Resolution CM/ ResDH( 2013)230 Antunes Rocha against Portugal

Execution of the judgment of the European Court of Human Rights

Application No.

Case

Judgment of

Final on

64330/01

ANTUNES ROCHA

31/05/2005

12/10/2005

(Adopted by the Committee of Ministers on 20 November 2013

at the 1185th (Budget) meeting of the Ministers ’ Deputies)

The Committee of Ministers, under the terms of Article 46, paragraph 2, of the Convention for the Protection of Human Rights and Fundamental Freedoms, which provides that the Committee supervises the execution of final judgments of the European Court of Human Rights (hereinafter “the Convention” and “the Court”),

Having regard to the final judgment transmitted by the Court to the Committee in this case and to the violations established;

Recalling the respondent State ’ s obligation, under Article 46, paragraph 1, of the Convention, to abide by all final judgments in cases to which it has been a party and that this obligation entails, over and above the payment of any sums awarded by the Court, the adoption by the authorities of the respondent State, where required:

- of individual measures to put an end to violations established and erase their consequences so as to achieve as far as possible restitutio in integrum ; and

- of general measures preventing similar violations;

Having invited the government of the respondent State to inform the Committee of the measures taken to comply with the above-mentioned obligation;

Having examined the action report provided by the government indicating the measures adopted in order to give effect to the judgment including the information provided regarding the payment of the just satisfaction awarded by the Court (see document DH-DD(2013)958 );

Having satisfied itself that all the individual measures have been adopted;

Having noted that the general measures concerning the violation of Article 8 have been adopted and that the issues concerning the violation of Article 6 § 1 are examined at present within the framework of the supervision of the execution of the group of cases Oliveira Modesto and others v. Portugal (judgment of 8 June 2000);

DECLARES that it has exercised its functions under Article 46, paragraph 2, of the Convention in this case and

DECIDES to close the examination thereof.

Bilan d ’ action concernant l ’ exécution de l ’ arrêt de la Cour européenne

des droits de l ’ homme dans l ’ affaire Gracinda Maria Antunes Rocha

(Requête n o 64330/01) contre le Portugal

(French only)

I . IDENTIFICATION DE L ’ AFFAIRE

Date de l ’ arrêt : 31 mai 2005

Nº de la requête : 64330/01

Nom du requérant : Gracinda Maria Antunes Rocha

Brève description de la violation :

Violation du droit au respect de la vie privé (article 8) dans la procédure de collecte de renseignements en vue de l ’ accès à une activité professionnelle (dans les locaux de l ’ organisation internationale OTAN)

Violation de l ’ article 6 (durée de la procédure pénale dans laquelle la requérante était «assistente » (auxiliaire du ministère public)).

I . MESURES DE CARACTE RE INDIVIDUEL :

a) Paiement de l ’ indemnisation : Le montant de l ’ indemnisation accordé par la Cour européenne des droits de l ’ homme dans l ’ affaire citée en objet a été retiré par la requérante dans l ’ affaire devant le Tribunal de Loures concernant l ’ action spéciale en consignation («acção de consignação em depósito » ) qui avait été engagée.

Date : jugement du 26/9/2007

Montant : 7.500 euros

b) Autres : Le dossier relatif à l ’ habilitation de sécurité de Mme Gracinda Maria Antunes Rocha qui était classé d ans les archives de l ’ Autorité nationale de s écurité (ANS) a déjà été détruit conformément à la réglementation applicable, notamment au paragraphe 3 de l ’ Arrêté nº 28/1999/ANS, du 27 septembre 1999, d ’ après une information fournie par l ’ ANS. Ainsi, le litige étant réglé , il a été ordonné de procéder au classement de l ’ affaire et à la notification au procureur de la République et aux Services du Contentieux de l ’ Etat. Par conséquent, il n ’ y a pas lieu d ’ adopter d ’ autres mesures de caractère individuel. La Cour a accordé une indemnisation à titre du préjudice moral subi par la requérante.

III . MESURES DE CARACT ERE GE N E RAL :

a) Publication : - L ’ arrêt a été immédiatement traduit en portugais et mis en ligne sur le site officiel de la « Procuradoria-Geral da República » - Cabinet de documentation et droit comparé.

b) Communication et diffusion : L ’ arrêt a été communiqué aux autorités administratives compétentes.

c) Autres : En ce qui concerne la violation de l ’ article 8, les autorités portugaises estiment qu ’ il s ’ agissait d ’ un cas isolé concernant une fonctionnaire, survenue en 1994, lequel ne s ’ est plus reproduit.

1 - Une nouvelle loi organique du Cabinet n ational de s ûreté (« Gabinete Nacional de Segurança ») a été adoptée (Décret-loi nº 170/2007 du 3 mai 2007).

Ce Cabinet a des compétences en matière de sécurité des matière s classées et d ’ habilitation (« credenciação ») des personnes ; dans l ’ exercice de ses compétences, il veille au respect des droits fondamentaux.

Il faut souligner que l ’ intervention des autorités portugaises en cette matière, en respectant les dispositions de cette nouvelle loi, comme il est d ’ ailleurs prévu à l ’ article 3.3, alinéa b, garantit le respect des mesures de protection de l ’ information classée provenant des organisations internationales dont le Portugal est membre en application des instruments de droit international auxquels l ’ Etat portugais est lié, y compris la Convention européenne des droits de l ’ h omme.

En ce qui concerne les moyens prévus par la loi nationale permettant aux citoyens de saisir une juridiction interne en cas de violation du droit au respect de la vie privée, ces moyens sont prévus dans la loi de portée générale et sont habituellement utilisés. Il s ’ agit soit de l ’ action en dommages et intérêts exercée devant une juridiction civile, soit de l ’ action exercée devant une juridiction répressive pour atteinte à la vie privée. Dans le cas concret , ce moyen a été utilisé par la plaignante , qui a engagé une procédure pénale à l ’ encontre des fonctionnaires responsables (a ffaire nº 12657/98.6TD. LSB, de la 5e Chambre criminelle de Lisbonne). Cette affaire a été classée sans suites, par décision du 26/10/ 2000, pour des raisons d ’ ordre procédurale : l ’ infraction avait fait l ’ objet d ’ une amnistie et l ’ on avait constaté des fautes dans cette affaire spécifique imputées à la plaignante ayant trait à l ’ action civile qu ’ elle a introduite en conjonction avec l ’ action portée devant la juridiction répressive (concernant le délai de prescription et la représentation en justice par un avocat). Ces circonstances ont d ’ ailleurs été expliquées dans les observations présentées opportunément par le gouvernement portugais, lesquelles, il faut insister, sont liées à des aspects procéduraux spécifiques à l ’ affaire.

On maintient ainsi que des voies de recours adéquates et efficaces sont prévues dans le droit interne permettant aux citoyens victimes d ’ une infraction d ’ atteinte à la vie privée, même commise par les fonctionnaires publics, d ’ en obtenir réparation et sanctionnant les responsables, que ce soit au niveau civil, au niveau pénal ou encore au niveau disciplinaire.

En ce qui concerne les moyens concrets que le Cabinet n ational de s ûreté (« Gabinete Nacional de Segurança ») doit utiliser dans les différentes procédures et habilitations de sécurité dont il a la charge, il est vrai que la nouvelle loi, bien qu ’ elle ait déjà supprimé l ’ expression comme celle à laquelle l ’ arrêt fait référence (« toute information disponible »), ne spécifie pas quels sont les moyens et les actes à accomplir dans chaque cas, bien qu ’ elle mentionne à l ’ article 3.3, alinéa b, comme il a d ’ ailleurs déjà été dit auparavant, que l ’ intervention des autorités portugaises en cette matière garantit le respect des instruments de droit international auxquels le Portugal est lié.

Il s ’ agit cependant d ’ un modèle de technique législative habituelle. Il existe des normes d ’ une valeur supérieur aux lois ordinaires qui priment sur ces dernières et qui s ’ imposent en toutes circonstances à l ’ ensemble des fonctionnaires et que ceux-ci doivent respecter dans l ’ exercice de leurs fonctions : la Constitution, le Code de procédure administrative et le Statut disciplinaire, ne s ’ avérant pas nécessaire et n ’ étant pas une pratique habituelle de reproduire ces obligations générales dans chacune des lois sectorielles. A insi , l ’ article 271 de la Constitution dispose que « Les agents de l ’ Etat et ceux des autres personnes de droit public engagent leur responsabilité civile, pénale et disciplinaire en raison de leur action ou de leur inaction, dans l ’ exercice de leurs fonctions, s ’ il en résulte une violation des droits ou des intérêts des citoyens protégés par la loi (, ... ) » ; et, parmi ces droits fondamentaux des citoyens, le droit à la réserve de l ’ intimité de la vie privée et familiale est inscrit dans l ’ article 26, entre autres. Le Code de procédure administrative, applicable à l ’ ensemble de l ’ Administration, impose lui aussi à tous les fonctionnaires et organes administratifs d ’ exercer leurs activités dans le respect de la loi et du droit et en particulier « des droits et des intérêts des citoyens protégés par la loi (articles 4, 5, 6), étant également tenus de toujours agir dans le respect de l ’ égalité, de l ’ impartialité, de la justice et de la proportionnalité. Par ailleurs, le fait pour un fonctionnaire de ne pas observer ces obligations constitue une faute disciplinaire. Le droit portugais, dans son unité et cohérence, fixe les limites qui doivent être respectées par les fonctionnaires à tout moment de leur activité et toute instruction qui leur est adressée doit obéir à ces principes inscrits dans les instruments juridiques contenant des normes d ’ une valeur supérieure, notamment dans les instruments de droit international comme la Convention européenne des droits de l ’ homme et dans la Constitution de la République portugaise. Le choix des moyens à utiliser à chaque moment n ’ est pas d ’ habitude (ni ne peut l ’ être dans de nombreuses situations) établi a priori par le législateur ; il appartient en général aux organes administratifs dans les limites susmentionnés qui leur sont imposées et qu ’ ils sont tenus de respecter.

Par conséquent, on considère que le droit portugais garantit que les procédures prévues par la loi régissant le Cabinet national de sûreté (« Gabinete Nacional de Segurança ») doivent être suivies dans le respect des droits fondamentaux des citoyens et parmi ceux-ci le respect de la vie privée.

La traduction non officielle d ’ un extrait du Décret-loi n o 170/2007, du 3 mai 2007, sur la restructuration du Cabinet national de sûreté (« Gabinete Nacional de Segurança ») a été fournie au Secrétariat.

2 – Le 16 juillet 2012, la Commission nationale de protection des d onnées (autorité administrative indépendante ayant des pouvoirs d ’ autorité et fonctionnant auprès de l ’ Assemblée de la République) a octroyé une autorisation, conformément à la loi, afin que l ’ Autorité nationale de sécurité /Cabinet National de Sécurité procède au traitement de données à caractère personnel aux fins d ’ habilitation de personnes physiques pour l ’ accès et l ’ utilisation de documents classés.

La Commission nationale de protection des données (CNDP) a été créée par la Loi nº 67/98 du 26 octobre 1998 transposant en d r oit interne la Directive nº 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l ’ égard du traitement des données à caractère personnel et à la libre circulation de ces données. La CNDP est chargée de « veiller au respect des dispositions de la loi et réglementaires en matière de protection de données à caractère personnel dans le strict respect des droits de l ’ homme ainsi que des libertés et des garanties inscrites dans la Constitution et la loi », lui incombant en outre d ’ autoriser le traitement de données à caractère personnel.

Il faut souligner que, conformément à l ’ article 3, alinéa b) de ladite loi, le « traitement de données à caractère personnel » comprend « toute opération portant sur ces données », telles que la collecte, l ’ enregistrement, l ’ organisation, la conservation, l ’ adaptation ou la modification, l ’ extraction, la consultation, l ’ utilisation, la communication, le verrouillage, l ’ effacement ou la destruction.

Les articles 5 et suivants se réfèrent à la « qualité des données et la légitimité de son traitement » étant exigé qu ’ elles soient traitées de manière licite et dans le respect du principe de bonne foi, qu ’ elles soient collectées pour des finalités déterminées, explicites et légitimes, ne pouvant être traitées ultérieurement de manière incompatible avec ces finalités, et qu ’ elles doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, etc.

Par ailleurs, le traitement de données à caractère personnel ne peut être mis en œuvre que sur consentement de la personne concernée ou si le traitement est nécessaire pour des finalités déterminées expressément prévues, notamment « l ’ exécution d ’ une mission d ’ intérêt public ».

L ’ article 7 interdit le traitement de données à caractère personnel relatives aux opinions philosophiques, politiques ou religieuses, à l ’ appartenance à un parti ou l ’ appartenance syndicale, à la vie privé et aux origines raciales ou ethniques, ainsi que celles relatives à la santé et à la vie sexuelle, y compris les données génétiques ; cependant, dans ces cas les données peuvent être traitées en application d ’ une disposition de la loi spéciale ou d ’ une autorisation de la CNDP « lorsque pour des motifs d ’ intérêt public important ce traitement est indispensable à l ’ exercice des fonctions légales ou statutaires de son responsable ou lorsque la personne concernée a donné son consentement exprès, dans les deux cas en garantissant la non ‑ discrimination et en prenant certaines mesures de sécurité prévues à l ’ article 15 » (en général destinées à empêcher la divulgation ou la connaissance des données par des tierces personnes).

Or, par l ’ autorisation délivrée, la CNDP a reconnu que, dans le cadre dans lequel l ’ activité de l ’ ANS s ’ insérait, « s ’ agissant de permettre l ’ accès à une information classée dont la divulgation à des personnes non autorisées peut mettre en cause la sûreté de l ’ Etat portugais, de l ’ Union européenne et de pays et des organisations tiers, il s ’ avère nécessaire de procéder à la collecte de données à caractère personnel relatives à la vie privée et au soupçon de participation à des activités illicites et d ’ infractions pénales, afin de s ’ assurer que le caractère et la conduite de la personne faisant l ’ objet d ’ une habilitation est conforme aux conditions requises de sécurité et qu ’ elle ne représente pas un risque ».

Et que « de ce fait les données traitées sont adéquates et pertinentes pour la finalité pour laquelle elles sont collectées » ; le caractère légitime de ce traitement est fondé, selon la CNDP, « sur des motifs d ’ intérêt public important qui s ’ avère indispensable à l ’ exercice des fonctions légales ou statutaires de son responsable (voir l ’ article 7, nº 2, de la Loi sur la protection des données à caractère personnel) ».

En délivrant l ’ autorisation, la CNPD a pris en compte le fait que l ’ ANS collecte, aux fins de l ’ octroi de l ’ habilitation de sécurité, certaines données auprès de la personne concernée qui remplit un formulaire spécifique (éléments d ’ identité personnelle et professionnels, données sur la résidence, voyages à l ’ étranger faites les 10 dernières années, autres aspects favorables ou qui empêchent l ’ habilitation). Et qu ’ elle collecte également auprès de la personne faisant l ’ objet d ’ une habilitation des données concernant l ’ identité, la profession, la résidence de membres de la famille proche, des personnes vivant sous le même toit et de témoins favorables aux personnes concernées. Enfin elle collecte auprès d ’ organismes publics et privés des données sur des soupçons de participation à des activités illicites et criminelles, information disciplinaire, « ainsi que d ’ autres données relatives à la vie privée » de la personne faisant l ’ objet de l ’ habilitation ; la CNPD a pris également en compte le fait que l ’ ANS ne procède pas à l ’ interconnexion de données ni à la transmission de données à des tiers.

Conformément aux exigences de la loi, la CNPD a fixé la durée de conservation des données à un an et elle a imposé à l ’ ANS l ’ adoption de mesures de sécurité prescrites par la loi (visant à empêcher la divulgation des données ou l ’ accès par des tiers à ces données) et aussi l ’ obligation d ’ informer les personnes concernées et de garantir l ’ exercice des droits d ’ accès et de rectification, le tout conformément à ladite loi.

Enfin, les éléments suivants de l ’ autorisation délivrée ont été également explicités :

Responsable du traitement : ANS/GNS ;

Finalité du traitement : habilitation de sécurité de personnes physiques ;

Catégories des personnes concernées : Personne faisant l ’ objet de l ’ habilitation, parents, frères et sœurs, enfants âgés de plus de 16 ans, conjoint, ses parents et ses frères et sœurs, personnes vivant sous le même toit, témoins favorables aux personnes concernées.

Catégories de données traitées : données concernant l ’ identité, lieux de résidence, données concernant le parcours scolaire et professionnel, données sur la vie privée, données relatives à des soupçons de participation à des activités illicites ou infractions pénales ;

Forme de l ’ exercice du droit d ’ accès : par écrit auprès du responsable ;

Durée maximale de conservation des données : un an, correspondant à la période de validité de l ’ habilitation, sans préjudice de la conservation pendant une période de dix ans dans les archives historiques avec accès limité en vue d ’ un éventuel besoin de consultation ultérieure pour des motifs particuliers de sécurité ;

Interconnexions de traitements : néant ;

Transferts vers des pays tiers : néant.

Ainsi et malgré le fait que la CNPD a mentionné à un certain moment qu ’ il serait souhaitable que les traitements de données à caractère personnel inhérents à l ’ exécution des f onctions de la ANS/GNS soient « spécifiquement encadrés et fixés par la loi » elle a néanmoins considéré que les éléments dont elle disposait permettaient d ’ exercer sa fonction de surveillance (en tant qu ’ organisme indépendant) sur la manière dont ladite autorité procédait et ainsi d ’ autoriser les procédures respectives.

En effet, dans la mesure où le GNS a pour mission, conformément à la loi, d ’ assurer la sécurité de l ’ information classée, et que celle-ci lui confère, à cet effet, l ’ exercice du pouvoir public dans le domaine de l ’ habilitation de sécurité, la CNPD a considéré qu ’ il était indéniable qu ’ il s ’ agissait d ’ une mission d ’ intérêt public important étant indispensable pour son accomplissement de procéder au traitement de données à caractère personnel sur la base d ’ une collecte directe et indirecte d ’ information.

La traduction non officielle de l ’ Autorisation nº 6323/2012 de la Commission nationale de protection des données est annexée au présent bilan d ’ action.

En ce qui concerne la violation de l ’ article 6 relative à la durée de la procédure pénale, les autorités se réfèrent aux informations fournies dans le cadre du Groupe d ’ affaires « Oliveira Modesto ».

IV . CONCLUSION

Il s ’ agit d ’ un cas isolé survenu en 1994, aucune autre plainte n ’ ayant été déposée.

Des textes de loi appropriés ont été entre - temps adoptés, le cadre législatif national comprenant des mesures de sauvegarde qui permettent un recours interne devant les juridictions portugaises visant à garantir l ’ exercice du droit au respect à la vie privée.

Par ailleurs, l ’ autorisation de la CNPD, qui est un document public et qui a été mis en ligne sur le site officiel de la CNPD, a clarifié la portée et les modalités des enquêtes en vue de l ’ habilitation de sécurité, a renforcé la qualité de l ’ ANS pour procéder au traitement de données à caractère personnel, bien qu ’ elles soient sensibles, aux fins d ’ habilitation de sécurité des personnes physiques et a imposé des mécanismes de contrôle de l ’ information recueillie et de garantie des droits des personnes faisant l ’ objet d ’ enquêtes de sécurité.

En conséquence, les autorités portugaises estiment que les mesures mentionnées ci-dessus s ’ avèrent suffisantes en vue de l ’ exécution de l ’ arrêt et qu ’ il n ’ y a pas lieu d ’ adopter d ’ autres mesures de caractère individuel ou général.

Traduction non officielle

Affaire 7602/2012

COMMISSION NATIONALE DE PROTECTION DES DONNE ES

Autorisation nº 6323/2012

L ’ Autorité nationale de sécurité (ANS) / Cabinet nationale de sécurité (GNS) a notifié la CNPD d ’ un traitement de données aux fins d ’ habilitation de sécurité des personnes physiques et morales, publiques ou privées ou de tout autre service ou organisme traitant l ’ information classée.

Compte tenu du champ d ’ application de la Loi nº 67/98 d u 26 octobre 1998 – Loi sur la p rotection des d onnées (LPD), la CNPD n ’ examinera que le traitement de données concernant l ’ habilitation des personnes physiques, étant celui-ci le traitement de données à caractère personnel mis en œuvre.

Aux fins de l ’ octroi de l ’ habilitation de sécurité aux personnes physiques permettant l ’ accès et l ’ utilisation d ’ information classée, l ’ ANS/GNS collecte directement auprès de la personne concernée qui remplit un formulaire spécifique les catégories de données suivantes : données concernant l ’ identité de la personne concernée, y compris une photographie ; des données relatives au parcours scolaire et professionnel, des données relatives aux voyages à l ’ étranger faites les 10 dernières années ; des données relatives aux lieux de résidence au Portugal et/ou à l ’ étranger ; des données relatives à certains aspects favorables ou qui empêchent l ’ habilitation.

Sont également recueillies directement auprès de la personne faisant l ’ objet d ’ une habilitation des données relatives à différentes catégories de personnes concernées : parents, conjoint et parents du conjoint (données concernant l ’ identité, l ’ adresse, la profession et le lieu de travail) ; frères et sœurs de la personne faisant l ’ objet d ’ une habilitation et de son conjoint (nom et prénoms et adresse) ; enfants de la personne faisant l ’ objet d ’ une habilitation âgés de plus de 16 ans (nom et prénoms, adresse et âge) ; éventuels personnes vivant sous le même toit outre les membres de la famille (nom et prénoms), témoins favorables aux personnes concernées (nom, prénoms, adresse et téléphone). S ’ agissant du conjoint de la personne faisant l ’ objet d ’ une habilitation, des données relatives à des éventuels lieux de résidence à l ’ étranger sont également traitées.

L ’ ANS/GNS recueille également, d ’ une manière indirecte, auprès d ’ organismes publics ou privés, notamment auprès de l ’ employeur de la personne faisant l ’ objet d ’ une habilitation, des Services de Renseignements de la République (SIRP) et des forces et des services de sécurité (PSP/GNR), des données contenant des informations disciplinaires (« louvores », « menções honrosas », décorations, sanctions et éventuels résultats positifs d ’ examens toxicologiques), des données sur des soupçons de participation à des activités illicites et d ’ infractions pénales, ainsi que d ’ autres données relatives à la vie privée de la personne faisant l ’ objet d ’ une habilitation de sécurité.

L ’ ANS/GNS déclare ne pas procéder à la communication de données à des tiers ni à l ’ interconnexion de traitements.

Examen

L ’ Autorité nationale de sécurité « dirige le GNS et est l ’ autorité qui assure seule la protection et la sauvegarde de l ’ information classée » (voir l ’ article 1er , nº 2 du Décret-Loi nº 3/2012 du 16 janvier 2012).

Conformément au Décret-Loi susmentionné, le GNS exerce la fonction d ’ autorité d ’ habilitation des personnes pour l ’ accès et l ’ utilisation de l ’ information classée, ayant pour mission, entre autre, « d ’ exercer au Portugal les pouvoirs publics conférés aux autorités nationales de sécurité, notamment dans les domaines d ’ habilitation de sécurité » (voir l ’ article 2, alinéa c), nº 2 dudit Décret-Loi).

En vertu des attributions qui lui sont conférées par la loi, l ’ ANS est également l ’ autorité compétente pour assurer la conformité des actes réglementaires de l ’ Union européenne (notamment ceux portant adoption des règles de sécurité du Conseil, de la Commission européenne et de l ’ Agence spatiale européenne), de l ’ UEO et de l ’ OTAN, auxquels le Portugal est lié, notamment en ce qui concerne l ’ habilitation des personnes pour avoir l ’ accès aux différents types et niveaux de classement de l ’ information.

Aussi, l ’ ANS a qualité pour procéder au traitement de données à caractère personnel à cette fin.

L ’ habilitation de sécurité ne peut être octroyée qu ’ après la réalisation d ’ une enquête de sécurité à laquelle est soumise la personne faisant l ’ objet d ’ une habilitation, ce qui implique la collecte d ’ un ensemble vaste de données à caractère personnel de la personne concernée afin de procéder à une évaluation globale de la probité, fiabilité et loyauté de la personne qui aura l ’ accès aux matières classées.

Cette procédure comprend également la vérification d ’ informations sur des parents ou des personnes vivant sous le même toit avec lesquelles la personne faisant l ’ objet d ’ une habilitation a une relation plus étroite et qui de ce fait peuvent constituer des vulnérabilités ou des fragilités pour l ’ obtention de l ’ habilitation.

Le traitement des données en question implique le traitement de données sensibles prévu à l ’ article 7, nº 1 de la LPD, ainsi que le traitement de données prévu à l ’ article 8 de la LPD.

On considère dans ce contexte particulier, s ’ agissant de permettre l ’ accès à une information classée dont la divulgation à des personnes non autorisées peut mettre en cause la sûreté de l ’ Etat portugais, de l ’ Union européenne et de pays et des organisations tiers, qu ’ il est nécessaire de procéder à la collecte de données à caractère personnel relatives à la vie privée et au soupçon de participation à des activités illicites et d ’ infractions pénales, afin de s ’ assurer que le caractère et la conduite de la personne faisant l ’ objet d ’ une habilitation est conforme aux conditions requises de sécurité et qu ’ elle ne représente pas un risque.

De ce fait, on considère que les données traitées sont adéquates et pertinentes pour la finalité pour laquelle elles sont collectées, en application de l ’ article 5, alinéa c), nº 1 de la LPD.

Outre l ’ information qui est directement recueillie auprès de la personne concernée, « le GNS peut demander aux autorités nationales et judiciaires et a tout autre service, organisme ou autorité public ou privée toute collaboration ou assistance jugée nécessaire à l ’ exercice de ses activités d ’ habilitation et de contrôle ») (voir l ’ article 9, nº 3 du Décret-Loi nº 3/2012 du 16 janvier 2012.

Bien que cette disposition fournisse une certaine base normative, elle est insuffisante pour rendre légitime l ’ accès aux données à caractère personnel, étant donné qu ’ elle ne le prévoit pas explicitement. En effet, les termes de la collaboration ne sont pas définis et le GNS procède également à l ’ habilitation des personnes morales et d ’ autres organismes ou services.

Sachant que pour ce cas particulier aucune disposition spécifique de la loi n ’ existe permettant le traitement de données sensibles, soit pour l ’ accès soit pour l ’ utilisation ultérieure, et n ’ étant pas réalisable de recueillir le consentement exprès de la personne concernée, compte tenu des différentes catégories des personnes concernées, on considère que le traitement de données à caractère personnel en question ne peut être fondé que sur des « raisons d ’ intérêt public important » qui s ’ avère être « indispensable à l ’ exercice des fonctions légales ou statutaires de son responsable » (voir article 7, nº 2 de la LPD).

En effet, l ’ article 2 du Décret-Loi nº 3/2012 du 16 janvier 2012 confie au GNS la mission d ’ assurer la sécurité de l ’ information classée et à cet effet il lui confère l ’ exercice du pouvoir public dans le domaine de l ’ habilitation de sécurité. Il est indéniable qu ’ il s ’ agit d ’ une mission d ’ intérêt public important étant indispensable pour son accomplissement de procéder au traitement de données à caractère personnel sur la base d ’ une collecte directe et indirecte en ayant accès à l ’ information détenue par les organismes visés à l ’ article 9, nº 3 du Décret-Loi nº 3/2012 du 16 janvier 2012.

Cependant il faut souligner qu ’ il serait toujours souhaitable que les traitements de données à caractère personnel inhérents à l ’ exécution de ces attributions publiques soit spécifiquement encadrés et fixés par la loi.

En ce qui concerne la durée maximale de conservation des données, elle est fixée à un an, période correspondant à la validité de l ’ habilitation, car on considère cette durée comme adéquate et nécessaire pour accomplir la finalité pour laquelle les données ont été collectées et tenant compte du fait que le renouvellement de l ’ habilitation implique l ’ ouverture d ’ une nouvelle procédure, avec de l ’ information mise à jour, sans préjudice de la conservation dans les archives historiques pendant une période de dix ans avec accès limité en vue d ’ un éventuel besoin de consultation ultérieure pour des motifs particuliers de sécurité.

Il incombe à l ’ ANS/GNS d ’ adopter les mesures particulières de sécurité prescrites par l ’ article 15 de la LPD, étant donné que l ’ on est en présence d ’ un traitement de données sensibles.

De même, l ’ ANS/GNS sera tenu d ’ informer les personnes concernées, conformément à l ’ article 10 de la LPD, et de garantir l ’ exercice des droits d ’ accès et de rectification prévus à l ’ article 11 de la LPD.

En conséquence, la CNPD autorise le traitement des données sous les conditions fixées ci-dessus, étant précisé, en application des dispositions de l ’ article 28, alinéa a), nº 1 et de l ’ article 30, nº 1 de la Loi nº 67/98 du 26 octobre 1998, ce qui suit :

Responsable du traitement : Autorité nationale de sécurité / Cabinet nationale de sécurité ;

Finalité du traitement : habilitation de sécurité de personnes physiques ;

Catégories des personnes concernées : Personne faisant l ’ objet de l ’ habilitation, parents, frères et sœurs, enfants âgés de plus de 16 ans, conjoint, ses parents et frères et sœurs, personnes vivant sous le même toit, témoins favorables aux personnes concernées.

Catégories de données traitées : données concernant l ’ identité, lieux de résidence, données concernant le parcours scolaire et professionnel, données sur la vie privée, données relatives à des soupçons de participation à des activités illicites ou d ’ infractions pénales ;

Forme de l ’ exercice du droit d ’ accès : par écrit auprès du responsable ;

Durée maximale de conservation des données : un an, correspondant à la période de validité de l ’ habilitation, sans préjudice de la conservation pendant une période de dix ans dans les archives historiques avec accès limité en vue d ’ une éventuelle nécessité de consultation ultérieure pour des motifs particuliers de sécurité ;

Interconnexions de traitements : néant ;

Transferts de données vers des pays tiers : néant.

Lisbonne, le 16 juillet 2012

Ana Roque (Rapporteur), Carlos Campos Lobo, Helena Delgado António, Luís Barroso, Luís Paiva de Andrade.

Filipa Calvão (Présidente)