Parecer n.º 72/2023

PAR/2023/72 1 PARECER/2023/72 I. Pedido 1. A Senhora Presidente da Autoridade de Supervisão de Seguros e Fundos de Pensão solicitou à Comissão Nacional de Proteção de Dados (CNPD) que se pronunciasse sobre o Projeto de Norma Regulamentar respeitante à “Utilização do Identificador de Entidade Jurídica” [LEI]. 2. A CNPD emite parecer no âmbito das suas atribuições e competências, enquanto autoridade administrativa independente com poderes de autoridade para o controlo dos tratamentos de dados pessoais, conferidos pela alínea c) do n.º 1 do artigo 57.º, a alínea b) do n.º 3 do artigo 58.º e n.º 4 do artigo 36.º, todos do Regulamento (UE) 2016/679, de 27 de abril de 2016 – Regulamento Geral sobre a Proteção de Dados (doravante RGPD), em conjugação com o disposto no artigo 3.º, no n.º 2 do artigo 4.º e na alínea a) do n.º 1 do artigo 6.º, todos da Lei n.º 58/2019, de 8 de agosto, que executa na ordem jurídica interna o RGPD. II. Análise 3. O projeto de norma regulamentar1 sub iudice, como também se anuncia no artigo inicial que materializa o acervo normativo sujeito a parecer, tem por objeto regular a utilização do Identificador de Entidade Jurídica (LEI) pelas entidades sujeitas à supervisão da Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF). 4. Em suma, o LEI consiste, pois, num código alfanumérico composto por 20 caracteres, baseado na norma ISO 17442 desenvolvida pela Organização Internacional de Normalização (ISO), que permitirá identificar de forma clara e única as entidades participantes em transações financeiras, 5. e teve a sua génese na iniciativa conjunta dos Ministros das Finanças e dos Governadores dos Bancos Centrais do G20 e do Financial Stability Board (FSB) - Conselho de Estabilidade Financeira. 6. Cada LEI conterá/providenciará informação identificadora da entidade participante em transação e a sua estrutura, procurando avisar “quem é quem” e “quem controla quem”, constituindo um diretório universal em vista 1 Doravante, Projeto Regulamentar.  1v. a promover maior transparência e capacidade de identificação das partes envolvidas em transações no mercado global. 7. Mais concretamente, cada LEI deverá fornecer, destarte, em acesso público, pelo menos, dados sobre a firma ou designação da entidade envolvida - tal como constante no registo comercial respectivo- , o seu endereço/sede, o País da sua constituição, os códigos para a representação dos nomes dos países e suas subdivisões, a data de atribuição do primeiro LEI, a data em que a entidade jurídica foi estabelecida pela primeira vez, a data da última atualização das informações do LEI e a data de vencimento, se for o caso, 8. podendo ainda ser agregadas informações adicionais conforme acordado entre a entidade jurídica e sua organização emissora do LEI2. 9. Este conjunto corporiza a informação designada de “Nível 1”, dirigida a responder à pergunta, nos termos supra formulados, de “quem é quem”. 10. Além destes, o conjunto de dados constante no LEI incluirá, também, os dados de "Nível 2", que respondem ao mote "quem controla quem". Neste caso, estes dados constituir-se-ão como agregadores de informação estrutural co-societária ou de controlo/domínio, e suas relações de dependência ou co-dependência3. 11. Revertendo ao standard a utilizar, no sentido de enformar-se o âmbito subjetivo do LEI, a Norma ISSO 17442 supra referida explica que por legal entities se deverá entender -ainda que em definição não limitativa- , partes que sejam legal ou financeiramente responsáveis pela prática de transações financeiras ou que sejam capazes juridicamente para celebração -v.g., autónoma- de contratos, entes com capacidade de exercício plena, tal como conferida pelo ordenamento nacional de origem4, ou indivíduos quando ajam empresarialmente (acting in business capacity), excluindo-se, desta maneira, as pessoas físicas/singulares (natural persons) em exercício pessoal ou não profissional, bem como os trabalhadores que pratiquem esses atos em nome de outrem5, como, de resto, veio a esclarecer o Comité de Supervisão Regulamentar do LEI. 2 As designadas LOU (Local Operating Units). 3 A este propósito pode ver-se a informação publicada pela Global Legal Entity Identifier Foundation /GLEIF), que coordena o sistema LEI e assegura o acesso público à informação sobre os LEI emitidos, acessível em https://www.gleif.org/ 4 Incluindo-se na noção, também, organizações governamentais, internacionais e supranacionais. 5 Cfr. o Ponto 1 da ISSO 17442 e o documento “Legal Entity Identifier Regulatory Oversight Committee (LEI ROC)”, Statement on individuals acting in a business capacity de 30 de Setembro de 2015.  PAR/2023/72 2 12. O mesmo servirá para dizer que, em regra, segundo a Norma ISO, as pessoas singulares, na acepção lata de natural persons, não serão destinatários do LEI, ainda que, mediante as especificidades de cada ordenamento, possa suceder que tais pessoas singulares possam atuar no comércio jurídico como empresários, de acordo com conformação jurídica própria, e prosseguir atividade comercial profissional independente, ainda que não, entenda-se, sob a forma societária. 13. Num remate, crê-se, assim, que haverá que se ter de apreciar, pelo menos, dois regimes distintos quanto à matéria em análise, como melhor se procurará explicar infra, na medida em que o recorte subjetivo a considerar, ainda que naquele instrumento definido em conjunto, pode assumir relevâncias e titularidades de direitos de natureza diferente, que, de resto, se manifestam na esfera atuação sob supervisão da Entidade Requerente, e se encontram refletidas no Projeto Regulamentar. 14. É que a Autoridade Europeia dos Seguros e Pensões Complementares de Reforma (EIOPA)6 publicou um conjunto de Orientações sobre a utilização do LEI, no sentido de promover e harmonizar a identificação dos entes jurídicos e estabelecer práticas de supervisão coerentes, eficientes e eficazes, abrangendo as empresas de seguros e de resseguros e das instituições de realização de reformas profissionais, bem como as sucursais e os intermediários relevantes que operam a nível transfronteiriço. As Orientações preveem igualmente a utilização do código LEI para efeitos de identificação quando as autoridades competentes prestam informações à EIOPA. 15. Ora, ainda de acordo com as Orientações emitidas pela EIOPA, como bem se transcreve na exposição de motivos do Projeto Regulamentar em análise, “as pessoas singulares que atuem na qualidade de empresas são elegíveis para obter um LEI, desde que exerçam uma atividade empresarial independente, como comprovado pela inscrição num registo comercial, com apenas um LEI emitido para o mesmo indivíduo e verificação adequadas de que a proteção de dados, a privacidade ou outos obstáculos não impedem a publicação do atual ficheiro de dados LEI”, como , de resto, se deixou já alusão supra7. 16. Tudo quanto se expôs a título de preliminar servirá, assim, para concluir que, no tocante aos atores societários no mercado global, a incluir nas atividades previstas nas utilidades do LEI, não se colocam, em geral e diretamente, questões relacionadas com a aplicação do RGPD e demais legislação conexa, na medida em que 6 Trata-se de um organismo da União Europeia (UE) que visa apoiar a coordenação entre as autoridades nacionais e assegurar a aplicação coerente da legislação da UE relativa aos setores dos seguros e das pensões complementares de reforma nos Estados-Membros da UE. 7 Ainda que, em bom rigor, nos termos gerais da ontologia jurídica do LEI se possa fazer a distinção entre “elegibilidade” e “obrigatoriedade”.  2v. o regime previsto neste Regulamento se destina à proteção das pessoas singulares, relativamente às quais o tratamento de dados pessoais é um direito fundamental. 17. Na verdade, o artigo 8º n.º 1, da Carta dos Direitos Fundamentais da União Europeia («Carta») e o artigo 16.o, n.o 1, do Tratado sobre o Funcionamento da União Europeia (TFUE) estabelecem que todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito, precisamente no mesmo sentido de natural persons a que acima se referiu, e que aparece em regra excluído do âmbito conferente do LEI, com a excecionalidade já retratada8. 18. Mas, ainda assim, nessa medida, não será indiferente o conjunto de dados que, em sede de LEI, se pretenda incluir nas classificações “Nível 1” e “Nível 2”, ainda que estes venham em abstrato definidos nos instrumentos criadores da figura, em função da estruturação societária portuguesa. 19. E não o será na medida em que a utilização de um conjunto de informações agregadas como é o LEI, até pelo seu carácter universal, a clamar a adaptação posterior às especificidades de cada ordenamento jurídico, haverá de pressupor, na sua transposição e regulamentação, no caso presente, a adequação ao universo de entidades constituídas em Portugal, no exercício de uma particular atividade comercial e seus particulares regimes jurídicos a nível local. 20. Dito doutro modo, haverá de se ter de ajuizar o conjunto informativo a incluir no LEI tal como é concebido, e os dados a tratar em relação à configuração jurídica das entidades jurídicas portuguesas abrangidas no âmbito de supervisão da Requerente, a sua natureza e qualidade, em função do setor de atividade a que pertencem, considerando, inclusivamente, os dados públicos constantes no registo comercial, e a sua coordenação e/ou adequação, em função do seu tipo, com a prevista como constituinte do LEI, já que, particularmente no “Nível 2”, se poderão incluir, no nosso caso e em tese, dados que possam vir a considerar-se pessoais, captados por arrasto -ou à “sombra”- de informação respeitante a estruturas coletivas e suas relações, excluídas, primariamente, da legislação protetora de dados pessoais, ponto que deverá ser cautelosamente ponderado e prevenido, em razão do fluxo a publicar9. 8 . O artigo 8.o, n.o 1, da Carta dos Direitos Fundamentais da União Europeia («Carta») e o artigo 16.o, n.o 1, do Tratado sobre o Funcionamento da União Europeia (TFUE) estabelecem que todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito, disposições que encontram reflexo, também, na Constituição da República Portuguesa, bem como no artigo 1º do RGPD. 9 Um coisa será, assim, criar-se uma base de dados pública onde apenas constem informações relativas às pessoas colectivas entre si e constantes no registo como seus elementos identificadores, outra será o conjunto  PAR/2023/72 3 21. Destarte, neste ponto de vista, o Projeto Regulamentar em causa é omisso quanto à informação que efetivamente venha a ser tratada e recolhida, apenas nele se disciplinando o seu âmbito de aplicação, a obrigatoriedade de titularidade do LEI e sua comunicação e utilização, bem como a prestação de informação à EIOPA e publicidade pela ASF, e não traduzirá um vero exercício regulamentar de aplicação especializada/dirigida aos entes abrangidos em consideração do seu sector de atividade, bem como das particularidades que daí possam advir quanto a matéria respeitante a dados pessoais, que assume uma maior importância, a nosso ver, quando se trata de norma sectorial, e sujeita a supervisão da entidade criadora. 22. De resto, esta observação parece tornar-se ainda mais aguda quando se encontram incluídas no âmbito de aplicação do Projeto Regulamentar os mediadores de seguros, de resseguros e de seguros a título acessório registados em Portugal que exerçam atividadades transfronteiriças no território de outros Estados.-Membros, podendo consistir em pessoas singulares, onde se ressalva no Projeto, inclusivamente, o envio à ASF de uma cópia do formulário relativo ao tratamento de dados pessoais em anexo à norma regulamentar proposta. -Vide, arts. 2º nº 1 alínea g) e artigo 5º, nº 3, do Projeto Regulamentar. 23. Ora, se a determinação da informação e dados a constar no LEI, face a este sector específico e aos sujeitos particularmente abrangidos por este Projeto, que exercem uma atividade determinada e se constituem e organizam, no nosso ordenamento, de forma tipificada10 se demonstraria útil em nome dos princípios da clareza e informação aos seus destinatários, 24. entende-se que cumpriria, igualmente, uma função discriminativa e definitória e, ao mesmo tempo, veramente regulamentar e constitutiva de regime em relação às diferentes situações que o Projeto procura abranger, seja quanto às pessoas coletivas, seja, coisa diferente, quanto às pessoas singulares, materializando os regimes aplicáveis a cada um dos casos, que não se deverão confundir. 25. A pressuposta adaptação específica às exigências e particulares enformações jurídicas nacionais, conforme os entes portugueses a incluir no instrumento, e a definição, para cada um dos casos, dos dados – se já públicos ou não, registais ou outros – que vão ser levados ao LEI, assume ainda uma importância maior quando nele se prevê um regime de obrigatoriedade legal, de dados que se possam aproximar das pessoas singulares tidas como beneficiários efetivos dessas sociedades, e seus dados pessoais. 10 E, por isso, determinável pela Entidade Requerente.  3v. 26. não sendo indiferente, repita-se mas sob outra ótica, o tipo de dados a fazer-se constar e a sua eventual já disponibilidade pública ou registal no ordenamento nacional11, também no sentido de aferir, por parte desta Comissão, as particulares exigências de tratamento que possam impor os particulares dados a serem tratados, sempre necessariamente orientados para fins precisos, tanto mais quando, na própria ontogénese do LEI, é possível fazer incluir dados adicionais, com o acordo da entidade emissora do LEI, cuja natureza e legitimação pode obrigar a considerações -mesmo de licitude- bem distintas da que constitui o impulso inicial do Projeto. 27. Na verdade, clarificando, a premência maior desta última observação coloca-se com particular acuidade quando as pessoas singulares possam ser de incluir naquele mecanismo12, seja a título de elegibilidade ou, como resulta do projeto, obrigatoriedade do LEI que, como se viu, assumem carácter excecional nos horizontes criadores do instrumento. 28. Nesses casos, os regimes de proteção de dados pessoais afigurar-se-ão de aplicação e preocupação primária, na medida em que, mesmo quando atuando na referida business capacity, a informação a tratar poderá corresponder àquela de natureza pessoal13, levando à possibilidade de vir a constituir-se, para estes fins, a materialmente a mesma, sujeita a uma publicidade obrigatória. Pense-se, por exemplo, nos empresários em nome individual que, não sendo pessoas colectivas, encontram um regime próprio no comércio, com fronteira muitas vezes indistinta entre os seus dados pessoais, independentemente da veste em que atuam no giro diário. 29. Isto valerá para dizer que, ainda que o Projeto Regulamentar remeta, nesses casos, para um anexo titulado “Informação Relativa ao Tratamento de Dados Pessoais”, deverá fazer-se, precedentemente, uma vera constituição de regimes endereçadas aos entes jurídicos que se pretende abranger em Portugal com a presente Proposta, que exercem atividade no âmbito de supervisão da Requerente, e das específicas informações/dados a serem recolhidos e seu tratamento e fundamento, vg., quais os dados a tratar e como são tratados, e não apenas um conjunto informativo dos direitos dos respetivos titulares, que apesar disso se louva. 30. Relembra esta Comissão que, desde logo e antes de mais, o tratamento dos dados deve respeitar o princípio da licitude, e assentar numa das causas previstas no artigo 6º do RGPD, com conformações diferentes em função da causa específica em que assentam, bem como responder às demais exigências aí plasmadas e que 11 Constituindo, no fundo, um mero acervo remissor à informação já pública das pessoas coletivas registadas. 12 Direta ou indiretamente, como se expôs. 13 Pense-se, por exemplo, no nome, número de identificação fiscal, morada, etc..  PAR/2023/72 4 desse artigo irradiam, como as constantes no seu n.º3, e, bem assim, desenvolvidas, mutatis mutandis nos artigos subsequentes. 31. Coincidentemente, deverá igualmente ser especificado o prazo de conservação dos dados pessoais recolhidos, de forma clara e desejavelmente taxativa, ou de condição clara que o concretize, em função e em consideração de cada uma das finalidades concretas que autorizam a sua recolha e tratamento, dependentes das conclusões das apreciações supra referidas. 32. Na ausência de tal circunstancialismo, a aferição em concreto, por parte desta Comissão, das condições de tratamento particulares dos dados em causa afigura-se prejudicada. 33. Ainda assim, deve deixar-se notado que deverá resultar densificado quais os dados que serão tratados, particularmente, pela ASF, assim como seu fluxo, sendo certo que o que consta no Projeto Regulamentar não se prende, diretamente, com a emissão do LEI por parte dessa Autoridade, mas antes a obrigação da sua obtenção por parte dos entes abrangidos a requerer a terceiros, e a correspondente comunicação à ASF, desenhando-se, em rigor, duas bases diferentes, com responsáveis pelo tratamento distintos, desconhecendo-se, pela leitura do Projeto, qual a base de que a ASF será responsável, como se organizará, e que dados conterá14. 34. Relativamente à transferência de dados pessoais, deverá, também, especificar-se com clareza quais as circunstâncias concretas em que estas possam ocorrer, bem como, desejavelmente, as informações constantes no art 13º do RGPD, concretamente, os destinatários (ou categorias de destinatários) dos dados pessoais, e quais os fins que as justificam. 35. Acrescente-se, ainda, que haverá que considerar o disposto na alínea f) do n.º 1 do artigo 14.º do RGPD, pois desta norma decorre que o responsável pelo tratamento deve informar o titular dos dados da transferência de dados pessoais para um país terceiro, indicando a existência de uma decisão de adequação adotada pela Comissão nos termos do artigo 45.º do RGPD, ou, na sua falta, a referência às garantias apropriadas ou adequadas e aos meios de obter cópias das mesmas, ou onde foram disponibilizadas. Note-se que, neste caso, deverá existir um acordo de colaboração que apresente garantias adequadas e nele estejam previstos os direitos oponíveis e efetivos dos titulares dos dados, bem como medidas corretivas eficazes, nos termos impostos pelo artigo 46.º deste diploma da União. 14 Uma, pois, a referente à emissão pela LOU do LEI, e a seu cargo, e outra que resulta do que haverá de ser comunicado à ASF, em coincidência ou não, que se desconhece.  4v. 36. A ASF invoca, no anexo de tratamento de dados, a alínea e) do artigo 5.º nº1 do RGPD como vértice fundamentador do tratamento dos dados pessoais. Apesar de se admitir que seja o interesse público o motivador primaz ou remoto do Regulamento, o que o seu conteúdo normativo acaba por constituir é uma vera obrigação legal ou jurídica para as entidades abrangidas, pelo que, nessa vista, não se poderá falar de um direito de oposição ao tratamento, no sentido que é transmitido pelo ponto g) desse mesmo anexo. Também, no segundo parágrafo desse ponto, a invocação do art. 23º do RGPD parece ser inócua, já que, in casu, inexiste qualquer circunstância limitativa das que aí constituem factispecie, a aferir em momento presente, pelo que se sugere a sua remoção. 37. Deve notar-se, ainda, que, nos termos do artigo 5.º do Projeto, a comunicação respeitante a “emissão, renovação ou portabilidade do LEI (…), bem como toda a informação associada ao identificador, é comunicada à ASF (….) e efetuada por correio eletrónico”. 38. Na medida em tal implicará o fluxo de informação que possa conter dados pessoais, alerta esta Comissão para a necessidade de adoção de medidas técnicas e de segurança adequadas à proteção de dados pessoais, em respeito à matéria prevista nos artigos 32.º e ss do RGPD, remetendo-se, igualmente, para a Diretriz 1/2023 da autoria desta Comissão, particularmente no constante no seu Ponto II, recomendando-se a densificação/regulamentação da solução técnica a adotar sempre em respeito pelos princípios, técnicas e procedimentos acabados de referir. 39. Finalmente, sublinha a CNPD que a presente Proposta Regulamentar deveria ser acompanhada por uma avaliação de impacto, nos termos conjugados dos artigos 18.º n.º 4 da Lei 43/2004, 7.º da Lei 58/2019, e 35.º do RGPD. 40. Apesar da presente Proposta ter a sua causa genética em instrumento sustentado por orgânica europeia, a necessidade da sua adequação à legislação nacional, nas suas especificidades, haverá de requerer a análise dos riscos das operações de tratamento para os titulares dos dados, a aferir, sempre, em concreto, em relação aos sujeitos envolvidos e aos dados que, em função daqueles concretos fins, justificam o seu tratamento, tanto mais quando a posição dos sujeitos não se afigure ser a mesma. III. Conclusão 53. Nos termos e com os fundamentos expostos a CNPD recomenda: