Parecer n.º 47/2025

PAR/2025/56 1 PARECER/2025/47 /͘ Pedido 1. O Ministério dos Negócios Estrangeiros, através da Direção-Geral de Política Externa, solicitou à Comissão Nacional de Proteção de Dados (CNPD) que se pronunciasse sobre o projeto de Convenção entre a República Portuguesa e o Reino Unido da Grã-Bretanha e Irlanda do Norte para eliminar a dupla tributação em matéria de impostos sobre o rendimento e sobre as mais valias e prevenir a fraude e a evasão fiscal (a seguir, denominada «CDT»). 2. A CNPD emite parecer no âmbito das suas atribuições e competências enquanto autoridade nacional de controlo dos tratamentos de dados pessoais, conferidas pela alínea c) do n.º 1 do artigo 57.º e pelo n.º 4 do artigo 36.º do Regulamento (UE) 2016/679, de 27 de abril de 2016 – Regulamento Geral sobre a Proteção de Dados (RGPD), em conjugação com o disposto no artigo 3.º, no n.º 2 do artigo 4.º, e na alínea a) do n.º 1 do artigo 6.º, todos da Lei n.º 58/2019, de 8 de agosto. //͘ Análise 3. O Projeto de Convenção em análise visa eliminar a dupla tributação em matéria de impostos sobre o rendimento e sobre as mais valias sem criar oportunidades de não tributação ou de tributação reduzida através de fraude ou invasão fiscal. 4. A CNPD já se pronunciou sobre um projeto de Convenção com um texto semelhante pelo que o presente parecer segue de perto o Parecer n.º 96 de 22, de 25 de outubro de 2022.1 4. A Convenção aplica-se aos impostos sobre rendimentos e sobre as mais valias, exigidos em benefício de um Estado Contratante, abrangendo todos os impostos incidentes sobre o rendimento total ou sobre elementos do rendimento, incluindo os impostos sobre os ganhos derivados da alienação de bens mobiliários ou imobiliários, bem como os impostos sobre as mais valias. 1 Disponível em https://www.cnpd.pt/decisoes/historico-de-decisoes/  PAR/2025/56 1v. 5. Os impostos em Portugal a que a Convenção se aplica são o Imposto sobre o Rendimento de Pessoas Singulares (IRS), Imposto sobre o Rendimento de Pessoas Coletivas (IRC) e as derramas. No Reino Unido são o imposto sobre o rendimento, o imposto sobre as sociedades e o imposto sobre as mais valias. 6. Como decorre claramente do artigo 24.º do texto em análise a execução da Convenção pressupõe a transferência de dados tributários de um para outro dos Estados Contratantes. 7. Á luz do n.º 1 do artigo 4.º do RGPD os dados tributários objeto de transferência constituem dados pessoais e, por esse facto, antes de celebrarem um acordo bilateral com outro estado as autoridades portuguesas devem certificar-se que o Acordo a celebrar assegura um nível de proteção adequado para os dados tributários cuja transferência esteja prevista no texto do projeto. 8. A adequação do nível de proteção dos dados deve ser apreciada em função de todas as circunstâncias que rodeiam a transferência ou o conjunto de transferências, tomando em consideração, designadamente, a natureza dos dados, a finalidade e a duração dos tratamentos projetados, o país de origem e o país de destino final, as regras de direito, gerais ou sectoriais, em vigor no Estado em causa e, bem assim, as regras e as medidas de segurança que são adotadas nesse País. 9. Ora, nos termos do artigo 46.º do RGPD, a República Portuguesa só pode realizar transferências de dados pessoais para um país terceiro situado fora da União Europeia, como é o Reino Unido da Grã- Bretanha e Irlanda do Norte, se esse país apresentar garantias adequadas e na condição de os titulares dos dados gozarem de direitos oponíveis e de medidas jurídicas corretivas eficazes. 10. Assim, importa antes do mais analisar se o Reino Unido da Grã-Bretanha e Irlanda do Norte assegura um nível de proteção adequado. 11. No caso concreto, verifica-se que o Reino Unido da Grã-Bretanha e Irlanda do Norte dispõe de legislação específica relativa à proteção de dados pessoais e que se encontra instituída uma autoridade nacional com poderes de regulação e fiscalização em matéria de proteção de dados pessoais. 12. O regime relativo às transferências internacionais de dados pessoais do Reino Unido é estabelecido nos artigos 44.º a 49.º do RGPD do Reino Unido, completado pelo DPA 2018, e é materialmente idêntico às regras previstas no capítulo V do Regulamento (UE) 2016/679.  PAR/2025/56 2 13. Ainda, verifica-se que o Reino Unido da Grã-Bretanha e Irlanda do Norte beneficia de uma decisão de adequação da Comissão Europeia, de 17 de dezembro de 20212, através da qual a Comissão atesta que este País assegura um nível de proteção adequado. 14. Nos termos do Regulamento de execução (UE) 2021/1772 da Comissão, de 28 de junho de 2021, a Comissão procedeu a uma análise cuidadosa da legislação e das práticas do Reino Unido e conclui que o Reino Unido assegura um nível de proteção adequado dos dados pessoais transferidos no âmbito do Regulamento (UE) 2016/679 da União Europeia para o Reino Unido. 15. Sob a epígrafe “Troca de informações”, o artigo 24.º do projeto de Convenção ora em análise regula as trocas de informações pelos Estados-Partes, reproduzindo expressis verbis o artigo 26.º da Convenção Modelo da OCDE sobre Dupla Tributação do Rendimento e do Capital, na versão resumida de 20083, apenas com a diferença de que foi acrescentado, no n.º 1 um parágrafo «Contudo, a troca de informações respeitantes ao IVA e aos direitos aduaneiros fica excluída do âmbito do presente artigo.» e no n.º 2, um parágrafo que dispõe que as informações recebidas por um Estado Contratante podem ser utilizadas para outros fins quando tal utilização for permitida ao abrigo das leis de ambos os Estados e a autoridade competente do Estado que as fornece autorizar tal uso, solução que se saúda. Finalidades da troca de informações 16. O n.º 1 do artigo 24 atribui à troca de informações duas finalidades: a) a aplicação da Convenção, portanto a eliminação da dupla tributação em matéria de impostos sobre o rendimento e a prevenção da fraude e evasão fiscal; b) a administração ou execução das leis internas sobre impostos, na medida em que a tributação nelas prevista não seja contrária à Convenção. 17. A este propósito, destaca-se que os dados pessoais recolhidos têm de visar finalidades determinadas, explícitas e legítimas, não podendo ser posteriormente tratadas de forma incompatível com esses fins (cf. alínea b) do n.º 1 do artigo 5.º do RGPD). Como melhor se exporá adiante, a especificação clara de finalidades dos tratamentos de dados pessoais é relevante no que respeita à 2 Disponível https://ec.europa.eu/info/sites/default/files/1_1_180366_dec_ade_kor_new_en.pdf 3 Disponível em https://info.portaldasfinancas.gov.pt/pt/informacao_fiscal/convencoes_evitar_dupla_tributacao/convencoes_tabelas_doclib/Docum ents/CDT_Modelo_OCDE.pdf  PAR/2025/56 2v. tutela dos direitos dos titulares dos dados pessoais, desde logo para se poder aferir da adequação e necessidade do tratamento dos dados para a sua prossecução. 18. Todavia, a parte final do n.º 1 do artigo 24, ao determinar que a troca de informações não fica restringida pelo disposto nos artigos 1.º e 2.º da mesma Convenção, põe em causa o princípio da finalidade, prejudicando ainda a verificação da aplicação dos restantes princípios em matéria de proteção dos dados pessoais. 19. Na verdade, uma tal previsão abre o tratamento de dados a qualquer finalidade e para quaisquer sujeitos (categorias de titulares de dados), ultrapassando os limites decorrentes do objeto (e objetivo) da Convenção. Se se pretende estender este regime jurídico a outros sujeitos ou para outros fins impõe- se que os mesmos sejam especificados no texto do Acordo, sob pena de violação do princípio consagrado na alínea b) do n.º 1 do artigo 5.º do RGPD. 20. Por sua vez, a última frase do n.º 2 do artigo 24 introduz uma fissura injustificada no regime de proteção de dados ao permitir o tratamento de dados para fins diferentes daqueles para os quais os dados foram recolhidos, desde que tal esteja previsto na legislação de ambos os Estados Contratantes e desde que seja autorizada pela entidade competente do Estado que fornece a informação. De facto, o n.º 4 do artigo 6.º do RGPD fixa as condições em que tais tratamentos podem ocorrer, nomeadamente, estabelece que apenas possa ser utilizada essa informação para fins compatíveis com o da recolha e transmissão, pelo que deve acautelar-se que tal não signifique o alargamento do regime legalmente consagrado. O princípio da proporcionalidade 21.O n.º 1 do artigo 24 em análise prevê que as autoridades competentes dos Estados Contratantes trocarão entre si as “informações previsivelmente relevantes” para aplicar a Convenção ou para a administração ou execução das leis internas. 22. Ora, remeter a determinação dos dados pessoais sujeitos a comunicação e troca entre os dois Estados para um juízo de prognose sobre quais sejam os previsivelmente relevantes para combater a dupla tributação e a evasão fiscal, importa um grau de incerteza jurídica que, só por si, não é de admitir no contexto da regulação de direitos fundamentais como são o da proteção de dados pessoais e o da reserva da intimidade da vida privada e familiar – aqui, em matéria fiscal, também em causa dada a  PAR/2025/56 3 extensão da informação pessoal que a autoridade tributária recolhe à luz da legislação vigente no nosso ordenamento jurídico. O apelo ao juízo de prognose dificulta ainda a apreciação do cumprimento dos princípios da proporcionalidade quanto aos dados tratados, de acordo com o determinado na alínea c) do n.º 1 do artigo 5.º do RGPD, que impõe que só possam ser objeto de intercâmbio as informações adequadas, pertinentes e não excessivas relativamente à finalidade do tratamento. 23. Neste sentido, uma previsão com semelhante teor contraria o princípio geral constante do artigo 5.º da Convenção 108+ do Conselho da Europa e do artigo 5.º, n.º 1, alínea c), do RGPD, não sendo coerente com o regime assumido como indispensável pelos artigos 44.º e 46.º do RGPD para as transferências de dados para países terceiros. 24. Recomenda-se, por isso, que pelo menos, no n.º 1 do artigo 24.º, em vez de “informações previsivelmente relevantes” se empregue a expressão “informações necessárias”, a qual, faz apelo ao princípio da proporcionalidade. 25. Refira-se a este propósito que em diversas convenções sobre a mesma matéria4 é utilizada a expressão “informações necessárias”. De resto, os próprios comentários oficiais à Convenção Modelo da OCDE admitem que qualquer uma destas expressões seja empregue, em alternativa, com um significado equivalente, pelo que, sendo o conceito de necessidade mais preciso e rigoroso do ponto de vista de proteção de dados pessoais, não parece haver motivo para não o introduzir no texto do Projeto. O acesso a dados sob sigilo bancário 26.Num preceito que, como se referiu supra, se reproduz o artigo 26.º, n.º 5, da Convenção Modelo, o n.º 5 do artigo 24 do Projeto determina que um Estado Contratante não pode recusar-se a prestar informações unicamente porque possuídas por uma instituição de crédito, outra instituição financeira, um mandatário ou por uma pessoa agindo na qualidade de agente ou fiduciário, ou porque essas informações respeitam aos direitos de propriedade de uma pessoa. 4 Veja-se a título meramente exemplificativo as Convenções celebradas com a mesma finalidade com Israel, Paquistão, Singapura, Chile, Argélia, Holanda, aprovadas pelas Resoluções da Assembleia da República n.º 2/2008, 66/2003, 85/2000, 28/2006, 22/2006 e 62/2000 respetivamente.  PAR/2025/56 3v. 27. Este preceito torna evidente que, na ponderação de bens jurídicos ou interesses, efetuada na Convenção Modelo da OCDE, se deu prevalência ao interesse público dos Estados-Partes na tributação efetiva dos rendimentos abrangidos sobre o direito fundamental dos particulares em ver salvaguardada a reserva da sua vida privada, ainda que este sacrifício venha acompanhado de garantias adequadas quanto à confidencialidade da informação transmitida. 28. A este propósito, a CNPD permite-se notar que o n.º 5 do artigo 26.º da Convenção Modelo deve ser interpretado no seu devido contexto. Deste modo, apesar dos termos literais da primeira parte do n.º 3 do artigo 26.º, deve entender-se que a aplicação do n.º 5 não afasta a aplicação daquela disposição, isto é, que o acesso às informações dos bancos não pode contrariar as condições estabelecidas na lei interna para o levantamento do segredo bancário. É esta, de resto, a interpretação sugerida pelos comentários oficiais ao n.º 5 do artigo 26.º da Convenção Modelo da OCDE. 29. Considerando que a legislação em vigor em ambos os Estados oferece um nível de proteção adequado e se aplica também a esta Convenção, não haverá necessidade de esta conter um preceituado alargado sobre proteção de dados. 30. No entanto, a CNPD pronunciou-se no Parecer n.º 5, de 5 de março de 20255, a solicitação do Ministério dos Negócios Estrangeiros através da Direção-Geral de Política Externa, sobre a adequação do texto das Convenções para evitar a dupla tributação (CDT), que implicam a transferência internacional de dados, às disposições do RGPD, com vista à obtenção de um clausulado a inserir nas CDT que Portugal pretenda celebrar bilateralmente com vários países. 31. No referido Parecer a CNPD «considera que, independentemente do nível de proteção de dados existente no Estado terceiro que venha a ser contraparte de Portugal na CDT, a inserção deste clausulado acautela todas as situações. Se um Estado terceiro já detém legislação de proteção de dados equivalente ao RGPD e aplicável aos dados pessoais tratados no âmbito da Convenção, se reconhece os direitos dos titulares ou se detém legislação que preveja o recurso aos tribunais por parte de estrangeiros, não terá qualquer dificuldade em aceitar este clausulado, na medida em que não criará direitos e deveres que não constem já do seu regime. Acresce que ao inserir tal clausulado na sua 5 Disponível em https://www.cnpd.pt/decisoes/historico-de-decisoes/?year=2024&type=4&ent=&pgd=2  PAR/2025/56 4 totalidade na CDT, Portugal acautela que as garantias adequadas de proteção de dados se mantem, mesmo que a legislação do Estado terceiro sofra alterações que ponham em causa a equivalência do nível de proteção d dados das pessoas singulares ao existente na União.» 32. Nestes termos, em coerência com o pedido formulado pela Direção-Geral da Política Externa do Ministério dos Negócios Estrangeiros e pelo Parecer emitido pela CNPD, recomenda-se a inserção do citado clausulado no texto da Convenção em análise. Conclusão 33.Tendo consideração que o Reino Unido da Grã-Bretanha e Irlanda do Norte beneficia de uma Decisão de Adequação da Comissão Europeia, que dispõe de legislação específica em matéria de proteção de dados e se encontra instituída, naquele território, uma autoridade de proteção de dados, a CNPD entende estarem reunidas as garantias necessárias para a transferência de dados, devendo, no entanto, a Convenção conter as salvaguardas atrás expostas. Lisboa, 5 de setembro de 2025 Assinado de forma digital MARIA CÂNDIDA por MARIA CÂNDIDA OLIVEIRA OLIVEIRA Dados: 2025.09.05 19:41:28 +01'00' Maria Cândida Guedes de Oliveira (Vogal que relatou)