Parecer n.º 17/2026

PAR/2026/16 1 PARECER/2026/17 Objeto 1. Foi submetido a apreciação o projeto de Acordo entre o Conselho Federal Suíço e o Governo da República Portuguesa relativo à readmissão de pessoas em situação irregular, destinado a estabelecer regras e procedimentos para a readmissão de nacionais das Partes contratantes, bem como de nacionais de países terceiros e de apátridas que não preencham ou tenham deixado de preencher as condições de entrada, permanência ou residência no território de uma das Partes. 2. O presente parecer incide sobre as implicações do referido projeto de Acordo em matéria de proteção de dados pessoais, em particular quanto ao regime de comunicação e tratamento de dados pessoais previsto no artigo 14.º do projeto. 3. A CNPD emite parecer no âmbito das suas atribuições e competências enquanto autoridade nacional de controlo dos tratamentos de dados pessoais, conferidas pela alínea c) do n.º 1 do artigo 57.º e pelo n.º 4 do artigo 36.º do Regulamento (UE) 2016/679, de 27 de abril de 2016 Regulamento Geral sobre a Proteção de Dados (RGPD), em conjugação com o disposto no artigo 3.º, no n.º 2 do artigo 4.º, e na alínea a) do n.º 1 do artigo 6.º, todos da Lei n.º 58/2019, de 8 de agosto. Enquadramento jurídico 4. O preâmbulo do projeto de Acordo centra-se essencialmente nos objetivos de cooperação entre as Partes contratantes e de combate à imigração irregular, bem como na facilitação dos procedimentos de readmissão e de trânsito. Todavia, não contém referência expressa ao respeito pelos direitos fundamentais das pessoas abrangidas por esses procedimentos nem à proteção de dados pessoais, apesar de o Acordo prever a comunicação de dados pessoais entre autoridades das Partes contratantes. Acresce que a referência constante do preâmbulo ao respeito pelas obrigações decorrentes do direito internacional assume uma formulação particularmente genérica. Atendendo ao objeto do instrumento, poderia revelar-se útil uma menção mais explícita ao enquadramento jurídico internacional relevante, designadamente aos instrumentos internacionais em matéria de proteção dos refugiados e de direitos humanos, contribuindo para clarificar, desde logo no plano interpretativo, que a aplicação do Acordo deve respeitar os princípios decorrentes desses instrumentos, incluindo o princípio da não repulsão.  PAR/2026/16 1v. 5. A execução do Acordo implica necessariamente o tratamento e a comunicação de dados pessoais pelas autoridades competentes das Partes contratantes, designadamente dados de identificação, dados relativos à nacionalidade, documentos de viagem, itinerários de transferência e, em determinadas circunstâncias, dados relativos ao estado de saúde das pessoas objeto de procedimentos de readmissão. 6. A celebração de acordos de readmissão inscreve-se no quadro do direito internacional e do direito da União Europeia em matéria de gestão das migrações. Em particular, a readmissão de nacionais assenta no princípio segundo o qual nenhum Estado pode recusar a entrada dos seus próprios cidadãos, princípio amplamente reconhecido no direito internacional e associado ao direito de qualquer pessoa regressar ao seu país de nacionalidade (cf. artigo 13.º, n.º 2, da Declaração Universal dos Direitos Humanos; artigo 12.º, n.º 4, do Pacto Internacional sobre os Direitos Civis e Políticos; estatuto de cidadania da União consagrado nos artigos 20.º e 21.º do TFUE). 7. Os acordos de readmissão celebrados entre Estados apresentam, em regra, uma estrutura relativamente uniforme, prevendo designadamente regras relativas à identificação das pessoas a readmitir, à emissão de documentos de viagem necessários à execução da transferência e às condições de trânsito através do território das Partes. 8. O tratamento de dados pessoais efetuado pelas autoridades portuguesas no âmbito da execução do Acordo encontra-se sujeito ao quadro jurídico europeu e nacional aplicável em matéria de proteção de dados pessoais, designadamente ao RGPD e à Lei n.º 58/2019, sem prejuízo da eventual aplicação da Lei n.º 59/2019 quando estejam em causa tratamentos realizados por autoridades competentes para efeitos de prevenção ou repressão de infrações penais. 9. No domínio do afastamento de nacionais de países terceiros em situação irregular, importa ainda ter presente o regime estabelecido pela Diretiva 2008/115/CE, que estabelece normas e procedimentos comuns nos Estados-membros para o regresso de nacionais de países terceiros em situação irregular. 10. Nos termos destes regimes jurídicos, o tratamento de dados pessoais por autoridades públicas deve respeitar, designadamente, os princípios consagrados no art.º 5.º do RGPD, designadamente os princípios da licitude, lealdade e transparência, limitação das finalidades, minimização dos dados, exatidão, limitação da conservação e segurança do tratamento. 11. A Confederação Suíça beneficia de decisão de adequação da Comissão Europeia, sendo considerada como assegurando um nível de proteção de dados pessoais adequado para efeitos de transferências internacionais de dados.  PAR/2026/16 2 12. As medidas de afastamento, readmissão ou transferência de pessoas entre Estados devem respeitar o direito fundamental de livre circulação e residência dos cidadãos da União, consagrado no artigo 45.º da Carta dos Direitos Fundamentais da União Europeia e concretizado pelos artigos 20.º e 21.º do Tratado sobre o Funcionamento da União Europeia. 13. Importa ainda recordar que os procedimentos de readmissão e afastamento de nacionais de países terceiros devem respeitar os direitos fundamentais garantidos pela Carta dos Direitos Fundamentais da União Europeia, em particular o artigo 18.º (direito de asilo) e o artigo 19.º, n.º 2 (princípio da não repulsão), segundo o qual ninguém pode ser afastado, expulso ou extraditado para um Estado onde corra sério risco de ser sujeito a pena de morte, tortura ou a outros tratos ou penas desumanos ou degradantes. O respeito por este princípio implica que qualquer medida suscetível de conduzir ao afastamento de uma pessoa seja apreciada à luz das circunstâncias individuais do caso, em conformidade com a jurisprudência do Tribunal de Justiça da União Europeia (v., neste sentido, Acórdão do Tribunal de Justiça (Grande Secção) de 18 de junho de 2024, -352/22, EU:C:2024:521). 14. Sem prejuízo do que antecede, importa igualmente ter presente que, quando estejam em causa cidadãos da União, a execução de medidas de afastamento ou readmissão deve respeitar o direito fundamental de livre circulação e de residência. A este respeito, o Tribunal de Justiça tem afirmado que as medidas nacionais suscetíveis de restringir o exercício dessa liberdade apenas são admissíveis quando respeitem o princípio da proporcionalidade e se baseiem em razões legítimas previstas no direito da União (v., neste sentido, Acórdão do Tribunal de Justiça de 22 de junho de 2021, Ordre des barreaux francophones et germanophone e o., C- 718/19, EU:C:2021:505). 15. Com efeito, segundo jurisprudência constante do Tribunal de Justiça, o estatuto de cidadão da União constitui o estatuto fundamental dos nacionais dos Estados-membros, pelo que qualquer restrição ao exercício dos direitos de circulação e de residência deve ser interpretada de forma estrita. 16. No plano do direito interno, o regime de readmissão encontra-se igualmente previsto na Lei n.º 23/2007, de 4 de julho, na redação atualmente em vigor, que regula a entrada, permanência, saída e afastamento de estrangeiros do território nacional, cujo artigo 163.º define o conceito e o enquadramento procedimental da readmissão, prevendo a possibilidade de execução de acordos de readmissão celebrados por Portugal. Apreciação ee c e e  PAR/2026/16 2v. 17. O artigo 14.º do projeto de Acordo estabelece que os dados pessoais apenas podem ser comunicados na medida do necessário para a implementação do Acordo e que devem ser recolhidos para a finalidade específica da sua execução. 18. nacional das Partes contratant plano do acordo, os parâmetros materiais mínimos de proteção de dados a observar na comunicação e utilização de dados, limitando-se a uma cláusula de remissão ampla. Tal solução é típica de modelos tradicionais de acordos de readmissão, mas deve ser interpretada e aplicada, quanto às autoridades portuguesas, em estrita articulação com o quadro jurídico vigente no direito da União e no direito nacional aplicável ao tratamento de dados pessoais por autoridades públicas. Importa igualmente assegurar que os dados pessoais comunicados no âmbito do Acordo sejam utilizados exclusivamente para as finalidades que justificaram a sua transmissão, em conformidade com o princípio da limitação das finalidades, evitando utilizações posteriores incompatíveis com o objetivo específico do procedimento de readmissão. 19. Tal previsão revela-se, em termos gerais, conforme com os princípios da limitação das finalidades e da minimização dos dados. 20. Sem prejuízo do que antecede, embora o artigo 14.º incorpore diversos elementos associados aos princípios da necessidade e da proporcionalidade do tratamento, a densificação destes princípios no texto do Acordo permanece relativamente limitada, resultando sobretudo de formulações gerais e de remissões para a legislação nacional aplicável. Com efeito, segundo jurisprudência constante do Tribunal de Justiça da União Europeia, qualquer ingerência no direito fundamental à proteção de dados pessoais deve limitar-se ao estritamente necessário para a prossecução da finalidade legítima prosseguida, não podendo exceder o que é indispensável para alcançar esse objetivo (v., neste sentido, Acórdãos do Tribunal de Justiça de 8 de abril de 2014, Digital Rights Ireland e o., C-293/12 e C-594/12, EU:C:2014:238; de 21 de dezembro de 2016, Tele2 Sverige e Watson e o., C-203/15 e C-698/15, EU:C:2016:970; e de 6 de outubro de 2020, La Quadrature du Net e o., C- 511/18, C-512/18 e C-520/18, EU:C:2020:791). Esta exigência assume particular relevância quando estejam em causa operações de comunicação de dados pessoais entre autoridades públicas de Estados diferentes, devendo tais transmissões limitar-se às informações estritamente necessárias para a prossecução das finalidades concretas do procedimento de readmissão e não podendo exceder o que seja indispensável para esse efeito, no quadro do projeto de Acordo e do regime aplicável no direito interno, designadamente o previsto no artigo 163.º da Lei n.º 23/2007, de 4 de julho.  PAR/2026/16 3 21. Acresce que, no contexto de mecanismos de readmissão ou de transferência de nacionais de países terceiros, as autoridades competentes devem assegurar que a aplicação do Acordo não conduza, direta ou indiretamente, a situações incompatíveis com o princípio da não repulsão consagrado no artigo 19.º, n.º 2, da Carta dos Direitos Fundamentais da União Europeia. Tal implica, nomeadamente, que, qualquer decisão de afastamento ou transferência seja precedida de uma apreciação individual que permita verificar a inexistência de um risco sério de perseguição ou de tratamento desumano ou degradante no Estado de destino. Como sublinhado pelo Tribunal de Justiça, as autoridades nacionais devem proceder a uma verificação efetiva desse risco antes de autorizar medidas suscetíveis de conduzir ao afastamento de uma pessoa, atendendo às circunstâncias concretas do caso (v., neste sentido, Acórdão do Tribunal de Justiça (Grande Secção) de 18 de C- 352/22, EU:C:2024:521). e d os e s e s e 22. O artigo 14.º delimita as categorias de dados suscetíveis de ser transmitidas no âmbito da execução do Acordo, incluindo dados de identificação da pessoa a transferir, informações relativas a documentos de viagem, itinerários de transferência e, quando necessário, dados relativos ao estado de saúde da pessoa em causa. 23. Esta delimitação constitui um elemento positivo, na medida em que contribui para circunscrever o âmbito do tratamento de dados pessoais às informações suscetíveis de ser necessárias para a execução das operações de readmissão. Todavia, a inclusão de determinadas categorias no texto do Acordo não dispensa a verificação, em cada caso concreto, de que a comunicação dos dados em causa se revela adequada, pertinente e não excessiva em relação às finalidades específicas do procedimento de readmissão. 24. Sem prejuízo do caráter positivo da enumeração, importa assinalar que a alínea d) do n.º 2 inclui categorias de dados cuja necessidade, em regra, não resulta evidente para a finalidade estrita de verificação dos pressupostos de readmissão e execução da transferência, como sucede, designadamente, com referências a xtensivos relativos ao agregado familiar da pessoa em causa, designadamente o nome do cônjuge e dos filhos, sobretudo quando tais elementos não se revelem estritamente necessários para a identificação da pessoa ou para a verificação dos pressupostos jurídicos da readmissão. Uma tal formulação, por ser muito ampla, pode favorecer comunicações excessivas e suscitar dúvidas à luz do princípio da minimização e do critério de estrita necessidade, impondo- se que a comunicação se limite, caso a caso, aos elementos indispensáveis à identificação e à análise dos requisitos concretos de readmissão previstos no acordo.  PAR/2026/16 3v. 25. Acresce que a previsão de transmissão de dados relativos ao estado de saúde, os quais constituem categorias especiais de dados pessoais nos termos do art.º 9.º do Regulamento(UE) n.º 679/2016, de 27 de modo aberto, não densificando critérios de necessidade nem garantias específicas (por exemplo, limitação do conteúdo ao estritamente necessário para assegurar cuidados durante a transferência, restrição de acesso a profissionais sujeitos a dever de sigilo, ou definição de prazos de conservação especialmente curtos). Atenta a natureza particularmente sensível destes dados, a respetiva transmissão deveria ser expressamente circunscrita ao mínimo indispensável para garantir a proteção da saúde do titular e/ou de terceiros no contexto imediato da transferência e do trânsito, evitando comunicações genéricas ou excessivas. 26. Não obstante, os anexos do Acordo admitem igualmente a utilização de impressões digitais e resultados de testes de ADN como meios de demonstração da identidade ou da nacionalidade da pessoa a readmitir. A utilização destes elementos no contexto dos procedimentos de readmissão deve, todavia, ser interpretada à luz das exigências aplicáveis ao tratamento de dados pessoais particularmente sensíveis, devendo limitar-se ao estritamente necessário para efeitos de verificação da identidade da pessoa em causa. 27. Tratando-se de dados biométricos ou genéticos, importa recordar que estas categorias de dados constituem, em regra, categorias especiais de dados pessoais, cujo tratamento está sujeito ao regime reforçado previsto no artigo 9.º do Regulamento (UE) 2016/679 (RGPD), sem prejuízo da necessidade de verificação de uma base de licitude nos termos do artigo 6.º do mesmo regulamento. A sua utilização no contexto de procedimentos de readmissão deverá, por conseguinte, limitar-se estritamente ao que seja necessário para efeitos de verificação da identidade da pessoa em causa, devendo ser acompanhada de garantias adequadas quanto à sua conservação apenas durante o período estritamente necessário, à segurança do tratamento e à eliminação dos dados após a conclusão do procedimento. 28. Importa igualmente assegurar que os dados comunicados correspondam a informações exatas e verificáveis, tanto mais quando esses dados sejam utilizados para efeitos de identificação da pessoa a transferir ou para a demonstração da sua nacionalidade. Para esse efeito, deverá, sempre que aplicável, distinguir-se entre dados baseados em factos e dados resultantes de apreciações ou inferências administrativas, em conformidade com o princípio da exatidão dos dados e com as exigências de qualidade da informação aplicáveis ao tratamento de dados pessoais por autoridades públicas. ç o r e s 29. O artigo 14.º estabelece que as autoridades que comunicam ou recebem dados pessoais devem adotar medidas destinadas a proteger os dados contra acesso, alteração ou divulgação não autorizados.  PAR/2026/16 4 30. Esta disposição reflete o princípio da segurança do tratamento, consagrado no direito europeu da proteção de dados (cf. artigo 5.º, n.º 1, alínea f), e no artigo 32.º do RGPD). 31. Todavia, o artigo 5.º do projeto de Acordo admite que os pedidos de readmissão possam ser transmitidos através de qualquer meio de comunicação, incluindo por correio eletrónico, sem referência expressa à utilização de meios de comunicação seguros ou à adoção de requisitos mínimos de segurança na transmissão. 32. Considerando a natureza potencialmente sensível dos dados transmitidos no âmbito destes procedimentos, seria desejável que o Acordo previsse expressamente a utilização de canais de comunicação seguros ou de medidas técnicas e organizativas adequadas destinadas a assegurar a confidencialidade e a integridade dos dados pessoais transmitidos. 33. A articulação entre o artigo 5.º e o artigo 14.º do projeto de Acordo impõe que a utilização de meios de comunicação eletrónicos no procedimento de readmissão seja interpretada à luz das exigências relativas à segurança do tratamento de dados pessoais, devendo os canais utilizados garantir um nível adequado de proteção contra acessos ou divulgações não autorizadas. ireit s d s ess s em c us 34. O artigo 14.º prevê que, mediante pedido, a pessoa em causa possa ser informada da comunicação dos seus dados pessoais e da utilização prevista dos mesmos. 35. Embora esta disposição constitua uma garantia relevante, a formulação adotada permanece relativamente lacónica e remete amplamente para o direito nacional das Partes contratantes quanto ao exercício efetivo dos direitos das pessoas em causa. O Acordo não contém referência expressa a outros direitos dos titulares dos dados, designadamente os direitos de acesso, retificação ou apagamento previstos nos artigos 15.º a 17.º do RGPD. Ainda que tais direitos decorram diretamente da legislação aplicável às autoridades nacionais, a sua consagração expressa no texto do Acordo poderia contribuir para reforçar a transparência e a previsibilidade do regime jurídico aplicável. 36. ntratantes. A formulação é, porém, genérica e não esclarece, no plano do acordo, se tal controlo é assegurado por autoridades de controlo independentes em matéria de proteção de dados, elemento estrutural do modelo europeu de proteção de dados pessoais. Sem prejuízo de o direito interno português já assegurar esse controlo, a ausência de referência expressa pode reduzir a clareza do regime e justificar, em sede interpretativa, a afirmação de que o controlo do cumprimento das regras de proteção de dados compete, quanto a Portugal, à autoridade nacional de controlo independente.  PAR/2026/16 4v. Tal interpretação é igualmente coerente com o quadro constitucional português, em particular com o artigo 35.º da Constituição da República Portuguesa, que consagra o direito à proteção de dados pessoais e o controlo por entidade administrativa independente. IV Conclusões 37. À luz das considerações precedentes, verifica-se que o projeto de acordo estabelece um quadro de cooperação administrativa em matéria de readmissão de pessoas em situação irregular, prevendo igualmente disposições relativas à troca de informações entre as autoridades competentes das Partes contratantes. Todavia, atendendo à natureza dos dados pessoais suscetíveis de ser transmitidos no âmbito desses procedimentos e ao quadro jurídico atualmente vigente no direito da União Europeia em matéria de proteção de dados pessoais e de direitos fundamentais, afigura-se oportuno formular algumas observações quanto ao regime previsto no projeto de acordo. 38. À luz das considerações precedentes, a Comissão Nacional de Proteção de Dados entende o seguinte: 1) A execução do projeto de Acordo implica o tratamento e a comunicação de dados pessoais pelas autoridades competentes das Partes contratantes no âmbito dos procedimentos de readmissão de pessoas em situação irregular. 2) O artigo 14.º do projeto de Acordo consagra um conjunto de princípios fundamentais de proteção de dados pessoais, designadamente os princípios da limitação das finalidades, da minimização dos dados, da exatidão, da limitação da conservação e da segurança do tratamento. 3) As disposições relativas à proteção de dados pessoais seguem, em larga medida, o modelo tradicional de cláusulas de proteção de dados incluídas em acordos de readmissão celebrados pela União Europeia e pelos seus Estados-Membros, devendo, contudo, a sua aplicação articular-se com o regime jurídico atualmente vigente no direito da União em matéria de proteção de dados pessoais, designadamente o Regulamento (UE) 2016/679 e, quando aplicável, a Diretiva (UE) 2016/680. 4) O regime previsto no projeto de Acordo poderia beneficiar de maior densificação quanto às condições de tratamento de determinadas categorias de dados pessoais particularmente sensíveis, designadamente no que respeita à utilização de dados biométricos ou genéticos para efeitos de verificação da identidade das pessoas objeto de procedimentos de readmissão, incluindo quanto à delimitação das finalidades do tratamento, às condições de acesso e à eliminação desses dados após a conclusão do procedimento. 5) A possibilidade de transmissão de pedidos de readmissão e de dados pessoais através de correio eletrónico ou de outros meios de comunicação eletrónicos sem referência expressa à utilização de  PAR/2026/16 5 canais seguros suscita reservas à luz das exigências relativas à segurança do tratamento de dados pessoais. Atenta a natureza potencialmente sensível das informações transmitidas no âmbito destes procedimentos, seria recomendável que o Acordo previsse expressamente a utilização de canais de comunicação seguros ou de outras medidas técnicas adequadas destinadas a assegurar a confidencialidade e a integridade dos dados transmitidos. 6) O controlo do cumprimento das normas relativas à proteção de dados pessoais no âmbito da aplicação do Acordo deve articular-se, quanto a Portugal, com o regime institucional previsto no direito da União e no direito interno, cabendo essa supervisão à autoridade de controlo independente competente em matéria de proteção de dados pessoais. 7) O preâmbulo do projeto de Acordo não contém referência expressa ao respeito pelos direitos fundamentais das pessoas abrangidas pelos procedimentos de readmissão nem à proteção de dados pessoais, apesar de o Acordo prever a comunicação de dados pessoais entre autoridades das Partes contratantes, podendo revelar-se útil uma referência mais explícita a esses princípios no plano interpretativo do instrumento. 8) A aplicação do Acordo deve, em qualquer caso, respeitar os direitos fundamentais garantidos pela Carta dos Direitos Fundamentais da União Europeia, designadamente o princípio da não repulsão consagrado no artigo 19.º, n.º 2. 9) Sem prejuízo das observações precedentes, considera-se que o regime previsto no projeto de Acordo não se revela, em termos gerais, incompatível com os princípios fundamentais da proteção de dados pessoais aplicáveis na ordem jurídica da União Europeia. Aprovado na reunião de 10 de março de 2026 Maria Cândida Guedes Oliveira (Vogal em substituição da Presidente)