Parecer n.º 36/2025

PAR/2025/34 1 PARECER/2025/36 PEDIDO 1. O Senhor Secretário de Estado da Presidência do Conselho de Ministros solicitou à Comissão Nacional de Proteção de Dados (CNPD) a emissão de parecer sobre o “Projeto de decreto-lei que altera o Decreto-Lei n.º 176/2003, de 2 de agosto, que define e regulamenta a proteção na eventualidade de encargos familiares no âmbito do subsistema de proteção família – MTSSS – (Reg. DL 166/XXIV/2025)”. 2. O pedido formulado e o presente parecer enquadram-se nas atribuições e competências da CNPD, enquanto entidade administrativa independente com poderes de autoridade para o controlo dos tratamentos de dados pessoais, conferidos pela alínea c) do n.º 1 do artigo 57º, conjugada com a alínea b) do n.º3 do artigo 58º e com o nº 4 do artigo 36.º, todos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (Regulamento Geral sobre a Proteção de Dados - RGPD), em conjugação com o disposto no artigo 3.º, no n.º 2 do artigo 4.º e da alínea a) do n.º 1 do artigo 6.º, todos da Lei n.º 58/2019, de 8 de agosto, que executa na ordem jurídica interna o RGPD. ANÁLISE 3. O presente pedido de pronúncia tem por referência o “Projeto de decreto-lei que altera o Decreto-Lei n.º 176/2003, de 2 de agosto, que define e regulamenta a proteção na eventualidade de encargos familiares no âmbito do subsistema de proteção família – MTSSS – (Reg. DL 166/XXIV/2025)”. 4. Mais concretamente, pretende a Peticionante obter parecer sobre se “No que respeita a alteração ao n.º 5 do artigo 45.º-A do Decreto-Lei n.º 176/2003, de 2 de agosto, estando em causa a atribuição de benefícios sociais, solicita-se esclarecimento sobre a possibilidade de se prever o consentimento tácito, ou seja, saber se seria possível prever que caso a beneficiária não pretenda consentir na interoperabilidade dos dados para efeitos de atribuição de abono de família pré-natal, deve haver recusa expressa nesse sentido no ato da consulta.“ Assim delimitada a questão, 5. As condições aplicáveis ao consentimento estão, em geral, previstas nos artigos 4.º n.º11, 6.º n.º1, alínea a) e 7.º do RGPD, enquanto elementos materiais de licitude para o tratamento de dados pessoais. Nessa medida, para que o consentimento seja um fundamento lícito para o tratamento de dados, deverá radicar numa manifestação genuína da liberdade volitiva do titular do direito - condição prévia, e não meramente acessória para a conformidade desse tratamento-, bem como no facto do titular dos dados dispor de um efetivo/real controlo sobre os mesmos.  PAR/2025/34 1v. 6. O papel crucial do consentimento -e seu regime identitário jusfundamental- para o tratamento de dados é realçado, desde logo, nos artigos 7.º e 8.º da CDFUE, onde se declara, respetivamente, que, “Todas as pessoas têm direito ao respeito pela sua vida privada e familiar, pelo seu domicílio e pelas suas comunicações.”, e que “Todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito. 2. Esses dados devem ser objeto de um tratamento leal, para fins específicos e com o consentimento da pessoa interessada ou com outro fundamento legítimo previsto por lei. Todas as pessoas têm o direito de aceder aos dados coligidos que lhes digam respeito e de obter a respetiva retificação.” 7. Assim, como afirma o Legislador Europeu, o consentimento tem de ser livre, específico, informado e inequívoco, conceitos que, constituindo coordenadas valorativas, exigem a sua reflexão no tratamento concreto e no respeito do recorte das suas particulares dimensões. 8. A liberdade de consentimento pressupõe uma verdadeira escolha, uma determinação autónoma e de domínio dos titulares dos dados em relação aos seus direitos. Como corolário deste princípio, não pode o titular dos dados ser coagido, por forma nenhuma, a dar o seu consentimento, ou sofrer quaisquer consequências negativas no caso de não consentir num certo tratamento que lhe diga respeito. 9. Dito doutro modo, o consentimento nunca poderá ser livre se não for suscetível de ser recusado ou retirado sem prejuízo para o seu exercitante, ou for obtido sob alguma forma de pressão ou influência direta ou indireta capaz de afetar o núcleo de conformação do titular do direito, bem como, igualmente, se puder ser confundido com matéria que não seja disponível ou advir de tratamentos que encontrarão o seu fundamento jurídico noutra causa e, com isso, se desvirtuar o conteúdo da declaração. Em suma, perturbado ou deturpado o pleno nexo volitivo, sacrificar-se-á a liberdade de livremente consentir. 10. Por maioria de razão, nesta aceção, livre não será, também, o consentimento, se, no conjunto contextual de elementos informativos a prestar ao declarante, essa confusão servir uma errada representação do titular que possa ter consentido em função de propósitos que não se encontram no universo de fins a que esse consentimento, de facto, se destina. 11. De resto, incumbe ao responsável pelo tratamento a demonstração das condições de validade da prestação do consentimento, nomeadamente que, no tratamento em causa, é possível retirar ou recusar o consentimento sem que o titular fique prejudicado, por exemplo, sem que exista uma consequência negativa ou de qualidade quanto a contraprestação em que aquele eventualmente assente. 12. É com base nestas premissas que, na prestação de consentimento, se haverá de ajuizar as circunstâncias fácticas/concretas em que aquele possa ser prestado, e se reserva especial atenção aos contextos de desequilíbrio de poder, situações em que (na medida em que se conceba que a situação não é de monta a ferir geneticamente o uso desse fundamento), o ónus de garantia da liberdade declarativa do titular deve ser  PAR/2025/34 2 reforçado e, inequivocamente, alheado qualquer prejuízo ou influência direta na vontade de consentir, v.g., sofrer o titular qualquer pressão ou influência nesse sentido, ou ser diminuído na obtenção de um benefício. 13. O consentimento não pode, pois, ser condicionado. Quer isto dizer, e.g., que o consentimento associado à aceitação de condições gerais ou a uma execução ou prestação que não seja necessário para esses fins deve, também, ser afastado. 14. Simplificando, o tratamento de dados pessoais relativamente ao qual se pede o consentimento não poderá servir de contrapartida direta ou indireta de uma contraprestação nem, tampouco, ser o consentimento elemento subordinante daquela, sob pena de se eliminar, novamente, o conceito de liberdade por que se partiu. 15. Um outro importante elemento a conformar a noção de liberdade de consentimento é a que vulgarmente se designa de granularidade. Numa toada prática, no caso de se envolverem várias operações de tratamento para mais do que uma finalidade, os titulares dos dados devem poder escolher quais as finalidades que aceitam, e não serem colocados na circunstância de consentir “em bloco”, o que também obviaria à especificidade e correspondente liberdade exposta supra. 16. Este último requisito deverá ser lido em conjunto com a especificidade do consentimento, desta feita construído no sentido de se assegurar efetivo controlo e transparência dos dados em relação ao seu titular, i.e., na especificação do consentimento em função das (ou de cada uma das) finalidades do tratamento, e na separação clara entre as informações relacionadas com a obtenção do consentimento para as concretas atividades de tratamento de dados e as informações que lhe possam ser conexas, a executar atendendo à referida granularidade. 17. O consentimento específico haverá, assim, de só poder ser obtido quando os titulares dos dados são especificamente informados das finalidades previstas de utilização dos dados que lhes digam respeito. 18. Concretizando o que se vem dizendo, a informação do consentimento haverá de conter, no mínimo, a identidade do responsável pelo tratamento, a finalidade de cada uma das operações de tratamento em relação às quais se procura obter o consentimento, e que tipo de dados serão recolhidos e utilizados, e quais. 19. Correspetivamente, haverão de ser garantidos um conjunto de direitos-reflexo, como seja a o direito de retirar o consentimento, e o modo de o fazer, a prestação de informações acerca da utilização de dados para decisões automatizadas, em conformidade com o artigo 22.º, n.º2, alínea c), quando se verifique, e ainda sobre os possíveis riscos de transferências de dados, tal como previsto no artigo 46.º, todos do RGPD. 20. Igualmente, se o consentimento pretendido puder ser invocado por múltiplos responsáveis pelo tratamento, ou se os dados puderem ser transferidos ou tratados por outros responsáveis pelo tratamento que pretendam invocar o consentimento original, estes devem ser identificados.  PAR/2025/34 2v. 21. Quanto ao modus de fornecimento de informação a materializar as condições do consentimento, exige-se que os responsáveis pelo tratamento utilizem uma linguagem clara e informal, de fácil compreensão para o cidadão comum, particularmente para os concretos destinatários titulares dos dados, de acesso fácil, e que permita distinguir os fins e a forma como os seus dados serão tratados, separando-os claramente de outros eventuais assuntos. Acresce, ainda, a informação acerca da pluralidade dos direitos que lhes assistem, a forma e local do seu exercício, bem como, naturalmente, qual ou quais os responsáveis pelo tratamento dos seus dados e os seus pontos de contacto. 22. Por tudo isto, exigir-se-á que o titular dos dados deverá, sempre, agir deliberadamente para consentir o tratamento dos seus dados, enquanto irradiação de um “ato positivo inequívoco”, como plasmado no artigo 4.º n.º 11 do RGPD, só assim se assumindo como um fundamento capaz de suster um tratamento de dados pessoais. 23. Considerando este apertado regime, impor-se-á a conclusão que não se considerará o consentimento por válido se se reduzir à utilização de opções pré-assinaladas de adesão, ou atribuir-se ao silêncio ou inação do titular um conteúdo declaratório positivo. 24. Antes, como o RGPD expressa logo no seu artigo 4.º, n.º 111, deve o ato resultar de uma manifestação explícita, e que permita a demonstração da sua validade especificada por parte do responsável pelo tratamento - ónus que, como se viu, materialmente sobre si incide-, devendo ainda o responsável poder demonstrar que o consentimento foi obtido junto do titular dos dados, obrigação que subsiste, a esse título, enquanto durar o respetivo tratamento. 25. Na verdade, sem necessidade de grandes construções, o artigo 7.º do RGPD isso mesmo declara, aí se fixando um conjunto de condições adicionais para a obtenção válida do consentimento. 26. Como se disse, a fundamentação de um tratamento de dados pessoais nos pressupostos do consentimento enquanto ato volitivo e disponível, implica também, como contraponto, um aspecto fundamental: o direito a que este possa ser retirado. 27. Como reflexo valorativamente equivalente à prestação do consentimento, a sua retirada deverá obedecer aos mesmos critérios de clareza e imediação, bem como os demais que supra se expuseram, e poder ser exercida a todo o tempo, sem prejuízo para o titular ou sem que isso implique uma impossibilidade na execução de prestação, o que desde logo demonstraria que, geneticamente, o consentimento estaria ferido de invalidade. Ainda que se reputasse que o vício existisse apenas no tocante à retirada do consentimento, o desrespeito pelo RGPD neste ponto contém a virtualidade de afetar todo o tratamento que assente nesse fundamento. 1 11)”«Consentimento» do titular dos dados, uma manifestação de vontade, livre, específica, informada e explícita, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento;” [negrito nosso]  PAR/2025/34 3 28. Em concordância com o dito acima, e sob os requisitos do consentimento informado e ao abrigo do princípio da transparência, deve fazer-se constar expressa e claramente o direito de retirar o consentimento como informação ao titular dos dados em momento prévio a este prestar o seu consentimento, já que se trata de elemento fundamental em vista ao exercício do direito do titular e ao domínio e controlo do tratamento assente na sua vontade. 29. Finalmente, o responsável pelo tratamento não poderá transitar do consentimento enquanto fundamento para outros previstos no artigo 6.º do RGPD nem, tampouco, “aproveitá-lo” para outros fins que não aqueles que justificam o uso deste alicerce para o tratamento. CONCLUSÃO 30. Nos termos e com os fundamentos expostos, a CNPD conclui que o consentimento, enquanto fundamento de licitude para o tratamento de dados pessoais, deverá sempre constituir uma “manifestação de vontade, livre, específica, informada e explícita”, a praticar mediante declaração ou ato positivo inequívoco, não se permitindo, assim, o consentimento tácito, devendo, ainda, prever-se legislativamente o direito de retirar o consentimento, oferecendo-lhe regime que lhe confira eficácia e garantia, sem qualquer prejuízo para o exercitante. Lisboa, 22 de abril de 2025 Assinado por: JOSÉ CARLOS VEGAR ALVES VELHO Data: 2025.04.22 18:23:41+01'00' José Vegar Velho (Relator)