INTRODUÇÃO E CONTEXTO

1 Governos e atores privados estão a voltar-se para o uso de soluções baseadas em dados como parte da resposta à pandemia COVID-19, levantando inúmeras preocupações com a privacidade.
2 O CEPD sublinha que o quadro jurídico de proteção de dados foi concebido para ser flexível e, como tal, é capaz de obter uma resposta eficaz na limitação da pandemia e na proteção dos direitos humanos e das liberdades fundamentais.
3 O CEPD acredita firmemente que, quando o tratamento de dados pessoais é necessário para a gestão da pandemia COVID-19, a proteção de dados é indispensável para construir confiança, criar as condições de aceitação social de qualquer solução e, assim, garantir a eficácia dessas medidas. Uma vez que o vírus não conhece fronteiras, parece preferível desenvolver uma abordagem europeia comum em resposta à atual crise ou, pelo menos, criar um quadro interoperável.
4 No geral, o CEPD considera que dados e tecnologias usadas para ajudar a combater a COVID19 devem ser usados para capacitar, em vez de controlar, estigmatizar ou reprimir indivíduos. Além disso, embora os dados e a tecnologia possam ser ferramentas importantes, eles têm limitações intrínsecas e podem apenas alavancar a eficácia de outras medidas de saúde pública. Os princípios gerais de eficácia, necessidade e proporcionalidade devem orientar qualquer medida adotada pelos Estados-Membros ou pelas instituições da UE que envolvam o tratamento de dados pessoais para combater a COVID-19.
5 Estas orientações clarificam as condições e princípios para a utilização proporcionada dos dados de localização e dos instrumentos de localização, para dois fins específicos:
 utilizar dados de localização para apoiar a resposta à pandemia, modelando a propagação do vírus, de modo a avaliar a eficácia global das medidas de confinamento;
 rastreamento de contactos, que visa notificar os indivíduos de que estiveram próximos de alguém que foi confirmado como portador do vírus, a fim de, rapidamente, quebrar as cadeias de contaminação.

6 A eficiência da contribuição das aplicações de rastreio de contacto para a gestão da pandemia depende de muitos fatores (por exemplo, percentagem de pessoas que a instalariam; definição de «contacto» em termos de proximidade e duração). Além disso, essas aplicações têm de fazer parte de uma estratégia global de saúde pública para combater a pandemia, incluindo, nomeadamente, os testes e subsequentes estabelecimentos de contacto para efeito de
confirmação. A sua implementação deve ser acompanhada de medidas de apoio para garantir que as informações fornecidas aos utilizadores sejam contextualizadas e que os alertas possam ser úteis ao sistema público de saúde. Caso contrário, estas aplicações podem não atingir o seu objectivo.
7 O CEPD salienta que o RGPD e a Diretiva 2002/58/CE (Diretiva «ePrivacy») contêm regras específicas que permitem a utilização de dados anónimos ou pessoais para apoiar as autoridades públicas e outros intervenientes a nível nacional e da UE na monitorização e na disseminação do vírus SARS-CoV2.^[2]Ver a declaração anterior do CEPD sobre o surto de COVID 19
8 A este respeito, o CEPD já tomou posição sobre a utilização de tais aplicações de rastreamento de contacto dever ser voluntária e não dever depender do rastreamento de movimentos individuais, mas sim de informações de proximidade sobre os utilizadores^[3]https://EDPB.europa.eu/sites/edpb/files/files/file1/edpbletterecadvisecodiv-appguidance final.pdf.

2 UTILIZAÇÃO DOS DADOS DE LOCALIZAÇÃO

2.1 Fontes de dados de localização

9 Existem duas principais fontes de dados de localização disponíveis para modelar a propagação do vírus e a eficácia global das medidas de confinamento:
• dados de localização recolhidos pelos prestadores de serviços de comunicações eletrónicas (como os operadores de telecomunicações móveis) durante a prestação do seu serviço; bem como
• dados de localização recolhidos pelas aplicações dos prestadores de serviços da sociedade da informação cuja funcionalidade exige a utilização desses dados (por exemplo, navegação, serviços de transporte, etc.).
10 O CEPD recorda que os dados de localização recolhidos junto dos fornecedores de comunicações eletrónicas^[4]Ver artigo 2.º, alínea c), da Diretiva «ePrivacy só podem ser tratados no âmbito das atribuições dos artigos 6.º e
9.º da Diretiva «ePrivacy». Isto significa que estes dados só podem ser transmitidos às autoridades ou a terceiros se tiverem sido anonimizados pelo fornecedor ou, relativamente a dados que indiquem a posição geográfica do equipamento terminal de um utilizador, que não sejam dados de tráfego, com o consentimento prévio dos utilizadores.^[5]Ver artigos 6.º e 9.º da Diretiva «ePrivacy»
11 No que se refere às informações, incluindo dados de localização, recolhidas diretamente do equipamento terminal, aplica-se o n.º 3 do artigo 5.º da Diretiva «ePrivacy». Assim, o armazenamento de informações no dispositivo do utilizador ou o acesso às informações já armazenadas só é permitido se (i) o utilizador tiver dado consentimento^[6]A noção de consentimento na Diretiva «ePrivacy» continua a ser a noção de consentimento no RGPD e deve atender a todos os requisitos do consentimento conforme previsto nos artigos 4.º(11) e … Continue reading

ou (ii) o armazenamento e/ou acesso for estritamente necessário para o serviço da sociedade da informação explicitamente solicitado pelo utilizador.
12 No entanto, são possíveis derrogações aos direitos e obrigações previstos na Diretiva «ePrivacy» nos termos do artigo 15.º, quando constituem uma medida necessária, adequada e proporcionada no seio de uma sociedade democrática para determinados objetivos.^[7]Para a interpretação do artigo 15.º da Diretiva « ePrivacy », ver também o acórdão TJUE de 29 de janeiro de 2008 noprocesso C-275/06, Productores de Musica de España (Promusicae) contra … Continue reading

13 No que se refere à reutilização dos dados de localização recolhidos por um prestador de serviços da sociedade da informação para efeitos de modelização (por exemplo, através do sistema operativo ou de alguma aplicação previamente instalada), devem ser satisfeitas condições adicionais. Com efeito, quando os dados tiverem sido recolhidos em conformidade com o n.º 3 do artigo 5.º da Diretiva «ePrivacy», só poderão ser tratados posteriormente com o consentimento adicional do titular dos dados ou com base em legislação da União ou dos Estados-Membros que constitua uma medida necessária e proporcionada numa sociedade democrática para salvaguardar os objetivos referidos no n.º 1 do artigo 23.º do RGPD^[8]Ver secção 1.5.3 das Diretrizes 1/2020 sobre o tratamento de dados pessoais no contexto de veículos conectados.

2.2 Foco no uso de dados de localização anonimizados

14 O CEPD salienta que, quando se trata de utilizar dados de localização, deve ser dada preferência ao tratamento de dados anonimizados em vez de dados pessoais.
15 Anonimização refere-se ao uso de um conjunto de técnicas a fim de remover a capacidade de associar os dados a uma pessoa singular identificada ou identificável contra qualquer esforço «razoável». Este «teste de razoabilidade» deve ter em conta os aspetos objetivos (tempo, meios técnicos) e elementos contextuais que podem variar caso a caso (raridade de um fenómeno, considerando a densidade populacional, a natureza e o volume de dados). Se os dados não passarem neste teste, então não foram anonimizados e, portanto, permanecem no âmbito doRGPD.
16 A avaliação da robustez do anonimato depende de três critérios: i) individualização (isolando um indivíduo de um grupo; ii) suscetibilidade de associação – «linkability»(ligação entre dois registos relativos a um mesmo indivíduo); e (iii) inferência (deduzindo, com probabilidade significativa, informação desconhecida sobre um indivíduo).
17 O conceito de anonimização é propenso a ser mal compreendido e muitas vezes é confundido com pseudonimização. Enquanto a anonimização permite usar os dados sem qualquer restrição, os dados pseudonimizados ainda estão no âmbito do RGPD.
18 Existem muitas opções para anonimização eficaz,^[9](de Montjoye et al., 2018) “On the privacy-conscientious use of mobile phone data” .

mas sempre com uma ressalva. Os dados não podem ser anonimizados por si próprios, o que significa que apenas conjuntos de dados como um todo podem ser tornados anónimos. Neste sentido, qualquer intervenção num único padrão
de dados (por meio de criptografia, ou qualquer outra transformação matemática) pode, na melhor das hipóteses, ser considerada uma pseudonimização.
19 Processos de anonimização e ataques de reidentificação são campos ativos de pesquisa. É fundamental que todos os responsáveis implementem soluções de anonimização para acompanhar os recentes desenvolvimentos neste domínio, especialmente no que diz respeito aos dados de localização (originários de operadores de telecomunicações e/ou serviços da sociedade da informação) que são conhecidos por serem notoriamente difíceis de anonimizar.
20 Na verdade, um grande número de pesquisas mostrou que os dados de localização^[10](de Montjoye et al., 2013) “Unique in the Crowd: The privacy bounds of human mobility” and (Pyrgelis et al., 2017) “Knock Knock, Who’s There? Membership Inference on Aggregate Location … Continue reading

que se pensa serem anonimizados podem, de facto, não ser. Os traços de mobilidade dos indivíduos são, por inerência, altamente correlacionados e únicos. Portanto, são vulneráveis a tentativas de reidentificação em determinadas circunstâncias.
21 Um único padrão de dados que rastreie a localização de um indivíduo durante um período significativo de tempo não pode ser totalmente anonimizado. Esta conclusão continua válida se a precisão das coordenadas geográficas registadas não for suficientemente reduzida, ou se partes do rastreio forem retiradas, mesmo que apenas se mantenham os locais em que se tenha estado durante um período considerável de tempo. Isso também vale para dados de localização que sejam deficientemente agregados.
22 Para alcançar a anonimização, os dados de localização devem ser cuidadosamente processados para atender ao teste de razoabilidade. Nesse sentido, tal processamento inclui considerar conjuntos de dados de localização como um todo, bem como o processamento de dados de um conjunto grande de indivíduos usando técnicas disponíveis de anonimização robustas, desde que sejam adequadas e efetivamente implementadas.
23 Por fim, dada a complexidade dos processos de anonimização, é altamente incentivada a transparência quanto à metodologia de anonimização utilizada.

3 APLICAÇÕES DE RASTREAMENTO DE CONTACTO

3.1 Análise jurídica geral

24 O acompanhamento sistemático e em larga escala da localização e/ou dos contactos entre pessoas singulares constitui uma grave intrusão na sua privacidade. Tal só pode ser legitimado se contar com uma adoção voluntária pelos utilizadores para cada uma das finalidades respetivas. Isto implicaria, em particular, que os indivíduos que decidem não utilizar ou não podem utilizar tais aplicações não devem sofrer qualquer desvantagem.
25 Para garantir a responsabilização, deve estar claramente definido quem é o o responsável por qualquer aplicação de rastreamento de contacto. O CEPD considera que as autoridades de saúde nacionais podem ser as responsáveis^[11]Ver também a Comissão Europeia «Orientação sobre aplicações que apoiam a luta contra a pandemia do COVID 19 em matéria de proteção de dados» Bruxelas, 16.4.2020 C(2020) 2523 final. pelo tratamento dessa aplicação, admitindo-se poderem ser previstos outros responsáveis. Em todo o caso, se a implementação de aplicações de rastreamento de contacto envolver diferentes atores, os seus papéis e responsabilidades
devem ser claramente estabelecidos desde o início e explicados aos utilizadores.
26 Além disso, no que se refere ao princípio da limitação da finalidade, os objetivos devem ser suficientemente específicos e excluir o tratamento posterior para fins não relacionados com a gestão da crise sanitária COVID-19 (por exemplo, fins comerciais ou de segurança pública). Uma vez definido claramente o objetivo, será necessário assegurar que a utilização dos dados pessoais seja adequada, necessária e proporcionada.
27 No contexto de uma aplicação de rastreio de contacto, deve dar-se atenção redobrada ao princípio da minimização dos dados e à proteção de dados desde a conceção e por defeito:
• as aplicações de rastreamento de contacto não exigem o rastreamento da localização de utilizadores individuais. Em vez disso, devem ser utilizados dados de proximidade;
• uma vez que estas aplicações podem funcionar sem identificação direta dos indivíduos, devem ser tomadas medidas adequadas para evitar a reidentificação;
• as informações recolhidas devem residir no equipamento terminal do utilizador e apenas as informações relevantes devem ser recolhidas quando tal for absolutamente necessário.
28 No que diz respeito à legalidade do tratamento, o CEPD observa que as aplicações de rastreamento de contacto envolvem armazenamento e/ou acesso a informações já armazenadas no terminal, que estão abrangidas pelo disposto no n.º 3 do artigo 5.º da Diretiva «ePrivacy». Se essas operações fossem estritamente necessárias para a prestação de um serviço expressamente solicitado pelo utilizador, não seria exigível o seu consentimento. Para operações não estritamente necessárias, o fornecedor precisaria de obter o consentimento do utilizador.
29 Além disso, o CEPD dá nota que o facto de a utilização de aplicações de localização de contacto ser voluntária, não significa que o tratamento de dados pessoais se baseie necessariamente no consentimento. Quando as autoridades públicas prestam um serviço com base num mandato atribuído por e em conformidade com os requisitos legais, afigura-se que a base jurídica relevante para o tratamento é a necessidade de desempenhar uma tarefa de interesse público, ou seja, o artigo 6.º, n.º 1, alínea e), do RGPD.
30 O artigo 6.º, n.º 3, do RGPD determina que o fundamento para o tratamento referido na alínea e) do n.º 1 do artigo 6.º deve ser estabelecido pela legislação da União ou dos EstadosMembros. A finalidade do tratamento é determinada por essa legislação e tem de ser necessária ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento.^[12]Ver considerando (41)
31 A medida legislativa que fornece a base legal para a utilização de aplicações de rastreio de contactos terá de incorporar salvaguardas significativas, incluindo uma referência ao caráter voluntário da aplicação. Deverá ser incluída uma especificação clara da finalidade e limitações explícitas relativas à utilização posterior de dados pessoais, bem como uma identificação clara do(s) responsável(ais) envolvido(s). As categorias de dados, bem como as entidades (e as finalidades) para as quais os dados pessoais podem ser divulgados também devem ser identificadas. Dependendo do nível de interferência, devem ser incorporadas salvaguardas adicionais, tendo em conta a natureza, o âmbito e os objetivos do tratamento. Por último, o CEPD recomenda igualmente a inclusão, logo que possível, dos critérios para determinar
quando a aplicação deve ser desinstalada e que entidade deve ser responsável por essa determinação.
32 No entanto, se o tratamento de dados assentar noutra base jurídica, como, por exemplo, o consentimento (alínea a) n.º 1 do artigo 6.º),^[13]Os responsáveis pelo tratamento (especialmente as autoridades públicas) devem prestar especial atenção ao facto de que o consentimento não deve ser considerado como dado livremente se o … Continue reading o responsável pelo tratamento terá de assegurar o cumprimento dos específicos requisitos para que essa base jurídica seja válida.
33 Além disso, a utilização da aplicação para combater a pandemia de COVID-19 pode levar à recolha de dados de saúde (por exemplo, o estado de uma pessoa infetada). O processamento desses dados é apenas permitido quando é necessário por razões de interesse público na área da saúde pública, satisfazendo as condições do art. 9.º, n.º 2, alínea i), do RGPD^[14]O tratamento deve basear-se na legislação da União ou dos Estados-Membros que preveja medidas adequadas e específicas para salvaguardar os direitos e liberdades da pessoa em causa, em especial o … Continue reading

ou para fins de saúde, conforme descrito no artigo 9.º, n.º 2, alínea h), do RGPD.^[15]Ver artigo 9.º, n.º 2, alínea h), do RGPD Dependendo do fundamento legal, pode também basear-se no consentimento explícito (artigo 9.º, n.º 2, alínea a), do RGPD).
34 De acordo com o objetivo inicial, o artigo 9.º, n.º 2, alínea j), do GDPR também permite que os dados de saúde sejam processados quando necessários para fins de pesquisa científica ou para fins estatísticos.
35 A atual crise sanitária não deve ser utilizada como uma oportunidade para estabelecer mandatos de retenção de dados desproporcionados. A limitação do armazenamento deve considerar as verdadeiras necessidades e a relevância médica (o pode incluir razões de epidemiologia como, p. ex., o período de incubação) e os dados pessoais devem ser mantidos apenas durante a crise da COVID-19. Posteriormente, como regra geral, todos os dados pessoais devem ser apagados ou anonimizados.
36 É entendimento do CEPD que tais aplicações não podem substituir, mas apenas servir de base para o contacto realizado por profissionais de saúde pública qualificado, que pode determinar se contactos próximos são suscetíveis de resultar em transmissão de vírus ou não (p. ex., quando interagem com alguém protegido por equipamentos adequados). O CEPD sublinha que procedimentos e processos, incluindo os respetivos algoritmos implementados pelas aplicações de rastreamento de contactos, devem funcionar sob a estrita supervisão de pessoal qualificado, a fim de limitar a ocorrência de falsos positivos e negativos. Em especial, a tarefa de aconselhamento sobre as próximas etapas não deve basear-se unicamente no processamento automatizado.
37 A fim de garantir a sua equidade, responsabilidade e, de um modo mais geral, a conformidade com a lei, os algoritmos devem ser auditáveis e devem ser regularmente revistos por peritos
independentes. O código-fonte da aplicação deve ser tornado público para o mais amplo controlo possível.
38 Prevê-se a ocorrência de falsos positivos. Na medida em que a identificação de um risco de infeção pode ter um alto impacto sobre os indivíduos, como p. ex. permanecer em isolamento
até o teste ser negativo, a capacidade de corrigir dados e/ou resultados subsequentes de análise, é uma necessidade. É evidente que tal só se deverá aplicar aos cenários e implementações em que os dados são tratados e/ou armazenados de uma forma que tal correção seja tecnicamente exequível e que os efeitos adversos acima mencionados sejam suscetíveis de ocorrer.
39 Por último, o CEPD considera que deve ser efetuada uma avaliação do impacto na proteção de dados (AIPD) antes de implementar esse instrumento, dado que o tratamento é considerado de elevado risco (dados de saúde, adoção antecipada em larga escala, monitorização sistemática, utilização de novas tecnológicas soluções^[16]Ver orientações do WP29 (adotadas pelo CEPD) sobre a avaliação do impacto na proteção de dados (DPIA) e determinar se o tratamento pode « resultar num risco elevado » para efeitos do … Continue reading). O CEPD recomenda fortemente a publicação das AIPDs.

3.2 Recomendações e requisitos funcionais

40 De acordo com o princípio da minimização de dados, entre outras medidas de proteção de dados desde a conceção e por defeito^[17]Ver Diretrizes CEPD 4/2019 sobre o artigo 25.º Proteção de dados desde a conceção e pordefeito., os dados tratados devem ser reduzidos ao estritamente necessário. A aplicação não deve recolher informações não relacionadas ou não necessárias para a finalidade, designadamente estado civil, identificadores de comunicação, itens de diretório de equipamentos, mensagens, registos de chamadas, dados de localização, identificadores de dispositivo.
41 Os dados transmitidos por aplicações devem incluir apenas alguns identificadores únicos e pseudonimizados, gerados pela, e específicos da aplicação. Esses identificadores devem ser, renovados regularmente, com uma frequência compatível e suficiente com o objetivo de conter a propagação do vírus, limitando o risco de identificação e de rastreio físico dos indivíduos.
42 Implementações para rastreamento podem seguir uma abordagem centralizada ou descentralizada.^[18]Em geral, a solução descentralizada está mais de acordo com o princípio da minimização Ambas devem ser consideradas opções viáveis, desde que estejam em vigor medidas de segurança adequadas, cada uma acompanhada de um conjunto de vantagens e desvantagens. Assim, a fase conceitual de desenvolvimento de aplicações deve incluir sempre uma análise minuciosa de ambos os conceitos, pesando cuidadosamente os respetivos efeitos sobre a proteção de dados e a privacidade e os possíveis impactos sobre os direitos dos indivíduos.
43 Qualquer servidor envolvido no sistema de rastreamento de contactos só deve recolher o histórico de contactos ou os identificadores pseudonimizados dos utilizadores infetados na sequência de uma avaliação de confirmação das autoridades de saúde e sempre decorrente de uma ação voluntária do utilizador. Em alternativa, o servidor pode manter uma lista de identificadores pseudonimizados de utilizadores infetados ou seu histórico de contactos apenas durante o tempo necessário para informar os outros utilizadores da sua exposição, e não deve tentar identificar utilizadores potencialmente infetados.
44 A adoção de uma metodologia global de rastreamento, que inclua aplicações e interações com profissionais de saúde, pode exigir, em alguns casos, o processamento de informações
adicionais. Neste contexto, essas informações adicionais devem permanecer no terminal do utilizador e só devem ser objeto de tratamento quando seja estritamente necessário e com consentimento prévio e específico do titular dos dados.
45 As técnicas criptográficas de última geração devem ser as utilizadas para proteger os dados armazenados em servidores e em aplicações e nas trocas entre aplicações e o servidor remoto. Também se exige a mútua autenticação entre a aplicação e o servidor.
46 O reporte de um utilizador infetado com COVID-19 na aplicação deve estar sujeita a umm consentimento específico e adequado, por exemplo através de um código de utilização único ligado a uma identidade pseudonimizada da pessoa infetada e a um laboratório de testes ou profissional de saúde que valide a informação. Se a confirmação da infeção não puder ser obtida de forma segura, não pode haver tratamento de dados com base em presunções do estado de
saúde do utilizador.
47 O responsável, em colaboração com as autoridades públicas, tem de informar clara e explicitamente sobre o link que deve ser descarregado para a aplicação de rastreamento de contacto nacional, a fim de diminuir o risco de os titulares dos dados estarem erradamente a usar aplicações de terceiros

4 CONCLUSÃO

48 O mundo enfrenta uma importante crise de saúde pública que requer respostas fortes, as quais terão impacto para além desta emergência. O processamento automatizado de dados e as tecnologias digitais podem ser componentes-chave na luta contra a COVID-19. No entanto, deve ter-se consciência do «efeito ratchet» na utilização destas tecnologias. É responsabilidade de todos assegurar que as medidas tomadas nestas circunstâncias extraordinárias são
necessárias, limitadas no tempo, respeitadoras do princípio da minimização e sujeitas a uma revisão periódica e genuína, bem como a uma avaliação científica.
49 O CEPD sublinha que não se deve escolher entre uma resposta eficaz à atual crise e a proteção dos nossos direitos fundamentais: podemos alcançar ambos e, além disso, os princípios de proteção de dados podem desempenhar um papel muito importante na luta contra o vírus. A legislação europeia em matéria de proteção de dados permite a utilização responsável de dados pessoais para fins de gestão da saúde, assegurando simultaneamente que os direitos e liberdades individuais não sejam afectados no processo.

Pelo Comité Europeu de Proteção de Dados

A Presidente

(Andrea Jelinek)