A declaração do estado de emergência, a que se sucedeu a declaração do estado de calamidade, tem vindo a colocar interessantes questões em sede de protecção de dados ¹ - mas talvez, como veremos, com menor intensidade face a outros domínios afectados pela suspensão de direitos fundamentais inerente à declaração do estado de emergência ou pela imposição de restrições, enquanto consequência do estado de calamidade².

Por um lado, o contexto de combate à pandemia e à disseminação do coronavírus SARS-CoV-2 levou à discussão, também no âmbito da União Europeia, da admissibilidade do recurso a apps de contact tracing³; por outro, foi amplamente discutida em Portugal a admissibilidade de medição da temperatura corporal dos trabalhadores, ainda que sem registo da mesma, o que motivou até a aprovação de uma norma visando especificamente ultrapassar quaisquer dúvidas sobre a legalidade da referida medição - cfr. o artigo 13.º-C do Decreto-Lei n.º 20/2020, de 1 de Maio⁴ - mas que pode, ela própria, suscitar dúvidas de constitucionalidade⁵.

Também a Comissão Nacional de Protecção de Dados emanou neste período um conjunto de orientações⁶ sobre proteção de dados no contexto do COVID-19, interessando-nos particularmente analisar as "Orientações sobre divulgação de informação relativa a infetados por COVID-19", nomeadamente no tocante ao tratamento de dados pessoais por parte da Administração Pública (em especial, autarquias locais), na parte em que analisa a aplicação da alínea e) do n.º 1 do artigo 6.º e da alínea i) do n.º 2 do artigo 9.º, do RGPD no âmbito do tratamento de dados por entidades públicas.

Mas, antes desta análise, há um ponto prévio que deve ser esclarecido.

Ao contrário do que se poderá concluir quanto a outras normas de direitos fundamentais, não houve propriamente um regime aplicável à protecção de dados em período de normalidade constitucional e um regime diverso em período de emergência. É verdade que o Decreto do Presidente da República n.º 17-A/2020, de 2 de abril, que renovou o estado de emergência (anteriormente decretado pelo Decreto do Presidente da República n.º 14-A/2020, de 18 de março) veio prever, no elenco de direitos parcialmente suspensos - cfr. alínea h) do artigo 4.º - a suspensão do direito à proteção de dados pessoais, nos seguintes termos: "as autoridades públicas competentes podem determinar que os operadores de telecomunicações enviem aos respetivos clientes mensagens escritas (SMS) com alertas da Direção-Geral da Saúde ou outras relacionadas com o combate à epidemia", enunciado normativo que veio a ser replicado no Decreto do Presidente da República n.º 20- A/2020, de 17 de abril, o qual renovou, pela última vez, o estado de emergência.. Esta suspensão não figurava, porém, no Decreto do Presidente da República n.º 14-A/2020, de 18 de março, que declarou o estado de emergência com efeitos a 19 de março de 2020.

Não obstante, nem o Decreto n.º 2-B/2020, de 2 de abril, nem o Decreto n.º 2-C/2020, de 17 de abril - os quais regulamentaram a primeira e a segunda renovações do estado de emergência - adoptaram disposições específicas de concretização da mencionada suspensão - pese embora deles conste uma norma sobre o acesso a dados anonimizados do Sistema Nacional de Vigilância Epidemiológica para investigação científica (cfr. o artigo 39.º e 42.º, respectivamente)⁷.

Este primeiro ponto justifica-se precisamente porque a única norma da Constituição que versa directamente sobre protecção de dados é a que resulta do artigo 35.º, em particular do seu n.º 4, remetendo em qualquer caso para a lei.

Por outro lado, o regime nacional de protecção de dados encontra-se, desde 2018, plenamente alinhado com o dos outros Estados-membros da União Europeia, visto que qualquer operação de tratamento de dados tem de respeitar o Regulamento UE 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (RGPD), bem como, no quadro interno, a Lei n.º 58/2019, de 8 de agosto, que procura executá-lo.

Assim, qualquer análise sobre a validade de operações de tratamento de dados realizadas em período de estado de emergência não poderá ter uma resposta diferente à que será dada à mesma questão em estado de normalidade constitucional - seja ela a licitude da medição da temperatura corporal dos trabalhadores, da utilização de drones ou câmaras de videovigilância para vigiar deslocações de cidadãos, da admissibilidade de recurso a aplicações que recorram a dados de localização para apoiar a resposta à pandemia, modelando a propagação do vírus - de modo a avaliar a eficácia global das medidas de confinamento - ou que promovam o rastreamento de contactos, notificando os indivíduos de que estiveram próximos de um portador confirmado do vírus, visando em ambos os casos rapidamente cortar as cadeias de contágio⁸. Esta a conclusão a que se terá de necessariamente chegar, visto o regime aplicável ao tratamento de dados pessoais não ser constitucionalmente densificado, mas decorrer do regime europeu de protecção de dados, que contém inclusive normas, como a do artigo 23.º do RGPD, aplicáveis às limitações que os Estados-membros poderão impor ao regime de protecção de dados que decorre do RGPD⁹.

O regime aplicável às restrições ao direito à protecção de dados pessoais é, por conseguinte, o mesmo, quer em estado de normalidade, quer em estado de excepção constitucional.

Foi já objecto de ampla divulgação quer o documento Joint European Roadmap towards lifting COVID-19 containment measures (documento 2020/C 126/01, da Comissão¹⁰), quer a Declaração sobre o tratamento de dados pessoais no contexto do surto de COVID-19, adotada pelo Comité Europeu de Proteção de Dados a 19 de Março de 2020, quer ainda as directrizes sobre a utilização de dados de localização e ferramentas de contact tracing no contexto do surto de COVID-19, adoptadas pelo Comité Europeu para a Protecção de Dados a 21 de Abril de 2020¹¹, confluindo no sentido de as referidas aplicações serem de adesão voluntária e de o tratamento de dados ter necessariamente de ser feito de forma anonimizada¹² - pois "o vírus não discrimina, mas o seu impacto sim"¹³.

Depois de alguma discussão na comunicação social, ficou esclarecido que a aplicação a ser implementada em Portugal, integrada na iniciativa Monitorcovid19.pt e desenvolvida pelo INESC TEC¹⁴, será uma plataforma de uso voluntário (ou seja, o utilizador terá de dar o seu consentimento, ao fazer voluntariamente o download da app), a qual permite aos utilizadores interessados descobrir casos de contacto próximo com infectados por COVID-19 e que utilizará apenas a tecnologia Bluetooth¹⁵ - embora, para que seja eficaz no rastreio dos contágios, a app tenha de ser instalada por 60% dos utilizadores (percentagem que está alinhada com o nível expectável de eficácia em outros países). Na apresentação pública da aplicação foi salientado que a mesma não partilhará dados sobre o utilizador e não recorrerá à localização do dispositivo, cumprindo "escrupulosamente as leis europeias e nacionais de proteção de dados"¹⁶.

Estando a sua eficácia dependente de uma adesão expressiva da sociedade, gerando uma sensação de "falsa segurança" e não sendo impossível - como já reconhecido pelo consórcio que está a desenvolver a aplicação - o surgimento de casos de falsos positivos, a obrigatoriedade pelo Estado da imposição de utilização da aplicação sempre poderia suscitar dificuldades face ao princípio da aptidão ou da idoneidade, enquanto subprincípio do princípio da proibição do excesso¹⁷, argumento que também aponta, assim, a favor do seu carácter voluntário.

3.1. A Administração Pública e o tratamento de dados pessoais: fundamentos de licitude

A luta contra a pandemia de COVID-19, sendo naturalmente um objectivo do Estado Português e convocando o recurso a meios aptos à prossecução desse objectivo, não apaga porém - como julgamos ter ficado assente supra - o respeito pelo regime de tratamento de dados pessoais decorrente do RGPD, independentemente de o direito à protecção de dados estar plenamente em vigor ou suspenso parcialmente em virtude da declaração do estado de emergência.

Assim é porque, quer as aplicações de rastreamento de contactos já analisadas, quer a divulgação de informação relativa a infectados por COVID-19, implicam uma ou várias operações de tratamento de dados, nos termos do n.º 2 do artigo 4.º do RGPD e convocam ainda o regime especial da licitude de tratamento¹⁸ previsto no RGPD para o tratamento de dados relativos à saúde¹⁹, nomeadamente o artigo 9.º do RGPD.

Ora, sendo incontestável que também as autoridades públicas estão submetidas ao RGPD e à Lei n.º 58/2019, de 8 de Agosto - aliás, o direito da protecção de dados surgiu inicialmente para regular o tratamento da informação pessoal por parte de autoridades públicas, quando os meios tecnológicos começaram a adquirir maior relevância, visando sobretudo o Estado e as grandes empresas, tendo como efeito apenas reflexo a protecção dos titulares de dados²⁰ - o regime decorrente do RGPD aplicar-se-á naturalmente também ao tratamento de dados pela Administração Pública²¹.

Por conseguinte, o tratamento de dados pessoais pela Administração Pública - central, regional ou autárquica - terá de ser fundamentado no artigo 6.º do RGPD e, especificamente quanto a dados relativos à saúde, no artigo 9.º do RGPD - ou seja, para ser lícito, terá de ser justificado no âmbito de um dos fundamentos de licitude aí previstos.

Relativamente ao artigo 6.º, importa fazer algumas precisões: embora este preveja, para além do tratamento baseado no consentimento do titular dos dados (cfr. a alínea a) do n.º 1), o tratamento necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito (alínea c) e também o tratamento quando for necessário para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular (alínea d) e ainda se for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento (alínea e), estes diferentes fundamentos de licitude não serão todos convocáveis em concreto²².

Em primeiro lugar, o consentimento do titular de dados perante a Administração Pública não é, normalmente, considerado válido como fundamento para o tratamento de dados pessoais pela Administração Pública, como explicita o considerando (43) do RGPD²³. Podendo eventualmente haver margem para o fundamento de licitude assentar numa obrigação contratualmente prevista (cfr. a alínea b) do artigo 6.º) será muito mais frequente o fundamento para a licitude do tratamento pela Administração Pública decorrer da alínea c).

Neste caso, será a lei que determinará a finalidade do tratamento, bem como as especificações, tipos de dados, limitações, entidades a que a informação poderá ser fornecida, prazo de conservação e outras medidas destinadas a garantir um tratamento lícito e leal - em decorrência, aliás, do princípio da legalidade²⁴. Isto significa que a Administração Pública apenas deve proceder ao tratamento de dados no exercício das suas funções se estiver devida e legalmente autorizada a fazê-lo, mediante uma autorização legal suficientemente pormenorizada e específica.

Embora a alínea d), na referência que faz a interesses vitais, parecesse a mais adequada a fundamentar qualquer tratamento de dados relativo a infetados por COVID-19, justamente por visar a luta contra a pandemia - aspecto que aparece, aliás, mencionado no considerando (46), que expressamente refere a monitorização de epidemias²⁵ - é um fundamento de licitude que só pode ter lugar quando o tratamento não se puder basear manifestamente noutro fundamento jurídico, como o próprio considerando esclarece; por outro lado, o mesmo considerando enquadra a monitorização de epidemias como servindo também importantes interesses públicos, o que aponta para a aplicabilidade, apenas, da alínea e) do n.º 1 do artigo 6.º²⁶.

Especificamente quanto ao tratamento de dados relativos à saúde, o RGPD prevê derrogações à proibição de tratamento desta categoria especial de dados pessoais nas seguintes situações: (i) consentimento (alínea a); (ii) protecção dos interesses vitais do titular dos dados ou de outra pessoa singular, no caso de o titular dos dados estar física ou legalmente incapacitado de dar o seu consentimento (alínea c) e (iii) se o tratamento for necessário por motivos de interesse público importante, com base no direito da União ou de um Estado-Membro, que deve ser proporcional ao objetivo visado, respeitar a essência do direito à proteção dos dados pessoais e prever medidas adequadas e específicas que salvaguardem os direitos fundamentais e os interesses do titular dos dados (alínea g)²⁷.

Qualquer das causas de licitude impõe, não obstante, a demonstração da necessidade do tratamento, enquanto decorrência do princípio da proporcionalidade, aplicável ao tratamento de dados pessoais.

Sendo a publicação dos dados naturalmente importante para a prossecução do interesse da transparência da informação, particularmente intenso quando está em causa a disseminação de uma pandemia²⁸, já do ponto de vista do princípio da proteção de dados pessoais e do direito à privacidade, não esquecendo a própria garantia da segurança jurídica, a divulgação deve estar baseada em lei que a permita e - se necessário - que especifique quais os dados a publicar, a finalidade da publicação e as garantias inerentes.

Ora, embora elaboradas a propósito da Proposta de Lei n.º 120/XIII - que veio a dar origem à Lei n.º 58/2019, de 8 de Agosto - é importante analisar algumas das objecções então formuladas pela CNPD, por permitirem justamente melhor compreender a aplicabilidade dos fundamentos de licitude ao tratamento de dados pessoais por parte da Administração Pública. Refiro-me às objecções formuladas quanto ao artigo 23.º, relativo à reutilização de dados pela Administração Pública e que, não tendo sido suprimido pelo legislador, veio a ser uma das disposições que a CNPD, na deliberação 2019/494, de 3 de Setembro de 2019 - e em coerência com as objecções que já anteriormente formulara - deliberou desaplicar.

A primeira crítica assenta na referência que o artigo 23.o da lei de execução faz a que as finalidades diferentes têm de corresponder a um interesse público,, "como se tal constituísse uma garantia suficiente da tutela dos direitos dos cidadãos ou um fundamento suficiente para excecionar o princípio consagrado na alínea b) do n.º 1 do artigo 5.º do RGPD".

Na realidade, "todas as finalidades de tratamentos de dados realizados por entidades públicas só podem ser de interesse público, porque a função da administração pública é exclusivamente a da prossecução de interesses públicos", ainda que - no que constitui uma precisão importante - "as entidades públicas só poderem prosseguir os interesses públicos que coincidam com as respetivas atribuições legalmente definidas, e não todo e qualquer interesse público"²⁹, o que ajuda a conformar a aplicabilidade da própria alínea e) do artigo 6.º, n.º 1, do RGPD - o interesse público terá de ser enquadrado no âmbito das atribuições legalmente definidas da pessoa colectiva em causa.

A segunda crítica que a CNPD faz no referido parecer à Proposta de Lei n.º 120/XIII, reporta-se ao princípio da finalidade e permite compreender que "uma norma do direito nacional que admita a utilização de dados pessoais dos cidadãos para qualquer fim de interesse público viola ostensivamente o princípio da finalidade e o disposto na alínea b) do n.º 1 do artigo 5.º do RGDP" e que, por outro lado, o interesse público como fundamento da licitude do tratamento de dados pessoais tem de corresponder a um interesse "qualificado, «importante», quando em causa estejam certas categorias especiais de dados, ou seja legitimando a recolha e subsequentes operações sobre dados pessoais quando justificadas por um específico interesse público." Não é, portanto, qualquer missão ou objectivo que a Administração vise prosseguir que pode ser enquadrado num tratamento necessário "ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento".

3.2. O tratamento de dados efectuado pelas autarquias locais em estado de excepção: a divulgação de dados de saúde relativos a infectados por COVID-19

Como tive oportunidade de avançar supra, as "Orientações sobre divulgação de informação relativa a infetados por COVID-19" emanadas pela CNPD a 22 de Abril de 2020 - em pleno estado de emergência - constituem um documento importante para confirmar que (i) não existe um regime excepcional de protecção de dados, mesmo em período de estado de emergência, sendo necessário que as eventuais restrições respeitem também o regime consagrado no RGPD e que (ii) não havendo nenhuma alteração legal relativa ao regime aplicável ao tratamento de dados, as conclusões que daí se retiram quanto ao tratamento de dados pessoais por parte da Administração Pública e, em particular sobre a aplicação da alínea e) do n.º 1 do artigo 6.º do RGPD, serão também relevantes em cenário de normalidade constitucional.

As referidas orientações foram emanadas por terem sido dirigidas à CNPD queixas de cidadãos que, após diagnóstico de COVID-19, viram "os seus dados pessoais, de identificação e contacto, incluindo de crianças, expostos nas páginas e nas redes sociais da responsabilidade da autarquia local, após a confirmação do diagnóstico de COVID-19. Algumas autarquias locais não expõem os dados pessoais dos infetados, mas disponibilizam informação discriminada por freguesia, sem acautelarem o diminuto número de casos, os quais facilmente reconduzem, especialmente em pequenas localidades, à identificação dos doentes.³⁰"

Após relembrar (embora não se tratasse de averiguar o modo como a informação chegara às autarquias) que "tanto os serviços de saúde da área, como as autoridades locais ou regionais de saúde, continuam obrigados a sigilo, seja por força das regras deontológicas a que estão sujeitos, seja pelas obrigações legais a que estão adstritos, de entre as quais se encontram as regras de proteção de dados" a CNPD vem esclarecer que "as autarquias locais não podem publicar dados de saúde com identificação das pessoas a quem os mesmos dizem respeito."

Existem duas razões para tal: (i) em primeiro lugar, por se tratar de informação sujeita a um regime jurídico especialmente protegido, por corresponder a uma categoria de dados pessoais que é suscetível de gerar ou promover a estigmatização e a discriminação dos respetivos titulares (como visto supra, aplicando-se o n.º 1 do artigo 9.º do RGPD).

Pergunta-se, não obstante, se poderiam as autarquias locais invocar a necessidade de conhecer e divulgar dados de saúde identificados ou individualizados para a prossecução da sua missão genérica de garantir a saúde e a proteção civil das populações locais. Ora, como visto no ponto anterior, também o tratamento de dados pessoais pela Administração Pública terá de ser enquadrado num dos fundamentos de licitude do tratamento previstos no RGPD e, tratando-se de dados de saúde, num dos fundamentos especialmente previstos no artigo 9.º. Face à verificação de que o fundamento em causa - a alínea i) do n.º 2 do artigo 9.º - convocaria a existência de um interesse público "importante" e tendo em conta o que já foi exposto, seria ainda essencial - dado tratar-se de uma entidade pública - que esse tratamento dos dados estivesse previsto em norma legal, que igualmente especificasse os direitos e interesses dos titulares dos dados, norma inexistente em concreto - conclusão que também se colocaria caso o fundamento aplicável fosse o da alínea g) do n.º 1 do artigo 9.º.

A outra hipótese de licitude do tratamento - o consentimento - se já apresentava várias fragilidades quando estava em causa uma relação entre um particular e a Administração Pública fora do contexto da pandemia, mais fragilizada sai atendendo "à evidente situação de vulnerabilidade das pessoas que se encontram contaminadas pelo vírus, bem como a sua situação de dependência da intervenção das autoridades públicas", o que prejudica a emissão de um consentimento livre³¹.

O principal problema da verificação do requisito da licitude fundada no interesse público surge, assim, da conjugação da necessidade de o mesmo estar legalmente previsto e enquadrar-se nas atribuições da pessoa colectiva - pois, como demonstra a CNPD, "é duvidoso que a prossecução do interesse público de saúde pública seja diretamente atribuição das autarquias locais, pelo menos na vertente de prevenção e combate de uma concreta epidemia, em face do estatuído nos artigos 2.º e 16.º do Decreto-Lei n.º 23/2019, de 30 de janeiro³² (com eventual ressalva de decisão da autoridade nacional de saúde pública no sentido de as encarregar de algumas das suas tarefas)".

Finalmente, (ii) a publicação de dados pelas autarquias locais é ainda desconforme com o regime decorrente do RGPD já não por causa da licitude do tratamento - relativamente ao fundamento da mesma - mas pela violação do subprincípio da necessidade³³.

Assim, a conclusão das próprias orientações da CNPD sintetiza de forma bastante perceptível que o tratamento de dados pessoais pela Administração Pública - aqui corporizada em autarquias locais, mas aplicável a qualquer outra entidade enquadrada na Administração Pública - só pode ocorrer com um fundamento de licitude que, mesmo que baseado na prossecução do interesse público, terá de (i) ser enquadrado nas atribuições da pessoa colectiva em causa e (ii) estar legalmente previsto, pelo que "A CNPD recorda que as autarquias locais, no âmbito da sua autonomia e do legítimo desempenho da sua missão de garantia da saúde e da proteção civil, se devem abster de adotar iniciativas que impliquem a recolha e a divulgação de dados pessoais dos seus concidadãos quando as mesmas não tenham base legal, nem sejam execução de orientações da autoridade nacional de saúde."