# Jornal Oficial L 360/2021

| | ISSN 1977-0774 |
| --- | --- |
| Jornal Oficial
  da União Europeia | L 360 |
| | |
| Edição em língua portuguesa | Legislação | 64.° ano11 de outubro de 2021 |

ISSN 1977-0774

Jornal Oficial

da União Europeia

L 360

Edição em língua portuguesa

Legislação

64.° ano11 de outubro de 2021

---

| Índice | | II   Atos não legislativos | Página |
| --- | --- | --- | --- |
| | | DECISÕES |
| | * | Regulamento de Execução (UE) 2021/1772 da Comissão, de 28 de junho de 2021, nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho sobre a adequação do nível de proteção dos dados pessoais assegurado pelo Reino Unido
  [notificada com o número C(2021) 4800]

   (
  1
  ) | 1 |
| | * | Decisão de Execução (UE) 2021/1773 da Comissão, de 28 de junho de 2021, nos termos da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho sobre a adequação do nível de proteção dos dados pessoais assegurado pelo Reino Unido
  [notificada com o número C(2021) 4801] | 69 |
| | * | Decisão de Execução (UE) 2021/1774 do Conselho, de 5 de outubro de 2021, que altera a Decisão de Execução (UE) 2018/1493 que autoriza a Hungria a introduzir uma medida especial em derrogação do artigo 26.o, n.o 1, alínea a), e dos artigos 168.o e 168.o-A da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado | 108 |
| | * | Decisão de Execução (UE) 2021/1775 do Conselho, de 5 de outubro de 2021, que altera a Decisão de Execução (UE) 2018/789 que autoriza a Hungria a instituir uma medida especial em derrogação ao artigo 193.o da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado | 110 |
| | * | Decisão de Execução (UE) 2021/1776 do Conselho, de 5 de outubro de 2021, que altera a Decisão 2009/791/CE que autoriza a República Federal da Alemanha a continuar a aplicar uma medida em derrogação ao artigo 168.o da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado | 112 |
| | * | Decisão de Execução (UE) 2021/1777 do Conselho, de 5 de outubro de 2021, que autoriza a Itália a aplicar taxas reduzidas de tributação ao gasóleo utilizado para aquecimento e à eletricidade fornecidos no município de Campione d’Italia | 115 |
| | * | Decisão de Execução (UE) 2021/1778 do Conselho, de 5 de outubro de 2021, que autoriza a República Federal da Alemanha a aplicar uma medida especial em derrogação ao artigo 193.o da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado | 117 |
| | * | Decisão de Execução (UE) 2021/1779 do Conselho, de 5 de outubro de 2021, que altera a Decisão de Execução 2009/1013/UE que autoriza a República da Áustria a continuar a aplicar uma medida em derrogação ao artigo 168.o da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado | 120 |
| | * | Decisão de Execução (UE) 2021/1780 do Conselho, de 5 de outubro de 2021, que altera a Decisão 2009/790/CE que autoriza a República da Polónia a aplicar uma medida em derrogação ao artigo 287.o da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado | 122 |
| | * | Decisão de Execução (UE) 2021/1781 do Conselho, de 7 de outubro de 2021, relativa à suspensão de certas disposições do Regulamento (CE) n.o 810/2009 do Parlamento Europeu e do Conselho no que diz respeito à Gâmbia | 124 |
| | | RECOMENDAÇÕES |
| | * | Recomendação (UE) 2021/1782 do Conselho, de 8 de outubro de 2021, que altera a Recomendação (UE) 2020/912 relativa à restrição temporária das viagens não indispensáveis para a UE e ao eventual levantamento de tal restrição | 128 |

Índice

II   Atos não legislativos

Página

DECISÕES

*

Regulamento de Execução (UE) 2021/1772 da Comissão, de 28 de junho de 2021, nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho sobre a adequação do nível de proteção dos dados pessoais assegurado pelo Reino Unido
  [notificada com o número C(2021) 4800]

   (
  1
  )

[notificada com o número C(2021) 4800]

1

1

*

Decisão de Execução (UE) 2021/1773 da Comissão, de 28 de junho de 2021, nos termos da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho sobre a adequação do nível de proteção dos dados pessoais assegurado pelo Reino Unido
  [notificada com o número C(2021) 4801]

[notificada com o número C(2021) 4801]

69

*

Decisão de Execução (UE) 2021/1774 do Conselho, de 5 de outubro de 2021, que altera a Decisão de Execução (UE) 2018/1493 que autoriza a Hungria a introduzir uma medida especial em derrogação do artigo 26.o, n.o 1, alínea a), e dos artigos 168.o e 168.o-A da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado

o

o

o

o

108

*

Decisão de Execução (UE) 2021/1775 do Conselho, de 5 de outubro de 2021, que altera a Decisão de Execução (UE) 2018/789 que autoriza a Hungria a instituir uma medida especial em derrogação ao artigo 193.o da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado

o

110

*

Decisão de Execução (UE) 2021/1776 do Conselho, de 5 de outubro de 2021, que altera a Decisão 2009/791/CE que autoriza a República Federal da Alemanha a continuar a aplicar uma medida em derrogação ao artigo 168.o da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado

o

112

*

Decisão de Execução (UE) 2021/1777 do Conselho, de 5 de outubro de 2021, que autoriza a Itália a aplicar taxas reduzidas de tributação ao gasóleo utilizado para aquecimento e à eletricidade fornecidos no município de Campione d’Italia

115

*

Decisão de Execução (UE) 2021/1778 do Conselho, de 5 de outubro de 2021, que autoriza a República Federal da Alemanha a aplicar uma medida especial em derrogação ao artigo 193.o da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado

o

117

*

Decisão de Execução (UE) 2021/1779 do Conselho, de 5 de outubro de 2021, que altera a Decisão de Execução 2009/1013/UE que autoriza a República da Áustria a continuar a aplicar uma medida em derrogação ao artigo 168.o da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado

o

120

*

Decisão de Execução (UE) 2021/1780 do Conselho, de 5 de outubro de 2021, que altera a Decisão 2009/790/CE que autoriza a República da Polónia a aplicar uma medida em derrogação ao artigo 287.o da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado

o

122

*

Decisão de Execução (UE) 2021/1781 do Conselho, de 7 de outubro de 2021, relativa à suspensão de certas disposições do Regulamento (CE) n.o 810/2009 do Parlamento Europeu e do Conselho no que diz respeito à Gâmbia

o

124

RECOMENDAÇÕES

*

Recomendação (UE) 2021/1782 do Conselho, de 8 de outubro de 2021, que altera a Recomendação (UE) 2020/912 relativa à restrição temporária das viagens não indispensáveis para a UE e ao eventual levantamento de tal restrição

128

| | |
| --- | --- |
| | (1)   Texto relevante para efeitos do EEE. |

---

(1)   Texto relevante para efeitos do EEE.

1

| PT | Os actos cujos títulos são impressos em tipo fino são actos de gestão corrente adoptados no âmbito da política agrícola e que têm, em geral, um período de validade limitado.
  Os actos cujos títulos são impressos em tipo negro e precedidos de um asterisco são todos os restantes. |
| --- | --- |

PT

Os actos cujos títulos são impressos em tipo fino são actos de gestão corrente adoptados no âmbito da política agrícola e que têm, em geral, um período de validade limitado.

Os actos cujos títulos são impressos em tipo negro e precedidos de um asterisco são todos os restantes.

---

II Atos não legislativos

DECISÕES

| 11.10.2021 | PT | Jornal Oficial da União Europeia | L 360/1 |
| --- | --- | --- | --- |

11.10.2021

PT

Jornal Oficial da União Europeia

L 360/1

---

REGULAMENTO DE EXECUÇÃO (UE) 2021/1772 DA COMISSÃO

de 28 de junho de 2021

nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho sobre a adequação do nível de proteção dos dados pessoais assegurado pelo Reino Unido

[notificada com o número C(2021) 4800]

(Texto relevante para efeitos do EEE)

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (1), nomeadamente o artigo 45.o, n.o 3,

Considerando o seguinte:

1.   INTRODUÇÃO

INTRODUÇÃO

| (1) | O Regulamento (UE) 2016/679 estabelece as regras relativas à transferência de dados pessoais para países terceiros e organizações internacionais pelos responsáveis pelo tratamento e subcontratantes na União Europeia, na medida em que essa transferência seja abrangida pelo respetivo âmbito de aplicação. As regras relativas às transferências internacionais de dados pessoais são definidas no capítulo V do referido regulamento, mais concretamente nos artigos 44.o a 50.o. Embora a circulação de dados pessoais com origem e destino a países não pertencentes à União Europeia seja essencial para o desenvolvimento da cooperação internacional e do comércio transfronteiriço, é indispensável garantir que o nível de proteção conferido aos dados pessoais na União Europeia não é comprometido por transferências para países terceiros (2). |
| --- | --- |

(1)

O Regulamento (UE) 2016/679 estabelece as regras relativas à transferência de dados pessoais para países terceiros e organizações internacionais pelos responsáveis pelo tratamento e subcontratantes na União Europeia, na medida em que essa transferência seja abrangida pelo respetivo âmbito de aplicação. As regras relativas às transferências internacionais de dados pessoais são definidas no capítulo V do referido regulamento, mais concretamente nos artigos 44.o a 50.o. Embora a circulação de dados pessoais com origem e destino a países não pertencentes à União Europeia seja essencial para o desenvolvimento da cooperação internacional e do comércio transfronteiriço, é indispensável garantir que o nível de proteção conferido aos dados pessoais na União Europeia não é comprometido por transferências para países terceiros (2).

o

o

2

| (2) | Nos termos do artigo 45.o, n.o 3, do Regulamento (UE) 2016/679, a Comissão pode decidir, através de um ato de execução, que um país terceiro, um território ou um ou mais setores específicos de um país terceiro, ou uma organização internacional, garante um nível de proteção adequado. Nessa condição, as transferências de dados pessoais para um país terceiro podem realizar-se sem que para tal seja necessária mais nenhuma autorização, conforme previsto no artigo 45.o, n.o 1, e no considerando 103 do referido regulamento. |
| --- | --- |

(2)

Nos termos do artigo 45.o, n.o 3, do Regulamento (UE) 2016/679, a Comissão pode decidir, através de um ato de execução, que um país terceiro, um território ou um ou mais setores específicos de um país terceiro, ou uma organização internacional, garante um nível de proteção adequado. Nessa condição, as transferências de dados pessoais para um país terceiro podem realizar-se sem que para tal seja necessária mais nenhuma autorização, conforme previsto no artigo 45.o, n.o 1, e no considerando 103 do referido regulamento.

o

o

o

o

| (3) | De acordo com o estabelecido no artigo 45.o, n.o 2, do Regulamento (UE) 2016/679, a adoção de uma decisão de adequação deve basear-se numa análise exaustiva da ordem jurídica do país terceiro, que abranja tanto as regras aplicáveis aos importadores de dados como as limitações e garantias relativas ao acesso aos dados pessoais pelas autoridades públicas. Na sua avaliação, a Comissão tem de apurar se o país terceiro em causa garante um nível de proteção «essencialmente equivalente» ao assegurado na União Europeia [considerando 104 do Regulamento (UE) 2016/679]. O critério pelo qual se avalia a «equivalência essencial» é o estabelecido pela legislação da União Europeia, nomeadamente pelo Regulamento (UE) 2016/679, bem como pela jurisprudência do Tribunal de Justiça da União Europeia (3). O documento de referência relativo à adequação do Comité Europeu para a Proteção de Dados (CEPD) é também importante nesta matéria (4). |
| --- | --- |

(3)

De acordo com o estabelecido no artigo 45.o, n.o 2, do Regulamento (UE) 2016/679, a adoção de uma decisão de adequação deve basear-se numa análise exaustiva da ordem jurídica do país terceiro, que abranja tanto as regras aplicáveis aos importadores de dados como as limitações e garantias relativas ao acesso aos dados pessoais pelas autoridades públicas. Na sua avaliação, a Comissão tem de apurar se o país terceiro em causa garante um nível de proteção «essencialmente equivalente» ao assegurado na União Europeia [considerando 104 do Regulamento (UE) 2016/679]. O critério pelo qual se avalia a «equivalência essencial» é o estabelecido pela legislação da União Europeia, nomeadamente pelo Regulamento (UE) 2016/679, bem como pela jurisprudência do Tribunal de Justiça da União Europeia (3). O documento de referência relativo à adequação do Comité Europeu para a Proteção de Dados (CEPD) é também importante nesta matéria (4).

o

o

3

4

| (4) | Conforme esclareceu o Tribunal de Justiça da União Europeia, não é exigido um nível de proteção idêntico (5). Mais concretamente, os meios a que o país terceiro em causa recorre para proteger os dados pessoais podem ser diferentes dos aplicados na União Europeia, desde que se revelem, na prática, eficazes para assegurar um nível adequado de proteção (6). Por conseguinte, para que se verifique a adequação não é necessário que as regras da União sejam replicadas ponto por ponto. Em vez disso, importa aferir sobretudo se, através do teor dos direitos em matéria de proteção de dados e da sua aplicação, controlo e execução efetivos, o sistema estrangeiro consegue, no seu conjunto, garantir o nível de proteção exigido (7). |
| --- | --- |

(4)

Conforme esclareceu o Tribunal de Justiça da União Europeia, não é exigido um nível de proteção idêntico (5). Mais concretamente, os meios a que o país terceiro em causa recorre para proteger os dados pessoais podem ser diferentes dos aplicados na União Europeia, desde que se revelem, na prática, eficazes para assegurar um nível adequado de proteção (6). Por conseguinte, para que se verifique a adequação não é necessário que as regras da União sejam replicadas ponto por ponto. Em vez disso, importa aferir sobretudo se, através do teor dos direitos em matéria de proteção de dados e da sua aplicação, controlo e execução efetivos, o sistema estrangeiro consegue, no seu conjunto, garantir o nível de proteção exigido (7).

5

6

7

| (5) | A Comissão procedeu a uma análise cuidadosa da legislação e das práticas do Reino Unido. Com base nas constatações formuladas nos considerandos 8 a 270, a Comissão conclui que o Reino Unido assegura um nível de proteção adequado dos dados pessoais transferidos no âmbito do Regulamento (UE) 2016/679 da União Europeia para o Reino Unido. |
| --- | --- |

(5)

A Comissão procedeu a uma análise cuidadosa da legislação e das práticas do Reino Unido. Com base nas constatações formuladas nos considerandos 8 a 270, a Comissão conclui que o Reino Unido assegura um nível de proteção adequado dos dados pessoais transferidos no âmbito do Regulamento (UE) 2016/679 da União Europeia para o Reino Unido.

| (6) | Esta conclusão não diz respeito aos dados pessoais transferidos para efeitos de controlo da imigração do Reino Unido ou que, de outro modo, sejam abrangidos pelo âmbito da isenção de determinados direitos dos titulares de dados, para efeitos de manutenção de um controlo efetivo da imigração (a «isenção relativa à imigração»), nos termos do schedule 2, n.o 4, ponto 1, do UK Data Protection Act (DPA, Lei relativa à proteção de dados do Reino Unido). A validade e a interpretação da isenção relativa à imigração ao abrigo do direito do Reino Unido não são resolvidas na sequência de uma decisão do England and Wales Court of Appeal (Tribunal de Recurso da Inglaterra e do País de Gales) de 26 de maio de 2021. Embora reconhecendo que os direitos dos titulares dos dados podem, em princípio, ser limitados para efeitos de controlo da imigração como «um aspeto importante do interesse público», o Court of Appeal considerou que a isenção relativa à imigração é, na sua forma atual, incompatível com o direito do Reino Unido, uma vez que a medida legislativa carece de disposições específicas que estabeleçam as garantias enumeradas no artigo 23.o, n.o 2, do Regulamento Geral sobre a Proteção de Dados do Reino Unido (RGPD do Reino Unido) (8). Nestas condições, as transferências de dados pessoais da União para o Reino Unido às quais é possível aplicar a isenção relativa à imigração devem ser excluídas do âmbito da presente decisão (9). Uma vez corrigida a incompatibilidade com o direito do Reino Unido, a isenção relativa à imigração deve ser reavaliada, bem como a necessidade de manter a limitação do âmbito da presente decisão. |
| --- | --- |

(6)

Esta conclusão não diz respeito aos dados pessoais transferidos para efeitos de controlo da imigração do Reino Unido ou que, de outro modo, sejam abrangidos pelo âmbito da isenção de determinados direitos dos titulares de dados, para efeitos de manutenção de um controlo efetivo da imigração (a «isenção relativa à imigração»), nos termos do schedule 2, n.o 4, ponto 1, do UK Data Protection Act (DPA, Lei relativa à proteção de dados do Reino Unido). A validade e a interpretação da isenção relativa à imigração ao abrigo do direito do Reino Unido não são resolvidas na sequência de uma decisão do England and Wales Court of Appeal (Tribunal de Recurso da Inglaterra e do País de Gales) de 26 de maio de 2021. Embora reconhecendo que os direitos dos titulares dos dados podem, em princípio, ser limitados para efeitos de controlo da imigração como «um aspeto importante do interesse público», o Court of Appeal considerou que a isenção relativa à imigração é, na sua forma atual, incompatível com o direito do Reino Unido, uma vez que a medida legislativa carece de disposições específicas que estabeleçam as garantias enumeradas no artigo 23.o, n.o 2, do Regulamento Geral sobre a Proteção de Dados do Reino Unido (RGPD do Reino Unido) (8). Nestas condições, as transferências de dados pessoais da União para o Reino Unido às quais é possível aplicar a isenção relativa à imigração devem ser excluídas do âmbito da presente decisão (9). Uma vez corrigida a incompatibilidade com o direito do Reino Unido, a isenção relativa à imigração deve ser reavaliada, bem como a necessidade de manter a limitação do âmbito da presente decisão.

schedule 2

o

UK Data Protection Act

England and Wales Court of Appeal

Court of Appeal

o

o

8

9

| (7) | A presente decisão não deve afetar a aplicação direta do Regulamento (UE) 2016/679 às organizações estabelecidas no Reino Unido que preencham as condições relativas ao âmbito de aplicação territorial do referido regulamento, previstas no seu artigo 3.o. |
| --- | --- |

(7)

A presente decisão não deve afetar a aplicação direta do Regulamento (UE) 2016/679 às organizações estabelecidas no Reino Unido que preencham as condições relativas ao âmbito de aplicação territorial do referido regulamento, previstas no seu artigo 3.o.

o

2.   NORMAS APLICÁVEIS AO TRATAMENTO DE DADOS PESSOAIS

NORMAS APLICÁVEIS AO TRATAMENTO DE DADOS PESSOAIS

2.1.   Quadro constitucional

Quadro constitucional

| (8) | O Reino Unido é uma democracia parlamentar, que tem um monarca constitucional como Chefe de Estado. Possui um parlamento soberano, com supremacia em relação a todas as outras instituições governamentais, um executivo proveniente do parlamento e ao qual presta contas, e um poder judicial independente. O executivo obtém a sua autoridade da capacidade de manter a confiança da Câmara dos Comuns eleita, e presta contas a ambas as câmaras do parlamento, que são responsáveis pelo escrutínio do governo e por debater e aprovar a legislação. |
| --- | --- |

(8)

O Reino Unido é uma democracia parlamentar, que tem um monarca constitucional como Chefe de Estado. Possui um parlamento soberano, com supremacia em relação a todas as outras instituições governamentais, um executivo proveniente do parlamento e ao qual presta contas, e um poder judicial independente. O executivo obtém a sua autoridade da capacidade de manter a confiança da Câmara dos Comuns eleita, e presta contas a ambas as câmaras do parlamento, que são responsáveis pelo escrutínio do governo e por debater e aprovar a legislação.

| (9) | O parlamento do Reino Unido delegou no parlamento escocês, no parlamento do País de Gales (Senedd Cymru) e na Assembleia da Irlanda do Norte a responsabilidade de legislar, nos respetivos territórios, sobre matérias internas que não tenha reservado para si próprio. Embora a proteção de dados seja uma matéria reservada, ou seja, a mesma legislação aplica-se a todo o território, existem outros domínios de intervenção pertinentes para a presente decisão que foram delegados. Por exemplo, os sistemas de justiça penal, nomeadamente o policiamento, da Escócia e da Irlanda do Norte são da competência do parlamento Escocês e da Assembleia da Irlanda do Norte, respetivamente. O Reino Unido não possui uma constituição codificada na aceção de um documento constitutivo codificado. Os princípios constitucionais foram surgindo ao longo do tempo, tendo origem, em particular, na jurisprudência e em convenções. O valor constitucional de determinadas leis, nomeadamente a Magna Carta, a Bill of Rights 1689 (Declaração de Direitos de 1689) e o Human Rights Act 1998 (Lei de 1998 relativa aos Direitos Humanos), foi reconhecido pelos tribunais. Os direitos fundamentais das pessoas singulares têm evoluído, no âmbito da constituição, por meio da jurisprudência, das referidas leis, e de tratados internacionais, em particular a Convenção Europeia dos Direitos Humanos (CEDH), que o Reino Unido ratificou em 1951. Em 1987, o Reino Unido também ratificou a Convenção do Conselho da Europa para a Proteção das Pessoas relativamente ao Tratamento Automatizado de Dados de Caráter Pessoal (Convenção 108) (10). |
| --- | --- |

(9)

O parlamento do Reino Unido delegou no parlamento escocês, no parlamento do País de Gales (Senedd Cymru) e na Assembleia da Irlanda do Norte a responsabilidade de legislar, nos respetivos territórios, sobre matérias internas que não tenha reservado para si próprio. Embora a proteção de dados seja uma matéria reservada, ou seja, a mesma legislação aplica-se a todo o território, existem outros domínios de intervenção pertinentes para a presente decisão que foram delegados. Por exemplo, os sistemas de justiça penal, nomeadamente o policiamento, da Escócia e da Irlanda do Norte são da competência do parlamento Escocês e da Assembleia da Irlanda do Norte, respetivamente. O Reino Unido não possui uma constituição codificada na aceção de um documento constitutivo codificado. Os princípios constitucionais foram surgindo ao longo do tempo, tendo origem, em particular, na jurisprudência e em convenções. O valor constitucional de determinadas leis, nomeadamente a Magna Carta, a Bill of Rights 1689 (Declaração de Direitos de 1689) e o Human Rights Act 1998 (Lei de 1998 relativa aos Direitos Humanos), foi reconhecido pelos tribunais. Os direitos fundamentais das pessoas singulares têm evoluído, no âmbito da constituição, por meio da jurisprudência, das referidas leis, e de tratados internacionais, em particular a Convenção Europeia dos Direitos Humanos (CEDH), que o Reino Unido ratificou em 1951. Em 1987, o Reino Unido também ratificou a Convenção do Conselho da Europa para a Proteção das Pessoas relativamente ao Tratamento Automatizado de Dados de Caráter Pessoal (Convenção 108) (10).

Senedd Cymru

Magna Carta

Bill of Rights 1689

Human Rights Act 1998

10

| (10) | O Human Rights Act 1998 incorpora os direitos constantes da Convenção Europeia dos Direitos Humanos no direito do Reino Unido. Concede a todas as pessoas os direitos e as liberdades fundamentais previstos nos artigos 2.o a 12.o e no artigo 14.o da Convenção Europeia dos Direitos Humanos, nos artigos 1.o, 2.o e 3.o do seu Protocolo n.o 1, e no artigo 1.o do seu Protocolo n.o 13, em conjugação com os artigos 16.o, 17.o e 18.o da referida convenção. Tal inclui o direito ao respeito pela vida privada e familiar (e o direito à proteção de dados no âmbito desse direito), bem como o direito a um processo equitativo (11). Concretamente, nos termos do artigo 8.o da referida convenção, só pode haver ingerência da autoridade pública no exercício do direito à privacidade, se tal ingerência estiver prevista na lei e constituir uma providência que, numa sociedade democrática, seja necessária para a segurança nacional, a segurança pública, o bem-estar económico do país, a defesa da ordem e a prevenção das infrações penais, a proteção da saúde ou da moral, ou a proteção dos direitos e das liberdades de terceiros. |
| --- | --- |

(10)

O Human Rights Act 1998 incorpora os direitos constantes da Convenção Europeia dos Direitos Humanos no direito do Reino Unido. Concede a todas as pessoas os direitos e as liberdades fundamentais previstos nos artigos 2.o a 12.o e no artigo 14.o da Convenção Europeia dos Direitos Humanos, nos artigos 1.o, 2.o e 3.o do seu Protocolo n.o 1, e no artigo 1.o do seu Protocolo n.o 13, em conjugação com os artigos 16.o, 17.o e 18.o da referida convenção. Tal inclui o direito ao respeito pela vida privada e familiar (e o direito à proteção de dados no âmbito desse direito), bem como o direito a um processo equitativo (11). Concretamente, nos termos do artigo 8.o da referida convenção, só pode haver ingerência da autoridade pública no exercício do direito à privacidade, se tal ingerência estiver prevista na lei e constituir uma providência que, numa sociedade democrática, seja necessária para a segurança nacional, a segurança pública, o bem-estar económico do país, a defesa da ordem e a prevenção das infrações penais, a proteção da saúde ou da moral, ou a proteção dos direitos e das liberdades de terceiros.

Human Rights Act 1998

o

o

o

o

o

o

o

o

o

o

o

o

11

o

| (11) | Em conformidade com o Human Rights Act 1998, qualquer ação das autoridades públicas deve ser compatível com um direito da convenção (12). Além disso, o direito primário e o direito derivado têm de ser interpretados e aplicados de uma forma que seja compatível com os direitos da convenção (13). |
| --- | --- |

(11)

Em conformidade com o Human Rights Act 1998, qualquer ação das autoridades públicas deve ser compatível com um direito da convenção (12). Além disso, o direito primário e o direito derivado têm de ser interpretados e aplicados de uma forma que seja compatível com os direitos da convenção (13).

Human Rights Act 1998

12

13

2.2.   Quadro do Reino Unido em matéria de proteção de dados

Quadro do Reino Unido em matéria de proteção de dados

| (12) | O Reino Unido saiu da União Europeia em 31 de janeiro de 2020. Ao abrigo do Acordo sobre a saída do Reino Unido da Grã-Bretanha e da Irlanda do Norte da União Europeia e da Comunidade Europeia da Energia Atómica (14), o direito da União continuou a aplicar-se no Reino Unido durante o período de transição até 31 de dezembro de 2020. Antes da saída e durante o período de transição, o quadro legislativo em matéria de proteção de dados pessoais no Reino Unido consistia na legislação aplicável da UE [nomeadamente o Regulamento (UE) 2016/679 e a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (15)] e na legislação nacional, nomeadamente o Data Protection Act 2018 (DPA 2018) (16), que previa regras nacionais, quando permitido pelo Regulamento (UE) 2016/679, que especificam e limitam a aplicação das regras do Regulamento (UE) 2016/679, e que transpôs a Diretiva (UE) 2016/680. |
| --- | --- |

(12)

O Reino Unido saiu da União Europeia em 31 de janeiro de 2020. Ao abrigo do Acordo sobre a saída do Reino Unido da Grã-Bretanha e da Irlanda do Norte da União Europeia e da Comunidade Europeia da Energia Atómica (14), o direito da União continuou a aplicar-se no Reino Unido durante o período de transição até 31 de dezembro de 2020. Antes da saída e durante o período de transição, o quadro legislativo em matéria de proteção de dados pessoais no Reino Unido consistia na legislação aplicável da UE [nomeadamente o Regulamento (UE) 2016/679 e a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (15)] e na legislação nacional, nomeadamente o Data Protection Act 2018 (DPA 2018) (16), que previa regras nacionais, quando permitido pelo Regulamento (UE) 2016/679, que especificam e limitam a aplicação das regras do Regulamento (UE) 2016/679, e que transpôs a Diretiva (UE) 2016/680.

14

15

Data Protection Act 2018

16

| (13) | Para preparar a saída da União Europeia, o Governo do Reino Unido promulgou o European Union (Withdrawal) Act 2018 [Lei de 2018 sobre a (Saída da) União Europeia] (17), que incorpora legislação da União diretamente aplicável no direito do Reino Unido (18). O denominado «direito da UE mantido» inclui o Regulamento (UE) 2016/679 na sua totalidade (incluindo os seus considerandos) (19). Nos termos da referida lei, o direito da UE mantido e inalterado tem de ser interpretado pelos tribunais do Reino Unido em conformidade com a jurisprudência aplicável do Tribunal de Justiça Europeu e com os princípios gerais do direito da União, pois produzem efeitos imediatamente antes do termo do período de transição (denominados, respetivamente, «jurisprudência da UE mantida» e «princípios gerais do direito da UE mantidos») (20). |
| --- | --- |

(13)

Para preparar a saída da União Europeia, o Governo do Reino Unido promulgou o European Union (Withdrawal) Act 2018 [Lei de 2018 sobre a (Saída da) União Europeia] (17), que incorpora legislação da União diretamente aplicável no direito do Reino Unido (18). O denominado «direito da UE mantido» inclui o Regulamento (UE) 2016/679 na sua totalidade (incluindo os seus considerandos) (19). Nos termos da referida lei, o direito da UE mantido e inalterado tem de ser interpretado pelos tribunais do Reino Unido em conformidade com a jurisprudência aplicável do Tribunal de Justiça Europeu e com os princípios gerais do direito da União, pois produzem efeitos imediatamente antes do termo do período de transição (denominados, respetivamente, «jurisprudência da UE mantida» e «princípios gerais do direito da UE mantidos») (20).

European Union (Withdrawal) Act 2018

17

18

19

20

| (14) | Ao abrigo do European Union (Withdrawal) Act 2018, os ministros do Reino Unido têm o poder de introduzir atos do direito derivado, através de instrumentos estatutários, a fim de efetuar as alterações necessárias ao direito da União Europeia mantido em consequência da saída do Reino Unido da União Europeia. Exerceram esse poder ao adotar os Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 [Regulamentos de 2019 relativos à Proteção de Dados, à Privacidade e às Comunicações Eletrónicas (alterações, etc.) (saída da UE) – Regulamentos DPPEC] (21). Os Regulamentos DPPEC alteram o Regulamento (UE) 2016/679, conforme introduzido no direito britânico através do European Union (Withdrawal) Act 2018, o DPA 2018 e outra legislação em matéria de proteção de dados para os adequarem ao contexto nacional (22). |
| --- | --- |

(14)

Ao abrigo do European Union (Withdrawal) Act 2018, os ministros do Reino Unido têm o poder de introduzir atos do direito derivado, através de instrumentos estatutários, a fim de efetuar as alterações necessárias ao direito da União Europeia mantido em consequência da saída do Reino Unido da União Europeia. Exerceram esse poder ao adotar os Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 [Regulamentos de 2019 relativos à Proteção de Dados, à Privacidade e às Comunicações Eletrónicas (alterações, etc.) (saída da UE) – Regulamentos DPPEC] (21). Os Regulamentos DPPEC alteram o Regulamento (UE) 2016/679, conforme introduzido no direito britânico através do European Union (Withdrawal) Act 2018, o DPA 2018 e outra legislação em matéria de proteção de dados para os adequarem ao contexto nacional (22).

European Union (Withdrawal) Act 2018

Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019

21

European Union (Withdrawal) Act 2018

22

| (15) | Por conseguinte, o quadro jurídico em matéria de proteção de dados pessoais no Reino Unido, após o termo do período de transição, consiste:






  — | no RGPD do Reino Unido, conforme incorporado no direito do Reino Unido ao abrigo do European Union (Withdrawal) Act 2018 e alterado pelos Regulamentos DPPEC (23), e |
| --- | --- | --- |

(15)

Por conseguinte, o quadro jurídico em matéria de proteção de dados pessoais no Reino Unido, após o termo do período de transição, consiste:

—

no RGPD do Reino Unido, conforme incorporado no direito do Reino Unido ao abrigo do European Union (Withdrawal) Act 2018 e alterado pelos Regulamentos DPPEC (23), e

European Union (Withdrawal) Act 2018

23

| — | no DPA 2018 (24), com a redação que lhe foi dada pelos Regulamentos DPPEC. |
| --- | --- |

—

no DPA 2018 (24), com a redação que lhe foi dada pelos Regulamentos DPPEC.

24

| (16) | Como o RGPD do Reino Unido é baseado na legislação da UE, em muitos aspetos, as regras relativas à proteção de dados no Reino Unido refletem fielmente as regras correspondentes aplicáveis na União Europeia. |
| --- | --- |

(16)

Como o RGPD do Reino Unido é baseado na legislação da UE, em muitos aspetos, as regras relativas à proteção de dados no Reino Unido refletem fielmente as regras correspondentes aplicáveis na União Europeia.

| (17) | Além dos poderes conferidos ao ministro da tutela pelo European Union (Withdrawal) Act 2018, várias disposições do DPA 2018 conferem-lhe poderes para adotar atos de direito derivado para alterar determinadas disposições da lei ou prever regras complementares ou adicionais (25). Até ao momento, o ministro da tutela só exerceu o poder ao abrigo da section 137 do DPA 2018 para adotar os Data Protection (Charges and Information) (Amendment) Regulations 2019 [Regulamentos de 2019 relativos à Proteção de Dados (taxas e informações) (alteração)], que estabelecem as circunstâncias em que os responsáveis pelo tratamento são obrigados a pagar uma taxa anual ao comissário para a informação (Information Commissioner), a autoridade independente de proteção de dados do Reino Unido. |
| --- | --- |

(17)

Além dos poderes conferidos ao ministro da tutela pelo European Union (Withdrawal) Act 2018, várias disposições do DPA 2018 conferem-lhe poderes para adotar atos de direito derivado para alterar determinadas disposições da lei ou prever regras complementares ou adicionais (25). Até ao momento, o ministro da tutela só exerceu o poder ao abrigo da section 137 do DPA 2018 para adotar os Data Protection (Charges and Information) (Amendment) Regulations 2019 [Regulamentos de 2019 relativos à Proteção de Dados (taxas e informações) (alteração)], que estabelecem as circunstâncias em que os responsáveis pelo tratamento são obrigados a pagar uma taxa anual ao comissário para a informação (Information Commissioner), a autoridade independente de proteção de dados do Reino Unido.

European Union (Withdrawal) Act 2018

25

section 137

Data Protection (Charges and Information) (Amendment) Regulations 2019

Information Commissioner

| (18) | Por último, são fornecidas mais orientações sobre a legislação do Reino Unido em matéria de proteção de dados nos códigos de boas práticas e noutras orientações adotadas pelo comissário para a informação. Embora não sejam formalmente vinculativas, tais orientações têm um peso interpretativo e demonstram a forma como a legislação em matéria de proteção de dados é aplicada e executada, na prática, pelo comissário. Em particular, as sections 121 a 125 do DPA 2018 exigem que o comissário elabore códigos de boas práticas sobre a partilha de dados, a comercialização direta, a elaboração adequada à idade e a proteção de dados e o jornalismo. |
| --- | --- |

(18)

Por último, são fornecidas mais orientações sobre a legislação do Reino Unido em matéria de proteção de dados nos códigos de boas práticas e noutras orientações adotadas pelo comissário para a informação. Embora não sejam formalmente vinculativas, tais orientações têm um peso interpretativo e demonstram a forma como a legislação em matéria de proteção de dados é aplicada e executada, na prática, pelo comissário. Em particular, as sections 121 a 125 do DPA 2018 exigem que o comissário elabore códigos de boas práticas sobre a partilha de dados, a comercialização direta, a elaboração adequada à idade e a proteção de dados e o jornalismo.

sections 121

125

| (19) | Na sua estrutura e principais componentes, o quadro jurídico do Reino Unido aplicável aos dados transferidos ao abrigo da presente decisão é, por conseguinte, muito semelhante ao que se aplica na União Europeia. Tal inclui o facto de não se basear apenas nas obrigações estabelecidas no direito interno, que foram influenciadas pelo direito da UE, mas também em obrigações consagradas no direito internacional, em particular através da adesão do Reino Unido à CEDH e à Convenção 108, bem como na sua submissão à competência jurisdicional do Tribunal Europeu dos Direitos Humanos. Estas obrigações decorrentes de instrumentos internacionais juridicamente vinculativos, relativos, nomeadamente, à proteção de dados pessoais, constituem, por conseguinte, um elemento particularmente importante do quadro jurídico avaliado na presente decisão. |
| --- | --- |

(19)

Na sua estrutura e principais componentes, o quadro jurídico do Reino Unido aplicável aos dados transferidos ao abrigo da presente decisão é, por conseguinte, muito semelhante ao que se aplica na União Europeia. Tal inclui o facto de não se basear apenas nas obrigações estabelecidas no direito interno, que foram influenciadas pelo direito da UE, mas também em obrigações consagradas no direito internacional, em particular através da adesão do Reino Unido à CEDH e à Convenção 108, bem como na sua submissão à competência jurisdicional do Tribunal Europeu dos Direitos Humanos. Estas obrigações decorrentes de instrumentos internacionais juridicamente vinculativos, relativos, nomeadamente, à proteção de dados pessoais, constituem, por conseguinte, um elemento particularmente importante do quadro jurídico avaliado na presente decisão.

2.3.   Âmbito de aplicação material e territorial

Âmbito de aplicação material e territorial

| (20) | À semelhança do Regulamento (UE) 2016/679, o RGPD do Reino Unido aplica-se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, ou a outro tratamento, se os dados pessoais estiverem contidos num ficheiro (26). As definições de «dados pessoais», de «titular dos dados» e de «tratamento» do RGPD do Reino Unido são idênticas às do Regulamento (UE) 2016/679 (27). Além disso, o RGPD do Reino Unido aplica-se ao tratamento de dados pessoais manuais não estruturados (28) detidos por determinadas autoridades públicas do Reino Unido (29), embora a aplicação dos princípios e direitos do RGPD do Reino Unido que não sejam pertinentes para esses dados pessoais seja afastada pelas sections 24 e 25 do DPA 2018. À semelhança do previsto no Regulamento (UE) 2016/679, o RGPD do Reino Unido não se aplica ao tratamento de dados pessoais efetuado por pessoas singulares no exercício de atividades exclusivamente pessoais ou domésticas (30). |
| --- | --- |

(20)

À semelhança do Regulamento (UE) 2016/679, o RGPD do Reino Unido aplica-se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, ou a outro tratamento, se os dados pessoais estiverem contidos num ficheiro (26). As definições de «dados pessoais», de «titular dos dados» e de «tratamento» do RGPD do Reino Unido são idênticas às do Regulamento (UE) 2016/679 (27). Além disso, o RGPD do Reino Unido aplica-se ao tratamento de dados pessoais manuais não estruturados (28) detidos por determinadas autoridades públicas do Reino Unido (29), embora a aplicação dos princípios e direitos do RGPD do Reino Unido que não sejam pertinentes para esses dados pessoais seja afastada pelas sections 24 e 25 do DPA 2018. À semelhança do previsto no Regulamento (UE) 2016/679, o RGPD do Reino Unido não se aplica ao tratamento de dados pessoais efetuado por pessoas singulares no exercício de atividades exclusivamente pessoais ou domésticas (30).

26

27

28

29

sections 24

25

30

| (21) | O RGPD do Reino Unido amplia o seu âmbito de aplicação também ao tratamento no exercício de atividades que, imediatamente antes do termo do período de transição, se encontravam fora do âmbito de aplicação do direito da União Europeia (como a segurança nacional) (31), ou que estavam abrangidas pelo âmbito de aplicação do título V, capítulo 2, do Tratado da União Europeia (atividades da política externa e de segurança comum) (32). Tal como no sistema da União Europeia, o RGPD do Reino Unido não se aplica ao tratamento de dados pessoais por uma autoridade competente para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública (os chamados «efeitos de aplicação da lei») — tal tratamento é regido pela parte 3 do DPA 2018, como é o caso da Diretiva (UE) 2016/680 ao abrigo do direito da União Europeia — ou ao tratamento de dados pessoais pelos serviços de informações [o Security Service (serviço de segurança), o Secret Intelligence Service (serviço de informações secretas) e o Government Communications Headquarter (quartel-general de comunicações do Estado)], que é abrangido pela parte 4 do DPA 2018 (33). |
| --- | --- |

(21)

O RGPD do Reino Unido amplia o seu âmbito de aplicação também ao tratamento no exercício de atividades que, imediatamente antes do termo do período de transição, se encontravam fora do âmbito de aplicação do direito da União Europeia (como a segurança nacional) (31), ou que estavam abrangidas pelo âmbito de aplicação do título V, capítulo 2, do Tratado da União Europeia (atividades da política externa e de segurança comum) (32). Tal como no sistema da União Europeia, o RGPD do Reino Unido não se aplica ao tratamento de dados pessoais por uma autoridade competente para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública (os chamados «efeitos de aplicação da lei») — tal tratamento é regido pela parte 3 do DPA 2018, como é o caso da Diretiva (UE) 2016/680 ao abrigo do direito da União Europeia — ou ao tratamento de dados pessoais pelos serviços de informações [o Security Service (serviço de segurança), o Secret Intelligence Service (serviço de informações secretas) e o Government Communications Headquarter (quartel-general de comunicações do Estado)], que é abrangido pela parte 4 do DPA 2018 (33).

31

32

Security Service

Secret Intelligence Service

Government Communications Headquarter

33

| (22) | O âmbito de aplicação territorial do RGPD do Reino Unido é descrito no artigo 3.o do RGPD do Reino Unido (34) e inclui o tratamento de dados pessoais (independentemente do local onde ocorra) no contexto das atividades de um estabelecimento de um responsável pelo tratamento ou de um subcontratante no Reino Unido, bem como o tratamento de dados pessoais de titulares que se encontrem no Reino Unido, quando as atividades de tratamento estejam relacionadas com a oferta de bens ou serviços a esses titulares de dados ou com o controlo do seu comportamento (35). Tal reflete a abordagem adotada no artigo 3.o do Regulamento (UE) 2016/679. |
| --- | --- |

(22)

O âmbito de aplicação territorial do RGPD do Reino Unido é descrito no artigo 3.o do RGPD do Reino Unido (34) e inclui o tratamento de dados pessoais (independentemente do local onde ocorra) no contexto das atividades de um estabelecimento de um responsável pelo tratamento ou de um subcontratante no Reino Unido, bem como o tratamento de dados pessoais de titulares que se encontrem no Reino Unido, quando as atividades de tratamento estejam relacionadas com a oferta de bens ou serviços a esses titulares de dados ou com o controlo do seu comportamento (35). Tal reflete a abordagem adotada no artigo 3.o do Regulamento (UE) 2016/679.

o

34

35

o

2.4.   Definições de dados pessoais e conceitos de responsável pelo tratamento e subcontratante

Definições de dados pessoais e conceitos de responsável pelo tratamento e subcontratante

| (23) | As definições de dados pessoais, tratamento, responsável pelo tratamento, subcontratante, bem como de pseudonimização, estabelecidas no Regulamento (UE) 2016/679, foram mantidas sem alterações significativas no RGPD do Reino Unido (36). Além disso, o artigo 9.o, n.o 1, do RGPD do Reino Unido define as categorias especiais de dados da mesma forma que o Regulamento (UE) 2016/679 («dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, bem como o tratamento de dados genéticos, dados biométricos para identificar uma pessoa de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa»). A section 205 do DPA 2018 fornece a definição de «dados biométricos» (37), «dados relativos à saúde» (38) e «dados genéticos» (39). |
| --- | --- |

(23)

As definições de dados pessoais, tratamento, responsável pelo tratamento, subcontratante, bem como de pseudonimização, estabelecidas no Regulamento (UE) 2016/679, foram mantidas sem alterações significativas no RGPD do Reino Unido (36). Além disso, o artigo 9.o, n.o 1, do RGPD do Reino Unido define as categorias especiais de dados da mesma forma que o Regulamento (UE) 2016/679 («dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, bem como o tratamento de dados genéticos, dados biométricos para identificar uma pessoa de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa»). A section 205 do DPA 2018 fornece a definição de «dados biométricos» (37), «dados relativos à saúde» (38) e «dados genéticos» (39).

36

o

o

section 205

37

38

39

2.5.   Garantias, direitos e obrigações

Garantias, direitos e obrigações

2.5.1.   Licitude e lealdade do tratamento

Licitude e lealdade do tratamento

| (24) | Os dados pessoais devem ser objeto de um tratamento lícito e leal. |
| --- | --- |

(24)

Os dados pessoais devem ser objeto de um tratamento lícito e leal.

| (25) | Os princípios da licitude, lealdade e transparência, bem como os fundamentos para o tratamento lícito são garantidos no direito do Reino Unido através do artigo 5.o, n.o 1, alínea a), e do artigo 6.o, n.o 1, do RGPD do Reino Unido, que são idênticos às respetivas disposições do Regulamento (UE) 2016/679 (40). A section 8 do DPA 2018 complementa o artigo 6.o, n.o 1, alínea e), ao prever que o tratamento de dados pessoais ao abrigo do artigo 6.o, n.o 1, alínea e), do RGPD do Reino Unido (necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública do responsável pelo tratamento), inclui o tratamento de dados pessoais que seja necessário à administração da justiça, ao exercício de uma função das câmaras do parlamento, ao exercício de uma função conferida a uma pessoa por uma texto legislativo ou pelo Estado de direito, ao exercício de uma função da Coroa, de um ministro da Coroa ou de um departamento governamental, ou a uma atividade que apoie ou promova a participação democrática. |
| --- | --- |

(25)

Os princípios da licitude, lealdade e transparência, bem como os fundamentos para o tratamento lícito são garantidos no direito do Reino Unido através do artigo 5.o, n.o 1, alínea a), e do artigo 6.o, n.o 1, do RGPD do Reino Unido, que são idênticos às respetivas disposições do Regulamento (UE) 2016/679 (40). A section 8 do DPA 2018 complementa o artigo 6.o, n.o 1, alínea e), ao prever que o tratamento de dados pessoais ao abrigo do artigo 6.o, n.o 1, alínea e), do RGPD do Reino Unido (necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública do responsável pelo tratamento), inclui o tratamento de dados pessoais que seja necessário à administração da justiça, ao exercício de uma função das câmaras do parlamento, ao exercício de uma função conferida a uma pessoa por uma texto legislativo ou pelo Estado de direito, ao exercício de uma função da Coroa, de um ministro da Coroa ou de um departamento governamental, ou a uma atividade que apoie ou promova a participação democrática.

o

o

o

o

40

section 8

o

o

o

o

| (26) | No que respeita ao consentimento (um dos fundamentos para o tratamento lícito), o RGPD do Reino Unido também mantém inalteradas as condições previstas no artigo 7.o do Regulamento (UE) 2016/679, ou seja, o responsável pelo tratamento deve poder demonstrar que o titular dos dados deu o seu consentimento, deve ser apresentado um pedido de consentimento escrito numa linguagem clara e simples, o titular dos dados deve ter o direito de retirar o consentimento a qualquer momento, e ao avaliar se o consentimento é dado livremente, deve ter-se em conta se a execução de um contrato está subordinada ao consentimento para o tratamento de dados pessoais que não seja necessário para a execução desse contrato. Além disso, nos termos do artigo 8.o do RGPD do Reino Unido, no contexto da prestação de serviços da sociedade da informação, o consentimento de uma criança só é lícito se esta tiver, pelo menos, 13 anos. Tal enquadra-se na faixa etária estabelecida no artigo 8.o do Regulamento (UE) 2016/679. |
| --- | --- |

(26)

No que respeita ao consentimento (um dos fundamentos para o tratamento lícito), o RGPD do Reino Unido também mantém inalteradas as condições previstas no artigo 7.o do Regulamento (UE) 2016/679, ou seja, o responsável pelo tratamento deve poder demonstrar que o titular dos dados deu o seu consentimento, deve ser apresentado um pedido de consentimento escrito numa linguagem clara e simples, o titular dos dados deve ter o direito de retirar o consentimento a qualquer momento, e ao avaliar se o consentimento é dado livremente, deve ter-se em conta se a execução de um contrato está subordinada ao consentimento para o tratamento de dados pessoais que não seja necessário para a execução desse contrato. Além disso, nos termos do artigo 8.o do RGPD do Reino Unido, no contexto da prestação de serviços da sociedade da informação, o consentimento de uma criança só é lícito se esta tiver, pelo menos, 13 anos. Tal enquadra-se na faixa etária estabelecida no artigo 8.o do Regulamento (UE) 2016/679.

o

o

o

2.5.2.   Tratamento de categorias especiais de dados pessoais

Tratamento de categorias especiais de dados pessoais

| (27) | Devem existir garantias específicas aplicáveis ao tratamento de «categorias especiais» de dados. |
| --- | --- |

(27)

Devem existir garantias específicas aplicáveis ao tratamento de «categorias especiais» de dados.

| (28) | O RGPD do Reino Unido e o DPA 2018 contêm regras específicas no que respeita ao tratamento de categorias especiais de dados pessoais, que são definidas no artigo 9.o, n.o 1, do RGPD do Reino Unido da mesma forma que no Regulamento (UE) 2016/679 (ver considerando 23). Nos termos do artigo 9.o do RGPD do Reino Unido, o tratamento de categorias especiais de dados é, em princípio, proibido, a menos que se aplique uma exceção específica. |
| --- | --- |

(28)

O RGPD do Reino Unido e o DPA 2018 contêm regras específicas no que respeita ao tratamento de categorias especiais de dados pessoais, que são definidas no artigo 9.o, n.o 1, do RGPD do Reino Unido da mesma forma que no Regulamento (UE) 2016/679 (ver considerando 23). Nos termos do artigo 9.o do RGPD do Reino Unido, o tratamento de categorias especiais de dados é, em princípio, proibido, a menos que se aplique uma exceção específica.

o

o

o

| (29) | Tais exceções (indicadas no artigo 9.o, n.os 2 e 3, do RGPD do Reino Unido) não introduzem quaisquer alterações de fundo às constantes do artigo 9.o, n.os 2 e 3, do Regulamento (UE) 2016/679. A menos que o titular dos dados tenha dado o seu consentimento explícito para o tratamento desses dados pessoais, o tratamento de categorias especiais de dados pessoais só é permitido em circunstâncias específicas e limitadas. Na maioria dos casos, o tratamento de dados sensíveis tem de ser necessário para uma finalidade específica, definida na disposição aplicável [ver o artigo 9.o, n.o 2, alíneas b), c), f), g), h), i) e j)]. |
| --- | --- |

(29)

Tais exceções (indicadas no artigo 9.o, n.os 2 e 3, do RGPD do Reino Unido) não introduzem quaisquer alterações de fundo às constantes do artigo 9.o, n.os 2 e 3, do Regulamento (UE) 2016/679. A menos que o titular dos dados tenha dado o seu consentimento explícito para o tratamento desses dados pessoais, o tratamento de categorias especiais de dados pessoais só é permitido em circunstâncias específicas e limitadas. Na maioria dos casos, o tratamento de dados sensíveis tem de ser necessário para uma finalidade específica, definida na disposição aplicável [ver o artigo 9.o, n.o 2, alíneas b), c), f), g), h), i) e j)].

o

os

o

os

o

o

| (30) | Além disso, quando uma exceção ao abrigo do artigo 9.o, n.o 2, do RGPD do Reino Unido exige uma autorização por lei ou refere o interesse público, a section 10 do DPA 2018, em conjunto com o schedule 1 do DPA 2018 especificam ainda as condições que devem ser cumpridas para que as exceções possam ser invocadas. Por exemplo, no caso do tratamento de dados sensíveis para proteger a «saúde pública» [artigo 9.o, n.o 2, alínea i), do RGPD do Reino Unido], o schedule 1, parte 1, n.o 3, alínea b), exige que, além do critério da necessidade, tal tratamento seja efetuado «por ou sob a responsabilidade de um profissional de saúde» ou «por outra pessoa que tenha um dever de confidencialidade ao abrigo de um texto legislativo ou do Estado de direito», incluindo ao abrigo do dever consagrado de confidencialidade do direito comum. |
| --- | --- |

(30)

Além disso, quando uma exceção ao abrigo do artigo 9.o, n.o 2, do RGPD do Reino Unido exige uma autorização por lei ou refere o interesse público, a section 10 do DPA 2018, em conjunto com o schedule 1 do DPA 2018 especificam ainda as condições que devem ser cumpridas para que as exceções possam ser invocadas. Por exemplo, no caso do tratamento de dados sensíveis para proteger a «saúde pública» [artigo 9.o, n.o 2, alínea i), do RGPD do Reino Unido], o schedule 1, parte 1, n.o 3, alínea b), exige que, além do critério da necessidade, tal tratamento seja efetuado «por ou sob a responsabilidade de um profissional de saúde» ou «por outra pessoa que tenha um dever de confidencialidade ao abrigo de um texto legislativo ou do Estado de direito», incluindo ao abrigo do dever consagrado de confidencialidade do direito comum.

o

o

section 10

schedule 1

o

o

schedule 1

o

| (31) | Em caso de tratamento de dados sensíveis por motivos de interesse público importante [artigo 9.o, n.o 2, alínea g), do RGPD do Reino Unido], o schedule 1, parte 2, do DPA 2018 prevê uma lista exaustiva de finalidades que podem ser consideradas de interesse público importante, estabelecendo, para cada um delas, condições adicionais específicas. Por exemplo, a promoção da diversidade racial e étnica nos níveis superiores das organizações é reconhecida como um interesse público importante. O tratamento de dados sensíveis para esta finalidade específica está sujeito a requisitos pormenorizados, nomeadamente que o tratamento seja efetuado como parte de um processo de identificação de pessoas adequadas para ocupar cargos superiores, seja necessário para promover a diversidade racial e étnica, e não seja suscetível de causar danos substanciais ou sofrimento emocional substancial ao titular dos dados. |
| --- | --- |

(31)

Em caso de tratamento de dados sensíveis por motivos de interesse público importante [artigo 9.o, n.o 2, alínea g), do RGPD do Reino Unido], o schedule 1, parte 2, do DPA 2018 prevê uma lista exaustiva de finalidades que podem ser consideradas de interesse público importante, estabelecendo, para cada um delas, condições adicionais específicas. Por exemplo, a promoção da diversidade racial e étnica nos níveis superiores das organizações é reconhecida como um interesse público importante. O tratamento de dados sensíveis para esta finalidade específica está sujeito a requisitos pormenorizados, nomeadamente que o tratamento seja efetuado como parte de um processo de identificação de pessoas adequadas para ocupar cargos superiores, seja necessário para promover a diversidade racial e étnica, e não seja suscetível de causar danos substanciais ou sofrimento emocional substancial ao titular dos dados.

o

o

schedule 1

| (32) | A section 11(1) do DPA 2018 estabelece as condições para o tratamento de dados pessoais nas circunstâncias descritas no artigo 9.o, n.o 3, do RGPD do Reino Unido, relacionadas com a obrigação de confidencialidade. Tal inclui circunstâncias em que o tratamento é efetuado por ou sob a responsabilidade de um profissional de saúde ou de um assistente social, ou por outra pessoa que, nessas circunstâncias, tenha um dever de confidencialidade ao abrigo de um texto legislativo ou do Estado de direito. |
| --- | --- |

(32)

A section 11(1) do DPA 2018 estabelece as condições para o tratamento de dados pessoais nas circunstâncias descritas no artigo 9.o, n.o 3, do RGPD do Reino Unido, relacionadas com a obrigação de confidencialidade. Tal inclui circunstâncias em que o tratamento é efetuado por ou sob a responsabilidade de um profissional de saúde ou de um assistente social, ou por outra pessoa que, nessas circunstâncias, tenha um dever de confidencialidade ao abrigo de um texto legislativo ou do Estado de direito.

section 11(1)

o

o

| (33) | Além disso, muitas das exceções indicadas no artigo 9.o, n.o 2, do RGPD do Reino Unido exigem garantias adequadas e específicas para poderem ser utilizadas. Em função da natureza do tratamento e do nível de risco para os direitos e as liberdades dos titulares dos dados, as condições para o tratamento previstas no schedule 1 do DPA 2018 estabelecem garantias diferentes. O schedule 1 estabelece, sucessivamente, as condições para cada situação de tratamento. |
| --- | --- |

(33)

Além disso, muitas das exceções indicadas no artigo 9.o, n.o 2, do RGPD do Reino Unido exigem garantias adequadas e específicas para poderem ser utilizadas. Em função da natureza do tratamento e do nível de risco para os direitos e as liberdades dos titulares dos dados, as condições para o tratamento previstas no schedule 1 do DPA 2018 estabelecem garantias diferentes. O schedule 1 estabelece, sucessivamente, as condições para cada situação de tratamento.

o

o

schedule 1

schedule 1

| (34) | Em alguns casos, o DPA 2018 regula e limita o tipo de dados sensíveis que podem ser tratados para que uma determinada base jurídica seja cumprida. Por exemplo, o schedule 1, n.o 8, autoriza o tratamento de dados sensíveis para efeitos da promoção da igualdade de oportunidades ou de tratamento. Esta condição de tratamento só pode ser utilizada se os dados revelarem origem racial ou étnica, convicções religiosas ou filosóficas, orientação sexual, ou se se tratar de dados relativos à saúde. |
| --- | --- |

(34)

Em alguns casos, o DPA 2018 regula e limita o tipo de dados sensíveis que podem ser tratados para que uma determinada base jurídica seja cumprida. Por exemplo, o schedule 1, n.o 8, autoriza o tratamento de dados sensíveis para efeitos da promoção da igualdade de oportunidades ou de tratamento. Esta condição de tratamento só pode ser utilizada se os dados revelarem origem racial ou étnica, convicções religiosas ou filosóficas, orientação sexual, ou se se tratar de dados relativos à saúde.

schedule 1

o

| (35) | Em alguns casos, o DPA 2018 limita o tipo de responsável pelo tratamento que pode utilizar a condição de tratamento. Por exemplo, o schedule 1, n.o 23, prevê o tratamento de dados sensíveis relativos às respostas dos representantes eleitos ao público. Esta condição de tratamento só pode ser utilizada se o responsável pelo tratamento for o representante eleito ou estiver a agir sob a sua autoridade. |
| --- | --- |

(35)

Em alguns casos, o DPA 2018 limita o tipo de responsável pelo tratamento que pode utilizar a condição de tratamento. Por exemplo, o schedule 1, n.o 23, prevê o tratamento de dados sensíveis relativos às respostas dos representantes eleitos ao público. Esta condição de tratamento só pode ser utilizada se o responsável pelo tratamento for o representante eleito ou estiver a agir sob a sua autoridade.

schedule 1

o

| (36) | Noutros outros casos, o DPA 2018 estabelece limites às categorias dos titulares dos dados que podem utilizar a condição de tratamento. Por exemplo, o schedule 1, n.o 21, regulamenta o tratamento de dados sensíveis para regimes profissionais de pensões. Esta condição só pode ser utilizada se o titular dos dados for irmão ou irmã, progenitor, avô ou avó, ou bisavô ou bisavó do inscrito. |
| --- | --- |

(36)

Noutros outros casos, o DPA 2018 estabelece limites às categorias dos titulares dos dados que podem utilizar a condição de tratamento. Por exemplo, o schedule 1, n.o 21, regulamenta o tratamento de dados sensíveis para regimes profissionais de pensões. Esta condição só pode ser utilizada se o titular dos dados for irmão ou irmã, progenitor, avô ou avó, ou bisavô ou bisavó do inscrito.

schedule 1

o

| (37) | Além disso, ao invocar as exceções constantes do artigo 9.o, n.o 2, do RGPD do Reino Unido, que estão especificadas com mais pormenor na section 10 do DPA 2018, em conjunto com o schedule 1 do DPA 2018, na maioria dos casos, o responsável pelo tratamento é obrigado a elaborar um documento de políticas adequado (appropriate policy document). Tal documento deve explicar os procedimentos do responsável pelo tratamento para garantir a conformidade com os princípios do artigo 5.o do RGPD do Reino Unido. Deve também descrever as políticas para a conservação e o apagamento, com indicação do prazo provável de conservação. Os responsáveis pelo tratamento têm de rever e atualizar o documento, conforme adequado. O responsável pelo tratamento deve conservar o referido documento de políticas durante seis meses após a conclusão do tratamento e colocá-lo à disposição do comissário para a informação, a pedido (41). |
| --- | --- |

(37)

Além disso, ao invocar as exceções constantes do artigo 9.o, n.o 2, do RGPD do Reino Unido, que estão especificadas com mais pormenor na section 10 do DPA 2018, em conjunto com o schedule 1 do DPA 2018, na maioria dos casos, o responsável pelo tratamento é obrigado a elaborar um documento de políticas adequado (appropriate policy document). Tal documento deve explicar os procedimentos do responsável pelo tratamento para garantir a conformidade com os princípios do artigo 5.o do RGPD do Reino Unido. Deve também descrever as políticas para a conservação e o apagamento, com indicação do prazo provável de conservação. Os responsáveis pelo tratamento têm de rever e atualizar o documento, conforme adequado. O responsável pelo tratamento deve conservar o referido documento de políticas durante seis meses após a conclusão do tratamento e colocá-lo à disposição do comissário para a informação, a pedido (41).

o

o

section 10

schedule 1

appropriate policy document

o

41

| (38) | Nos termos do schedule 1, n.o 41, do DPA 2018, o documento de políticas deve ser sempre acompanhado por um registo alargado do tratamento, que deve conter o seguimento dos compromissos incluídos no documento de políticas, ou seja, se os dados estão a ser apagados ou retidos de acordo com as políticas. Se tal não se verificar, o registo tem de indicar as razões. Deve também descrever como o tratamento satisfaz o artigo 6.o do RGPD do Reino Unido (licitude do tratamento) e a condição específica do schedule 1 do DPA 2018 em que se baseia. |
| --- | --- |

(38)

Nos termos do schedule 1, n.o 41, do DPA 2018, o documento de políticas deve ser sempre acompanhado por um registo alargado do tratamento, que deve conter o seguimento dos compromissos incluídos no documento de políticas, ou seja, se os dados estão a ser apagados ou retidos de acordo com as políticas. Se tal não se verificar, o registo tem de indicar as razões. Deve também descrever como o tratamento satisfaz o artigo 6.o do RGPD do Reino Unido (licitude do tratamento) e a condição específica do schedule 1 do DPA 2018 em que se baseia.

schedule 1

o

o

schedule 1

| (39) | Por último, tal como o Regulamento (UE) 2016/679, o RGPD do Reino Unido também prevê garantias gerais para determinadas operações de tratamento de categorias especiais de dados. O artigo 35.o do RGPD do Reino Unido exige uma avaliação de impacto sobre a proteção de dados em caso de operações de tratamento em grande escala de categorias especiais de dados. Nos termos do artigo 37.o do RGPD do Reino Unido, um responsável pelo tratamento ou subcontratante tem de designar um encarregado da proteção de dados sempre que as suas atividades principais consistam em operações de tratamento em grande escala de categorias especiais de dados. |
| --- | --- |

(39)

Por último, tal como o Regulamento (UE) 2016/679, o RGPD do Reino Unido também prevê garantias gerais para determinadas operações de tratamento de categorias especiais de dados. O artigo 35.o do RGPD do Reino Unido exige uma avaliação de impacto sobre a proteção de dados em caso de operações de tratamento em grande escala de categorias especiais de dados. Nos termos do artigo 37.o do RGPD do Reino Unido, um responsável pelo tratamento ou subcontratante tem de designar um encarregado da proteção de dados sempre que as suas atividades principais consistam em operações de tratamento em grande escala de categorias especiais de dados.

o

o

| (40) | No que respeita aos dados pessoais relacionados com condenações penais e infrações, o artigo 10.o do RGPD do Reino Unido é idêntico ao artigo 10.o do Regulamento (UE) 2016/679. Permite o tratamento de dados pessoais relacionados com condenações penais e infrações apenas sob o controlo de uma autoridade pública ou se o tratamento for autorizado por disposições do direito interno que prevejam garantias adequadas para os direitos e liberdades dos titulares dos dados. |
| --- | --- |

(40)

No que respeita aos dados pessoais relacionados com condenações penais e infrações, o artigo 10.o do RGPD do Reino Unido é idêntico ao artigo 10.o do Regulamento (UE) 2016/679. Permite o tratamento de dados pessoais relacionados com condenações penais e infrações apenas sob o controlo de uma autoridade pública ou se o tratamento for autorizado por disposições do direito interno que prevejam garantias adequadas para os direitos e liberdades dos titulares dos dados.

o

o

| (41) | Quando o tratamento de dados relacionados com condenações penais e infrações não for efetuado sob o controlo de uma autoridade pública, a section 10(5) do DPA 2018 prevê que esse tratamento só possa ter lugar para as finalidades/nas situações específicas estabelecidas nas partes 1, 2 e 3 do schedule 1 do DPA 2018 e esteja sujeito aos requisitos específicos estabelecidos para cada uma dessas finalidades/situações. Por exemplo, os dados pessoais relativos às condenações penais podem ser tratados por organismos sem fins lucrativos se o tratamento for efetuado a) no âmbito das suas atividades legítimas e mediante garantias adequadas, por uma fundação, associação ou qualquer outro organismo sem fins lucrativos e que prossiga fins políticos, filosóficos, religiosos ou sindicais, e b) desde que i) esse tratamento se refira exclusivamente aos membros ou antigos membros desse organismo ou a pessoas que com ele tenham mantido contactos regulares relacionados com os seus objetivos, e ii) que os dados pessoais não sejam divulgados a terceiros sem o consentimento dos seus titulares. |
| --- | --- |

(41)

Quando o tratamento de dados relacionados com condenações penais e infrações não for efetuado sob o controlo de uma autoridade pública, a section 10(5) do DPA 2018 prevê que esse tratamento só possa ter lugar para as finalidades/nas situações específicas estabelecidas nas partes 1, 2 e 3 do schedule 1 do DPA 2018 e esteja sujeito aos requisitos específicos estabelecidos para cada uma dessas finalidades/situações. Por exemplo, os dados pessoais relativos às condenações penais podem ser tratados por organismos sem fins lucrativos se o tratamento for efetuado a) no âmbito das suas atividades legítimas e mediante garantias adequadas, por uma fundação, associação ou qualquer outro organismo sem fins lucrativos e que prossiga fins políticos, filosóficos, religiosos ou sindicais, e b) desde que i) esse tratamento se refira exclusivamente aos membros ou antigos membros desse organismo ou a pessoas que com ele tenham mantido contactos regulares relacionados com os seus objetivos, e ii) que os dados pessoais não sejam divulgados a terceiros sem o consentimento dos seus titulares.

section 10(5)

schedule 1

| (42) | Além disso, a parte 3 do schedule 1 do DPA 2018 prevê outras circunstâncias em que os dados pessoais relativos às condenações penais podem ser utilizados, que correspondem aos fundamentos jurídicos para o tratamento de dados sensíveis constantes do artigo 9.o, n.o 2, do Regulamento (UE) 2016/679 e do RGPD do Reino Unido (por exemplo, o consentimento do titular dos dados, os interesses vitais de uma pessoa singular se o titular dos dados estiver física ou legalmente incapacitado de dar o seu consentimento, se os dados pessoais já tiverem sido manifestamente tornados públicos pelo seu titular, se o tratamento for necessário à declaração, ao exercício ou à defesa de um direito num processo judicial, etc.). |
| --- | --- |

(42)

Além disso, a parte 3 do schedule 1 do DPA 2018 prevê outras circunstâncias em que os dados pessoais relativos às condenações penais podem ser utilizados, que correspondem aos fundamentos jurídicos para o tratamento de dados sensíveis constantes do artigo 9.o, n.o 2, do Regulamento (UE) 2016/679 e do RGPD do Reino Unido (por exemplo, o consentimento do titular dos dados, os interesses vitais de uma pessoa singular se o titular dos dados estiver física ou legalmente incapacitado de dar o seu consentimento, se os dados pessoais já tiverem sido manifestamente tornados públicos pelo seu titular, se o tratamento for necessário à declaração, ao exercício ou à defesa de um direito num processo judicial, etc.).

schedule 1

o

o

2.5.3   Limitação das finalidades, exatidão, minimização dos dados, limitação da conservação e segurança dos dados

Limitação das finalidades, exatidão, minimização dos dados, limitação da conservação e segurança dos dados

| (43) | Os dados pessoais devem ser tratados com uma finalidade específica e, subsequentemente, utilizados apenas na medida em que essa utilização não seja incompatível com a finalidade do tratamento. |
| --- | --- |

(43)

Os dados pessoais devem ser tratados com uma finalidade específica e, subsequentemente, utilizados apenas na medida em que essa utilização não seja incompatível com a finalidade do tratamento.

| (44) | Este princípio está previsto no artigo 5.o, n.o 1, alínea b), do Regulamento (UE) 2016/679 e foi mantido, sem alterações, no artigo 5.o, n.o 1, alínea b), do RGPD do Reino Unido. As condições relativas ao tratamento posterior compatível nos termos do artigo 6.o, n.o 4, do Regulamento (UE) 2016/679 também foram mantidas sem alterações significativas no artigo 6.o, n.o 4, alíneas a) a e), do RGPD do Reino Unido. |
| --- | --- |

(44)

Este princípio está previsto no artigo 5.o, n.o 1, alínea b), do Regulamento (UE) 2016/679 e foi mantido, sem alterações, no artigo 5.o, n.o 1, alínea b), do RGPD do Reino Unido. As condições relativas ao tratamento posterior compatível nos termos do artigo 6.o, n.o 4, do Regulamento (UE) 2016/679 também foram mantidas sem alterações significativas no artigo 6.o, n.o 4, alíneas a) a e), do RGPD do Reino Unido.

o

o

o

o

o

o

o

o

| (45) | Além disso, os dados devem ser exatos e, quando necessário, objeto de atualização. Devem também ser adequados, pertinentes e não excessivos relativamente às finalidades para que são tratados e, em princípio, não devem ser conservados por mais tempo do que o necessário para as finalidades para que são tratados. |
| --- | --- |

(45)

Além disso, os dados devem ser exatos e, quando necessário, objeto de atualização. Devem também ser adequados, pertinentes e não excessivos relativamente às finalidades para que são tratados e, em princípio, não devem ser conservados por mais tempo do que o necessário para as finalidades para que são tratados.

| (46) | Estes princípios de minimização dos dados, exatidão e limitação da conservação estão estabelecidos no artigo 5.o, n.o 1, alíneas c) a e), do Regulamento (UE) 2016/679 e foram mantidos sem alterações no artigo 5.o, n.o 1, alíneas c) a e), do RGPD do Reino Unido. |
| --- | --- |

(46)

Estes princípios de minimização dos dados, exatidão e limitação da conservação estão estabelecidos no artigo 5.o, n.o 1, alíneas c) a e), do Regulamento (UE) 2016/679 e foram mantidos sem alterações no artigo 5.o, n.o 1, alíneas c) a e), do RGPD do Reino Unido.

o

o

o

o

| (47) | Os dados pessoais também devem ser tratados de uma forma que garanta a sua segurança, incluindo proteção contra tratamento não autorizado ou ilícito e contra perda, destruição ou danos acidentais. Para este fim, os operadores comerciais devem tomar as medidas técnicas e organizativas adequadas para proteger os dados pessoais contra eventuais ameaças. Estas medidas devem ser avaliadas, tendo em consideração o estado atual dos conhecimentos e os custos conexos. |
| --- | --- |

(47)

Os dados pessoais também devem ser tratados de uma forma que garanta a sua segurança, incluindo proteção contra tratamento não autorizado ou ilícito e contra perda, destruição ou danos acidentais. Para este fim, os operadores comerciais devem tomar as medidas técnicas e organizativas adequadas para proteger os dados pessoais contra eventuais ameaças. Estas medidas devem ser avaliadas, tendo em consideração o estado atual dos conhecimentos e os custos conexos.

| (48) | A segurança dos dados está consagrada no direito do Reino Unido por meio do princípio de integridade e confidencialidade constante do artigo 5.o, n.o 1, alínea f), do RGPD do Reino Unido, bem como do seu artigo 32.o sobre a segurança do tratamento. Essas disposições são idênticas às respetivas disposições do Regulamento (UE) 2016/679. Além disso, nas mesmas condições que as estabelecidas nos artigos 33.o e 34.o do Regulamento (UE) 2016/679, o RGPD do Reino Unido exige a notificação de uma violação de dados pessoais à autoridade de controlo (artigo 33.o do RGPD do Reino Unido) e a comunicação de uma violação de dados pessoais ao titular dos dados (artigo 34.o do RGPD do Reino Unido). |
| --- | --- |

(48)

A segurança dos dados está consagrada no direito do Reino Unido por meio do princípio de integridade e confidencialidade constante do artigo 5.o, n.o 1, alínea f), do RGPD do Reino Unido, bem como do seu artigo 32.o sobre a segurança do tratamento. Essas disposições são idênticas às respetivas disposições do Regulamento (UE) 2016/679. Além disso, nas mesmas condições que as estabelecidas nos artigos 33.o e 34.o do Regulamento (UE) 2016/679, o RGPD do Reino Unido exige a notificação de uma violação de dados pessoais à autoridade de controlo (artigo 33.o do RGPD do Reino Unido) e a comunicação de uma violação de dados pessoais ao titular dos dados (artigo 34.o do RGPD do Reino Unido).

o

o

o

o

o

o

o

2.5.4   Transparência

Transparência

| (49) | Os titulares dos dados devem ser informados sobre as principais características do tratamento dos respetivos dados pessoais. |
| --- | --- |

(49)

Os titulares dos dados devem ser informados sobre as principais características do tratamento dos respetivos dados pessoais.

| (50) | Tal é assegurado pelos artigos 13.o e 14.o do RGPD do Reino Unido que, além de um princípio geral de transparência, preveem regras sobre as informações a facultar ao titular dos dados (42). O RGPD do Reino Unido não introduz alterações significativas a estas regras em comparação com os artigos correspondentes do Regulamento (UE) 2016/679. No entanto, como no Regulamento (UE) 2016/679, os requisitos de transparência desses artigos estão sujeitos a várias exceções previstas no DPA 2018 (ver considerandos 55 a 72). |
| --- | --- |

(50)

Tal é assegurado pelos artigos 13.o e 14.o do RGPD do Reino Unido que, além de um princípio geral de transparência, preveem regras sobre as informações a facultar ao titular dos dados (42). O RGPD do Reino Unido não introduz alterações significativas a estas regras em comparação com os artigos correspondentes do Regulamento (UE) 2016/679. No entanto, como no Regulamento (UE) 2016/679, os requisitos de transparência desses artigos estão sujeitos a várias exceções previstas no DPA 2018 (ver considerandos 55 a 72).

o

o

42

2.5.5   Direitos individuais

Direitos individuais

| (51) | Os titulares dos dados devem ter determinados direitos que podem ser exercidos contra o responsável pelo tratamento ou subcontratante, nomeadamente o direito de acesso aos dados, o direito de oposição ao tratamento, e o direito de retificação e apagamento dos dados. Ao mesmo tempo, tais direitos podem estar sujeitos a limitações, na medida em que estas sejam necessárias e proporcionadas para assegurar a segurança pública ou outros objetivos importantes do interesse público geral. |
| --- | --- |

(51)

Os titulares dos dados devem ter determinados direitos que podem ser exercidos contra o responsável pelo tratamento ou subcontratante, nomeadamente o direito de acesso aos dados, o direito de oposição ao tratamento, e o direito de retificação e apagamento dos dados. Ao mesmo tempo, tais direitos podem estar sujeitos a limitações, na medida em que estas sejam necessárias e proporcionadas para assegurar a segurança pública ou outros objetivos importantes do interesse público geral.

2.5.5.1   Direitos materiais

Direitos materiais

| (52) | O RGPD do Reino Unido confere às pessoas singulares os mesmos direitos oponíveis que o Regulamento (UE) 2016/679. As disposições que preveem os direitos das pessoas singulares foram mantidas no RGPD do Reino Unido sem alterações significativas. |
| --- | --- |

(52)

O RGPD do Reino Unido confere às pessoas singulares os mesmos direitos oponíveis que o Regulamento (UE) 2016/679. As disposições que preveem os direitos das pessoas singulares foram mantidas no RGPD do Reino Unido sem alterações significativas.

| (53) | Os direitos incluem o direito de acesso do titular dos dados (artigo 15.o do RGPD do Reino Unido), o direito de retificação (artigo 16.o do RGPD do Reino Unido), o direito ao apagamento dos dados (artigo 17.o do RGPD do Reino Unido), o direito à limitação do tratamento (artigo 18.o do RGPD do Reino Unido), uma obrigação de notificação da retificação ou apagamento dos dados pessoais ou limitação do tratamento (artigo 19.o do RGPD do Reino Unido), o direito de portabilidade dos dados (artigo 20.o do RGPD do Reino Unido), e o direito de oposição (artigo 21.o do RGPD do Reino Unido) (43). Este último inclui também o direito do titular dos dados de se opor ao tratamento de dados pessoais para efeitos de comercialização direta previsto no artigo 21.o, n.os 2 e 3, do Regulamento (UE) 2016/679. Além disso, nos termos da section 122 do DPA 2018, o comissário para a informação deve elaborar um código de boas práticas relativamente à realização da comercialização direta, de acordo com os requisitos da legislação em matéria de proteção de dados [e dos Privacy and Electronic Communications (EC Directive) Regulations 2003 (Regulamentos de 2003 relativos à Privacidade e às Comunicações Eletrónicas (Diretiva CE))] e outras orientações para promover as boas práticas na comercialização direta que considere adequadas. O Gabinete do Comissário para a Informação (Information Commissioner's Office, ICO) está atualmente a elaborar um código relativo à comercialização direta (44). |
| --- | --- |

(53)

Os direitos incluem o direito de acesso do titular dos dados (artigo 15.o do RGPD do Reino Unido), o direito de retificação (artigo 16.o do RGPD do Reino Unido), o direito ao apagamento dos dados (artigo 17.o do RGPD do Reino Unido), o direito à limitação do tratamento (artigo 18.o do RGPD do Reino Unido), uma obrigação de notificação da retificação ou apagamento dos dados pessoais ou limitação do tratamento (artigo 19.o do RGPD do Reino Unido), o direito de portabilidade dos dados (artigo 20.o do RGPD do Reino Unido), e o direito de oposição (artigo 21.o do RGPD do Reino Unido) (43). Este último inclui também o direito do titular dos dados de se opor ao tratamento de dados pessoais para efeitos de comercialização direta previsto no artigo 21.o, n.os 2 e 3, do Regulamento (UE) 2016/679. Além disso, nos termos da section 122 do DPA 2018, o comissário para a informação deve elaborar um código de boas práticas relativamente à realização da comercialização direta, de acordo com os requisitos da legislação em matéria de proteção de dados [e dos Privacy and Electronic Communications (EC Directive) Regulations 2003 (Regulamentos de 2003 relativos à Privacidade e às Comunicações Eletrónicas (Diretiva CE))] e outras orientações para promover as boas práticas na comercialização direta que considere adequadas. O Gabinete do Comissário para a Informação (Information Commissioner's Office, ICO) está atualmente a elaborar um código relativo à comercialização direta (44).

o

o

o

o

o

o

o

43

o

os

section 122

Privacy and Electronic Communications (EC Directive) Regulations 2003

Information Commissioner's Office

44

| (54) | O direito do titular dos dados de não ficar sujeito a nenhuma decisão tomada exclusivamente com base no tratamento automatizado, que produza efeitos na sua esfera jurídica ou que o afete significativamente de forma similar, conforme previsto no artigo 22.o do RGPD, também foi mantido no RGPD do Reino Unido sem alterações significativas. No entanto, foi aditado um novo n.o 3-A para referir que a section 14 do DPA 2018 estabelece garantias para salvaguardar os direitos, as liberdades e os interesses legítimos dos titulares dos dados quando o tratamento é efetuado ao abrigo do artigo 22.o, n.o 2, alínea b), do RGPD do Reino Unido, o que apenas se aplica quando a base para tal decisão é uma autorização ou requisito ao abrigo do direito do Reino Unido, não se aplicando quando a decisão é necessária nos termos de um contrato ou tomada com o consentimento explícito do titular dos dados. Quando se aplica a section 14 do DPA 2018, o responsável pelo tratamento, assim que razoavelmente exequível, tem de notificar o titular dos dados por escrito de que foi tomada uma decisão exclusivamente com base no tratamento automatizado. No prazo de um mês após receber a notificação, o titular dos dados tem o direito de solicitar que o responsável pelo tratamento reconsidere a decisão ou tome uma nova que não se baseie exclusivamente no tratamento automatizado. O ministro da tutela está habilitado a adotar garantias adicionais no que respeita à tomada de decisões automatizada. Este poder ainda não foi exercido. |
| --- | --- |

(54)

O direito do titular dos dados de não ficar sujeito a nenhuma decisão tomada exclusivamente com base no tratamento automatizado, que produza efeitos na sua esfera jurídica ou que o afete significativamente de forma similar, conforme previsto no artigo 22.o do RGPD, também foi mantido no RGPD do Reino Unido sem alterações significativas. No entanto, foi aditado um novo n.o 3-A para referir que a section 14 do DPA 2018 estabelece garantias para salvaguardar os direitos, as liberdades e os interesses legítimos dos titulares dos dados quando o tratamento é efetuado ao abrigo do artigo 22.o, n.o 2, alínea b), do RGPD do Reino Unido, o que apenas se aplica quando a base para tal decisão é uma autorização ou requisito ao abrigo do direito do Reino Unido, não se aplicando quando a decisão é necessária nos termos de um contrato ou tomada com o consentimento explícito do titular dos dados. Quando se aplica a section 14 do DPA 2018, o responsável pelo tratamento, assim que razoavelmente exequível, tem de notificar o titular dos dados por escrito de que foi tomada uma decisão exclusivamente com base no tratamento automatizado. No prazo de um mês após receber a notificação, o titular dos dados tem o direito de solicitar que o responsável pelo tratamento reconsidere a decisão ou tome uma nova que não se baseie exclusivamente no tratamento automatizado. O ministro da tutela está habilitado a adotar garantias adicionais no que respeita à tomada de decisões automatizada. Este poder ainda não foi exercido.

o

o

section 14

o

o

section 14

2.5.5.2   Limitações aos direitos individuais e outras disposições

Limitações aos direitos individuais e outras disposições

| (55) | O DPA 2018 estabelece várias limitações aos direitos individuais, que se enquadram no âmbito do artigo 23.o do RGPD do Reino Unido. Não foram introduzidas quaisquer limitações neste quadro relativamente ao direito de oposição à comercialização direta, conforme previsto no artigo 21.o, n.os 2 e 3, do RGPD do Reino Unido, nem ao direito de não ficar sujeito a uma decisão automatizada, conforme previsto no artigo 22.o do RGPD do Reino Unido. |
| --- | --- |

(55)

O DPA 2018 estabelece várias limitações aos direitos individuais, que se enquadram no âmbito do artigo 23.o do RGPD do Reino Unido. Não foram introduzidas quaisquer limitações neste quadro relativamente ao direito de oposição à comercialização direta, conforme previsto no artigo 21.o, n.os 2 e 3, do RGPD do Reino Unido, nem ao direito de não ficar sujeito a uma decisão automatizada, conforme previsto no artigo 22.o do RGPD do Reino Unido.

o

o

os

o

| (56) | As limitações estão pormenorizadas nos schedules 2 a 4 do DPA 2018. As autoridades do Reino Unido explicaram que seguem dois princípios: o princípio da especificidade (adotando uma abordagem granular, dividindo limitações amplas em disposições múltiplas e mais específicas) e o princípio da condicionalidade (cada disposição é complementada por garantias sob a forma de limitações ou condições para evitar abusos) (45). |
| --- | --- |

(56)

As limitações estão pormenorizadas nos schedules 2 a 4 do DPA 2018. As autoridades do Reino Unido explicaram que seguem dois princípios: o princípio da especificidade (adotando uma abordagem granular, dividindo limitações amplas em disposições múltiplas e mais específicas) e o princípio da condicionalidade (cada disposição é complementada por garantias sob a forma de limitações ou condições para evitar abusos) (45).

schedules 2

4

45

| (57) | As limitações descritas no artigo 23.o, n.o 1, do RGPD do Reino Unido foram concebidas por forma a garantir que apenas se aplicam em circunstâncias específicas, quando constituam uma medida necessária numa sociedade democrática e proporcionada ao objetivo legítimo visado. Além disso, em conformidade com a jurisprudência constante sobre a interpretação das limitações, uma isenção ao regime de proteção de dados só pode ser aplicada em qualquer caso particular se for necessário e proporcional fazê-lo (46). O critério da necessidade foi exigido como «um critério rigoroso, que exige que qualquer ingerência nos direitos do titular dos dados seja proporcional à gravidade da ameaça ao interesse público. Por conseguinte, o exercício envolve uma análise clássica da proporcionalidade (47)». |
| --- | --- |

(57)

As limitações descritas no artigo 23.o, n.o 1, do RGPD do Reino Unido foram concebidas por forma a garantir que apenas se aplicam em circunstâncias específicas, quando constituam uma medida necessária numa sociedade democrática e proporcionada ao objetivo legítimo visado. Além disso, em conformidade com a jurisprudência constante sobre a interpretação das limitações, uma isenção ao regime de proteção de dados só pode ser aplicada em qualquer caso particular se for necessário e proporcional fazê-lo (46). O critério da necessidade foi exigido como «um critério rigoroso, que exige que qualquer ingerência nos direitos do titular dos dados seja proporcional à gravidade da ameaça ao interesse público. Por conseguinte, o exercício envolve uma análise clássica da proporcionalidade (47)».

o

o

46

47

| (58) | O objetivo visado por estas limitações corresponde aos referidos no artigo 23.o do Regulamento (UE) 2016/679, com exceção das limitações relativas à segurança do Estado e à defesa, que são regulamentadas pela section 26 do DPA 2018, mas que estão sujeitas aos mesmos requisitos de necessidade e proporcionalidade (ver considerandos 63 a 66). |
| --- | --- |

(58)

O objetivo visado por estas limitações corresponde aos referidos no artigo 23.o do Regulamento (UE) 2016/679, com exceção das limitações relativas à segurança do Estado e à defesa, que são regulamentadas pela section 26 do DPA 2018, mas que estão sujeitas aos mesmos requisitos de necessidade e proporcionalidade (ver considerandos 63 a 66).

o

section 26

| (59) | Algumas limitações, por exemplo, as relacionadas com a prevenção ou deteção da criminalidade, com a detenção ou repressão dos infratores, e com a liquidação ou cobrança de impostos ou taxas (48) permitem limitações a todos os direitos individuais e obrigações de transparência (excluindo os direitos nos termos do artigo 21.o, n.o 2, e do artigo 22.o). O alcance de outras limitações está limitado às obrigações de transparência e aos direitos de acesso, como as limitações relativas à confidencialidade das comunicações entre advogados e clientes (49), ao direito de não cumprir o requisito de fornecer informações suscetíveis de levar à autoincriminação (50), e ao financiamento das empresas, nomeadamente a prevenção do abuso de informação privilegiada (51). Poucas limitações permitem uma limitação à obrigação do responsável pelo tratamento de comunicar uma violação de dados a um titular dos dados e aos princípios da limitação das finalidades e da licitude, lealdade e transparência do tratamento (52). |
| --- | --- |

(59)

Algumas limitações, por exemplo, as relacionadas com a prevenção ou deteção da criminalidade, com a detenção ou repressão dos infratores, e com a liquidação ou cobrança de impostos ou taxas (48) permitem limitações a todos os direitos individuais e obrigações de transparência (excluindo os direitos nos termos do artigo 21.o, n.o 2, e do artigo 22.o). O alcance de outras limitações está limitado às obrigações de transparência e aos direitos de acesso, como as limitações relativas à confidencialidade das comunicações entre advogados e clientes (49), ao direito de não cumprir o requisito de fornecer informações suscetíveis de levar à autoincriminação (50), e ao financiamento das empresas, nomeadamente a prevenção do abuso de informação privilegiada (51). Poucas limitações permitem uma limitação à obrigação do responsável pelo tratamento de comunicar uma violação de dados a um titular dos dados e aos princípios da limitação das finalidades e da licitude, lealdade e transparência do tratamento (52).

48

o

o

o

49

50

51

52

| (60) | Algumas limitações aplicam-se automaticamente «na íntegra» a um determinado tipo de tratamento de dados pessoais (por exemplo, a aplicação das obrigações de transparência e dos direitos individuais é excluída quando os dados pessoais são tratados para efeitos de avaliação da adequação de uma pessoa para o exercício de funções jurisdicionais ou quando os dados pessoais são tratados por um tribunal ou pessoa singular, no exercício de uma competência judicial). |
| --- | --- |

(60)

Algumas limitações aplicam-se automaticamente «na íntegra» a um determinado tipo de tratamento de dados pessoais (por exemplo, a aplicação das obrigações de transparência e dos direitos individuais é excluída quando os dados pessoais são tratados para efeitos de avaliação da adequação de uma pessoa para o exercício de funções jurisdicionais ou quando os dados pessoais são tratados por um tribunal ou pessoa singular, no exercício de uma competência judicial).

| (61) | No entanto, na maioria dos casos, o número pertinente do schedule 2 do DPA 2018 especifica que a limitação só se aplica quando (e na medida em que) a aplicação das disposições «seria suscetível de prejudicar» o objetivo legítimo visado por essa limitação: por exemplo, as disposições referidas no RGPD do Reino Unido não se aplicam aos dados pessoais tratados para a prevenção ou deteção da criminalidade, para a detenção ou repressão dos infratores, ou para a liquidação ou cobrança de um imposto ou taxa «na medida em que a aplicação dessas disposições seria suscetível de prejudicar» qualquer uma dessas questões (53). |
| --- | --- |

(61)

No entanto, na maioria dos casos, o número pertinente do schedule 2 do DPA 2018 especifica que a limitação só se aplica quando (e na medida em que) a aplicação das disposições «seria suscetível de prejudicar» o objetivo legítimo visado por essa limitação: por exemplo, as disposições referidas no RGPD do Reino Unido não se aplicam aos dados pessoais tratados para a prevenção ou deteção da criminalidade, para a detenção ou repressão dos infratores, ou para a liquidação ou cobrança de um imposto ou taxa «na medida em que a aplicação dessas disposições seria suscetível de prejudicar» qualquer uma dessas questões (53).

schedule 2

53

| (62) | O conceito «seria suscetível de prejudicar» tem sido interpretado repetidamente pelos tribunais do Reino Unido como «uma probabilidade muito significativa e importante de prejudicar os interesses públicos identificados» (54). Uma limitação sujeita ao critério do prejuízo só pode, por conseguinte, ser invocada se e na medida em que exista uma probabilidade muito significativa e importante de que a concessão de um determinado direito prejudicaria o interesse público em causa. O responsável pelo tratamento é responsável por avaliar numa base casuística se estas condições são cumpridas (55). |
| --- | --- |

(62)

O conceito «seria suscetível de prejudicar» tem sido interpretado repetidamente pelos tribunais do Reino Unido como «uma probabilidade muito significativa e importante de prejudicar os interesses públicos identificados» (54). Uma limitação sujeita ao critério do prejuízo só pode, por conseguinte, ser invocada se e na medida em que exista uma probabilidade muito significativa e importante de que a concessão de um determinado direito prejudicaria o interesse público em causa. O responsável pelo tratamento é responsável por avaliar numa base casuística se estas condições são cumpridas (55).

54

55

| (63) | Além das limitações contidas no schedule 2 do DPA 2018, a section 26 da referida lei prevê uma isenção que pode ser aplicada a certas disposições do RGPD do Reino Unido e do DPA 2018 caso seja necessária para salvaguardar a segurança nacional ou para fins de defesa. Tal isenção aplica-se aos princípios da proteção de dados (exceto o princípio da licitude), às obrigações de transparência, aos direitos do titular dos dados, à obrigação de notificar uma violação de dados, às regras sobre transferências internacionais, a alguns dos deveres e poderes do comissário para a informação, e às regras sobre vias de recurso, responsabilidades e sanções, exceto a disposição sobre as condições gerais para a aplicação de coimas prevista no artigo 83.o do RGPD do Reino Unido e a disposição sobre sanções do artigo 84.o do RGPD do Reino Unido. Além disso, a section 28 do DPA 2018 altera a aplicação do artigo 9.o, n.o 1, para permitir o tratamento de categorias especiais de dados no artigo 9.o, n.o 1, do RGPD do Reino Unido, na medida em que o tratamento seja efetuado para salvaguardar a segurança nacional ou para fins de defesa, e com garantias adequadas para os direitos e liberdades dos titulares dos dados (56). |
| --- | --- |

(63)

Além das limitações contidas no schedule 2 do DPA 2018, a section 26 da referida lei prevê uma isenção que pode ser aplicada a certas disposições do RGPD do Reino Unido e do DPA 2018 caso seja necessária para salvaguardar a segurança nacional ou para fins de defesa. Tal isenção aplica-se aos princípios da proteção de dados (exceto o princípio da licitude), às obrigações de transparência, aos direitos do titular dos dados, à obrigação de notificar uma violação de dados, às regras sobre transferências internacionais, a alguns dos deveres e poderes do comissário para a informação, e às regras sobre vias de recurso, responsabilidades e sanções, exceto a disposição sobre as condições gerais para a aplicação de coimas prevista no artigo 83.o do RGPD do Reino Unido e a disposição sobre sanções do artigo 84.o do RGPD do Reino Unido. Além disso, a section 28 do DPA 2018 altera a aplicação do artigo 9.o, n.o 1, para permitir o tratamento de categorias especiais de dados no artigo 9.o, n.o 1, do RGPD do Reino Unido, na medida em que o tratamento seja efetuado para salvaguardar a segurança nacional ou para fins de defesa, e com garantias adequadas para os direitos e liberdades dos titulares dos dados (56).

schedule 2

section 26

o

o

section 28

o

o

o

o

56

| (64) | A isenção só pode ser aplicada na medida em que seja necessária para salvaguardar a segurança ou defesa nacional. Como as outras isenções previstas pelo DPA 2018, deve ser considerada e invocada pelo responsável pelo tratamento numa base casuística. Além disso, qualquer aplicação da isenção deve estar em conformidade com as normas em matéria de direitos humanos (sustentadas pelo Human Rights Act 1998), segundo as quais qualquer ingerência nos direitos de privacidade deve ser necessária e proporcionada numa sociedade democrática (57). |
| --- | --- |

(64)

A isenção só pode ser aplicada na medida em que seja necessária para salvaguardar a segurança ou defesa nacional. Como as outras isenções previstas pelo DPA 2018, deve ser considerada e invocada pelo responsável pelo tratamento numa base casuística. Além disso, qualquer aplicação da isenção deve estar em conformidade com as normas em matéria de direitos humanos (sustentadas pelo Human Rights Act 1998), segundo as quais qualquer ingerência nos direitos de privacidade deve ser necessária e proporcionada numa sociedade democrática (57).

Human Rights Act 1998

57

| (65) | Esta interpretação da isenção é confirmada pelo ICO, que emitiu orientações pormenorizadas sobre a aplicação da isenção relativa à defesa e à segurança nacional, clarificando que deve ser analisada e aplicada pelo responsável pelo tratamento numa base casuística (58). Em especial, as orientações sublinham que «[n]ão se trata de uma isenção geral» e que, a fim de a invocar, «não basta que os dados sejam tratados para fins de segurança nacional». Em contrapartida, o responsável pelo tratamento que a invoque deve «demonstrar que existe uma possibilidade real de efeitos adversos na segurança nacional» e, quando necessário, espera-se que o responsável pelo tratamento «faculte [ao ICO] elementos de prova sobre as razões pelas quais utilizou esta isenção». As orientações incluem uma lista de controlo e uma série de exemplos a fim de clarificar melhor as condições em que esta isenção pode ser invocada. |
| --- | --- |

(65)

Esta interpretação da isenção é confirmada pelo ICO, que emitiu orientações pormenorizadas sobre a aplicação da isenção relativa à defesa e à segurança nacional, clarificando que deve ser analisada e aplicada pelo responsável pelo tratamento numa base casuística (58). Em especial, as orientações sublinham que «[n]ão se trata de uma isenção geral» e que, a fim de a invocar, «não basta que os dados sejam tratados para fins de segurança nacional». Em contrapartida, o responsável pelo tratamento que a invoque deve «demonstrar que existe uma possibilidade real de efeitos adversos na segurança nacional» e, quando necessário, espera-se que o responsável pelo tratamento «faculte [ao ICO] elementos de prova sobre as razões pelas quais utilizou esta isenção». As orientações incluem uma lista de controlo e uma série de exemplos a fim de clarificar melhor as condições em que esta isenção pode ser invocada.

58

| (66) | Por conseguinte, o facto de os dados serem tratados para fins de segurança ou defesa nacional não é, por si só, suficiente para que a isenção seja aplicada. O responsável pelo tratamento tem de considerar as consequências reais para a segurança nacional se tivesse de cumprir a disposição específica em matéria de proteção de dados. A isenção só pode ser aplicada às disposições específicas que tenham sido identificadas como apresentando o risco e tem de ser aplicada da forma mais restritiva possível (59). |
| --- | --- |

(66)

Por conseguinte, o facto de os dados serem tratados para fins de segurança ou defesa nacional não é, por si só, suficiente para que a isenção seja aplicada. O responsável pelo tratamento tem de considerar as consequências reais para a segurança nacional se tivesse de cumprir a disposição específica em matéria de proteção de dados. A isenção só pode ser aplicada às disposições específicas que tenham sido identificadas como apresentando o risco e tem de ser aplicada da forma mais restritiva possível (59).

59

| (67) | Esta abordagem foi confirmada pelo Information Tribunal (tribunal especializado em questões de informação) (60). No processo Baker/Secretary of State for the Home Department («Baker/Secretary of State»
  ), o tribunal determinou que era ilegal aplicar a isenção relativa à segurança nacional como uma isenção geral aos pedidos de acesso recebidos pelos serviços de informações. Em vez disso, a isenção tinha de ser aplicada caso a caso, analisando cada pedido em função do seu mérito e tendo em conta o direito das pessoas ao respeito pela sua vida privada (61). |
| --- | --- |

(67)

Esta abordagem foi confirmada pelo Information Tribunal (tribunal especializado em questões de informação) (60). No processo Baker/Secretary of State for the Home Department («Baker/Secretary of State»
  ), o tribunal determinou que era ilegal aplicar a isenção relativa à segurança nacional como uma isenção geral aos pedidos de acesso recebidos pelos serviços de informações. Em vez disso, a isenção tinha de ser aplicada caso a caso, analisando cada pedido em função do seu mérito e tendo em conta o direito das pessoas ao respeito pela sua vida privada (61).

Information Tribunal

60

Baker/Secretary of State for the Home Department

Baker/Secretary of State»

,

61

2.5.6   Limitações para dados pessoais tratados para fins jornalísticos, artísticos, académicos e literários, bem como de arquivo e de investigação

Limitações para dados pessoais tratados para fins jornalísticos, artísticos, académicos e literários, bem como de arquivo e de investigação

| (68) | O artigo 85.o, n.o 2, do RGPD do Reino Unido permite que se preveja que os dados pessoais tratados para fins jornalísticos, artísticos, académicos e literários estejam isentos de várias disposições do RGPD do Reino Unido. O schedule 2, parte 5, do DPA 2018 estabelece as isenções para o tratamento para estes fins. Prevê isenções dos princípios da proteção de dados (exceto do princípio de integridade e confidencialidade), dos fundamentos jurídicos para o tratamento (incluindo as categorias especiais de dados e os dados relativos a condenações penais, etc.), das condições de consentimento, das obrigações de transparência, dos direitos dos titulares dos dados, da obrigação de notificar violações de dados, do requisito de consultar o comissário para a informação antes do tratamento de elevado risco, e das regras relativas às transferências internacionais (62). A este respeito, o RGPD do Reino Unido não se afasta de forma significativa do Regulamento (UE) 2016/679, que no seu artigo 85.o também prevê a possibilidade de isentar o tratamento efetuado para fins jornalísticos ou de expressão académica, artística ou literária de vários requisitos do Regulamento (UE) 2016/679. As disposições do DPA 2018, nomeadamente o schedule 2, parte 5, são compatíveis com o RGPD do Reino Unido. |
| --- | --- |

(68)

O artigo 85.o, n.o 2, do RGPD do Reino Unido permite que se preveja que os dados pessoais tratados para fins jornalísticos, artísticos, académicos e literários estejam isentos de várias disposições do RGPD do Reino Unido. O schedule 2, parte 5, do DPA 2018 estabelece as isenções para o tratamento para estes fins. Prevê isenções dos princípios da proteção de dados (exceto do princípio de integridade e confidencialidade), dos fundamentos jurídicos para o tratamento (incluindo as categorias especiais de dados e os dados relativos a condenações penais, etc.), das condições de consentimento, das obrigações de transparência, dos direitos dos titulares dos dados, da obrigação de notificar violações de dados, do requisito de consultar o comissário para a informação antes do tratamento de elevado risco, e das regras relativas às transferências internacionais (62). A este respeito, o RGPD do Reino Unido não se afasta de forma significativa do Regulamento (UE) 2016/679, que no seu artigo 85.o também prevê a possibilidade de isentar o tratamento efetuado para fins jornalísticos ou de expressão académica, artística ou literária de vários requisitos do Regulamento (UE) 2016/679. As disposições do DPA 2018, nomeadamente o schedule 2, parte 5, são compatíveis com o RGPD do Reino Unido.

o

o

schedule 2

62

o

schedule 2

| (69) | O exercício de equilíbrio essencial a realizar ao abrigo do artigo 85.o do RGPD do Reino Unido está relacionado com a questão de saber se uma isenção das regras relativas à proteção de dados referida no considerando 68 é «necessária para conciliar o direito à proteção de dados pessoais com a liberdade de expressão e de informação» (63). De acordo com o schedule 2, n.o 26, pontos 2 e 3, do DPA 2018, o Reino Unido aplica um critério de «convicção razoável» para que este equilíbrio seja alcançado. Para que uma isenção seja justificada, o responsável pelo tratamento deve estar razoavelmente convicto de que i) a publicação é do interesse público; e que ii) a aplicação da disposição aplicável do RGPD seria incompatível com os fins jornalísticos, académicos, artísticos ou literários. Como confirmado pela jurisprudência (64), o critério da «convicção razoável» tem uma componente subjetiva e uma componente objetiva: não basta que o responsável pelo tratamento esteja convicto de que o cumprimento era incompatível. A sua convicção tem de ser razoável, ou seja, tem de poder ser partilhada por uma pessoa razoável, que conheça os factos pertinentes. Por conseguinte, o responsável pelo tratamento deve exercer a diligência devida ao formar a sua convicção, a fim de conseguir demonstrar razoabilidade. De acordo com as explicações fornecidas pelas autoridades do Reino Unido, o critério da «convicção razoável» deve ser aplicado a cada isenção (65). Se as condições estiverem cumpridas, a isenção é considerada necessária e proporcionada nos termos do direito do Reino Unido. |
| --- | --- |

(69)

O exercício de equilíbrio essencial a realizar ao abrigo do artigo 85.o do RGPD do Reino Unido está relacionado com a questão de saber se uma isenção das regras relativas à proteção de dados referida no considerando 68 é «necessária para conciliar o direito à proteção de dados pessoais com a liberdade de expressão e de informação» (63). De acordo com o schedule 2, n.o 26, pontos 2 e 3, do DPA 2018, o Reino Unido aplica um critério de «convicção razoável» para que este equilíbrio seja alcançado. Para que uma isenção seja justificada, o responsável pelo tratamento deve estar razoavelmente convicto de que i) a publicação é do interesse público; e que ii) a aplicação da disposição aplicável do RGPD seria incompatível com os fins jornalísticos, académicos, artísticos ou literários. Como confirmado pela jurisprudência (64), o critério da «convicção razoável» tem uma componente subjetiva e uma componente objetiva: não basta que o responsável pelo tratamento esteja convicto de que o cumprimento era incompatível. A sua convicção tem de ser razoável, ou seja, tem de poder ser partilhada por uma pessoa razoável, que conheça os factos pertinentes. Por conseguinte, o responsável pelo tratamento deve exercer a diligência devida ao formar a sua convicção, a fim de conseguir demonstrar razoabilidade. De acordo com as explicações fornecidas pelas autoridades do Reino Unido, o critério da «convicção razoável» deve ser aplicado a cada isenção (65). Se as condições estiverem cumpridas, a isenção é considerada necessária e proporcionada nos termos do direito do Reino Unido.

o

63

schedule 2

o

64

65

| (70) | Nos termos da section 124 do DPA 2018, o ICO deve elaborar um código de boas práticas sobre o jornalismo e a proteção de dados. Os trabalhos relativos a este código estão em curso. Foram emitidas orientações sobre a matéria ao abrigo do Data Protection Act 1998, que salientam, nomeadamente, que, para se poder invocar esta isenção, não basta afirmar simplesmente que o cumprimento seria um inconveniente para as atividades jornalísticas, devendo existir um argumento claro de que a disposição em causa apresenta um obstáculo ao jornalismo responsável (66). A entidade reguladora das telecomunicações do Reino Unido, OFCOM, e a BBC, nas suas orientações editoriais, também publicaram orientações relativas à aplicação do critério de interesse público e ao equilíbrio entre o interesse público e o interesse individual na privacidade (67). Em particular, tais orientações dão exemplos de informações que podem ser consideradas de interesse público, e explicam a necessidade de poder demonstrar que o interesse público prevalece relativamente aos direitos à privacidade nas circunstâncias específicas do caso. |
| --- | --- |

(70)

Nos termos da section 124 do DPA 2018, o ICO deve elaborar um código de boas práticas sobre o jornalismo e a proteção de dados. Os trabalhos relativos a este código estão em curso. Foram emitidas orientações sobre a matéria ao abrigo do Data Protection Act 1998, que salientam, nomeadamente, que, para se poder invocar esta isenção, não basta afirmar simplesmente que o cumprimento seria um inconveniente para as atividades jornalísticas, devendo existir um argumento claro de que a disposição em causa apresenta um obstáculo ao jornalismo responsável (66). A entidade reguladora das telecomunicações do Reino Unido, OFCOM, e a BBC, nas suas orientações editoriais, também publicaram orientações relativas à aplicação do critério de interesse público e ao equilíbrio entre o interesse público e o interesse individual na privacidade (67). Em particular, tais orientações dão exemplos de informações que podem ser consideradas de interesse público, e explicam a necessidade de poder demonstrar que o interesse público prevalece relativamente aos direitos à privacidade nas circunstâncias específicas do caso.

section 124

Data Protection Act 1998

66

67

| (71) | Conforme previsto no artigo 89.o do RGPD, os dados pessoais tratados para fins de arquivo de interesse público, para fins de investigação científica ou histórica ou para fins estatísticos também podem ser isentos de várias disposições do RGPD do Reino Unido, devidamente especificadas (68). No que respeita à investigação e à produção de estatísticas, são possíveis isenções às disposições do RGPD do Reino Unido relacionadas com a confirmação do tratamento, o acesso aos dados e as garantias para transferências de países terceiros, o direito de retificação, a limitação do tratamento e a objeção ao tratamento. No que respeita ao arquivo de interesse público, são também possíveis isenções da obrigação de notificação da retificação ou apagamento dos dados pessoais ou limitação do tratamento e do direito de portabilidade dos dados. |
| --- | --- |

(71)

Conforme previsto no artigo 89.o do RGPD, os dados pessoais tratados para fins de arquivo de interesse público, para fins de investigação científica ou histórica ou para fins estatísticos também podem ser isentos de várias disposições do RGPD do Reino Unido, devidamente especificadas (68). No que respeita à investigação e à produção de estatísticas, são possíveis isenções às disposições do RGPD do Reino Unido relacionadas com a confirmação do tratamento, o acesso aos dados e as garantias para transferências de países terceiros, o direito de retificação, a limitação do tratamento e a objeção ao tratamento. No que respeita ao arquivo de interesse público, são também possíveis isenções da obrigação de notificação da retificação ou apagamento dos dados pessoais ou limitação do tratamento e do direito de portabilidade dos dados.

o

68

| (72) | Nos termos do schedule 2, n.o 27, ponto 1, e n.o 28, ponto 1, do DPA 2018, as isenções das disposições indicadas do RGPD do Reino Unido são possíveis sempre que a aplicação dessas disposições «impeça ou prejudique gravemente a realização» dos objetivos em questão (69). |
| --- | --- |

(72)

Nos termos do schedule 2, n.o 27, ponto 1, e n.o 28, ponto 1, do DPA 2018, as isenções das disposições indicadas do RGPD do Reino Unido são possíveis sempre que a aplicação dessas disposições «impeça ou prejudique gravemente a realização» dos objetivos em questão (69).

schedule 2

o

o

69

| (73) | Dada a sua relevância para um exercício efetivo dos direitos individuais, qualquer desenvolvimento pertinente no que respeita à interpretação e à aplicação prática das isenções acima referidas (para além da relativa à manutenção de um controlo efetivo da imigração, conforme explicado no considerando 6), incluindo qualquer desenvolvimento futuro da jurisprudência e das orientações e medidas de execução do ICO, será devidamente tida em conta no contexto do controlo contínuo da presente decisão (70). |
| --- | --- |

(73)

Dada a sua relevância para um exercício efetivo dos direitos individuais, qualquer desenvolvimento pertinente no que respeita à interpretação e à aplicação prática das isenções acima referidas (para além da relativa à manutenção de um controlo efetivo da imigração, conforme explicado no considerando 6), incluindo qualquer desenvolvimento futuro da jurisprudência e das orientações e medidas de execução do ICO, será devidamente tida em conta no contexto do controlo contínuo da presente decisão (70).

70

2.5.7   Restrições relativas a transferências ulteriores

Restrições relativas a transferências ulteriores

| (74) | O nível de proteção conferido aos dados pessoais transferidos da União Europeia para responsáveis pelo tratamento ou subcontratantes no Reino Unido não pode ser prejudicado pela transferência subsequente desses dados para destinatários num país terceiro. As referidas «transferências ulteriores», que constituem, da perspetiva do responsável pelo tratamento ou subcontratante do Reino Unido, transferências internacionais do Reino Unido, apenas devem ser permitidas nos casos em que o destinatário fora do Reino Unido esteja, pelo seu lado, sujeito a normas que assegurem um nível de proteção semelhante ao garantido no âmbito da ordem jurídica do Reino Unido. Por esse motivo, a aplicação das regras do RGPD do Reino Unido e do DPA 2018 relativas às transferências internacionais de dados pessoais constituem um fator importante para garantir a continuidade da proteção no caso dos dados pessoais transferidos da União Europeia para o Reino Unido ao abrigo da presente decisão. |
| --- | --- |

(74)

O nível de proteção conferido aos dados pessoais transferidos da União Europeia para responsáveis pelo tratamento ou subcontratantes no Reino Unido não pode ser prejudicado pela transferência subsequente desses dados para destinatários num país terceiro. As referidas «transferências ulteriores», que constituem, da perspetiva do responsável pelo tratamento ou subcontratante do Reino Unido, transferências internacionais do Reino Unido, apenas devem ser permitidas nos casos em que o destinatário fora do Reino Unido esteja, pelo seu lado, sujeito a normas que assegurem um nível de proteção semelhante ao garantido no âmbito da ordem jurídica do Reino Unido. Por esse motivo, a aplicação das regras do RGPD do Reino Unido e do DPA 2018 relativas às transferências internacionais de dados pessoais constituem um fator importante para garantir a continuidade da proteção no caso dos dados pessoais transferidos da União Europeia para o Reino Unido ao abrigo da presente decisão.

| (75) | O regime relativo às transferências internacionais de dados pessoais do Reino Unido é estabelecido nos artigos 44.o a 49.o do RGPD do Reino Unido, completado pelo DPA 2018, e é, em substância, idêntico às regras previstas no capítulo V do Regulamento (UE) 2016/679 (71). As transferências de dados pessoais para países terceiros ou organizações internacionais só podem ser efetuadas se existirem regulamentos de adequação [o equivalente do Reino Unido a uma decisão de adequação ao abrigo do Regulamento (UE) 2016/679] ou, na falta de regulamentos de adequação, caso o responsável pelo tratamento ou o subcontratante tenha apresentado garantias adequadas nos termos do artigo 46.o do RGPD do Reino Unido. Na falta de regulamentos de adequação ou de garantias adequadas, uma transferência só pode ser efetuada com base nas derrogações estabelecidas no artigo 49.o do RGPD do Reino Unido. |
| --- | --- |

(75)

O regime relativo às transferências internacionais de dados pessoais do Reino Unido é estabelecido nos artigos 44.o a 49.o do RGPD do Reino Unido, completado pelo DPA 2018, e é, em substância, idêntico às regras previstas no capítulo V do Regulamento (UE) 2016/679 (71). As transferências de dados pessoais para países terceiros ou organizações internacionais só podem ser efetuadas se existirem regulamentos de adequação [o equivalente do Reino Unido a uma decisão de adequação ao abrigo do Regulamento (UE) 2016/679] ou, na falta de regulamentos de adequação, caso o responsável pelo tratamento ou o subcontratante tenha apresentado garantias adequadas nos termos do artigo 46.o do RGPD do Reino Unido. Na falta de regulamentos de adequação ou de garantias adequadas, uma transferência só pode ser efetuada com base nas derrogações estabelecidas no artigo 49.o do RGPD do Reino Unido.

o

o

71

o

o

| (76) | Os regulamentos de adequação efetuados pelo ministro da tutela podem estipular que um país terceiro (ou território ou setor de um país terceiro), uma organização internacional ou uma descrição (72) desse país, território, setor, ou organização assegura um nível adequado de proteção de dados pessoais. Ao avaliar a adequação do nível de proteção, o ministro da tutela deve ter em conta exatamente os mesmos elementos que a Comissão é obrigada a avaliar, ao abrigo do artigo 45.o, n.o 2, alíneas a) a c), do Regulamento (UE) 2016/679, interpretado em conjunto com o considerando 104 do Regulamento (UE) 2016/679 e a jurisprudência da UE mantida. Tal significa que, ao avaliar a adequação do nível de proteção de um país terceiro, a norma pertinente será se esse país terceiro em questão assegura um nível de proteção «essencialmente equivalente» ao assegurado no Reino Unido. |
| --- | --- |

(76)

Os regulamentos de adequação efetuados pelo ministro da tutela podem estipular que um país terceiro (ou território ou setor de um país terceiro), uma organização internacional ou uma descrição (72) desse país, território, setor, ou organização assegura um nível adequado de proteção de dados pessoais. Ao avaliar a adequação do nível de proteção, o ministro da tutela deve ter em conta exatamente os mesmos elementos que a Comissão é obrigada a avaliar, ao abrigo do artigo 45.o, n.o 2, alíneas a) a c), do Regulamento (UE) 2016/679, interpretado em conjunto com o considerando 104 do Regulamento (UE) 2016/679 e a jurisprudência da UE mantida. Tal significa que, ao avaliar a adequação do nível de proteção de um país terceiro, a norma pertinente será se esse país terceiro em questão assegura um nível de proteção «essencialmente equivalente» ao assegurado no Reino Unido.

72

o

o

| (77) | Quanto ao procedimento, os regulamentos de adequação estão sujeitos aos requisitos processuais «gerais» previstos na section 182 do DPA 2018. Ao abrigo deste procedimento, o ministro da tutela deve consultar o comissário para a informação ao propor a adoção dos regulamentos de adequação do Reino Unido (73). Depois de adotados pelo ministro da tutela, esses regulamentos são apresentados ao parlamento e sujeitos ao procedimento de «resolução negativa», segundo o qual as câmaras do parlamento podem escrutinar os regulamentos e podem aprovar uma moção para anular os regulamentos no prazo de 40 dias (74). |
| --- | --- |

(77)

Quanto ao procedimento, os regulamentos de adequação estão sujeitos aos requisitos processuais «gerais» previstos na section 182 do DPA 2018. Ao abrigo deste procedimento, o ministro da tutela deve consultar o comissário para a informação ao propor a adoção dos regulamentos de adequação do Reino Unido (73). Depois de adotados pelo ministro da tutela, esses regulamentos são apresentados ao parlamento e sujeitos ao procedimento de «resolução negativa», segundo o qual as câmaras do parlamento podem escrutinar os regulamentos e podem aprovar uma moção para anular os regulamentos no prazo de 40 dias (74).

section 182

73

74

| (78) | Nos termos da section 17B(1) do DPA 2018, os regulamentos de adequação devem ser revistos em intervalos não superiores a quatro anos e o ministro da tutela deve controlar, de forma continuada, os desenvolvimentos nos países terceiros e nas organizações internacionais que possam afetar as decisões que visam criar regulamentos de adequação ou alterar ou revogar esses regulamentos. Caso tenha conhecimento de que um país ou organização específico deixou de assegurar um nível adequado de proteção de dados pessoais, o ministro da tutela deve, na medida do necessário, alterar ou revogar os regulamentos e iniciar consultas com o país terceiro ou a organização internacional em causa com vista a corrigir a falta de um nível adequado de proteção. Estes aspetos processuais refletem igualmente os requisitos correspondentes previstos no Regulamento (UE) 2016/679. |
| --- | --- |

(78)

Nos termos da section 17B(1) do DPA 2018, os regulamentos de adequação devem ser revistos em intervalos não superiores a quatro anos e o ministro da tutela deve controlar, de forma continuada, os desenvolvimentos nos países terceiros e nas organizações internacionais que possam afetar as decisões que visam criar regulamentos de adequação ou alterar ou revogar esses regulamentos. Caso tenha conhecimento de que um país ou organização específico deixou de assegurar um nível adequado de proteção de dados pessoais, o ministro da tutela deve, na medida do necessário, alterar ou revogar os regulamentos e iniciar consultas com o país terceiro ou a organização internacional em causa com vista a corrigir a falta de um nível adequado de proteção. Estes aspetos processuais refletem igualmente os requisitos correspondentes previstos no Regulamento (UE) 2016/679.

section 17B(1)

| (79) | Na falta de regulamentos de adequação, podem ser efetuadas transferências internacionais se os responsáveis pelo tratamento ou subcontratantes tiverem apresentado garantias adequadas, nos termos do artigo 46.o do RGPD do Reino Unido. Essas garantias são semelhantes às previstas no artigo 46.o do Regulamento (UE) 2016/679. Incluem instrumentos juridicamente vinculativos e com força executiva entre autoridades ou organismos públicos, regras vinculativas aplicáveis às empresas (75), cláusulas-tipo de proteção de dados, códigos de conduta aprovados, procedimentos de certificação aprovados e, com a autorização do comissário para a informação, cláusulas contratuais entre os responsáveis pelo tratamento (ou os subcontratantes) ou acordos administrativos entre as autoridades públicas. Contudo, as regras foram modificadas, de um ponto de vista processual, para se adequarem ao quadro do Reino Unido. Em particular, as cláusulas-tipo de proteção de dados podem ser adotadas pelo ministro da tutela (section 17C) ou pelo comissário para a informação (section 119A), em conformidade com o DPA 2018. |
| --- | --- |

(79)

Na falta de regulamentos de adequação, podem ser efetuadas transferências internacionais se os responsáveis pelo tratamento ou subcontratantes tiverem apresentado garantias adequadas, nos termos do artigo 46.o do RGPD do Reino Unido. Essas garantias são semelhantes às previstas no artigo 46.o do Regulamento (UE) 2016/679. Incluem instrumentos juridicamente vinculativos e com força executiva entre autoridades ou organismos públicos, regras vinculativas aplicáveis às empresas (75), cláusulas-tipo de proteção de dados, códigos de conduta aprovados, procedimentos de certificação aprovados e, com a autorização do comissário para a informação, cláusulas contratuais entre os responsáveis pelo tratamento (ou os subcontratantes) ou acordos administrativos entre as autoridades públicas. Contudo, as regras foram modificadas, de um ponto de vista processual, para se adequarem ao quadro do Reino Unido. Em particular, as cláusulas-tipo de proteção de dados podem ser adotadas pelo ministro da tutela (section 17C) ou pelo comissário para a informação (section 119A), em conformidade com o DPA 2018.

o

o

75

section 17C

section 119A

| (80) | Na falta de uma decisão de adequação ou de garantias adequadas, uma transferência só pode ser efetuada com base nas derrogações estabelecidas no artigo 49.o do RGPD do Reino Unido (76). O RGPD do Reino Unido não introduz alterações significativas às derrogações, em comparação com as regras correspondentes do Regulamento (UE) 2016/679. Ao abrigo do RGPD do Reino Unido, tal como disposto no Regulamento (UE) 2016/679, apenas se pode recorrer a determinadas derrogações se a transferência for ocasional (77). Além disso, o ICO, nas suas orientações sobre transferências internacionais, esclarece que: «[e]stas apenas devem ser utilizadas como “exceções” verdadeiras da regra geral e não deve ser efetuada uma transferência restrita a não ser que se encontre abrangida por uma decisão de adequação ou que existam garantias adequadas» (78). No que diz respeito às transferências que são necessárias por importantes razões de interesse público [artigo 49.o, n.o 1, alínea d)], o ministro da tutela pode efetuar regulamentos para especificar as circunstâncias nas quais uma transferência de dados pessoais para um país terceiro ou uma organização internacional não é necessária por razões importantes de interesse público. Além disso, o ministro da tutela pode, por meio de regulamentos, restringir a transferência de uma categoria de dados pessoais para um país terceiro ou uma organização internacional caso não seja possível efetuar a transferência com base nos regulamentos de adequação e o ministro da tutela considere a restrição necessária por importantes razões de interesse público. Até ao momento, não foram adotados esses regulamentos. |
| --- | --- |

(80)

Na falta de uma decisão de adequação ou de garantias adequadas, uma transferência só pode ser efetuada com base nas derrogações estabelecidas no artigo 49.o do RGPD do Reino Unido (76). O RGPD do Reino Unido não introduz alterações significativas às derrogações, em comparação com as regras correspondentes do Regulamento (UE) 2016/679. Ao abrigo do RGPD do Reino Unido, tal como disposto no Regulamento (UE) 2016/679, apenas se pode recorrer a determinadas derrogações se a transferência for ocasional (77). Além disso, o ICO, nas suas orientações sobre transferências internacionais, esclarece que: «[e]stas apenas devem ser utilizadas como “exceções” verdadeiras da regra geral e não deve ser efetuada uma transferência restrita a não ser que se encontre abrangida por uma decisão de adequação ou que existam garantias adequadas» (78). No que diz respeito às transferências que são necessárias por importantes razões de interesse público [artigo 49.o, n.o 1, alínea d)], o ministro da tutela pode efetuar regulamentos para especificar as circunstâncias nas quais uma transferência de dados pessoais para um país terceiro ou uma organização internacional não é necessária por razões importantes de interesse público. Além disso, o ministro da tutela pode, por meio de regulamentos, restringir a transferência de uma categoria de dados pessoais para um país terceiro ou uma organização internacional caso não seja possível efetuar a transferência com base nos regulamentos de adequação e o ministro da tutela considere a restrição necessária por importantes razões de interesse público. Até ao momento, não foram adotados esses regulamentos.

o

76

77

78

o

o

| (81) | Este quadro para transferências internacionais tornou-se aplicável no final do período de transição (79). Contudo, o schedule 21, n.o 4, do DPA 2018 (introduzido pelos Regulamentos DPPEC) prevê que, no fim do período de transição, determinadas transferências de dados pessoais sejam tratadas como se fossem baseadas em regulamentos de adequação, o que inclui transferências para um Estado do EEE, o território de Gibraltar, uma instituição, órgão, organismo ou agência da União criado por um Tratado da UE ou com base num tratado dessa natureza e para países terceiros que foram objeto de uma decisão de adequação da UE no final do período de transição. Consequentemente, as transferências para esses países podem continuar como ocorria anteriormente à saída do Reino Unido da UE. Após o fim do período de transição, o ministro da tutela deve proceder a uma análise destas conclusões de adequação durante um período de quatro anos, ou seja, até ao final de dezembro de 2024. De acordo com a explicação apresentada pelas autoridades do Reino Unido, embora seja necessário que o ministro da tutela efetue essa análise até ao final de dezembro de 2024, as disposições transitórias não incluem uma disposição «de caducidade» e as disposições transitórias aplicáveis não deixarão automaticamente de ter efeito se a análise não for concluída até ao final de dezembro de 2024. |
| --- | --- |

(81)

Este quadro para transferências internacionais tornou-se aplicável no final do período de transição (79). Contudo, o schedule 21, n.o 4, do DPA 2018 (introduzido pelos Regulamentos DPPEC) prevê que, no fim do período de transição, determinadas transferências de dados pessoais sejam tratadas como se fossem baseadas em regulamentos de adequação, o que inclui transferências para um Estado do EEE, o território de Gibraltar, uma instituição, órgão, organismo ou agência da União criado por um Tratado da UE ou com base num tratado dessa natureza e para países terceiros que foram objeto de uma decisão de adequação da UE no final do período de transição. Consequentemente, as transferências para esses países podem continuar como ocorria anteriormente à saída do Reino Unido da UE. Após o fim do período de transição, o ministro da tutela deve proceder a uma análise destas conclusões de adequação durante um período de quatro anos, ou seja, até ao final de dezembro de 2024. De acordo com a explicação apresentada pelas autoridades do Reino Unido, embora seja necessário que o ministro da tutela efetue essa análise até ao final de dezembro de 2024, as disposições transitórias não incluem uma disposição «de caducidade» e as disposições transitórias aplicáveis não deixarão automaticamente de ter efeito se a análise não for concluída até ao final de dezembro de 2024.

79

schedule 21

o

| (82) | Por último, no que diz respeito à evolução futura do regime de transferências internacionais do Reino Unido — através da adoção de novos regulamentos de adequação, da celebração de acordos internacionais ou do desenvolvimento de outros mecanismos de transferência —, a Comissão acompanhará de perto a situação, avaliará se os diferentes mecanismos de transferência são utilizados de forma a assegurar a continuidade da proteção e, se necessário, tomará as medidas adequadas a fim de dar resposta a eventuais efeitos adversos para tal continuidade (ver os considerandos 278 a 287). Uma vez que a UE e o Reino Unido partilham regras semelhantes em matéria de transferências internacionais, espera-se que possam igualmente ser evitadas divergências problemáticas através da cooperação, do intercâmbio de informações e da partilha de experiências, nomeadamente entre o ICO e o CEPD. |
| --- | --- |

(82)

Por último, no que diz respeito à evolução futura do regime de transferências internacionais do Reino Unido — através da adoção de novos regulamentos de adequação, da celebração de acordos internacionais ou do desenvolvimento de outros mecanismos de transferência —, a Comissão acompanhará de perto a situação, avaliará se os diferentes mecanismos de transferência são utilizados de forma a assegurar a continuidade da proteção e, se necessário, tomará as medidas adequadas a fim de dar resposta a eventuais efeitos adversos para tal continuidade (ver os considerandos 278 a 287). Uma vez que a UE e o Reino Unido partilham regras semelhantes em matéria de transferências internacionais, espera-se que possam igualmente ser evitadas divergências problemáticas através da cooperação, do intercâmbio de informações e da partilha de experiências, nomeadamente entre o ICO e o CEPD.

2.5.8   Responsabilidade

Responsabilidade

| (83) | De acordo com o princípio da responsabilidade, as entidades responsáveis pelo tratamento de dados são obrigadas a aplicar medidas técnicas e organizativas adequadas para cumprir as suas obrigações de proteção dos dados de forma eficaz e poder demonstrar esse cumprimento, em particular junto da autoridade de controlo competente. |
| --- | --- |

(83)

De acordo com o princípio da responsabilidade, as entidades responsáveis pelo tratamento de dados são obrigadas a aplicar medidas técnicas e organizativas adequadas para cumprir as suas obrigações de proteção dos dados de forma eficaz e poder demonstrar esse cumprimento, em particular junto da autoridade de controlo competente.

| (84) | O princípio da responsabilidade previsto no Regulamento (UE) 2016/679 foi mantido no artigo 5.o, n.o 2, do RGPD do Reino Unido, sem alterações significativas, e o mesmo se aplica ao artigo 24.o, que diz respeito à responsabilidade do responsável pelo tratamento, ao artigo 25.o, que diz respeito à proteção de dados desde a conceção e por defeito, e ao artigo 30.o, que diz respeito aos registos das atividades de tratamento. Os artigos 35.o e 36.o, relativos à avaliação de impacto sobre a proteção de dados e à consulta prévia por parte da autoridade de controlo, também foram mantidos. Os artigos 37.o e 39.o do Regulamento (UE) 2016/679 relativos à designação e às funções do encarregado da proteção de dados foram mantidos no RGPD do Reino Unido sem alterações significativas. Além disso, as disposições dos artigos 40.o e 42.o do Regulamento (UE) 2016/679 relativos aos códigos de conduta e à certificação foram mantidas no RGPD do Reino Unido (80). |
| --- | --- |

(84)

O princípio da responsabilidade previsto no Regulamento (UE) 2016/679 foi mantido no artigo 5.o, n.o 2, do RGPD do Reino Unido, sem alterações significativas, e o mesmo se aplica ao artigo 24.o, que diz respeito à responsabilidade do responsável pelo tratamento, ao artigo 25.o, que diz respeito à proteção de dados desde a conceção e por defeito, e ao artigo 30.o, que diz respeito aos registos das atividades de tratamento. Os artigos 35.o e 36.o, relativos à avaliação de impacto sobre a proteção de dados e à consulta prévia por parte da autoridade de controlo, também foram mantidos. Os artigos 37.o e 39.o do Regulamento (UE) 2016/679 relativos à designação e às funções do encarregado da proteção de dados foram mantidos no RGPD do Reino Unido sem alterações significativas. Além disso, as disposições dos artigos 40.o e 42.o do Regulamento (UE) 2016/679 relativos aos códigos de conduta e à certificação foram mantidas no RGPD do Reino Unido (80).

o

o

o

o

o

o

o

o

o

o

o

80

2.6   Supervisão e execução coerciva

Supervisão e execução coerciva

2.6.1   Supervisão independente

Supervisão independente

| (85) | Por forma a assegurar que seja garantido na prática um nível adequado de proteção dos dados, deve ser criada uma autoridade de controlo independente incumbida de supervisionar e executar coercivamente as normas em matéria de proteção de dados. Essa autoridade deve atuar com total independência e imparcialidade no cumprimento das suas obrigações e no exercício das respetivas competências. |
| --- | --- |

(85)

Por forma a assegurar que seja garantido na prática um nível adequado de proteção dos dados, deve ser criada uma autoridade de controlo independente incumbida de supervisionar e executar coercivamente as normas em matéria de proteção de dados. Essa autoridade deve atuar com total independência e imparcialidade no cumprimento das suas obrigações e no exercício das respetivas competências.

| (86) | No Reino Unido, é o comissário para a informação quem efetua a supervisão e a execução coerciva do cumprimento do RGPD do Reino Unido e do DPA 2018. O comissário para a informação é uma «sociedade individual»: uma entidade jurídica separada composta por uma pessoa singular. O comissário para a informação é apoiado no seu trabalho por um gabinete. Em 31 de março de 2020, o Gabinete do Comissário para a Informação tinha 768 membros permanentes (81). O departamento que patrocina o comissário para a informação é o Ministério dos Assuntos Digitais, da Cultura, dos Meios de Comunicação e do Desporto (82). |
| --- | --- |

(86)

No Reino Unido, é o comissário para a informação quem efetua a supervisão e a execução coerciva do cumprimento do RGPD do Reino Unido e do DPA 2018. O comissário para a informação é uma «sociedade individual»: uma entidade jurídica separada composta por uma pessoa singular. O comissário para a informação é apoiado no seu trabalho por um gabinete. Em 31 de março de 2020, o Gabinete do Comissário para a Informação tinha 768 membros permanentes (81). O departamento que patrocina o comissário para a informação é o Ministério dos Assuntos Digitais, da Cultura, dos Meios de Comunicação e do Desporto (82).

81

82

| (87) | A independência do comissário é descrita explicitamente no artigo 52.o do RGPD do Reino Unido, que não efetua quaisquer alterações significativas ao artigo 52.o, n.os 1 a 3, do RGPD. Nos termos do RGPD do Reino Unido, o comissário deve agir com total independência na prossecução das suas atribuições e no exercício dos poderes que lhe são atribuídos, não deve estar sujeito a influências externas, diretas ou indiretas no desempenho das suas funções e no exercício dos seus poderes e não deve solicitar nem receber instruções de ninguém. O comissário deve igualmente abster-se de qualquer ato incompatível com as suas funções e, durante o seu mandato, não pode desempenhar nenhuma atividade, remunerada ou não, que com elas seja incompatível. |
| --- | --- |

(87)

A independência do comissário é descrita explicitamente no artigo 52.o do RGPD do Reino Unido, que não efetua quaisquer alterações significativas ao artigo 52.o, n.os 1 a 3, do RGPD. Nos termos do RGPD do Reino Unido, o comissário deve agir com total independência na prossecução das suas atribuições e no exercício dos poderes que lhe são atribuídos, não deve estar sujeito a influências externas, diretas ou indiretas no desempenho das suas funções e no exercício dos seus poderes e não deve solicitar nem receber instruções de ninguém. O comissário deve igualmente abster-se de qualquer ato incompatível com as suas funções e, durante o seu mandato, não pode desempenhar nenhuma atividade, remunerada ou não, que com elas seja incompatível.

o

o

os

| (88) | As condições para a nomeação e a exoneração do comissário para a informação estão estabelecidas no schedule 12 do DPA 2018. O comissário para a informação é nomeado por Sua Majestade com base numa recomendação do governo, na sequência de um concurso equitativo e aberto. O candidato deve ter as qualificações, as competências e as aptidões adequadas. De acordo com o Governance Code on Public Appointments (83), o painel de avaliação consultiva efetua uma lista dos candidatos que podem ser nomeados. Antes de o ministro da tutela do Ministério dos Assuntos Digitais, da Cultura, dos Meios de Comunicação e do Desporto concluir a sua decisão, a comissão especial competente do parlamento deve realizar uma triagem prévia à nomeação. A posição da comissão é tornada pública (84). |
| --- | --- |

(88)

As condições para a nomeação e a exoneração do comissário para a informação estão estabelecidas no schedule 12 do DPA 2018. O comissário para a informação é nomeado por Sua Majestade com base numa recomendação do governo, na sequência de um concurso equitativo e aberto. O candidato deve ter as qualificações, as competências e as aptidões adequadas. De acordo com o Governance Code on Public Appointments (83), o painel de avaliação consultiva efetua uma lista dos candidatos que podem ser nomeados. Antes de o ministro da tutela do Ministério dos Assuntos Digitais, da Cultura, dos Meios de Comunicação e do Desporto concluir a sua decisão, a comissão especial competente do parlamento deve realizar uma triagem prévia à nomeação. A posição da comissão é tornada pública (84).

schedule 12

Governance Code on Public Appointments

83

84

| (89) | O mandato do comissário para a informação dura, no máximo, sete anos. Uma pessoa não pode ser nomeada comissário para a informação mais do que uma vez. O comissário para a informação pode ser afastado do mandato por Sua Majestade na sequência de um comunicado de ambas as câmaras do parlamento (85). Não pode ser apresentado nenhum pedido de exoneração do comissário para a informação a nenhuma das câmaras do parlamento a não ser que um ministro tenha apresentado um relatório onde indique que está convicto de que o comissário para a informação cometeu uma falta grave e/ou que o comissário deixou de cumprir as condições exigidas para o exercício das suas funções (86). |
| --- | --- |

(89)

O mandato do comissário para a informação dura, no máximo, sete anos. Uma pessoa não pode ser nomeada comissário para a informação mais do que uma vez. O comissário para a informação pode ser afastado do mandato por Sua Majestade na sequência de um comunicado de ambas as câmaras do parlamento (85). Não pode ser apresentado nenhum pedido de exoneração do comissário para a informação a nenhuma das câmaras do parlamento a não ser que um ministro tenha apresentado um relatório onde indique que está convicto de que o comissário para a informação cometeu uma falta grave e/ou que o comissário deixou de cumprir as condições exigidas para o exercício das suas funções (86).

85

86

| (90) | O financiamento do comissário para a informação é proveniente de três fontes: i) taxas em matéria de proteção de dados pagas pelos responsáveis pelo tratamento, que são fixadas pelos regulamentos do ministro da tutela (87) (o Data Protection (Charges and Information) Regulations 2018 [Regulamentos de 2018 relativos à Proteção de Dados (taxas e informações)], e correspondem entre 85% a 90% do orçamento anual do gabinete (88); ii) subvenção de Estado paga pelo governo ao comissário para a informação. A subvenção de Estado é maioritariamente utilizada para financiar os custos de operação do comissário para a informação no que diz respeito a funções não relacionadas com a proteção de dados (89); e iii) taxas cobradas pelos serviços (90). De momento, essas taxas não são cobradas. |
| --- | --- |

(90)

O financiamento do comissário para a informação é proveniente de três fontes: i) taxas em matéria de proteção de dados pagas pelos responsáveis pelo tratamento, que são fixadas pelos regulamentos do ministro da tutela (87) (o Data Protection (Charges and Information) Regulations 2018 [Regulamentos de 2018 relativos à Proteção de Dados (taxas e informações)], e correspondem entre 85% a 90% do orçamento anual do gabinete (88); ii) subvenção de Estado paga pelo governo ao comissário para a informação. A subvenção de Estado é maioritariamente utilizada para financiar os custos de operação do comissário para a informação no que diz respeito a funções não relacionadas com a proteção de dados (89); e iii) taxas cobradas pelos serviços (90). De momento, essas taxas não são cobradas.

87

Data Protection (Charges and Information) Regulations 2018

88

89

90

| (91) | As funções gerais do comissário para a informação relativas ao tratamento de dados pessoais aos quais se aplica o RGPD do Reino Unido são estabelecidas no artigo 57.o do mesmo e refletem as regras correspondentes previstas no Regulamento (UE) 2016/679. As suas funções incluem o controlo e a execução do RGPD do Reino Unido, a promoção da sensibilização do público, o tratamento de reclamações apresentadas pelos titulares dos dados, a realização de investigações, etc. Além disso, a section 115 do DPA 2018 estabelece outras funções gerais do comissário, que incluem um dever de aconselhar o parlamento, o governo e outras instituições e organismos a respeito das medidas legislativas e administrativas relacionadas com a defesa dos direitos e liberdades das pessoas singulares no que diz respeito ao tratamento de dados pessoais e um poder para emitir, por iniciativa própria do comissário ou se lhe for solicitado, pareceres dirigidos ao parlamento, ao governo ou a outras instituições e organismos, bem como ao público, sobre qualquer assunto relacionado com a proteção de dados pessoais. A fim de assegurar a independência do poder judicial, o comissário para a informação não está autorizado a exercer as suas funções relativas ao tratamento de dados pessoais efetuado pelos tribunais ou por pessoas singulares no exercício da sua função jurisdicional. Contudo, os organismos especializados realizam a supervisão do poder judicial (ver os considerandos 99 a 103). |
| --- | --- |

(91)

As funções gerais do comissário para a informação relativas ao tratamento de dados pessoais aos quais se aplica o RGPD do Reino Unido são estabelecidas no artigo 57.o do mesmo e refletem as regras correspondentes previstas no Regulamento (UE) 2016/679. As suas funções incluem o controlo e a execução do RGPD do Reino Unido, a promoção da sensibilização do público, o tratamento de reclamações apresentadas pelos titulares dos dados, a realização de investigações, etc. Além disso, a section 115 do DPA 2018 estabelece outras funções gerais do comissário, que incluem um dever de aconselhar o parlamento, o governo e outras instituições e organismos a respeito das medidas legislativas e administrativas relacionadas com a defesa dos direitos e liberdades das pessoas singulares no que diz respeito ao tratamento de dados pessoais e um poder para emitir, por iniciativa própria do comissário ou se lhe for solicitado, pareceres dirigidos ao parlamento, ao governo ou a outras instituições e organismos, bem como ao público, sobre qualquer assunto relacionado com a proteção de dados pessoais. A fim de assegurar a independência do poder judicial, o comissário para a informação não está autorizado a exercer as suas funções relativas ao tratamento de dados pessoais efetuado pelos tribunais ou por pessoas singulares no exercício da sua função jurisdicional. Contudo, os organismos especializados realizam a supervisão do poder judicial (ver os considerandos 99 a 103).

o

section 115

2.6.2   Execução, incluindo sanções

Execução, incluindo sanções

| (92) | Os poderes do comissário para a informação são estabelecidos no artigo 58.o do RGPD do Reino Unido, que não introduz alterações significativas ao artigo correspondente do Regulamento (UE) 2016/679. O DPA 2018 estabelece regras complementares sobre como estes poderes podem ser exercidos. Em particular, o comissário tem poderes para: a) ordenar que o responsável pelo tratamento e o subcontratante (e, em determinadas circunstâncias, qualquer outra pessoa) prestem as informações necessárias mediante uma notificação informativa («notificação informativa») (91); b) levar a cabo investigações e auditorias através da emissão de uma notificação de avaliação, o que poderá implicar que o responsável pelo tratamento ou o subcontratante permita que o comissário entre nas instalações específicas, inspecione ou analise os documentos ou os equipamentos, entreviste as pessoas responsáveis pelo tratamento dos dados pessoais em nome do responsável pelo tratamento, etc. («notificação de avaliação») (92); c) obter acesso aos documentos, etc. dos responsáveis pelo tratamento e dos subcontratantes e aceder às suas instalações de acordo com a section 154 do DPA 2018 («poderes de entrada e inspeção»); d) exercer poderes de correção, nomeadamente por meio de advertências ou repreensões ou dar ordens por meio de uma notificação de execução, que exige que os responsáveis pelo tratamento/subcontratantes tomem ou se abstenham de tomar medidas específicas, incluindo ordenar que o responsável pelo tratamento ou o subcontratante tome qualquer umas das medidas especificadas no artigo 58.o, n.o 2, alíneas c) a g) e j), do RGPD do Reino Unido («notificação de execução») (93); e) e emitir coimas sob a forma de uma notificação de sanção («notificação de sanção») (94). Estas coimas podem ser igualmente emitidas no caso de uma autoridade pública não cumprir as disposições do RGPD do Reino Unido (95). |
| --- | --- |

(92)

Os poderes do comissário para a informação são estabelecidos no artigo 58.o do RGPD do Reino Unido, que não introduz alterações significativas ao artigo correspondente do Regulamento (UE) 2016/679. O DPA 2018 estabelece regras complementares sobre como estes poderes podem ser exercidos. Em particular, o comissário tem poderes para: a) ordenar que o responsável pelo tratamento e o subcontratante (e, em determinadas circunstâncias, qualquer outra pessoa) prestem as informações necessárias mediante uma notificação informativa («notificação informativa») (91); b) levar a cabo investigações e auditorias através da emissão de uma notificação de avaliação, o que poderá implicar que o responsável pelo tratamento ou o subcontratante permita que o comissário entre nas instalações específicas, inspecione ou analise os documentos ou os equipamentos, entreviste as pessoas responsáveis pelo tratamento dos dados pessoais em nome do responsável pelo tratamento, etc. («notificação de avaliação») (92); c) obter acesso aos documentos, etc. dos responsáveis pelo tratamento e dos subcontratantes e aceder às suas instalações de acordo com a section 154 do DPA 2018 («poderes de entrada e inspeção»); d) exercer poderes de correção, nomeadamente por meio de advertências ou repreensões ou dar ordens por meio de uma notificação de execução, que exige que os responsáveis pelo tratamento/subcontratantes tomem ou se abstenham de tomar medidas específicas, incluindo ordenar que o responsável pelo tratamento ou o subcontratante tome qualquer umas das medidas especificadas no artigo 58.o, n.o 2, alíneas c) a g) e j), do RGPD do Reino Unido («notificação de execução») (93); e) e emitir coimas sob a forma de uma notificação de sanção («notificação de sanção») (94). Estas coimas podem ser igualmente emitidas no caso de uma autoridade pública não cumprir as disposições do RGPD do Reino Unido (95).

o

91

92

section 154

o

o

93

94

95

| (93) | A política de intervenção regulamentar do ICO descreve as circunstâncias em que será emitida uma notificação informativa, de avaliação, de execução ou de sanção (96). Uma notificação de execução emitida em resposta a uma falha do responsável pelo tratamento ou do subcontratante apenas pode impor os requisitos que o comissário considera adequados para efeitos de correção da falha. As notificações de execução e de sanção podem ser emitidas para um responsável pelo tratamento ou um subcontratante relativamente às violações do capítulo II do RGPD do Reino Unido (princípios de tratamento), dos artigos 12.o a 22.o (direitos dos titulares dos dados), dos artigos 25.o a 39.o (obrigações dos responsáveis pelo tratamento e dos subcontratantes) e dos artigos 44.o a 49.o (transferências internacionais) do RGPD do Reino Unido. Também pode ser emitida uma notificação de execução caso um responsável pelo tratamento não cumpra o requisito de pagar uma taxa nos regulamentos efetuados ao abrigo da section 137 do DPA 2018. Além disso, nos termos do artigo 41.o, um organismo de supervisão ou um prestador de certificação pode receber uma notificação de execução caso não cumpra as suas obrigações previstas no RGPD do Reino Unido. Uma pessoa que não tenha cumprido uma notificação informativa, uma notificação de avaliação ou uma notificação de execução pode receber uma notificação de sanção. |
| --- | --- |

(93)

A política de intervenção regulamentar do ICO descreve as circunstâncias em que será emitida uma notificação informativa, de avaliação, de execução ou de sanção (96). Uma notificação de execução emitida em resposta a uma falha do responsável pelo tratamento ou do subcontratante apenas pode impor os requisitos que o comissário considera adequados para efeitos de correção da falha. As notificações de execução e de sanção podem ser emitidas para um responsável pelo tratamento ou um subcontratante relativamente às violações do capítulo II do RGPD do Reino Unido (princípios de tratamento), dos artigos 12.o a 22.o (direitos dos titulares dos dados), dos artigos 25.o a 39.o (obrigações dos responsáveis pelo tratamento e dos subcontratantes) e dos artigos 44.o a 49.o (transferências internacionais) do RGPD do Reino Unido. Também pode ser emitida uma notificação de execução caso um responsável pelo tratamento não cumpra o requisito de pagar uma taxa nos regulamentos efetuados ao abrigo da section 137 do DPA 2018. Além disso, nos termos do artigo 41.o, um organismo de supervisão ou um prestador de certificação pode receber uma notificação de execução caso não cumpra as suas obrigações previstas no RGPD do Reino Unido. Uma pessoa que não tenha cumprido uma notificação informativa, uma notificação de avaliação ou uma notificação de execução pode receber uma notificação de sanção.

96

o

o

o

o

o

o

section 137

o

| (94) | A notificação de sanção exige que a pessoa pague um montante especificado na notificação ao comissário para a informação. Ao determinar se deverá aplicar uma notificação de sanção a uma pessoa e ao determinar o montante da sanção, o comissário para a informação deve ter em conta as matérias enumeradas no artigo 83.o, n.os 1 e 2, do RGPD do Reino Unido, que são idênticas às regras correspondentes do Regulamento (UE) 2016/679 (97). Nos termos do artigo 83.o, n.os 4 e 5, em caso de incumprimento das obrigações referidas nessas disposições, os montantes máximos das coimas são 8 700 000 ou 17 500 000 libras esterlinas (GBP), respetivamente. No caso de uma empresa, o comissário para a informação também pode impor coimas como percentagem do seu volume de negócios anual a nível mundial, se for mais elevado. À semelhança das disposições equivalentes do Regulamento (UE) 2016/679, estes montantes estão fixados em 2% e 4% no artigo 83.o, n.os 4 e 5, respetivamente. Em caso de incumprimento de uma notificação informativa, de uma notificação de avaliação ou de uma notificação de execução, o montante máximo da sanção que pode ser imposto por uma notificação de sanção é superior a 17 500 000 GBP ou, no caso de uma empresa, 4% do seu volume de negócios anual a nível mundial. |
| --- | --- |

(94)

A notificação de sanção exige que a pessoa pague um montante especificado na notificação ao comissário para a informação. Ao determinar se deverá aplicar uma notificação de sanção a uma pessoa e ao determinar o montante da sanção, o comissário para a informação deve ter em conta as matérias enumeradas no artigo 83.o, n.os 1 e 2, do RGPD do Reino Unido, que são idênticas às regras correspondentes do Regulamento (UE) 2016/679 (97). Nos termos do artigo 83.o, n.os 4 e 5, em caso de incumprimento das obrigações referidas nessas disposições, os montantes máximos das coimas são 8 700 000 ou 17 500 000 libras esterlinas (GBP), respetivamente. No caso de uma empresa, o comissário para a informação também pode impor coimas como percentagem do seu volume de negócios anual a nível mundial, se for mais elevado. À semelhança das disposições equivalentes do Regulamento (UE) 2016/679, estes montantes estão fixados em 2% e 4% no artigo 83.o, n.os 4 e 5, respetivamente. Em caso de incumprimento de uma notificação informativa, de uma notificação de avaliação ou de uma notificação de execução, o montante máximo da sanção que pode ser imposto por uma notificação de sanção é superior a 17 500 000 GBP ou, no caso de uma empresa, 4% do seu volume de negócios anual a nível mundial.

o

os

97

o

os

o

os

| (95) | O RGPD do Reino Unido, em conjunto com o DPA 2018, também reforçou outros poderes do comissário para a informação. Por exemplo, o comissário pode agora levar a cabo auditorias obrigatórias sobre todos os responsáveis pelo tratamento e subcontratantes por meio de notificações de avaliação, ao passo que, na anterior legislação do Data Protection Act 1998, o comissário só tinha este poder relativamente ao governo central e às organizações de saúde, sendo que os outros organismos tinham de concordar com a auditoria. |
| --- | --- |

(95)

O RGPD do Reino Unido, em conjunto com o DPA 2018, também reforçou outros poderes do comissário para a informação. Por exemplo, o comissário pode agora levar a cabo auditorias obrigatórias sobre todos os responsáveis pelo tratamento e subcontratantes por meio de notificações de avaliação, ao passo que, na anterior legislação do Data Protection Act 1998, o comissário só tinha este poder relativamente ao governo central e às organizações de saúde, sendo que os outros organismos tinham de concordar com a auditoria.

Data Protection Act 1998

| (96) | Desde a introdução do Regulamento (UE) 2016/679, o ICO trata cerca de 40 000 reclamações de titulares dos dados por ano (98) e, além disso, realiza cerca de 2 000 investigações ex officio (99). A maioria das reclamações dizem respeito aos direitos de acesso aos dados e à divulgação dos mesmos. Na sequência das suas investigações, o comissário está a adotar medidas de execução em vários setores. Mais especificamente, de acordo com o relatório anual mais recente (2019-2020) do comissário para a informação (100), o comissário emitiu 54 notificações informativas, 8 notificações de avaliação, 7 notificações de execução, 4 advertências, 8 ações penais e 15 coimas durante o período de comunicação (101). |
| --- | --- |

(96)

Desde a introdução do Regulamento (UE) 2016/679, o ICO trata cerca de 40 000 reclamações de titulares dos dados por ano (98) e, além disso, realiza cerca de 2 000 investigações ex officio (99). A maioria das reclamações dizem respeito aos direitos de acesso aos dados e à divulgação dos mesmos. Na sequência das suas investigações, o comissário está a adotar medidas de execução em vários setores. Mais especificamente, de acordo com o relatório anual mais recente (2019-2020) do comissário para a informação (100), o comissário emitiu 54 notificações informativas, 8 notificações de avaliação, 7 notificações de execução, 4 advertências, 8 ações penais e 15 coimas durante o período de comunicação (101).

98

ex officio

99

100

101

| (97) | Tal inclui várias coimas financeiras avultadas, impostas ao abrigo do Regulamento (UE) 2016/679 e do DPA 2018. Em particular, em outubro de 2020, o comissário para a informação multou uma companhia aérea inglesa em 20 milhões de GBP por uma violação de dados que afetou mais de 400 000 clientes. No final de outubro de 2020, uma cadeia de hotéis internacional recebeu uma coima no valor de 18,4 milhões de GBP por não conseguir manter os dados pessoais de milhões de clientes seguros e, em novembro de 2020, um prestador de serviços inglês que vendia bilhetes para eventos em linha recebeu uma coima no valor de 1,25 milhões de GBP por não ter protegido os dados de pagamento dos clientes (102). |
| --- | --- |

(97)

Tal inclui várias coimas financeiras avultadas, impostas ao abrigo do Regulamento (UE) 2016/679 e do DPA 2018. Em particular, em outubro de 2020, o comissário para a informação multou uma companhia aérea inglesa em 20 milhões de GBP por uma violação de dados que afetou mais de 400 000 clientes. No final de outubro de 2020, uma cadeia de hotéis internacional recebeu uma coima no valor de 18,4 milhões de GBP por não conseguir manter os dados pessoais de milhões de clientes seguros e, em novembro de 2020, um prestador de serviços inglês que vendia bilhetes para eventos em linha recebeu uma coima no valor de 1,25 milhões de GBP por não ter protegido os dados de pagamento dos clientes (102).

102

| (98) | Para além dos poderes de execução do comissário para a informação descritos no considerando 92, determinadas violações da legislação em matéria de proteção de dados constituem infrações e, como tal, podem ser sujeitas a sanções penais (section 196 do DPA 2018). Tal aplica-se, por exemplo, à obtenção ou divulgação consciente ou inconsciente de dados pessoais sem o consentimento do responsável pelo tratamento, à divulgação de dados pessoais a outra pessoa sem o consentimento do responsável pelo tratamento (103), à reidentificação de informações que são dados pessoais anonimizados sem o consentimento do responsável pelo tratamento que ficou incumbido da anonimização dos dados pessoais (104), à obstrução intencional do poder do comissário de exercer os seus poderes relativamente à inspeção dos dados pessoais, de acordo com as obrigações internacionais (105), às declarações falsas em resposta a uma notificação informativa ou à destruição de informações relacionadas com notificações informativas e de avaliação (106). |
| --- | --- |

(98)

Para além dos poderes de execução do comissário para a informação descritos no considerando 92, determinadas violações da legislação em matéria de proteção de dados constituem infrações e, como tal, podem ser sujeitas a sanções penais (section 196 do DPA 2018). Tal aplica-se, por exemplo, à obtenção ou divulgação consciente ou inconsciente de dados pessoais sem o consentimento do responsável pelo tratamento, à divulgação de dados pessoais a outra pessoa sem o consentimento do responsável pelo tratamento (103), à reidentificação de informações que são dados pessoais anonimizados sem o consentimento do responsável pelo tratamento que ficou incumbido da anonimização dos dados pessoais (104), à obstrução intencional do poder do comissário de exercer os seus poderes relativamente à inspeção dos dados pessoais, de acordo com as obrigações internacionais (105), às declarações falsas em resposta a uma notificação informativa ou à destruição de informações relacionadas com notificações informativas e de avaliação (106).

section 196

103

104

105

106

2.6.3   Supervisão do poder judicial

Supervisão do poder judicial

| (99) | A supervisão do tratamento de dados pessoais pelos tribunais e pelo poder judicial tem dois objetivos. Caso o titular de um cargo judicial ou um tribunal não atue no exercício de uma função jurisdicional, o ICO encarrega-se da supervisão. Caso o responsável pelo tratamento atue no exercício de uma função jurisdicional, o ICO não pode exercer as suas funções de supervisão (107) e a supervisão é realizada por organismos especiais. Tal reflete a abordagem adotada no Regulamento (UE) 2016/679 (artigo 55.o, n.o 3). |
| --- | --- |

(99)

A supervisão do tratamento de dados pessoais pelos tribunais e pelo poder judicial tem dois objetivos. Caso o titular de um cargo judicial ou um tribunal não atue no exercício de uma função jurisdicional, o ICO encarrega-se da supervisão. Caso o responsável pelo tratamento atue no exercício de uma função jurisdicional, o ICO não pode exercer as suas funções de supervisão (107) e a supervisão é realizada por organismos especiais. Tal reflete a abordagem adotada no Regulamento (UE) 2016/679 (artigo 55.o, n.o 3).

107

o

o

| (100) | Em particular, no segundo cenário, no caso dos tribunais da Inglaterra e do País de Gales e dos tribunais de primeira instância (first-tier tribunals) e superiores (upper tribunals) da Inglaterra e do País de Gales, essa supervisão é realizada pelo Painel de Proteção dos Dados Judiciais (108). Além disso, o presidente do sistema judiciário (Lord Chief Justice) e o presidente dos tribunais (Senior President of Tribunals) emitiram uma notificação de privacidade (109), que define a forma como os tribunais da Inglaterra e do País de Gales tratam os dados pessoais para uma função judicial. Os sistemas judiciais da Irlanda do Norte (110) e da Escócia (111) emitiram uma notificação semelhante. |
| --- | --- |

(100)

Em particular, no segundo cenário, no caso dos tribunais da Inglaterra e do País de Gales e dos tribunais de primeira instância (first-tier tribunals) e superiores (upper tribunals) da Inglaterra e do País de Gales, essa supervisão é realizada pelo Painel de Proteção dos Dados Judiciais (108). Além disso, o presidente do sistema judiciário (Lord Chief Justice) e o presidente dos tribunais (Senior President of Tribunals) emitiram uma notificação de privacidade (109), que define a forma como os tribunais da Inglaterra e do País de Gales tratam os dados pessoais para uma função judicial. Os sistemas judiciais da Irlanda do Norte (110) e da Escócia (111) emitiram uma notificação semelhante.

first-tier tribunals

upper tribunals

108

Lord Chief Justice

Senior President of Tribunals

109

110

111

| (101) | Além disso, na Irlanda do Norte, o presidente do sistema judiciário da Irlanda do Norte nomeou um juiz do High Court como juiz supervisor de dados (112). Também emitiram orientações dirigidas ao sistema judicial da Irlanda do Norte sobre o que fazer em caso de perda ou potencial perda de dados e como tratar de problemas decorrentes dessa perda (113). |
| --- | --- |

(101)

Além disso, na Irlanda do Norte, o presidente do sistema judiciário da Irlanda do Norte nomeou um juiz do High Court como juiz supervisor de dados (112). Também emitiram orientações dirigidas ao sistema judicial da Irlanda do Norte sobre o que fazer em caso de perda ou potencial perda de dados e como tratar de problemas decorrentes dessa perda (113).

High Court

112

113

| (102) | Na Escócia, o Lord President (Lorde Presidente) nomeou um juiz supervisor de dados para investigar as reclamações associadas a violações da proteção de dados. Isto encontra-se enunciado nas regras em matéria de reclamações judiciais, que refletem as regras estabelecidas para a Inglaterra e o País de Gales (114). |
| --- | --- |

(102)

Na Escócia, o Lord President (Lorde Presidente) nomeou um juiz supervisor de dados para investigar as reclamações associadas a violações da proteção de dados. Isto encontra-se enunciado nas regras em matéria de reclamações judiciais, que refletem as regras estabelecidas para a Inglaterra e o País de Gales (114).

Lord President

114

| (103) | Por último, no Supreme Court (Supremo Tribunal), um dos juízes do Supreme Court é nomeado para supervisionar a proteção de dados. |
| --- | --- |

(103)

Por último, no Supreme Court (Supremo Tribunal), um dos juízes do Supreme Court é nomeado para supervisionar a proteção de dados.

Supreme Court

Supreme Court

2.6.4   Recurso

Recurso

| (104) | A fim de assegurar uma proteção adequada e, nomeadamente, o exercício dos direitos individuais, o titular dos dados deve dispor de vias de recurso administrativas e judiciais eficazes, incluindo a possibilidade de obter uma indemnização por danos. |
| --- | --- |

(104)

A fim de assegurar uma proteção adequada e, nomeadamente, o exercício dos direitos individuais, o titular dos dados deve dispor de vias de recurso administrativas e judiciais eficazes, incluindo a possibilidade de obter uma indemnização por danos.

| (105) | Em primeiro lugar, um titular dos dados tem o direito de apresentar reclamação ao comissário para a informação caso considere que existe uma violação do RGPD do Reino Unido no que diz respeito aos seus dados pessoais (115). O RGPD do Reino Unido mantém as regras previstas no artigo 77.o do Regulamento (UE) 2016/679 relativas a esse direito sem efetuar alterações significativas. O mesmo se aplica ao artigo 57.o, n.o 1, alínea f), e n.o 2, que enumera as atribuições do comissário relativas ao tratamento de reclamações. Conforme descrito nos considerandos 92 a 98 acima, o comissário para a informação tem o poder de avaliar o cumprimento do RGPD do Reino Unido e do DPA 2018 do responsável pelo tratamento e do subcontratante, de exigir que estes tomem ou se abstenham de tomar as medidas necessárias em caso de incumprimento e de impor coimas. |
| --- | --- |

(105)

Em primeiro lugar, um titular dos dados tem o direito de apresentar reclamação ao comissário para a informação caso considere que existe uma violação do RGPD do Reino Unido no que diz respeito aos seus dados pessoais (115). O RGPD do Reino Unido mantém as regras previstas no artigo 77.o do Regulamento (UE) 2016/679 relativas a esse direito sem efetuar alterações significativas. O mesmo se aplica ao artigo 57.o, n.o 1, alínea f), e n.o 2, que enumera as atribuições do comissário relativas ao tratamento de reclamações. Conforme descrito nos considerandos 92 a 98 acima, o comissário para a informação tem o poder de avaliar o cumprimento do RGPD do Reino Unido e do DPA 2018 do responsável pelo tratamento e do subcontratante, de exigir que estes tomem ou se abstenham de tomar as medidas necessárias em caso de incumprimento e de impor coimas.

115

o

o

o

o

| (106) | Em segundo lugar, o RGPD do Reino Unido e o DPA 2018 preveem o direito à ação judicial contra o comissário para a informação. Nos termos do artigo 78.o, n.o 1, do RGPD do Reino Unido, as pessoas singulares têm direito à ação judicial contra as decisões juridicamente vinculativas do comissário que lhes digam respeito. No contexto do controlo jurisdicional, o juiz examina a decisão que está a ser contestada no processo e decide se o comissário para a informação atuou licitamente. Além disso, nos termos do artigo 78.o, n.o 2, do RGPD do Reino Unido, caso o comissário não trate adequadamente uma reclamação efetuada pelo titular de dados, (116) o autor da reclamação tem direito à ação judicial. O autor da reclamação pode recorrer a um tribunal de primeira instância para ordenar que o comissário adote as medidas adequadas para dar uma resposta à reclamação ou para informar o autor da reclamação sobre o andamento da mesma (117). Além disso, qualquer pessoa que receba uma das notificações supramencionadas (notificações informativas, de avaliação, de execução ou de sanção) emitidas pelo comissário pode recorrer a um tribunal de primeira instância (118). Se o tribunal considerar que a decisão do comissário não está de acordo com a lei ou que o comissário para a informação deveria ter exercido o seu critério de outra forma, o tribunal deve permitir o recurso ou substituir outra notificação ou decisão que poderia ter sido emitida ou dada pelo comissário para a informação. |
| --- | --- |

(106)

Em segundo lugar, o RGPD do Reino Unido e o DPA 2018 preveem o direito à ação judicial contra o comissário para a informação. Nos termos do artigo 78.o, n.o 1, do RGPD do Reino Unido, as pessoas singulares têm direito à ação judicial contra as decisões juridicamente vinculativas do comissário que lhes digam respeito. No contexto do controlo jurisdicional, o juiz examina a decisão que está a ser contestada no processo e decide se o comissário para a informação atuou licitamente. Além disso, nos termos do artigo 78.o, n.o 2, do RGPD do Reino Unido, caso o comissário não trate adequadamente uma reclamação efetuada pelo titular de dados, (116) o autor da reclamação tem direito à ação judicial. O autor da reclamação pode recorrer a um tribunal de primeira instância para ordenar que o comissário adote as medidas adequadas para dar uma resposta à reclamação ou para informar o autor da reclamação sobre o andamento da mesma (117). Além disso, qualquer pessoa que receba uma das notificações supramencionadas (notificações informativas, de avaliação, de execução ou de sanção) emitidas pelo comissário pode recorrer a um tribunal de primeira instância (118). Se o tribunal considerar que a decisão do comissário não está de acordo com a lei ou que o comissário para a informação deveria ter exercido o seu critério de outra forma, o tribunal deve permitir o recurso ou substituir outra notificação ou decisão que poderia ter sido emitida ou dada pelo comissário para a informação.

o

o

o

o

116

117

118

| (107) | Em terceiro lugar, as pessoas singulares podem obter direito ao recurso judicial contra um responsável pelo tratamento ou um subcontratante diretamente nos tribunais, ao abrigo do artigo 79.o do RGPD do Reino Unido e da section 167 do DPA 2018. No caso de uma ação intentada por um titular de dados, se um tribunal decidir que houve uma violação dos direitos do titular dos dados ao abrigo da legislação em matéria de proteção de dados, o tribunal pode ordenar que o responsável pelo tratamento ou um subcontratante que atue em nome dele tome as medidas especificadas na ordem ou se abstenha de tomar as medidas especificadas na ordem, no que diz respeito ao tratamento. |
| --- | --- |

(107)

Em terceiro lugar, as pessoas singulares podem obter direito ao recurso judicial contra um responsável pelo tratamento ou um subcontratante diretamente nos tribunais, ao abrigo do artigo 79.o do RGPD do Reino Unido e da section 167 do DPA 2018. No caso de uma ação intentada por um titular de dados, se um tribunal decidir que houve uma violação dos direitos do titular dos dados ao abrigo da legislação em matéria de proteção de dados, o tribunal pode ordenar que o responsável pelo tratamento ou um subcontratante que atue em nome dele tome as medidas especificadas na ordem ou se abstenha de tomar as medidas especificadas na ordem, no que diz respeito ao tratamento.

o

section 167

| (108) | Além disso, nos termos do artigo 82.o do RGPD do Reino Unido e da section 168 do DPA 2018, qualquer pessoa que tenha sofrido danos materiais ou imateriais devido a uma violação do RGPD do Reino Unido tem direito a receber uma indemnização do responsável pelo tratamento ou do subcontratante pelos danos sofridos. As regras relativas à indemnização e à responsabilidade previstas no artigo 82.o, n.os 1 a 5, do RGPD do Reino Unido são idênticas às regras correspondentes do Regulamento (UE) 2016/679. Ao abrigo da section 168 do DPA 2018, os danos imateriais incluem sofrimento emocional. Nos termos do artigo 80.o do RGPD do Reino Unido, o titular dos dados tem o direito de mandatar um organismo ou organização representante para, em seu nome, apresentar reclamação junto do comissário (nos termos do artigo 77.o do RGPD do Reino Unido) e exercer os direitos a que se referem os artigos 78.o (direito à ação judicial contra o comissário), 79.o (direito à ação judicial contra um responsável pelo tratamento ou um subcontratante) e 82.o (direito de indemnização e responsabilidade) do RGPD do Reino Unido. |
| --- | --- |

(108)

Além disso, nos termos do artigo 82.o do RGPD do Reino Unido e da section 168 do DPA 2018, qualquer pessoa que tenha sofrido danos materiais ou imateriais devido a uma violação do RGPD do Reino Unido tem direito a receber uma indemnização do responsável pelo tratamento ou do subcontratante pelos danos sofridos. As regras relativas à indemnização e à responsabilidade previstas no artigo 82.o, n.os 1 a 5, do RGPD do Reino Unido são idênticas às regras correspondentes do Regulamento (UE) 2016/679. Ao abrigo da section 168 do DPA 2018, os danos imateriais incluem sofrimento emocional. Nos termos do artigo 80.o do RGPD do Reino Unido, o titular dos dados tem o direito de mandatar um organismo ou organização representante para, em seu nome, apresentar reclamação junto do comissário (nos termos do artigo 77.o do RGPD do Reino Unido) e exercer os direitos a que se referem os artigos 78.o (direito à ação judicial contra o comissário), 79.o (direito à ação judicial contra um responsável pelo tratamento ou um subcontratante) e 82.o (direito de indemnização e responsabilidade) do RGPD do Reino Unido.

o

section 168

o

os

section 168

o

o

o

o

o

| (109) | Em quarto lugar, e para além das vias de recurso descritas acima, qualquer pessoa que considere que houve uma violação dos seus direitos, nomeadamente do direito à privacidade e à proteção dos dados, por parte das autoridades públicas, pode obter reparação junto dos tribunais do Reino Unido, ao abrigo do Human Rights Act 1998 (119). Qualquer pessoa que afirme que uma autoridade pública atuou (ou pretende atuar) de uma forma incompatível com um dos direitos da Convenção e, consequentemente, ilícita, nos termos da section 6(1) do Human Rights Act 1998, pode intentar uma ação junto do tribunal competente contra a autoridade em questão ou recorrer a processos judiciais para fazer valer os seus direitos, sempre que essa pessoa seja (ou venha a ser) vítima de uma ação ilícita. |
| --- | --- |

(109)

Em quarto lugar, e para além das vias de recurso descritas acima, qualquer pessoa que considere que houve uma violação dos seus direitos, nomeadamente do direito à privacidade e à proteção dos dados, por parte das autoridades públicas, pode obter reparação junto dos tribunais do Reino Unido, ao abrigo do Human Rights Act 1998 (119). Qualquer pessoa que afirme que uma autoridade pública atuou (ou pretende atuar) de uma forma incompatível com um dos direitos da Convenção e, consequentemente, ilícita, nos termos da section 6(1) do Human Rights Act 1998, pode intentar uma ação junto do tribunal competente contra a autoridade em questão ou recorrer a processos judiciais para fazer valer os seus direitos, sempre que essa pessoa seja (ou venha a ser) vítima de uma ação ilícita.

Human Rights Act 1998

119

section 6(1)

Human Rights Act 1998

| (110) | Se o tribunal considerar que alguma das ações de uma autoridade pública foi ilícita, pode decretar essa medida ou recurso ou efetuar essa ordem, dentro dos seus poderes e de uma forma que considere justa e adequada (120). O tribunal pode igualmente constatar que uma das disposições do direito primário é incompatível com um direito da Convenção. |
| --- | --- |

(110)

Se o tribunal considerar que alguma das ações de uma autoridade pública foi ilícita, pode decretar essa medida ou recurso ou efetuar essa ordem, dentro dos seus poderes e de uma forma que considere justa e adequada (120). O tribunal pode igualmente constatar que uma das disposições do direito primário é incompatível com um direito da Convenção.

120

| (111) | Por último, depois de esgotarem as vias de recurso nacionais, as pessoas singulares podem obter junto do Tribunal Europeu dos Direitos Humanos por violações dos direitos garantidos pela Convenção Europeia dos Direitos Humanos. |
| --- | --- |

(111)

Por último, depois de esgotarem as vias de recurso nacionais, as pessoas singulares podem obter junto do Tribunal Europeu dos Direitos Humanos por violações dos direitos garantidos pela Convenção Europeia dos Direitos Humanos.

3.   ACESSO E UTILIZAÇÃO DE DADOS PESSOAIS TRANSFERIDOS DA UNIÃO EUROPEIA POR AUTORIDADES PÚBLICAS NO REINO UNIDO

ACESSO E UTILIZAÇÃO DE DADOS PESSOAIS TRANSFERIDOS DA UNIÃO EUROPEIA POR AUTORIDADES PÚBLICAS NO REINO UNIDO

| (112) | A Comissão avaliou igualmente o quadro jurídico implementado pelo Reino Unido para a recolha e a utilização subsequente de dados pessoais transferidos por autoridades públicas do Reino Unido para operadores comerciais no Reino Unido, para fins de interesse público, designadamente para efeitos de aplicação do direito penal e de segurança nacional (a seguir designado por «acesso governamental»). Ao avaliar se as condições em que o governo acede aos dados transferidos para o Reino Unido ao abrigo da presente decisão cumpririam o teste de «equivalência essencial» nos termos do artigo 45.o, n.o 1, do Regulamento (UE) 2016/679, conforme interpretado pelo Tribunal de Justiça da União Europeia, à luz da Carta dos Direitos Fundamentais, a Comissão teve em conta sobretudo os seguintes critérios. |
| --- | --- |

(112)

A Comissão avaliou igualmente o quadro jurídico implementado pelo Reino Unido para a recolha e a utilização subsequente de dados pessoais transferidos por autoridades públicas do Reino Unido para operadores comerciais no Reino Unido, para fins de interesse público, designadamente para efeitos de aplicação do direito penal e de segurança nacional (a seguir designado por «acesso governamental»). Ao avaliar se as condições em que o governo acede aos dados transferidos para o Reino Unido ao abrigo da presente decisão cumpririam o teste de «equivalência essencial» nos termos do artigo 45.o, n.o 1, do Regulamento (UE) 2016/679, conforme interpretado pelo Tribunal de Justiça da União Europeia, à luz da Carta dos Direitos Fundamentais, a Comissão teve em conta sobretudo os seguintes critérios.

o

o

| (113) | Em primeiro lugar, qualquer restrição ao direito de proteção de dados pessoais deve ser prevista por lei, o que implica que a própria base jurídica que permite a ingerência nesses direitos deve definir o alcance da restrição ao exercício do direito em causa (121). |
| --- | --- |

(113)

Em primeiro lugar, qualquer restrição ao direito de proteção de dados pessoais deve ser prevista por lei, o que implica que a própria base jurídica que permite a ingerência nesses direitos deve definir o alcance da restrição ao exercício do direito em causa (121).

121

| (114) | Em segundo lugar, para satisfazer o requisito da proporcionalidade segundo o qual as derrogações à proteção de dados pessoais e as suas restrições devem ocorrer na estrita medida do necessário numa sociedade democrática para alcançar os objetivos específicos de interesse geral equivalentes aos reconhecidos pela União, a regulamentação do país terceiro em causa que permite a ingerência deve prever regras claras e precisas que regulem o alcance e a aplicação das medidas em causa e imponham requisitos mínimos, de modo que as pessoas cujos dados foram transferidos disponham de garantias suficientes que permitam proteger eficazmente os seus dados pessoais contra os riscos de abuso (122). A regulamentação deve, em especial, indicar em que circunstâncias e em que condições se pode adotar uma medida que preveja o tratamento desses dados (123), bem como sujeitar o cumprimento desses requisitos a uma supervisão independente (124). |
| --- | --- |

(114)

Em segundo lugar, para satisfazer o requisito da proporcionalidade segundo o qual as derrogações à proteção de dados pessoais e as suas restrições devem ocorrer na estrita medida do necessário numa sociedade democrática para alcançar os objetivos específicos de interesse geral equivalentes aos reconhecidos pela União, a regulamentação do país terceiro em causa que permite a ingerência deve prever regras claras e precisas que regulem o alcance e a aplicação das medidas em causa e imponham requisitos mínimos, de modo que as pessoas cujos dados foram transferidos disponham de garantias suficientes que permitam proteger eficazmente os seus dados pessoais contra os riscos de abuso (122). A regulamentação deve, em especial, indicar em que circunstâncias e em que condições se pode adotar uma medida que preveja o tratamento desses dados (123), bem como sujeitar o cumprimento desses requisitos a uma supervisão independente (124).

122

123

124

| (115) | Em terceiro lugar, essa regulamentação deve ser juridicamente vinculativa ao abrigo da legislação interna e estes requisitos legais devem não só ser vinculativos para as autoridades, mas também executáveis junto dos tribunais contra as autoridades do país terceiro em questão (125). Em particular, os titulares de dados devem dispor da possibilidade de recorrer a medidas jurídicas corretivas eficazes num tribunal independente e imparcial, para ter acesso a dados pessoais que lhes digam respeito ou para obter a retificação ou a supressão desses dados (126). |
| --- | --- |

(115)

Em terceiro lugar, essa regulamentação deve ser juridicamente vinculativa ao abrigo da legislação interna e estes requisitos legais devem não só ser vinculativos para as autoridades, mas também executáveis junto dos tribunais contra as autoridades do país terceiro em questão (125). Em particular, os titulares de dados devem dispor da possibilidade de recorrer a medidas jurídicas corretivas eficazes num tribunal independente e imparcial, para ter acesso a dados pessoais que lhes digam respeito ou para obter a retificação ou a supressão desses dados (126).

125

126

3.1   Quadro jurídico geral

Quadro jurídico geral

| (116) | Enquanto exercício de poder de uma autoridade pública, o acesso governamental no Reino Unido deve ter lugar no pleno respeito pela lei. O Reino Unido ratificou a Convenção Europeia dos Direitos Humanos (ver o considerando 9) e todas as autoridades públicas do Reino Unido são obrigadas a cumprir a Convenção (127). O artigo 8.o da Convenção prevê que não pode haver ingerência senão quando esta ingerência estiver prevista na lei, tendo em conta os interesses de um dos objetivos estabelecidos no artigo 8.o, n.o 2, e proporcionais à luz desse objetivo. O artigo 8.o também exige que a ingerência seja «previsível», ou seja, que tenha uma base clara e acessível prevista na lei e que a lei contenha garantias adequadas para evitar abusos. |
| --- | --- |

(116)

Enquanto exercício de poder de uma autoridade pública, o acesso governamental no Reino Unido deve ter lugar no pleno respeito pela lei. O Reino Unido ratificou a Convenção Europeia dos Direitos Humanos (ver o considerando 9) e todas as autoridades públicas do Reino Unido são obrigadas a cumprir a Convenção (127). O artigo 8.o da Convenção prevê que não pode haver ingerência senão quando esta ingerência estiver prevista na lei, tendo em conta os interesses de um dos objetivos estabelecidos no artigo 8.o, n.o 2, e proporcionais à luz desse objetivo. O artigo 8.o também exige que a ingerência seja «previsível», ou seja, que tenha uma base clara e acessível prevista na lei e que a lei contenha garantias adequadas para evitar abusos.

127

o

o

o

o

| (117) | Além disso, na sua jurisprudência, o Tribunal Europeu dos Direitos Humanos especificou que qualquer ingerência no direito à privacidade e à proteção dos dados deve ser sujeita a um sistema de supervisão eficaz, independente e imparcial que deve ser fornecido por um juiz ou por outro organismo independente (128) (por exemplo, uma autoridade administrativa ou um órgão parlamentar). |
| --- | --- |

(117)

Além disso, na sua jurisprudência, o Tribunal Europeu dos Direitos Humanos especificou que qualquer ingerência no direito à privacidade e à proteção dos dados deve ser sujeita a um sistema de supervisão eficaz, independente e imparcial que deve ser fornecido por um juiz ou por outro organismo independente (128) (por exemplo, uma autoridade administrativa ou um órgão parlamentar).

128

| (118) | Além disso, as pessoas singulares devem ter direito a uma ação e o Tribunal Europeu dos Direitos Humanos esclareceu que a ação deve ser proporcionada por um organismo independente e imparcial que adotou o seu próprio regulamento interno, composto por membros que têm ou tiveram um cargo judicial elevado ou são advogados experientes e que não deve haver encargos evidentes a superar para intentar uma ação. No âmbito da apreciação de reclamações apresentadas por pessoas singulares, o órgão independente e imparcial deve ter acesso a todas as informações pertinentes, incluindo elementos confidenciais. Por último, deve ter poderes para impor a correção do incumprimento (129). |
| --- | --- |

(118)

Além disso, as pessoas singulares devem ter direito a uma ação e o Tribunal Europeu dos Direitos Humanos esclareceu que a ação deve ser proporcionada por um organismo independente e imparcial que adotou o seu próprio regulamento interno, composto por membros que têm ou tiveram um cargo judicial elevado ou são advogados experientes e que não deve haver encargos evidentes a superar para intentar uma ação. No âmbito da apreciação de reclamações apresentadas por pessoas singulares, o órgão independente e imparcial deve ter acesso a todas as informações pertinentes, incluindo elementos confidenciais. Por último, deve ter poderes para impor a correção do incumprimento (129).

129

| (119) | O Reino Unido também ratificou a Convenção do Conselho da Europa para a Proteção das Pessoas Relativamente ao Tratamento Automatizado de Dados de Caráter Pessoal (convenção 108) e assinou o Protocolo que altera a Convenção para a Proteção das Pessoas Relativamente ao Tratamento Automatizado de Dados de Caráter Pessoal (conhecida como Convenção 108+) em 2018 (130). O artigo 9.o da Convenção 108 prevê que as derrogações dos princípios gerais de proteção de dados (artigo 5.o Qualidade dos dados), das normas que regem as categorias especiais de dados (artigo 6.o — Categorias especiais de dados) e dos direitos dos titulares dos dados (artigo 8.o — Garantias suplementares aplicáveis ao titular dos dados) apenas são permitidas quando essa derrogação está prevista na lei da Parte e constitui uma medida necessária numa sociedade democrática à proteção da segurança do Estado, da segurança pública, dos interesses monetários do Estado ou da repressão de infrações penais ou à proteção do titular dos dados ou dos direitos e liberdades de outrem (131). |
| --- | --- |

(119)

O Reino Unido também ratificou a Convenção do Conselho da Europa para a Proteção das Pessoas Relativamente ao Tratamento Automatizado de Dados de Caráter Pessoal (convenção 108) e assinou o Protocolo que altera a Convenção para a Proteção das Pessoas Relativamente ao Tratamento Automatizado de Dados de Caráter Pessoal (conhecida como Convenção 108+) em 2018 (130). O artigo 9.o da Convenção 108 prevê que as derrogações dos princípios gerais de proteção de dados (artigo 5.o Qualidade dos dados), das normas que regem as categorias especiais de dados (artigo 6.o — Categorias especiais de dados) e dos direitos dos titulares dos dados (artigo 8.o — Garantias suplementares aplicáveis ao titular dos dados) apenas são permitidas quando essa derrogação está prevista na lei da Parte e constitui uma medida necessária numa sociedade democrática à proteção da segurança do Estado, da segurança pública, dos interesses monetários do Estado ou da repressão de infrações penais ou à proteção do titular dos dados ou dos direitos e liberdades de outrem (131).

130

o

o

o

o

131

| (120) | Como tal, através da adesão ao Conselho da Europa, da adesão à Convenção Europeia dos Direitos Humanos e da submissão à jurisdição do Tribunal Europeu dos Direitos Humanos, o Reino Unido está sujeito a um conjunto de obrigações, consagradas no direito internacional, o que implica que o seu sistema de acesso governamental deve respeitar princípios, garantias e direitos individuais semelhantes aos garantidos ao abrigo do direito da UE e aplicáveis aos Estados-Membros. Conforme salienta o considerando 19, a adesão contínua a esses instrumentos é, como tal, um elemento particularmente importante da avaliação na qual esta decisão se baseia. |
| --- | --- |

(120)

Como tal, através da adesão ao Conselho da Europa, da adesão à Convenção Europeia dos Direitos Humanos e da submissão à jurisdição do Tribunal Europeu dos Direitos Humanos, o Reino Unido está sujeito a um conjunto de obrigações, consagradas no direito internacional, o que implica que o seu sistema de acesso governamental deve respeitar princípios, garantias e direitos individuais semelhantes aos garantidos ao abrigo do direito da UE e aplicáveis aos Estados-Membros. Conforme salienta o considerando 19, a adesão contínua a esses instrumentos é, como tal, um elemento particularmente importante da avaliação na qual esta decisão se baseia.

| (121) | Além disso, o DPA 2018 garante salvaguardas e direitos específicos em matéria de proteção de dados nos casos em que os dados são tratados por autoridades públicas, incluindo por organismos de aplicação da lei e de segurança nacional. |
| --- | --- |

(121)

Além disso, o DPA 2018 garante salvaguardas e direitos específicos em matéria de proteção de dados nos casos em que os dados são tratados por autoridades públicas, incluindo por organismos de aplicação da lei e de segurança nacional.

| (122) | Em particular, a parte 3 do DPA 2018 define o regime para o tratamento de dados pessoais no contexto da aplicação do direito penal, que foi adotado para transpor a Diretiva (UE) 2016/680. A parte 3 do DPA 2018 é aplicável ao tratamento de dados pessoais efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública (132). |
| --- | --- |

(122)

Em particular, a parte 3 do DPA 2018 define o regime para o tratamento de dados pessoais no contexto da aplicação do direito penal, que foi adotado para transpor a Diretiva (UE) 2016/680. A parte 3 do DPA 2018 é aplicável ao tratamento de dados pessoais efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública (132).

132

| (123) | A section 30 do DPA define o conceito de «autoridade competente» como uma das pessoas constantes do schedule 7 do DPA 2018, bem como qualquer outra pessoa desde que desempenhe funções legais para efeitos de aplicação da lei (133). Conforme explicado abaixo (ver o considerando 139), determinadas autoridades competentes (por exemplo, a National Crime Agency [agência britânica de combate à criminalidade]) podem utilizar, em determinadas condições, os poderes previstos no Investigatory Power Act [Lei de 2016 relativa aos poderes de investigação] (IPA 2016). Neste caso, as garantias previstas no IPA 2016 serão aplicáveis para além das previstas na parte 3 do DPA 2018. Os serviços de informações (o Secret Intelligence Service, o Security Service e o quartel-general de comunicações do governo) não são «autoridades competentes» (134) o âmbito da parte 3 do DPA 2018 e, por conseguinte, as regras aí previstas não são aplicáveis a nenhuma das suas atividades. É dedicada uma parte específica do DPA 2018 (parte 4) ao tratamento de dados pessoais pelos serviços de informações (para mais pormenores, ver o considerando 125). |
| --- | --- |

(123)

A section 30 do DPA define o conceito de «autoridade competente» como uma das pessoas constantes do schedule 7 do DPA 2018, bem como qualquer outra pessoa desde que desempenhe funções legais para efeitos de aplicação da lei (133). Conforme explicado abaixo (ver o considerando 139), determinadas autoridades competentes (por exemplo, a National Crime Agency [agência britânica de combate à criminalidade]) podem utilizar, em determinadas condições, os poderes previstos no Investigatory Power Act [Lei de 2016 relativa aos poderes de investigação] (IPA 2016). Neste caso, as garantias previstas no IPA 2016 serão aplicáveis para além das previstas na parte 3 do DPA 2018. Os serviços de informações (o Secret Intelligence Service, o Security Service e o quartel-general de comunicações do governo) não são «autoridades competentes» (134) o âmbito da parte 3 do DPA 2018 e, por conseguinte, as regras aí previstas não são aplicáveis a nenhuma das suas atividades. É dedicada uma parte específica do DPA 2018 (parte 4) ao tratamento de dados pessoais pelos serviços de informações (para mais pormenores, ver o considerando 125).

section 30

schedule 7

133

National Crime Agency

Investigatory Power Act

Secret Intelligence Service

Security Service

134

| (124) | À semelhança da Diretiva (UE) 2016/680, a parte 3 do DPA 2018 estabelece os princípios de licitude e lealdade (135), limitação das finalidades (136), minimização dos dados (137), exatidão (138), limitação da conservação (139) e segurança (140). A legislação impõe obrigações de transparência específicas (141) e prevê o direito de acesso (142), retificação e apagamento (143) e o direito de não ficar sujeito a nenhuma decisão tomada exclusivamente com base no tratamento automatizado (144) conferidos às pessoas singulares. A autoridades competentes são igualmente obrigadas a aplicar a proteção de dados desde a conceção e por defeito, a conservar registos das atividades de tratamento e, no caso de determinadas operações de tratamento, a realizar avaliações do impacto sobre a proteção de dados e a efetuar uma consulta prévia do comissário para a informação (145). Nos termos da section 56 do DPA 2018, são obrigadas a comprovar o cumprimento. Além disso, são obrigadas a aplicar medidas adequadas para garantir a segurança do tratamento (146) e estão sujeitas a obrigações específicas em caso de violação dos dados, incluindo notificações dessas violações ao comissário para a informação e aos titulares dos dados (147). À semelhança do que acontece na Diretiva (UE) 2016/680, existe igualmente a obrigação de o responsável pelo tratamento (a menos que seja um tribunal ou outra autoridade judicial no exercício da sua função jurisdicional) designar um encarregado da proteção de dados (EPD) (148) que preste assistência ao responsável pelo tratamento no sentido de assegurar o cumprimento das suas obrigações, bem como de controlar esse cumprimento (149). Além disso, a legislação impõe requisitos específicos para transferências internacionais de dados pessoais para países terceiros ou organizações internacionais para efeitos de aplicação da lei, de modo a garantir a continuidade da proteção (150). Na mesma data da presente decisão, a Comissão adotou uma decisão de adequação com base no artigo 36.o, n.o 3, da Diretiva (UE) 2016/680, e concluiu que o regime de proteção de dados aplicável ao tratamento efetuado pelas autoridades do Reino Unido responsáveis pela aplicação da lei assegura um nível de proteção essencialmente equivalente ao assegurado na Diretiva (UE) 2016/680. |
| --- | --- |

(124)

À semelhança da Diretiva (UE) 2016/680, a parte 3 do DPA 2018 estabelece os princípios de licitude e lealdade (135), limitação das finalidades (136), minimização dos dados (137), exatidão (138), limitação da conservação (139) e segurança (140). A legislação impõe obrigações de transparência específicas (141) e prevê o direito de acesso (142), retificação e apagamento (143) e o direito de não ficar sujeito a nenhuma decisão tomada exclusivamente com base no tratamento automatizado (144) conferidos às pessoas singulares. A autoridades competentes são igualmente obrigadas a aplicar a proteção de dados desde a conceção e por defeito, a conservar registos das atividades de tratamento e, no caso de determinadas operações de tratamento, a realizar avaliações do impacto sobre a proteção de dados e a efetuar uma consulta prévia do comissário para a informação (145). Nos termos da section 56 do DPA 2018, são obrigadas a comprovar o cumprimento. Além disso, são obrigadas a aplicar medidas adequadas para garantir a segurança do tratamento (146) e estão sujeitas a obrigações específicas em caso de violação dos dados, incluindo notificações dessas violações ao comissário para a informação e aos titulares dos dados (147). À semelhança do que acontece na Diretiva (UE) 2016/680, existe igualmente a obrigação de o responsável pelo tratamento (a menos que seja um tribunal ou outra autoridade judicial no exercício da sua função jurisdicional) designar um encarregado da proteção de dados (EPD) (148) que preste assistência ao responsável pelo tratamento no sentido de assegurar o cumprimento das suas obrigações, bem como de controlar esse cumprimento (149). Além disso, a legislação impõe requisitos específicos para transferências internacionais de dados pessoais para países terceiros ou organizações internacionais para efeitos de aplicação da lei, de modo a garantir a continuidade da proteção (150). Na mesma data da presente decisão, a Comissão adotou uma decisão de adequação com base no artigo 36.o, n.o 3, da Diretiva (UE) 2016/680, e concluiu que o regime de proteção de dados aplicável ao tratamento efetuado pelas autoridades do Reino Unido responsáveis pela aplicação da lei assegura um nível de proteção essencialmente equivalente ao assegurado na Diretiva (UE) 2016/680.

135

136

137

138

139

140

141

142

143

144

145

section 56

146

147

148

149

150

o

o

| (125) | A parte 4 do DPA 2018 é aplicável a qualquer tratamento efetuado por ou em nome dos serviços de informações. Em particular, estabelece os principais princípios de proteção de dados (licitude, lealdade e transparência (151); limitação das finalidades (152); minimização dos dados (153); exatidão (154); limitação da conservação (155) e segurança (156)), impõe condições para o tratamento de categorias especiais de dados (157), prevê os direitos dos titulares dos dados (158), exige a proteção de dados desde a conceção (159) e regula as transferências internacionais de dados pessoais (160). O ICO emitiu recentemente orientações pormenorizadas sobre o tratamento efetuado pelas agências de informações ao abrigo da parte 4 do DPA 2018 (161). |
| --- | --- |

(125)

A parte 4 do DPA 2018 é aplicável a qualquer tratamento efetuado por ou em nome dos serviços de informações. Em particular, estabelece os principais princípios de proteção de dados (licitude, lealdade e transparência (151); limitação das finalidades (152); minimização dos dados (153); exatidão (154); limitação da conservação (155) e segurança (156)), impõe condições para o tratamento de categorias especiais de dados (157), prevê os direitos dos titulares dos dados (158), exige a proteção de dados desde a conceção (159) e regula as transferências internacionais de dados pessoais (160). O ICO emitiu recentemente orientações pormenorizadas sobre o tratamento efetuado pelas agências de informações ao abrigo da parte 4 do DPA 2018 (161).

151

152

153

154

155

156

157

158

159

160

161

| (126) | Paralelamente, a section 110 do DPA 2018 prevê uma isenção das disposições determinadas na parte 4 (162) do DPA 2018 quando essa isenção é necessária para proteger a segurança nacional. É possível recorrer a esta isenção com base numa análise casuística (163). Conforme explicado pelas autoridades do Reino Unido e confirmado pela jurisprudência, um «responsável pelo tratamento deve ter em conta as consequências efetivas para a segurança nacional ou a defesa caso tenha de cumprir a disposição específica em matéria de proteção de dados e se consegue cumprir razoavelmente a regra habitual sem afetar a segurança nacional ou a defesa» (164). Cabe à supervisão do ICO determinar se a isenção foi usada adequadamente ou não (165). |
| --- | --- |

(126)

Paralelamente, a section 110 do DPA 2018 prevê uma isenção das disposições determinadas na parte 4 (162) do DPA 2018 quando essa isenção é necessária para proteger a segurança nacional. É possível recorrer a esta isenção com base numa análise casuística (163). Conforme explicado pelas autoridades do Reino Unido e confirmado pela jurisprudência, um «responsável pelo tratamento deve ter em conta as consequências efetivas para a segurança nacional ou a defesa caso tenha de cumprir a disposição específica em matéria de proteção de dados e se consegue cumprir razoavelmente a regra habitual sem afetar a segurança nacional ou a defesa» (164). Cabe à supervisão do ICO determinar se a isenção foi usada adequadamente ou não (165).

section 110

162

163

164

165

| (127) | Além disso, no que se refere à possibilidade de restringir a aplicação das disposições acima referidas, de acordo com a section 111 do DPA 2018, para efeitos de proteção da «segurança nacional», um responsável pelo tratamento pode solicitar um certificado assinado por um ministro do Gabinete ou pelo procurador-geral (Attorney General) que ateste que a restrição desses direitos constitui uma medida necessária e proporcionada para a proteção da segurança nacional (166). |
| --- | --- |

(127)

Além disso, no que se refere à possibilidade de restringir a aplicação das disposições acima referidas, de acordo com a section 111 do DPA 2018, para efeitos de proteção da «segurança nacional», um responsável pelo tratamento pode solicitar um certificado assinado por um ministro do Gabinete ou pelo procurador-geral (Attorney General) que ateste que a restrição desses direitos constitui uma medida necessária e proporcionada para a proteção da segurança nacional (166).

section 111

Attorney General

166

| (128) | O governo do Reino Unido emitiu orientações para auxiliar os responsáveis pelo tratamento a decidir se devem solicitar um certificado de segurança nacional ao abrigo do DPA 2018, que saliente que a restrição dos direitos dos titulares dos dados para efeitos de proteção da segurança nacional é uma medida necessária e proporcionada (167). Todos os certificados de segurança nacional terão de ser publicados no sítio Web do ICO (168). |
| --- | --- |

(128)

O governo do Reino Unido emitiu orientações para auxiliar os responsáveis pelo tratamento a decidir se devem solicitar um certificado de segurança nacional ao abrigo do DPA 2018, que saliente que a restrição dos direitos dos titulares dos dados para efeitos de proteção da segurança nacional é uma medida necessária e proporcionada (167). Todos os certificados de segurança nacional terão de ser publicados no sítio Web do ICO (168).

167

168

| (129) | O certificado deverá ter uma duração fixa não superior a cinco anos, de forma a ser analisado regularmente pelo executivo (169). Um certificado deve identificar os dados pessoais ou as categorias de dados pessoais sujeitas à isenção, bem como as disposições do DPA 2018 às quais se aplica a isenção (170). |
| --- | --- |

(129)

O certificado deverá ter uma duração fixa não superior a cinco anos, de forma a ser analisado regularmente pelo executivo (169). Um certificado deve identificar os dados pessoais ou as categorias de dados pessoais sujeitas à isenção, bem como as disposições do DPA 2018 às quais se aplica a isenção (170).

169

170

| (130) | Importa notar que os certificados de segurança nacional não preveem um motivo adicional a fim de restringir os direitos em matéria de proteção de dados por razões de segurança nacional. Por outras palavras, o responsável pelo tratamento ou o subcontratante só pode recorrer a um certificado quando tiver a certeza de que o recurso à isenção de segurança nacional constitui uma medida necessária, sendo que, para isso, tal como explicado acima, deve ser realizada uma análise casuística (171). Mesmo que um certificado de segurança nacional se aplique à matéria em questão, o ICO pode investigar se o recurso à isenção de segurança nacional constituía uma medida justificada num caso específico (172). |
| --- | --- |

(130)

Importa notar que os certificados de segurança nacional não preveem um motivo adicional a fim de restringir os direitos em matéria de proteção de dados por razões de segurança nacional. Por outras palavras, o responsável pelo tratamento ou o subcontratante só pode recorrer a um certificado quando tiver a certeza de que o recurso à isenção de segurança nacional constitui uma medida necessária, sendo que, para isso, tal como explicado acima, deve ser realizada uma análise casuística (171). Mesmo que um certificado de segurança nacional se aplique à matéria em questão, o ICO pode investigar se o recurso à isenção de segurança nacional constituía uma medida justificada num caso específico (172).

171

172

| (131) | Uma pessoa diretamente afetada pela emissão do certificado pode recorrer ao Upper Tribunal (173) para contestar o certificado (174) ou, caso o certificado inclua a identificação dos dados por meio de uma descrição geral, para contestar a aplicação do mesmo a dados específicos (175). O tribunal irá analisar a decisão de emitir um certificado e decidirá se existiram motivos razoáveis para a emissão do certificado (176). O tribunal pode ter em conta um vasto conjunto de questões, nomeadamente a necessidade, a proporcionalidade e a licitude, tendo em conta o impacto nos direitos dos titulares de dados e equilibrando a necessidade de proteger a segurança nacional. Consequentemente, o tribunal pode determinar que o certificado não se aplica aos dados pessoais específicos que são o objeto do recurso (177). |
| --- | --- |

(131)

Uma pessoa diretamente afetada pela emissão do certificado pode recorrer ao Upper Tribunal (173) para contestar o certificado (174) ou, caso o certificado inclua a identificação dos dados por meio de uma descrição geral, para contestar a aplicação do mesmo a dados específicos (175). O tribunal irá analisar a decisão de emitir um certificado e decidirá se existiram motivos razoáveis para a emissão do certificado (176). O tribunal pode ter em conta um vasto conjunto de questões, nomeadamente a necessidade, a proporcionalidade e a licitude, tendo em conta o impacto nos direitos dos titulares de dados e equilibrando a necessidade de proteger a segurança nacional. Consequentemente, o tribunal pode determinar que o certificado não se aplica aos dados pessoais específicos que são o objeto do recurso (177).

Upper Tribunal

173

174

175

176

177

| (132) | Ao abrigo do schedule 11 do DPA 2018, aplica-se um conjunto diferente de possíveis restrições a determinadas disposições da parte 4 do DPA 2018 (178) para salvaguardar outros importantes objetivos de interesse público geral ou interesses protegidos, como, por exemplo, privilégio parlamentar, privilégio profissional legal, a conduta dos processos judiciais ou a eficácia do combate das forças armadas (179). A aplicação destas disposições está isenta para determinadas categorias de dados («com base na categoria») ou isenta na medida em que a aplicação destas disposições seria suscetível de prejudicar o interesse protegido («com base no prejuízo») (180). As isenções com base no prejuízo só podem ser invocadas na medida em que a aplicação das disposições enumeradas em matéria de proteção de dados seriam suscetíveis de prejudicar o interesse específico em questão. Como tal, a utilização de uma isenção deverá sempre ser justificada e dever-se-á referir o prejuízo relevante que seria suscetível de ocorrer no caso individual. As isenções com base na categoria apenas podem ser invocadas relativamente à categoria de dados específica e definida de modo circunscrito à qual é concedida a isenção. A sua finalidade e efeito são semelhantes a várias das exceções previstas no RGPD do Reino Unido (no schedule 2 do DPA 2018) que, por sua vez, refletem as limitações previstas no artigo 23.o do RGPD. |
| --- | --- |

(132)

Ao abrigo do schedule 11 do DPA 2018, aplica-se um conjunto diferente de possíveis restrições a determinadas disposições da parte 4 do DPA 2018 (178) para salvaguardar outros importantes objetivos de interesse público geral ou interesses protegidos, como, por exemplo, privilégio parlamentar, privilégio profissional legal, a conduta dos processos judiciais ou a eficácia do combate das forças armadas (179). A aplicação destas disposições está isenta para determinadas categorias de dados («com base na categoria») ou isenta na medida em que a aplicação destas disposições seria suscetível de prejudicar o interesse protegido («com base no prejuízo») (180). As isenções com base no prejuízo só podem ser invocadas na medida em que a aplicação das disposições enumeradas em matéria de proteção de dados seriam suscetíveis de prejudicar o interesse específico em questão. Como tal, a utilização de uma isenção deverá sempre ser justificada e dever-se-á referir o prejuízo relevante que seria suscetível de ocorrer no caso individual. As isenções com base na categoria apenas podem ser invocadas relativamente à categoria de dados específica e definida de modo circunscrito à qual é concedida a isenção. A sua finalidade e efeito são semelhantes a várias das exceções previstas no RGPD do Reino Unido (no schedule 2 do DPA 2018) que, por sua vez, refletem as limitações previstas no artigo 23.o do RGPD.

schedule 11

178

179

180

schedule 2

o

| (133) | No seguimento do disposto anteriormente, estão previstas restrições e condições ao abrigo das disposições legais aplicáveis do Reino Unido, conforme igualmente interpretado pelos tribunais e pelo comissário para a informação, de modo a garantir que essas isenções e restrições permanecem dentro dos limites daquilo que é necessário e proporcionado para proteger a segurança nacional. |
| --- | --- |

(133)

No seguimento do disposto anteriormente, estão previstas restrições e condições ao abrigo das disposições legais aplicáveis do Reino Unido, conforme igualmente interpretado pelos tribunais e pelo comissário para a informação, de modo a garantir que essas isenções e restrições permanecem dentro dos limites daquilo que é necessário e proporcionado para proteger a segurança nacional.

3.2   Acesso e utilização pelas autoridades públicas do Reino Unido para efeitos de aplicação do direito penal

Acesso e utilização pelas autoridades públicas do Reino Unido para efeitos de aplicação do direito penal

| (134) | O direito do Reino Unido impõe uma série de limitações ao acesso e à utilização de dados pessoais para efeitos de aplicação da lei e prevê mecanismos de recurso e supervisão neste domínio, que estão em conformidade com os requisitos referidos nos considerandos 113 a 115 da presente decisão. As secções apresentadas de seguida descrevem as condições nas quais esse acesso pode ser efetuado e as garantias aplicáveis à utilização desses poderes. |
| --- | --- |

(134)

O direito do Reino Unido impõe uma série de limitações ao acesso e à utilização de dados pessoais para efeitos de aplicação da lei e prevê mecanismos de recurso e supervisão neste domínio, que estão em conformidade com os requisitos referidos nos considerandos 113 a 115 da presente decisão. As secções apresentadas de seguida descrevem as condições nas quais esse acesso pode ser efetuado e as garantias aplicáveis à utilização desses poderes.

3.2.1   Bases jurídicas e limitações/garantias aplicáveis

Bases jurídicas e limitações/garantias aplicáveis

| (135) | Nos termos do princípio de licitude garantido na section 35 do DPA 2018, o tratamento de dados pessoais para efeitos de aplicação da lei só é lícito se estiver previsto na lei e se o titular dos dados tiver dado o seu consentimento ao tratamento para essa finalidade (181) ou o tratamento for necessário ao exercício de funções de uma autoridade competente para essa finalidade. |
| --- | --- |

(135)

Nos termos do princípio de licitude garantido na section 35 do DPA 2018, o tratamento de dados pessoais para efeitos de aplicação da lei só é lícito se estiver previsto na lei e se o titular dos dados tiver dado o seu consentimento ao tratamento para essa finalidade (181) ou o tratamento for necessário ao exercício de funções de uma autoridade competente para essa finalidade.

section 35

181

3.2.1.1   Mandados de busca e ordens de entrega

Mandados de busca e ordens de entrega

| (136) | O quadro jurídico do Reino Unido autoriza a recolha de dados pessoais dos operadores comerciais, incluindo aqueles que tratariam dados transferidos da UE ao abrigo da presente decisão de adequação, para efeitos de aplicação do direito penal, com base em mandados de busca (182) e ordens de entrega (183). |
| --- | --- |

(136)

O quadro jurídico do Reino Unido autoriza a recolha de dados pessoais dos operadores comerciais, incluindo aqueles que tratariam dados transferidos da UE ao abrigo da presente decisão de adequação, para efeitos de aplicação do direito penal, com base em mandados de busca (182) e ordens de entrega (183).

182

183

| (137) | Os mandados de busca são emitidos por um tribunal, por norma mediante pedido do responsável de investigação. Estes mandados permitem que um responsável aceda às instalações para procurar materiais ou pessoas importantes para a sua investigação e guarde qualquer coisa que esteja autorizada no âmbito da busca, incluindo documentos ou materiais relevantes que incluam dados pessoais (184). Uma ordem de entrega, que também deve ser emitida por um tribunal, exige que a pessoa especificada no mesmo entregue ou dê acesso aos materiais que se encontram na sua posse ou sobre os quais exerce controlo. O requerente deve justificar perante o tribunal por que motivo o mandado ou a ordem é necessário e por que motivo é do interesse público. Existem vários poderes legais que autorizam a emissão de mandados de busca e de ordens de entrega. Cada disposição tem o seu próprio conjunto de condições legais, que devem ser cumpridas no caso de um mandado (185) ou de uma ordem de entrega (186) que será emitida. |
| --- | --- |

(137)

Os mandados de busca são emitidos por um tribunal, por norma mediante pedido do responsável de investigação. Estes mandados permitem que um responsável aceda às instalações para procurar materiais ou pessoas importantes para a sua investigação e guarde qualquer coisa que esteja autorizada no âmbito da busca, incluindo documentos ou materiais relevantes que incluam dados pessoais (184). Uma ordem de entrega, que também deve ser emitida por um tribunal, exige que a pessoa especificada no mesmo entregue ou dê acesso aos materiais que se encontram na sua posse ou sobre os quais exerce controlo. O requerente deve justificar perante o tribunal por que motivo o mandado ou a ordem é necessário e por que motivo é do interesse público. Existem vários poderes legais que autorizam a emissão de mandados de busca e de ordens de entrega. Cada disposição tem o seu próprio conjunto de condições legais, que devem ser cumpridas no caso de um mandado (185) ou de uma ordem de entrega (186) que será emitida.

184

185

186

| (138) | Os mandados de busca e as ordens de entrega podem ser contestados por controlo jurisdicional (187).No que diz respeito às garantias, todas as autoridades de aplicação da lei que se enquadram no âmbito da parte 3 do DPA 2018, apenas podem aceder aos dados pessoais – que são uma forma de tratamento – em conformidade com os princípios e os requisitos estabelecidos no DPA 2018 (ver os considerandos (122) e (124) above). Como tal, um pedido efetuado por uma autoridade de aplicação da lei deve cumprir o princípio segundo o qual as finalidades do tratamento devem ser específicas, explícitas e legítimas (188) e os dados pessoais tratados por uma autoridade competente devem ser relevantes para essa finalidade e não excessivos (189). |
| --- | --- |

(138)

Os mandados de busca e as ordens de entrega podem ser contestados por controlo jurisdicional (187).No que diz respeito às garantias, todas as autoridades de aplicação da lei que se enquadram no âmbito da parte 3 do DPA 2018, apenas podem aceder aos dados pessoais – que são uma forma de tratamento – em conformidade com os princípios e os requisitos estabelecidos no DPA 2018 (ver os considerandos (122) e (124) above). Como tal, um pedido efetuado por uma autoridade de aplicação da lei deve cumprir o princípio segundo o qual as finalidades do tratamento devem ser específicas, explícitas e legítimas (188) e os dados pessoais tratados por uma autoridade competente devem ser relevantes para essa finalidade e não excessivos (189).

187

188

189

3.2.1.2   Poderes de investigação para efeitos da aplicação da lei

Poderes de investigação para efeitos da aplicação da lei

| (139) | Para efeitos de prevenção ou de deteção unicamente de criminalidade grave (190), determinadas autoridades de aplicação da lei, por exemplo a National Crime Agency ou o chefe da autoridade policial (191), podem utilizar poderes de investigação específicos ao abrigo do IPA 2016. Neste caso, as garantias previstas no IPA 2016 serão aplicáveis para além das previstas na parte 3 do DPA 2018. Os poderes de investigação específicos a que essas autoridades de aplicação da lei podem recorrer são os seguintes: interceções direcionadas (parte 2 do IPA 2016), aquisição de dados de comunicações (parte 3 do IPA 2016), conservação de dados de comunicações (parte 4 do IPA 2016) e interferência direcionada em equipamentos (parte 5 do IPA 2016). A interceção abrange a aquisição dos conteúdos de uma comunicação (192), ao passo que a aquisição e a conservação de dados de comunicações não tem como objetivo obter os conteúdos da comunicação, mas sim obter o «quem», o «quando», o «onde» e o «como» da comunicação. Isto abrange, por exemplo, a hora e a duração de uma comunicação, o número de telefone ou endereço eletrónico do autor e do destinatário da comunicação e, por vezes, a localização dos dispositivos a partir dos quais foi efetuada a comunicação, o assinante de um serviço telefónico ou uma fatura discriminada (193). A interferência com os equipamentos constitui um conjunto de técnicas utilizadas para obter uma série de dados de equipamentos, incluindo computadores, tablets e telemóveis inteligentes, bem como cabos, fios e dispositivos de armazenamento (194). |
| --- | --- |

(139)

Para efeitos de prevenção ou de deteção unicamente de criminalidade grave (190), determinadas autoridades de aplicação da lei, por exemplo a National Crime Agency ou o chefe da autoridade policial (191), podem utilizar poderes de investigação específicos ao abrigo do IPA 2016. Neste caso, as garantias previstas no IPA 2016 serão aplicáveis para além das previstas na parte 3 do DPA 2018. Os poderes de investigação específicos a que essas autoridades de aplicação da lei podem recorrer são os seguintes: interceções direcionadas (parte 2 do IPA 2016), aquisição de dados de comunicações (parte 3 do IPA 2016), conservação de dados de comunicações (parte 4 do IPA 2016) e interferência direcionada em equipamentos (parte 5 do IPA 2016). A interceção abrange a aquisição dos conteúdos de uma comunicação (192), ao passo que a aquisição e a conservação de dados de comunicações não tem como objetivo obter os conteúdos da comunicação, mas sim obter o «quem», o «quando», o «onde» e o «como» da comunicação. Isto abrange, por exemplo, a hora e a duração de uma comunicação, o número de telefone ou endereço eletrónico do autor e do destinatário da comunicação e, por vezes, a localização dos dispositivos a partir dos quais foi efetuada a comunicação, o assinante de um serviço telefónico ou uma fatura discriminada (193). A interferência com os equipamentos constitui um conjunto de técnicas utilizadas para obter uma série de dados de equipamentos, incluindo computadores, tablets e telemóveis inteligentes, bem como cabos, fios e dispositivos de armazenamento (194).

190

National Crime Agency

191

192

193

194

| (140) | Os poderes de interceção direcionada também podem ser utilizados quando forem «necessários para a aplicação das disposições de um instrumento de assistência mútua da UE ou um acordo de assistência mútua internacional» (o chamado «mandado de assistência mútua» (195)). Os mandados de assistência mútua apenas são emitidos em relação à interceção e não à aquisição de dados de comunicações ou à interferência com os equipamentos. Estes poderes direcionados são regulados no Investigatory Powers Act 2016 (Lei de 2016 relativa aos Poderes de Investigação) (IPA 2016) (196), que, em conjunto com o Regulation of Investigatory Powers Act 2000 (Lei de 2000 relativa ao Regulamento dos Poderes de Investigação) (RIPA) da Inglaterra, do País de Gales e da Irlanda do Norte e o Regulation of Investigatory Powers (Scotland) Act 2000 [Lei de 2000 relativa ao Regulamento dos Poderes de Investigação (Escócia)] (RIPSA) da Escócia, apresentam a base jurídica e estabelecem as limitações e as garantias aplicáveis para a utilização desses poderes. O IPA 2016 estabelece ainda o regime de utilização dos poderes de investigação em larga escala, embora as autoridades de aplicação da lei não disponham destes poderes (apenas podem ser utilizados pelas agências de informações) (197). |
| --- | --- |

(140)

Os poderes de interceção direcionada também podem ser utilizados quando forem «necessários para a aplicação das disposições de um instrumento de assistência mútua da UE ou um acordo de assistência mútua internacional» (o chamado «mandado de assistência mútua» (195)). Os mandados de assistência mútua apenas são emitidos em relação à interceção e não à aquisição de dados de comunicações ou à interferência com os equipamentos. Estes poderes direcionados são regulados no Investigatory Powers Act 2016 (Lei de 2016 relativa aos Poderes de Investigação) (IPA 2016) (196), que, em conjunto com o Regulation of Investigatory Powers Act 2000 (Lei de 2000 relativa ao Regulamento dos Poderes de Investigação) (RIPA) da Inglaterra, do País de Gales e da Irlanda do Norte e o Regulation of Investigatory Powers (Scotland) Act 2000 [Lei de 2000 relativa ao Regulamento dos Poderes de Investigação (Escócia)] (RIPSA) da Escócia, apresentam a base jurídica e estabelecem as limitações e as garantias aplicáveis para a utilização desses poderes. O IPA 2016 estabelece ainda o regime de utilização dos poderes de investigação em larga escala, embora as autoridades de aplicação da lei não disponham destes poderes (apenas podem ser utilizados pelas agências de informações) (197).

195

Investigatory Powers Act 2016

196

Regulation of Investigatory Powers Act 2000

Regulation of Investigatory Powers (Scotland) Act 2000

197

| (141) | De modo a exercer estes poderes, as autoridades precisam de obter um mandado (198) emitido por uma autoridade competente (199) e aprovado por um comissário judicial independente (200) [o chamado procedimento «double-lock» (dupla segurança)]. A obtenção desse mandado está sujeita a um teste de necessidade e proporcionalidade (201). Uma vez que estes poderes de investigação específicos previstos no IPA 2016 são os mesmos que os que estão disponíveis para as agências de segurança nacionais, as condições, as limitações e as garantias aplicáveis a esses poderes são descritas na secção referente ao acesso e à utilização de dados pessoais pelas autoridades públicas do Reino Unido para efeitos de segurança nacional (ver os considerandos 177 e seguintes). |
| --- | --- |

(141)

De modo a exercer estes poderes, as autoridades precisam de obter um mandado (198) emitido por uma autoridade competente (199) e aprovado por um comissário judicial independente (200) [o chamado procedimento «double-lock» (dupla segurança)]. A obtenção desse mandado está sujeita a um teste de necessidade e proporcionalidade (201). Uma vez que estes poderes de investigação específicos previstos no IPA 2016 são os mesmos que os que estão disponíveis para as agências de segurança nacionais, as condições, as limitações e as garantias aplicáveis a esses poderes são descritas na secção referente ao acesso e à utilização de dados pessoais pelas autoridades públicas do Reino Unido para efeitos de segurança nacional (ver os considerandos 177 e seguintes).

198

199

200

double-lock

201

3.2.2   Utilização adicional das informações recolhidas

Utilização adicional das informações recolhidas

| (142) | A partilha de dados por uma autoridade de aplicação da lei com outra autoridade para outros fins que não aqueles para os quais foram originalmente recolhidos (a chamada «transferência subsequente») está sujeita a determinadas condições. |
| --- | --- |

(142)

A partilha de dados por uma autoridade de aplicação da lei com outra autoridade para outros fins que não aqueles para os quais foram originalmente recolhidos (a chamada «transferência subsequente») está sujeita a determinadas condições.

| (143) | À semelhança do disposto no artigo 4.o, n.o 2, da Diretiva (UE) 2016/680, a section 36(3) do DPA 2018 permite que os dados pessoais recolhidos por uma autoridade competente para efeitos de aplicação da lei sejam tratados posteriormente (pelo responsável pelo tratamento original ou por outro responsável pelo tratamento) para qualquer outra finalidade de aplicação da lei, desde que o responsável pelo tratamento esteja autorizado por lei a efetuar o tratamento dos dados com outra finalidade e o tratamento seja necessário e proporcional a essa finalidade (202). Neste caso, todas as garantias previstas na parte 3 do DPA 2018, a que se referem os considerandos 122 e 124, são aplicáveis ao tratamento efetuado pela autoridade que os recebe. |
| --- | --- |

(143)

À semelhança do disposto no artigo 4.o, n.o 2, da Diretiva (UE) 2016/680, a section 36(3) do DPA 2018 permite que os dados pessoais recolhidos por uma autoridade competente para efeitos de aplicação da lei sejam tratados posteriormente (pelo responsável pelo tratamento original ou por outro responsável pelo tratamento) para qualquer outra finalidade de aplicação da lei, desde que o responsável pelo tratamento esteja autorizado por lei a efetuar o tratamento dos dados com outra finalidade e o tratamento seja necessário e proporcional a essa finalidade (202). Neste caso, todas as garantias previstas na parte 3 do DPA 2018, a que se referem os considerandos 122 e 124, são aplicáveis ao tratamento efetuado pela autoridade que os recebe.

o

o

section 36(3)

202

| (144) | Na ordem jurídica do Reino Unido, diferentes leis permitem explicitamente a transferência subsequente. Em particular, i) o Digital Economy Act 2017 (Lei de 2017 relativa à Economia Digital) permite a partilha entre as autoridades públicas para várias finalidades, por exemplo, em caso de fraude contra o setor público que implicasse uma perda ou risco de perda para as autoridades públicas (203) ou em caso de dívida com uma autoridade pública ou a Coroa (204); ii) o Crime and Courts Act 2013 (Lei de 2013 relativa ao Crime e aos Tribunais) que permite a partilha de informações com a National Crime Agency (NCA) (205) para o combate, a investigação e a repressão da criminalidade grave e organizada; iii) o Serious Crime Act 2007 (Lei de 2007 relativa à Criminalidade Grave) que permite que as autoridades públicas divulguem informações às organizações antifraude para efeitos de prevenção da fraude (206). |
| --- | --- |

(144)

Na ordem jurídica do Reino Unido, diferentes leis permitem explicitamente a transferência subsequente. Em particular, i) o Digital Economy Act 2017 (Lei de 2017 relativa à Economia Digital) permite a partilha entre as autoridades públicas para várias finalidades, por exemplo, em caso de fraude contra o setor público que implicasse uma perda ou risco de perda para as autoridades públicas (203) ou em caso de dívida com uma autoridade pública ou a Coroa (204); ii) o Crime and Courts Act 2013 (Lei de 2013 relativa ao Crime e aos Tribunais) que permite a partilha de informações com a National Crime Agency (NCA) (205) para o combate, a investigação e a repressão da criminalidade grave e organizada; iii) o Serious Crime Act 2007 (Lei de 2007 relativa à Criminalidade Grave) que permite que as autoridades públicas divulguem informações às organizações antifraude para efeitos de prevenção da fraude (206).

Digital Economy Act 2017

203

204

Crime and Courts Act 2013

National Crime Agency

205

Serious Crime Act 2007

206

| (145) | Estas leis prescrevem explicitamente que a partilha de informações deve cumprir os princípios estabelecidos no DPA 2018. Além disso, o College of Policing emitiu uma Prática Profissional Autorizada para a partilha de informações (207), de modo a auxiliar a polícia no cumprimento das suas obrigações de proteção dos dados previstas no RGPD do Reino Unido, no DPA e no Human Rights Act 1998. O cumprimento da partilha do quadro jurídico aplicável para a proteção de dados está, obviamente, sujeito a controlo jurisdicional (208). |
| --- | --- |

(145)

Estas leis prescrevem explicitamente que a partilha de informações deve cumprir os princípios estabelecidos no DPA 2018. Além disso, o College of Policing emitiu uma Prática Profissional Autorizada para a partilha de informações (207), de modo a auxiliar a polícia no cumprimento das suas obrigações de proteção dos dados previstas no RGPD do Reino Unido, no DPA e no Human Rights Act 1998. O cumprimento da partilha do quadro jurídico aplicável para a proteção de dados está, obviamente, sujeito a controlo jurisdicional (208).

College of Policing

207

Human Rights Act 1998

208

| (146) | Além disso, à semelhança do disposto no artigo 9.o da Diretiva (UE) 2016/680, o DPA 2018 prevê que os dados pessoais recolhidos para efeitos de aplicação da lei podem ser objeto de tratamento para outro fim que não a aplicação da lei quando o tratamento é autorizado por lei (209). |
| --- | --- |

(146)

Além disso, à semelhança do disposto no artigo 9.o da Diretiva (UE) 2016/680, o DPA 2018 prevê que os dados pessoais recolhidos para efeitos de aplicação da lei podem ser objeto de tratamento para outro fim que não a aplicação da lei quando o tratamento é autorizado por lei (209).

o

209

| (147) | Este tipo de partilha abrange dois cenários: 1) quando a autoridade de aplicação do direito penal partilha dados com uma autoridade que não uma de aplicação do direito penal, mas que não é uma agência de informações (como, por exemplo, uma autoridade fiscal ou financeira, uma autoridade da concorrência, uma organização de subsídios para jovens, etc.); e 2) quando uma autoridade de aplicação do direito penal partilha dados com uma agência de informações. No primeiro cenário, o tratamento de dados pessoais encontra-se abrangido pelo âmbito de aplicação do RGPD do Reino Unido, bem como na parte 2 do DPA 2018. A Comissão avaliou as garantias previstas no RGPD do Reino Unido e na parte 2 do DPA 2018 nos considerandos 12 a 111 e chegou à conclusão de que o Reino Unido assegura um nível adequado de proteção dos dados pessoais transferidos da União Europeia para o Reino Unido, no âmbito do Regulamento (UE) 2016/679. |
| --- | --- |

(147)

Este tipo de partilha abrange dois cenários: 1) quando a autoridade de aplicação do direito penal partilha dados com uma autoridade que não uma de aplicação do direito penal, mas que não é uma agência de informações (como, por exemplo, uma autoridade fiscal ou financeira, uma autoridade da concorrência, uma organização de subsídios para jovens, etc.); e 2) quando uma autoridade de aplicação do direito penal partilha dados com uma agência de informações. No primeiro cenário, o tratamento de dados pessoais encontra-se abrangido pelo âmbito de aplicação do RGPD do Reino Unido, bem como na parte 2 do DPA 2018. A Comissão avaliou as garantias previstas no RGPD do Reino Unido e na parte 2 do DPA 2018 nos considerandos 12 a 111 e chegou à conclusão de que o Reino Unido assegura um nível adequado de proteção dos dados pessoais transferidos da União Europeia para o Reino Unido, no âmbito do Regulamento (UE) 2016/679.

| (148) | No segundo cenário, no que diz respeito à partilha de dados recolhidos de uma agência de informações por uma autoridade de aplicação do direito penal para efeitos de segurança nacional, a base jurídica que autoriza essa partilha é a section 19 do Counter Terrorism Act 2008 (Lei de 2008 relativa ao Combate ao Terrorismo) (CTA 2008) (210). Ao abrigo desta lei, qualquer pessoa pode facultar informações a quaisquer serviços de informações para efeitos de cumprimento das funções desse serviço, incluindo as funções de «segurança nacional». |
| --- | --- |

(148)

No segundo cenário, no que diz respeito à partilha de dados recolhidos de uma agência de informações por uma autoridade de aplicação do direito penal para efeitos de segurança nacional, a base jurídica que autoriza essa partilha é a section 19 do Counter Terrorism Act 2008 (Lei de 2008 relativa ao Combate ao Terrorismo) (CTA 2008) (210). Ao abrigo desta lei, qualquer pessoa pode facultar informações a quaisquer serviços de informações para efeitos de cumprimento das funções desse serviço, incluindo as funções de «segurança nacional».

section 19

Counter Terrorism Act 2008

210

| (149) | No que diz respeito às condições em que os dados podem ser partilhados para efeitos de segurança nacional, o Intelligence Services Act (Lei relativa ao Serviço de Informações) (211) e o Security Service Act (Lei relativa ao Serviço de Segurança) (212) limitam a capacidade dos serviços de informações de obterem dados estritamente necessários para cumprirem as suas obrigações legais. As agências de aplicação da lei que procuram partilhar dados com os serviços de informações deverão ter em consideração uma série de fatores/limitações, para além das funções legais das agências que são estabelecidas no Intelligence Services Act e no Security Service Act (213). A section 20 do CTA 2008 clarifica que qualquer partilha de dados efetuada nos termos da section 19 deve cumprir a legislação em matéria de proteção de dados; o que significa que todas as limitações e requisitos estabelecidos na parte 3 do DPA 2018 são aplicáveis. Além disso, uma vez que, para efeitos do Human Rights Act 1998, as autoridades competentes são autoridades públicas, estas devem assegurar o cumprimento dos direitos da Convenção, incluindo o artigo 8.o da CEDH. Estes limites asseguram que qualquer partilha de dados entre as agências de aplicação da lei e os serviços de informações cumprem a legislação em matéria de proteção de dados e a CEDH. |
| --- | --- |

(149)

No que diz respeito às condições em que os dados podem ser partilhados para efeitos de segurança nacional, o Intelligence Services Act (Lei relativa ao Serviço de Informações) (211) e o Security Service Act (Lei relativa ao Serviço de Segurança) (212) limitam a capacidade dos serviços de informações de obterem dados estritamente necessários para cumprirem as suas obrigações legais. As agências de aplicação da lei que procuram partilhar dados com os serviços de informações deverão ter em consideração uma série de fatores/limitações, para além das funções legais das agências que são estabelecidas no Intelligence Services Act e no Security Service Act (213). A section 20 do CTA 2008 clarifica que qualquer partilha de dados efetuada nos termos da section 19 deve cumprir a legislação em matéria de proteção de dados; o que significa que todas as limitações e requisitos estabelecidos na parte 3 do DPA 2018 são aplicáveis. Além disso, uma vez que, para efeitos do Human Rights Act 1998, as autoridades competentes são autoridades públicas, estas devem assegurar o cumprimento dos direitos da Convenção, incluindo o artigo 8.o da CEDH. Estes limites asseguram que qualquer partilha de dados entre as agências de aplicação da lei e os serviços de informações cumprem a legislação em matéria de proteção de dados e a CEDH.

Intelligence Services Act

211

Security Service Act

212

Intelligence Services Act

Security Service Act

213

section 20

section 19

Human Rights Act 1998

o

| (150) | São aplicáveis requisitos específicos quando uma autoridade competente pretende partilhar com as autoridades de aplicação da lei de um país terceiro os dados pessoais objeto de tratamento ao abrigo da parte 3 do DPA 2018 (214). Em particular, essas transferências podem ocorrer quando têm por base regulamentos de adequação efetuados pelo ministro da tutela ou, à falta desses regulamentos, devem ser asseguradas garantias adequadas. A section 75 do DPA 2018 determina a existência de garantias adequadas quando estas se encontram estabelecidas por um instrumento jurídico que vincula o destinatário pretendido ou caso o responsável pelo tratamento, depois de ter avaliado todas as circunstâncias das transferências desse tipo de dados pessoais para o país terceiro ou organização internacional, conclua que existem garantias adequadas para proteger os dados. |
| --- | --- |

(150)

São aplicáveis requisitos específicos quando uma autoridade competente pretende partilhar com as autoridades de aplicação da lei de um país terceiro os dados pessoais objeto de tratamento ao abrigo da parte 3 do DPA 2018 (214). Em particular, essas transferências podem ocorrer quando têm por base regulamentos de adequação efetuados pelo ministro da tutela ou, à falta desses regulamentos, devem ser asseguradas garantias adequadas. A section 75 do DPA 2018 determina a existência de garantias adequadas quando estas se encontram estabelecidas por um instrumento jurídico que vincula o destinatário pretendido ou caso o responsável pelo tratamento, depois de ter avaliado todas as circunstâncias das transferências desse tipo de dados pessoais para o país terceiro ou organização internacional, conclua que existem garantias adequadas para proteger os dados.

214

| (151) | Caso uma transferência não tenha por base um regulamento de adequação ou garantias adequadas, só poderá ser efetuada em circunstâncias determinadas e específicas, denominadas «circunstâncias especiais» (215). Esse é o caso quando a transferência é necessária: a) para defender os interesses vitais do titular dos dados ou de outra pessoa; b) para proteger os interesses legítimos do titular dos dados; c) para a prevenção de uma ameaça imediata e grave contra a segurança pública de um Estado-Membro ou de um país terceiro; d) em casos individuais para efeitos de aplicação da lei; ou e) em casos individuais para efeitos legais (como processos penais ou para obter aconselhamento jurídico). Importa salientar que as alíneas d) e e) não são aplicáveis caso os direitos e liberdades do titular dos dados se sobreponham ao interesse público da transferência. Este conjunto de circunstâncias corresponde a situações e condições específicas que se qualificam como «derrogações», nos termos do artigo 38.o da Diretiva (UE) 2016/680. |
| --- | --- |

(151)

Caso uma transferência não tenha por base um regulamento de adequação ou garantias adequadas, só poderá ser efetuada em circunstâncias determinadas e específicas, denominadas «circunstâncias especiais» (215). Esse é o caso quando a transferência é necessária: a) para defender os interesses vitais do titular dos dados ou de outra pessoa; b) para proteger os interesses legítimos do titular dos dados; c) para a prevenção de uma ameaça imediata e grave contra a segurança pública de um Estado-Membro ou de um país terceiro; d) em casos individuais para efeitos de aplicação da lei; ou e) em casos individuais para efeitos legais (como processos penais ou para obter aconselhamento jurídico). Importa salientar que as alíneas d) e e) não são aplicáveis caso os direitos e liberdades do titular dos dados se sobreponham ao interesse público da transferência. Este conjunto de circunstâncias corresponde a situações e condições específicas que se qualificam como «derrogações», nos termos do artigo 38.o da Diretiva (UE) 2016/680.

215

o

| (152) | Além disso, quando os materiais adquiridos pelas autoridades de aplicação da lei ao abrigo de um mandado que autoriza a utilização da interceção ou da interferência com os equipamentos são entregues a um país terceiro, o IPA 2016 impõe garantias adicionais. Em particular, essa divulgação, definida como «divulgação no estrangeiro», apenas é permitida se a autoridade emissora considerar que existem mecanismos adequados e específicos que limitam o número de pessoas a quem os dados são divulgados, a medida em que os materiais são divulgados ou disponibilizados, bem como a medida em que qualquer um dos materiais é copiado e o número de cópias efetuadas. Além disso, a autoridade emissora pode considerar que são necessários mecanismos adequados para garantir que todas as cópias efetuadas de qualquer uma das partes desses materiais são destruídas assim que deixar de haver motivos válidos para a respetiva conservação (se não forem destruídas antes) (216). |
| --- | --- |

(152)

Além disso, quando os materiais adquiridos pelas autoridades de aplicação da lei ao abrigo de um mandado que autoriza a utilização da interceção ou da interferência com os equipamentos são entregues a um país terceiro, o IPA 2016 impõe garantias adicionais. Em particular, essa divulgação, definida como «divulgação no estrangeiro», apenas é permitida se a autoridade emissora considerar que existem mecanismos adequados e específicos que limitam o número de pessoas a quem os dados são divulgados, a medida em que os materiais são divulgados ou disponibilizados, bem como a medida em que qualquer um dos materiais é copiado e o número de cópias efetuadas. Além disso, a autoridade emissora pode considerar que são necessários mecanismos adequados para garantir que todas as cópias efetuadas de qualquer uma das partes desses materiais são destruídas assim que deixar de haver motivos válidos para a respetiva conservação (se não forem destruídas antes) (216).

216

| (153) | Por último, no futuro podem ocorrer formas específicas de transferências ulteriores do Reino Unido para os Estados Unidos, com base no «Acordo entre o Governo do Reino Unido da Grã-Bretanha e da Irlanda do Norte e o Governo dos Estados Unidos da América relativo ao acesso aos dados eletrónicos para efeitos de combate à criminalidade grave» («Acordo RU-EUA» ou «Acordo») (217), celebrado em outubro de 2019 (218). Apesar de o Acordo RU-EUA ainda não ter entrado em vigor [aquando da adoção da presente decisão], a sua previsível entrada em vigor pode afetar as transferências ulteriores para os EUA de dados transferidos primeiro para o Reino Unido com base na decisão. Mais especificamente, os dados transferidos da UE para os prestadores de serviços no Reino Unido podem ser sujeitos a ordens para a produção de elementos de prova eletrónicos emitidos pelas autoridades de aplicação da lei competentes dos EUA e aplicáveis no Reino Unido ao abrigo do presente acordo depois de o mesmo entrar em vigor. Por estes motivos, a avaliação das condições e das garantias ao abrigo das quais essas ordens podem ser emitidas e executadas é relevante para a presente decisão. |
| --- | --- |

(153)

Por último, no futuro podem ocorrer formas específicas de transferências ulteriores do Reino Unido para os Estados Unidos, com base no «Acordo entre o Governo do Reino Unido da Grã-Bretanha e da Irlanda do Norte e o Governo dos Estados Unidos da América relativo ao acesso aos dados eletrónicos para efeitos de combate à criminalidade grave» («Acordo RU-EUA» ou «Acordo») (217), celebrado em outubro de 2019 (218). Apesar de o Acordo RU-EUA ainda não ter entrado em vigor [aquando da adoção da presente decisão], a sua previsível entrada em vigor pode afetar as transferências ulteriores para os EUA de dados transferidos primeiro para o Reino Unido com base na decisão. Mais especificamente, os dados transferidos da UE para os prestadores de serviços no Reino Unido podem ser sujeitos a ordens para a produção de elementos de prova eletrónicos emitidos pelas autoridades de aplicação da lei competentes dos EUA e aplicáveis no Reino Unido ao abrigo do presente acordo depois de o mesmo entrar em vigor. Por estes motivos, a avaliação das condições e das garantias ao abrigo das quais essas ordens podem ser emitidas e executadas é relevante para a presente decisão.

217

218

| (154) | A este respeito, importa salientar que, em primeiro lugar, no que se refere ao respetivo âmbito de aplicação material, o acordo só é aplicável a crimes que são puníveis com uma pena máxima de pelo menos três anos (definidos como «crimes graves») (219), incluindo a «atividade terrorista». Em segundo lugar, ao abrigo do presente acordo, os dados objeto de tratamento na outra jurisdição apenas podem ser obtidos após uma «[o]rdem [...] sujeita a apreciação ou supervisão ao abrigo do direito nacional da parte emissora por um tribunal, juiz, magistrado ou outra autoridade independente antes ou durante os processos relativos à execução da Ordem» (220). Em terceiro lugar, qualquer ordem deve «ter como base os requisitos de uma justificação razoável que tenha como base factos articuláveis e credíveis, a particularidade, a legalidade e a gravidade relativas à conduta sob investigação» (221) e «ser direcionada a contas específicas, bem como identificar uma pessoa específica, conta, endereço ou dispositivo pessoal ou qualquer outro identificador específico» (222). Em quarto lugar, os dados obtidos ao abrigo do presente Acordo beneficiam de proteções equivalentes às garantias específicas previstas no chamado «Acordo-Quadro UE-EUA» (223) — um acordo global de proteção de dados celebrado em dezembro de 2016 pela UE e os EUA e que estabelece as garantias e os direitos aplicáveis às transferências de dados no domínio da cooperação para a aplicação da lei — que estão todos incluídos no presente acordo numa base mutatis mutandis, para ter em conta a natureza específica das transferências (ou seja, transferências de operadores particulares para uma autoridade de aplicação da lei, em vez de transferências entre autoridades de aplicação da lei) (224). O Acordo RU-EUA prevê especificamente a aplicação de proteções equivalentes às oferecidas pelo Acordo-Quadro UE-EUA «a todos os dados pessoais elaborados na execução das ordens sujeitas ao acordo, a fim de produzir proteções equivalentes» (225). |
| --- | --- |

(154)

A este respeito, importa salientar que, em primeiro lugar, no que se refere ao respetivo âmbito de aplicação material, o acordo só é aplicável a crimes que são puníveis com uma pena máxima de pelo menos três anos (definidos como «crimes graves») (219), incluindo a «atividade terrorista». Em segundo lugar, ao abrigo do presente acordo, os dados objeto de tratamento na outra jurisdição apenas podem ser obtidos após uma «[o]rdem [...] sujeita a apreciação ou supervisão ao abrigo do direito nacional da parte emissora por um tribunal, juiz, magistrado ou outra autoridade independente antes ou durante os processos relativos à execução da Ordem» (220). Em terceiro lugar, qualquer ordem deve «ter como base os requisitos de uma justificação razoável que tenha como base factos articuláveis e credíveis, a particularidade, a legalidade e a gravidade relativas à conduta sob investigação» (221) e «ser direcionada a contas específicas, bem como identificar uma pessoa específica, conta, endereço ou dispositivo pessoal ou qualquer outro identificador específico» (222). Em quarto lugar, os dados obtidos ao abrigo do presente Acordo beneficiam de proteções equivalentes às garantias específicas previstas no chamado «Acordo-Quadro UE-EUA» (223) — um acordo global de proteção de dados celebrado em dezembro de 2016 pela UE e os EUA e que estabelece as garantias e os direitos aplicáveis às transferências de dados no domínio da cooperação para a aplicação da lei — que estão todos incluídos no presente acordo numa base mutatis mutandis, para ter em conta a natureza específica das transferências (ou seja, transferências de operadores particulares para uma autoridade de aplicação da lei, em vez de transferências entre autoridades de aplicação da lei) (224). O Acordo RU-EUA prevê especificamente a aplicação de proteções equivalentes às oferecidas pelo Acordo-Quadro UE-EUA «a todos os dados pessoais elaborados na execução das ordens sujeitas ao acordo, a fim de produzir proteções equivalentes» (225).

219

220

221

222

223

mutatis mutandis

224

225

| (155) | Como tal, os dados transferidos para as autoridades dos EUA ao abrigo do Acordo RU-EUA devem beneficiar das proteções criadas por um instrumento jurídico da UE, com as adaptações necessárias para refletir a natureza das transferências em questão. As autoridades do Reino Unido confirmaram que as proteções do Acordo-Quadro aplicar-se-ão a todos os dados pessoais elaborados ou conservados ao abrigo do acordo, independentemente da natureza ou do tipo de organismo que realiza o pedido (por exemplo, as autoridades de aplicação da lei federais e estatais nos EUA), para que possam ser oferecidas proteções equivalentes em todos os casos. Contudo, as autoridades do Reino Unido também explicaram que os pormenores sobre a aplicação concreta das garantias em matéria de proteção de dados continuam a ser objeto de discussões entre o Reino Unido e os EUA. No contexto das discussões sobre esta decisão com os serviços da Comissão Europeia, as autoridades do Reino Unido confirmaram que apenas permitirão a entrada em vigor do acordo depois de terem a certeza de que a sua aplicação cumpre as obrigações legais estabelecidas no mesmo, incluindo a clareza no que diz respeito ao cumprimento das normas de proteção de dados aplicáveis aos dados solicitados ao abrigo do presente acordo. Uma vez que a possível entrada em vigor do acordo poderá ter um impacto no nível de proteção avaliado na presente decisão, qualquer informação e futuro esclarecimento relativo à forma como os EUA cumprirão as suas obrigações ao abrigo do acordo deve ser comunicado pelo Reino Unido à Comissão Europeia, assim que estiver disponível e, em qualquer caso, antes da entrada em vigor do acordo, de modo a garantir um controlo adequado da presente decisão, em conformidade com o artigo 45.o, n.o 4, do Regulamento (UE) 2016/679. Será dada especial atenção à aplicação e à adaptação das proteções estabelecidas no Acordo-Quadro para os tipos específicos de transferências abrangidos pelo Acordo RU-EUA. |
| --- | --- |

(155)

Como tal, os dados transferidos para as autoridades dos EUA ao abrigo do Acordo RU-EUA devem beneficiar das proteções criadas por um instrumento jurídico da UE, com as adaptações necessárias para refletir a natureza das transferências em questão. As autoridades do Reino Unido confirmaram que as proteções do Acordo-Quadro aplicar-se-ão a todos os dados pessoais elaborados ou conservados ao abrigo do acordo, independentemente da natureza ou do tipo de organismo que realiza o pedido (por exemplo, as autoridades de aplicação da lei federais e estatais nos EUA), para que possam ser oferecidas proteções equivalentes em todos os casos. Contudo, as autoridades do Reino Unido também explicaram que os pormenores sobre a aplicação concreta das garantias em matéria de proteção de dados continuam a ser objeto de discussões entre o Reino Unido e os EUA. No contexto das discussões sobre esta decisão com os serviços da Comissão Europeia, as autoridades do Reino Unido confirmaram que apenas permitirão a entrada em vigor do acordo depois de terem a certeza de que a sua aplicação cumpre as obrigações legais estabelecidas no mesmo, incluindo a clareza no que diz respeito ao cumprimento das normas de proteção de dados aplicáveis aos dados solicitados ao abrigo do presente acordo. Uma vez que a possível entrada em vigor do acordo poderá ter um impacto no nível de proteção avaliado na presente decisão, qualquer informação e futuro esclarecimento relativo à forma como os EUA cumprirão as suas obrigações ao abrigo do acordo deve ser comunicado pelo Reino Unido à Comissão Europeia, assim que estiver disponível e, em qualquer caso, antes da entrada em vigor do acordo, de modo a garantir um controlo adequado da presente decisão, em conformidade com o artigo 45.o, n.o 4, do Regulamento (UE) 2016/679. Será dada especial atenção à aplicação e à adaptação das proteções estabelecidas no Acordo-Quadro para os tipos específicos de transferências abrangidos pelo Acordo RU-EUA.

o

o

| (156) | De um modo mais geral, qualquer desenvolvimento importante no que se refere à entrada em vigor e à aplicação do acordo será devidamente tido em conta no contexto do controlo contínuo da presente decisão, incluindo no que diz respeito às consequências necessárias caso exista alguma indicação de que um nível de proteção essencialmente equivalente deixou de ser assegurado. |
| --- | --- |

(156)

De um modo mais geral, qualquer desenvolvimento importante no que se refere à entrada em vigor e à aplicação do acordo será devidamente tido em conta no contexto do controlo contínuo da presente decisão, incluindo no que diz respeito às consequências necessárias caso exista alguma indicação de que um nível de proteção essencialmente equivalente deixou de ser assegurado.

3.2.3   Supervisão

Supervisão

| (157) | Dependendo dos poderes utilizados pelas autoridades competentes aquando do tratamento de dados pessoais para efeitos de aplicação da lei (ao abrigo do DPA 2018 ou do IPA 2016), existem diferentes organismos que asseguram a supervisão da utilização destes poderes. Em particular, o comissário para a informação supervisiona o tratamento de dados pessoais quando se encontra abrangido pelo âmbito de aplicação da parte 3 do DPA 2018 (226). A supervisão independente e judicial da utilização dos poderes de investigação ao abrigo do IPA 2016 é assegurada pelo Gabinete do Comissário para os Poderes de Investigação (IPCO) (227) (esta parte é abordada nos considerandos 250 a 255). Além disso, o parlamento e outros organismos garantem uma supervisão adicional. |
| --- | --- |

(157)

Dependendo dos poderes utilizados pelas autoridades competentes aquando do tratamento de dados pessoais para efeitos de aplicação da lei (ao abrigo do DPA 2018 ou do IPA 2016), existem diferentes organismos que asseguram a supervisão da utilização destes poderes. Em particular, o comissário para a informação supervisiona o tratamento de dados pessoais quando se encontra abrangido pelo âmbito de aplicação da parte 3 do DPA 2018 (226). A supervisão independente e judicial da utilização dos poderes de investigação ao abrigo do IPA 2016 é assegurada pelo Gabinete do Comissário para os Poderes de Investigação (IPCO) (227) (esta parte é abordada nos considerandos 250 a 255). Além disso, o parlamento e outros organismos garantem uma supervisão adicional.

226

227

3.2.3.1   Supervisão da parte 3 do DPA 2018

Supervisão da parte 3 do DPA 2018

| (158) | As funções gerais do comissário para a informação — cuja independência e organização são explicadas no considerando 87 — relativas ao tratamento de dados pessoais que se encontra abrangido pelo âmbito de aplicação da parte 3 do DPA 2018 são estabelecidas no schedule 13 do DPA 2018. A principal tarefa do ICO é controlar e executar a parte 3 do DPA 2018, bem como promover a sensibilização do público, aconselhar o parlamento, o governo e outras instituições e organismos. A fim de assegurar a independência do poder judicial, o comissário para a informação não está autorizado a exercer as suas funções relativas ao tratamento de dados pessoais efetuado pelos tribunais ou por pessoas singulares no exercício da sua função jurisdicional. Nestas circunstâncias, outros organismos exerceriam as funções de supervisão, conforme explicado nos considerandos 99 a 103. |
| --- | --- |

(158)

As funções gerais do comissário para a informação — cuja independência e organização são explicadas no considerando 87 — relativas ao tratamento de dados pessoais que se encontra abrangido pelo âmbito de aplicação da parte 3 do DPA 2018 são estabelecidas no schedule 13 do DPA 2018. A principal tarefa do ICO é controlar e executar a parte 3 do DPA 2018, bem como promover a sensibilização do público, aconselhar o parlamento, o governo e outras instituições e organismos. A fim de assegurar a independência do poder judicial, o comissário para a informação não está autorizado a exercer as suas funções relativas ao tratamento de dados pessoais efetuado pelos tribunais ou por pessoas singulares no exercício da sua função jurisdicional. Nestas circunstâncias, outros organismos exerceriam as funções de supervisão, conforme explicado nos considerandos 99 a 103.

schedule 13

| (159) | O comissário possui poderes gerais de investigação, de correção, de autorização e de aconselhamento relativos ao tratamento de dados pessoais aos quais se aplica a parte 3. Em particular, o comissário tem poderes para notificar o responsável pelo tratamento ou o subcontratante de uma alegada violação da parte 3 do DPA 2018, para emitir advertências ou repreensões destinadas a um responsável pelo tratamento ou um subcontratante que tenha violado as disposições da parte 3 da lei, bem como para emitir, por iniciativa própria ou se lhe for solicitado, pareceres dirigidos ao parlamento, ao governo ou a outras instituições e organismos, bem como ao público, sobre qualquer assunto relacionado com a proteção de dados pessoais (228). |
| --- | --- |

(159)

O comissário possui poderes gerais de investigação, de correção, de autorização e de aconselhamento relativos ao tratamento de dados pessoais aos quais se aplica a parte 3. Em particular, o comissário tem poderes para notificar o responsável pelo tratamento ou o subcontratante de uma alegada violação da parte 3 do DPA 2018, para emitir advertências ou repreensões destinadas a um responsável pelo tratamento ou um subcontratante que tenha violado as disposições da parte 3 da lei, bem como para emitir, por iniciativa própria ou se lhe for solicitado, pareceres dirigidos ao parlamento, ao governo ou a outras instituições e organismos, bem como ao público, sobre qualquer assunto relacionado com a proteção de dados pessoais (228).

228

| (160) | Além disso, o comissário tem poderes para emitir notificações informativas (229), notificações de avaliação (230) e notificações de execução (231), bem como o poder de aceder aos documentos dos responsáveis pelo tratamento e dos subcontratantes, de aceder às suas instalações (232) e de emitir coimas sob a forma de notificações de sanção (233). A política de intervenção regulamentar do ICO descreve as circunstâncias em que emite notificações informativas, de avaliação, de execução e de sanção (234) [ver ainda o considerando 93 e os considerandos 101 e 102 relativos à decisão de adequação da Diretiva (UE) 2016/680]. |
| --- | --- |

(160)

Além disso, o comissário tem poderes para emitir notificações informativas (229), notificações de avaliação (230) e notificações de execução (231), bem como o poder de aceder aos documentos dos responsáveis pelo tratamento e dos subcontratantes, de aceder às suas instalações (232) e de emitir coimas sob a forma de notificações de sanção (233). A política de intervenção regulamentar do ICO descreve as circunstâncias em que emite notificações informativas, de avaliação, de execução e de sanção (234) [ver ainda o considerando 93 e os considerandos 101 e 102 relativos à decisão de adequação da Diretiva (UE) 2016/680].

229

230

231

232

233

234

| (161) | De acordo com os seus relatórios anuais mais recentes (2018-2019 (235), 2019-2020 (236)), o comissário para a informação realizou uma série de investigações e tomou medidas de execução relativas ao tratamento de dados pelas autoridades de aplicação da lei. Por exemplo, em outubro de 2019, o comissário realizou uma investigação e publicou um parecer relativo à utilização da tecnologia de reconhecimento facial em locais públicos pelas autoridades de aplicação da lei. A investigação centrou-se, em particular, na utilização das capacidades de reconhecimento facial em tempo real pela polícia da Gales do Sul e pelo Metropolitan Police Service (MPS). O comissário para a informação investigou a «matriz dos gangues» do MPS (237) e descobriu um conjunto de violações graves da legislação de proteção de dados que poderiam reduzir a confiança do público na matriz e na forma como os dados estavam a ser utilizados. Em novembro de 2018, o comissário para a informação emitiu uma notificação de execução e, subsequentemente, o MPS tomou as medidas necessárias para aumentar a segurança e a responsabilidade e para assegurar que os dados eram utilizados de forma proporcionada. Outro exemplo de uma ação de execução neste domínio é a coima de 325 000 GBP emitida pelo comissário em maio de 2018 contra o Crown Prosecution Service, por ter perdido DVD não encriptados que continham gravações de inquéritos policiais. O comissário para a informação realizou igualmente investigações a temas mais abrangentes, por exemplo, no primeiro semestre de 2020, relativas à utilização da extração de números de telefone para efeitos policiais e ao tratamento dos dados das vítimas pela polícia. Além disso, o comissário está agora a investigar um caso que envolve o acesso das autoridades de aplicação da lei a dados que se encontravam na posse de uma entidade do setor privado, a Clearview AI Inc (238). |
| --- | --- |

(161)

De acordo com os seus relatórios anuais mais recentes (2018-2019 (235), 2019-2020 (236)), o comissário para a informação realizou uma série de investigações e tomou medidas de execução relativas ao tratamento de dados pelas autoridades de aplicação da lei. Por exemplo, em outubro de 2019, o comissário realizou uma investigação e publicou um parecer relativo à utilização da tecnologia de reconhecimento facial em locais públicos pelas autoridades de aplicação da lei. A investigação centrou-se, em particular, na utilização das capacidades de reconhecimento facial em tempo real pela polícia da Gales do Sul e pelo Metropolitan Police Service (MPS). O comissário para a informação investigou a «matriz dos gangues» do MPS (237) e descobriu um conjunto de violações graves da legislação de proteção de dados que poderiam reduzir a confiança do público na matriz e na forma como os dados estavam a ser utilizados. Em novembro de 2018, o comissário para a informação emitiu uma notificação de execução e, subsequentemente, o MPS tomou as medidas necessárias para aumentar a segurança e a responsabilidade e para assegurar que os dados eram utilizados de forma proporcionada. Outro exemplo de uma ação de execução neste domínio é a coima de 325 000 GBP emitida pelo comissário em maio de 2018 contra o Crown Prosecution Service, por ter perdido DVD não encriptados que continham gravações de inquéritos policiais. O comissário para a informação realizou igualmente investigações a temas mais abrangentes, por exemplo, no primeiro semestre de 2020, relativas à utilização da extração de números de telefone para efeitos policiais e ao tratamento dos dados das vítimas pela polícia. Além disso, o comissário está agora a investigar um caso que envolve o acesso das autoridades de aplicação da lei a dados que se encontravam na posse de uma entidade do setor privado, a Clearview AI Inc (238).

235

236

Metropolitan Police Service

237

238

| (162) | Para além dos poderes de execução do comissário para a informação descritos nos considerandos 160 e 161, determinadas violações da legislação em matéria de proteção de dados constituem infrações e, como tal, podem ser sujeitas a sanções penais (section 196 do DPA 2018). Isto aplica-se, por exemplo, à obtenção, divulgação ou conservação de dados pessoais sem o consentimento do responsável pelo tratamento e a divulgação de dados pessoais a outra pessoa sem o consentimento do responsável pelo tratamento (239); à reidentificação de informações que são dados pessoais anonimizados sem o consentimento do responsável pelo tratamento que ficou incumbido da anonimização dos dados pessoais (240); à obstrução intencional do comissário para impedi-lo de exercer os seus poderes relativamente à inspeção dos dados pessoais, de acordo com as obrigações internacionais (241), às declarações falsas em resposta a uma notificação informativa ou à destruição de informações relacionadas com notificações informativas e de avaliação (242). |
| --- | --- |

(162)

Para além dos poderes de execução do comissário para a informação descritos nos considerandos 160 e 161, determinadas violações da legislação em matéria de proteção de dados constituem infrações e, como tal, podem ser sujeitas a sanções penais (section 196 do DPA 2018). Isto aplica-se, por exemplo, à obtenção, divulgação ou conservação de dados pessoais sem o consentimento do responsável pelo tratamento e a divulgação de dados pessoais a outra pessoa sem o consentimento do responsável pelo tratamento (239); à reidentificação de informações que são dados pessoais anonimizados sem o consentimento do responsável pelo tratamento que ficou incumbido da anonimização dos dados pessoais (240); à obstrução intencional do comissário para impedi-lo de exercer os seus poderes relativamente à inspeção dos dados pessoais, de acordo com as obrigações internacionais (241), às declarações falsas em resposta a uma notificação informativa ou à destruição de informações relacionadas com notificações informativas e de avaliação (242).

section 196

239

240

241

242

3.2.3.2   Outros organismos de supervisão no domínio da aplicação do direito penal

Outros organismos de supervisão no domínio da aplicação do direito penal

| (163) | Além do comissário para a informação, existem vários organismos de supervisão no domínio da aplicação do direito penal com competências específicas pertinentes em matéria de proteção de dados, nomeadamente, por exemplo, o comissário para a conservação e a utilização de materiais biométricos (o «comissário biométrico») (243) e o comissário para as câmaras de videovigilância (244). |
| --- | --- |

(163)

Além do comissário para a informação, existem vários organismos de supervisão no domínio da aplicação do direito penal com competências específicas pertinentes em matéria de proteção de dados, nomeadamente, por exemplo, o comissário para a conservação e a utilização de materiais biométricos (o «comissário biométrico») (243) e o comissário para as câmaras de videovigilância (244).

243

244

3.2.3.3   Supervisão parlamentar no domínio da aplicação do direito penal

| (164) | A Home Affairs Select Committee (HASC) (comissão especial para os assuntos internos) assegura a supervisão parlamentar no domínio da aplicação da lei. É composta por 11 membros do parlamento, provenientes dos três principais partidos políticos e está incumbida de examinar as despesas, a administração e a política do Ministério da Administração Interna e dos organismos públicos associados, isto é, incluindo a polícia e a NCA, cujo trabalho pode ser analisado minuciosamente pela comissão (245). |
| --- | --- |

(164)

A Home Affairs Select Committee (HASC) (comissão especial para os assuntos internos) assegura a supervisão parlamentar no domínio da aplicação da lei. É composta por 11 membros do parlamento, provenientes dos três principais partidos políticos e está incumbida de examinar as despesas, a administração e a política do Ministério da Administração Interna e dos organismos públicos associados, isto é, incluindo a polícia e a NCA, cujo trabalho pode ser analisado minuciosamente pela comissão (245).

Home Affairs Select Committee

245

| (165) | No âmbito das suas competências, a comissão pode escolher o seu objeto de inquérito, incluindo casos específicos, desde que a questão não esteja sub judice. Pode ainda solicitar provas escritas e verbais de um vasto conjunto de grupos e pessoas singulares pertinentes. A comissão elabora relatórios sobre as suas conclusões e emite recomendações para o governo (246). Prevê-se que o governo responda a cada uma das recomendações do relatório no prazo de 60 dias (247). |
| --- | --- |

(165)

No âmbito das suas competências, a comissão pode escolher o seu objeto de inquérito, incluindo casos específicos, desde que a questão não esteja sub judice. Pode ainda solicitar provas escritas e verbais de um vasto conjunto de grupos e pessoas singulares pertinentes. A comissão elabora relatórios sobre as suas conclusões e emite recomendações para o governo (246). Prevê-se que o governo responda a cada uma das recomendações do relatório no prazo de 60 dias (247).

sub judice.

246

247

| (166) | No domínio da vigilância, a comissão elaborou igualmente um relatório referente ao Regulation of Investigatory Powers Act 2000 (RIPA 2000) (248), que concluiu que o RIPA 2000 não se adequava ao propósito. O relatório foi tido em conta durante a substituição de partes importantes do RIPA 2000 pelo IPA 2016. O sítio Web da comissão inclui uma lista completa dos inquéritos (249). |
| --- | --- |

(166)

No domínio da vigilância, a comissão elaborou igualmente um relatório referente ao Regulation of Investigatory Powers Act 2000 (RIPA 2000) (248), que concluiu que o RIPA 2000 não se adequava ao propósito. O relatório foi tido em conta durante a substituição de partes importantes do RIPA 2000 pelo IPA 2016. O sítio Web da comissão inclui uma lista completa dos inquéritos (249).

Regulation of Investigatory Powers Act 2000

248

249

| (167) | As tarefas do HASC são realizadas na Escócia pelo Subcomité da Justiça para a Polícia e, na Irlanda do Norte, pelo Comité da Justiça (250). |
| --- | --- |

(167)

As tarefas do HASC são realizadas na Escócia pelo Subcomité da Justiça para a Polícia e, na Irlanda do Norte, pelo Comité da Justiça (250).

250

3.2.4   Recurso

Recurso

| (168) | No que se refere ao tratamento de dados pelas autoridades de aplicação da lei, a parte 3 do DPA 2018 e o IPA 2016, bem como o Human Rights Act 1998, preveem mecanismos de recurso. |
| --- | --- |

(168)

No que se refere ao tratamento de dados pelas autoridades de aplicação da lei, a parte 3 do DPA 2018 e o IPA 2016, bem como o Human Rights Act 1998, preveem mecanismos de recurso.

Human Rights Act 1998

| (169) | Este conjunto de mecanismos confere vias de recurso administrativas e judiciais eficazes aos titulares dos dados, o que lhes permite assegurar os seus direitos, nomeadamente o direito de acesso a dados pessoais que lhes digam respeito ou de obter a retificação ou a supressão desses dados. |
| --- | --- |

(169)

Este conjunto de mecanismos confere vias de recurso administrativas e judiciais eficazes aos titulares dos dados, o que lhes permite assegurar os seus direitos, nomeadamente o direito de acesso a dados pessoais que lhes digam respeito ou de obter a retificação ou a supressão desses dados.

| (170) | Em primeiro lugar, ao abrigo da section 165 do DPA 2018, um titular dos dados tem o direito de apresentar reclamação ao comissário para a informação caso considere que existe uma violação da parte 3 do DPA 2018 no que diz respeito aos seus dados pessoais (251). O comissário para a informação tem o poder de avaliar o cumprimento do DPA 2018 do responsável pelo tratamento e do subcontratante, de exigir que estes tomem as medidas necessárias em caso de incumprimento e de impor coimas. |
| --- | --- |

(170)

Em primeiro lugar, ao abrigo da section 165 do DPA 2018, um titular dos dados tem o direito de apresentar reclamação ao comissário para a informação caso considere que existe uma violação da parte 3 do DPA 2018 no que diz respeito aos seus dados pessoais (251). O comissário para a informação tem o poder de avaliar o cumprimento do DPA 2018 do responsável pelo tratamento e do subcontratante, de exigir que estes tomem as medidas necessárias em caso de incumprimento e de impor coimas.

section 165

251

| (171) | Em segundo lugar, o DPA 2018 prevê o direito à ação judicial contra o comissário para a informação se este não tratar adequadamente uma reclamação efetuada pelo titular de dados. Mais especificamente, caso o comissário não der «andamento» (252) a uma reclamação efetuada pelo titular de dados, o autor da reclamação tem acesso à ação judicial, uma vez que pode recorrer a um tribunal de primeira instância (253) para ordenar que o comissário tome as medidas adequadas para dar resposta à reclamação ou informe o autor da reclamação do andamento da reclamação (254). Além disso, qualquer pessoa que receba uma das notificações mencionadas (notificações informativas, de avaliação, de execução ou de sanção) emitidas pelo comissário pode recorrer a um tribunal de primeira instância. Se o tribunal considerar que a decisão do comissário não respeita a lei ou que o comissário para a informação deveria ter exercido o seu critério de outra forma, o tribunal deve permitir o recurso ou substituir outra notificação ou decisão que poderia ter sido emitida ou dada pelo comissário para a informação (255). |
| --- | --- |

(171)

Em segundo lugar, o DPA 2018 prevê o direito à ação judicial contra o comissário para a informação se este não tratar adequadamente uma reclamação efetuada pelo titular de dados. Mais especificamente, caso o comissário não der «andamento» (252) a uma reclamação efetuada pelo titular de dados, o autor da reclamação tem acesso à ação judicial, uma vez que pode recorrer a um tribunal de primeira instância (253) para ordenar que o comissário tome as medidas adequadas para dar resposta à reclamação ou informe o autor da reclamação do andamento da reclamação (254). Além disso, qualquer pessoa que receba uma das notificações mencionadas (notificações informativas, de avaliação, de execução ou de sanção) emitidas pelo comissário pode recorrer a um tribunal de primeira instância. Se o tribunal considerar que a decisão do comissário não respeita a lei ou que o comissário para a informação deveria ter exercido o seu critério de outra forma, o tribunal deve permitir o recurso ou substituir outra notificação ou decisão que poderia ter sido emitida ou dada pelo comissário para a informação (255).

252

253

254

255

| (172) | Em terceiro lugar, as pessoas singulares podem obter o direito ao recurso judicial contra um responsável pelo tratamento ou um subcontratante diretamente nos tribunais. Em particular, ao abrigo da section 167 do DPA 2018, um titular de dados pode interpor uma ação no tribunal por uma violação dos direitos que lhe são conferidos ao abrigo da legislação em matéria de proteção de dados e o tribunal pode solicitar que o responsável pelo tratamento tome (ou se abstenha de tomar) medidas relativas ao tratamento para cumprir o DPA 2018, por meio de uma ordem. Além disso, ao abrigo da section 169 do DPA 2018, qualquer pessoa que tenha sofrido danos devido a uma violação de um requisito da legislação em matéria de proteção de dados (incluindo a parte 3 do DPA 2018), que não seja o RGPD do Reino Unido, tem direito a indemnização por esses danos do responsável pelo tratamento ou do subcontratante, salvo se o mesmo conseguir provar que não é de modo algum responsável pelo evento que deu origem aos danos. Os danos incluem perdas financeiras e não financeiras, como sofrimento emocional. |
| --- | --- |

(172)

Em terceiro lugar, as pessoas singulares podem obter o direito ao recurso judicial contra um responsável pelo tratamento ou um subcontratante diretamente nos tribunais. Em particular, ao abrigo da section 167 do DPA 2018, um titular de dados pode interpor uma ação no tribunal por uma violação dos direitos que lhe são conferidos ao abrigo da legislação em matéria de proteção de dados e o tribunal pode solicitar que o responsável pelo tratamento tome (ou se abstenha de tomar) medidas relativas ao tratamento para cumprir o DPA 2018, por meio de uma ordem. Além disso, ao abrigo da section 169 do DPA 2018, qualquer pessoa que tenha sofrido danos devido a uma violação de um requisito da legislação em matéria de proteção de dados (incluindo a parte 3 do DPA 2018), que não seja o RGPD do Reino Unido, tem direito a indemnização por esses danos do responsável pelo tratamento ou do subcontratante, salvo se o mesmo conseguir provar que não é de modo algum responsável pelo evento que deu origem aos danos. Os danos incluem perdas financeiras e não financeiras, como sofrimento emocional.

section 167

section 169

| (173) | Por último, qualquer pessoa que considere que os direitos que lhes são conferidos foram violados, incluindo o direito à privacidade e à proteção dos dados, por alguma autoridade pública, podem obter reparação dos tribunais do Reino Unido ao abrigo do Human Rights Act 1998 (256), e, depois de esgotadas as vias de recurso nacionais, as pessoas singulares, as organizações não governamentais e os grupos de pessoas singulares podem obter vias de recurso junto do Tribunal Europeu dos Direitos Humanos por violações dos direitos consagrados na Convenção Europeia dos Direitos Humanos (257) (ver o considerando 111). |
| --- | --- |

(173)

Por último, qualquer pessoa que considere que os direitos que lhes são conferidos foram violados, incluindo o direito à privacidade e à proteção dos dados, por alguma autoridade pública, podem obter reparação dos tribunais do Reino Unido ao abrigo do Human Rights Act 1998 (256), e, depois de esgotadas as vias de recurso nacionais, as pessoas singulares, as organizações não governamentais e os grupos de pessoas singulares podem obter vias de recurso junto do Tribunal Europeu dos Direitos Humanos por violações dos direitos consagrados na Convenção Europeia dos Direitos Humanos (257) (ver o considerando 111).

Human Rights Act 1998

256

257

3.2.4.1   Mecanismos de recurso previstos no IPA 2016

Mecanismos de recurso previstos no IPA 2016

| (174) | As pessoas singulares podem obter reparação por violações do IPA 2016 junto do Investigatory Powers Tribunal (Tribunal de Instrução). As vias de recurso previstas no IPA 2016 são descritas nos considerandos 263 a 269) . |
| --- | --- |

(174)

As pessoas singulares podem obter reparação por violações do IPA 2016 junto do Investigatory Powers Tribunal (Tribunal de Instrução). As vias de recurso previstas no IPA 2016 são descritas nos considerandos 263 a 269) .

Investigatory Powers Tribunal

3.3   Acesso e utilização pelas autoridades públicas do Reino Unido para efeitos de segurança nacional

Acesso e utilização pelas autoridades públicas do Reino Unido para efeitos de segurança nacional

| (175) | Na ordem jurídica do Reino Unido, os serviços de informações com competência para recolher informações eletrónicas na posse de responsáveis pelo tratamento ou subcontratantes por razões de segurança nacional, em situações pertinentes para um cenário de adequação, são o serviço de segurança (258) (MI5), o serviço de informações secretas (259) (SIS) e a sede de comunicações governamentais (260) (GCHQ) (261). |
| --- | --- |

(175)

Na ordem jurídica do Reino Unido, os serviços de informações com competência para recolher informações eletrónicas na posse de responsáveis pelo tratamento ou subcontratantes por razões de segurança nacional, em situações pertinentes para um cenário de adequação, são o serviço de segurança (258) (MI5), o serviço de informações secretas (259) (SIS) e a sede de comunicações governamentais (260) (GCHQ) (261).

258

259

260

261

3.3.1   Bases jurídicas, limitações e garantias

Bases jurídicas, limitações e garantias

| (176) | No Reino Unido, os poderes das agências de informações encontram-se estabelecidos no IPA 2016 e no RIPA 2000, que, em conjunto com o DPA 2018, definem o âmbito material e pessoal destes poderes, bem como as restrições e as garantias para o seu exercício. Esses poderes, bem como as limitações e as garantias aplicáveis aos mesmos, são avaliadas pormenorizadamente nas secções seguintes. |
| --- | --- |

(176)

No Reino Unido, os poderes das agências de informações encontram-se estabelecidos no IPA 2016 e no RIPA 2000, que, em conjunto com o DPA 2018, definem o âmbito material e pessoal destes poderes, bem como as restrições e as garantias para o seu exercício. Esses poderes, bem como as limitações e as garantias aplicáveis aos mesmos, são avaliadas pormenorizadamente nas secções seguintes.

3.3.1.1   Poderes de investigação exercidos no contexto da segurança nacional

Poderes de investigação exercidos no contexto da segurança nacional

| (177) | O IPA 2016 apresenta o quadro jurídico para a utilização dos poderes de investigação, ou seja, o poder de intercetar, aceder aos dados de comunicações e de realizar interferências com os equipamentos. O IPA 2016 introduz uma proibição geral e criminaliza a utilização de técnicas que permitem o acesso aos conteúdos das comunicações, o acesso aos dados de comunicações ou interferências com os equipamentos caso não seja uma autoridade legítima (262). Isto reflete-se no facto de a utilização destes poderes de investigação apenas ser legítima nos casos em que é efetuada com recurso a um mandado ou autorização (263). |
| --- | --- |

(177)

O IPA 2016 apresenta o quadro jurídico para a utilização dos poderes de investigação, ou seja, o poder de intercetar, aceder aos dados de comunicações e de realizar interferências com os equipamentos. O IPA 2016 introduz uma proibição geral e criminaliza a utilização de técnicas que permitem o acesso aos conteúdos das comunicações, o acesso aos dados de comunicações ou interferências com os equipamentos caso não seja uma autoridade legítima (262). Isto reflete-se no facto de a utilização destes poderes de investigação apenas ser legítima nos casos em que é efetuada com recurso a um mandado ou autorização (263).

262

263

| (178) | O IPA 2016 estabelece regras pormenorizadas que regem o âmbito e a aplicação de cada um dos poderes de investigação, bem como as respetivas restrições e garantias específicas. Aplicam-se diferentes regras dependendo do tipo de poder de investigação (interceção de comunicações, aquisição e conservação de dados de comunicações e interferência com os equipamentos) e dependendo se o poder é exercido num grupo-alvo específico (264) ou em larga escala. Os pormenores sobre o âmbito, as garantias e as restrições de cada medida prevista pelo IPA 2016 encontram-se descritos na secção específica abaixo. |
| --- | --- |

(178)

O IPA 2016 estabelece regras pormenorizadas que regem o âmbito e a aplicação de cada um dos poderes de investigação, bem como as respetivas restrições e garantias específicas. Aplicam-se diferentes regras dependendo do tipo de poder de investigação (interceção de comunicações, aquisição e conservação de dados de comunicações e interferência com os equipamentos) e dependendo se o poder é exercido num grupo-alvo específico (264) ou em larga escala. Os pormenores sobre o âmbito, as garantias e as restrições de cada medida prevista pelo IPA 2016 encontram-se descritos na secção específica abaixo.

264

| (179) | Além disso, o IPA 2016 é complementado por um conjunto de códigos de boas práticas, emitidos pelo ministro da tutela, aprovados pelas câmaras do parlamento (265) e aplicáveis no país, que fornecem orientações adicionais para a utilização destes poderes (266). Embora os titulares dos dados possam recorrer diretamente às disposições estabelecidas no IPA 2016 a fim de exercerem os seus direitos, o schedule 7, n.o 5, do IPA 2016, especifica que os códigos de boas práticas são admissíveis como provas em processos cíveis e penais, e o tribunal ou a autoridade de controlo pode ter em conta qualquer incumprimento dos códigos ao determinar uma questão pertinente em processos judiciais (267). No contexto da sua avaliação da «qualidade do direito» da legislação anterior do Reino Unido no domínio da vigilância, o RIPA 2000, a Grande Secção do Tribunal Europeu dos Direitos Humanos reconheceu expressamente a pertinência dos códigos de boas práticas do Reino Unido e aceitou que as respetivas disposições fossem tidas em conta na avaliação da previsibilidade da legislação que permite a vigilância (268). |
| --- | --- |

(179)

Além disso, o IPA 2016 é complementado por um conjunto de códigos de boas práticas, emitidos pelo ministro da tutela, aprovados pelas câmaras do parlamento (265) e aplicáveis no país, que fornecem orientações adicionais para a utilização destes poderes (266). Embora os titulares dos dados possam recorrer diretamente às disposições estabelecidas no IPA 2016 a fim de exercerem os seus direitos, o schedule 7, n.o 5, do IPA 2016, especifica que os códigos de boas práticas são admissíveis como provas em processos cíveis e penais, e o tribunal ou a autoridade de controlo pode ter em conta qualquer incumprimento dos códigos ao determinar uma questão pertinente em processos judiciais (267). No contexto da sua avaliação da «qualidade do direito» da legislação anterior do Reino Unido no domínio da vigilância, o RIPA 2000, a Grande Secção do Tribunal Europeu dos Direitos Humanos reconheceu expressamente a pertinência dos códigos de boas práticas do Reino Unido e aceitou que as respetivas disposições fossem tidas em conta na avaliação da previsibilidade da legislação que permite a vigilância (268).

265

266

schedule 7

o

267

268

| (180) | Importa salientar, portanto, que os poderes direcionados (interceção direcionada (269), aquisição de dados de comunicações (270), conservação de dados de comunicações (271) e interferência específica com os equipamentos (272)) são disponibilizados às agências de segurança nacionais e a determinadas autoridades de aplicação da lei (273), ao passo que apenas os serviços de informações podem utilizar os poderes em larga escala (ou seja, interceção em larga escala (274), aquisição em larga escala de dados de comunicações (275), interferência com os equipamentos em larga escala (276) e conjuntos de dados pessoais em larga escala (277)). |
| --- | --- |

(180)

Importa salientar, portanto, que os poderes direcionados (interceção direcionada (269), aquisição de dados de comunicações (270), conservação de dados de comunicações (271) e interferência específica com os equipamentos (272)) são disponibilizados às agências de segurança nacionais e a determinadas autoridades de aplicação da lei (273), ao passo que apenas os serviços de informações podem utilizar os poderes em larga escala (ou seja, interceção em larga escala (274), aquisição em larga escala de dados de comunicações (275), interferência com os equipamentos em larga escala (276) e conjuntos de dados pessoais em larga escala (277)).

269

270

271

272

273

274

275

276

277

| (181) | Ao decidir qual dos poderes de investigação deve ser utilizado, a agência de informações deve cumprir os «deveres gerais relativos à privacidade» enumerados na section 2(2)(a) do IPA 2016, que inclui um teste de necessidade e proporcionalidade. Mais especificamente, nos termos desta disposição, uma autoridade pública que tenha a intenção de utilizar um poder de investigação deve considerar i) se é possível obter a mesma coisa que se pretende obter com o mandado, a autorização ou a notificação através de outros meios menos intrusivos; ii) se o nível de proteção a aplicar relativamente à obtenção de informações através do mandado, da autorização ou da notificação é superior por causa da sensibilidade particular dessa informação; iii) o interesse público na integridade e na segurança dos sistemas de telecomunicações e dos serviços postais; e iv) quaisquer outros aspetos de interesse público na proteção da privacidade (278). |
| --- | --- |

(181)

Ao decidir qual dos poderes de investigação deve ser utilizado, a agência de informações deve cumprir os «deveres gerais relativos à privacidade» enumerados na section 2(2)(a) do IPA 2016, que inclui um teste de necessidade e proporcionalidade. Mais especificamente, nos termos desta disposição, uma autoridade pública que tenha a intenção de utilizar um poder de investigação deve considerar i) se é possível obter a mesma coisa que se pretende obter com o mandado, a autorização ou a notificação através de outros meios menos intrusivos; ii) se o nível de proteção a aplicar relativamente à obtenção de informações através do mandado, da autorização ou da notificação é superior por causa da sensibilidade particular dessa informação; iii) o interesse público na integridade e na segurança dos sistemas de telecomunicações e dos serviços postais; e iv) quaisquer outros aspetos de interesse público na proteção da privacidade (278).

section 2(2)(a)

278

| (182) | A forma como estes critérios devem ser aplicados — e a forma como o seu cumprimento é avaliado no âmbito da autorização da utilização desses poderes pelo ministro da tutela e os comissários judiciais independentes — é especificada em maior detalhe nos códigos de boas práticas pertinentes. Em particular, a utilização de algum destes poderes de investigação deve ser sempre «proporcional aos objetivos pretendidos, o [que] implica equilibrar a gravidade da intrusão na privacidade [e outras considerações estabelecidas na section 2(2)] tendo em conta a necessidade da atividade em termos investigativos, operacionais ou de capacidade». Isto significa que «deve oferecer uma perspetiva realista e conferir os benefícios esperados e não deve ser desproporcionado ou arbitrário» e «[nenh]uma interferência com a privacidade deve ser considerada proporcionada caso as informações que se procura obter possam ser razoavelmente obtidas através de outros meios menos intrusivos» (279). Mais especificamente, o cumprimento do princípio de proporcionalidade deve ser avaliado tendo em conta os seguintes critérios: «i) a medida da interferência com a privacidade proposta tendo em conta os objetivos pretendidos; ii) como e por que motivo os métodos que serão adotados causarão a menor interferência possível à pessoa em causa e aos outros; iii) se a atividade é uma utilização adequada da lei e uma forma razoável de atingir os objetivos pretendidos, depois de ponderadas todas as alternativas razoáveis; iv) que outros métodos, conforme apropriados, não foram implementados ou, tendo sido implementados, foram avaliados como insuficientes para alcançarem os objetivos operacionais sem a utilização do poder de investigação proposto» (280). |
| --- | --- |

(182)

A forma como estes critérios devem ser aplicados — e a forma como o seu cumprimento é avaliado no âmbito da autorização da utilização desses poderes pelo ministro da tutela e os comissários judiciais independentes — é especificada em maior detalhe nos códigos de boas práticas pertinentes. Em particular, a utilização de algum destes poderes de investigação deve ser sempre «proporcional aos objetivos pretendidos, o [que] implica equilibrar a gravidade da intrusão na privacidade [e outras considerações estabelecidas na section 2(2)] tendo em conta a necessidade da atividade em termos investigativos, operacionais ou de capacidade». Isto significa que «deve oferecer uma perspetiva realista e conferir os benefícios esperados e não deve ser desproporcionado ou arbitrário» e «[nenh]uma interferência com a privacidade deve ser considerada proporcionada caso as informações que se procura obter possam ser razoavelmente obtidas através de outros meios menos intrusivos» (279). Mais especificamente, o cumprimento do princípio de proporcionalidade deve ser avaliado tendo em conta os seguintes critérios: «i) a medida da interferência com a privacidade proposta tendo em conta os objetivos pretendidos; ii) como e por que motivo os métodos que serão adotados causarão a menor interferência possível à pessoa em causa e aos outros; iii) se a atividade é uma utilização adequada da lei e uma forma razoável de atingir os objetivos pretendidos, depois de ponderadas todas as alternativas razoáveis; iv) que outros métodos, conforme apropriados, não foram implementados ou, tendo sido implementados, foram avaliados como insuficientes para alcançarem os objetivos operacionais sem a utilização do poder de investigação proposto» (280).

section 2(2)

279

280

| (183) | Na prática, conforme explicado pelas autoridades do Reino Unido, isto assegura que, em primeiro lugar, uma agência de informações define o objetivo operacional (delimitando assim a recolha, por exemplo, uma finalidade de combater o terrorismo internacional numa zona geográfica específica) e, em segundo lugar, com base nesse objetivo operacional, terá de ponderar qual a opção técnica (por exemplo, interceção direcionada ou em larga escala, interferência com os equipamentos, aquisição de dados de comunicações) é a mais proporcionada [ou seja, o meio menos intrusivo para a privacidade; ver a section 2(2) do IPA] tendo em conta os objetivos pretendidos e, como tal, pode ser autorizada numa das bases legais disponíveis. |
| --- | --- |

(183)

Na prática, conforme explicado pelas autoridades do Reino Unido, isto assegura que, em primeiro lugar, uma agência de informações define o objetivo operacional (delimitando assim a recolha, por exemplo, uma finalidade de combater o terrorismo internacional numa zona geográfica específica) e, em segundo lugar, com base nesse objetivo operacional, terá de ponderar qual a opção técnica (por exemplo, interceção direcionada ou em larga escala, interferência com os equipamentos, aquisição de dados de comunicações) é a mais proporcionada [ou seja, o meio menos intrusivo para a privacidade; ver a section 2(2) do IPA] tendo em conta os objetivos pretendidos e, como tal, pode ser autorizada numa das bases legais disponíveis.

section 2(2)

| (184) | Importa salientar que este recurso às normas de necessidade e proporcionalidade foi destacado e acolhido com agrado pelo relator especial da ONU sobre o direito à privacidade, Joseph Cannataci, o qual declarou, relativamente ao sistema criado pelo IPA 2016, que «[o]s procedimentos instaurados nos serviços de informações e nas agências de aplicação da lei parecem necessitar sistematicamente de ter em conta a necessidade e a proporcionalidade de uma medida ou operação de vigilância antes de a sua autorização ser recomendada, bem como antes de ser revista pelos mesmos motivos» (281). Ele observou igualmente que na sua reunião com os representantes das agências de aplicação da lei e de segurança nacional «[ele] recebeu um consenso de que o direito à privacidade necessita de ser uma consideração principal em qualquer decisão relativa a medidas de vigilância. Todos eles compreenderam e apreciaram a necessidade e a proporcionalidade como princípios essenciais a ter em conta». |
| --- | --- |

(184)

Importa salientar que este recurso às normas de necessidade e proporcionalidade foi destacado e acolhido com agrado pelo relator especial da ONU sobre o direito à privacidade, Joseph Cannataci, o qual declarou, relativamente ao sistema criado pelo IPA 2016, que «[o]s procedimentos instaurados nos serviços de informações e nas agências de aplicação da lei parecem necessitar sistematicamente de ter em conta a necessidade e a proporcionalidade de uma medida ou operação de vigilância antes de a sua autorização ser recomendada, bem como antes de ser revista pelos mesmos motivos» (281). Ele observou igualmente que na sua reunião com os representantes das agências de aplicação da lei e de segurança nacional «[ele] recebeu um consenso de que o direito à privacidade necessita de ser uma consideração principal em qualquer decisão relativa a medidas de vigilância. Todos eles compreenderam e apreciaram a necessidade e a proporcionalidade como princípios essenciais a ter em conta».

281

| (185) | Os critérios específicos para emitir os diferentes mandados, bem como as limitações e as garantias criadas pelo IPA 2016 relativas a cada poder de investigação são descritas em maior detalhe nos considerandos 186 a 243. |
| --- | --- |

(185)

Os critérios específicos para emitir os diferentes mandados, bem como as limitações e as garantias criadas pelo IPA 2016 relativas a cada poder de investigação são descritas em maior detalhe nos considerandos 186 a 243.

3.3.1.1.1   Interceção e exame direcionados

| (186) | Existem três tipos de mandado para interceções direcionadas: o mandado de interceção direcionada (282), o mandado de exame direcionado e um mandado de assistência mútua (283). As condições para obter tais mandados, bem como as garantias aplicáveis estão previstas na parte 2, capítulo 1, do IPA 2016. |
| --- | --- |

(186)

Existem três tipos de mandado para interceções direcionadas: o mandado de interceção direcionada (282), o mandado de exame direcionado e um mandado de assistência mútua (283). As condições para obter tais mandados, bem como as garantias aplicáveis estão previstas na parte 2, capítulo 1, do IPA 2016.

282

283

| (187) | Um mandado de interceção direcionada autoriza a interceção das comunicações descritas no mandado no decurso da sua transmissão e a obtenção de outros dados pertinentes para essas comunicações (284), incluindo dados secundários (285). Um mandado de exame direcionado autoriza uma pessoa a efetuar a seleção para exame do conteúdo intercetado obtido ao abrigo de um mandado de interceção em larga escala (286). |
| --- | --- |

(187)

Um mandado de interceção direcionada autoriza a interceção das comunicações descritas no mandado no decurso da sua transmissão e a obtenção de outros dados pertinentes para essas comunicações (284), incluindo dados secundários (285). Um mandado de exame direcionado autoriza uma pessoa a efetuar a seleção para exame do conteúdo intercetado obtido ao abrigo de um mandado de interceção em larga escala (286).

284

285

286

| (188) | Qualquer mandado nos termos da Parte 2 do IPA 2016 pode ser emitido pelo ministro da tutela (287) e aprovado por um comissário judicial (288). Em todos os casos, a duração de qualquer tipo de mandado direcionado é limitada a seis meses (289) e aplicam-se regras específicas relativas à sua alteração (290) e renovação (291). |
| --- | --- |

(188)

Qualquer mandado nos termos da Parte 2 do IPA 2016 pode ser emitido pelo ministro da tutela (287) e aprovado por um comissário judicial (288). Em todos os casos, a duração de qualquer tipo de mandado direcionado é limitada a seis meses (289) e aplicam-se regras específicas relativas à sua alteração (290) e renovação (291).

287

288

289

290

291

| (189) | Antes de emitir o mandado, o ministro da tutela deve proceder a uma avaliação da necessidade e da proporcionalidade (292). Especificamente, para um mandado de interceção direcionada e um mandado de exame direcionado, o ministro da tutela deve verificar se a medida é necessária por um dos seguintes motivos: interesse da segurança nacional, prevenção ou deteção da criminalidade grave, ou o interesse do bem-estar económico do Reino Unido (293), na medida em que esse interesse seja igualmente relevante para o interesse da segurança nacional (294). Por outro lado, um mandado de assistência mútua (ver o considerando 139 acima) só pode ser emitido se o ministro da tutela considerar que existem circunstâncias equivalentes àquelas em que emitiria um mandado para efeitos de prevenção e/ou deteção da criminalidade grave (295). |
| --- | --- |

(189)

Antes de emitir o mandado, o ministro da tutela deve proceder a uma avaliação da necessidade e da proporcionalidade (292). Especificamente, para um mandado de interceção direcionada e um mandado de exame direcionado, o ministro da tutela deve verificar se a medida é necessária por um dos seguintes motivos: interesse da segurança nacional, prevenção ou deteção da criminalidade grave, ou o interesse do bem-estar económico do Reino Unido (293), na medida em que esse interesse seja igualmente relevante para o interesse da segurança nacional (294). Por outro lado, um mandado de assistência mútua (ver o considerando 139 acima) só pode ser emitido se o ministro da tutela considerar que existem circunstâncias equivalentes àquelas em que emitiria um mandado para efeitos de prevenção e/ou deteção da criminalidade grave (295).

292

293

294

295

| (190) | Além disso, o ministro da tutela deve apreciar se a medida é proporcional ao que se pretende alcançar (296). A apreciação da proporcionalidade das medidas solicitadas deve ter em conta os deveres gerais em matéria de privacidade previstos na section 2(2) do IPA 2016, nomeadamente a necessidade de apreciar se o que se pretende alcançar através do mandado, da autorização ou da notificação pode ser razoavelmente alcançado por outros meios menos intrusivos e se o nível de proteção a aplicar em relação a qualquer obtenção de informações, por força do mandado, é mais elevado devido à natureza particularmente sensível dessas informações (ver o considerando 181 acima). |
| --- | --- |

(190)

Além disso, o ministro da tutela deve apreciar se a medida é proporcional ao que se pretende alcançar (296). A apreciação da proporcionalidade das medidas solicitadas deve ter em conta os deveres gerais em matéria de privacidade previstos na section 2(2) do IPA 2016, nomeadamente a necessidade de apreciar se o que se pretende alcançar através do mandado, da autorização ou da notificação pode ser razoavelmente alcançado por outros meios menos intrusivos e se o nível de proteção a aplicar em relação a qualquer obtenção de informações, por força do mandado, é mais elevado devido à natureza particularmente sensível dessas informações (ver o considerando 181 acima).

296

section 2(2)

| (191) | Para o efeito, o ministro da tutela terá de ter em conta todos os elementos do pedido apresentados pela autoridade que o apresenta, em especial os relacionados com as pessoas a intercetar e a relevância da medida para a investigação. Tais elementos estão descritos no Code of Practice on Interception of Communications e devem ser descritos com um certo grau de especificidade (297). Além disso, a section 17 do IPA 2016 exige que qualquer mandado emitido ao abrigo do capítulo 2 da mesma lei designe ou descreva a pessoa ou o grupo de pessoas, a organização ou instalações a intercetar («alvo»). No caso de um mandado de interceção direcionada ou de um mandado de exame direcionado, estes podem também dizer respeito a um grupo de pessoas, a mais do que uma pessoa ou organização, ou a mais do que um conjunto de instalações (também designado por «mandado temático») (298). Nestes casos, o mandado deve descrever o objetivo comum ou a atividade partilhada pelo grupo de pessoas ou a operação/investigação e designar ou descrever tantas pessoas/organizações ou conjuntos de instalações quanto possível, quando tal se mostre razoavelmente exequível (299). Por último, todos os mandados emitidos ao abrigo da parte 2 do IPA 2016 devem especificar os endereços, números, aparelhos, fatores ou combinação de fatores que devem ser utilizados para identificar as comunicações (300). A este respeito, o Code of Practice on Interception of Communications especifica que, no caso de um mandado de interceção direcionada e de um exame orientado, «o mandado deve especificar (ou descrever) os fatores ou a combinação de fatores que devem ser utilizados para identificar as comunicações. Sempre que as comunicações devam ser identificadas por referência a um número de telefone (por exemplo), o número deve ser especificado através da sua comunicação na íntegra. No entanto, sempre que se pretenda utilizar seletores de Internet muito complexos ou em constante mudança para identificar as comunicações, esses seletores devem ser descritos tanto quanto possível» (301). |
| --- | --- |

(191)

Para o efeito, o ministro da tutela terá de ter em conta todos os elementos do pedido apresentados pela autoridade que o apresenta, em especial os relacionados com as pessoas a intercetar e a relevância da medida para a investigação. Tais elementos estão descritos no Code of Practice on Interception of Communications e devem ser descritos com um certo grau de especificidade (297). Além disso, a section 17 do IPA 2016 exige que qualquer mandado emitido ao abrigo do capítulo 2 da mesma lei designe ou descreva a pessoa ou o grupo de pessoas, a organização ou instalações a intercetar («alvo»). No caso de um mandado de interceção direcionada ou de um mandado de exame direcionado, estes podem também dizer respeito a um grupo de pessoas, a mais do que uma pessoa ou organização, ou a mais do que um conjunto de instalações (também designado por «mandado temático») (298). Nestes casos, o mandado deve descrever o objetivo comum ou a atividade partilhada pelo grupo de pessoas ou a operação/investigação e designar ou descrever tantas pessoas/organizações ou conjuntos de instalações quanto possível, quando tal se mostre razoavelmente exequível (299). Por último, todos os mandados emitidos ao abrigo da parte 2 do IPA 2016 devem especificar os endereços, números, aparelhos, fatores ou combinação de fatores que devem ser utilizados para identificar as comunicações (300). A este respeito, o Code of Practice on Interception of Communications especifica que, no caso de um mandado de interceção direcionada e de um exame orientado, «o mandado deve especificar (ou descrever) os fatores ou a combinação de fatores que devem ser utilizados para identificar as comunicações. Sempre que as comunicações devam ser identificadas por referência a um número de telefone (por exemplo), o número deve ser especificado através da sua comunicação na íntegra. No entanto, sempre que se pretenda utilizar seletores de Internet muito complexos ou em constante mudança para identificar as comunicações, esses seletores devem ser descritos tanto quanto possível» (301).

Code of Practice on Interception of Communications

297

298

299

300

Code of Practice on Interception of Communications

301

| (192) | Uma garantia importante neste contexto é que a avaliação efetuada pelo ministro da tutela para emitir um mandado deve ser aprovada por um comissário judicial (302) independente que verificará, nomeadamente, se a decisão de emitir o mandado respeita os princípios da necessidade e da proporcionalidade (303) (sobre o estatuto e o papel dos comissários judiciais ver os considerandos 251 a 256 abaixo). O IPA 2016 esclarece igualmente que, ao proceder a essa verificação, o comissário judicial deve aplicar os mesmos princípios que os aplicados por um tribunal a um pedido de exame judiciário (304). Deste modo garante-se, em cada caso e antes do acesso aos dados, a verificação sistemática do cumprimento dos princípios da necessidade e da proporcionalidade por um organismo independente. |
| --- | --- |

(192)

Uma garantia importante neste contexto é que a avaliação efetuada pelo ministro da tutela para emitir um mandado deve ser aprovada por um comissário judicial (302) independente que verificará, nomeadamente, se a decisão de emitir o mandado respeita os princípios da necessidade e da proporcionalidade (303) (sobre o estatuto e o papel dos comissários judiciais ver os considerandos 251 a 256 abaixo). O IPA 2016 esclarece igualmente que, ao proceder a essa verificação, o comissário judicial deve aplicar os mesmos princípios que os aplicados por um tribunal a um pedido de exame judiciário (304). Deste modo garante-se, em cada caso e antes do acesso aos dados, a verificação sistemática do cumprimento dos princípios da necessidade e da proporcionalidade por um organismo independente.

302

303

304

| (193) | O IPA 2016 prevê poucas exceções específicas e limitadas para a realização de interceções direcionadas sem um mandado. Os casos limitados encontram-se especificados na lei (305) e, com exceção do que se baseia no «consentimento» do remetente/destinatário, são executadas por pessoas (organismos públicos ou privados) diferentes das agências de segurança nacional. Além disso, este tipo de interceção é efetuado para efeitos diferentes da recolha de «informações» (306) e, em alguns casos, é muito improvável que a recolha possa ocorrer no contexto de um cenário de «transferência» (por exemplo, em caso de interceção efetuada num hospital psiquiátrico ou numa prisão). Tendo em conta a natureza do organismo a que estes casos específicos são aplicáveis (diferentes das agências de segurança nacional), serão aplicáveis todas as garantias previstas na parte 2 do DPA 2018 e no RGPD do Reino Unido, incluindo a supervisão do ICO e os mecanismos de recurso disponíveis. Além disso, para além das garantias previstas no DPA 2018, em determinados casos, o IPA 2016 prevê igualmente a supervisão ex post do IPCO (307). |
| --- | --- |

(193)

O IPA 2016 prevê poucas exceções específicas e limitadas para a realização de interceções direcionadas sem um mandado. Os casos limitados encontram-se especificados na lei (305) e, com exceção do que se baseia no «consentimento» do remetente/destinatário, são executadas por pessoas (organismos públicos ou privados) diferentes das agências de segurança nacional. Além disso, este tipo de interceção é efetuado para efeitos diferentes da recolha de «informações» (306) e, em alguns casos, é muito improvável que a recolha possa ocorrer no contexto de um cenário de «transferência» (por exemplo, em caso de interceção efetuada num hospital psiquiátrico ou numa prisão). Tendo em conta a natureza do organismo a que estes casos específicos são aplicáveis (diferentes das agências de segurança nacional), serão aplicáveis todas as garantias previstas na parte 2 do DPA 2018 e no RGPD do Reino Unido, incluindo a supervisão do ICO e os mecanismos de recurso disponíveis. Além disso, para além das garantias previstas no DPA 2018, em determinados casos, o IPA 2016 prevê igualmente a supervisão ex post do IPCO (307).

305

306

ex post

307

| (194) | Quando a interceção é efetuada, são aplicáveis restrições e garantias adicionais, tendo em conta o estatuto específico das pessoas intercetadas (308). Por exemplo, a interceção de elementos sujeitos à prerrogativa legal de confidencialidade só é autorizada em caso de circunstâncias excecionais e imperiosas; a pessoa que emite o mandado deve ter em conta o interesse público na confidencialidade dos elementos sujeitos à prerrogativa legal de confidencialidade e a existência de requisitos específicos para o tratamento, conservação e divulgação desse material (309). |
| --- | --- |

(194)

Quando a interceção é efetuada, são aplicáveis restrições e garantias adicionais, tendo em conta o estatuto específico das pessoas intercetadas (308). Por exemplo, a interceção de elementos sujeitos à prerrogativa legal de confidencialidade só é autorizada em caso de circunstâncias excecionais e imperiosas; a pessoa que emite o mandado deve ter em conta o interesse público na confidencialidade dos elementos sujeitos à prerrogativa legal de confidencialidade e a existência de requisitos específicos para o tratamento, conservação e divulgação desse material (309).

308

309

| (195) | Além disso, o IPA 2016 prevê salvaguardas específicas em matéria de segurança, conservação e divulgação que o ministro da tutela deve ter em conta antes de emitir um mandado específico (310). Em especial, a section 53(5) do IPA 2016 exige que todas as cópias de qualquer material recolhido ao abrigo do mandado sejam armazenadas de forma segura e destruídas logo que deixem de existir motivos pertinentes para a sua conservação, ao passo que a section 53(2) do IPA 2016 exige que o número de pessoas a quem o material é divulgado e em que medida qualquer material é divulgado, disponibilizado ou copiado deve ser limitado ao mínimo necessário para as finalidades legais. |
| --- | --- |

(195)

Além disso, o IPA 2016 prevê salvaguardas específicas em matéria de segurança, conservação e divulgação que o ministro da tutela deve ter em conta antes de emitir um mandado específico (310). Em especial, a section 53(5) do IPA 2016 exige que todas as cópias de qualquer material recolhido ao abrigo do mandado sejam armazenadas de forma segura e destruídas logo que deixem de existir motivos pertinentes para a sua conservação, ao passo que a section 53(2) do IPA 2016 exige que o número de pessoas a quem o material é divulgado e em que medida qualquer material é divulgado, disponibilizado ou copiado deve ser limitado ao mínimo necessário para as finalidades legais.

310

section 53(5)

section 53(2)

| (196) | Por último, quando o material intercetado por um mandado de interceção direcionada ou por um mandado de assistência mútua deva ser entregue a um país terceiro («divulgações no estrangeiro»), o IPA 2016 prevê que o ministro da tutela deve assegurar a implementação de mecanismos adequados para garantir a existência de salvaguardas semelhantes em matéria de segurança, conservação e divulgação nesse país terceiro (311). Além disso a section 109(2) do DPA 2018 prevê que os serviços de informações só possam transferir dados pessoais fora do território do Reino Unido se a transferência for uma medida necessária e proporcionada efetuada para efeitos das funções legais do responsável pelo tratamento ou para outras finalidades previstas na section 2(2)(a) do Security Service Act 1989 ou nas sections 2(2)(a) e 4(2)(a) do Intelligence Services Act 1994 (312). Importa notar que estes requisitos são igualmente aplicáveis nos casos em que é invocada a isenção relativa à segurança nacional nos termos da section 110 do DPA 2018, uma vez que a section 110 do DPA de 2018 não enumera a section 109 do DPA 2018 como uma das disposições que não são suscetíveis de aplicação se for necessária uma isenção de determinadas disposições para efeitos de garantia da segurança nacional. |
| --- | --- |

(196)

Por último, quando o material intercetado por um mandado de interceção direcionada ou por um mandado de assistência mútua deva ser entregue a um país terceiro («divulgações no estrangeiro»), o IPA 2016 prevê que o ministro da tutela deve assegurar a implementação de mecanismos adequados para garantir a existência de salvaguardas semelhantes em matéria de segurança, conservação e divulgação nesse país terceiro (311). Além disso a section 109(2) do DPA 2018 prevê que os serviços de informações só possam transferir dados pessoais fora do território do Reino Unido se a transferência for uma medida necessária e proporcionada efetuada para efeitos das funções legais do responsável pelo tratamento ou para outras finalidades previstas na section 2(2)(a) do Security Service Act 1989 ou nas sections 2(2)(a) e 4(2)(a) do Intelligence Services Act 1994 (312). Importa notar que estes requisitos são igualmente aplicáveis nos casos em que é invocada a isenção relativa à segurança nacional nos termos da section 110 do DPA 2018, uma vez que a section 110 do DPA de 2018 não enumera a section 109 do DPA 2018 como uma das disposições que não são suscetíveis de aplicação se for necessária uma isenção de determinadas disposições para efeitos de garantia da segurança nacional.

311

section 109(2)

section 2(2)(a)

Security Service Act 1989

sections 2(2)(a)

4(2)(a)

Intelligence Services Act 1994

312

section 110

section 110

section 109

3.3.1.1.2   Aquisição e conservação direcionadas de dados de comunicações

| (197) | O IPA 2016 permite que o ministro da tutela imponha aos operadores de telecomunicações a conservação dos dados de comunicações para efeitos do acesso específico por parte de uma série de autoridades públicas, incluindo os serviços responsáveis pela aplicação da lei e os serviços de informações. A parte 4 do IPA 2016 prevê a conservação de dados de comunicações, enquanto a parte 3 prevê a aquisição direcionada de dados de comunicações. Na parte 3 e na parte 4 do IPA 2016, estabelecem-se igualmente limitações específicas à utilização destes poderes e preveem salvaguardas específicas. |
| --- | --- |

(197)

O IPA 2016 permite que o ministro da tutela imponha aos operadores de telecomunicações a conservação dos dados de comunicações para efeitos do acesso específico por parte de uma série de autoridades públicas, incluindo os serviços responsáveis pela aplicação da lei e os serviços de informações. A parte 4 do IPA 2016 prevê a conservação de dados de comunicações, enquanto a parte 3 prevê a aquisição direcionada de dados de comunicações. Na parte 3 e na parte 4 do IPA 2016, estabelecem-se igualmente limitações específicas à utilização destes poderes e preveem salvaguardas específicas.

| (198) | A expressão «dados de comunicações» abrange o «quem», o «quando», o «onde» e o «como» de uma comunicação, mas não o conteúdo, ou seja, o que foi dito ou escrito. Diferente da interceção, a aquisição e a conservação de dados de comunicações não se destinam a obter o conteúdo da comunicação, mas sim a obter informações tais como o assinante de um serviço telefónico ou uma fatura discriminada. Pode incluir-se aqui o momento e a duração da comunicação, o número ou o endereço de correio eletrónico da entidade de origem e do destinatário e, por vezes, a localização dos dispositivos a partir dos quais a telecomunicação foi efetuada (313). |
| --- | --- |

(198)

A expressão «dados de comunicações» abrange o «quem», o «quando», o «onde» e o «como» de uma comunicação, mas não o conteúdo, ou seja, o que foi dito ou escrito. Diferente da interceção, a aquisição e a conservação de dados de comunicações não se destinam a obter o conteúdo da comunicação, mas sim a obter informações tais como o assinante de um serviço telefónico ou uma fatura discriminada. Pode incluir-se aqui o momento e a duração da comunicação, o número ou o endereço de correio eletrónico da entidade de origem e do destinatário e, por vezes, a localização dos dispositivos a partir dos quais a telecomunicação foi efetuada (313).

313

| (199) | Importa referir que a conservação e a aquisição de dados de comunicações não dirão normalmente respeito aos dados pessoais dos titulares de dados da UE transferidos ao abrigo da presente decisão para o Reino Unido. A obrigação de conservar ou divulgar dados de comunicações nos termos das partes 3 e 4 do IPA 2016 abrange os dados recolhidos pelos operadores de telecomunicações no Reino Unido diretamente junto dos utilizadores de um serviço de telecomunicações (314). Este tipo de tratamento «voltado para o cliente» não envolve normalmente uma transferência com base na presente decisão, ou seja, uma transferência de um responsável pelo tratamento/subcontratante na UE para um responsável pelo tratamento/subcontratante no Reino Unido. |
| --- | --- |

(199)

Importa referir que a conservação e a aquisição de dados de comunicações não dirão normalmente respeito aos dados pessoais dos titulares de dados da UE transferidos ao abrigo da presente decisão para o Reino Unido. A obrigação de conservar ou divulgar dados de comunicações nos termos das partes 3 e 4 do IPA 2016 abrange os dados recolhidos pelos operadores de telecomunicações no Reino Unido diretamente junto dos utilizadores de um serviço de telecomunicações (314). Este tipo de tratamento «voltado para o cliente» não envolve normalmente uma transferência com base na presente decisão, ou seja, uma transferência de um responsável pelo tratamento/subcontratante na UE para um responsável pelo tratamento/subcontratante no Reino Unido.

314

| (200) | No entanto, por uma questão de exaustividade, as condições e as garantias que regem estes regimes de aquisição e de conservação são analisadas nos considerandos seguintes. |
| --- | --- |

(200)

No entanto, por uma questão de exaustividade, as condições e as garantias que regem estes regimes de aquisição e de conservação são analisadas nos considerandos seguintes.

| (201) | Como premissa, importa notar que a conservação e a aquisição direcionadas de dados de comunicações estão disponíveis tanto para as agências de segurança nacional como para determinadas autoridades de aplicação da lei (315). As condições para exigir a conservação e/ou a aquisição de dados de comunicações podem variar consoante o motivo para solicitar a medida, ou seja, uma finalidade de segurança nacional ou de aplicação da lei. |
| --- | --- |

(201)

Como premissa, importa notar que a conservação e a aquisição direcionadas de dados de comunicações estão disponíveis tanto para as agências de segurança nacional como para determinadas autoridades de aplicação da lei (315). As condições para exigir a conservação e/ou a aquisição de dados de comunicações podem variar consoante o motivo para solicitar a medida, ou seja, uma finalidade de segurança nacional ou de aplicação da lei.

315

| (202) | Em especial, embora o novo regime tenha introduzido o requisito geral de uma autorização ex ante por um organismo independente que será aplicável em todos os casos em que os dados de comunicação são conservados e/ou adquiridos (para uma finalidade de aplicação da lei ou de segurança nacional), na sequência do acórdão Tele2/Watson do Tribunal de Justiça da União Europeia (316), foram introduzidas garantias específicas quando a medida é solicitada para efeitos de aplicação da lei. Em especial, quando a conservação ou a aquisição de dados de comunicação é solicitada para uma finalidade de aplicação da lei, a autorização ex ante deve ser sempre concedida pelo comissário para os poderes de investigação. Nem sempre é esse o caso quando a medida é solicitada para uma finalidade de segurança nacional, uma vez que, tal como descrito abaixo, em determinados casos esse tipo de medidas pode ser autorizado por diferentes «titulares da autorização». Além disso, o novo regime elevou para «criminalidade grave» o limiar para o qual a conservação e a aquisição de dados de comunicações podem ser autorizadas (317). |
| --- | --- |

(202)

Em especial, embora o novo regime tenha introduzido o requisito geral de uma autorização ex ante por um organismo independente que será aplicável em todos os casos em que os dados de comunicação são conservados e/ou adquiridos (para uma finalidade de aplicação da lei ou de segurança nacional), na sequência do acórdão Tele2/Watson do Tribunal de Justiça da União Europeia (316), foram introduzidas garantias específicas quando a medida é solicitada para efeitos de aplicação da lei. Em especial, quando a conservação ou a aquisição de dados de comunicação é solicitada para uma finalidade de aplicação da lei, a autorização ex ante deve ser sempre concedida pelo comissário para os poderes de investigação. Nem sempre é esse o caso quando a medida é solicitada para uma finalidade de segurança nacional, uma vez que, tal como descrito abaixo, em determinados casos esse tipo de medidas pode ser autorizado por diferentes «titulares da autorização». Além disso, o novo regime elevou para «criminalidade grave» o limiar para o qual a conservação e a aquisição de dados de comunicações podem ser autorizadas (317).

ex ante

316

ex ante

317

i)   Autorização para a obtenção de dados de comunicações

Autorização para a obtenção de dados de comunicações

| (203) | De acordo com a parte 3 do IPA 2016, as autoridades públicas competentes estão autorizadas a obter dados de comunicações de um operador de telecomunicações ou de qualquer pessoa capaz de obter e divulgar esses dados. A autorização não pode permitir a interceção do conteúdo das comunicações (318) e deixa de produzir efeitos decorrido um mês (319), com a possibilidade de ser renovada mediante uma autorização adicional (320). A aquisição de dados de comunicações requer uma autorização do comissário para os poderes de investigação (IPC) (321) (a respeito do estatuto e dos poderes do IPC, ver os considerandos 250 a 251). Tal é sempre o caso quando a aquisição de dados de comunicações é solicitada por uma autoridade de aplicação da lei competente. No entanto, de acordo com a section 61 do IPA 2016, quando os dados forem obtidos por razões de segurança nacional ou de bem-estar económico do Reino Unido, desde que os mesmos sejam relevantes para a segurança nacional ou quando um pedido for apresentado por um membro de um serviço de informações ao abrigo da section 61(7)(b) (322), a aquisição pode ser autorizada em alternativa (323) pelo comissário para os poderes de investigação ou por um dirigente superior designado (324). O dirigente designado deve ser independente da investigação ou da operação em causa e ter conhecimentos práticos sobre os princípios e a legislação em matéria de direitos humanos, nomeadamente os relativos à necessidade e à proporcionalidade (325). A decisão tomada pelo dirigente designado estará sujeita à supervisão ex post realizada pelo comissário para os Poderes de Supervisão (ver o considerando 254 para mais pormenores sobre as funções de supervisão ex post do comissário para os Poderes de Supervisão). |
| --- | --- |

(203)

De acordo com a parte 3 do IPA 2016, as autoridades públicas competentes estão autorizadas a obter dados de comunicações de um operador de telecomunicações ou de qualquer pessoa capaz de obter e divulgar esses dados. A autorização não pode permitir a interceção do conteúdo das comunicações (318) e deixa de produzir efeitos decorrido um mês (319), com a possibilidade de ser renovada mediante uma autorização adicional (320). A aquisição de dados de comunicações requer uma autorização do comissário para os poderes de investigação (IPC) (321) (a respeito do estatuto e dos poderes do IPC, ver os considerandos 250 a 251). Tal é sempre o caso quando a aquisição de dados de comunicações é solicitada por uma autoridade de aplicação da lei competente. No entanto, de acordo com a section 61 do IPA 2016, quando os dados forem obtidos por razões de segurança nacional ou de bem-estar económico do Reino Unido, desde que os mesmos sejam relevantes para a segurança nacional ou quando um pedido for apresentado por um membro de um serviço de informações ao abrigo da section 61(7)(b) (322), a aquisição pode ser autorizada em alternativa (323) pelo comissário para os poderes de investigação ou por um dirigente superior designado (324). O dirigente designado deve ser independente da investigação ou da operação em causa e ter conhecimentos práticos sobre os princípios e a legislação em matéria de direitos humanos, nomeadamente os relativos à necessidade e à proporcionalidade (325). A decisão tomada pelo dirigente designado estará sujeita à supervisão ex post realizada pelo comissário para os Poderes de Supervisão (ver o considerando 254 para mais pormenores sobre as funções de supervisão ex post do comissário para os Poderes de Supervisão).

318

319

320

321

section 61

section 61(7)(b)

322

323

324

325

ex post

ex post

| (204) | A autorização para obter dados de comunicação baseia-se numa avaliação da necessidade e da proporcionalidade da medida. Mais especificamente, a necessidade da medida é apreciada à luz dos motivos enumerados na legislação (326). Tendo em conta a natureza específica desta medida, deve também ser necessária para uma investigação ou operação específica (327). O Code of Practice on Communication Data (código de boas práticas sobre dados de comunicações) estabelece outros requisitos em matéria de avaliação da necessidade das medidas (328). Nomeadamente, este código prevê que o pedido apresentado pela autoridade requerente deve identificar três elementos mínimos para justificar a necessidade desse pedido: i) o evento sob investigação, como, por exemplo, uma infração penal ou a localização de uma pessoa vulnerável desaparecida, ii) a pessoa cujos dados são solicitados, tais como suspeitos, testemunhas ou pessoas desaparecidas, e a forma como está ligada ao evento e iii) os dados de comunicações solicitados, tais como um número de telefone ou endereço IP, e a forma como esses dados estão relacionados com a pessoa e o evento (329). |
| --- | --- |

(204)

A autorização para obter dados de comunicação baseia-se numa avaliação da necessidade e da proporcionalidade da medida. Mais especificamente, a necessidade da medida é apreciada à luz dos motivos enumerados na legislação (326). Tendo em conta a natureza específica desta medida, deve também ser necessária para uma investigação ou operação específica (327). O Code of Practice on Communication Data (código de boas práticas sobre dados de comunicações) estabelece outros requisitos em matéria de avaliação da necessidade das medidas (328). Nomeadamente, este código prevê que o pedido apresentado pela autoridade requerente deve identificar três elementos mínimos para justificar a necessidade desse pedido: i) o evento sob investigação, como, por exemplo, uma infração penal ou a localização de uma pessoa vulnerável desaparecida, ii) a pessoa cujos dados são solicitados, tais como suspeitos, testemunhas ou pessoas desaparecidas, e a forma como está ligada ao evento e iii) os dados de comunicações solicitados, tais como um número de telefone ou endereço IP, e a forma como esses dados estão relacionados com a pessoa e o evento (329).

326

327

Code of Practice on Communication Data

328

329

| (205) | Além disso, a aquisição de dados de comunicações tem de ser proporcional ao que se pretende alcançar (330). O Code of Practice on Communication Data (código de boas práticas sobre dados de comunicações) esclarece que, ao proceder a essa avaliação, o titular da autorização deve proceder a um exercício de ponderação entre «a extensão da interferência nos direitos e liberdades de uma pessoa e um benefício específico para a investigação ou operação realizada por uma autoridade pública competente no interesse público e que, tendo em conta todas as considerações de um caso específico, uma interferência nos direitos de um indivíduo pode também não se justificar porque o impacto negativo nos direitos de outra pessoa ou grupo de pessoas é demasiado grave». Além disso, a fim de avaliar especificamente a proporcionalidade da medida, o código enumera uma série de elementos que devem ser incluídos no pedido apresentado pela autoridade requerente (331). Além disso, deve ser dada especial atenção ao tipo de dados de comunicações (dados de «entidade» ou «eventos» (332)) a obter e privilegiar-se a utilização de categorias de dados menos intrusivas (333). O Code of Practice on Communication Data (código de boas práticas sobre dados de comunicações) contém igualmente instruções específicas para autorizações que envolvam dados de comunicações de pessoas em determinadas profissões (tais como médicos, advogados, jornalistas, deputados ou ministros do culto) (334) que são objeto de salvaguardas adicionais (335). |
| --- | --- |

(205)

Além disso, a aquisição de dados de comunicações tem de ser proporcional ao que se pretende alcançar (330). O Code of Practice on Communication Data (código de boas práticas sobre dados de comunicações) esclarece que, ao proceder a essa avaliação, o titular da autorização deve proceder a um exercício de ponderação entre «a extensão da interferência nos direitos e liberdades de uma pessoa e um benefício específico para a investigação ou operação realizada por uma autoridade pública competente no interesse público e que, tendo em conta todas as considerações de um caso específico, uma interferência nos direitos de um indivíduo pode também não se justificar porque o impacto negativo nos direitos de outra pessoa ou grupo de pessoas é demasiado grave». Além disso, a fim de avaliar especificamente a proporcionalidade da medida, o código enumera uma série de elementos que devem ser incluídos no pedido apresentado pela autoridade requerente (331). Além disso, deve ser dada especial atenção ao tipo de dados de comunicações (dados de «entidade» ou «eventos» (332)) a obter e privilegiar-se a utilização de categorias de dados menos intrusivas (333). O Code of Practice on Communication Data (código de boas práticas sobre dados de comunicações) contém igualmente instruções específicas para autorizações que envolvam dados de comunicações de pessoas em determinadas profissões (tais como médicos, advogados, jornalistas, deputados ou ministros do culto) (334) que são objeto de salvaguardas adicionais (335).

330

Code of Practice on Communication Data

331

332

333

Code of Practice on Communication Data

334

335

ii)   Notificação a exigir a conservação de dados de comunicações

Notificação a exigir a conservação de dados de comunicações

| (206) | A parte 4 do IPA 2016 estabelece as regras relativas à conservação de dados de comunicações e, em especial, os critérios que permitem ao ministro da tutela emitir uma notificação de conservação (336). As garantias introduzidas pelo IPA são as mesmas quando os dados são conservados para efeitos de aplicação da lei ou no interesse da segurança nacional. |
| --- | --- |

(206)

A parte 4 do IPA 2016 estabelece as regras relativas à conservação de dados de comunicações e, em especial, os critérios que permitem ao ministro da tutela emitir uma notificação de conservação (336). As garantias introduzidas pelo IPA são as mesmas quando os dados são conservados para efeitos de aplicação da lei ou no interesse da segurança nacional.

336

| (207) | A emissão de tais notificações de conservação visa garantir que os operadores de telecomunicações conservam, por um período máximo de 12 meses, dados de comunicações relevantes que, de outro modo, seriam apagados quando deixassem de ser necessários para fins comerciais (337). Os dados conservados devem permanecer disponíveis durante o período necessário, caso uma autoridade pública tenha posteriormente de os obter ao abrigo de uma autorização para uma aquisição direcionada de dados de comunicações, prevista na parte 3 do IPA 2016 e descrita nos considerandos 203 a 205. |
| --- | --- |

(207)

A emissão de tais notificações de conservação visa garantir que os operadores de telecomunicações conservam, por um período máximo de 12 meses, dados de comunicações relevantes que, de outro modo, seriam apagados quando deixassem de ser necessários para fins comerciais (337). Os dados conservados devem permanecer disponíveis durante o período necessário, caso uma autoridade pública tenha posteriormente de os obter ao abrigo de uma autorização para uma aquisição direcionada de dados de comunicações, prevista na parte 3 do IPA 2016 e descrita nos considerandos 203 a 205.

337

| (208) | O exercício do poder para solicitar a conservação de determinados dados está sujeito a um conjunto de limitações e de garantias. O ministro da tutela só pode emitir uma notificação de conservação para um ou vários operadores (338) se considerar que a obrigação de conservar os dados é necessária para uma das finalidades legais (339) e é proporcional ao que se pretende alcançar (340). Conforme clarificado pelo próprio IPA 2016 (341), antes de emitir uma notificação de conservação, o ministro da tutela deve ter em conta: os benefícios prováveis da notificação (342), uma descrição dos serviços de telecomunicações, a conveniência de limitar os dados a conservar por referência à localização ou a descrições das pessoas a quem são prestados serviços de telecomunicações (343), o número provável de utilizadores (quando conhecido) de qualquer serviço de telecomunicações a que se refere a notificação (344), a viabilidade técnica do cumprimento da notificação, os custos prováveis do cumprimento da notificação e quaisquer outros efeitos do mesmo para o operador de telecomunicações (ou descrição dos operadores) a que a notificação diz respeito (345). Tal como especificado no capítulo 17 do Code of Practice on Communication Data (código de boas práticas sobre dados de comunicações), todas as notificações de conservação têm de especificar cada tipo de dados a ser conservado e o modo como esse tipo de dados cumpre os testes necessários para a conservação. |
| --- | --- |

(208)

O exercício do poder para solicitar a conservação de determinados dados está sujeito a um conjunto de limitações e de garantias. O ministro da tutela só pode emitir uma notificação de conservação para um ou vários operadores (338) se considerar que a obrigação de conservar os dados é necessária para uma das finalidades legais (339) e é proporcional ao que se pretende alcançar (340). Conforme clarificado pelo próprio IPA 2016 (341), antes de emitir uma notificação de conservação, o ministro da tutela deve ter em conta: os benefícios prováveis da notificação (342), uma descrição dos serviços de telecomunicações, a conveniência de limitar os dados a conservar por referência à localização ou a descrições das pessoas a quem são prestados serviços de telecomunicações (343), o número provável de utilizadores (quando conhecido) de qualquer serviço de telecomunicações a que se refere a notificação (344), a viabilidade técnica do cumprimento da notificação, os custos prováveis do cumprimento da notificação e quaisquer outros efeitos do mesmo para o operador de telecomunicações (ou descrição dos operadores) a que a notificação diz respeito (345). Tal como especificado no capítulo 17 do Code of Practice on Communication Data (código de boas práticas sobre dados de comunicações), todas as notificações de conservação têm de especificar cada tipo de dados a ser conservado e o modo como esse tipo de dados cumpre os testes necessários para a conservação.

338

339

340

341

342

343

344

345

Code of Practice on Communication Data

| (209) | Em todos os casos (tanto para efeitos de segurança nacional como de aplicação da lei), a decisão do ministro da tutela de emitir a notificação de conservação deve ser aprovada por um comissário judicial independente no âmbito do chamado «procedimento de dupla segurança», que deve verificar, em especial, se a notificação para conservar os dados das comunicações relevantes é necessária e proporcionada para uma ou mais das finalidades legais (346). |
| --- | --- |

(209)

Em todos os casos (tanto para efeitos de segurança nacional como de aplicação da lei), a decisão do ministro da tutela de emitir a notificação de conservação deve ser aprovada por um comissário judicial independente no âmbito do chamado «procedimento de dupla segurança», que deve verificar, em especial, se a notificação para conservar os dados das comunicações relevantes é necessária e proporcionada para uma ou mais das finalidades legais (346).

346

3.3.1.1.3   Interferência em equipamentos

| (210) | A interferência em equipamentos é um conjunto de técnicas utilizadas para obter uma diversidade de dados a partir de equipamentos (347), que incluem computadores, tablets e telefones inteligentes, bem como cabos, fios e dispositivos de armazenamento (348). A interferência em equipamentos permite obter tanto o conteúdo das comunicações como os dados do equipamento (349). |
| --- | --- |

(210)

A interferência em equipamentos é um conjunto de técnicas utilizadas para obter uma diversidade de dados a partir de equipamentos (347), que incluem computadores, tablets e telefones inteligentes, bem como cabos, fios e dispositivos de armazenamento (348). A interferência em equipamentos permite obter tanto o conteúdo das comunicações como os dados do equipamento (349).

347

tablets

348

349

| (211) | Em conformidade com a section 13(1) do IPA 2016, a utilização de interferências com equipamentos por parte de um serviço de informações implica uma autorização através de um mandado ao abrigo do procedimento de «dupla segurança» previsto pelo IPA 2016, desde que exista uma «ligação com as ilhas Britânicas» (350). De acordo com as explicações fornecidas pelas autoridades do Reino Unido, nas situações em que os dados sejam transferidos da União Europeia para o Reino Unido no âmbito da presente decisão, existiria sempre uma «ligação com as ilhas Britânicas» e qualquer interferência em equipamentos que abrangesse esses dados estaria, por conseguinte, sujeita ao requisito do mandado obrigatório previsto na section 13(1) do IPA 2016 (351). |
| --- | --- |

(211)

Em conformidade com a section 13(1) do IPA 2016, a utilização de interferências com equipamentos por parte de um serviço de informações implica uma autorização através de um mandado ao abrigo do procedimento de «dupla segurança» previsto pelo IPA 2016, desde que exista uma «ligação com as ilhas Britânicas» (350). De acordo com as explicações fornecidas pelas autoridades do Reino Unido, nas situações em que os dados sejam transferidos da União Europeia para o Reino Unido no âmbito da presente decisão, existiria sempre uma «ligação com as ilhas Britânicas» e qualquer interferência em equipamentos que abrangesse esses dados estaria, por conseguinte, sujeita ao requisito do mandado obrigatório previsto na section 13(1) do IPA 2016 (351).

section 13(1)

350

section 13(1)

351

| (212) | As regras relativas aos mandados direcionados de interferência em equipamentos encontram-se estabelecidas na parte 5 do IPA 2016. À semelhança da interceção direcionada, a interferência direcionada em equipamentos tem de estar relacionada com um «alvo» específico, que tem de ser descrito no mandado (352). Os pormenores sobre a forma como um «alvo» deve ser identificado dependem do assunto e do tipo de equipamento a ser objeto de interferência. Em especial, a section 115(3) do IPA especifica os elementos que devem ser incluídos no mandado (por exemplo, nome da pessoa ou organização, descrição da localização), dependendo, por exemplo, de a interferência respeitar a um equipamento que pertence, é utilizado ou está na posse de uma determinada pessoa, organização ou grupo de pessoas, se encontra num local específico, etc. (353) As finalidades para as quais podem ser emitidos mandados direcionados de interferência em equipamentos dependem da autoridade pública que faz o pedido (354). |
| --- | --- |

(212)

As regras relativas aos mandados direcionados de interferência em equipamentos encontram-se estabelecidas na parte 5 do IPA 2016. À semelhança da interceção direcionada, a interferência direcionada em equipamentos tem de estar relacionada com um «alvo» específico, que tem de ser descrito no mandado (352). Os pormenores sobre a forma como um «alvo» deve ser identificado dependem do assunto e do tipo de equipamento a ser objeto de interferência. Em especial, a section 115(3) do IPA especifica os elementos que devem ser incluídos no mandado (por exemplo, nome da pessoa ou organização, descrição da localização), dependendo, por exemplo, de a interferência respeitar a um equipamento que pertence, é utilizado ou está na posse de uma determinada pessoa, organização ou grupo de pessoas, se encontra num local específico, etc. (353) As finalidades para as quais podem ser emitidos mandados direcionados de interferência em equipamentos dependem da autoridade pública que faz o pedido (354).

352

section 115(3)

353

354

| (213) | À semelhança da interceção direcionada, a autoridade emissora deve ponderar se a medida é necessária para alcançar um objetivo específico e se é proporcional ao que se pretende alcançar (355). Além disso, deve igualmente ponderar se existem salvaguardas em matéria de segurança, conservação e divulgação, bem como em relação à «divulgação no estrangeiro» (356) (ver o considerando 196). |
| --- | --- |

(213)

À semelhança da interceção direcionada, a autoridade emissora deve ponderar se a medida é necessária para alcançar um objetivo específico e se é proporcional ao que se pretende alcançar (355). Além disso, deve igualmente ponderar se existem salvaguardas em matéria de segurança, conservação e divulgação, bem como em relação à «divulgação no estrangeiro» (356) (ver o considerando 196).

355

356

| (214) | O mandado tem de ser aprovado por um comissário judicial, exceto em casos urgentes (357). Neste último caso, o comissário judicial tem de ser informado de que foi emitido um mandado e deve aprová-lo no prazo de três dias úteis. No caso de o comissário judicial se recusar a aprová-lo, o mandado deixa de ter efeitos e não pode ser renovado (358). Além disso, o comissário judicial tem poderes para exigir o apagamento dos dados obtidos ao abrigo do mandado (359). O facto de um mandado ter sido emitido com caráter de urgência não afeta a supervisão ex post (ver os considerandos 244 a 255) nem as possibilidades de as pessoas singulares procurarem obter reparação (ver os considerandos 260 a 270). As pessoas singulares podem apresentar reclamação ao ICO ou apresentar uma reclamação contra qualquer alegado comportamento ao Investigatory Powers Tribunal da forma habitual. Em qualquer caso, o critério aplicado pelo comissário judicial ao decidir da aprovação de um mandado é o critério da necessidade e da proporcionalidade aplicável aos pedidos de interceção direcionada (360) (ver o considerando 192). |
| --- | --- |

(214)

O mandado tem de ser aprovado por um comissário judicial, exceto em casos urgentes (357). Neste último caso, o comissário judicial tem de ser informado de que foi emitido um mandado e deve aprová-lo no prazo de três dias úteis. No caso de o comissário judicial se recusar a aprová-lo, o mandado deixa de ter efeitos e não pode ser renovado (358). Além disso, o comissário judicial tem poderes para exigir o apagamento dos dados obtidos ao abrigo do mandado (359). O facto de um mandado ter sido emitido com caráter de urgência não afeta a supervisão ex post (ver os considerandos 244 a 255) nem as possibilidades de as pessoas singulares procurarem obter reparação (ver os considerandos 260 a 270). As pessoas singulares podem apresentar reclamação ao ICO ou apresentar uma reclamação contra qualquer alegado comportamento ao Investigatory Powers Tribunal da forma habitual. Em qualquer caso, o critério aplicado pelo comissário judicial ao decidir da aprovação de um mandado é o critério da necessidade e da proporcionalidade aplicável aos pedidos de interceção direcionada (360) (ver o considerando 192).

357

358

359

ex post

Investigatory Powers Tribunal

360

| (215) | Por último, as salvaguardas específicas aplicáveis à interceção direcionada aplicam-se igualmente à interferência em equipamentos no que diz respeito à duração, renovação e alteração do mandado, bem como à interceção de deputados ao parlamento, de elementos sujeitos à prerrogativa legal de confidencialidade e de material jornalístico (ver mais pormenores no considerando 193). |
| --- | --- |

(215)

Por último, as salvaguardas específicas aplicáveis à interceção direcionada aplicam-se igualmente à interferência em equipamentos no que diz respeito à duração, renovação e alteração do mandado, bem como à interceção de deputados ao parlamento, de elementos sujeitos à prerrogativa legal de confidencialidade e de material jornalístico (ver mais pormenores no considerando 193).

3.3.1.1.4   Exercício de poderes em larga escala

| (216) | Os poderes em larga escala encontram-se regulados na parte 6 do IPA 2016. Além disso, os códigos de boas práticas preveem mais pormenores sobre o recurso aos poderes em larga escala. Embora não exista na legislação do Reino Unido uma definição de «poder em larga escala», no contexto do IPA 2016, foi descrita como sendo a recolha e conservação de grandes quantidades de dados obtidos pelo Estado com recurso a vários meios (ou seja, os poderes de interceção em larga escala, a aquisição em larga escala, a interferência em equipamentos em larga escala e os conjuntos de dados pessoais em larga escala) e que podem posteriormente ser acedidos pelas autoridades. Esta descrição é clarificada ao contrapor-se com o que o «poder em larga escala» não é: não equivale à chamada «vigilância em larga escala» sem limitações ou salvaguardas. Pelo contrário, como se explica de seguida, integra limitações e salvaguardas destinadas a garantir que o acesso aos dados não é facultado de forma indiscriminada ou injustificada (361). Em especial, os poderes em larga escala só podem ser utilizados se for estabelecida uma ligação entre a medida técnica que um serviço de informações nacional tenciona utilizar e o objetivo operacional para o qual essa medida é solicitada. |
| --- | --- |

(216)

Os poderes em larga escala encontram-se regulados na parte 6 do IPA 2016. Além disso, os códigos de boas práticas preveem mais pormenores sobre o recurso aos poderes em larga escala. Embora não exista na legislação do Reino Unido uma definição de «poder em larga escala», no contexto do IPA 2016, foi descrita como sendo a recolha e conservação de grandes quantidades de dados obtidos pelo Estado com recurso a vários meios (ou seja, os poderes de interceção em larga escala, a aquisição em larga escala, a interferência em equipamentos em larga escala e os conjuntos de dados pessoais em larga escala) e que podem posteriormente ser acedidos pelas autoridades. Esta descrição é clarificada ao contrapor-se com o que o «poder em larga escala» não é: não equivale à chamada «vigilância em larga escala» sem limitações ou salvaguardas. Pelo contrário, como se explica de seguida, integra limitações e salvaguardas destinadas a garantir que o acesso aos dados não é facultado de forma indiscriminada ou injustificada (361). Em especial, os poderes em larga escala só podem ser utilizados se for estabelecida uma ligação entre a medida técnica que um serviço de informações nacional tenciona utilizar e o objetivo operacional para o qual essa medida é solicitada.

361

| (217) | Além disso, os poderes em larga escala estão disponíveis exclusivamente para os serviços de informações e são sempre objeto de um mandado emitido pelo ministro da tutela e aprovado por um comissário judicial. Ao escolher os meios de recolha de informações, há que ter em conta se o objetivo em questão pode ser prosseguido com recurso a «meios menos intrusivos» (362). Esta abordagem decorre do quadro legislativo que assenta no princípio da proporcionalidade e, por conseguinte, dá prioridade à recolha em larga escala. |
| --- | --- |

(217)

Além disso, os poderes em larga escala estão disponíveis exclusivamente para os serviços de informações e são sempre objeto de um mandado emitido pelo ministro da tutela e aprovado por um comissário judicial. Ao escolher os meios de recolha de informações, há que ter em conta se o objetivo em questão pode ser prosseguido com recurso a «meios menos intrusivos» (362). Esta abordagem decorre do quadro legislativo que assenta no princípio da proporcionalidade e, por conseguinte, dá prioridade à recolha em larga escala.

362

3.3.1.1.4.1   Interceção em larga escala e interferência em equipamentos em larga escala

| (218) | O regime de interceção em larga escala está previsto na parte 6, capítulo 1, do IPA 2016, ao passo que o capítulo 3 da mesma parte regula a interferência em equipamentos em larga escala. Estes regimes são substancialmente idênticos, pelo que as condições e salvaguardas adicionais aplicáveis a estes mandados são analisadas em conjunto. |
| --- | --- |

(218)

O regime de interceção em larga escala está previsto na parte 6, capítulo 1, do IPA 2016, ao passo que o capítulo 3 da mesma parte regula a interferência em equipamentos em larga escala. Estes regimes são substancialmente idênticos, pelo que as condições e salvaguardas adicionais aplicáveis a estes mandados são analisadas em conjunto.

i)   Condições e critérios para a emissão do mandado

Condições e critérios para a emissão do mandado

| (219) | Um mandado de interceção em larga escala é limitado à interceção de comunicações no decurso da transmissão enviada ou recebida por pessoas que se encontram fora das ilhas Britânicas (363), as chamadas «comunicações relacionadas com o estrangeiro» (364), bem como outros dados pertinentes e a subsequente seleção para exame do material intercetado (365). Um mandado de interferência em equipamentos em larga escala (366) autoriza o destinatário a proteger a interferência em qualquer equipamento com o objetivo de obter comunicações relacionadas com o estrangeiro (incluindo tudo o que inclua voz, música, sons, imagens visuais ou dados de qualquer natureza), dados dos equipamentos (dados que permitam ou facilitem o funcionamento de um serviço postal, um sistema de telecomunicações, um serviço de telecomunicações) ou qualquer outra informação (367). |
| --- | --- |

(219)

Um mandado de interceção em larga escala é limitado à interceção de comunicações no decurso da transmissão enviada ou recebida por pessoas que se encontram fora das ilhas Britânicas (363), as chamadas «comunicações relacionadas com o estrangeiro» (364), bem como outros dados pertinentes e a subsequente seleção para exame do material intercetado (365). Um mandado de interferência em equipamentos em larga escala (366) autoriza o destinatário a proteger a interferência em qualquer equipamento com o objetivo de obter comunicações relacionadas com o estrangeiro (incluindo tudo o que inclua voz, música, sons, imagens visuais ou dados de qualquer natureza), dados dos equipamentos (dados que permitam ou facilitem o funcionamento de um serviço postal, um sistema de telecomunicações, um serviço de telecomunicações) ou qualquer outra informação (367).

363

364

365

366

367

| (220) | O ministro da tutela só pode emitir um mandado em larga escala a pedido do responsável de um serviço de informações (368). Um mandado que autorize uma interceção em larga escala ou uma interferência em equipamentos em larga escala só deve ser emitido se o mesmo for necessário para a segurança nacional e para outros fins de prevenção ou deteção da criminalidade grave, ou para o interesse do bem-estar económico do Reino Unido, quando relevante para a segurança nacional (369). Além disso, a section 142(7) do IPA 2016 exige que um mandado de interceção em larga escala seja objeto de uma maior especificação do que a simples referência ao «interesse da segurança nacional», ao «bem-estar económico do Reino Unido» e à «prevenção e combate à criminalidade grave», mas deve ser estabelecida uma ligação entre a medida que se procura obter e um ou mais objetivos operacionais que devem ser incluídos no mandado. |
| --- | --- |

(220)

O ministro da tutela só pode emitir um mandado em larga escala a pedido do responsável de um serviço de informações (368). Um mandado que autorize uma interceção em larga escala ou uma interferência em equipamentos em larga escala só deve ser emitido se o mesmo for necessário para a segurança nacional e para outros fins de prevenção ou deteção da criminalidade grave, ou para o interesse do bem-estar económico do Reino Unido, quando relevante para a segurança nacional (369). Além disso, a section 142(7) do IPA 2016 exige que um mandado de interceção em larga escala seja objeto de uma maior especificação do que a simples referência ao «interesse da segurança nacional», ao «bem-estar económico do Reino Unido» e à «prevenção e combate à criminalidade grave», mas deve ser estabelecida uma ligação entre a medida que se procura obter e um ou mais objetivos operacionais que devem ser incluídos no mandado.

368

369

section 142(7)

| (221) | A escolha da finalidade operacional resulta de um processo com vários níveis. A section 142(4) prevê que as finalidades operacionais especificadas no mandado devem ser especificadas numa lista mantida pelos responsáveis dos serviços de informações, como finalidades que consideram ser finalidades operacionais para as quais pode ser selecionado para exame conteúdo intercetado ou dados secundários obtidos ao abrigo de mandados de interceção em larga escala. A lista de finalidades operacionais deve ser aprovada pelo ministro da tutela. O ministro da tutela só pode dar essa aprovação se considerar que a finalidade operacional for especificada em maior detalhe do que os motivos gerais para autorizar o mandado (segurança nacional ou segurança nacional e bem-estar económico ou prevenção de criminalidade grave) (370). No final de cada período de três meses pertinente, o ministro da tutela deve fornecer uma cópia da lista de finalidades operacionais à Intelligence and Security Committee (comissão para a informação e a segurança) (ISC) do parlamento. Por último, o primeiro-ministro deve analisar a lista de finalidades operacionais pelo menos uma vez por ano (371). Conforme referido pelo High Court, «[n]ão devem ser consideradas salvaguardas insignificantes, uma vez que constituem, na sua globalidade, um conjunto complexo de modos de responsabilização, que envolvem o parlamento e os membros do governo ao mais alto nível» (372). |
| --- | --- |

(221)

A escolha da finalidade operacional resulta de um processo com vários níveis. A section 142(4) prevê que as finalidades operacionais especificadas no mandado devem ser especificadas numa lista mantida pelos responsáveis dos serviços de informações, como finalidades que consideram ser finalidades operacionais para as quais pode ser selecionado para exame conteúdo intercetado ou dados secundários obtidos ao abrigo de mandados de interceção em larga escala. A lista de finalidades operacionais deve ser aprovada pelo ministro da tutela. O ministro da tutela só pode dar essa aprovação se considerar que a finalidade operacional for especificada em maior detalhe do que os motivos gerais para autorizar o mandado (segurança nacional ou segurança nacional e bem-estar económico ou prevenção de criminalidade grave) (370). No final de cada período de três meses pertinente, o ministro da tutela deve fornecer uma cópia da lista de finalidades operacionais à Intelligence and Security Committee (comissão para a informação e a segurança) (ISC) do parlamento. Por último, o primeiro-ministro deve analisar a lista de finalidades operacionais pelo menos uma vez por ano (371). Conforme referido pelo High Court, «[n]ão devem ser consideradas salvaguardas insignificantes, uma vez que constituem, na sua globalidade, um conjunto complexo de modos de responsabilização, que envolvem o parlamento e os membros do governo ao mais alto nível» (372).

section 142(4)

370

Intelligence and Security Committee

371

High Court

372

| (222) | Essas finalidades operacionais limitam igualmente o âmbito da seleção do material de interceção para a fase de exame. A seleção para exame de qualquer material recolhido ao abrigo do mandado em larga escala tem de se justificar tendo em conta a finalidade ou as finalidades operacionais. Tal como explicado pelas autoridades do Reino Unido, tal significa que os mecanismos práticos relativos ao exame devem ser avaliados pelo ministro da tutela já na fase do mandado, fornecendo informações suficientes para cumprir as obrigações legais previstas nas sections 152 e 193 do IPA 2016 (373). Os pormenores fornecidos ao ministro da tutela relativamente a esses mecanismos teriam de incluir, por exemplo, informações (se for caso disso) sobre a forma como os mecanismos de filtragem podem variar durante o período em que um mandado produzirá efeitos (374). Para mais pormenores sobre o processo e as salvaguardas aplicadas às fases de filtragem e exame, ver o considerando 229. |
| --- | --- |

(222)

Essas finalidades operacionais limitam igualmente o âmbito da seleção do material de interceção para a fase de exame. A seleção para exame de qualquer material recolhido ao abrigo do mandado em larga escala tem de se justificar tendo em conta a finalidade ou as finalidades operacionais. Tal como explicado pelas autoridades do Reino Unido, tal significa que os mecanismos práticos relativos ao exame devem ser avaliados pelo ministro da tutela já na fase do mandado, fornecendo informações suficientes para cumprir as obrigações legais previstas nas sections 152 e 193 do IPA 2016 (373). Os pormenores fornecidos ao ministro da tutela relativamente a esses mecanismos teriam de incluir, por exemplo, informações (se for caso disso) sobre a forma como os mecanismos de filtragem podem variar durante o período em que um mandado produzirá efeitos (374). Para mais pormenores sobre o processo e as salvaguardas aplicadas às fases de filtragem e exame, ver o considerando 229.

sections 152

193

373

374

| (223) | Um poder em larga escala só pode ser autorizado se for proporcional ao que se pretende alcançar (375). Tal como especificado no Code of Practice on Interception, qualquer avaliação da proporcionalidade implica ponderar a gravidade da intrusão na privacidade [e outras considerações enunciadas na section 2(2)] face à necessidade da atividade em termos de investigação, operacionais ou de capacidade. A conduta autorizada deve oferecer uma perspetiva realista de obtenção do benefício esperado, não devendo ser desproporcionada ou arbitrária (376). Como já foi referido, tal significa, na prática, que o teste da proporcionalidade assenta num teste de equilíbrio entre o que se pretende alcançar [«finalidade(s) operacional(ais)»] e as opções técnicas disponíveis (por exemplo, interceção direcionada ou em larga escala, interferência em equipamentos, aquisição de dados de comunicações), privilegiando o recurso a meios menos intrusivos (ver os considerandos 181 e 182). Quando mais do que uma medida se mostrar adequada ao objetivo, deve privilegiar-se o recurso a meios menos intrusivos. |
| --- | --- |

(223)

Um poder em larga escala só pode ser autorizado se for proporcional ao que se pretende alcançar (375). Tal como especificado no Code of Practice on Interception, qualquer avaliação da proporcionalidade implica ponderar a gravidade da intrusão na privacidade [e outras considerações enunciadas na section 2(2)] face à necessidade da atividade em termos de investigação, operacionais ou de capacidade. A conduta autorizada deve oferecer uma perspetiva realista de obtenção do benefício esperado, não devendo ser desproporcionada ou arbitrária (376). Como já foi referido, tal significa, na prática, que o teste da proporcionalidade assenta num teste de equilíbrio entre o que se pretende alcançar [«finalidade(s) operacional(ais)»] e as opções técnicas disponíveis (por exemplo, interceção direcionada ou em larga escala, interferência em equipamentos, aquisição de dados de comunicações), privilegiando o recurso a meios menos intrusivos (ver os considerandos 181 e 182). Quando mais do que uma medida se mostrar adequada ao objetivo, deve privilegiar-se o recurso a meios menos intrusivos.

375

Code of Practice on Interception

section 2(2)

376

| (224) | Uma garantia adicional sobre a avaliação da proporcionalidade da medida solicitada é assegurada pelo facto de o ministro da tutela dever receber as informações pertinentes necessárias para efetuar corretamente a sua avaliação. Em especial, o Code of Practice on Interception e o Code of Practice on Equipment Interference impõem que o pedido apresentado pela autoridade competente mencione o contexto do pedido, a descrição das comunicações a intercetar e os operadores de telecomunicações que devem prestar assistência, a descrição da conduta a autorizar, as finalidades operacionais e uma explicação das razões pelas quais a conduta é necessária e proporcionada (377). |
| --- | --- |

(224)

Uma garantia adicional sobre a avaliação da proporcionalidade da medida solicitada é assegurada pelo facto de o ministro da tutela dever receber as informações pertinentes necessárias para efetuar corretamente a sua avaliação. Em especial, o Code of Practice on Interception e o Code of Practice on Equipment Interference impõem que o pedido apresentado pela autoridade competente mencione o contexto do pedido, a descrição das comunicações a intercetar e os operadores de telecomunicações que devem prestar assistência, a descrição da conduta a autorizar, as finalidades operacionais e uma explicação das razões pelas quais a conduta é necessária e proporcionada (377).

Code of Practice on Interception

Code of Practice on Equipment Interference

377

| (225) | Por último e não menos importante, a decisão do ministro da tutela de emitir o mandado deve ser aprovada por um comissário judicial independente que aprecie a avaliação da necessidade e da proporcionalidade da medida proposta, recorrendo aos mesmos princípios que seriam utilizados por um tribunal num pedido de exame judiciário (378). Mais especificamente, o comissário judicial analisará as conclusões do ministro da tutela quanto a saber se o mandado é necessário e se a conduta é proporcionada à luz dos princípios estabelecidos na section 2(2) do IPA 2016 (deveres gerais em matéria de privacidade). O comissário judicial analisará igualmente as conclusões do ministro da tutela quanto à questão de saber se cada uma das finalidades operacionais especificadas no mandado constitui um objetivo para o qual a seleção é ou pode ser necessária. Se o comissário judicial se recusar a aprovar a decisão de emissão de um mandado, o ministro da tutela pode: i) acatar a decisão e, por conseguinte, não emitir o mandado, ou ii) reencaminhar o assunto para decisão do comissário para os poderes de investigação (a menos que este tenha sido quem tomou a decisão inicial) (379). |
| --- | --- |

(225)

Por último e não menos importante, a decisão do ministro da tutela de emitir o mandado deve ser aprovada por um comissário judicial independente que aprecie a avaliação da necessidade e da proporcionalidade da medida proposta, recorrendo aos mesmos princípios que seriam utilizados por um tribunal num pedido de exame judiciário (378). Mais especificamente, o comissário judicial analisará as conclusões do ministro da tutela quanto a saber se o mandado é necessário e se a conduta é proporcionada à luz dos princípios estabelecidos na section 2(2) do IPA 2016 (deveres gerais em matéria de privacidade). O comissário judicial analisará igualmente as conclusões do ministro da tutela quanto à questão de saber se cada uma das finalidades operacionais especificadas no mandado constitui um objetivo para o qual a seleção é ou pode ser necessária. Se o comissário judicial se recusar a aprovar a decisão de emissão de um mandado, o ministro da tutela pode: i) acatar a decisão e, por conseguinte, não emitir o mandado, ou ii) reencaminhar o assunto para decisão do comissário para os poderes de investigação (a menos que este tenha sido quem tomou a decisão inicial) (379).

378

section 2(2)

379

ii)   Salvaguardas adicionais

Salvaguardas adicionais

| (226) | O IPA 2016 introduziu novos limites à duração, renovação e alteração de um mandado em larga escala. O mandado deve ter uma duração máxima de seis meses e qualquer decisão de renovação ou alteração (exceto alterações menores) deve ser igualmente aprovada por um comissário judicial (380). O Code of Practice on Interception e o Code of Practice on Equipment Interference especificaram que uma alteração das finalidades operacionais do mandado é considerada uma alteração importante do mandado (381). |
| --- | --- |

(226)

O IPA 2016 introduziu novos limites à duração, renovação e alteração de um mandado em larga escala. O mandado deve ter uma duração máxima de seis meses e qualquer decisão de renovação ou alteração (exceto alterações menores) deve ser igualmente aprovada por um comissário judicial (380). O Code of Practice on Interception e o Code of Practice on Equipment Interference especificaram que uma alteração das finalidades operacionais do mandado é considerada uma alteração importante do mandado (381).

380

Code of Practice on Interception

Code of Practice on Equipment Interference

381

| (227) | À semelhança do que está previsto para a interceção direcionada, a parte 6 do IPA 2016 prevê que o ministro da tutela deve assegurar a existência de disposições que preveem salvaguardas em matéria de conservação e divulgação do material obtido ao abrigo do mandado (382), bem como da divulgação no estrangeiro (383). Em especial, as sections 150(5) e 191(5) do IPA 2016 exigem que todas as cópias de qualquer desses materiais recolhidos ao abrigo do mandado sejam armazenadas de forma segura e destruídas logo que deixem de existir motivos pertinentes para a sua conservação, enquanto as sections 150(2) e 191(2) impõem a limitação ao mínimo necessário para as finalidades legais do número de pessoas a quem o material é divulgado e em que medida o material é divulgado, disponibilizado ou copiado (384). |
| --- | --- |

(227)

À semelhança do que está previsto para a interceção direcionada, a parte 6 do IPA 2016 prevê que o ministro da tutela deve assegurar a existência de disposições que preveem salvaguardas em matéria de conservação e divulgação do material obtido ao abrigo do mandado (382), bem como da divulgação no estrangeiro (383). Em especial, as sections 150(5) e 191(5) do IPA 2016 exigem que todas as cópias de qualquer desses materiais recolhidos ao abrigo do mandado sejam armazenadas de forma segura e destruídas logo que deixem de existir motivos pertinentes para a sua conservação, enquanto as sections 150(2) e 191(2) impõem a limitação ao mínimo necessário para as finalidades legais do número de pessoas a quem o material é divulgado e em que medida o material é divulgado, disponibilizado ou copiado (384).

382

383

sections 150(5)

191(5)

sections 150(2)

191(2)

384

| (228) | Por último, quando o material intercetado através de uma interceção em larga escala ou de uma interferência em equipamentos em larga escala deva ser entregue a um país terceiro («divulgações no estrangeiro»), o IPA 2016 prevê que o ministro da tutela deve assegurar a aplicação de mecanismos adequados para garantir a existência de salvaguardas semelhantes em matéria de segurança, conservação e divulgação nesse país terceiro (385). Além disso, a section 109 do DPA 2018 estabelece requisitos específicos para transferências internacionais de dados pessoais pelos serviços de informações para países terceiros ou organizações internacionais e não permite que os dados pessoais sejam transferidos para um país ou território fora do Reino Unido ou para uma organização internacional, a menos que a transferência seja necessária e proporcionada para o exercício das funções legais do responsável pelo tratamento ou para outras finalidades previstos na section 2(2)(a) do Security Service Act 1989 ou nas sections 2(2)(a) e 4(2)(a) do Intelligence Services Act 1994 (386). Importa notar que estes requisitos são igualmente aplicáveis nos casos em que é invocada a isenção relativa à segurança nacional nos termos da section 110 do DPA 2018, uma vez que a section 110 do DPA de 2018 não enumera a section 109 do DPA 2018 como uma das disposições que não são suscetíveis de aplicação se for necessária uma isenção de determinadas disposições para efeitos de garantia da segurança nacional. |
| --- | --- |

(228)

Por último, quando o material intercetado através de uma interceção em larga escala ou de uma interferência em equipamentos em larga escala deva ser entregue a um país terceiro («divulgações no estrangeiro»), o IPA 2016 prevê que o ministro da tutela deve assegurar a aplicação de mecanismos adequados para garantir a existência de salvaguardas semelhantes em matéria de segurança, conservação e divulgação nesse país terceiro (385). Além disso, a section 109 do DPA 2018 estabelece requisitos específicos para transferências internacionais de dados pessoais pelos serviços de informações para países terceiros ou organizações internacionais e não permite que os dados pessoais sejam transferidos para um país ou território fora do Reino Unido ou para uma organização internacional, a menos que a transferência seja necessária e proporcionada para o exercício das funções legais do responsável pelo tratamento ou para outras finalidades previstos na section 2(2)(a) do Security Service Act 1989 ou nas sections 2(2)(a) e 4(2)(a) do Intelligence Services Act 1994 (386). Importa notar que estes requisitos são igualmente aplicáveis nos casos em que é invocada a isenção relativa à segurança nacional nos termos da section 110 do DPA 2018, uma vez que a section 110 do DPA de 2018 não enumera a section 109 do DPA 2018 como uma das disposições que não são suscetíveis de aplicação se for necessária uma isenção de determinadas disposições para efeitos de garantia da segurança nacional.

385

section 109

section 2(2)(a)

Security Service Act 1989

sections 2(2)(a)

4(2)(a)

Intelligence Services Act 1994

386

section 110

section 110

section 109

| (229) | Uma vez aprovado o mandado e os dados recolhidos em larga escala, os dados serão objeto de uma seleção antes de serem examinados. A fase de seleção e exame está sujeita a um novo teste de proporcionalidade realizado pelo analista que define os critérios de seleção, com base nas finalidades operacionais previstas no mandado (e nos eventuais mecanismos de filtragem). Tal como previsto nas sections 152 e 193 do IPA, ao emitir o mandado, o ministro da tutela deve assegurar a existência de mecanismos para garantir que a seleção do material é efetuada apenas para as finalidades operacionais especificadas e que a mesma é necessária e proporcionada em todas as circunstâncias. A este respeito, as autoridades do Reino Unido esclareceram que o material intercetado em larga escala é selecionado, em primeiro lugar, através de filtragem automática com o objetivo de descartar dados que não sejam suscetíveis de ser de interesse para a segurança nacional. Os filtros variarão ocasionalmente (à medida que os padrões de tráfego na Internet, os tipos e os protocolos se alteram) e dependerão da tecnologia e do contexto operacional. Após esta fase, os dados só podem ser selecionados para exame se forem pertinentes para as finalidades operacionais especificadas no mandado (387). As garantias previstas pelo IPA 2016 para o exame do material recolhido aplicam-se a qualquer tipo de dados (tanto conteúdos intercetados como dados secundários) (388). As sections 152 e 193 do IPA 2016 preveem igualmente uma proibição geral de selecionar material de exame respeitante a conversas enviadas por pessoas que se encontrem nas ilhas Britânicas ou destinadas a estas. Se as autoridades pretenderem examinar material deste tipo, devem apresentar um pedido de mandado de exame direcionado ao abrigo das partes 2 e 4 do IPA 2016, emitido pelo ministro da tutela e aprovado por um comissário judicial (389). Se uma pessoa selecionar deliberadamente conteúdo intercetado para exame em violação dos requisitos previstos na legislação (390), comete uma infração penal (391). |
| --- | --- |

(229)

Uma vez aprovado o mandado e os dados recolhidos em larga escala, os dados serão objeto de uma seleção antes de serem examinados. A fase de seleção e exame está sujeita a um novo teste de proporcionalidade realizado pelo analista que define os critérios de seleção, com base nas finalidades operacionais previstas no mandado (e nos eventuais mecanismos de filtragem). Tal como previsto nas sections 152 e 193 do IPA, ao emitir o mandado, o ministro da tutela deve assegurar a existência de mecanismos para garantir que a seleção do material é efetuada apenas para as finalidades operacionais especificadas e que a mesma é necessária e proporcionada em todas as circunstâncias. A este respeito, as autoridades do Reino Unido esclareceram que o material intercetado em larga escala é selecionado, em primeiro lugar, através de filtragem automática com o objetivo de descartar dados que não sejam suscetíveis de ser de interesse para a segurança nacional. Os filtros variarão ocasionalmente (à medida que os padrões de tráfego na Internet, os tipos e os protocolos se alteram) e dependerão da tecnologia e do contexto operacional. Após esta fase, os dados só podem ser selecionados para exame se forem pertinentes para as finalidades operacionais especificadas no mandado (387). As garantias previstas pelo IPA 2016 para o exame do material recolhido aplicam-se a qualquer tipo de dados (tanto conteúdos intercetados como dados secundários) (388). As sections 152 e 193 do IPA 2016 preveem igualmente uma proibição geral de selecionar material de exame respeitante a conversas enviadas por pessoas que se encontrem nas ilhas Britânicas ou destinadas a estas. Se as autoridades pretenderem examinar material deste tipo, devem apresentar um pedido de mandado de exame direcionado ao abrigo das partes 2 e 4 do IPA 2016, emitido pelo ministro da tutela e aprovado por um comissário judicial (389). Se uma pessoa selecionar deliberadamente conteúdo intercetado para exame em violação dos requisitos previstos na legislação (390), comete uma infração penal (391).

sections 152

193

387

388

sections 152

193

389

390

391

| (230) | A avaliação da seleção do material efetuada pelo analista está sujeita a uma supervisão ex post pelo comissário para os poderes de investigação, que avalia a conformidade com as salvaguardas específicas estabelecidas no IPA 2016 para a fase de exame (392) (ver igualmente o considerando 229). O comissário para os poderes de investigação deve acompanhar (nomeadamente através de auditoria, inspeção e investigação) o exercício, pelas autoridades públicas, dos poderes de investigação mencionados no IPA 2016 (393). A este respeito, o Code of Practice on Interception e o Code of Practice on Equipment Interference esclarecem que a agência deve conservar registos para efeitos de exames e auditorias subsequentes, devendo esses registos indicar as razões pelas quais o acesso ao material por parte de pessoas autorizadas é necessário e proporcionado, bem como as finalidades operacionais aplicáveis (394). Por exemplo, no seu relatório anual de 2018, o Investigatory Powers Commissioner Office (IPCO, Gabinete do Comissário para os Poderes de Investigação) (395) concluiu que as justificações registadas pelos analistas para o exame de determinado material recolhido em larga escala cumpriam a norma exigida de proporcionalidade, fornecendo informações suficientes sobre as razões das suas «consultas» em relação à finalidade a alcançar (396). No seu relatório de 2019, o IPCO, no que se refere aos poderes em larga escala, declarou claramente a sua intenção de prosseguir as inspeções das interceções em larga escala, incluindo um exame pormenorizado dos seletores e dos critérios de pesquisa (397). Continuará igualmente a controlar cuidadosamente, numa base casuística, a escolha das medidas de vigilância (direcionadas contra em larga escala), tanto durante a sua ponderação sobre os pedidos de mandado no âmbito da dupla segurança, como durante as inspeções (398). Este acompanhamento complementar será devidamente tido em conta no contexto do acompanhamento da presente decisão pela Comissão, a que se referem os considerandos 281 a 284. |
| --- | --- |

(230)

A avaliação da seleção do material efetuada pelo analista está sujeita a uma supervisão ex post pelo comissário para os poderes de investigação, que avalia a conformidade com as salvaguardas específicas estabelecidas no IPA 2016 para a fase de exame (392) (ver igualmente o considerando 229). O comissário para os poderes de investigação deve acompanhar (nomeadamente através de auditoria, inspeção e investigação) o exercício, pelas autoridades públicas, dos poderes de investigação mencionados no IPA 2016 (393). A este respeito, o Code of Practice on Interception e o Code of Practice on Equipment Interference esclarecem que a agência deve conservar registos para efeitos de exames e auditorias subsequentes, devendo esses registos indicar as razões pelas quais o acesso ao material por parte de pessoas autorizadas é necessário e proporcionado, bem como as finalidades operacionais aplicáveis (394). Por exemplo, no seu relatório anual de 2018, o Investigatory Powers Commissioner Office (IPCO, Gabinete do Comissário para os Poderes de Investigação) (395) concluiu que as justificações registadas pelos analistas para o exame de determinado material recolhido em larga escala cumpriam a norma exigida de proporcionalidade, fornecendo informações suficientes sobre as razões das suas «consultas» em relação à finalidade a alcançar (396). No seu relatório de 2019, o IPCO, no que se refere aos poderes em larga escala, declarou claramente a sua intenção de prosseguir as inspeções das interceções em larga escala, incluindo um exame pormenorizado dos seletores e dos critérios de pesquisa (397). Continuará igualmente a controlar cuidadosamente, numa base casuística, a escolha das medidas de vigilância (direcionadas contra em larga escala), tanto durante a sua ponderação sobre os pedidos de mandado no âmbito da dupla segurança, como durante as inspeções (398). Este acompanhamento complementar será devidamente tido em conta no contexto do acompanhamento da presente decisão pela Comissão, a que se referem os considerandos 281 a 284.

ex post

392

393

Code of Practice on Interception

Code of Practice on Equipment Interference

394

Investigatory Powers Commissioner Office

395

396

397

398

3.3.1.1.4.2   Aquisição em larga escala de dados de comunicações

| (231) | O capítulo 2 da parte 6 do IPA 2016 regula os mandados de aquisição em larga escala que autorizam o destinatário a exigir a um operador de telecomunicações que divulgue ou obtenha quaisquer dados de comunicações na posse do operador. Estes mandados autorizam igualmente a autoridade requerente a selecionar os dados para a fase seguinte do exame. Tal como no caso da conservação e aquisição direcionadas de dados de comunicações (ver o considerando 199), em regra a aquisição em larga escala de dados de comunicações também não diz respeito a dados pessoais de titulares de dados da UE transferidos ao abrigo da presente decisão para o Reino Unido. A obrigação de divulgar dados de comunicações nos termos da parte 6, capítulo 2, do IPA 2016 abrange os dados recolhidos pelos operadores de telecomunicações no Reino Unido diretamente junto dos utilizadores de um serviço de telecomunicações (399). Este tipo de tratamento «voltado para o cliente» não envolve normalmente uma transferência com base na presente decisão, ou seja, uma transferência de um responsável pelo tratamento/subcontratante na UE para um responsável pelo tratamento/subcontratante no Reino Unido. |
| --- | --- |

(231)

O capítulo 2 da parte 6 do IPA 2016 regula os mandados de aquisição em larga escala que autorizam o destinatário a exigir a um operador de telecomunicações que divulgue ou obtenha quaisquer dados de comunicações na posse do operador. Estes mandados autorizam igualmente a autoridade requerente a selecionar os dados para a fase seguinte do exame. Tal como no caso da conservação e aquisição direcionadas de dados de comunicações (ver o considerando 199), em regra a aquisição em larga escala de dados de comunicações também não diz respeito a dados pessoais de titulares de dados da UE transferidos ao abrigo da presente decisão para o Reino Unido. A obrigação de divulgar dados de comunicações nos termos da parte 6, capítulo 2, do IPA 2016 abrange os dados recolhidos pelos operadores de telecomunicações no Reino Unido diretamente junto dos utilizadores de um serviço de telecomunicações (399). Este tipo de tratamento «voltado para o cliente» não envolve normalmente uma transferência com base na presente decisão, ou seja, uma transferência de um responsável pelo tratamento/subcontratante na UE para um responsável pelo tratamento/subcontratante no Reino Unido.

399

| (232) | No entanto, por uma questão de exaustividade, descrevem-se de seguida as condições e as salvaguardas que regem a aquisição de dados de comunicações em larga escala. |
| --- | --- |

(232)

No entanto, por uma questão de exaustividade, descrevem-se de seguida as condições e as salvaguardas que regem a aquisição de dados de comunicações em larga escala.

| (233) | O IPA 2016 substitui a legislação relativa à aquisição de dados de comunicações em larga escala, que foi objeto do acórdão do TJUE no processo Privacy International. A legislação em causa nesse processo foi revogada e o novo regime prevê condições e garantias específicas ao abrigo das quais é possível autorizar uma medida deste tipo. |
| --- | --- |

(233)

O IPA 2016 substitui a legislação relativa à aquisição de dados de comunicações em larga escala, que foi objeto do acórdão do TJUE no processo Privacy International. A legislação em causa nesse processo foi revogada e o novo regime prevê condições e garantias específicas ao abrigo das quais é possível autorizar uma medida deste tipo.

| (234) | Nomeadamente, ao contrário do que sucedia no regime anterior, ao abrigo do qual o ministro da tutela dispunha de plenos poderes discricionários para autorizar a medida (400), o IPA 2016 exige que o ministro da tutela emita um mandado apenas se a medida for necessária e proporcionada. Isto significa, na prática, que deve existir uma ligação entre o acesso aos dados e o objetivo prosseguido (401). Mais especificamente, o ministro da tutela terá de avaliar a existência de uma ligação entre a medida solicitada e uma ou mais «finalidades operacionais» indicadas no mandado (ver o considerando 219); no que diz respeito à avaliação da proporcionalidade, o código de boas práticas pertinente especifica que o ministro da tutela deve ter em conta se o que se pretende alcançar pelo mandado pode razoavelmente ser alcançado por outros meios menos intrusivos [section 2(2)(a) da lei]. Por exemplo, obter as informações necessárias através de um poder menos intrusivo, como, por exemplo, a aquisição direcionada de dados de comunicações (402). |
| --- | --- |

(234)

Nomeadamente, ao contrário do que sucedia no regime anterior, ao abrigo do qual o ministro da tutela dispunha de plenos poderes discricionários para autorizar a medida (400), o IPA 2016 exige que o ministro da tutela emita um mandado apenas se a medida for necessária e proporcionada. Isto significa, na prática, que deve existir uma ligação entre o acesso aos dados e o objetivo prosseguido (401). Mais especificamente, o ministro da tutela terá de avaliar a existência de uma ligação entre a medida solicitada e uma ou mais «finalidades operacionais» indicadas no mandado (ver o considerando 219); no que diz respeito à avaliação da proporcionalidade, o código de boas práticas pertinente especifica que o ministro da tutela deve ter em conta se o que se pretende alcançar pelo mandado pode razoavelmente ser alcançado por outros meios menos intrusivos [section 2(2)(a) da lei]. Por exemplo, obter as informações necessárias através de um poder menos intrusivo, como, por exemplo, a aquisição direcionada de dados de comunicações (402).

400

401

section 2(2)(a)

402

| (235) | Para proceder a essa avaliação, o ministro da tutela basear-se-á em informações que os responsáveis pelos serviços de informações (403) são obrigados a apresentar no respetivo pedido, tais como as razões pelas quais a medida é considerada necessária por um dos motivos legais e as razões pelas quais o objetivo pretendido não pode ser razoavelmente alcançado por outros meios menos intrusivos (404). Além disso, as finalidades operacionais limitam o âmbito para o qual os dados obtidos ao abrigo do mandado podem ser selecionados para exame (405). Tal como especificado no código de boas práticas pertinente, as finalidades operacionais devem descrever um requisito claro e conter dados suficientemente pormenorizados para o ministro da tutela considerar, de forma satisfatória, que os dados adquiridos só podem ser selecionados para exame por razões específicas (406). Com efeito, o ministro da tutela, antes de autorizar o mandado, deverá assegurar-se da existência de mecanismos específicos para garantir que só são selecionados os elementos considerados necessários para exame para uma finalidade operacional e para uma finalidade legal, devendo ser proporcionados e necessários em todas as circunstâncias. Este requisito específico, consagrado nas sections 158 e 172 (407) do IPA 2016, relativo à avaliação prévia da necessidade e proporcionalidade dos critérios utilizados para efeitos da seleção representa outra novidade importante do regime introduzido pelo IPA 2016 em comparação com o regime anteriormente em vigor. |
| --- | --- |

(235)

Para proceder a essa avaliação, o ministro da tutela basear-se-á em informações que os responsáveis pelos serviços de informações (403) são obrigados a apresentar no respetivo pedido, tais como as razões pelas quais a medida é considerada necessária por um dos motivos legais e as razões pelas quais o objetivo pretendido não pode ser razoavelmente alcançado por outros meios menos intrusivos (404). Além disso, as finalidades operacionais limitam o âmbito para o qual os dados obtidos ao abrigo do mandado podem ser selecionados para exame (405). Tal como especificado no código de boas práticas pertinente, as finalidades operacionais devem descrever um requisito claro e conter dados suficientemente pormenorizados para o ministro da tutela considerar, de forma satisfatória, que os dados adquiridos só podem ser selecionados para exame por razões específicas (406). Com efeito, o ministro da tutela, antes de autorizar o mandado, deverá assegurar-se da existência de mecanismos específicos para garantir que só são selecionados os elementos considerados necessários para exame para uma finalidade operacional e para uma finalidade legal, devendo ser proporcionados e necessários em todas as circunstâncias. Este requisito específico, consagrado nas sections 158 e 172 (407) do IPA 2016, relativo à avaliação prévia da necessidade e proporcionalidade dos critérios utilizados para efeitos da seleção representa outra novidade importante do regime introduzido pelo IPA 2016 em comparação com o regime anteriormente em vigor.

403

404

405

406

sections 158

172

407

| (236) | O IPA 2016 introduziu igualmente a obrigação de o ministro da tutela assegurar, antes de emitir o mandado para a aquisição em larga escala de dados de comunicações, que existem limitações específicas em matéria de segurança, conservação e divulgação dos dados pessoais recolhidos (408). Em caso de divulgação no estrangeiro, as salvaguardas, descritas no considerando 227, para a interceção em larga escala e a interferência em equipamentos em larga escala também se aplicam neste contexto (409). A legislação relativa à duração (410), renovação (411) e alteração dos mandados em larga escala (412) estabelece outros limites. |
| --- | --- |

(236)

O IPA 2016 introduziu igualmente a obrigação de o ministro da tutela assegurar, antes de emitir o mandado para a aquisição em larga escala de dados de comunicações, que existem limitações específicas em matéria de segurança, conservação e divulgação dos dados pessoais recolhidos (408). Em caso de divulgação no estrangeiro, as salvaguardas, descritas no considerando 227, para a interceção em larga escala e a interferência em equipamentos em larga escala também se aplicam neste contexto (409). A legislação relativa à duração (410), renovação (411) e alteração dos mandados em larga escala (412) estabelece outros limites.

408

409

410

411

412

| (237) | É importante salientar que, tal como no caso dos outros poderes em larga escala, antes de emitir o mandado, o ministro da tutela necessita da aprovação de um comissário judicial (413). Esta é uma característica fundamental do regime instituído pelo IPA 2016. |
| --- | --- |

(237)

É importante salientar que, tal como no caso dos outros poderes em larga escala, antes de emitir o mandado, o ministro da tutela necessita da aprovação de um comissário judicial (413). Esta é uma característica fundamental do regime instituído pelo IPA 2016.

413

| (238) | O comissário para os poderes de investigação procede a uma supervisão ex post do procedimento de exame do material (dados de comunicações) adquirido em larga escala (ver o considerando 254). A este respeito, o IPA 2016 introduziu o requisito segundo o qual o analista de informações que efetua o exame, antes de selecionar os dados para exame, deve registar a razão pela qual o exame proposto é necessário e proporcionado para uma finalidade operacional especificada (414). No relatório anual de 2019 do IPCO constatou-se, no que respeita à prática do GCHQ e do MI5, que o papel crucial dos dados de comunicações em larga escala para o conjunto de atividades realizadas no GCHQ estava bem articulado nos processos inspecionados. Considerou-se a natureza dos dados solicitados e os requisitos de informação declarados, tendo se considerado, de forma satisfatória, que a documentação demonstrava que a abordagem era necessária e proporcionada (415). As justificações registadas no MI5 eram de boa qualidade e satisfaziam os princípios da necessidade e da proporcionalidade (416). |
| --- | --- |

(238)

O comissário para os poderes de investigação procede a uma supervisão ex post do procedimento de exame do material (dados de comunicações) adquirido em larga escala (ver o considerando 254). A este respeito, o IPA 2016 introduziu o requisito segundo o qual o analista de informações que efetua o exame, antes de selecionar os dados para exame, deve registar a razão pela qual o exame proposto é necessário e proporcionado para uma finalidade operacional especificada (414). No relatório anual de 2019 do IPCO constatou-se, no que respeita à prática do GCHQ e do MI5, que o papel crucial dos dados de comunicações em larga escala para o conjunto de atividades realizadas no GCHQ estava bem articulado nos processos inspecionados. Considerou-se a natureza dos dados solicitados e os requisitos de informação declarados, tendo se considerado, de forma satisfatória, que a documentação demonstrava que a abordagem era necessária e proporcionada (415). As justificações registadas no MI5 eram de boa qualidade e satisfaziam os princípios da necessidade e da proporcionalidade (416).

ex post

414

415

416

3.3.1.1.4.3   Conservação e exame de conjuntos de dados pessoais em larga escala

| (239) | Os mandados de conjuntos de dados pessoais em larga escala (417) autorizam as agências de informações a conservar e a examinar conjuntos de dados que contenham dados pessoais relativos a várias pessoas. De acordo com as explicações prestadas pelas autoridades do Reino Unido, a análise desses conjuntos de dados pode constituir a única forma de a UKIC (comunidade dos serviços de informações do Reino Unido) fazer avançar investigações e identificar terroristas a partir de informações de base muito limitadas, ou quando as suas comunicações tenham sido deliberadamente ocultadas (418). Existem dois tipos de mandados: «mandados de conjuntos dados pessoais em larga escala de classe» (419), que dizem respeito a uma determinada categoria de conjuntos de dados, ou seja, conjuntos de dados que são semelhantes no seu conteúdo e na sua utilização proposta e que suscitam considerações semelhantes, por exemplo, quanto ao nível de intrusão e sensibilidade e à proporcionalidade da utilização dos dados, permitindo assim ao ministro da tutela ponderar, de uma só vez, a necessidade e a proporcionalidade de adquirir todos os dados dentro da classe em causa. Por exemplo, um mandado de conjuntos dados pessoais em larga escala de classe pode abranger conjuntos de dados de viagem relativos a rotas semelhantes (420). Por sua vez, os «mandados de conjuntos dados pessoais em larga escala específicos» (421) dizem respeito a um conjunto de dados específico, tais como um conjunto de dados de um tipo de informação novo ou invulgar que não se enquadra num mandado de conjuntos dados pessoais em larga escala de classe existente, ou um conjunto de dados que diz respeito a tipos específicos de dados pessoais (422), exigindo, por conseguinte, garantias adicionais (423). As disposições do IPA 2016 relativas aos conjuntos dados pessoais em larga escala permitem que esses conjuntos de dados sejam examinados e conservados apenas nos casos em que tal se mostre necessário e proporcionado (424) e em conformidade com as obrigações gerais em matéria de privacidade (425). |
| --- | --- |

(239)

Os mandados de conjuntos de dados pessoais em larga escala (417) autorizam as agências de informações a conservar e a examinar conjuntos de dados que contenham dados pessoais relativos a várias pessoas. De acordo com as explicações prestadas pelas autoridades do Reino Unido, a análise desses conjuntos de dados pode constituir a única forma de a UKIC (comunidade dos serviços de informações do Reino Unido) fazer avançar investigações e identificar terroristas a partir de informações de base muito limitadas, ou quando as suas comunicações tenham sido deliberadamente ocultadas (418). Existem dois tipos de mandados: «mandados de conjuntos dados pessoais em larga escala de classe» (419), que dizem respeito a uma determinada categoria de conjuntos de dados, ou seja, conjuntos de dados que são semelhantes no seu conteúdo e na sua utilização proposta e que suscitam considerações semelhantes, por exemplo, quanto ao nível de intrusão e sensibilidade e à proporcionalidade da utilização dos dados, permitindo assim ao ministro da tutela ponderar, de uma só vez, a necessidade e a proporcionalidade de adquirir todos os dados dentro da classe em causa. Por exemplo, um mandado de conjuntos dados pessoais em larga escala de classe pode abranger conjuntos de dados de viagem relativos a rotas semelhantes (420). Por sua vez, os «mandados de conjuntos dados pessoais em larga escala específicos» (421) dizem respeito a um conjunto de dados específico, tais como um conjunto de dados de um tipo de informação novo ou invulgar que não se enquadra num mandado de conjuntos dados pessoais em larga escala de classe existente, ou um conjunto de dados que diz respeito a tipos específicos de dados pessoais (422), exigindo, por conseguinte, garantias adicionais (423). As disposições do IPA 2016 relativas aos conjuntos dados pessoais em larga escala permitem que esses conjuntos de dados sejam examinados e conservados apenas nos casos em que tal se mostre necessário e proporcionado (424) e em conformidade com as obrigações gerais em matéria de privacidade (425).

417

418

419

420

421

422

423

424

425

| (240) | O poder de emitir um mandado de conjuntos de dados pessoais em larga escala está sujeito ao procedimento de «dupla segurança»: a apreciação da necessidade e da proporcionalidade da medida é efetuada, em primeiro lugar, pelo ministro da tutela e, em seguida, pelo comissário judicial (426). O ministro da tutela está obrigado a ponderar a natureza e o alcance do tipo de mandado solicitado, a categoria dos dados em causa e o número de conjuntos de dados pessoais individuais suscetíveis de serem abrangidos pelo tipo específico de mandado (427). Além disso, tal como especificado no Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets, devem ser conservados registos pormenorizados e estes estão sujeitos a auditoria do comissário para os poderes de investigação (428). A conservação e o exame de conjuntos de dados pessoas em larga escala fora dos limites do IPA 2016 constitui uma infração penal (429). |
| --- | --- |

(240)

O poder de emitir um mandado de conjuntos de dados pessoais em larga escala está sujeito ao procedimento de «dupla segurança»: a apreciação da necessidade e da proporcionalidade da medida é efetuada, em primeiro lugar, pelo ministro da tutela e, em seguida, pelo comissário judicial (426). O ministro da tutela está obrigado a ponderar a natureza e o alcance do tipo de mandado solicitado, a categoria dos dados em causa e o número de conjuntos de dados pessoais individuais suscetíveis de serem abrangidos pelo tipo específico de mandado (427). Além disso, tal como especificado no Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets, devem ser conservados registos pormenorizados e estes estão sujeitos a auditoria do comissário para os poderes de investigação (428). A conservação e o exame de conjuntos de dados pessoas em larga escala fora dos limites do IPA 2016 constitui uma infração penal (429).

426

427

Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets

428

429

3.3.2   Utilização adicional das informações recolhidas

Utilização adicional das informações recolhidas

| (241) | Os dados pessoais tratados ao abrigo da parte 4 do DPA 2018 não podem ser tratados de forma incompatível com a finalidade para a qual foram recolhidos (430). O DPA 2018 prevê que o responsável pelo tratamento pode tratar os dados para outra finalidade, diferente daquela para a qual foram recolhidos, quando for compatível com a finalidade original e desde que o responsável pelo tratamento esteja autorizado por lei a tratar os dados e que o tratamento seja necessário e proporcionado (431). Além disso, o Security Service Act 1989 e o Intelligence Services Act 1994 especificam que os diretores dos serviços de informações têm o dever de assegurar que nenhuma informação seja obtida ou divulgada, exceto na medida do necessário para o correto exercício das funções da agência ou para outros fins limitados e específicos enumerados nas disposições pertinentes (432). |
| --- | --- |

(241)

Os dados pessoais tratados ao abrigo da parte 4 do DPA 2018 não podem ser tratados de forma incompatível com a finalidade para a qual foram recolhidos (430). O DPA 2018 prevê que o responsável pelo tratamento pode tratar os dados para outra finalidade, diferente daquela para a qual foram recolhidos, quando for compatível com a finalidade original e desde que o responsável pelo tratamento esteja autorizado por lei a tratar os dados e que o tratamento seja necessário e proporcionado (431). Além disso, o Security Service Act 1989 e o Intelligence Services Act 1994 especificam que os diretores dos serviços de informações têm o dever de assegurar que nenhuma informação seja obtida ou divulgada, exceto na medida do necessário para o correto exercício das funções da agência ou para outros fins limitados e específicos enumerados nas disposições pertinentes (432).

430

431

Security Service Act 1989

Intelligence Services Act 1994

432

| (242) | Além disso, a section 109 do DPA 2018 estabelece requisitos específicos para as transferências internacionais de dados pessoais pelos serviços de informações para países terceiros ou organizações internacionais. Nos termos desta disposição, os dados pessoais não podem ser transferidos para um país ou território fora do Reino Unido ou para uma organização internacional, a menos que a transferência seja necessária e proporcionada para o exercício das funções legais do responsável pelo tratamento ou para outras finalidades previstos na section 2(2)(a) do Security Service Act 1989 ou nas sections 2(2)(a) e 4(2)(a) do Intelligence Services Act 1994 (433). Importa notar que estes requisitos são igualmente aplicáveis nos casos em que é invocada a isenção relativa à segurança nacional nos termos da section 110 do DPA 2018, uma vez que a section 110 do DPA de 2018 não enumera a section 109 do DPA 2018 como uma das disposições que não são suscetíveis de aplicação se for necessária uma isenção de determinadas disposições para efeitos de garantia da segurança nacional. |
| --- | --- |

(242)

Além disso, a section 109 do DPA 2018 estabelece requisitos específicos para as transferências internacionais de dados pessoais pelos serviços de informações para países terceiros ou organizações internacionais. Nos termos desta disposição, os dados pessoais não podem ser transferidos para um país ou território fora do Reino Unido ou para uma organização internacional, a menos que a transferência seja necessária e proporcionada para o exercício das funções legais do responsável pelo tratamento ou para outras finalidades previstos na section 2(2)(a) do Security Service Act 1989 ou nas sections 2(2)(a) e 4(2)(a) do Intelligence Services Act 1994 (433). Importa notar que estes requisitos são igualmente aplicáveis nos casos em que é invocada a isenção relativa à segurança nacional nos termos da section 110 do DPA 2018, uma vez que a section 110 do DPA de 2018 não enumera a section 109 do DPA 2018 como uma das disposições que não são suscetíveis de aplicação se for necessária uma isenção de determinadas disposições para efeitos de garantia da segurança nacional.

section 109

section 2(2)(a)

Security Service Act 1989

sections 2(2)(a)

4(2)(a)

Intelligence Services Act 1994

433

section 110

section 110

section 109

| (243) | Além disso, tal como salientado pelo ICO nas suas orientações sobre o tratamento pelos serviços de informações, para além das garantias previstas na parte 4 do DPA 2018, uma agência de informações, quando partilha dados com um organismo de informações de um país terceiro, encontra-se igualmente sujeita às garantias previstas por outras medidas legislativas que lhes são aplicáveis, a fim de garantir que os dados pessoais são obtidos, partilhados e tratados de forma lícita e responsável (434). Por exemplo, o IPA 2016 estabelece salvaguardas adicionais em relação às transferências para um país terceiro de material recolhido através de interceção direcionada (435), interferência direcionada em equipamentos (436), interceção em larga escala (437), aquisição em larga escala de dados de comunicações (438) e interferência em equipamentos em larga escala (439) (as chamadas «divulgações no estrangeiro»). Em especial, a autoridade que emite o mandado deve assegurar que estão em vigor disposições para garantir que o país terceiro que recebe os dados limita ao mínimo necessário, para as finalidades autorizadas previstas no IPA 2016, o número de pessoas que veem o material, o âmbito da divulgação e o número de cópias de qualquer material (440). |
| --- | --- |

(243)

Além disso, tal como salientado pelo ICO nas suas orientações sobre o tratamento pelos serviços de informações, para além das garantias previstas na parte 4 do DPA 2018, uma agência de informações, quando partilha dados com um organismo de informações de um país terceiro, encontra-se igualmente sujeita às garantias previstas por outras medidas legislativas que lhes são aplicáveis, a fim de garantir que os dados pessoais são obtidos, partilhados e tratados de forma lícita e responsável (434). Por exemplo, o IPA 2016 estabelece salvaguardas adicionais em relação às transferências para um país terceiro de material recolhido através de interceção direcionada (435), interferência direcionada em equipamentos (436), interceção em larga escala (437), aquisição em larga escala de dados de comunicações (438) e interferência em equipamentos em larga escala (439) (as chamadas «divulgações no estrangeiro»). Em especial, a autoridade que emite o mandado deve assegurar que estão em vigor disposições para garantir que o país terceiro que recebe os dados limita ao mínimo necessário, para as finalidades autorizadas previstas no IPA 2016, o número de pessoas que veem o material, o âmbito da divulgação e o número de cópias de qualquer material (440).

434

435

436

437

438

439

440

3.3.3   Supervisão

Supervisão

| (244) | O acesso do governo para fins de segurança nacional é supervisionado por vários organismos diferentes. O comissário para a informação supervisiona o tratamento de dados pessoais à luz do DPA 2018 (para mais informações sobre a independência, a função de nomeação e os poderes do comissário, ver os considerandos 85 a 98), ao passo que a supervisão independente e judicial do uso de poderes de investigação ao abrigo do IPA 2016 é assegurado pelo comissário para os poderes de investigação. O comissário para os poderes de investigação supervisiona o uso de poderes de investigação do IPA 2016 pelas autoridades responsáveis pela aplicação da lei e pelas autoridades de segurança nacional. A supervisão política é garantida pela Intelligence Service Committee (comissão para os serviços de informações) do parlamento. |
| --- | --- |

(244)

O acesso do governo para fins de segurança nacional é supervisionado por vários organismos diferentes. O comissário para a informação supervisiona o tratamento de dados pessoais à luz do DPA 2018 (para mais informações sobre a independência, a função de nomeação e os poderes do comissário, ver os considerandos 85 a 98), ao passo que a supervisão independente e judicial do uso de poderes de investigação ao abrigo do IPA 2016 é assegurado pelo comissário para os poderes de investigação. O comissário para os poderes de investigação supervisiona o uso de poderes de investigação do IPA 2016 pelas autoridades responsáveis pela aplicação da lei e pelas autoridades de segurança nacional. A supervisão política é garantida pela Intelligence Service Committee (comissão para os serviços de informações) do parlamento.

Intelligence Service Committee

3.3.3.1   Supervisão ao abrogo da parte 4 do DPA

Supervisão ao abrogo da parte 4 do DPA

| (245) | O tratamento de dados pessoais efetuado pelos serviços de informações ao abrigo da parte 4 do DPA 2018 é supervisionado pelo comissário para a informação (441). |
| --- | --- |

(245)

O tratamento de dados pessoais efetuado pelos serviços de informações ao abrigo da parte 4 do DPA 2018 é supervisionado pelo comissário para a informação (441).

441

| (246) | As funções gerais do comissário para a informação relativas ao tratamento de dados pessoais pelos serviços de informações ao abrigo da parte 4 do DPA 2018 são estabelecidas no schedule 13 do DPA 2018. As funções incluem, nomeadamente, o acompanhamento e a aplicação coerciva da parte 4 do DPA 2018, a sensibilização do público, a prestação de aconselhamento ao parlamento, ao governo e a outras instituições em matéria de medidas legislativas e administrativas, a sensibilização dos responsáveis pelo tratamento e subcontratantes para as respetivas obrigações, a prestação de informações aos titulares dos dados relativamente ao exercício dos seus direitos, a realização de investigações, etc. |
| --- | --- |

(246)

As funções gerais do comissário para a informação relativas ao tratamento de dados pessoais pelos serviços de informações ao abrigo da parte 4 do DPA 2018 são estabelecidas no schedule 13 do DPA 2018. As funções incluem, nomeadamente, o acompanhamento e a aplicação coerciva da parte 4 do DPA 2018, a sensibilização do público, a prestação de aconselhamento ao parlamento, ao governo e a outras instituições em matéria de medidas legislativas e administrativas, a sensibilização dos responsáveis pelo tratamento e subcontratantes para as respetivas obrigações, a prestação de informações aos titulares dos dados relativamente ao exercício dos seus direitos, a realização de investigações, etc.

schedule 13

| (247) | No que respeita à parte 3 do DPA 2018, o comissário tem o poder de notificar os responsáveis pelo tratamento de uma alegada violação e avisar para a eventualidade de uma operação de tratamento poder violar as normas, emitindo repreensões caso se confirme a violação. Pode igualmente emitir notificações de execução e sanção por violação de determinadas disposições da lei (442). No entanto, ao contrário do que acontece noutras partes do DPA 2018, o comissário não pode proceder a uma notificação de avaliação a um organismo nacional de segurança (443). |
| --- | --- |

(247)

No que respeita à parte 3 do DPA 2018, o comissário tem o poder de notificar os responsáveis pelo tratamento de uma alegada violação e avisar para a eventualidade de uma operação de tratamento poder violar as normas, emitindo repreensões caso se confirme a violação. Pode igualmente emitir notificações de execução e sanção por violação de determinadas disposições da lei (442). No entanto, ao contrário do que acontece noutras partes do DPA 2018, o comissário não pode proceder a uma notificação de avaliação a um organismo nacional de segurança (443).

442

443

| (248) | Além disso, a section 110 do DPA 2018 prevê uma exceção ao uso de certos poderes do comissário sempre que tal seja necessário para efeitos de salvaguarda da segurança nacional. Tal inclui o poder conferido ao comissário para emitir (todos os tipos de) notificações abrangidas pelo DPA (notificações de informação, avaliação, execução e sanção), o poder de realizar inspeções em conformidade com as obrigações internacionais, os poderes de entrada e inspeção e as normas em matéria de infrações (444). Tal como explicado no considerando 126, estas exceções só se aplicam se forem necessárias e proporcionadas e numa base casuística. |
| --- | --- |

(248)

Além disso, a section 110 do DPA 2018 prevê uma exceção ao uso de certos poderes do comissário sempre que tal seja necessário para efeitos de salvaguarda da segurança nacional. Tal inclui o poder conferido ao comissário para emitir (todos os tipos de) notificações abrangidas pelo DPA (notificações de informação, avaliação, execução e sanção), o poder de realizar inspeções em conformidade com as obrigações internacionais, os poderes de entrada e inspeção e as normas em matéria de infrações (444). Tal como explicado no considerando 126, estas exceções só se aplicam se forem necessárias e proporcionadas e numa base casuística.

section 110

444

| (249) | O comissário para a informação e os serviços de informações do Reino Unido assinaram um memorando de entendimento (445), que estabelece um quadro de cooperação referente a um conjunto de questões, incluindo as notificações de violações de dados e o tratamento das reclamações dos titulares dos dados. Nomeadamente, o referido quadro prevê que, ao receber uma reclamação, o comissário para a informação avaliará se a isenção de segurança nacional foi aplicada de forma correta. O serviço de informações em causa tem de responder às questões colocadas pelo comissário para a informação no âmbito da análise de reclamações individuais devem ser dadas no prazo de 20 dias úteis, utilizando para o efeito canais seguros adequados, caso envolvam informações confidenciais. Desde abril de 2018 até à data, o comissário para a informação recebeu 21 reclamações sobre os serviços de informações, tendo sido apreciada cada uma delas e o respetivo resultado comunicado ao titular dos dados (446). |
| --- | --- |

(249)

O comissário para a informação e os serviços de informações do Reino Unido assinaram um memorando de entendimento (445), que estabelece um quadro de cooperação referente a um conjunto de questões, incluindo as notificações de violações de dados e o tratamento das reclamações dos titulares dos dados. Nomeadamente, o referido quadro prevê que, ao receber uma reclamação, o comissário para a informação avaliará se a isenção de segurança nacional foi aplicada de forma correta. O serviço de informações em causa tem de responder às questões colocadas pelo comissário para a informação no âmbito da análise de reclamações individuais devem ser dadas no prazo de 20 dias úteis, utilizando para o efeito canais seguros adequados, caso envolvam informações confidenciais. Desde abril de 2018 até à data, o comissário para a informação recebeu 21 reclamações sobre os serviços de informações, tendo sido apreciada cada uma delas e o respetivo resultado comunicado ao titular dos dados (446).

445

446

3.3.3.2   Supervisão do uso de poderes de investigação ao abrigo do IPA 2016

Supervisão do uso de poderes de investigação ao abrigo do IPA 2016

| (250) | Nos termos da parte 8 do IPA 2016, a supervisão do uso dos poderes de investigação é exercida pelo comissário para os poderes de investigação. Este comissário é assistido por outros comissários judiciais, coletivamente designados por «comissários judiciais» (447). O IPA 2016 estabelece as garantias que protegem a independência dos comissários judiciais. Os comissários judiciais são obrigados a exercer ou ter exercido um alto cargo judicial (ou seja, têm de ser ou de ter sido membros dos tribunais superiores) (448) e, como qualquer membro do poder judicial, gozam de um estatuto de independência do governo (449). Nos termos da section 227 do IPA 2016, é o primeiro-ministro que nomeia o IPC e o número de comissários judiciais que considere necessários. Todos os comissários, quer sejam ou tenham sido magistrados, só podem ser nomeados com base numa recomendação conjunta dos três presidentes do sistema judiciário da Inglaterra, do País de Gales, da Escócia e da Irlanda do Norte e do Lorde Chanceler (450). O ministro da tutela deve fornecer ao comissário para os poderes de investigação pessoal, alojamento, equipamento e outras instalações e serviços (451). O mandato dos comissários é de três anos, podendo ser reconduzidos no cargo (452). Como garantia adicional da sua independência, os comissários judiciais só podem ser destituídos do cargo mediante condições estritas que impõem um limiar elevado: pelo primeiro-ministro, nas circunstâncias específicas enumeradas de forma exaustiva na section 228(5) do IPA 2016 (por exemplo, falência ou prisão), ou em caso de aprovação de uma resolução para a destituição por ambas as câmaras do parlamento britânico (453). |
| --- | --- |

(250)

Nos termos da parte 8 do IPA 2016, a supervisão do uso dos poderes de investigação é exercida pelo comissário para os poderes de investigação. Este comissário é assistido por outros comissários judiciais, coletivamente designados por «comissários judiciais» (447). O IPA 2016 estabelece as garantias que protegem a independência dos comissários judiciais. Os comissários judiciais são obrigados a exercer ou ter exercido um alto cargo judicial (ou seja, têm de ser ou de ter sido membros dos tribunais superiores) (448) e, como qualquer membro do poder judicial, gozam de um estatuto de independência do governo (449). Nos termos da section 227 do IPA 2016, é o primeiro-ministro que nomeia o IPC e o número de comissários judiciais que considere necessários. Todos os comissários, quer sejam ou tenham sido magistrados, só podem ser nomeados com base numa recomendação conjunta dos três presidentes do sistema judiciário da Inglaterra, do País de Gales, da Escócia e da Irlanda do Norte e do Lorde Chanceler (450). O ministro da tutela deve fornecer ao comissário para os poderes de investigação pessoal, alojamento, equipamento e outras instalações e serviços (451). O mandato dos comissários é de três anos, podendo ser reconduzidos no cargo (452). Como garantia adicional da sua independência, os comissários judiciais só podem ser destituídos do cargo mediante condições estritas que impõem um limiar elevado: pelo primeiro-ministro, nas circunstâncias específicas enumeradas de forma exaustiva na section 228(5) do IPA 2016 (por exemplo, falência ou prisão), ou em caso de aprovação de uma resolução para a destituição por ambas as câmaras do parlamento britânico (453).

447

448

449

section 227

450

451

452

section 228(5)

453

| (251) | O comissário para os poderes de investigação e os comissários judiciais são apoiados, nas suas funções, pelo IPCO. O pessoal do IPCO inclui uma equipa de inspetores, especialistas em assuntos jurídicos e técnicos internos e um painel consultivo tecnológico para prestar aconselhamento especializado. Dado ser o caso para os comissários judiciais a nível individual, a independência do IPCO está protegida. O IPCO é um organismo público independente do Ministério da Administração Interna britânico, ou seja, recebe financiamento deste ministério, mas desempenha as suas funções de forma independente (454). |
| --- | --- |

(251)

O comissário para os poderes de investigação e os comissários judiciais são apoiados, nas suas funções, pelo IPCO. O pessoal do IPCO inclui uma equipa de inspetores, especialistas em assuntos jurídicos e técnicos internos e um painel consultivo tecnológico para prestar aconselhamento especializado. Dado ser o caso para os comissários judiciais a nível individual, a independência do IPCO está protegida. O IPCO é um organismo público independente do Ministério da Administração Interna britânico, ou seja, recebe financiamento deste ministério, mas desempenha as suas funções de forma independente (454).

454

| (252) | As principais funções dos comissários judiciais encontram-se descritas na section 229 do IPA 2016 (455). Em especial, os comissários judiciais dispõem de um amplo poder de aprovação prévia, que faz parte das salvaguardas introduzidas no quadro jurídico do Reino Unido com o IPA 2016. Os mandados relativos a interceções direcionadas, interferências em equipamentos, conjuntos de dados pessoais em larga escala, aquisição em larga escala de dados de comunicações, bem como notificações de conservação de dados de comunicação, têm de ser aprovados pelos comissários judiciais (456). Além disso, o comissário para os poderes de investigação deve sempre autorizar previamente a aquisição de dados de comunicações para efeitos de aplicação da lei (457). Se um comissário se recusar a aprovar um mandado, o ministro da tutela pode recorrer para o comissário para os poderes de investigação, cuja decisão é definitiva. |
| --- | --- |

(252)

As principais funções dos comissários judiciais encontram-se descritas na section 229 do IPA 2016 (455). Em especial, os comissários judiciais dispõem de um amplo poder de aprovação prévia, que faz parte das salvaguardas introduzidas no quadro jurídico do Reino Unido com o IPA 2016. Os mandados relativos a interceções direcionadas, interferências em equipamentos, conjuntos de dados pessoais em larga escala, aquisição em larga escala de dados de comunicações, bem como notificações de conservação de dados de comunicação, têm de ser aprovados pelos comissários judiciais (456). Além disso, o comissário para os poderes de investigação deve sempre autorizar previamente a aquisição de dados de comunicações para efeitos de aplicação da lei (457). Se um comissário se recusar a aprovar um mandado, o ministro da tutela pode recorrer para o comissário para os poderes de investigação, cuja decisão é definitiva.

section 229

455

456

457

| (253) | O relator especial da ONU sobre o direito à privacidade saudou vivamente a criação dos comissários judiciais com o IPA 2016, uma vez que todos os pedidos mais sensíveis ou intrusivos para a realização de vigilância têm de ser autorizados tanto por um ministro como pelo Gabinete do Comissário para os Poderes de Investigação. Salientou, em especial, que este elemento de controlo judicial [através do papel da comissário para os poderes de investigação], assistido por uma equipa de inspetores experientes e peritos em tecnologia com melhores recursos, é uma das novas salvaguardas mais significativas introduzidas pelo IPA, substituindo um sistema anteriormente fragmentado de autoridades de supervisão e complementando o papel da Intelligence and Security Committee (comissão para a informação e a segurança) do parlamento e o Investigatory Powers Tribunal (458). |
| --- | --- |

(253)

O relator especial da ONU sobre o direito à privacidade saudou vivamente a criação dos comissários judiciais com o IPA 2016, uma vez que todos os pedidos mais sensíveis ou intrusivos para a realização de vigilância têm de ser autorizados tanto por um ministro como pelo Gabinete do Comissário para os Poderes de Investigação. Salientou, em especial, que este elemento de controlo judicial [através do papel da comissário para os poderes de investigação], assistido por uma equipa de inspetores experientes e peritos em tecnologia com melhores recursos, é uma das novas salvaguardas mais significativas introduzidas pelo IPA, substituindo um sistema anteriormente fragmentado de autoridades de supervisão e complementando o papel da Intelligence and Security Committee (comissão para a informação e a segurança) do parlamento e o Investigatory Powers Tribunal (458).

Intelligence and Security Committee

Investigatory Powers Tribunal

458

| (254) | Além disso, o comissário para os poderes de investigação tem poderes para efetuar uma supervisão ex post, incluindo por meio de uma auditoria, do uso dos poderes de investigação ao abrigo do IPA 2016 (459) e de outros poderes e funções previstos na legislação aplicável (460). Os resultados dessa supervisão ex post são incluídos no relatório que o comissário para os poderes de investigação deve elaborar anualmente e apresentar ao primeiro-ministro (461) e que deve ser publicado e apresentado ao parlamento (462). O relatório contém estatísticas e informações pertinentes sobre o uso dos poderes de investigação por parte dos serviços de informações e das autoridades responsáveis pela aplicação da lei, bem como sobre a utilização das salvaguardas em relação a elementos sujeitos à prerrogativa legal de confidencialidade, material jornalístico e fontes de informação jornalística confidenciais, informações sobre os mecanismos adotados e as finalidades operacionais utilizadas no contexto de mandados em larga escala. Por último, no relatório anual do IPCO, especifica-se em que domínio foram formuladas recomendações às autoridades públicas e como as mesmas foram abordadas (463). |
| --- | --- |

(254)

Além disso, o comissário para os poderes de investigação tem poderes para efetuar uma supervisão ex post, incluindo por meio de uma auditoria, do uso dos poderes de investigação ao abrigo do IPA 2016 (459) e de outros poderes e funções previstos na legislação aplicável (460). Os resultados dessa supervisão ex post são incluídos no relatório que o comissário para os poderes de investigação deve elaborar anualmente e apresentar ao primeiro-ministro (461) e que deve ser publicado e apresentado ao parlamento (462). O relatório contém estatísticas e informações pertinentes sobre o uso dos poderes de investigação por parte dos serviços de informações e das autoridades responsáveis pela aplicação da lei, bem como sobre a utilização das salvaguardas em relação a elementos sujeitos à prerrogativa legal de confidencialidade, material jornalístico e fontes de informação jornalística confidenciais, informações sobre os mecanismos adotados e as finalidades operacionais utilizadas no contexto de mandados em larga escala. Por último, no relatório anual do IPCO, especifica-se em que domínio foram formuladas recomendações às autoridades públicas e como as mesmas foram abordadas (463).

ex post

459

460

ex post

461

462

463

| (255) | Em conformidade com a section 231 do IPA 2016, se o comissário para os poderes de investigação tiver conhecimento de qualquer erro relevante cometido pelas autoridades públicas no exercício dos respetivos poderes de investigação, deve informar a pessoa em causa sempre que considere que o erro é grave e que é do interesse público que a pessoa seja informada (464). Em especial, a section 231 do IPA 2016 especifica que, ao informar uma pessoa de um erro, o comissário para os poderes de investigação deve fornecer informações sobre qualquer direito que tenha de requerer ao Investigatory Powers Tribunal e fornecer as informações que o comissário considere necessárias para o exercício desses direitos e da existência de um interesse público para a divulgação (465). |
| --- | --- |

(255)

Em conformidade com a section 231 do IPA 2016, se o comissário para os poderes de investigação tiver conhecimento de qualquer erro relevante cometido pelas autoridades públicas no exercício dos respetivos poderes de investigação, deve informar a pessoa em causa sempre que considere que o erro é grave e que é do interesse público que a pessoa seja informada (464). Em especial, a section 231 do IPA 2016 especifica que, ao informar uma pessoa de um erro, o comissário para os poderes de investigação deve fornecer informações sobre qualquer direito que tenha de requerer ao Investigatory Powers Tribunal e fornecer as informações que o comissário considere necessárias para o exercício desses direitos e da existência de um interesse público para a divulgação (465).

section 231

464

section

Investigatory Powers Tribunal

465

3.3.3.3   Supervisão parlamentar dos serviços de informações

Supervisão parlamentar dos serviços de informações

| (256) | A base jurídica para a supervisão parlamentar exercida pela Intelligence and Security Committee (ISC) consta do Justice and Security Act 2013 (Lei de 2013 relativa à Justiça e à Segurança) (JSA 2013) (466), instrumento que cria a ISC como uma comissão do parlamento do Reino Unido. Desde 2013, a ISC tem sido dotada de cada vez mais poderes, incluindo a supervisão das atividades operacionais dos serviços de segurança. Nos termos da section 2 do JSA 2013, a ISC tem por missão supervisionar as despesas, a administração, a política e as operações das agências nacionais de segurança. O JSA 2013 especifica que a ISC pode realizar investigações sobre matérias operacionais quando estas não digam respeito a operações em curso (467). O memorando de entendimento celebrado entre o primeiro-ministro e a ISC (468) especifica os elementos a ter em conta ao ponderar se uma atividade integra ou não uma operação em curso (469). O primeiro-ministro também pode solicitar que a ISC investigue operações em curso, podendo esta analisar informações transmitidas voluntariamente pelas agências. |
| --- | --- |

(256)

A base jurídica para a supervisão parlamentar exercida pela Intelligence and Security Committee (ISC) consta do Justice and Security Act 2013 (Lei de 2013 relativa à Justiça e à Segurança) (JSA 2013) (466), instrumento que cria a ISC como uma comissão do parlamento do Reino Unido. Desde 2013, a ISC tem sido dotada de cada vez mais poderes, incluindo a supervisão das atividades operacionais dos serviços de segurança. Nos termos da section 2 do JSA 2013, a ISC tem por missão supervisionar as despesas, a administração, a política e as operações das agências nacionais de segurança. O JSA 2013 especifica que a ISC pode realizar investigações sobre matérias operacionais quando estas não digam respeito a operações em curso (467). O memorando de entendimento celebrado entre o primeiro-ministro e a ISC (468) especifica os elementos a ter em conta ao ponderar se uma atividade integra ou não uma operação em curso (469). O primeiro-ministro também pode solicitar que a ISC investigue operações em curso, podendo esta analisar informações transmitidas voluntariamente pelas agências.

Intelligence and Security Committee

Justice and Security Act 2013

466

section 2

467

468

469

| (257) | Nos termos do schedule 1 do JSA 2013, a ISC pode pedir a divulgação de quaisquer informações aos responsáveis por qualquer dos três serviços de informações. A agência está obrigada à disponibilização destas informações, salvo em caso de veto por parte do ministro da tutela (470). De acordo com as explicações fornecidas pelas autoridades do Reino Unido, na prática, muito poucas informações são ocultadas à ISC (471). |
| --- | --- |

(257)

Nos termos do schedule 1 do JSA 2013, a ISC pode pedir a divulgação de quaisquer informações aos responsáveis por qualquer dos três serviços de informações. A agência está obrigada à disponibilização destas informações, salvo em caso de veto por parte do ministro da tutela (470). De acordo com as explicações fornecidas pelas autoridades do Reino Unido, na prática, muito poucas informações são ocultadas à ISC (471).

schedule 1

470

471

| (258) | A ISC é composta por membros pertencentes a ambas as câmaras do parlamento e nomeados pelo primeiro-ministro após consulta o líder da oposição (472). A ISC está obrigada a apresentar um relatório anual ao parlamento sobre o exercício das respetivas funções, bem como outros relatórios que considere adequados (473). Além disso, a ISC tem o direito de receber trimestralmente a lista das finalidades operacionais utilizada para examinar o material obtido em larga escala (474). O primeiro-ministro partilha com a ISC cópias das investigações, inspeções ou auditorias do comissário para os poderes de investigação são partilhadas, se a questão dos relatórios for relevante para as competências legais da comissão (475). Por último, a comissão pode solicitar ao comissário para os poderes de investigação a realização de uma investigação e este deve informar a ISC da decisão de proceder ou não a essa investigação (476). |
| --- | --- |

(258)

A ISC é composta por membros pertencentes a ambas as câmaras do parlamento e nomeados pelo primeiro-ministro após consulta o líder da oposição (472). A ISC está obrigada a apresentar um relatório anual ao parlamento sobre o exercício das respetivas funções, bem como outros relatórios que considere adequados (473). Além disso, a ISC tem o direito de receber trimestralmente a lista das finalidades operacionais utilizada para examinar o material obtido em larga escala (474). O primeiro-ministro partilha com a ISC cópias das investigações, inspeções ou auditorias do comissário para os poderes de investigação são partilhadas, se a questão dos relatórios for relevante para as competências legais da comissão (475). Por último, a comissão pode solicitar ao comissário para os poderes de investigação a realização de uma investigação e este deve informar a ISC da decisão de proceder ou não a essa investigação (476).

472

473

474

475

476

| (259) | A ISC também forneceu informações sobre o projeto de IPA 2016, que resultou num conjunto de alterações que se encontram agora refletidas no IPA 2016 (477). Em especial, a ISC recomendou o reforço das salvaguardas de privacidade através da introdução de um conjunto de salvaguardas de privacidade aplicáveis a todos os poderes de investigação (478). Sugeriu igualmente alterações às capacidades propostas no que respeita à interferência em equipamentos, aos conjuntos de dados pessoais em larga escala e aos dados de comunicações, e solicitou outras alterações específicas para reforçar as limitações e salvaguardas no uso de poderes de investigação (479). |
| --- | --- |

(259)

A ISC também forneceu informações sobre o projeto de IPA 2016, que resultou num conjunto de alterações que se encontram agora refletidas no IPA 2016 (477). Em especial, a ISC recomendou o reforço das salvaguardas de privacidade através da introdução de um conjunto de salvaguardas de privacidade aplicáveis a todos os poderes de investigação (478). Sugeriu igualmente alterações às capacidades propostas no que respeita à interferência em equipamentos, aos conjuntos de dados pessoais em larga escala e aos dados de comunicações, e solicitou outras alterações específicas para reforçar as limitações e salvaguardas no uso de poderes de investigação (479).

477

478

479

3.3.4   Recurso

Recurso

| (260) | No domínio do acesso governamental para efeitos de segurança nacional, os titulares dos dados devem dispor da possibilidade de recorrer a medidas jurídicas corretivas eficazes num tribunal independente e imparcial, para ter acesso a dados pessoais que lhes digam respeito ou para obter a retificação ou a supressão desses dados (480). Tal órgão judicial deve, nomeadamente, estar habilitado a adotar decisões vinculativas para os serviços de informações (481). No Reino Unido, conforme explicado nos considerandos 261 a 271, há várias vias de recurso judicial que oferecem aos titulares dos dados a possibilidade de recorrer e aceder a medidas jurídicas corretivas. |
| --- | --- |

(260)

No domínio do acesso governamental para efeitos de segurança nacional, os titulares dos dados devem dispor da possibilidade de recorrer a medidas jurídicas corretivas eficazes num tribunal independente e imparcial, para ter acesso a dados pessoais que lhes digam respeito ou para obter a retificação ou a supressão desses dados (480). Tal órgão judicial deve, nomeadamente, estar habilitado a adotar decisões vinculativas para os serviços de informações (481). No Reino Unido, conforme explicado nos considerandos 261 a 271, há várias vias de recurso judicial que oferecem aos titulares dos dados a possibilidade de recorrer e aceder a medidas jurídicas corretivas.

480

481

3.3.4.1   Mecanismos de recurso disponíveis ao abrigo da parte 4 do DPA

Mecanismos de recurso disponíveis ao abrigo da parte 4 do DPA

| (261) | Ao abrigo da section 165 do DPA 2018, um titular dos dados tem o direito de apresentar uma reclamação ao comissário para a informação caso considere que existe uma violação da parte 4 do DPA 2018 relacionada com dados pessoais que lhe digam respeito. O comissário para a informação está habilitado a avaliar o cumprimento do DPA 2018 por parte do responsável pelo tratamento e do subcontratante, e de exigir que estes tomem as medidas necessárias. Além disso, ao abrigo da parte 4 do DPA 2018, as pessoas singulares têm o direito de solicitar ao High Court [ou ao Court of Session (Tribunal de Sessão) na Escócia] que ordene ao responsável pelo tratamento que cumpra os direitos de acesso aos dados (482), de oposição ao tratamento (483) e de retificação ou apagamento (484). |
| --- | --- |

(261)

Ao abrigo da section 165 do DPA 2018, um titular dos dados tem o direito de apresentar uma reclamação ao comissário para a informação caso considere que existe uma violação da parte 4 do DPA 2018 relacionada com dados pessoais que lhe digam respeito. O comissário para a informação está habilitado a avaliar o cumprimento do DPA 2018 por parte do responsável pelo tratamento e do subcontratante, e de exigir que estes tomem as medidas necessárias. Além disso, ao abrigo da parte 4 do DPA 2018, as pessoas singulares têm o direito de solicitar ao High Court [ou ao Court of Session (Tribunal de Sessão) na Escócia] que ordene ao responsável pelo tratamento que cumpra os direitos de acesso aos dados (482), de oposição ao tratamento (483) e de retificação ou apagamento (484).

section 165

High Court

Court of Session

482

483

484

| (262) | As pessoas singulares também têm o direito de pedir uma indemnização ao responsável pelo tratamento ou a um subcontratante por danos sofridos devido a uma violação de um requisito da parte 4 do DPA 2018 (485). Os danos incluem perdas financeiras e não financeiras, como sofrimento emocional (486). |
| --- | --- |

(262)

As pessoas singulares também têm o direito de pedir uma indemnização ao responsável pelo tratamento ou a um subcontratante por danos sofridos devido a uma violação de um requisito da parte 4 do DPA 2018 (485). Os danos incluem perdas financeiras e não financeiras, como sofrimento emocional (486).

485

486

3.3.4.2.   Mecanismos de recurso previstos no IPA 2016

Mecanismos de recurso previstos no IPA 2016

| (263) | As pessoas singulares podem obter reparação por violações do IPA 2016 junto do Investigatory Powers Tribunal. |
| --- | --- |

(263)

As pessoas singulares podem obter reparação por violações do IPA 2016 junto do Investigatory Powers Tribunal.

Investigatory Powers Tribunal

| (264) | O Investigatory Powers Tribunal foi criado pelo RIPA 2000 e é independente do executivo (487). Nos termos da section 65 do RIPA 2000, os seus membros são nomeados por Sua Majestade por um período de cinco anos, podendo ser afastados do cargo por Sua Majestade na sequência de um comunicado (488) de ambas as câmaras do parlamento (489). |
| --- | --- |

(264)

O Investigatory Powers Tribunal foi criado pelo RIPA 2000 e é independente do executivo (487). Nos termos da section 65 do RIPA 2000, os seus membros são nomeados por Sua Majestade por um período de cinco anos, podendo ser afastados do cargo por Sua Majestade na sequência de um comunicado (488) de ambas as câmaras do parlamento (489).

Investigatory Powers Tribunal

487

section 65

488

489

| (265) | Nos termos da section 65 do RIPA 2000, o tribunal é o órgão judicial adequado para qualquer reclamação apresentada por uma pessoa lesada por uma conduta no âmbito do IPA 2016, do RIPA 2000 ou por qualquer conduta dos serviços de informações (490). |
| --- | --- |

(265)

Nos termos da section 65 do RIPA 2000, o tribunal é o órgão judicial adequado para qualquer reclamação apresentada por uma pessoa lesada por uma conduta no âmbito do IPA 2016, do RIPA 2000 ou por qualquer conduta dos serviços de informações (490).

section 65

490

| (266) | Para intentar uma ação no Investigatory Powers Tribunal («requisito de legitimidade»), nos termos da section 65 do RIPA 2000, uma pessoa singular tem de estar convicta (491) de que a conduta de um serviço de informações teve lugar em relação a si, a qualquer um dos seus bens, a quaisquer comunicações por si enviadas, ou a si destinadas, ou à sua utilização de qualquer serviço postal, serviço de telecomunicações ou sistema de telecomunicações (492). Além disso, o autor da reclamação tem de estar convicto de que a conduta teve lugar em «circunstâncias contestáveis» (493) ou que «foi efetuada por ou em nome dos serviços de informações» (494). Como, em particular, este conceito de «convicção» tem sido interpretado de forma bastante ampla (495), recorrer a este tribunal está sujeito a baixos requisitos de legitimidade. |
| --- | --- |

(266)

Para intentar uma ação no Investigatory Powers Tribunal («requisito de legitimidade»), nos termos da section 65 do RIPA 2000, uma pessoa singular tem de estar convicta (491) de que a conduta de um serviço de informações teve lugar em relação a si, a qualquer um dos seus bens, a quaisquer comunicações por si enviadas, ou a si destinadas, ou à sua utilização de qualquer serviço postal, serviço de telecomunicações ou sistema de telecomunicações (492). Além disso, o autor da reclamação tem de estar convicto de que a conduta teve lugar em «circunstâncias contestáveis» (493) ou que «foi efetuada por ou em nome dos serviços de informações» (494). Como, em particular, este conceito de «convicção» tem sido interpretado de forma bastante ampla (495), recorrer a este tribunal está sujeito a baixos requisitos de legitimidade.

Investigatory Powers Tribunal

section 65

491

492

493

494

495

| (267) | Quando o Investigatory Powers Tribunal considera uma reclamação que lhe foi apresentada, deve investigar se as pessoas contra as quais é feita qualquer alegação na reclamação estiveram envolvidas no que respeita ao autor da reclamação, bem como investigar a autoridade que alegadamente esteve envolvida nas violações e se a alegada conduta teve lugar (496). Quando aprecia um processo, para proceder à sua determinação, o tribunal tem de aplicar os mesmos princípios que seriam aplicados por um tribunal num pedido de fiscalização jurisdicional (497). Além disso, os destinatários dos mandados ou notificações ao abrigo do IPA 2016, e qualquer funcionário da Coroa, da força policial ou do comissário para as investigações e análise da polícia (Police Investigations and Review Commissioner), têm o dever de revelar ou fornecer a esse tribunal todos os documentos e informações que o tribunal possa exigir para exercer a sua competência (498). |
| --- | --- |

(267)

Quando o Investigatory Powers Tribunal considera uma reclamação que lhe foi apresentada, deve investigar se as pessoas contra as quais é feita qualquer alegação na reclamação estiveram envolvidas no que respeita ao autor da reclamação, bem como investigar a autoridade que alegadamente esteve envolvida nas violações e se a alegada conduta teve lugar (496). Quando aprecia um processo, para proceder à sua determinação, o tribunal tem de aplicar os mesmos princípios que seriam aplicados por um tribunal num pedido de fiscalização jurisdicional (497). Além disso, os destinatários dos mandados ou notificações ao abrigo do IPA 2016, e qualquer funcionário da Coroa, da força policial ou do comissário para as investigações e análise da polícia (Police Investigations and Review Commissioner), têm o dever de revelar ou fornecer a esse tribunal todos os documentos e informações que o tribunal possa exigir para exercer a sua competência (498).

Investigatory Powers Tribunal

496

497

Police Investigations and Review Commissioner

498

| (268) | O Investigatory Powers Tribunal tem de notificar o autor da reclamação se houve ou não determinação a seu favor (499). Ao abrigo da section 67(6) e (7) do RIPA 2000, o tribunal tem competência para adotar medidas provisórias e para conceder uma indemnização ou decretar outra medida que considere adequada. Tal pode incluir a anulação ou o cancelamento de qualquer mandado ou autorização e uma ordem que exija a destruição de quaisquer registos de informações obtidas no exercício de qualquer poder conferido por um mandado, uma autorização ou uma notificação, ou de outra forma detidas por qualquer autoridade pública relativamente a qualquer pessoa (500). De acordo com a section 67A do RIPA 2000, uma determinação do tribunal pode ser objeto de recurso, sob reserva de uma autorização concedida pelo tribunal ou pelo tribunal de recurso competente. |
| --- | --- |

(268)

O Investigatory Powers Tribunal tem de notificar o autor da reclamação se houve ou não determinação a seu favor (499). Ao abrigo da section 67(6) e (7) do RIPA 2000, o tribunal tem competência para adotar medidas provisórias e para conceder uma indemnização ou decretar outra medida que considere adequada. Tal pode incluir a anulação ou o cancelamento de qualquer mandado ou autorização e uma ordem que exija a destruição de quaisquer registos de informações obtidas no exercício de qualquer poder conferido por um mandado, uma autorização ou uma notificação, ou de outra forma detidas por qualquer autoridade pública relativamente a qualquer pessoa (500). De acordo com a section 67A do RIPA 2000, uma determinação do tribunal pode ser objeto de recurso, sob reserva de uma autorização concedida pelo tribunal ou pelo tribunal de recurso competente.

Investigatory Powers Tribunal

499

section 67(6)

(7)

500

section 67A

| (269) | Por último, deve salientar-se que o papel do Investigatory Powers Tribunal foi debatido no contexto de ações judiciais no Tribunal Europeu dos Direitos Humanos em várias ocasiões, nomeadamente no processo Kennedy/Reino Unido (501) e, mais recentemente, no processo Big Brother Watch e o./Reino Unido (502)
  , em que o tribunal declarou que «o IPT proporcionou um recurso judicial sólido para qualquer pessoa que suspeite que as suas comunicações foram intercetadas pelos serviços de informações» (503). |
| --- | --- |

(269)

Por último, deve salientar-se que o papel do Investigatory Powers Tribunal foi debatido no contexto de ações judiciais no Tribunal Europeu dos Direitos Humanos em várias ocasiões, nomeadamente no processo Kennedy/Reino Unido (501) e, mais recentemente, no processo Big Brother Watch e o./Reino Unido (502)
  , em que o tribunal declarou que «o IPT proporcionou um recurso judicial sólido para qualquer pessoa que suspeite que as suas comunicações foram intercetadas pelos serviços de informações» (503).

Investigatory Powers Tribunal

Kennedy/Reino Unido

501

Big Brother Watch e o./Reino Unido

502

,

503

3.3.4.3   Outros mecanismos de recurso disponíveis

Outros mecanismos de recurso disponíveis

| (270) | Conforme explicado nos considerandos 109 a 111, também estão disponíveis vias de recurso ao abrigo do Human Rights Act 1998 e junto do Tribunal Europeu dos Direitos Humanos (504) no domínio da segurança nacional. A section 65(2) do RIPA 2000 concede ao Investigatory Powers Tribunal competência exclusiva para todas as reclamações ao abrigo do Human Rights Act relacionadas com os serviços de informações (505). Tal significa, conforme referido pelo High Court, que «a questão de ter havido uma violação do HRA no que respeita aos factos de um determinado caso é algo que pode, em princípio, ser suscitado e decidido por um tribunal independente, que pode ter acesso a todo o material pertinente, incluindo material secreto. [...] Neste contexto, temos também em mente que o tribunal está agora sujeito à possibilidade de recurso num tribunal de recurso competente (na Inglaterra e no País de Gales, Court of Appeal); e que o Supreme Court decidiu recentemente que o tribunal é, em princípio, passível de fiscalização jurisdicional: ver R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219» (506). |
| --- | --- |

(270)

Conforme explicado nos considerandos 109 a 111, também estão disponíveis vias de recurso ao abrigo do Human Rights Act 1998 e junto do Tribunal Europeu dos Direitos Humanos (504) no domínio da segurança nacional. A section 65(2) do RIPA 2000 concede ao Investigatory Powers Tribunal competência exclusiva para todas as reclamações ao abrigo do Human Rights Act relacionadas com os serviços de informações (505). Tal significa, conforme referido pelo High Court, que «a questão de ter havido uma violação do HRA no que respeita aos factos de um determinado caso é algo que pode, em princípio, ser suscitado e decidido por um tribunal independente, que pode ter acesso a todo o material pertinente, incluindo material secreto. [...] Neste contexto, temos também em mente que o tribunal está agora sujeito à possibilidade de recurso num tribunal de recurso competente (na Inglaterra e no País de Gales, Court of Appeal); e que o Supreme Court decidiu recentemente que o tribunal é, em princípio, passível de fiscalização jurisdicional: ver R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219» (506).

Human Rights Act 1998

504

section 65(2)

Investigatory Powers Tribunal

Human Rights Act

505

High Court

Court of Appeal

Supreme Court

R (Privacy International)/Investigatory Powers Tribunal

506

| (271) | Decorre do acima exposto que quando as autoridades do Reino Unido responsáveis pela aplicação da lei ou pela segurança nacional acedem a dados pessoais abrangidos pela presente decisão, tal acesso é regido por leis que estabelecem as condições em que esse acesso pode ter lugar e garante que o acesso e a posterior utilização dos dados são limitados ao necessário e proporcionado para o objetivo de aplicação da lei ou de segurança nacional visado. Além disso, tal acesso está sujeito, na maioria dos casos, a uma autorização prévia da parte de uma autoridade judicial, através da aprovação de um mandado ou de uma ordem de entrega e, em qualquer caso, a um controlo independente. Assim que as autoridades públicas têm acesso aos dados, o seu tratamento, incluindo a partilha e posterior transferência, está sujeito a garantias específicas em matéria de proteção de dados ao abrigo da parte 3 do DPA 2018, que refletem as previstas na Diretiva (UE) 2016/680, para o tratamento pelas autoridades de aplicação da lei, e da parte 4 do DPA 2018, para o tratamento pelos serviços de informações. Por último, os titulares dos dados gozam, neste domínio, de direitos efetivos de recurso administrativo e judicial, incluindo a obtenção de acesso aos seus dados ou a retificação ou apagamento de tais dados. |
| --- | --- |

(271)

Decorre do acima exposto que quando as autoridades do Reino Unido responsáveis pela aplicação da lei ou pela segurança nacional acedem a dados pessoais abrangidos pela presente decisão, tal acesso é regido por leis que estabelecem as condições em que esse acesso pode ter lugar e garante que o acesso e a posterior utilização dos dados são limitados ao necessário e proporcionado para o objetivo de aplicação da lei ou de segurança nacional visado. Além disso, tal acesso está sujeito, na maioria dos casos, a uma autorização prévia da parte de uma autoridade judicial, através da aprovação de um mandado ou de uma ordem de entrega e, em qualquer caso, a um controlo independente. Assim que as autoridades públicas têm acesso aos dados, o seu tratamento, incluindo a partilha e posterior transferência, está sujeito a garantias específicas em matéria de proteção de dados ao abrigo da parte 3 do DPA 2018, que refletem as previstas na Diretiva (UE) 2016/680, para o tratamento pelas autoridades de aplicação da lei, e da parte 4 do DPA 2018, para o tratamento pelos serviços de informações. Por último, os titulares dos dados gozam, neste domínio, de direitos efetivos de recurso administrativo e judicial, incluindo a obtenção de acesso aos seus dados ou a retificação ou apagamento de tais dados.

| (272) | Dada a importância de tais condições, limitações e garantias para efeitos da presente decisão, a Comissão acompanhará de perto a aplicação e a interpretação das regras do Reino Unido que enquadram o acesso governamental aos dados. Tal incluirá desenvolvimentos legislativos, regulamentares e jurisprudenciais relevantes, bem como as atividades do ICO e de outras autoridades de supervisão neste domínio. Será também prestada especial atenção à execução pelo Reino Unido de acórdãos pertinentes do Tribunal Europeu dos Direitos Humanos, incluindo as medidas identificadas nos «planos de ação» e nos «relatórios de ação» apresentados ao Comité de Ministros no contexto do controlo da conformidade com as decisões do tribunal. |
| --- | --- |

(272)

Dada a importância de tais condições, limitações e garantias para efeitos da presente decisão, a Comissão acompanhará de perto a aplicação e a interpretação das regras do Reino Unido que enquadram o acesso governamental aos dados. Tal incluirá desenvolvimentos legislativos, regulamentares e jurisprudenciais relevantes, bem como as atividades do ICO e de outras autoridades de supervisão neste domínio. Será também prestada especial atenção à execução pelo Reino Unido de acórdãos pertinentes do Tribunal Europeu dos Direitos Humanos, incluindo as medidas identificadas nos «planos de ação» e nos «relatórios de ação» apresentados ao Comité de Ministros no contexto do controlo da conformidade com as decisões do tribunal.

4.   CONCLUSÃO

CONCLUSÃO

| (273) | A Comissão entende que o RGPD do Reino Unido e o DPA 2018 asseguram um nível de proteção dos dados pessoais transferidos da União Europeia essencialmente equivalente ao garantido pelo Regulamento (UE) 2016/679. |
| --- | --- |

(273)

A Comissão entende que o RGPD do Reino Unido e o DPA 2018 asseguram um nível de proteção dos dados pessoais transferidos da União Europeia essencialmente equivalente ao garantido pelo Regulamento (UE) 2016/679.

| (274) | Além disso, a Comissão considera que os mecanismos de controlo e as vias de recurso previstos na legislação do Reino Unido permitem, no seu conjunto, identificar e sancionar na prática as violações, proporcionando vias judiciais aos titulares dos dados para ter acesso aos respetivos dados pessoais e, em última instância, requerer a retificação ou apagamento dos mesmos. |
| --- | --- |

(274)

Além disso, a Comissão considera que os mecanismos de controlo e as vias de recurso previstos na legislação do Reino Unido permitem, no seu conjunto, identificar e sancionar na prática as violações, proporcionando vias judiciais aos titulares dos dados para ter acesso aos respetivos dados pessoais e, em última instância, requerer a retificação ou apagamento dos mesmos.

| (275) | Por último, com base nas informações disponíveis sobre o quadro jurídico do Reino Unido, a Comissão entende que qualquer ingerência das autoridades públicas do Reino Unido nos direitos fundamentais das pessoais singulares, cujos dados pessoais sejam transferidos da União Europeia para o Reino Unido, para fins de interesse público, designadamente, para efeitos de aplicação da lei e de segurança nacional, será limitada ao estritamente necessário para alcançar o objetivo legítimo em causa, existindo uma proteção jurídica eficaz contra tal ingerência. |
| --- | --- |

(275)

Por último, com base nas informações disponíveis sobre o quadro jurídico do Reino Unido, a Comissão entende que qualquer ingerência das autoridades públicas do Reino Unido nos direitos fundamentais das pessoais singulares, cujos dados pessoais sejam transferidos da União Europeia para o Reino Unido, para fins de interesse público, designadamente, para efeitos de aplicação da lei e de segurança nacional, será limitada ao estritamente necessário para alcançar o objetivo legítimo em causa, existindo uma proteção jurídica eficaz contra tal ingerência.

| (276) | Assim, atendendo às constatações efetuadas na presente decisão, deve decidir-se que o Reino Unido garante um nível adequado de proteção na aceção do artigo 45.o do Regulamento (UE) 2016/679, interpretado em função da Carta dos Direitos Fundamentais da União Europeia. |
| --- | --- |

(276)

Assim, atendendo às constatações efetuadas na presente decisão, deve decidir-se que o Reino Unido garante um nível adequado de proteção na aceção do artigo 45.o do Regulamento (UE) 2016/679, interpretado em função da Carta dos Direitos Fundamentais da União Europeia.

o

| (277) | Esta conclusão baseia-se tanto no regime interno aplicável do Reino Unido como nos seus compromissos internacionais, em particular a adesão à Convenção Europeia dos Direitos Humanos e a submissão à competência jurisdicional do Tribunal Europeu dos Direitos do Humanos. Por conseguinte, a adesão contínua a essas obrigações internacionais é um elemento particularmente importante da avaliação em que se baseia a presente decisão. |
| --- | --- |

(277)

Esta conclusão baseia-se tanto no regime interno aplicável do Reino Unido como nos seus compromissos internacionais, em particular a adesão à Convenção Europeia dos Direitos Humanos e a submissão à competência jurisdicional do Tribunal Europeu dos Direitos do Humanos. Por conseguinte, a adesão contínua a essas obrigações internacionais é um elemento particularmente importante da avaliação em que se baseia a presente decisão.

5.   EFEITOS DA PRESENTE DECISÃO E AÇÃO DAS AUTORIDADES DE PROTEÇÃO DE DADOS

EFEITOS DA PRESENTE DECISÃO E AÇÃO DAS AUTORIDADES DE PROTEÇÃO DE DADOS

| (278) | Os Estados-Membros e os respetivos organismos são obrigados a tomar as medidas necessárias para cumprir os atos das instituições da União, uma vez que se presume que os mesmos são lícitos e logo produzem efeitos jurídicos até caducarem, serem revogados, anulados no âmbito de um recurso de anulação ou declarados inválidos na sequência de um reenvio prejudicial ou de uma exceção de ilegalidade. |
| --- | --- |

(278)

Os Estados-Membros e os respetivos organismos são obrigados a tomar as medidas necessárias para cumprir os atos das instituições da União, uma vez que se presume que os mesmos são lícitos e logo produzem efeitos jurídicos até caducarem, serem revogados, anulados no âmbito de um recurso de anulação ou declarados inválidos na sequência de um reenvio prejudicial ou de uma exceção de ilegalidade.

| (279) | Consequentemente, uma decisão de adequação da Comissão adotada nos termos do artigo 45.o, n.o 3, do Regulamento (UE) 2016/679 é vinculativa para todos os organismos dos Estados-Membros aos quais se destina, nomeadamente para as suas autoridades de controlo independentes. Em particular, durante o período de aplicação da presente decisão, as transferências de um responsável pelo tratamento de dados ou de um subcontratante na União Europeia para responsáveis pelo tratamento e subcontratantes no Reino Unido podem ser efetuadas sem que seja necessária mais nenhuma autorização. |
| --- | --- |

(279)

Consequentemente, uma decisão de adequação da Comissão adotada nos termos do artigo 45.o, n.o 3, do Regulamento (UE) 2016/679 é vinculativa para todos os organismos dos Estados-Membros aos quais se destina, nomeadamente para as suas autoridades de controlo independentes. Em particular, durante o período de aplicação da presente decisão, as transferências de um responsável pelo tratamento de dados ou de um subcontratante na União Europeia para responsáveis pelo tratamento e subcontratantes no Reino Unido podem ser efetuadas sem que seja necessária mais nenhuma autorização.

o

o

| (280) | Importa recordar que, nos termos do artigo 58.o, n.o 5, do Regulamento (UE) 2016/679, e conforme explicado pelo Tribunal de Justiça no acórdão Schrems (507), se uma autoridade nacional responsável pela proteção de dados colocar em causa, nomeadamente na sequência de uma reclamação, a conformidade de uma decisão de adequação da Comissão com a proteção dos direitos fundamentais à privacidade e à proteção dos dados da pessoa singular, a legislação nacional deve proporcionar-lhe uma via de recurso que lhe permita apresentar tais objeções junto de um tribunal nacional, que poderá ter de proceder a um reenvio prejudicial para o Tribunal de Justiça (508). |
| --- | --- |

(280)

Importa recordar que, nos termos do artigo 58.o, n.o 5, do Regulamento (UE) 2016/679, e conforme explicado pelo Tribunal de Justiça no acórdão Schrems (507), se uma autoridade nacional responsável pela proteção de dados colocar em causa, nomeadamente na sequência de uma reclamação, a conformidade de uma decisão de adequação da Comissão com a proteção dos direitos fundamentais à privacidade e à proteção dos dados da pessoa singular, a legislação nacional deve proporcionar-lhe uma via de recurso que lhe permita apresentar tais objeções junto de um tribunal nacional, que poderá ter de proceder a um reenvio prejudicial para o Tribunal de Justiça (508).

o

o

507

508

6.   ACOMPANHAMENTO, SUSPENSÃO, REVOGAÇÃO OU ALTERAÇÃO DA PRESENTE DECISÃO

ACOMPANHAMENTO, SUSPENSÃO, REVOGAÇÃO OU ALTERAÇÃO DA PRESENTE DECISÃO

| (281) | Nos termos do artigo 45.o, n.o 4, do Regulamento (UE) 2016/679, a Comissão deve controlar, de forma continuada, os desenvolvimentos pertinentes no Reino Unido após a adoção da presente decisão, a fim de avaliar se esta ainda assegura um nível de proteção essencialmente equivalente. Tal controlo é particularmente importante neste caso, uma vez que o Reino Unido administrará, aplicará e fará cumprir um novo regime de proteção de dados que já não estará sujeito ao direito da União Europeia e que pode ser suscetível de evoluir. A este respeito, será prestada especial atenção à aplicação, na prática, das regras do Reino Unido em matéria de transferências de dados pessoais para países terceiros e ao impacto que podem ter no nível de proteção oferecido aos dados transferidos ao abrigo da presente decisão; à eficácia do exercício dos direitos individuais, incluindo qualquer desenvolvimento pertinente da legislação e das práticas relativas às exceções ou às restrições a tais direitos (nomeadamente a que diz respeito à manutenção de um controlo efetivo da imigração); bem como à conformidade com as restrições e as garantias em matéria de acesso governamental. Entre outros elementos, o acompanhamento pela Comissão basear-se-á nos desenvolvimentos da jurisprudência e na supervisão pelo ICO e outros organismos independentes. |
| --- | --- |

(281)

Nos termos do artigo 45.o, n.o 4, do Regulamento (UE) 2016/679, a Comissão deve controlar, de forma continuada, os desenvolvimentos pertinentes no Reino Unido após a adoção da presente decisão, a fim de avaliar se esta ainda assegura um nível de proteção essencialmente equivalente. Tal controlo é particularmente importante neste caso, uma vez que o Reino Unido administrará, aplicará e fará cumprir um novo regime de proteção de dados que já não estará sujeito ao direito da União Europeia e que pode ser suscetível de evoluir. A este respeito, será prestada especial atenção à aplicação, na prática, das regras do Reino Unido em matéria de transferências de dados pessoais para países terceiros e ao impacto que podem ter no nível de proteção oferecido aos dados transferidos ao abrigo da presente decisão; à eficácia do exercício dos direitos individuais, incluindo qualquer desenvolvimento pertinente da legislação e das práticas relativas às exceções ou às restrições a tais direitos (nomeadamente a que diz respeito à manutenção de um controlo efetivo da imigração); bem como à conformidade com as restrições e as garantias em matéria de acesso governamental. Entre outros elementos, o acompanhamento pela Comissão basear-se-á nos desenvolvimentos da jurisprudência e na supervisão pelo ICO e outros organismos independentes.

o

o

| (282) | A fim de facilitar este acompanhamento, as autoridades do Reino Unido devem informar prontamente a Comissão de qualquer alteração substancial da ordem jurídica do Reino Unido que tenha impacto no quadro jurídico objeto da presente decisão, bem como de qualquer evolução das práticas relacionadas com o tratamento dos dados pessoais avaliadas na presente decisão, tanto no que diz respeito ao tratamento de dados pessoais pelos responsáveis pelo tratamento e subcontratantes ao abrigo do RGPD do Reino Unido, como às restrições e às garantias aplicáveis ao acesso aos dados pessoais pelas autoridades públicas. Tal deverá incluir desenvolvimentos no que diz respeito aos elementos mencionados no considerando 281. |
| --- | --- |

(282)

A fim de facilitar este acompanhamento, as autoridades do Reino Unido devem informar prontamente a Comissão de qualquer alteração substancial da ordem jurídica do Reino Unido que tenha impacto no quadro jurídico objeto da presente decisão, bem como de qualquer evolução das práticas relacionadas com o tratamento dos dados pessoais avaliadas na presente decisão, tanto no que diz respeito ao tratamento de dados pessoais pelos responsáveis pelo tratamento e subcontratantes ao abrigo do RGPD do Reino Unido, como às restrições e às garantias aplicáveis ao acesso aos dados pessoais pelas autoridades públicas. Tal deverá incluir desenvolvimentos no que diz respeito aos elementos mencionados no considerando 281.

| (283) | Além disso, a fim de permitir à Comissão o exercício eficaz da sua função de controlo, os Estados-Membros devem informar a Comissão sobre qualquer medida pertinente adotada pelas autoridades nacionais responsáveis pela proteção dos dados, em particular no que se refere a consultas ou reclamações de titulares de dados da UE relativas à transferência de dados pessoais da União Europeia para responsáveis pelo tratamento e subcontratantes no Reino Unido. A Comissão deve igualmente ser informada sobre quaisquer indícios de que as ações das autoridades públicas do Reino Unido responsáveis pela prevenção, investigação, deteção ou repressão de infrações penais, ou pela segurança nacional, incluindo os organismos de controlo, não asseguram o nível de proteção exigido. |
| --- | --- |

(283)

Além disso, a fim de permitir à Comissão o exercício eficaz da sua função de controlo, os Estados-Membros devem informar a Comissão sobre qualquer medida pertinente adotada pelas autoridades nacionais responsáveis pela proteção dos dados, em particular no que se refere a consultas ou reclamações de titulares de dados da UE relativas à transferência de dados pessoais da União Europeia para responsáveis pelo tratamento e subcontratantes no Reino Unido. A Comissão deve igualmente ser informada sobre quaisquer indícios de que as ações das autoridades públicas do Reino Unido responsáveis pela prevenção, investigação, deteção ou repressão de infrações penais, ou pela segurança nacional, incluindo os organismos de controlo, não asseguram o nível de proteção exigido.

| (284) | Sempre que as informações disponíveis, nomeadamente as resultantes do controlo da presente decisão ou fornecidas pelas autoridades do Reino Unido ou dos Estados-Membros, revelarem que o nível de proteção conferido pelo Reino Unido pode já não ser adequado, a Comissão deve informar prontamente as autoridades competentes do Reino Unido desse facto e solicitar que sejam adotadas medidas adequadas dentro de um prazo especificado, que não deve exceder os três meses. Se necessário, esse prazo pode ser prorrogado por um período determinado, tendo em conta a natureza da questão em causa e/ou das medidas a adotar. Por exemplo, tal procedimento seria desencadeado caso as transferências ulteriores, incluindo com base em novos regulamentos de adequação adotados pelo ministro da tutela ou em acordos internacionais celebrados pelo Reino Unido, deixassem de ser efetuadas ao abrigo de garantias que assegurem a continuidade da proteção na aceção do artigo 44.o do Regulamento (UE) 2016/679. |
| --- | --- |

(284)

Sempre que as informações disponíveis, nomeadamente as resultantes do controlo da presente decisão ou fornecidas pelas autoridades do Reino Unido ou dos Estados-Membros, revelarem que o nível de proteção conferido pelo Reino Unido pode já não ser adequado, a Comissão deve informar prontamente as autoridades competentes do Reino Unido desse facto e solicitar que sejam adotadas medidas adequadas dentro de um prazo especificado, que não deve exceder os três meses. Se necessário, esse prazo pode ser prorrogado por um período determinado, tendo em conta a natureza da questão em causa e/ou das medidas a adotar. Por exemplo, tal procedimento seria desencadeado caso as transferências ulteriores, incluindo com base em novos regulamentos de adequação adotados pelo ministro da tutela ou em acordos internacionais celebrados pelo Reino Unido, deixassem de ser efetuadas ao abrigo de garantias que assegurem a continuidade da proteção na aceção do artigo 44.o do Regulamento (UE) 2016/679.

o

| (285) | Se, uma vez decorrido o prazo especificado, as autoridades competentes do Reino Unido não tomarem essas medidas ou não demonstrarem, de forma satisfatória, que a presente decisão continua a basear-se num nível de proteção adequado, a Comissão dará início ao procedimento referido no artigo 93.o, n.o 2, do Regulamento (UE) 2016/679 com vista à suspensão total ou parcial ou à revogação da presente decisão. |
| --- | --- |

(285)

Se, uma vez decorrido o prazo especificado, as autoridades competentes do Reino Unido não tomarem essas medidas ou não demonstrarem, de forma satisfatória, que a presente decisão continua a basear-se num nível de proteção adequado, a Comissão dará início ao procedimento referido no artigo 93.o, n.o 2, do Regulamento (UE) 2016/679 com vista à suspensão total ou parcial ou à revogação da presente decisão.

o

o

| (286) | Em alternativa, a Comissão dará início ao procedimento com vista a alterar a decisão, nomeadamente sujeitando as transferências de dados a condições adicionais ou limitando o âmbito de aplicação da verificação de adequação às transferências de dados em relação às quais continua a ser assegurado um nível adequado de proteção. |
| --- | --- |

(286)

Em alternativa, a Comissão dará início ao procedimento com vista a alterar a decisão, nomeadamente sujeitando as transferências de dados a condições adicionais ou limitando o âmbito de aplicação da verificação de adequação às transferências de dados em relação às quais continua a ser assegurado um nível adequado de proteção.

| (287) | Por imperativos de urgência devidamente justificados, a Comissão recorrerá à possibilidade de adotar, em conformidade com o procedimento referido no artigo 93.o, n.o 3, do Regulamento (UE) 2016/679, atos de execução imediatamente aplicáveis que suspendam, revoguem ou alterem a decisão. |
| --- | --- |

(287)

Por imperativos de urgência devidamente justificados, a Comissão recorrerá à possibilidade de adotar, em conformidade com o procedimento referido no artigo 93.o, n.o 3, do Regulamento (UE) 2016/679, atos de execução imediatamente aplicáveis que suspendam, revoguem ou alterem a decisão.

o

o

7.   DURAÇÃO E RENOVAÇÃO DA PRESENTE DECISÃO

DURAÇÃO E RENOVAÇÃO DA PRESENTE DECISÃO

| (288) | A Comissão tem de ter em conta que, com o fim do período de transição previsto pelo Acordo de Saída, e logo que a disposição provisória constante do artigo 782.o do Acordo de Comércio e Cooperação UE-Reino Unido deixe de ser aplicável, o Reino Unido administrará, aplicará e fará cumprir um novo regime de proteção de dados em comparação com o que estava em vigor quando estava vinculado pelo direito da UE. Tal pode envolver, nomeadamente, alterações ou modificações do quadro de proteção de dados avaliado na presente decisão, bem como outros desenvolvimentos pertinentes. |
| --- | --- |

(288)

A Comissão tem de ter em conta que, com o fim do período de transição previsto pelo Acordo de Saída, e logo que a disposição provisória constante do artigo 782.o do Acordo de Comércio e Cooperação UE-Reino Unido deixe de ser aplicável, o Reino Unido administrará, aplicará e fará cumprir um novo regime de proteção de dados em comparação com o que estava em vigor quando estava vinculado pelo direito da UE. Tal pode envolver, nomeadamente, alterações ou modificações do quadro de proteção de dados avaliado na presente decisão, bem como outros desenvolvimentos pertinentes.

o

| (289) | Por conseguinte, convém prever que a presente decisão seja aplicável por um período de quatro anos a partir da sua entrada em vigor. |
| --- | --- |

(289)

Por conseguinte, convém prever que a presente decisão seja aplicável por um período de quatro anos a partir da sua entrada em vigor.

| (290) | Se, em particular, as informações resultantes do controlo da presente decisão revelarem que as conclusões relativas à adequação do nível de proteção assegurado no Reino Unido continuam a justificar-se de facto e de direito, a Comissão deve, o mais tardar seis meses antes de a presente decisão deixar de ser aplicável, dar início ao procedimento de alteração da presente decisão, prorrogando a sua aplicação no tempo, em princípio, por um período adicional de quatro anos. Qualquer ato de execução que altere a presente decisão deve ser adotado em conformidade com o procedimento referido no artigo 93.o, n.o 2, do Regulamento (UE) 2016/679. |
| --- | --- |

(290)

Se, em particular, as informações resultantes do controlo da presente decisão revelarem que as conclusões relativas à adequação do nível de proteção assegurado no Reino Unido continuam a justificar-se de facto e de direito, a Comissão deve, o mais tardar seis meses antes de a presente decisão deixar de ser aplicável, dar início ao procedimento de alteração da presente decisão, prorrogando a sua aplicação no tempo, em princípio, por um período adicional de quatro anos. Qualquer ato de execução que altere a presente decisão deve ser adotado em conformidade com o procedimento referido no artigo 93.o, n.o 2, do Regulamento (UE) 2016/679.

o

o

8.   CONSIDERAÇÕES FINAIS

CONSIDERAÇÕES FINAIS

| (291) | O Comité Europeu para a Proteção de Dados publicou o seu parecer (509), que foi tido em conta na elaboração da presente decisão. |
| --- | --- |

(291)

O Comité Europeu para a Proteção de Dados publicou o seu parecer (509), que foi tido em conta na elaboração da presente decisão.

509

| (292) | As medidas previstas na presente decisão estão em conformidade com o parecer do Comité instituído ao abrigo do artigo 93.o do Regulamento (UE) 2016/679, |
| --- | --- |

(292)

As medidas previstas na presente decisão estão em conformidade com o parecer do Comité instituído ao abrigo do artigo 93.o do Regulamento (UE) 2016/679,

o

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o

1.   Para efeitos do artigo 45.o do Regulamento (UE) 2016/679, o Reino Unido assegura um nível adequado de proteção dos dados pessoais transferidos no âmbito do Regulamento (UE) 2016/679 da União Europeia para o Reino Unido.

2.   A presente decisão não abrange os dados pessoais transferidos para efeitos de controlo da imigração do Reino Unido ou que, de outro modo, sejam abrangidos pelo âmbito da isenção de determinados direitos dos titulares de dados, para efeitos de manutenção de um controlo efetivo da imigração, nos termos do schedule 2, n.o 4, ponto 1, do DPA 2018.

Artigo 2.o

Sempre que, para efeitos de proteção das pessoas singulares no que se refere ao tratamento dos seus dados pessoais, as autoridades de controlo competentes dos Estados-Membros exercerem as suas competências, nos termos do artigo 58.o do Regulamento (UE) 2016/679 no que respeita às transferências de dados abrangidas pelo âmbito de aplicação previsto no artigo 1.o, o Estado-Membro em causa deve informar de imediato a Comissão.

Artigo 3.o

1.   A Comissão deve garantir o controlo contínuo da aplicação do quadro jurídico em que assenta a presente decisão, nomeadamente as condições em que se procede a transferências ulteriores, o exercício dos direitos fundamentais e o acesso das autoridades públicas do Reino Unido a dados transferidos com base na presente decisão, por forma a avaliar se o Reino Unido continua a assegurar um nível de proteção adequado na aceção do artigo 1.o.

2.   Os Estados-Membros e a Comissão devem comunicar-se reciprocamente os casos em que o comissário para a informação, ou qualquer outra autoridade competente do Reino Unido, deixe de cumprir o quadro jurídico em que a presente decisão assenta.

3.   Os Estados-Membros e a Comissão devem comunicar-se reciprocamente quaisquer informações relativas a indícios de que a ingerência das autoridades públicas do Reino Unido no direito das pessoas singulares à proteção dos dados pessoais excede o estritamente necessário ou de que não existe uma proteção jurídica eficaz contra tal ingerência.

4.   Se tomar conhecimento de quaisquer indícios de que deixou de ser assegurado um nível de proteção adequado, a Comissão deve informar desse facto as autoridades competentes do Reino Unido e pode suspender, revogar ou alterar a presente decisão.

5.   A Comissão pode suspender, revogar ou alterar a presente decisão se a falta de cooperação do Governo do Reino Unido a impedir de determinar se a verificação prevista no artigo 1.o, n.o 1, foi afetada.

Artigo 4.o

A presente decisão caduca em 27 de junho de 2025, a menos que seja prorrogada nos termos do procedimento referido no artigo 93.o, n.o 2, do Regulamento (UE) 2016/679.

Artigo 5.o

Os destinatários da presente decisão são os Estados-Membros.

Feito em Bruxelas, em 28 de junho de 2021.

Pela Comissão

Didier REYNDERS

Membro da Comissão

---

(1)  
  JO L 119 de 4.5.2016, p. 1.

1

(2)  Ver considerando 101 do Regulamento (UE) 2016/679.

2

(3)  Ver, mais recentemente, o processo C-311/18, Facebook Ireland e Schrems («
  Schrems II
  »), ECLI:EU:C:2020:559.

3

Facebook Ireland e Schrems

Schrems II

(4)  Comité Europeu para a Proteção de Dados, documento de referência relativo à adequação, WP 254 rev. 01, disponível na seguinte ligação: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=614108

4

(5)  Processo C-362/14, Schrems («
  Schrems I»
  ), ECLI:EU:C:2015:650, n.o 73.

5

Schrems

Schrems I»

o

(6)  
  Schrems I, n.o 74.

6

Schrems I

o

(7)  Ver Comunicação da Comissão ao Parlamento Europeu e ao Conselho, Intercâmbio e proteção de dados pessoais num mundo globalizado, COM(2017) 7, de 10.1.2017, secção 3.1, p. 6-7, disponível na seguinte ligação: https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:52017DC0007&from=EN

7

(8)  
  Court of Appeal (Civil Division), Open Rights Group/Secretary of State for the Home Department and Secretary of State for Digital, Culture, Media and Sport [2021] EWCA Civ 800, n.os 53 a 56. O Court of Appeal inverteu a decisão do High Court of Justice (Tribunal Superior de Justiça) que tinha previamente apreciado a isenção à luz do Regulamento (UE) 2016/679 (em especial, o seu artigo 23.o) e da Carta dos Direitos Fundamentais da União Europeia e considerou a isenção lícita (Open Rights Group & Anor, R (on the application of f)/Secretary of State for the Home Department & Anor [2019] EWHC 2562).

8

Court of Appeal (Civil Division)

Open Rights Group/Secretary of State for the Home Department and Secretary of State for Digital, Culture, Media and Sport

os

Court of Appeal

High Court of Justice

o

Open Rights Group & Anor, R (on the application of f)/Secretary of State for the Home Department & Anor

(9)  Desde que as condições aplicáveis sejam cumpridas, as transferências para efeitos de controlo da imigração do Reino Unido podem ser efetuadas com base nos mecanismos de transferência previstos nos artigos 46.o a 49.o do Regulamento (EU) 2016/679.

9

o

o

(10)  Os princípios da Convenção 108 foram inicialmente transpostos para o direito do Reino Unido através do Data Protection Act de 1984, que foi substituído pelo DPA 1998, o qual, por sua vez, foi substituído pelo DPA 2018 (lido em conjugação com o RGPD do Reino Unido). Em 2018, o Reino Unido assinou igualmente o Protocolo que altera a Convenção para a Proteção das Pessoas relativamente ao Tratamento Automatizado de Dados de Caráter Pessoal (designado por «Convenção 108+») e encontra-se atualmente em processo de ratificação da convenção.

10

Data Protection Act

(11)  Artigos 6.o e 8.o da CEDH (ver também o schedule 1 do Human Rights Act 1998).

11

o

o

schedule 1

Human Rights Act 1998

(12)  
  Section 6 do Human Rights Act 1998.

12

Section 6

Human Rights Act 1998

(13)  
  Section 3 do Human Rights Act 1998.

13

Section 3

Human Rights Act 1998

(14)  Acordo sobre a saída do Reino Unido da Grã-Bretanha e da Irlanda do Norte da União Europeia e da Comunidade Europeia da Energia Atómica 2019/C 384 I/01, XT/21054/2019/INIT (JO C 384 I de 12.11.2019, p. 1), disponível na seguinte ligação: https://eur-lex.europa.eu/legal-content/PT/TXT/PDF/?uri=CELEX:12019W/TXT(02)&from=EN

14

(15)  Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89), disponível na seguinte ligação: https://eur-lex.europa.eu/legal-content/PT/TXT/PDF/?uri=CELEX:32016L0680&from=EN

15

(16)  
  Data Protection Act 2018, disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/2018/12/contents/enacted

16

Data Protection Act 2018

(17)  
  European Union (Withdrawal) Act 2018, disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/2018/16/contents

17

European Union (Withdrawal) Act 2018

(18)  A intenção e o efeito do European Union (Withdrawal) Act 2018 é que toda a legislação direta da União que tenha sido incorporada no direito do Reino Unido no final do período de transição seja incorporada no direito do Reino Unido, uma vez que produz efeitos no direito da UE imediatamente antes do final do período de transição. Ver section 3 do European Union (Withdrawal) Act 2018.

18

European Union (Withdrawal) Act 2018

section 3

European Union (Withdrawal) Act 2018

(19)  As Explanatory Notes (notas explicativas) do European Union Withdrawal Act 2018 especificam o seguinte: «Sempre que a legislação seja convertida ao abrigo da presente secção, é o texto da própria legislação que fará parte da legislação nacional. Tal incluirá o texto integral de qualquer instrumento da UE (nomeadamente os seus considerandos).». [Explanatory Notes do European Union Withdrawal Act 2018, n.o 83, disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/2018/16/pdfs/ukpgaen_20180016_en.pdf]. De acordo com as informações fornecidas pelas autoridades do Reino Unido, como os considerandos não têm o estatuto de normas jurídicas vinculativas, não foi necessário alterá-los da mesma forma que os artigos do Regulamento (UE) 2016/679 foram alterados pelos Regulamentos DPPEC.

19

Explanatory Notes

European Union Withdrawal Act 2018

Explanatory Notes

European Union Withdrawal Act 2018

o

(20)  
  Section 6 do European Union (Withdrawal) Act 2018.

20

Section 6

European Union (Withdrawal) Act 2018

(21)  
  Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019, disponíveis na seguinte ligação: https://www.legislation.gov.uk/uksi/2019/419/contents/made, com a redação que lhes foi dada pelos Regulamentos DPPEC de 2020, disponíveis na seguinte ligação: https://www.legislation.gov.uk/ukdsi/2020/9780348213522

21

Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019

(22)  Estas alterações do RGPD do Reino Unido e do DPA 2018 são principalmente de natureza técnica, como a supressão de referências a «Estados-Membros» ou o ajustamento da terminologia, por exemplo, a substituição de referências ao Regulamento (UE) 2016/679 por referências ao RGPD do Reino Unido. Em alguns casos, foram necessárias alterações para refletir o contexto puramente nacional das disposições, por exemplo, no que respeita a «quem» adota «regulamentos de adequação» para efeitos do quadro jurídico em matéria de proteção de dados do Reino Unido (ver section 17A do DPA 2018), ou seja, o ministro da tutela (Secretary of State) em vez da Comissão Europeia.

22

section 17A

Secretary of State

(23)  
  General Data Protection Regulation, Keeling Schedule, disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/946117/20201102_-_GDPR_-__MASTER__Keeling_Schedule__with_changes_highlighted__V3.pdf

23

General Data Protection Regulation, Keeling Schedule

(24)  
  Data Protection Act 2018, Keeling Schedule, disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/946100/20201102_-_DPA_-__MASTER__Keeling_Schedule__with_changes_highlighted__V3.pdf

24

Data Protection Act 2018

Keeling Schedule

(25)  Tais poderes constam, por exemplo, da section 16 (poder para fazer, em situações específicas, estritamente circunscritas, outras isenções a disposições específicas do RGPD do Reino Unido), section 17A (poder para adotar regulamentos de adequação), sections 212 e 213 (poderes para iniciar legislação e fazer disposições transitórias), e section 211 (poder para fazer alterações menores e consequentes) do DPA 2018.

25

section 16

section 17A

sections 212

213

section 211

(26)  Artigo 2.o, n.os 1 e 5, do RGPD do Reino Unido.

26

o

os

(27)  Artigo 4.o, n.os 1 e 2, do RGPD do Reino Unido.

27

o

os

(28)  O tratamento manual não estruturado de dados pessoais é definido no artigo 2.o, n.o 5, alínea b), como o tratamento de dados pessoais que não o tratamento automatizado ou estruturado de dados pessoais.

28

o

o

(29)  O artigo 2.o, n.o 1A, do RGPD do Reino Unido prevê que o regulamento também se aplica ao tratamento manual não estruturado de dados pessoais detidos por uma autoridade pública FOI. A referência a autoridades públicas FOI significa qualquer autoridade pública tal como definida no Freedom of Information Act 2000 (Lei de 2000 relativa à Liberdade de Informação), ou qualquer autoridade pública escocesa conforme definida no Freedom of Information (Scotland) Act 2002 (asp 13) [Lei de 2002 relativa à Liberdade de Informação (Escócia) (asp 13)]. Section 21(5) do DPA 2018.

29

o

o

Freedom of Information Act 2000

Freedom of Information (Scotland) Act 2002 (asp 13)

asp 13

Section 21(5)

(30)  Artigo 2.o, n.o 2, alínea a), do RGPD do Reino Unido.

30

o

o

(31)  As atividades de segurança nacional só são abrangidas pelo âmbito de aplicação do RGPD do Reino Unido se não forem efetuadas por uma autoridade competente para efeitos de aplicação da lei, caso em que se aplica a parte 3 do DPA 2018, ou por ou em nome de um serviço de informações, cujas atividades estejam excluídas do âmbito de aplicação do RGPD do Reino Unido e sujeitas à parte 4 do DPA 2018 nos termos do artigo 2.o, n.o 2, alínea c), do RGPD do Reino Unido. Por exemplo, uma força policial pode efetuar controlos de segurança relativamente a um funcionário para garantir que se pode confiar nele para ter acesso a material de segurança nacional. Apesar de a polícia ser uma autoridade competente para efeitos de aplicação da lei, o tratamento em questão não se destina a esses feitos e o RGPD do Reino Unido seria aplicável. Ver Explanatory Framework for Adequacy Discussions, section H: National Security Data Protection and Investigatory Powers Framework (Enquadramento explicativo do Reino Unido para discussões de adequação, secção H: quadro da proteção de dados para fins de segurança nacional e dos poderes de investigação), p. 8, disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872239/H_-_National_Security.pdf

31

o

o

Explanatory Framework for Adequacy Discussions, section H: National Security Data Protection and Investigatory Powers Framework

(32)  Artigo 2.o, n.o 1, alíneas a) e b), do RGPD do Reino Unido.

32

o

o

(33)  Artigo 2.o, n.o 2, alíneas b) e c), do RGPD do Reino Unido.

33

o

o

(34)  O mesmo âmbito de aplicação territorial aplica-se ao tratamento de dados pessoais ao abrigo da parte 2 do DPA 2018, que complementa o RGPD do Reino Unido [section 207(1A)].

34

section 207(1A)

(35)  Tal significa, nomeadamente, que o DPA de 2018 e, por conseguinte, a presente decisão não são aplicáveis às dependências da Coroa do Reino Unido (Jersey, Guernesey e a Ilha de Man) e aos territórios ultramarinos do Reino Unido, como, por exemplo, as Ilhas Falkland e o território de Gibraltar.

35

(36)  Artigo 4.o, n.os 1, 2, 5, 7 e 8, do RGPD do Reino Unido.

36

o

os

(37)  
  «Dados biométricos», dados pessoais resultantes de um tratamento técnico específico relativo às características físicas, fisiológicas ou comportamentais de uma pessoa singular que permitam ou confirmem a identificação única dessa pessoa singular, nomeadamente imagens faciais ou dados dactiloscópicos.

37

(38)  
  «Dados relativos à saúde», dados pessoais relativos à saúde física ou mental de uma pessoa singular, incluindo a prestação de serviços de saúde, que revelem informações sobre o seu estado de saúde.

38

(39)  
  «Dados genéticos», os dados pessoais relativos às características genéticas, hereditárias ou adquiridas, de uma pessoa singular que deem informações únicas sobre a fisiologia ou a saúde dessa pessoa singular e que resultem designadamente de uma análise de uma amostra biológica proveniente da pessoa singular em causa.

39

(40)  Nos termos do artigo 6.o, n.o 1 do RGPD do Reino Unido, o tratamento só é lícito se e na medida em que: a) o titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas; b) o tratamento for necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré-contratuais a pedido do titular dos dados; c) o tratamento for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito; d) o tratamento for necessário para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular; e) o tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento; ou f) o tratamento for necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for uma criança.

40

o

o

(41)  
  Schedule 1, n.os 38-40, do DPA 2018.

41

Schedule 1

os

(42)  No artigo 13.o, n.o 1, alínea f), e no artigo 14.o, n.o 1, alínea f), as referências a decisões de adequação adotadas pela Comissão foram substituídas por referências a instrumentos equivalentes do Reino Unido, ou seja, regulamentos de adequação ao abrigo do DPA 2018. Além disso, no artigo 14.o, n.o 5, alíneas c) e d), as referências ao direito da UE ou do Estado-Membro foram substituídas por uma referência ao direito interno [como exemplos do direito interno que podem estar abrangidos pelo artigo 14.o, n.o 5, alínea c), o Reino Unido referiu a section 7 do Scrap Metal Dealers Act 2013 (Lei de 2013 relativa aos Comerciantes de Sucata Metálica), que prevê regras para o registo das licenças de sucata metálica, ou a parte 35 do Companies Act 2006 (Lei das Sociedades de 2006), que prevê as regras para o registo das sociedades. Da mesma forma, um exemplo de direito interno que poderá ser abrangido pelo artigo 14.o, n.o 5, alínea d), pode incluir legislação que estabeleça regras em matéria de confidencialidade profissional, ou obrigações refletidas nos contratos de trabalho ou o dever de confidencialidade do direito comum (como dados pessoais tratados por profissionais de saúde, recursos humanos, assistentes sociais, etc.)].

42

o

o

o

o

o

o

o

o

section 7

Scrap Metal Dealers Act 2013

Companies Act 2006

o

o

(43)  No artigo 17.o, n.o 1, alínea e), e no artigo 17.o, n.o 3, alínea b), as referências ao direito da UE ou de um Estado-Membro foram substituídas por uma referência ao direito interno [como exemplos do direito interno ao abrigo do artigo 17.o, n.o 1, alínea e), o Reino Unido referiu os Education (Pupil Information) (England) Regulations 2006 (Regulamentos de 2006 relativos à Educação (informações dos alunos) (Inglaterra), que exigem que os nomes dos alunos sejam apagados dos registos escolares depois de terem deixado a escola, ou o Medical Act 1983 (Lei Médica de 1983), section 34F, que estabelece as regras para a remoção de nomes do General Practitioner Register (Registo de Médicos de Clínica Geral) e do Specialist Register (Registo de Especialistas)].

43

o

o

o

o

o

o

Education (Pupil Information) (England) Regulations 2006

Medical Act 1983

section 34F

General Practitioner Register

Specialist Register

(44)  O projeto de código de boas práticas pode ser encontrado na seguinte ligação: https://ico.org.uk/media/about-the-ico/consultations/2616882/direct-marketing-code-draft-guidance.pdf

44

(45)  
  Explanatory Framework for Adequacy Discussions, Section E: Restrictions (Enquadramento explicativo do Reino Unido para discussões de adequação, secção E: limitações), p. 1, disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872232/E_-_Narrative_on_Restrictions.pdf

45

Explanatory Framework for Adequacy Discussions, Section E: Restrictions

(46)  
  Open Rights Group & Anor, R (On the Application Of)/Secretary of State for the Home Department & Anor [2019] EWHC 2562 (Admin), n.os 40 e 41.

46

Open Rights Group & Anor, R (On the Application Of)/Secretary of State for the Home Department & Anor

os

(47)  
  Guriev/Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), n.o 43. Ver também Lin/Commissioner of Police for the Metropolis [2015] EWHC 2484 (QB), n.o 80.

47

Guriev/Community Safety Development (United Kingdom) Ltd

o

Lin/Commissioner of Police for the Metropolis

o

(48)  
  Schedule 2, n.o 2, do DPA 2018.

48

Schedule 2

o

(49)  
  Schedule 2, n.o 19, do DPA 2018.

49

Schedule 2

o

(50)  
  Schedule 2, n.o 20, do DPA 2018.

50

Schedule 2

o

(51)  
  Schedule 2, n.o 21, do DPA 2018.

51

Schedule 2

o

(52)  Por exemplo, as limitações ao direito à notificação de uma violação de dados só são permitidas no que respeita à criminalidade e à tributação (schedule 2, n.o 2, do DPA 2018), ao privilégio parlamentar (schedule 2, n.o 13, do DPA 2018), e ao tratamento para fins jornalísticos, académicos, artísticos e literários (schedule 2, n.o 26, do DPA 2018).

52

schedule 2

o

schedule 2

o

schedule 2

o

(53)  
  Schedule 2, n.o 2, do DPA 2018.

53

Schedule 2

o

(54)  
  R (Lord)/Secretary of State for the Home Department [2003] EWHC 2073 (Admin), n.o 100, e Guriev/Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), n.o 43.

54

R (Lord)/Secretary of State for the Home Department

o

Guriev/Community Safety Development (United Kingdom) Ltd

o

(55)  
  Open Rights Group & Anor, R (On the Application Of)/Secretary of State for the Home Department & Anor, n.o 31.

55

Open Rights Group & Anor, R (On the Application Of)/Secretary of State for the Home Department & Anor,

o

(56)  De acordo com as informações fornecidas pelas autoridades do Reino Unido, quando o tratamento se insere no contexto da segurança nacional, os responsáveis pelo tratamento aplicarão normalmente garantias e medidas de segurança reforçadas ao tratamento, que reflitam a natureza sensível do mesmo. As garantias adequadas a aplicar dependerão dos riscos colocados pelo tratamento a efetuar. Poderão incluir limitações ao acesso aos dados para que apenas as pessoas que possuam autorizações de segurança adequadas tenham acesso aos mesmos, limitações rigorosas à partilha dos dados, e o elevado nível de segurança aplicado aos procedimentos de conservação e tratamento.

56

(57)  Ver também Guriev/Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), n.o 45; Lin/Commissioner of the Police for the Metropolis [2015] EWHC 2484 (QB), n.o 80.

57

Guriev/Community Safety Development (United Kingdom) Ltd

o

Lin/Commissioner of the Police for the Metropolis

o

(58)  Ver as orientações do ICO sobre a exceção relativa à defesa e à segurança nacional, disponíveis na seguinte ligação: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/national-security-and-defence/

58

(59)  De acordo com um exemplo fornecido pelas autoridades do Reino Unido, se um suspeito de terrorismo sob investigação ativa do MI5 tivesse apresentado um pedido de acesso ao Ministério da Administração Interna (por exemplo, por estar envolvido num litígio com o Ministério da Administração Interna sobre questões de imigração), seria necessário proteger da divulgação ao titular dos dados quaisquer dados que o MI5 pudesse ter partilhado com o Ministério da Administração Interna relativos a investigações em curso que pudessem prejudicar fontes sensíveis, métodos ou técnicas e/ou levar a um aumento da ameaça colocada pela pessoa. Nessas circunstâncias, é provável que o limiar para aplicar a isenção da section 26 tivesse sido atingido e seria necessária uma isenção da divulgação das informações para salvaguardar a segurança nacional. No entanto, se o Ministério da Administração Interna também dispusesse de dados pessoais sobre a pessoa que não estivessem relacionados com a investigação do MI5, e se a informação pudesse ser fornecida sem risco de danos para a segurança nacional, então a isenção relativa à segurança nacional não seria aplicável na consideração da divulgação de informações à pessoa. O ICO está a elaborar orientações sobre como os responsáveis pelo tratamento devem abordar a utilização da isenção constante da section 26, que deverão ser publicadas até ao final de março de 2021.

59

section 26

section 26

(60)  O Information Tribunal foi criado para apreciar os recursos em matéria de proteção de dados ao abrigo do Data Protection Act 1984. Em 2010, passou a fazer parte da General Regulatory Chamber (secção de regulação geral) do First-tier Tribunal (tribunal de primeira instância), como parte da reforma da estrutura do sistema de tribunais do Reino Unido.

60

Information Tribunal

Data Protection Act 1984

General Regulatory Chamber

First-tier Tribunal

(61)  Ver Baker/Secretary of State for the Home Department [2001] UKIT NSA2 («
  Baker/Secretary of State»).

61

Baker/Secretary of State for the Home Department

Baker/Secretary of State»).

(62)  Ver o artigo 85.o do RGPD do Reino Unido e o schedule 2, parte 5, n.o 26, ponto 9, do DPA 2018.

62

o

schedule 2

o

(63)  De acordo com o schedule 2, parte 5, n.o 26, ponto 2, do DPA 2018, a exceção aplica-se ao tratamento de dados pessoais efetuado para fins especiais (jornalísticos, académicos, artísticos e literários), se efetuado com vista à publicação de material jornalístico, académico, artístico ou literário, e se o responsável pelo tratamento estiver razoavelmente convicto de que a publicação desse material seria de interesse público. Ao determinar se uma publicação seria do interesse público, o responsável pelo tratamento tem de ter em conta a importância especial do interesse público na liberdade de expressão e de informação. Deve também ter em consideração os códigos de boas práticas ou as orientações pertinentes para a publicação em questão [as orientações editoriais da BBC (BBC Editorial Guidelines), o código de radiodifusão da Ofcom (Ofcom Broadcasting Code), e o código de boas práticas dos editores (Editors’ Code of Practice)]. Além disso, para que uma isenção seja aplicável, o responsável pelo tratamento tem de estar razoavelmente convicto de que o cumprimento da disposição aplicável seria incompatível com os fins especiais (schedule 2, n.o 26, ponto 3, do DPA 2018).

63

schedule 2

o

BBC Editorial Guidelines

Ofcom Broadcasting Code

Editors’ Code of Practice

schedule 2

o

(64)  O acórdão no processo NT1/Google [2018] EWHC 799 (QB), n.o 102, abordou uma discussão sobre se o responsável pelo tratamento de dados tinha uma convicção razoável de que a publicação era do interesse público, e de que o cumprimento das disposições aplicáveis era incompatível com os fins especiais. O tribunal observou que as sections 32(1) (b) e (c) do Data Protection Act 1998 tinham um elemento subjetivo e um elemento objetivo: o responsável pelo tratamento tinha de estabelecer a sua convicção de que a publicação seria do interesse público, e que tal convicção era objetivamente razoável; tinha também de estabelecer uma convicção subjetiva de que o cumprimento da disposição relativamente à qual procurava a isenção seria incompatível com a finalidade especial em causa.

64

NT1/Google

o

sections 32(1) (b)

(c)

Data Protection Act 1998

(65)  Um exemplo de como é aplicado o critério da «convicção razoável» está incluído na decisão do ICO de multar a True Visions Productions, que foi tomada ao abrigo do Data Protection Act 1998. O ICO aceitou que o responsável pelo controlo dos meios de comunicação social tinha uma convicção subjetiva de que o cumprimento do primeiro princípio da proteção de dados (lealdade e licitude) era incompatível com os fins jornalísticos. No entanto, não aceitou que tal convicção era objetivamente razoável. A decisão do ICO pode ser consultada na seguinte ligação: https://ico.org.uk/media/action-weve-taken/mpns/2614746/true-visions-productions-20190408.pdf

65

Data Protection Act 1998

(66)  De acordo com as orientações, as organizações têm de conseguir explicar por que razão o cumprimento da disposição aplicável do Data Protection Act 1998 é incompatível com os fins do jornalismo. Em particular, os responsáveis pelo tratamento têm de equilibrar o efeito prejudicial que o cumprimento teria no jornalismo com o efeito prejudicial que o incumprimento teria nos direitos do titular dos dados. Se um jornalista conseguir, razoavelmente, atingir os seus objetivos editoriais de uma forma que esteja em conformidade com as disposições normalizadas do DPA, tem de o fazer. As organizações têm de conseguir justificar a sua utilização da limitação relativamente a cada disposição que não tenham cumprido. Data protection and journalism: a guide for the media (Proteção de dados e jornalismo: um guia para os meios de comunicação social), disponível na seguinte ligação: https://ico.org.uk/media/for-organisations/documents/1552/data-protection-and-journalism-media-guidance.pdf

66

Data Protection Act 1998

Data protection and journalism: a guide for the media

(67)  Exemplos do interesse público incluiriam revelar ou detetar crimes, proteger a saúde pública ou a segurança, expor declarações enganosas feitas por indivíduos ou organizações ou revelar incompetência que afete o público. Ver o guia da OFCOM, disponível na seguinte ligação: https://www.ofcom.org.uk/__data/assets/pdf_file/0017/132083/Broadcast-Code-Section-8.pdf, e as orientações editoriais da BBC, disponíveis na seguinte ligação: https://www.bbc.com/editorialguidelines/guidelines/privacy

67

(68)  Ver o artigo 89.o do RGPD do Reino Unido e o schedule 2, parte 6, n.o 27, ponto 2, e n.o 28, ponto 2, do DPA 2018.

68

o

schedule 2

o

o

(69)  Sujeito à obrigação de os dados pessoais serem tratados nos termos do artigo 89.o, n.o 1, do RGPD do Reino Unido, conforme completado pela section 19 do DPA 2018.

69

o

o

section 19

(70)  Ver os considerandos 281 a 287.

70

(71)  Com a exceção do artigo 48.o do Regulamento (UE) 2016/679, que o Reino Unido decidiu não incluir no RGPD do Reino Unido. A este respeito, em primeiro lugar importa recordar que a norma a considerar como proporcionando um nível de proteção adequado é uma norma de «equivalência essencial» e não de identidade, conforme clarificado pelo TJUE (Schrems I, n.os 73 e 74) e reconhecido pelo CEPD (documento de referência relativo à adequação, p. 3). Por conseguinte, conforme explicado pelo CEPD no seu documento de referência relativo à adequação, «o objetivo não é imitar ponto por ponto a legislação europeia, mas sim estabelecer o essencial — os principais requisitos dessa legislação». A este respeito, importa notar que, embora a ordem jurídica do Reino Unido não inclua formalmente uma disposição idêntica ao artigo 48.o, o mesmo efeito é garantido por outras disposições e princípios jurídicos, ou seja, que, em resposta a um pedido de dados pessoais apresentado por um tribunal ou por uma autoridade administrativa de um país terceiro, os dados pessoais só podem ser transferidos para esse país terceiro se existir um acordo internacional em vigor — com base no qual a decisão judicial ou administrativa do país terceiro em questão é reconhecida ou executada no Reino Unido — ou se a transferência se basear num dos mecanismos de transferência previstos no capítulo V do RGPD do Reino Unido. Mais especificamente, de modo a executar uma sentença estrangeira, os tribunais do Reino Unido devem ser capazes de nomear um direito comum ou um estatuto que permita a sua executividade. Todavia, nem o direito comum (ver Adams and Others/Cape Industries Plc., [1990] 2 W.L.R. 657) nem os estatutos garantem a execução das sentenças estrangeiras que exigem a transferência de dados sem a existência de um acordo internacional. Consequentemente, os pedidos de dados não são executáveis ao abrigo do direito do Reino Unido, na ausência de tal acordo internacional. Além disso, qualquer transferência de dados pessoais para países terceiros — incluindo a pedido de um tribunal estrangeiro ou de uma autoridade administrativa estrangeira — permanece sujeita às restrições estabelecidas no capítulo V do RGPD do Reino Unido, que são idênticas às disposições correspondentes do Regulamento (UE) 2016/679, e, por conseguinte, necessitam de recorrer a um dos motivos de transferência previstos no capítulo V, em conformidade com as condições específicas a que estão sujeitas ao abrigo desse capítulo.

71

o

os

o

Adams and Others

Cape Industries Plc.

(72)  As autoridades do Reino Unido explicaram que a descrição de um país ou de uma organização internacional diz respeito a uma situação em que seria necessário realizar uma determinação específica e parcial da adequação com restrições orientadas (por exemplo, regulamentos de adequação relativos apenas a determinados tipos de transferências de dados).

72

(73)  Ver o memorando de entendimento entre o ministro da tutela do Ministério dos Assuntos Digitais, da Cultura, dos Meios de Comunicação e do Desporto e o Gabinete do Comissário para a Informação sobre o papel do ICO em relação à nova avaliação da adequação do Reino Unido, disponível na seguinte ligação: https://www.gov.uk/government/publications/memorandum-of-understanding-mou-on-the-role-of-the-ico-in-relation-to-new-uk-adequacy-assessments

73

(74)  Se esse voto for aprovado, em última instância, os regulamentos deixarão de ter efeito jurídico.

74

(75)  O RGPD do Reino Unido mantém as regras previstas no artigo 47.o do Regulamento (UE) 2016/679 sujeitas apenas a modificações para enquadrarem as regras no contexto nacional, por exemplo, substituindo as referências à autoridade de controlo competente pelo comissário para a informação, eliminando a referência ao procedimento de controlo da coerência previsto no n.o 1 e eliminando todo o n.o 3.

75

o

o

o

(76)  Nos termos do artigo 49.o do RGPD do Reino Unido, as transferências podem ser efetuadas se for cumprida uma das seguintes condições: a) o titular dos dados tiver explicitamente dado o seu consentimento à transferência prevista, após ter sido informado dos possíveis riscos de tais transferências para si próprio devido à falta de uma decisão de adequação e das garantias adequadas; b) a transferência for necessária para a execução de um contrato entre o titular dos dados e o responsável pelo tratamento ou de diligências prévias à formação do contrato decididas a pedido do titular dos dados; c) a transferência for necessária para a celebração ou execução de um contrato, celebrado no interesse do titular dos dados, entre o responsável pelo seu tratamento e outra pessoa singular ou coletiva; d) a transferência for necessária por importantes razões de interesse público; e) a transferência for necessária à declaração, ao exercício ou à defesa de um direito num processo judicial; f) a transferência for necessária para proteger interesses vitais do titular dos dados ou de outras pessoas, se esse titular estiver física ou legalmente incapaz de dar o seu consentimento; d) a transferência for realizada a partir de um registo que, nos termos do direito nacional, se destine a informar o público e se encontre aberto à consulta do público em geral ou de qualquer pessoa que possa provar nela ter um interesse legítimo, mas apenas na medida em que as condições de consulta estabelecidas no direito nacional se encontrem preenchidas nesse caso concreto. Além disso, caso não se aplique nenhuma das condições supramencionadas, uma transferência só pode ser efetuada se não for repetitiva, apenas disser respeito a um número limitado de titulares de dados, for necessária para efeitos de interesses legítimos visados pelo responsável pelo seu tratamento, desde que a tais interesses não se sobreponham os interesses ou os direitos e liberdades do titular dos dados, e o responsável pelo tratamento tiver ponderado todas as circunstâncias relativas à transferência de dados e, com base nessa avaliação, tiver apresentado garantias adequadas no que respeita à proteção de dados pessoais.

76

o

(77)  O considerando 111 do RGPD do Reino Unido especifica que as transferências relativas a um contrato ou a um contencioso judicial só podem ser efetuadas se forem ocasionais.

77

(78)  Orientações do ICO sobre transferências internacionais, disponível na seguinte ligação: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-transfers/#ib7

78

(79)  Durante um período de, no máximo, seis meses, que termina o mais tardar em 30 de junho de 2021, a aplicabilidade deste quadro novo deve ser lida à luz do artigo 782.o do Acordo de Comércio e Cooperação entre a União Europeia e a Comunidade Europeia da Energia Atómica, por Um Lado, e o Reino Unido da Grã-Bretanha e da Irlanda do Norte, por Outro (JO L 444 de 31.12.2020, p. 14) («Acordo de Comércio e Cooperação UE-RU»), disponível na seguinte ligação: https://eur-lex.europa.eu/legal-content/PT/TXT/PDF/?uri=CELEX:22020A1231(01)&from=EN

79

o

(80)  Se necessário, estas referências são substituídas por referências às autoridades do Reino Unido. Por exemplo, nos termos da section 17 do DPA 2018, o comissário para a informação ou o organismo nacional de acreditação do Reino Unido pode acreditar uma pessoa que reúna os requisitos estabelecidos no artigo 43.o do RGPD do Reino Unido para que esta supervisione o cumprimento de uma certificação.

80

section 17

o

(81)  
  Information Commissioner’s Annual Report and Financial Statements 2019-2020 (Relatório anual e demonstrações financeiras do comissário para a informação), disponível na seguinte ligação: https://ico.org.uk/media/about-the-ico/documents/2618021/annual-report-2019-20-v83-certified.pdf

81

Information Commissioner’s Annual Report and Financial Statements 2019-2020

(82)  Um acordo de gestão regula a relação entre os dois. Em particular, as responsabilidades principais do Ministério dos Assuntos Digitais, da Cultura, dos Meios de Comunicação e do Desporto, enquanto departamento patrocinador, incluem: garantir que o comissário para a informação recebe financiamento e os recursos adequados; representar os interesses do comissário para a informação junto do parlamento e de outros departamentos governamentais; garantir a existência de um quadro nacional de proteção de dados sólido; e prestar orientações e apoio ao Gabinete do Comissário para a Informação em questões empresariais, como mercado imobiliário, locações e aquisições (Acordo de Gestão para 2018-2021, disponível na seguinte ligação: https://ico.org.uk/media/about-the-ico/documents/2259800/management-agreement-2018-2021.pdf)

82

(83)  
  Governance Code on Public Appointments (código para a governação das nomeações públicas), disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/578498/governance_code_on_public_appointments_16_12_2016.pdf

83

Governance Code on Public Appointments

(84)  
  Second Report of Session 2015-2016 (Segundo relatório da sessão de 2015-2016) da Culture, Media and Sports Committee (comissão para a cultura, os meios de comunicação e o desporto) da Câmara dos Comuns, disponível na seguinte ligação: https://publications.parliament.uk/pa/cm201516/cmselect/cmcumeds/990/990.pdf

84

Second Report of Session 2015-2016

Culture, Media and Sports Committee

(85)  Um «comunicado» é uma moção apresentada ao parlamento que procura informar a monarca dos pareceres do parlamento numa determinada questão.

85

(86)  
  Schedule 12, n.o 3, ponto 3, do DPA 2018.

86

Schedule 12

o

(87)  
  Section 137 do DPA 2018, ver considerando 17.

87

Section 137

(88)  As sections 137 e 138 do DPA 2018 incluem uma série de garantias para assegurar a fixação correta das taxas. Em particular, a section 137(4) enumera as matérias que o ministro da tutela deve ter em conta ao criar regulamentos que especificam o montante que as diferentes organizações devem pagar; Em segundo lugar, a section 138(1) e a section 182 do DPA 2018 também incluem uma obrigação legal que exige que o ministro da tutela consulte o comissário para a informação e outros representantes das pessoas que são suscetíveis de serem afetadas pelos regulamentos, antes da respetiva criação, de modo a ter em conta os seus pontos de vista. Além disso, nos termos da section 138(2) do DPA 2018, o comissário para a informação é obrigado a manter o trabalho do Charges Regulations (Regulamentos relativos às Taxas) sob análise e pode apresentar propostas ao ministro da tutela para que sejam efetuadas alterações nos regulamentos. Por último, exceto nos casos em que os regulamentos são criados simplesmente para ter em conta um aumento do índice do preço de retalho (sendo que, nesse caso, serão sujeitos ao procedimento de resolução negativa), os regulamentos estão sujeitos ao procedimento de resolução afirmativa e não podem ser criados até terem sido aprovados por resolução por cada uma das câmaras do parlamento.

88

sections 137

138

section 137(4)

section 138(1)

section 182

section 138(2)

Charges Regulations

(89)  O Acordo de Gestão esclareceu que «[o] ministro da tutela pode efetuar pagamentos ao comissário para a informação com o dinheiro disponibilizado pelo parlamento, nos termos do schedule 12, n.o 9, do DPA 2018. Após consulta do comissário para a informação, o Ministério dos Assuntos Digitais, da Cultura, dos Meios de Comunicação e do Desporto irá pagar-lhe os montantes adequados (a subvenção de Estado) para os custos administrativos do ICO e o exercício das funções do comissário para a informação relativas a uma série de funções específicas, incluindo a liberdade de informação» (Acordo de Gestão para 2018-2021, secção 1.12, ver a nota de rodapé 82).

89

schedule 12

o

(90)  Ver a section 134 do DPA 2018.

90

section 134

(91)  
  Section 142 do DPA 2018 (sujeita às restrições previstas na section 143 do DPA 2018).

91

Section 142

section 143

(92)  
  Section 146 do DPA 2018 (sujeita às restrições previstas na section 147 do DPA 2018).

92

Section 146

section 147

(93)  
  Sections 149 a 151 do DPA 2018 (sujeitas às restrições previstas na section 152 do DPA 2018).

93

Sections 149

151

section 152

(94)  
  Section 155 do DPA 2018 e artigo 83.o do RGPD do Reino Unido.

94

Section 155

o

(95)  Tal decorre da section 155(1) do DPA 2018, em conjugação com a section 149(2) e (5) do DPA 2018, e da section 156(4) do DPA 2018, que limitam a emissão de notificações de sanção apenas no que diz respeito aos Crown Estate Commissioners (comissários para as propriedades da Coroa) e aos responsáveis pelo tratamento para a Royal Household (família real), nos termos da section 209(4) do DPA 2018.

95

section 155(1)

section 149(2)

(5)

section 156(4)

Crown Estate Commissioners

Royal Household

section 209(4)

(96)  
  Regulatory Action Policy (política de intervenção regulamentar), disponível na seguinte ligação: https://ico.org.uk/media/about-the-ico/documents/2259467/regulatory-action-policy.pdf

96

Regulatory Action Policy

(97)  Incluindo a natureza e a gravidade da infração (tendo em conta a natureza, o âmbito ou o objetivo do tratamento de dados em causa, bem como o número de titulares de dados afetados e o nível de danos por eles sofridos), o caráter intencional ou negligente da infração, a iniciativa tomada pelo responsável pelo tratamento para atenuar os danos sofridos pelos titulares, o grau de responsabilidade do responsável pelo tratamento ou do subcontratante (tendo em conta as medidas técnicas ou organizativas por eles implementadas), quaisquer infrações pertinentes anteriormente cometidas pelo responsável pelo tratamento ou pelo subcontratante; o grau de cooperação com o comissário, as categorias específicas de dados pessoais afetadas pela infração, qualquer outro fator agravante ou atenuante aplicável às circunstâncias do caso, como os benefícios financeiros obtidos ou as perdas evitadas, direta ou indiretamente, por intermédio da infração.

97

(98)  De acordo com as informações prestadas pelas autoridades do Reino Unido, durante o período abrangido pelo relatório anual para 2019-2020 do comissário para a informação, não foi detetada qualquer infração em cerca de 25% dos casos, em cerca de 29% dos casos foi pedido ao titular dos dados que comunicasse a preocupação ao responsável pelo tratamento pela primeira vez, que aguardasse pela resposta do responsável pelo tratamento ou que continuasse um diálogo em curso com o responsável pelo tratamento, em cerca de 17% dos casos não foi detetada qualquer infração, mas foi dado um conselho ao responsável pelo tratamento, em cerca de 25% dos casos o comissário para a informação detetou uma infração e deu um conselho ao responsável pelo tratamento ou o responsável pelo tratamento foi obrigado a adotar certas medidas, em cerca de 3% dos casos foi determinado que a reclamação não se enquadrava no Regulamento (UE) 2016/679 e cerca de 1% dos casos foram encaminhados para outra autoridade de proteção de dados no âmbito do Comité Europeu para a Proteção de Dados.

98

(99)  O ICO pode dar início a essas investigações com base nas informações recebidas de diversas fontes, incluindo notificações sobre violações de dados pessoais, comunicações de outras autoridades públicas do Reino Unido ou de autoridades estrangeiras de proteção de dados e reclamações de pessoas singulares ou organizações da sociedade civil.

99

(100)  
  Information Commissioner’s Annual Report and Financial Statements 2019-2020 (ver a nota de rodapé 81).

100

Information Commissioner’s Annual Report and Financial Statements 2019-2020

(101)  De acordo com o relatório anual anterior, que abrange o período de 2018-2019, o comissário para a informação emitiu 22 notificações de sanção ao abrigo do DPA 1998 durante o período de comunicação, sendo que as coimas contabilizaram 3 010 610 GBP, incluindo duas coimas no valor de 500 000 GBP (o valor máximo permitido ao abrigo do DPA 1998). Em 2018, o comissário para a informação investigou a utilização das análises de dados para fins políticos após as revelações sobre a Cambridge Analytica. A investigação resultou num relatório sobre políticas, num conjunto de recomendações, numa coima no valor de 500 000 GBP contra o Facebook e numa notificação de execução dirigida à Aggregate IQ, uma corretora de dados canadiana, a ordenar que a empresa apagasse os dados pessoais dos cidadãos e habitantes do Reino Unido que tinha na sua posse (ver o relatório anual e demonstrações financeiras para 2018-2019 do comissário para a informação, disponível na seguinte ligação https://ico.org.uk/media/about-the-ico/documents/2615262/annual-report-201819.pdf)

101

(102)  Para obter um resumo das medidas de execução adotadas, consultar o sítio web do ICO, disponível na seguinte ligação: https://ico.org.uk/action-weve-taken/enforcement/

102

(103)  
  Section 170 do DPA 2018.

103

Section 170

(104)  
  Section 171 do DPA 2018.

104

Section 171

(105)  
  Section 119 do DPA 2018.

105

Section 119

(106)  
  Sections 144 e 148 do DPA 2018.

106

Sections 144

148

(107)  
  Section 117 do DPA 2018.

107

Section 117

(108)  O painel é responsável por fornecer orientações e formação ao poder judicial. Também trata das reclamações efetuadas pelos titulares dos dados no que diz respeito ao tratamento de dados pessoais pelos tribunais e pelas pessoas singulares no exercício de uma função jurisdicional. O painel pretende dar os meios necessários para a resolução de uma reclamação. Se o autor da reclamação estiver insatisfeito com uma decisão do painel, e tiver facultado provas adicionais, este poderá reconsiderar a sua decisão. Embora o painel não imponha sanções financeiras, caso o Painel considere que existe uma violação suficientemente grave do DPA 2018, poderá encaminhar a reclamação para o Judicial Conduct Investigation Office (JCIO), que investigará a reclamação. Caso a reclamação seja aceite, cabe ao Lorde Chanceler (Lord Chancellor) e ao presidente do sistema judiciário (ou um juiz delegado para atuar em seu nome) decidir qual a medida que deverá ser tomada contra o titular do cargo judicial. As medidas poderão ser, por ordem de gravidade: conselho formal, advertência formal e repreensão e, em última instância, exoneração do cargo. Em caso de insatisfação com a forma como a reclamação foi investigada pelo JCIO, uma pessoa singular poderá efetuar nova reclamação junto do provedor para as nomeações e as condutas judiciais (ver https://www.gov.uk/government/organisations/judicial-appointments-and-conduct-ombudsman). O provedor dispõe de poderes para solicitar ao JCIO que investigue novamente uma reclamação e pode propor que o autor da reclamação receba uma indemnização, caso tenha motivos para acreditar que este sofreu danos resultantes da administração desadequada.

108

Judicial Conduct Investigation Office

Lord Chancellor

(109)  A notificação de privacidade emitida pelo presidente do sistema judiciário e o presidente dos tribunais pode ser consultada na seguinte ligação: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

109

(110)  A notificação de privacidade emitida pelo presidente do sistema judiciário da Irlanda do Norte pode ser consultada na seguinte ligação: https://judiciaryni.uk/data-privacy

110

(111)  A notificação de privacidade emitida pelos tribunais escoceses está disponível na seguinte ligação: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

111

(112)  O juiz supervisor de dados emite orientações dirigidas ao sistema judicial e investiga violações e/ou reclamações relativas ao tratamento de dados pessoais efetuado pelos tribunais ou por pessoas singulares no exercício da sua função jurisdicional.

112

(113)  Caso a reclamação ou a violação seja considerada grave, a mesma é encaminhada para o responsável das reclamações judiciais para continuar a ser investigada, de acordo com o Code of Practice on Complaints (código de boas práticas sobre reclamações) do presidente do sistema judiciário da Irlanda do Norte. O resultado dessa reclamação pode incluir: a ausência de medidas adicionais, aconselhamento, formação ou mentoria, advertência informal, advertência formal, advertência final, restrição da prática ou encaminhamento para um tribunal. O Code of Practice on Complaints, emitido pelo presidente do sistema judiciário da Irlanda do Norte, está disponível na seguinte ligação:https://judiciaryni.uk/sites/judiciary/files/media-files/14G.%20CODE%20OF%20PRACTICE%20Judicial%20~%2028%20Feb%2013%20%28Final%29%20updated%20with%20new%20comp..__1.pdf

113

Code of Practice on Complaints

Code of Practice on Complaints

(114)  Todas as reclamações efetuadas são investigadas pelo juiz supervisor de dados e encaminhadas para o Lord President, que dispõe de poderes para emitir pareceres, advertências formais ou repreensões caso considere necessário (existem regras equivalentes para membros do tribunal, que se encontram disponíveis na seguinte ligação: https://www.judiciary.scot/docs/librariesprovider3/judiciarydocuments/complaints/complaintsaboutthejudiciaryscotlandrules2017_1d392ab6e14f6425aa0c7f48d062f5cc5.pdf?sfvrsn=5d3eb9a1_2)

114

Lord President

(115)  Artigo 77.o do RGPD do Reino Unido.

115

o

(116)  A section 166 do DPA 2018 diz respeito especificamente às seguintes situações: a) o comissário não toma as medidas adequadas para dar resposta à reclamação, b) o comissário não informa o autor da reclamação do andamento ou do resultado da reclamação antes do final do prazo de três meses que tem início quando o comissário recebeu a reclamação ou c) se a análise da reclamação efetuada pelo comissário não for concluída dentro desse prazo e se o comissário não fornecer essas informações ao autor da reclamação num prazo subsequente de três meses.

116

section 166

(117)  Artigo 78.o, n.o 2, do RGPD do Reino Unido e section 166 do DPA 2018.

117

o

o

section 166

(118)  Artigo 78.o, n.o 1, do RGPD do Reino Unido e section 162 do DPA 2018.

118

o

o

section 162

(119)  
  Section 7(1) do Human Rights Act 1998. De acordo com a section 7(7), uma pessoa é vítima de uma ação ilícita apenas se puder ser considerada vítima para efeitos do artigo 34.o da Convenção Europeia dos Direitos Humanos, caso as ações sejam intentadas junto do Tribunal Europeu dos Direitos Humanos em relação a essa ação.

119

Section 7(1)

Human Rights Act 1998

section 7(7)

o

(120)  
  Section 8(1) do Human Rights Act 1998.

120

Section 8(1)

Human Rights Act 1998

(121)  Ver Schrems II, n.os 174 a 175, e a jurisprudência referida. Ver ainda, no que diz respeito ao acesso das autoridades públicas dos Estados-Membros, processo C-623/17, Privacy International, ECLI:EU:C:2020:790, n.o 65; e Processos apensos C-511/18, C-512/18 e C-520/18 La Quadrature du Net e o. ECLI:EU:C:2020:791, n.o 175.

121

Schrems II

os

Privacy International

o

La Quadrature du Net e o.

o

(122)  Ver Schrems II, n.os 176 e 181, bem como a jurisprudência referida. Ver ainda, no que diz respeito ao acesso das autoridades públicas dos Estados-Membros, Privacy International, n.o 68; e La Quadrature du Net e o., n.o 132.

122

Schrems II

os

Privacy International

o

La Quadrature du Net e o.

o

(123)  Ver Schrems II, n.o 176. Ver ainda, no que diz respeito ao acesso das autoridades públicas dos Estados-Membros, Privacy International, n.o 68; e La Quadrature du Net e o., n.o 132.

123

Schrems II

o

Privacy International

o

La Quadrature du Net e o.

o

(124)  Ver Schrems II, n.o 179.

124

Schrems II

o

(125)  Ver Schrems II, n.os 181 a 182.

125

Schrems II

os

(126)  Ver Schrems I, n.o 95, e Schrems II, n.o 194. A esse respeito, o TJUE salientou que a observância do artigo 47.o da Carta dos Direitos Fundamentais, que garante o direito à ação por um tribunal independente e imparcial, «faz parte do nível de proteção exigido na União [e] deve ser constatada pela Comissão antes de adotar uma decisão de adequação ao abrigo do artigo 45.o, n.o 1, do Regulamento (UE) 2016/679» (Schrems II, n.o 186).

126

Schrems I

o

Schrems II

o

o

o

o

Schrems II

o

(127)  
  Section 6 do Human Rights Act 1998.

127

Section 6

Human Rights Act 1998

(128)  Tribunal Europeu dos Direitos Humanos, Klass e o./Alemanha, processo n.o 5029/71, n.os 17 a 51.

128

Klass e o./Alemanha

o

os

(129)  Tribunal Europeu dos Direitos Humanos, Kennedy/Reino Unido, processo n.o 26839/05, («Kennedy»), n.os 167 e 190.

129

Kennedy/Reino Unido

o

os

(130)  Para obter mais informações sobre a Convenção Europeia dos Direitos Humanos e a sua integração no direito do Reino Unido através do Human Rights Act 1998, bem como na Convenção 108, ver o considerando 9 acima.

130

Human Rights Act 1998

(131)  De igual forma, nos termos do artigo 11.o da Convenção 108+, as restrições de determinados direitos e obrigações específicos da Convenção para efeitos de segurança nacional ou de prevenção, investigação e repressão de infrações penais e da execução de sanções penais apenas são permitidas quando tal restrição está prevista por lei, respeita a essência dos direitos e liberdades fundamentais e constitui uma medida necessária e proporcionada numa sociedade democrática. As atividades de tratamento para efeitos de segurança nacional e defesa também devem estar sujeitas a uma análise e supervisão eficazes e independentes ao abrigo da legislação interna da respetiva Parte da Convenção

131

o

(132)  
  Section 31 do DPA 2018.

132

Section 31

(133)  As autoridades competentes constantes do schedule 7 incluem não só forças policiais, mas também todos os ministérios do Governo do Reino Unido, bem como outras autoridades com funções de investigação [por exemplo, o Comissário para o Her Majesty’s Revenue and Customs (serviço real de fiscalidade e alfândegas do Reino Unido), a National Crime Agency, a Welsh Revenue Authority (autoridade fiscal do País de Gales), a Competition and Markets Authority (autoridade para a concorrência e os mercados) ou o Her Majesty’s Land Register (registo predial)], agências de ação penal, outras agências de justiça penal e outros titulares ou organizações que realizam atividades de aplicação da lei (entre esses, o schedule 7 do DPA 2018 enuncia os diretores do Ministério Público, o diretor do Ministério Público da Irlanda do Norte e o comissário para a informação).

133

schedule 7

Her Majesty’s Revenue and Customs

National Crime Agency

Welsh Revenue Authority

Competition and Markets Authority

Her Majesty’s Land Register

schedule 7

(134)  
  Section 30(2) do DPA 2018.

134

Section 30(2)

(135)  
  Section 35 do DPA 2018.

135

Section 35

(136)  
  Section 36 do DPA 2018.

136

Section 36

(137)  
  Section 37 do DPA 2018.

137

Section 37

(138)  
  Section 38 do DPA 2018.

138

Section 38

(139)  
  Section 39 do DPA 2018.

139

Section 39

(140)  
  Section 40 do DPA 2018.

140

Section 40

(141)  
  Section 44 do DPA 2018.

141

Section 44

(142)  
  Section 45 do DPA 2018.

142

Section 45

(143)  
  Sections 46 e 47 do DPA 2018.

143

Sections 46

47

(144)  
  Sections 49 e 50 do DPA 2018.

144

Sections 49

50

(145)  
  Sections 56 a 65 do DPA 2018.

145

Sections 56

65

(146)  
  Section 66 do DPA 2018.

146

Section 66

(147)  
  Sections 67 e 68 do DPA 2018.

147

Sections 67

68

(148)  
  Sections 69 a 71 do DPA 2018.

148

Sections 69

71

(149)  
  Sections 67 e 68 do DPA 2018.

149

Sections 67

68

(150)  Parte 3, capítulo 5, do DPA 2018.

150

(151)  Ao abrigo da section 86(6) do DPA 2018, para determinar a lealdade e a transparência do tratamento, o método para a sua obtenção deve ser tido em consideração. Neste sentido, o requisito de lealdade e transparência é conseguido se os dados forem obtidos de uma pessoa que tenha uma autorização lícita ou que seja obrigada a fornecê-los.

151

section 86(6)

(152)  Ao abrigo da section 87 do DPA 2018, as finalidades do tratamento devem ser determinadas, explícitas e legítimas. Os dados não devem ser tratados de uma forma incompatível com as finalidades para as quais foram recolhidos. Ao abrigo da section 87(3) do DPA 2018, só pode ser permitido um tratamento de dados pessoais compatível se o responsável pelo tratamento estiver autorizado por lei a tratar os dados para essa finalidade e o tratamento for necessário e proporcional a essa outra finalidade. As operações de tratamento para fins de arquivo de interesse público, para fins de investigação científica ou histórica ou para fins estatísticos, deverão ser consideradas tratamento compatível e estão sujeitas a garantias adequadas [section 87(4) do DPA 2018].

152

section 87

section 87(3)

section 87(4)

(153)  Os dados pessoais devem ser adequados, relevantes e não excessivos (section 88 do DPA 2018).

153

section 88

(154)  Os dados pessoais devem ser precisos e atualizados (section 89 do DPA 2018).

154

section 89

(155)  Os dados pessoais devem ser conservados apenas durante o período necessário (section 90 do DPA 2018).

155

section 90

(156)  O sexto princípio de proteção de dados é que os dados pessoais devem ser tratados de uma forma que inclua a tomada de medidas de segurança adequadas no que diz respeito aos riscos decorrentes do tratamento de dados pessoais. Os riscos incluem (entre outros) acesso acidental ou não autorizado aos dados pessoais ou a respetiva destruição, perda, utilização, modificação ou divulgação (section 91 do DPA 2018). A section 107 exige igualmente que 1) cada responsável pelo tratamento aplique as medidas de segurança adequadas para atenuar os riscos decorrentes do tratamento de dados pessoais e 2) em caso de tratamento automatizado, cada responsável pelo tratamento e subcontratante aplique medidas preventivas ou de atenuação com base numa avaliação do risco.

156

section 91

section 107

(157)  
  Section 86(2)(b) e schedule 10 do DPA 2018.

157

Section 86(2)(b)

schedule 10

(158)  Parte 4, capítulo 3, do DPA 2018, nomeadamente os direitos: de acesso, de retificação e apagamento, de se opor ao tratamento e de não ficar sujeito a nenhuma decisão tomada exclusivamente com base no tratamento automatizado, de intervir numa decisão tomada com base no tratamento automatizado e de ser informado de uma decisão tomada com base no tratamento automatizado. Além disso, o responsável pelo tratamento deve informar o titular dos dados do tratamento dos seus dados pessoais. Conforme explicado nas orientações do ICO sobre o tratamento efetuado pelos serviços de informações, as pessoas singulares podem exercer todos os seus direitos (incluindo um pedido de retificação) ao apresentar reclamação ao ICO ou interpondo uma ação em tribunal (ver as orientações do ICO para o tratamento efetuado pelos serviços de informações, disponível na seguinte ligação: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-intelligence-services-processing/).

158

(159)  
  Section 103 do DPA 2018.

159

Section 103

(160)  
  Section 109 do DPA 2018. É possível efetuar transferências de dados pessoais para organizações internacionais ou países fora do Reino Unido caso estas constituam uma medida necessária e proporcionada para efeitos das funções legais do responsável pelo tratamento ou para outras finalidades previstas em secções específicas do Security Service Act 1989 (Lei de 1989 relativa ao Serviço de Segurança) e do Intelligence Services Act 1994.

160

Section 109

Security Service Act 1989

Intelligence Services Act 1994

(161)  Orientações do ICO, ver a nota de rodapé 158.

161

Section 30 do DPA 2018 e schedule 7 do DPA 2018.

Section 30

schedule 7

(162)  A section 110(2) do DPA 2018 enumera as disposições em que é permitida uma isenção. Inclui os princípios de proteção de dados (à exceção do princípio da licitude), os direitos dos titulares dos dados, a obrigação de informar o comissário para a informação sobre uma violação de dados, os poderes de inspeção do comissário para a informação de acordo com as obrigações internacionais, os poderes de execução do comissário para a informação, as disposições que tornam determinadas violações da proteção de dados uma infração penal e as disposições relativas a fins de tratamento especiais, como fins jornalísticos e fins de expressão académica ou artística.

162

section 110(2)

(163)  Ver Baker/Secretary of State, ver a nota de rodapé 61.

163

Baker/Secretary of State

(164)  
  Explanatory Framework for Adequacy Discussions, section H: National Security Data Protection and Investigatory Powers Framework, p. 15 a 16 (ver a nota de rodapé 31). Ver ainda Baker/Secretary of State (ver a nota de rodapé 61), no qual o tribunal anulou um certificado de segurança nacional emitido pelo ministro da Administração Interna e que confirma a aplicação da isenção de segurança nacional, tendo em conta que não havia motivo para criar uma isenção geral da obrigação de responder a pedidos de acesso e que, permitir essa isenção em todas as circunstâncias sem uma análise casuística, excedeu o que seria necessário e proporcionado para a proteção da segurança nacional.

164

Explanatory Framework for Adequacy Discussions, section H: National Security Data Protection and Investigatory Powers Framework

Baker/Secretary of State

(165)  Ver o memorando de entendimento entre o ICO e a UKIC, segundo o qual «[a]pós a receção de uma reclamação efetuada por um titular de dados, o ICO certificar-se-á de que a questão foi tratada corretamente e, se for caso disso, que a aplicação de eventuais isenções foi utilizada adequadamente». Memorando de entendimento entre o Gabinete do Comissário para a Informação e o UK Intelligence Community (comunidade dos serviços de informações do Reino Unido), ponto 16, disponível na seguinte ligação: https://ico.org.uk/media/about-the-ico/mou/2617438/uk-intelligence-community-ico-mou.pdf

165

UK Intelligence Community

(166)  O DPA 2018 revogou a possibilidade de emitir certificados ao abrigo da section 28(2) da Data Protection Act 1998. Todavia, continua a existir a possibilidade de emitir «certificados antigos», na medida em que existe um desafio histórico ao abrigo da lei de 1998 (ver n.o 17 da parte 5 do schedule 20 do DPA 2018). Todavia, esta possibilidade parece ser muito rara e só se aplicará em casos limitados, como, por exemplo, quando um titular dos dados contesta a utilização da isenção relativa à segurança nacional a respeito de um tratamento efetuado ao abrigo da lei de 1998 por uma autoridade pública. Importa notar que, nestes casos, a section 28 do DPA 1998 será aplicável na sua totalidade, incluindo, por conseguinte, a possibilidade de o titular dos dados contestar o certificado perante o tribunal.

166

section 28(2)

Data Protection Act 1998

o

schedule 20

section 28

(167)  Orientações do Governo do Reino Unido em matéria de certificados de segurança nacional ao abrigo do Data Protection Act 2018, disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf. De acordo com a explicação dada pelas autoridades do Reino Unido, embora um certificado seja uma prova conclusiva de que, no que diz respeito aos dados ou ao tratamento descrito no certificado, se aplica a isenção, este não exclui a obrigação de o responsável pelo tratamento realizar uma análise casuística para avaliar a necessidade de recorrer à isenção.

167

Data Protection Act 2018

(168)  De acordo com a section 130 do DPA 2018, o ICO pode decidir não publicar o texto ou parte do texto do certificado, se tal for contrário ao interesse da segurança nacional ou ao interesse público, ou for suscetível de comprometer a segurança de qualquer pessoa. Nestes casos, o ICO publicará, todavia, o facto de o certificado ter sido emitido.

168

section 130

(169)  Orientações do Governo do Reino Unido em matéria de certificados de segurança nacional, n.o 15, ver a nota de rodapé 167.

169

o

(170)  Orientações do Governo do Reino Unido em matéria de certificados de segurança nacional, n.o 5, ver a nota de rodapé 167.

170

o

(171)  Ver a nota de rodapé 164.

171

(172)  A section 102 do DPA 2018 exige que o responsável pelo tratamento demonstre que cumpriu o DPA 2018. Para tal, um serviço de informações precisaria de demonstrar ao ICO que, ao recorrer à isenção, teve em conta as circunstâncias específicas do caso. O ICO também publica um registo dos certificados de segurança nacional, que se encontra disponível na seguinte ligação: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/

172

section 102

(173)  O Upper Tribunal é o tribunal competente para apreciar os recursos contra as decisões tomadas pelos tribunais administrativos inferiores e dispõe de competências específicas para lidar com recursos diretos contra decisões tomadas por determinados organismos governamentais.

173

Upper Tribunal

(174)  
  Section 111(3) do DPA 2018.

174

Section 111(3)

(175)  
  Section 111(5) do DPA 2018.

175

Section 111(5)

(176)  Em Baker/Secretary of State (ver a nota de rodapé 61), o Information Tribunal anulou um certificado de segurança nacional emitido pelo ministro da Administração Interna, tendo em conta que não havia motivo para criar uma exceção geral da obrigação de responder a pedidos de acesso e que, permitir essa exceção em todas as circunstâncias sem uma análise casuística, excedeu o que seria necessário e proporcionado para a proteção da segurança nacional.

176

Baker/Secretary of State

Information Tribunal

(177)  Orientações do Governo do Reino Unido em matéria de certificados de segurança nacional, n.o 25, ver a nota de rodapé 167.

177

o

(178)  Tal inclui: i) os princípios de proteção de dados estabelecidos na parte 4, à exceção do requisito da licitude do tratamento previsto no primeiro princípio e a obrigatoriedade de o tratamento cumprir uma das condições relevantes estabelecidas nos schedules 9 e 10; ii) os direitos dos titulares dos dados; e iii) os deveres relativos à denúncia de violações ao ICO.

178

schedules 9

10

(179)  A parte 4 do DPA 2018 estabelece o quadro jurídico aplicável a todos os tipos de tratamento de dados pessoais efetuado pelos serviços de informações (e não apenas ao exercício das suas funções de segurança nacional). Por conseguinte, a parte 4 é igualmente aplicável quando as agências de informações tratam dados, por exemplo, para efeitos de gestão de recursos humanos, no contexto de litígios ou de contratos públicos. As restrições enunciadas no schedule 11 destinam-se principalmente a ser aplicadas nestes outros contextos. Por exemplo, no contexto de um litígio com um trabalhador, pode ser invocada a restrição para efeitos de «processos judiciais» ou, no contexto de contratos públicos, pode ser invocada a restrição para efeitos de «negociação», etc. Tal reflete-se nas orientações do ICO sobre o tratamento efetuado pelos serviços de informações, que menciona a negociação de um acordo entre um serviço de informações e um antigo trabalhador que prossegue um crédito de emprego como exemplo para a aplicação das restrições do schedule 11 (ver a nota de rodapé 161). Importa igualmente notar que as mesmas restrições estão disponíveis para outras autoridades públicas nos termos do schedule 2, parte 2, do DPA 2018.

179

schedule 11

schedule 11

schedule 2

(180)  De acordo com o Explanatory Framework do Reino Unido, as isenções que são «baseadas na categoria» são: i) informações sobre as honras e as dignidades da Coroa que são conferidas; ii) privilégio profissional legal; iii) referências contratuais, de formação ou de educação confidenciais; e iv) guiões e marcas de exames. As isenções «com base no prejuízo» dizem respeito às seguintes questões: i) prevenção ou deteção de crimes; detenção e repressão de infratores; ii) privilégio parlamentar; iii) processos judiciais; iv) a eficácia do combate das forças armadas da Coroa; v) o bem-estar económico do Reino Unido; vi) as negociações com o titular dos dados; vii) investigação científica ou histórica ou fins estatísticos; viii) arquivo de interesse público. Explanatory Framework for Adequacy Discussions, section H: National security (Secção H do quadro explicativo do Reino Unido para debates de adequação: segurança nacional), p. 13, ver a nota de rodapé 31.

180

Explanatory Framework

Explanatory Framework for Adequacy Discussions, section H: National security

(181)  A utilização do consentimento não parece relevante num cenário de adequação, uma vez que, numa situação de transferência, os dados não terão sido diretamente recolhidos de um titular de dados da UE sujeito a uma autoridade de aplicação da lei do Reino Unido com base no consentimento.

181

(182)  Para a base jurídica relevante, consultar as sections 8 e seguintes do PACE 1984 (no caso da Inglaterra e do País de Gales), as sections 10 e seguintes do Police and Criminal Evidence (Northern Ireland) Order 1989 [Ordem de 1989 sobre as Provas Policiais e Criminais (Irlanda do Norte)] e, no caso da Escócia, é obtida no direito comum (ver a section 46 do Criminal Justice (Scotland) Act 2016 [Lei de 2016 relativa à Justiça Criminal (Escócia)] e a section 23B do Criminal Law (Consolidation) (Scotland) [Direito Penal (Consolidação) (Escócia)]. Para um mandado de busca emitido após a detenção, a base jurídica é a section 18 do PACE 1984 (no caso da Inglaterra e do País de Gales), as sections 20 e seguintes do Police and Criminal Evidence Order (Northern Ireland) 1989 e, no caso da Escócia, é obtida no direito comum (ver a section 46 do Criminal Justice (Scotland) Act 2016). As autoridades do Reino Unido esclareceram que os mandados de busca são emitidos por um tribunal mediante pedido do responsável de investigação. Permitem que um responsável aceda às instalações para procurar materiais ou pessoas importantes para a sua investigação; frequentemente, para a execução do mandado, é necessária a assistência de um polícia.

182

sections 8

PACE 1984

sections 10

Police and Criminal Evidence (Northern Ireland) Order 1989

section 46

Criminal Justice (Scotland) Act 2016

section 23B

Criminal Law (Consolidation) (Scotland)

section 18

PACE 1984

sections 20

Police and Criminal Evidence Order (Northern Ireland) 1989

section 46

Criminal Justice (Scotland) Act 2016

(183)  Quando a investigação diz respeito ao branqueamento de capitais (incluindo os processos de perda e de cobrança), a base jurídica relevante para solicitar uma ordem de entrega são as sections 345 e seguintes para a Inglaterra, o País de Gales e a Irlanda do Norte e as sections 380 e seguintes do Proceeds of Crime Act 2002 (Lei de 2002 relativa aos Produtos do Crime) para a Escócia. Quando a investigação diz respeito a outras questões que não o branqueamento de capitais, a section 9 e o schedule 1 do PACE 1984 para a Inglaterra e o País de Gales e a section 10 e seguintes do Police and Criminal Evidence Order (Northern Ireland) 1989 para a Irlanda do Norte preveem um pedido de ordem de entrega. No caso da Escócia, é obtido no direito comum (ver a section 46 do Criminal Justice (Scotland) Act 2016) e a section 23B do Criminal Law (Consolidation) (Scotland). As autoridades do Reino Unido esclareceram que uma ordem de entrega exige que a pessoa especificada no mesmo entregue ou dê acesso aos materiais que se encontram na sua posse ou sobre os quais exerce controlo (ver o n.o 4 do schedule 1 do PACE 1984).

183

sections 345

sections 380

Proceeds of Crime Act 2002

section 9

schedule 1

PACE 1984

section 10

Police and Criminal Evidence Order (Northern Ireland) 1989

section 46

Criminal Justice (Scotland) Act 2016

section 23B

Criminal Law (Consolidation) (Scotland)

o

schedule 1

PACE 1984

(184)  Por exemplo, o PACE 1984 inclui poderes para apreender e guardar qualquer coisa que esteja autorizada no âmbito da busca, em conformidade com o disposto nas secções 8 e 18.

184

PACE 1984

(185)  Por exemplo, as sections 8 e 18 do PACE regulam respetivamente o poder de um julgado de paz para autorizar um mandado e de um agente da polícia para efetuar uma busca numa propriedade. No primeiro caso (section 8), antes de emitir um mandado, um julgado de paz deve, em primeiro lugar, certificar-se de que existem motivos razoáveis para acreditar que: i) foi cometido um crime grave; ii) existem materiais nas instalações suscetíveis de terem um valor importante (individualmente ou em conjunto com outros materiais) para a investigação do crime; iii) os materiais são suscetíveis de serem provas importantes; iv) não é composto por ou inclui artigos sujeitos a privilégio legal, materiais excluídos ou materiais de procedimentos especiais; e v) não seria possível conseguir a entrada sem a utilização de um mandado. No segundo caso, a section 18 permite que um agente policial realize uma busca nas instalações de uma pessoa detida por um crime grave, de modo a procurar materiais que não estejam sujeitos a privilégio legal, caso tenha motivos razoáveis para suspeitar que existem provas nas instalações relacionadas com esse crime ou com outro crime grave semelhante ou associado. Essa busca deve ser limitada a encontrar esses materiais e deve ser autorizada, por escrito, por um agente da polícia com um cargo não inferior a inspetor, a não ser que seja necessária para a investigação do crime. Nesse caso, um agente com um cargo não inferior a inspetor, deve ser informado assim que possível após a realização da busca. Os motivos para a busca e a natureza das provas devem ser registados. Além disso, as sections 15 e 16 do PACE 1984 preveem garantias legais que devem ser seguidas ao pedir um mandado de busca. A section 15 especifica os requisitos aplicáveis à obtenção de um mandado de busca (incluindo os conteúdos do pedido efetuado pelo agente da polícia e o facto de o mandado ser obrigado a especificar, entre outras coisas, a aprovação da sua emissão e identificar, dentro do possível, os artigos e as pessoas em causa e a instalações que serão objeto de uma busca). A section 16 regula a forma como uma busca autorizada por um mandado deve ser realizada [por exemplo: a section 16(5) estabelece que o responsável que executa o mandado deve dar uma cópia do mandado ao ocupante; a section 16(11) exige que o mandado, depois de executado, seja conservado durante um período de 12 meses; A section 16(12) garante o direito conferido ao ocupante de inspecionar o mandado durante esse período, caso pretenda]. Estas secções ajudam a garantir o cumprimento do artigo 8.o da CEDH (ver, por exemplo, Kent Pharmaceuticals/Director of the Serious Fraud Office [2002] EWHC 3023 (QB) a [30] por Lord Woolf CJ). Em resultado do incumprimento destas garantias, a busca pode ser declarada ilícita [os exemplos incluem R (Brook)/Preston Crown Court [2018] EWHC 2024 (Admin), [2018] ACD 95; R (Superior Import/Export Ltd)/Revenue and Customs Commissioners [2017] EWfHC 3172 (Admin), [2018] Lloyd’s Rep FC 115; e R (F)/Blackfriars Crown Court [2014] EWHC 1541 (Admin)]. As sections 15 e 16 do PACE 1984 são completadas pelo Código B do PACE, um código de boas práticas que regula o exercício dos poderes policiais para realizar buscas nas instalações.

185

sections 8

18

section 8

section 18

sections 15

16

PACE 1984

section 15

section 16

section 16(5)

section 16(11)

section 16(12)

o

Kent Pharmaceuticals/Director of the Serious Fraud Office

R (Brook)/Preston Crown Court

R (Superior Import/Export Ltd)/Revenue and Customs Commissioners

R (F)/Blackfriars Crown Court

sections 15

16

PACE 1984

(186)  Por exemplo, ao emitir uma ordem de entrega ao abrigo do Proceeds of Crime Act 2002, para além da necessidade de ter motivos razoáveis para cumprir as condições estabelecidas na section 346(2) do Proceeds of Crime Act, devem existir motivos razoáveis de que a pessoa se encontra na posse dos materiais especificados ou que exerce controlo sobre os mesmos e que os materiais são suscetíveis de terem um valor importante. Além disso, outro requisito para a emissão de uma ordem de entrega é que devem existir motivos razoáveis para acreditar que é do interesse público que os materiais sejam entregues ou que seja concedido o acesso aos mesmos, tendo em conta a) o possível benefício para a investigação em caso de obtenção dos materiais; e b) as circunstâncias em que a pessoa especificada no pedido como estando aparentemente na posse dos materiais ou a exercer controlo sobre os mesmos detém as suas informações. De igual forma, um tribunal que esteja a apreciar um pedido de uma ordem de entrega ao abrigo do schedule 1 do PACE 1984 deve certificar-se de que são cumpridas condições específicas. Em particular, o schedule 1 do PACE estabelece dois conjuntos de condições alternativos e separados, um dos quais deve ser cumprido antes que um juiz possa emitir uma ordem de entrega. O primeiro conjunto exige que o juiz tenha motivos razoáveis para acreditar i) que foi cometido um crime grave; ii) os materiais procurados nas instalações são compostos por ou incluem procedimentos especiais, mas não materiais excluídos; iii) são suscetíveis de ter um valor importante para a investigação, quer individualmente, quer em conjunto com outros materiais; iv) e são suscetíveis de ser provas importantes; v) tentou utilizar-se outros métodos para a obtenção dos materiais ou não houve essa tentativa porque o seu fracasso era seguro; e vi) depois de considerado o benefício para a investigação e as circunstâncias nas quais a pessoa singular possui esses materiais, é do interesse público que os materiais sejam entregues ou que seja concedido o acesso aos mesmos. O segundo conjunto de condições exige: i) existem materiais nas instalações compostos por materiais de procedimentos especiais ou excluídos; ii) se não fosse pela proibição das buscas realizadas com base na legislação aprovada antes do PACE em questão de materiais de procedimentos especiais, excluídos ou de privilégio legal, era possível emitir um mandado de busca para os materiais; e iii) teria sido adequado fazê-lo.

186

Proceeds of Crime Act 2002

section 346(2)

Proceeds of Crime Act

schedule 1

PACE 1984

schedule 1

(187)  O controlo jurisdicional é o procedimento jurídico que permite que as decisões de um organismo público possam ser contestadas no High Court. Os tribunais «analisam» a decisão que está a ser contestada e decidem se é possível determinar que a decisão tem falhas do ponto de vista legal, tendo em conta os conceitos/princípios do direito público. As razões principais para o controlo jurisdicional são, nomeadamente, a ilegalidade, a irracionalidade, a desadequação processual, as expetativas legítimas e os direitos humanos. Na sequência de um controlo jurisdicional correto, um tribunal pode ordenar várias vias de recurso diferentes; a via mais comum é uma ordem de anulação (que adiaria ou cancelaria a decisão original, ou seja, a decisão de emitir um mandado de busca). Em determinadas circunstâncias, isto pode ainda incluir a atribuição de uma indemnização. Para mais informações sobre o controlo jurisdicional no Reino Unido, consultar a publicação Judge Over Your Shoulder – a guide to good decision-making (Um juiz por cima do seu ombro — um guia para tomar boas decisões) do Government Legal Department, disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/746170/JOYS-OCT-2018.pdf

187

High Court

Judge Over Your Shoulder – a guide to good decision-making

Government Legal Department

(188)  
  Section 36(1) do DPA 2018 do Reino Unido.

188

Section 36(1)

(189)  
  Section 37 do DPA 2018 do Reino Unido.

189

Section 37

(190)  A section 263(1) do IPA 2016 descreve «crimes graves» como infrações que, quando cometidas por um adulto sem condenações anteriores, podem levar a uma pena de prisão de três anos ou mais ou quando a conduta envolve o recurso à violência, resulta em benefícios económicos avultados ou é realizada por um grande número de pessoas. Além disso, para efeitos da aquisição de dados de comunicações prevista na parte 4 do IPA 2016, a section 87(10B) descreve um «crime grave» como um crime que pode conduzir a uma pena de prisão de 12 meses ou mais ou uma infração cometida por alguém que não seja uma pessoa singular ou que envolve, como parte integrante da mesma, o envio de uma comunicação ou uma violação da privacidade de um indivíduo.

190

section 263(1)

section 87(10B)

(191)  As autoridades de aplicação da lei apresentadas de seguida podem solicitar um mandado de interceção direcionada: o diretor-geral da National Crime Agency, o comissário da polícia de Metropolis, o Chief Constable da polícia da Irlanda do Norte, o Chief Constable da polícia da Escócia, o comissário do departamento Her Majesty’s Revenue and Customs, o chefe do Defence Intelligence e uma pessoa que seja uma autoridade competente de um país ou território fora do Reino Unido para efeitos de um instrumento de assistência mútua da UE ou um acordo de assistência mútua internacional [section 18(1) do IPA 2016].

191

National Crime Agency

Chief Constable

Chief Constable

Her Majesty’s Revenue and Customs

Defence Intelligence

section 18(1)

(192)  Ver a section 4 do IPA 2016.

192

section 4

(193)  Ver a section 261(5) do IPA 2016 e o Code of Practice on Bulk Acquisition of Communications Data (código de prática sobre a aquisição em larga escala de dados de comunicações), disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf, secção 2.9.

193

section 261(5)

Code of Practice on Bulk Acquisition of Communications Data

(194)  
  Code of Practice on Equipment Interference, disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715479/Equipment_Interference_Code_of_Practice.pdf, ponto 2.2.

194

Code of Practice on Equipment Interference

(195)  Um mandado de assistência mútua autoriza as autoridades do Reino Unido a prestar assistência a uma autoridade fora do território do Reino Unido para efeitos de interceção e divulgação do material intercetado a essa autoridade, de acordo com um instrumento de assistência mútua internacional [section 15(4) do IPA 2016].

195

section 15(4)

(196)  O Investigatory Powers Act 2016 (consultar: https://www.legislation.gov.uk/ukpga/2016/25/contents/enacted) substituiu diferentes leis relativas à interceção das comunicações, à interferência com os equipamentos e à aquisição de dados de comunicações, em particular a parte I do RIPA 2000, que estabeleceu o quadro jurídico geral anterior para a utilização dos poderes de investigação pelas autoridades de aplicação da lei e de segurança nacional.

196

Investigatory Powers Act 2016

(197)  
  Sections 138(1), 158(1), 178(1), 199(1) do IPA 2016.

197

Sections 138(1)

158(1)

178(1)

199(1)

(198)  A parte 2, capítulo 2, do IPA 2016 estabelece um número limitado de casos em que as interceções podem ser realizadas sem um mandado. Tal inclui: a interceção com o conhecimento do remetente ou do destinatário, interceção para efeitos administrativos ou de execução, interceção realizada em determinadas instituições (prisões, hospitais psiquiátricos e centros de detenção de imigrantes), bem como interceção efetuada em conformidade com um acordo internacional pertinente.

198

(199)  Ao abrigo do IPA 2016, na maioria dos casos, a autoridade que emite os mandados é o ministro da tutela, ao passo que os ministros escoceses estão habilitados a emitir mandados de interceção direcionada, mandados de assistência mútua e mandados de interferências específicas com os equipamentos nos casos em que as pessoas ou as instalações que serão intercetadas e os equipamentos que serão alvo de interferência estão localizados na Escócia (ver as sections 22 e 103 do IPA 2016). No caso das interferências específicas com os equipamentos, um responsável de aplicação da lei (descrito na parte 1 e na parte 2 do schedule 6 do IPA 2016) pode emitir um mandado de acordo com as condições estabelecidas na section 106 do IPA 2016.

199

sections 22

103

schedule 6

section 106

(200)  Os comissários judiciais auxiliam o comissário para os poderes de investigação, um organismo independente que exerce funções de supervisão, na utilização dos poderes de investigação pelas agências de informações (para mais informações, ver o considerando 162 e seguintes).

200

(201)  Ver, em particular, as sections 19 e 23 do IPA 2016.

201

sections 19

23

(202)  
  Section 36(3) do DPA 2018.

202

Section 36(3)

(203)  
  Section 56 do Digital Economy Act 2017, disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/2017/30/section/56

203

Section 56

Digital Economy Act 2017

(204)  
  Section 48 do Digital Economy Act 2017.

204

Section 48

Digital Economy Act 2017

(205)  
  Section 7 do Crime and Courts Act 2013, disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/2013/22/section/7

205

Section 7

Crime and Courts Act 2013

(206)  
  Section 68 do Serious Crime Act 2007, disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/2007/27/contents

206

Section 68

Serious Crime Act 2007

(207)  Prática Profissional Autorizada para a partilha de informações, disponível na seguinte ligação: https://www.app.college.police.uk/app-content/information-management/sharing-police-information

207

(208)  Ver, por exemplo, o processo M, R/Chief Constable of Sussex Police [2019] EWHC 975 (Admin), no qual foi pedido ao High Court que tivesse em consideração a partilha de dados entre a polícia e uma parceria para o combate à criminalidade empresarial [ Business Crime Reduction Partnership, BCRP], uma organização habilitada para gerir regimes de notificações de exclusão, que proíbe as pessoas de entrar nas instalações comerciais dos seus membros. O tribunal analisou a partilha de dados, que estava a decorrer com base num acordo que tinha como finalidade proteger o público e prevenir a criminalidade e, em última instância, concluiu que a maioria dos aspetos da partilha de dados era lícita, à exceção de algumas informações sensíveis partilhadas entre a polícia e o BCRP. Outro exemplo é o processo Cooper/NCA [2019] EWCA Civ 16 no qual o Court of Appeal (Tribunal de Recurso) analisou a partilha de dados entre a polícia e a Serious Organised Crime Agency (SOCA), uma agência de aplicação da lei que atualmente faz parte da NCA.

208

M, R/Chief Constable of Sussex Police

High Court

Business Crime Reduction Partnership

Cooper/NCA

(209)  
  Section 36(4) do DPA 2018.

209

Section 36(4)

(210)  
  Counter Terrorism Act 2008, disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/2008/28/section/19

210

Counter Terrorism Act 2008

(211)  
  Intelligence Services Act 1994, disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/1994/13/contents

211

Intelligence Services Act 1994

(212)  
  Security Service Act 1989, disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/1989/5/contents

212

Security Service Act 1989

(213)  A section 2(2) do Intelligence Services Act 1994 (Lei de 1994 relativa aos Serviços de Informações) estabelece que «[o] diretor do serviço de informações é responsável pela eficácia desse serviço e cabe-lhe garantir — a) que existem mecanismos que garantem que o serviço de informações apenas obtém as informações estritamente necessárias ao exercício adequado das suas funções e que o serviço de informações apenas divulga as informações estritamente necessárias — i) para esse efeito; ii) no interesse da segurança nacional; iii) para efeitos de prevenção ou deteção da criminalidade grave; ou iv) para efeitos de processos penais; e b) que o serviço de informações não toma nenhuma medida para concretizar os interesses de algum partido político do Reino Unido», ao passo que a section 2(2) do Security Service Act 1989 prevê que «[o] diretor-geral é responsável pela eficácia do serviço e cabe-lhe a ele garantir — a) que existem mecanismos que garantem que o serviço de informações apenas obtém as informações estritamente necessárias ao exercício adequado das suas funções e que o serviço de informações apenas divulga as informações estritamente necessárias para esse efeito ou para efeitos de prevenção ou deteção da [criminalidade grave ou para efeitos de processos penais]; e b) que o serviço não toma nenhuma medida para concretizar os interesses de algum partido político; e c) que existem mecanismos acordados com o diretor-geral da National Crime Agency para a coordenação das atividades do serviço, nos termos da section 1(4) da presente lei, com as atividades das forças policiais, a National Crime Agency e outras agências de aplicação da lei».

213

section 2(2)

Intelligence Services Act 1994

section 2(2)

Security Service Act 1989

National Crime Agency

section 1(4)

(214)  Ver parte 3, capítulo 5, do DPA 2018.

214

(215)  
  Section 76 do DPA 2018.

215

Section 76

(216)  
  Section 54 e section 130 do IPA 2016. As autoridades emissoras devem ter em conta a necessidade de impor garantias específicas aos materiais entregues a autoridades estrangeiras, de forma a certificarem-se de que os dados estão sujeitos a garantias no que diz respeito à conservação, destruição e divulgação de dados semelhantes às impostas nas sections 53 e 129 do IPA 2016.

216

Section 54

section 130

sections 53

129

(217)  
  Agreement between the Government of the United Kingdom of Great Britain and Northern Ireland and the Government of the United States of America on Access to Electronic Data for the Purpose of Countering Serious Crime (Acordo entre o Governo do Reino Unido da Grã-Bretanha e da Irlanda do Norte e o Governo dos Estados Unidos da América relativo ao acesso aos dados eletrónicos para efeitos de combate à criminalidade grave), disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/836969/CS_USA_6.2019_Agreement_between_the_United_Kingdom_and_the_USA_on_Access_to_Electronic_Data_for_the_Purpose_of_Countering_Serious_Crime.pdf

217

Agreement between the Government of the United Kingdom of Great Britain and Northern Ireland and the Government of the United States of America on Access to Electronic Data for the Purpose of Countering Serious Crime

(218)  Este é o primeiro acordo celebrado ao abrigo do Clarifying Lawful Overseas Use of Data (CLOUD) Act (Lei relativa à Clarificação da Utilização Legítima de Dados no Estrangeiro) dos EUA. O CLOUD Act dos Estados Unidos é uma lei federal norte-americana adotada em 23 de março de 2018 que clarifica, através de uma alteração do Stored Communications Act (Lei relativa às Comunicações Armazenadas) de 1986, que os prestadores de serviços dos EUA são obrigados a cumprir as ordens dos EUA de divulgação de dados com ou sem conteúdos, independentemente do local onde esses dados estão armazenados. O CLOUD Act permite igualmente a celebração de acordos executivos com governos estrangeiros, segundo os quais os prestadores de serviços dos EUA poderiam entregar dados com conteúdos diretamente a esses governos estrangeiros (poderá consultar o texto do CLOUD Act na seguinte ligação: https://www.congress.gov/115/bills/s2383/BILLS-115s2383is.pdf).

218

Clarifying Lawful Overseas Use of Data (CLOUD) Act

CLOUD Act

Stored Communications Act

CLOUD Act

CLOUD Act

(219)  Artigo 1.o, n.o 14, do acordo.

219

o

o

(220)  Artigo 5.o, n.o 2, do acordo.

220

o

o

(221)  Artigo 5.o, n.o 1, do acordo.

221

o

o

(222)  Artigo 4.o, n.o 5, do acordo. É aplicável uma norma adicional e mais rigorosa no que diz respeito à interceção em tempo real: as ordens devem ter uma duração limitada, que não pode ser superior ao razoavelmente necessário para alcançar as finalidades da ordem, e apenas devem ser emitidas se não for possível obter a mesma informação através de um método menos intrusivo (artigo 5.o, n.o 3, do acordo).

222

o

o

o

o

(223)  Acordo entre os Estados Unidos da América e a União Europeia sobre a proteção dos dados pessoais no âmbito da prevenção, investigação, deteção e repressão de infrações penais (JO L 336 de 10.12.2016, p. 3), disponível na seguinte ligação: https://eur-lex.europa.eu/legal-content/PT/TXT/PDF/?uri=CELEX:22016A1210(01)&from=PT

223

(224)  Artigo 9.o, n.o 1, do acordo.

224

o

o

(225)  Artigo 9.o, n.o 1, do acordo.

225

o

o

(226)  
  Section 116 do DPA 2018.

226

Section 116

(227)  Ver o IPA 2016 e, em particular, a parte 8, capítulo 1.

227

(228)  
  Schedule 13, n.o 2, do DPA 2018.

228

Schedule 13

o

(229)  Ordenar que o responsável pelo tratamento e o subcontratante (e, em determinadas circunstâncias, qualquer outra pessoa) prestem as informações necessárias (section 142 do DPA 2018).

229

section 142

(230)  Permitir a realização de investigações e auditorias, o que poderá exigir que o responsável pelo tratamento ou o subcontratante autorize que o comissário entre nas instalações específicas, inspecione ou analise os documentos ou os equipamentos e entreviste as pessoas responsáveis pelo tratamento dos dados pessoais em nome do responsável pelo tratamento (section 146 do DPA 2018).

230

section 146

(231)  Permitir o exercício dos poderes de correção, o que exige que os responsáveis pelo tratamento/subcontratantes tomem ou se abstenham de tomar medidas específicas (section 149 do DPA 2018).

231

section 149

(232)  
  Section 154 do DPA 2018.

232

Section 154

(233)  
  Section 155 do DPA 2018.

233

Section 155

(234)  
  Regulatory Action Policy, ver a nota de rodapé 96.

234

Regulatory Action Policy

(235)  
  Information Commissioner’s Annual Report and Financial Statements 2018-19, ver a nota de rodapé 101.

235

Information Commissioner’s Annual Report and Financial Statements 2018-19

(236)  
  Information Commissioner’s Annual Report and Financial Statements 2019-20, ver a nota de rodapé 82.

236

Information Commissioner’s Annual Report and Financial Statements 2019-20

(237)  Uma base de dados que registava informações relacionadas com alegados membros de gangues e vítimas de crimes de gangues.

237

(238)  Ver a demonstração do ICO, disponível na seguinte ligação: https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/07/oaic-and-ico-open-joint-investigation-into-clearview-ai-inc/

238

(239)  
  Section 170 do DPA 2018.

239

Section 170

(240)  
  Section 171 do DPA 2018.

240

Section 171

(241)  
  Section 119(6) do DPA 2018.

241

Section 119(6)

(242)  Durante o exercício financeiro que abrange o período de 1 de abril de 2019 a 31 de março de 2020, as investigações do ICO resultaram em quatro advertências e oito ações penais. Estes casos foram julgados ao abrigo da section 55 do Data Protection Act 1998, da section 77 do Freedom of Information Act 2000 e da section 170 do Data Protection Act 2018. Em 75% dos casos, os arguidos declararam-se culpados e não houve necessidade de julgamentos morosos e de incorrer em custos associados. Information Commissioner’s Annual Report and Financial Statements 2019-2020 (Relatório anual e demonstrações financeiras do comissário para a informação), ver a nota de rodapé 87, p. 40.

242

section 55

Data Protection Act 1998

section 77

Freedom of Information Act 2000

section 170

Data Protection Act 2018

Information Commissioner’s Annual Report and Financial Statements 2019-2020

(243)  O comissário biométrico foi criado pelo Protection of Freedoms Act 2012 (Lei de 2012 relativa à Proteção das Liberdades) (PoFA) (ver: https://www.legislation.gov.uk/ukpga/2012/9/contents). que, designadamente, decide se a polícia pode ou não conservar os registos dos perfis de ADN e impressões digitais de pessoas detidas, mas não acusadas, por infrações graves (section 63G do PACE 1984). Além disso, o comissário biométrico tem a responsabilidade geral de reavaliar a conservação e utilização de ADN e impressões digitais e a conservação por motivos de segurança nacional [section 20(2), do PoFA 2012]. O comissário biométrico é nomeado ao abrigo do Code for Public Appointments [código para as nomeações públicas] (o código está disponível na seguinte ligação: https://www.gov.uk/government/publications/governance-code-for-public-appointments) e as condições de nomeação deixam claro que o ministro da Administração Interna só pode ser destituído das suas funções em circunstâncias rigorosamente definidas, que incluem o incumprimento das suas obrigações durante um período de três meses, a condenação por infração penal ou o incumprimento das condições da sua nomeação.

243

Protection of Freedoms Act 2012

section 63G

section 20(2)

Code for Public Appointments

(244)  O comissário para as câmaras de videovigilância foi criado pelo Protection of Freedoms Act 2012 e tem a função de incentivar o cumprimento do Surveillance Camera Code of Practice (código de boas práticas sobre as câmaras de videovigilância); analisar o funcionamento deste código; e aconselhar os ministros sobre a necessidade de alteração deste código. O comissário é nomeado de acordo com as mesmas regras que os comissários biométricos e goza de poderes, recursos e proteção semelhantes contra a destituição.

244

Protection of Freedoms Act 2012

Surveillance Camera Code of Practice

(245)  Ver https://committees.parliament.uk/committee/83/home-affairs-committee/news/100537/work-of-the-national-crime-agency-scrutinised/

245

(246)  As comissões especiais, incluindo a Home Affairs Select Committee, estão sujeitas aos regulamentos da Câmara dos Comuns. Os regulamentos são as ordens, acordadas pela Câmara dos Comuns, que regulam a forma como o parlamento faz negócios. O âmbito das comissões especiais é amplo, sendo que o Regulamento 152, n.o 1, estabelece que «[a]s comissões especiais devem ser nomeadas por forma a analisar as despesas, a administração e a política dos principais departamentos governamentais, conforme enunciado no n.o 2, do presente regulamento e nos organismos públicos associados.» Tal habilita a Home Affairs Select Committee a analisar qualquer política detida pelo Ministério da Administração Interna, o que inclui as políticas (e a legislação conexa) em matéria de poderes de investigação. Além disso, o Regulamento 152, n.o 4, esclarece que as comissões têm diversos poderes, incluindo a capacidade de solicitar que as pessoas singulares apresentem provas ou documentos relativos a uma questão específica e de elaborar relatórios. Os inquéritos atuais e anteriores da comissão estão disponíveis na seguinte ligação https://committees.parliament.uk/committee/83/home-affairs-committee/

246

Home Affairs Select Committee

o

o

Home Affairs Select Committee

o

(247)  Os poderes da Home Affairs Select Committee em Inglaterra e no País de Gales estão estabelecidos nos regulamentos da Câmara dos Comuns, disponível na seguinte ligação: https://www.parliament.uk/business/publications/commons/standing-orders-public11/

247

Home Affairs Select Committee

(248)  Disponível na seguinte ligação: https://publications.parliament.uk/pa/cm201415/cmselect/cmhaff/711/71103.htm

248

(249)  Disponível na seguinte ligação: https://committees.parliament.uk/committee/83/home-affairs-committee

249

(250)  As regras do Subcomité da Justiça para a Polícia na Escócia são apresentadas na seguinte ligação https://www.parliament.scot/parliamentarybusiness/CurrentCommittees/justice-committee.aspx e as regras do Comité da Justiça na Irlanda do Norte são apresentadas na seguinte ligação: http://www.niassembly.gov.uk/assembly-business/standing-orders/

250

(251)  O último relatório anual do ICO apresenta uma distribuição da natureza das reclamações recebidas e encerradas. Em particular, o número de reclamações recebidas por «registos policiais e criminais» correspondem a 6% do número total de reclamações recebidas (com um aumento de 1% comparativamente ao exercício financeiro anterior). O relatório anual revela igualmente que as reclamações que dizem respeito aos pedidos de acesso dos titulares representam o número mais elevado (46% do número total de reclamações, com um aumento de 8% comparativamente ao exercício financeiro anterior) (relatório anual do ICO de 2019-2020, p. 55; ver a nota de rodapé 88).

251

(252)  A section 166 do DPA 2018 diz respeito especificamente às seguintes situações: a) o comissário não toma as medidas adequadas para dar resposta à reclamação, b) o comissário não informa o autor da reclamação do andamento ou do resultado da reclamação antes do final do prazo de três meses que tem início quando o comissário recebeu a reclamação ou c) se a análise da reclamação efetuada pelo comissário não for concluída dentro desse prazo e se o comissário não fornecer essas informações ao autor da reclamação num prazo subsequente de três meses.

252

section 166

(253)  O First-tier Tribunal é o tribunal competente para o tratamento de recursos contra as decisões tomadas pelos organismos regulamentares do governo. No caso da decisão do comissário para a informação, a secção competente é a «General Regulatory Chamber», que tem jurisdição em todo o Reino Unido.

253

First-tier Tribunal

(254)  
  Section 166 do DPA 2018. Os exemplos de ações judiciais de sucesso contra o ICO incluem um caso em que o ICO reconheceu a receção de uma reclamação de um titular de dados, mas não indicou quais as medidas que iria tomar e, como tal, foi ordenado que confirmasse, no prazo de 21 dias úteis, se iria investigar as reclamações e, em caso afirmativo, que informasse o autor da reclamação do andamento da investigação com uma frequência não inferior a 21 dias úteis (o acórdão ainda não foi publicado) e um caso em que o First-tier Tribunal considerou que não era claro se a resposta do ICO a um autor da reclamação constituía adequadamente o «resultado» da reclamação (ver Susan Milne/Information Commissioner [2020], acórdão disponível na seguinte ligação: https://informationrights.decisions.tribunals.gov.uk/DBFiles/Decision/i2730/Milne,%20S%20-%20QJ2020-0296-GDPR-V,%20051220%20Section%20166%20DPA%20-DECISION.pdf).

254

Section 166

,

(255)  
  Sections 162 e 163 do DPA 2018.

255

Sections 162

163

(256)  Ver, por exemplo, Brown/Commissioner of Police of the Metropolis & Anor [2019] EWCA Civ 1724 em que, ao abrigo do DPA 1998 e do Human Rights Act 1998, foi determinada uma indemnização no valor de 9 000 GBP pela obtenção ilícita e pela utilização indevida de dados pessoais e R (on the application of Bridges)/Chief Constable of South Wales [2020] EWCA Civ 1058, em que o Court of Appeal declarou ilícita a aplicação de um sistema de reconhecimento facial pela polícia do País de Gales, uma vez que tal violava o artigo 8.o da CEDH e a avaliação do impacto sobre a proteção de dados elaborada pelo responsável pelo tratamento não cumpria o DPA 2018.

256

Brown/Commissioner of Police of the Metropolis & Anor

Human Rights Act 1998

R (on the application of Bridges)/Chief Constable of South Wales

Court of Appeal

o

(257)  O artigo 34.o da Convenção Europeia dos Direitos Humanos determina que «[o] tribunal pode receber ações judiciais de qualquer pessoa singular, organização não governamental ou grupo de pessoas singulares que reclame ser vítima de uma violação dos direitos consagrados na Convenção ou nos Protocolos por parte de uma das altas partes contratantes. As altas partes contratantes comprometem-se a não prejudicar o exercício efetivo deste direito».

257

o

(258)  O MI5 é a autoridade do ministro da Administração Interna. O Security Service Act 1989 estabelece as funções do MI5: proteger a segurança nacional (incluindo a proteção contra ameaças de espionagem, terrorismo e sabotagem, contra atividades de agentes de potências estrangeiras e de ações que visam opor-se ou prejudicar a democracia parlamentar através de ações políticas, industriais ou violentas), proteger o bem-estar económico do Reino Unido contra ameaças externas e apoiar atividades das forças policiais e de outras agências de aplicação da lei na prevenção e deteção da criminalidade grave.

258

Security Service Act 1989

(259)  O SIS está sob a alçada do ministro dos Negócios Estrangeiros e as suas funções encontram-se estabelecidas no Intelligence Services Act 1994. As suas funções passam por obter e prestar informações sobre as ações ou as intenções das pessoas que não habitam nas Ilhas Britânicas e realizar outras tarefas relativas às ações ou intenções dessas pessoas. Essas funções apenas podem ser exercidas no interesse da segurança nacional, no interesse do bem-estar económico do Reino Unido ou para apoiar a prevenção e a deteção da criminalidade grave.

259

Intelligence Services Act 1994

(260)  O GCHQ está sob a alçada do ministro dos Negócios Estrangeiros e as suas funções encontram-se estabelecidas no Intelligence Services Act 1994. Estas funções incluem a) controlar, utilizar ou interferir com as emissões eletromagnéticas e de outro tipo e com os equipamentos que produzem essas emissões, obter e prestar informações resultantes de ou relacionadas com essas emissões ou equipamentos e de materiais encriptados; b) aconselhar e prestar assistência linguística, incluindo a terminologia utilizada para questões técnicas e criptografia e outras questões relacionadas com a proteção das informações para as forças armadas, o governo ou outras organizações ou pessoas consideradas adequadas. Essas funções apenas podem ser exercidas no interesse da segurança nacional, no interesse do bem-estar económico do Reino Unido relativamente às ações ou intenções das pessoas que não habitam nas Ilhas Britânicas ou para apoiar a prevenção ou a deteção da criminalidade grave.

260

Intelligence Services Act 1994

(261)  Outros organismos públicos que exercem funções relevantes para a segurança nacional são o Defence Intelligence (DI), o National Security Council and Secretariat, o Joint Intelligence Organisation e o Joint Intelligence Committee. Contudo, nem o Joint Intelligence Committee nem o Joint Intelligence Organisation, podem utilizar os poderes de investigação ao abrigo do IPA 2016 enquanto o DI tem um âmbito limitado para a utilização dos seus poderes.

261

Defence Intelligence

National Security Council and Secretariat

Joint Intelligence Organisation

Joint Intelligence Committee

Joint Intelligence Committee

Joint Intelligence Organisation

(262)  A proibição aplica-se às redes de comunicações públicas e privadas, bem como ao serviço postal público quando a interceção é realizada no Reino Unido. A proibição não se aplica ao responsável pelo tratamento da rede particular caso o mesmo tenha dado o consentimento expresso ou implícito para a realização da interceção (section 3 do IPA 2016).

262

section 3

(263)  Em casos específicos e limitados, é possível efetuar uma interceção lícita sem um mandado, ou seja, quando a interceção é realizada com o consentimento do remetente ou do destinatário (section 44 do IPA 2016), em caso de finalidades administrativas ou de execução limitadas (sections 45 a 48 do IPA), em determinadas instituições especiais (sections 49 a 51 do IPA 2016) e de acordo com os pedidos do estrangeiro (section 52 do IPA 2016).

263

section 44

sections 45

48

sections 49

51

section 52

(264)  No que diz respeito, por exemplo, ao âmbito de tais medidas, nas partes 3 e 4 (conservação e aquisição de dados de comunicação), o âmbito da medida está estreitamente associado à definição de «operadores de telecomunicações», cujos dados dos utilizadores estão sujeitos à medida. Pode ser apresentado outro exemplo em relação à utilização de poderes «em larga escala». Neste caso, o âmbito destes poderes limita-se às «comunicações enviadas ou recebidas por pessoas singulares que se encontram fora das ilhas Britânicas».

264

(265)  O schedule 7 do IPA 2016 determina o âmbito de aplicação dos códigos, o procedimento a seguir para a sua emissão, as regras para a respetiva revisão e o efeito dos códigos.

265

schedule 7

(266)  Os códigos de boas práticas previstos no IPA 2016 estão disponíveis na seguinte ligação: https://www.gov.uk/government/publications/investigatory-powers-act-2016-codes-of-practice

266

(267)  Os tribunais recorrem aos códigos de boas práticas para avaliar a legitimidade da conduta das autoridades. Ver, por exemplo: Dias/Cleveland Police, [2017] UKIPTrib15_586-CH, em que o Investigatory Powers Tribunal fez referência a passagens específicas do código de boas práticas sobre os dados de comunicações para compreender a definição das razões de «prevenção ou deteção da criminalidade ou a defesa da ordem» utilizada para aplicar a aquisição de dados de comunicações. O código foi incluído na fundamentação utilizada para determinar se essa razão foi utilizada incorretamente. O tribunal concluiu que as condutas contestadas eram ilícitas. Os tribunais efetuaram igualmente a avaliação do nível de garantias disponíveis nos códigos, ver, por exemplo, Just for Law Kids/Secretary of State for the Home Department [2019] EWHC 1772 (Admin), no qual o High Court constatou que, a legislação primária e secundária, em conjunto com as orientações internas, concediam garantias suficientes; ou R (National Council for Civil Liberties)/Secretary of State for the Home Department e o. [2019] EWHC 2057 (Admin), em que se concluiu que o IPA 2016 e o Code of Practice on Equipment Interference incluíam disposições suficientes quanto à necessidade de mandados específicos.

267

Dias/Cleveland Police

Investigatory Powers Tribunal

Just for Law Kids/Secretary of State for the Home Department

High Court

R (National Council for Civil Liberties)/Secretary of State for the Home Department e o.

Code of Practice on Equipment Interference

(268)  No processo Big Brother Watch, a Grande Secção do Tribunal Europeu dos Direitos Humanos observou que «o código do comissário para a informação é um documento público aprovado por ambas as câmaras do parlamento, publicado pelo Governo em linha e em versão impressa, e deve ser tido em conta tanto pelas pessoas que exercem funções de interceção como pelos tribunais (ver os n.os 93 e 94 acima). Consequentemente, este tribunal admitiu que as respetivas disposições fossem tidas em conta na avaliação da previsibilidade do RIPA (ver Kennedy, supramencionado, § 157). Em conformidade, o tribunal admitiria que o direito interno fosse adequadamente «acessível» (ver Tribunal Europeu dos Direitos Humanos (Grande Secção), Big Brother Watch e o./Reino Unido, pedidos n.os58170/13, 62322/14 e 24960/15, de 25 de maio de 2021, n.o 366).

268

Big Brother Watch

os

Kennedy

Big Brother Watch e o./Reino Unido

os

o

(269)  Parte 2 do IPA 2016.

269

(270)  Parte 3 do IPA 2016.

270

(271)  Parte 4 do IPA 2016.

271

(272)  Parte 5 do IPA 2016.

272

(273)  Para consultar a lista de autoridades de aplicação da lei competentes que podem aplicar os poderes de investigação direcionados ao abrigo do IPA 2016, ver a nota de rodapé 139.

273

(274)  
  Section 136 do IPA 2016.

274

Section 136

(275)  
  Section 158 do IPA 2016.

275

Section 158

(276)  
  Section 176 do IPA 2016.

276

Section 176

(277)  
  Section 199 do IPA 2016.

277

Section 199

(278)  O Code of Practice on Interception of Communications (código de boas práticas sobre a interceção das comunicações) especifica que outros elementos do teste de proporcionalidade são: «i) a medida da interferência com a privacidade proposta tendo em conta os objetivos pretendidos; ii) como e por que motivo os métodos que serão adotados causarão a menor interferência possível à pessoa em causa e aos outros; iii) se a atividade é uma utilização adequada da lei e uma forma razoável de atingir os objetivos pretendidos, depois de ponderadas todas as alternativas razoáveis; iv) que outros métodos, conforme apropriados, não foram implementados ou, tendo sido implementados, foram avaliados como insuficientes para alcançarem os objetivos operacionais sem a utilização do poder de investigação proposto». Code of Practice on Interception of Communications, ponto 4.16, disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715480/Interception_of_Communications_Code_of_Practice.pdf

278

Code of Practice on Interception of Communications

Code of Practice on Interception of Communications

(279)  Ver Code of Practice on Interception of Communications, pontos 4.12 e 4.15, disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715480/Interception_of_Communications_Code_of_Practice.pdf

279

Code of Practice on Interception of Communications

(280)  Ver Code of Practice on Interception of Communications, ponto 4.16.

280

Code of Practice on Interception of Communications

(281)  
  End of Mission Statement of the Special Rapporteur on the Right to Privacy at the Conclusion Of his Mission to the United Kingdom of Great Britain and Northern Ireland (Declaração de fim de missão do relator especial da ONU sobre o direito à privacidade na conclusão da sua missão para o Reino Unido da Grã-Bretanha e da Irlanda do Norte), disponível na seguinte ligação: https://www.ohchr.org/EN/NewsEvents/Pages/DisplayNews.aspx?NewsID=23296&LangID=E, n.o 1.a.

281

End of Mission Statement of the Special Rapporteur on the Right to Privacy at the Conclusion Of his Mission to the United Kingdom of Great Britain and Northern Ireland

o

(282)  
  Section 15(2) do IPA 2016.

282

Section 15(2)

(283)  
  Section 15(4) do IPA 2016.

283

Section 15(4)

(284)  
  Section 15(2) do IPA 2016.

284

Section 15(2)

(285)  Os dados secundários são dados anexos ou logicamente associados à comunicação intercetada, podendo estar logicamente separados da mesma e, se assim for, não revelando nada do que se poderia razoavelmente considerar ser o significado (se for caso disso) da comunicação. Alguns exemplos de dados secundários incluem configurações do encaminhador ou das barreiras de segurança, ou o período de tempo em que um encaminhador esteve ativo numa rede quando estes fazem parte, estão ligados ou estão logicamente associados à comunicação intercetada. Para mais informações, ver a definição constante da section 16 do IPA 2016 e o Code of Practice on Interception of Communications, ponto 2.19, ver a nota de rodapé 278.

285

section 16

Code of Practice on Interception of Communications

(286)  Este exame é efetuado como exceção ao disposto na section 152(4) do IPA 2016, que prevê a proibição de procurar identificar a comunicação de pessoas que se encontrem nas ilhas Britânicas. Ver o considerando 229.

286

section 152(4)

(287)  O ministro escocês autoriza o mandado quando este diz respeito a atividades criminosas graves na Escócia (ver a section 21 e a section 22 do IPA 2016), ao passo que o ministro da tutela pode designar um dirigente superior para emitir um mandado de assistência mútua quando se afigure que a interceção dirá respeito a uma pessoa ou instalações localizadas fora do Reino Unido (section 40 do IPA 2016).

287

section 21

section 22

section 40

(288)  
  Sections 19 e 23 do IPA 2016.

288

Sections 19

23

(289)  
  Section 32 do IPA 2016.

289

Section 32

(290)  
  Section 39 do IPA 2016. Pessoas especificamente indicadas podem introduzir alterações limitadas nos mandados, ao abrigo das condições estabelecidas no IPA 2016. A pessoa que emitiu o mandado pode anular um mandado a qualquer momento. Deve fazê-lo se o mandado já não for necessário por qualquer razão pertinente ou se a conduta autorizada pelo mandado deixar de ser proporcional ao que se pretende alcançar.

290

Section 39

(291)  
  Section 33 do IPA 2016. A decisão de renovação do mandado deve ser aprovada por um comissário judicial.

291

Section 33

(292)  
  Section 19 do IPA 2016.

292

Section 19

(293)  Quanto ao conceito de «interesse do bem-estar económico do Reino Unido, na medida em que esse interesse seja igualmente relevante para a segurança nacional», a Grande Secção do Tribunal Europeu dos Direitos Humanos considerou, no acórdão Big Brother Watch e o./Reino Unido (ver a nota de rodapé 268 acima), n.o 371, que este conceito se encontrava suficientemente centrado na segurança nacional. Embora a conclusão do tribunal neste processo estivesse relacionada com a utilização desta noção no RIPA 2000, a mesma noção é utilizada no IPA 2016.

293

Big Brother Watch e o./Reino Unido

o

,

(294)  
  Section 20(2) do IPA 2016.

294

Section 20(2)

(295)  
  Section 20(3) do IPA 2016.

295

Section 20(3)

(296)  
  Sections 19(1)(b), 19(2)(b) e 19(3)(b) do IPA 2016.

296

Sections 19(1)(b)

19(2)(b)

19(3)(b)

(297)  As informações solicitadas incluem informações pormenorizadas sobre os antecedentes (descrição das pessoas/organizações/conjunto de instalações, comunicação a intercetar) e a forma como a obtenção dessas informações será benéfica para a investigação, bem como uma descrição da conduta a autorizar. Caso não seja possível descrever as pessoas/organizações/instalações, deve incluir-se uma explicação sobre a razão pela qual não foi possível ou sobre a razão pela qual apenas se efetuou uma descrição geral (Code of Practice on Interception of Communications, pontos 5.32 e 5.34, ver a nota de rodapé 278).

297

Code of Practice on Interception of Communications

(298)  
  Section 17(2) do IPA 2016. Ver também o Code of Practice on Interception of Communications (código de boas práticas sobre a interceção das comunicações), pontos 5.11 e seguintes, ver a nota de rodapé 278.

298

Section 17(2)

Code of Practice on Interception of Communications

(299)  
  Section 31(4) e (5) do IPA 2016.

299

Section 31(4)

(5)

(300)  
  Section 31(8) do IPA 2016.

300

Section 31(8)

(301)  
  Code of Practice on Interception of Communications, pontos 5.37 e 5.38, ver a nota de rodapé 278.

301

Code of Practice on Interception of Communications

(302)  A aprovação por um comissário judicial não é necessária quando o ministro da tutela considerar que existe uma necessidade urgente de emitir o mandado [section 19(1) do IPA]. No entanto, o comissário judicial deve ser informado num curto espaço de tempo e decidir se aprova ou não o mandado. Caso contrário, o mandado deixa de produzir efeitos (sections 24 e 25 do IPA 2016).

302

section 19(1)

sections 24

25

(303)  
  Section 23(1) do IPA 2016.

303

Section 23(1)

(304)  
  Section 23(2) do IPA 2016.

304

Section 23(2)

(305)  Ver sections 44 a 51 do IPA 2016 e section 12 do código de boas práticas da sobre a interceção das comunicações (ver a nota de rodapé 278).

305

sections 44

51

section 12

(306)  É o caso, por exemplo, quando é necessária uma interceção numa prisão ou num hospital psiquiátrico (a fim de verificar a conduta de uma pessoa detida ou de um paciente) ou por um operador postal ou de telecomunicações, por exemplo, a fim de detetar conteúdos abusivos.

306

(307)  Ver, a contrario, section 229(4) do IPA.

307

a contrario

section 229(4)

(308)  As sections 26 a 29 do IPA 2016 introduzem limitações à obtenção de mandados de interceção e exame direcionados relacionados com a interceção de comunicações enviadas por uma pessoa que seja deputado ao parlamento (qualquer parlamento do Reino Unido) ou as destinadas a este, a interceção de elementos sujeitos à prerrogativa legal de confidencialidade, a interceção de comunicações que a autoridade intercetora considere serem comunicações que contêm material jornalístico confidencial e quando o objetivo do mandado for identificar ou confirmar uma fonte de informação jornalística.

308

sections 26

29

(309)  
  Section 26 do IPA 2016.

309

Section 26

(310)  
  Section 19(1) do IPA 2016.

310

Section 19(1)

(311)  
  Section 54 do IPA 2016. As garantias relativas à divulgação de material a autoridades estrangeiras são especificadas mais pormenorizadamente nos códigos de boas práticas: ver, em especial, os n.os 9.26 e seguintes e o n.o 9.87 do Code of Practice on the Interception of Communications e os n.os 9.33 e seguintes e o n.o 9.41 do Code of Practice on Equipment Interference (ver a nota de rodapé 278).

311

Section 54

os

o

Code of Practice on the Interception of Communications

os

o

Code of Practice on Equipment Interference

(312)  Estas finalidades são: relativamente ao serviço de segurança, a prevenção ou deteção da criminalidade grave ou quaisquer processos penais [section 2(2)(a) do Security Service Act 1989], relativamente ao serviço de informações, o interesse da segurança nacional, a prevenção ou deteção da criminalidade grave ou quaisquer processos penais [section 2(2)(a) do Intelligence Services Act 1994], e relativamente ao GCHQ, quaisquer processos penais [section 4(2)(a) do Intelligence Services Act 1994]. Ver igualmente Explanatory notes sobre o DPA 2018, disponíveis na seguinte ligação: https://www.legislation.gov.uk/ukpga/2018/12/contents/enacted

312

section 2(2)(a)

Security Service Act 1989

section 2(2)(a)

Intelligence Services Act 1994

section 4(2)(a)

Intelligence Services Act 1994

Explanatory notes

(313)  Os dados de comunicações são definidos na Section 261(5) do IPA 2016. Os dados de comunicações dividem-se em «dados de eventos» [quaisquer dados que identifiquem ou descrevam um evento, por referência ou não à sua localização, num sistema de telecomunicações ou através de um sistema de telecomunicações em que o evento consista em uma ou mais entidades a efetuar uma atividade específica num determinado momento) e «dados da entidade» (quaisquer dados que a) se refiram a i) uma entidade, ii) uma associação entre um serviço de telecomunicações e uma entidade, ou iii) uma associação entre qualquer parte de um sistema de telecomunicações e uma entidade, b) consistam em ou incluam dados que identifiquem ou descrevam a entidade (por referência ou não à localização da entidade) e c) não sejam dados de eventos].

313

Section 261(5)

(314)  Isto resulta da definição de dados de comunicações prevista na section 261(5) do IPA 2016, segundo a qual os dados de comunicações são detidos ou obtidos por um operador de telecomunicações e dizem respeito ao utilizador de um serviço de telecomunicações e estão relacionados com a prestação desse serviço ou estão incluídos, fazem parte, estão ligados ou logicamente associados a uma comunicação [ver também o Code of Practice on Communications Data (código de boas práticas sobre dados de comunicações), disponível na seguinte ligação https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/757850/Communications_Data_Code_of_Practice.pdf, pontos 2.22 a 2.33]. Além disso, a definição de operador de telecomunicações prevista na section 261(10) do IPA 2016 exige que um operador de telecomunicações seja uma pessoa que disponibilize ou preste um serviço de telecomunicações a pessoas no Reino Unido ou que controle ou forneça um sistema de telecomunicações que se encontra (total ou parcialmente) no Reino Unido ou é controlado a partir do Reino Unido. Estas definições tornam claro que as obrigações ao abrigo do IPA 2016 não podem ser impostas aos operadores de telecomunicações cujo equipamento não se encontre no Reino Unido ou não seja controlado a partir do Reino Unido e que não ofereçam nem prestem serviços a pessoas no Reino Unido [ver também o Code of Practice on Communications Data (código de boas práticas sobre dados de comunicações), ponto 2.1]. Se os assinantes da UE (quer estejam localizados na UE ou no Reino Unido) utilizassem serviços no Reino Unido, quaisquer comunicações relacionadas com a prestação destes serviços seriam recolhidas diretamente pelo prestador de serviços no Reino Unido e não sujeitas a uma transferência da UE.

314

section 261(5)

Code of Practice on Communications Data

section 261(10)

Code of Practice on Communications Data

(315)  As autoridades competentes encontram-se elencadas no schedule 4 do IPA 2016 e incluem as forças policiais, os serviços de informações, alguns ministérios e departamentos do Estado, a National Crime Agency, o Her Majesty’s Revenue and Customs, a Competition and Markets Authority, o comissário para a informação, serviços de ambulância, bombeiros e de salvamento e as autoridades, por exemplo, no domínio da saúde e da segurança alimentar.

315

schedule 4

National Crime Agency

Her Majesty’s Revenue and Customs

Competition and Markets Authority

(316)  Processos apensos C-203/15 e C-698/15, Tele2/Watson, ECLI:EU:C:2016:970).

316

(317)  Ver section 61.7(b) no que se refere à aquisição de dados de comunicações e section 87.10A no que se refere à conservação de dados de comunicações.

317

section 61.7(b)

section 87.10A

(318)  
  Section 60A(6) do IPA 2016.

318

Section 60A(6)

(319)  Este prazo é reduzido para três dias quando a autorização for concedida por razões de urgência [section 65(3) do IPA 2016].

319

section 65(3)

(320)  Nos termos da section 65 do IPA 2016, a renovação da autorização terá uma duração de um mês a contar da data de caducidade da autorização atual. A pessoa que concedeu a autorização pode cancelá-la em qualquer momento se considerar que os requisitos deixaram de se mostrar satisfeitos.

320

section 65

(321)  
  Section 60A(1) do IPA 2016. O gabinete para as autorizações de dados de comunicações (OCDA) desempenha esta função em nome do IPC (ver o código de boas práticas sobre dados de comunicações, n.o 5.6).

321

Section 60A(1)

o

(322)  O pedido ao abrigo da section 61(7)(b), do IPA 2016 é apresentado para fins criminosos aplicáveis, ou seja, em conformidade com a section 61(7)A, do IPA 2016: «se os dados de comunicações forem dados, no todo ou em parte, relativos a eventos, a finalidade de prevenir ou detetar a criminalidade grave; em qualquer outro caso, a finalidade de prevenção ou deteção da criminalidade ou de defensa da ordem».

322

section 61(7)(b)

section 61(7)A

(323)  O Code of Practice on Communications Data especifica que «quando um pedido relativo à segurança nacional possa ser apresentado ao abrigo da section 60A ou da section 61, a decisão sobre a via de autorização mais adequada num determinado caso é da competência das autoridades públicas. As autoridades públicas que pretendam recorrer à via do dirigente superior designado devem dispor de orientações claras sobre o momento em que esta via de autorização é adequada» [Code of Practice on Communications Data (código de boas práticas relativas a dados de comunicações), ponto 5. 19, disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/822817/Communications_Data_Code_of_Practice.pdf].

323

Code of Practice on Communications Data

section 60A

section 61

Code of Practice on Communications Data

(324)  A section 70(3) do IPA 2016 estabelece a definição de «dirigente designado», que varia em função da entidade pública pertinente (tal como previsto no schedule 4 do IPA 2016).

324

section 70(3)

schedule 4

(325)  O código de boas práticas sobre dados de comunicações apresenta mais informações sobre a independência do dirigente superior designado (Communications Data Code of Practice, n.os 4.12 a 4.17, ver a nota de rodapé 323).

325

Communications Data Code of Practice

os

(326)  Os fundamentos são: i) a segurança nacional, ii) a prevenção ou deteção da criminalidade ou a defesa da ordem (no caso de «dados de eventos», apenas criminalidade grave), iii) no interesse do bem-estar económico do Reino Unido, na medida em que esse interesse seja igualmente relevante para o interesse da segurança nacional, iv) no interesse da segurança pública, v) para efeitos de prevenção da morte, lesões ou danos para a saúde física ou mental de uma pessoa, ou de atenuação de lesões ou danos para a saúde física ou mental de uma pessoa, vi) prestar assistência na investigação de alegados erros judiciários ou vii) identificar uma pessoa falecida ou incapaz de se identificar a si mesma devido a uma determinada condição [section 61(7) do IPA 2016].

326

section 61(7)

(327)  
  Section 60A(1)(b) do IPA 2016.

327

Section 60A(1)(b)

(328)  
  Code of Practice on Communications Data, pontos 3.3 e seguintes, ver a nota de rodapé 323.

328

Code of Practice on Communications Data

(329)  
  Code of Practice on Communications Data, ponto 3.13, ver a nota de rodapé 323.

329

Code of Practice on Communications Data

(330)  
  Section 60(1)(c) do IPA 2016.

330

Section 60(1)(c)

(331)  As informações a incluir devem conter: i) uma descrição geral da forma como a obtenção dos dados beneficiará a investigação ou a operação, ii) uma explicação da relevância dos intervalos de tempo solicitados, incluindo a forma como os mesmos são proporcionais ao evento objeto da investigação, iii) uma explicação do modo como se justifica o nível de intrusão quando se tem em conta o benefício que os dados proporcionarão à investigação (esta justificação deve incluir a ponderação da possibilidade de se realizar investigações menos intrusivas para alcançar o objetivo), iv) uma análise dos direitos (nomeadamente o direito à privacidade e, nos casos pertinentes, de liberdade de expressão) da pessoa em causa e um equilíbrio entre estes direitos e o benefício para a investigação, v) pormenores sobre que intrusão colateral pode ocorrer e a forma como os intervalos de tempo solicitados têm impacto na intrusão colateral [Code of Practice on Communication Data (código de boas práticas sobre dados de comunicações), pontos 3.22 a 3.26, ver a nota de rodapé 323].

331

Code of Practice on Communication Data

(332)  Ver a nota de rodapé 313.

332

(333)  Quando se procuram obter dados de comunicações mais intrusivos (ou seja, dados de eventos), o código especifica que é mais adequado adquirir dados de primeira entidade ou adquirir diretamente dados relativos a eventos em casos limitados de urgência específica [Code of Practice on Communication Data (código de boas práticas sobre dados de comunicações), pontos 6.10 a 6.14, ver a nota de rodapé 323].

333

Code of Practice on Communication Data

(334)  
  Code of Practice on Communication Data (código de boas práticas sobre dados de comunicações), pontos 8.8 a 8.44, ver a nota de rodapé 323.

334

Code of Practice on Communication Data

(335)  O código de boas práticas especifica que «o titular da autorização deve ter especial cuidado ao analisar esses pedidos, incluindo uma análise adicional sobre se os pedidos podem ter consequências indesejadas e se o interesse público é mais bem servido pelo pedido» [Code of Practice on Communication Data (código de boas práticas sobre dados de comunicações), ponto 8.8]. Além disso, devem ser conservados registos para este tipo de pedidos e, aquando da próxima inspeção, esses pedidos devem ser assinalados à atenção do comissário para os poderes de investigação [Code of Practice on Communication Data (código de boas práticas sobre dados de comunicações), ponto 8.10, ver a nota de rodapé 323].

335

Code of Practice on Communication Data

Code of Practice on Communication Data

(336)  
  Sections 87 a 89 do IPA 2016.

336

Sections 87

89

(337)  Nos termos da section 90 do IPA 2016, um operador de telecomunicações ao qual seja enviado uma notificação de conservação pode solicitar uma análise ao ministro da tutela que o emitiu.

337

section 90

(338)  Nos termos da section 87(2)(a) do IPA 2016, uma notificação de conservação pode dizer respeito «a um determinado operador ou a qualquer descrição dos operadores».

338

section 87(2)(a)

(339)  As finalidades são i) o interesse da segurança nacional, ii) a finalidade da infração penal aplicável (tal como definido na section 87.10A do IPA 2016), iii) o interesse do bem-estar económico do Reino Unido, na medida em que esse interesse seja igualmente relevante para o interesse da segurança nacional, iv) o interesse da segurança pública, v) para efeitos de prevenção da morte, lesões ou danos para a saúde física ou mental de uma pessoa, ou de atenuação de lesões ou danos para a saúde física ou mental de uma pessoa, ou vi) apoiar investigações sobre alegados erros judiciários (section 87 do IPA).

339

section 87.10A

section 87

(340)  Ver a section 87 do IPA 2016. Além disso, de acordo com o código de boas práticas pertinente, a fim de avaliar a proporcionalidade da notificação de conservação, aplicam-se os critérios previstos na section 2(2) do IPA 2016, nomeadamente o requisito de avaliar se o que se pretende alcançar com a notificação pode, na medida do razoável, ser alcançado com recurso a meios menos intrusivos. À semelhança da avaliação da proporcionalidade relativa à aquisição de dados de comunicações, o Code of Practice on Communication Data (código de boas práticas sobre dados de comunicações) esclarece que tal avaliação implica uma ponderação entre o alcance da interferência no direito à privacidade de uma pessoa e um benefício específico para a investigação [Code of Practice on Communication Data (código de boas práticas sobre dados de comunicações), ponto 16.3, ver a nota de rodapé 323].

340

section 87

section 2(2)

Code of Practice on Communication Data

Code of Practice on Communication Data

(341)  Ver a section 88 do IPA 2016.

341

section 88

(342)  Os benefícios podem ser existentes ou previstos e devem respeitar as finalidades legais para as quais é possível conservar os dados [Code of Practice on Communications Data, ponto 17.17, ver a nota de rodapé 323].

342

Code of Practice on Communications Data

(343)  Estas considerações incluirão determinar se o alcance geográfico total da notificação de conservação é necessário e proporcionado, bem como se é necessário e proporcionado incluir ou excluir determinadas descrições de pessoas [Code of Practice on Communications Data, ponto 17.17, ver a nota de rodapé 323].

343

Code of Practice on Communications Data

(344)  Este procedimento ajudará o ministro da tutela a ponderar tanto o nível de intrusão nos clientes como os benefícios prováveis dos dados a conservar [Code of Practice on Communications Data, ponto 17.17, ver a nota de rodapé 323].

344

Code of Practice on Communications Data

(345)  
  Section 88 do IPA 2016.

345

Section 88

(346)  
  Section 89 do IPA 2016.

346

Section 89

(347)  Nos termos das sections 135(1) e 198(1) do IPA 2016, o termo «equipamentos» abrange os equipamentos que produzem emissões eletromagnéticas, acústicas ou de outro tipo e qualquer dispositivo suscetível de ser utilizado ligado a esses equipamentos.

347

sections 135(1)

198(1)

(348)  
  Code of Practice on Equipment Interference, disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715479/Equipment_Interference_Code_of_Practice.pdf, ponto 2.2.

348

Code of Practice on Equipment Interference

(349)  Os dados relativos a equipamentos encontram-se definidos na section 100 do IPA 2016 como dados de sistema e dados que a) estão incluídos, fazem parte, estão ligados ou logicamente associados a uma comunicação (pelo remetente ou por outro modo) ou a qualquer outro elemento de informação, b) podem ser logicamente separados do resto da comunicação ou do elemento de informação e c) caso assim sejam separados, não revelassem nada que, na medida do razoável, pudesse ser considerado como sendo o sentido (se for caso disso) da comunicação ou do elemento de informação.

349

section 100

(350)  Para que o requisito do mandado seja obrigatório, a section 13(1) do IPA 2016 exige igualmente que a conduta do serviço de informações constitua uma ou mais infrações nos termos das sections 1 a 3A do Computer Misuse Act 1990 (Lei de 1990 relativa à Utilização Indevida de Computadores), o que seria o caso na grande maioria das circunstâncias, ver o Code of Practice on Equipment Interference, pontos 3.32 e 3.6 a 3.9. Nos termos da section 13(2) do IPA 2016, existe uma «ligação com as ilhas Britânicas» se a) qualquer conduta ocorrer nas ilhas Britânicas (independentemente da localização do equipamento que seria ou possa vir a ser objeto de interferência), b) o serviço de informações considerar que qualquer equipamento que esteja ou possa vir a ser objeto de interferência esteja, ou possa vir a estar no território das ilhas Britânicas, durante o decurso da interferência, ou c) interferência tiver por finalidade obter i) comunicações enviadas por uma pessoa ou a uma pessoa que esteja ou que o serviço de informações considere estar naquele momento nas ilhas Britânicas, ii) informações privadas relacionadas com uma pessoa que esteja ou que o serviço de informações considere estar nas ilhas Britânicas, ou iii) dados de equipamentos que sejam parte ou estejam ligados a comunicações ou informações privadas abrangidas pelas subalíneas i) e ii).

350

section 13(1)

sections 1

3A

Computer Misuse Act 1990

Code of Practice on Equipment Interference

section 13(2)

(351)  Por razões de exaustividade, importa referir que, mesmo em situações em que não existe uma «ligação com as ilhas Britânicas» e o recurso a interferências com equipamentos não está, por conseguinte, sujeita à exigência de um mandado obrigatório previsto na section 13(1) do IPA 2016, um serviço de informações que tencione desenvolver uma atividade para a qual possa obter um mandado de interferência em equipamentos em larga escala deve obter esse mandado por uma questão de princípio [ver Code of Practice on Equipment Interference, ponto 3.24]. Mesmo quando um mandado de interferência em equipamentos ao abrigo do IPA 2016 não seja juridicamente exigido nem obtido por uma questão de princípio, as medidas dos serviços de informações estão sujeitas a um conjunto de condições e limitações nos termos da section 7 do Intelligence Services Act 1994 (Lei de 1994 relativa aos Serviços de Informações). Inclui-se aqui, nomeadamente, a exigência de uma autorização do ministro da tutela, que deve certificar-se, em termos satisfatórios, de que qualquer medida não excede o necessário para o exercício adequado das funções do serviço de informações.

351

section 13(1)

Code of Practice on Equipment Interference

section 7

Intelligence Services Act 1994

(352)  A section 115 do IPA 2016 regula o conteúdo do mandado, especificando que deve incluir o nome ou a descrição das pessoas, organizações, localização ou grupo de pessoas que constituem o «alvo», uma descrição da natureza da investigação e uma descrição das atividades para as quais o equipamento é utilizado. Deve igualmente descrever o tipo de equipamento e a conduta que o destinatário do mandado está autorizado a ter.

352

section 115

(353)  Ver também o Code of Practice on Equipment Interference, ponto 5.7, ver a nota de rodapé 348.

353

Code of Practice on Equipment Interference

(354)  As agências de segurança nacional podem apresentar um pedido para um mandado de interferência em equipamentos quando tal se mostre necessário para fins de segurança nacional, para efeitos de deteção da criminalidade grave e/ou no interesse do bem-estar económico do Reino Unido, na medida em que esse interesse seja igualmente relevante para o interesse da segurança nacional (sections 102-103 do IPA 2016). Consoante a agência, pode ser solicitado um mandado de interferência em equipamentos para fins de aplicação da lei quando tal se mostre necessário para detetar ou prevenir um crime grave ou para prevenir a morte ou quaisquer lesões ou danos para a saúde física ou mental de uma pessoa, ou para atenuar quaisquer lesões ou danos para a saúde física ou mental de uma pessoa [ver a section 106(1) e 106(3) do IPA 2016].

354

sections 102-103

section 106(1)

106(3)

(355)  
  Section 102(1) do IPA 2016.

355

Section 102(1)

(356)  
  Sections 129 a 131 do IPA 2016.

356

Sections 129

131

(357)  
  Section 109 do IPA 2016.

357

Section 109

(358)  
  Section 109(4) do IPA 2016.

358

Section 109(4)

(359)  
  Section 110(3) do IPA 2016. Nos termos do n.o 5.67 do Code of Practice on Equipment Interference, a urgência é determinada pela questão de saber se é razoavelmente praticável obter a aprovação do comissário judicial para a emissão do mandado no prazo disponível a fim de dar resposta a uma necessidade operacional ou de investigação. Os mandados urgentes devem enquadrar-se numa das seguintes categorias, ou em ambas: i) ameaça iminente à vida ou lesão grave — por exemplo, se uma pessoa for raptada e se se considerar que a sua vida está em perigo iminente; ou ii) uma oportunidade de recolha de informações ou de investigação com tempo limitado para agir — por exemplo, uma remessa de drogas de classe A está prestes a entrar no Reino Unido e os serviços de aplicação da lei pretendem abranger os autores de crimes graves a fim de proceder a detenções. Ver a nota de rodapé 348.

359

Section 110(3)

o

Code of Practice on Equipment Interference

(360)  
  Section 108 do IPA 2016.

360

Section 108

(361)  De acordo com o relatório sobre os poderes em larga escala apresentado pelo Lorde David Anderson, revisor independente da legislação em matéria de terrorismo antes da aprovação do IPA 2016, «
  deve ser claro que a recolha e a conservação de dados em larga escala não equivalem à chamada “vigilância em larga escala”
  . Qualquer sistema jurídico digno desse nome incluirá limitações e salvaguardas destinadas precisamente a garantir que o acesso aos arquivos de dados sensíveis não é facultado de forma indiscriminada ou injustificada.
  Tais limitações e salvaguardas existem certamente no projeto de lei». Lorde David Anderson, Report of the bulk power review (Relatório de análise ao poder em larga escala), agosto de 2016, ponto 1.9, disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/546925/56730_Cm9326_WEB.PDF

361

deve ser claro que a recolha e a conservação de dados em larga escala não equivalem à chamada “vigilância em larga escala”

Qualquer sistema jurídico digno desse nome incluirá limitações e salvaguardas destinadas precisamente a garantir que o acesso aos arquivos de dados sensíveis não é facultado de forma indiscriminada ou injustificada.

Tais limitações e salvaguardas existem certamente no projeto de lei».

Report of the bulk power review

(362)  
  Section 2.2. do IPA 2016. Ver, por exemplo, o Code of Practice on Bulk Acquisition of Communications Data, ponto 4.11, disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf

362

Section 2.2.

Code of Practice on Bulk Acquisition of Communications Data

(363)  As «ilhas Britânicas» constituem o Reino Unido, as ilhas Anglo-Normandas e a ilha de Man e estão definidas no schedule 1 do Interpretation Act 1978 (Lei de 1978 relativa à Interpretação de Leis), disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/1978/30/schedule/1

363

schedule 1

Interpretation Act 1978

(364)  Nos termos da section 136 do IPA 2016, entende-se por «comunicações relacionadas com o estrangeiro»: i) comunicações enviadas por pessoas que se encontram fora das ilhas Britânicas, ou ii) comunicações recebidas por pessoas que se encontram fora das ilhas Britânicas. Este regime, tal como confirmado pelas autoridades do Reino Unido, abrange igualmente as comunicações entre duas pessoas que se encontram ambas fora das ilhas Britânicas. A Grande Secção do Tribunal Europeu dos Direitos Humanos, no processo Big Brother Watch e o./Reino Unido (ver a nota de rodapé 279 acima), n.o 376, considerou, no que respeita a uma limitação semelhante (relativa às «comunicações externas») das comunicações que podem ser captadas por interceção em larga escala no âmbito do RIPA 2000, que era suficientemente delimitada e previsível.

364

section 136

Big Brother Watch e o./Reino Unido

o

(365)  
  Section 136(4) do IPA 2016. De acordo com as explicações recebidas do Governo do Reino Unido, a interceção em larga escala pode ser utilizada, por exemplo, para identificar ameaças anteriormente desconhecidas para a segurança nacional do Reino Unido, filtrando e analisando material intercetado a fim de identificar as comunicações com valor em termos de informações [(Explanatory Framework section H: National security (Secção H do quadro explicativo: segurança nacional), p. 27 e 28, ver a nota de rodapé 29]. Tal como explicado pelas autoridades do Reino Unido, esses instrumentos podem ser utilizados para estabelecer ligações entre suspeitos conhecidos, bem como para procurar indícios de atividade por pessoas que podem ainda não ser conhecidas, mas que surgem no decurso de uma investigação, e para identificar padrões de atividade que possam indicar uma ameaça para o Reino Unido.

365

Section 136(4)

Explanatory Framework section H: National security

(366)  Em conformidade com a section 13(1) do IPA 2016, o recurso a interferências com equipamentos por parte de um serviço de informações implica uma autorização através de um mandado ao abrigo do IPA 2016, desde que exista uma «ligação com as ilhas Britânicas», ver o considerando 211.

366

section 13(1)

(367)  
  Section 176 do IPA 2016. Um mandado de interferência em equipamentos em larga escala não pode autorizar uma conduta que (a menos que praticado com competência jurídica para o efeito) constitua uma interceção ilícita (exceto relativamente a uma comunicação armazenada). De acordo com o quadro explicativo do Reino Unido, as informações obtidas poderiam ser necessárias para identificar suspeitos e seriam normalmente operações de grande escala adequadas [Explanatory Framework, section H: National security (Secção H do quadro explicativo: segurança nacional), p. 28, ver a nota de rodapé 29].

367

Section 176

Explanatory Framework, section H: National security

(368)  
  Section 138(1) e 178(1) do IPA 2016.

368

Section 138(1)

178(1)

(369)  
  Section 138(2) e 178(2) do IPA 2016.

369

Section 138(2)

178(2)

(370)  De acordo com as explicações fornecidas pelas autoridades do Reino Unido, por exemplo, uma finalidade operacional pode limitar o âmbito da medida à existência de uma ameaça numa zona geográfica específica.

370

(371)  
  Section 142(4)-(10) do IPA 2016.

371

Section 142(4)-(10)

(372)  
  High Court of Justice, Liberty, [2019] EWHC 2057 (Admin.), n.o 167.

372

High Court of Justice

Liberty

o

(373)  As sections 152 e 193 do IPA 2016 exigem que: a) a seleção para exame seja efetuada apenas para as finalidades operacionais especificadas no mandado, b) a seleção para exame seja necessária e proporcionada em todas as circunstâncias e c) a seleção para exame não viole a proibição de selecionar material e identificar as comunicações que tenham sido enviadas ou destinadas a pessoas conhecidas das ilhas Britânicas nesse momento.

373

sections 152

193

(374)  Ver o Code of Practice on Interception of Communications, ponto 6.6, ver a nota de rodapé 278.

374

Code of Practice on Interception of Communications

(375)  
  Sections 138(1)(b) e (c) e sections 178(b) e (c) do IPA 2016.

375

Sections 138(1)(b)

(c)

sections 178(b)

(c)

(376)  
  Code of Practice on Interception of Communications, ponto 4.10, ver a nota de rodapé 278.

376

Code of Practice on Interception of Communications

(377)  
  Code of Practice on Interception of Communications, ponto 6.20, ver a nota de rodapé 278, e Code of Practice on Equipment Interference, ponto 6.13, ver a nota de rodapé 348.

377

Code of Practice on Interception of Communications

Code of Practice on Equipment Interference

(378)  
  Section 138(1)(g) e 178(1)(f) do IPA 2016. A autorização prévia de um organismo independente foi, nomeadamente, identificada pelo Tribunal Europeu dos Direitos Humanos como uma garantia importante contra os abusos no contexto da interceção em larga escala. Tribunal Europeu dos Direitos Humanos, Big Brother Watch e o./Reino Unido (ver a nota de rodapé 269 acima), n.os 351 e 352. Importa ter em conta que este acórdão dizia respeito ao anterior quadro jurídico (RIPA 2000), que não continha algumas das garantias (incluindo a autorização prévia de um comissário judicial independente) introduzidas pelo IPA 2016.

378

Section 138(1)(g)

178(1)(f)

Big Brother Watch e o./Reino Unido

os

(379)  
  Section 159(3) e (4) do IPA 2016.

379

Section 159(3)

(4)

(380)  
  Sections 143 a 146 e 184 a 188 do IPA 2016. Em caso de alteração urgente, o ministro da tutela pode proceder à alteração sem aprovação prévia, mas deve notificar o comissário e este deve então decidir se aprova ou recusa a alteração (section 147 do IPA 2016). Os mandados devem ser anulados sempre que um mandado deixe de ser necessário ou proporcionado, ou que o exame do conteúdo intercetado, dos metadados ou de outros dados obtidos ao abrigo do mandado deixe de ser necessário para qualquer das finalidades operacionais especificadas no mandado (sections 148 e 189 do IPA 2016).

380

Sections 143

146

184

188

section 147

sections 148

189

(381)  
  Code of Practice on Interception of Communications, pontos 6.44 a 6.47, ver a nota de rodapé 278, e Code of Practice on Equipment Interference, ponto 6.48, ver a nota de rodapé 348.

381

Code of Practice on Interception of Communications

Code of Practice on Equipment Interference

(382)  
  Section 156 do IPA 2016.

382

Section 156

(383)  
  Sections 150 e 191 do IPA 2016.

383

Sections 150

191

(384)  A Grande Secção do Tribunal Europeu dos Direitos Humanos, no processo Big Brother Watch e o./Reino Unido (ver a nota de rodapé 268 acima), confirmou o sistema de garantias adicionais para a conservação, o acesso e a divulgação que foi previsto ao abrigo do RIPA 2000, ver n.os 392 a 394 e 402 a 405. O IPA 2016 prevê o mesmo sistema de garantias.

384

Big Brother Watch e o./Reino Unido

os

(385)  
  Sections 151 e 192 do IPA 2016.

385

Sections 151

192

(386)  Para mais informações sobre estas finalidades, ver a nota de rodapé 312.

386

(387)  Os códigos relativos à interceção de comunicações especificam, a este respeito, que estes sistemas de tratamento tratam dados provenientes das ligações ou sinais de comunicações que a autoridade intercetora optou por intercetar. Em seguida, é aplicado um certo nível de filtragem ao tráfego nessas ligações e sinais, concebido para selecionar tipos de comunicações com potencial valor em termos de informações, ao mesmo tempo que se descartam as menos suscetíveis de terem valor em termos de informações. Em resultado desta filtragem, que variará entre os sistemas de tratamento, uma parte significativa das comunicações nessas ligações e sinais será automaticamente descartada. Poderão então efetuar-se outras pesquisas complexas para identificar outras comunicações mais suscetíveis de ter maior valor em termos de informações e relacionadas com as funções legais da agência. Estas comunicações podem então ser selecionadas para exame para uma ou mais das finalidades operacionais especificadas no mandado, se estiverem reunidas as condições de necessidade e proporcionalidade. Apenas os elementos que não tenham sido filtrados podem potencialmente ser selecionados para exame por pessoas autorizadas [Code of Practice on Interception of Communications (código de boas práticas sobre a interceção das comunicações), ponto 6.6, ver a nota de rodapé 278].

387

Code of Practice on Interception of Communications

(388)  Ver section 152(1), alíneas a) e b), do IPA 2016, segundo a qual o exame do tipo de dados (conteúdos intercetados e dados secundários) deve ser efetuado apenas para a finalidade especificada e ser necessário e proporcionado em todas as circunstâncias.

388

section 152(1)

(389)  Este tipo de mandado não é exigido quando os dados relativos a pessoas que se encontram nas ilhas Britânicas são «dados secundários» (ver section 152(1), alínea c), do IPA 2016).

389

section 152(1)

(390)  
  Sections 152 e 193 do IPA 2016.

390

Sections 152

193

(391)  
  Sections 155 e 196 do IPA 2016.

391

Sections 155

196

(392)  
  Sections 152 e 193 do IPA 2016.

392

Sections 152

193

(393)  
  Section 229 do IPA 2016.

393

Section 229

(394)  
  Code of Practice on Interception of Communications, ponto 6.74, ver a nota de rodapé 278, e Code of Practice on Equipment Interference, ponto 6.78, ver a nota de rodapé 348.

394

Code of Practice on Interception of Communications

Code of Practice on Equipment Interference

(395)  O IPCO foi constituído ao abrigo da section 238 do IPA 2016 para fornecer ao comissário para os poderes de investigação o pessoal, o alojamento, o equipamento e outros serviços necessários para o desempenho das suas funções (ver o considerando 251).

395

section 238

(396)  O relatório anual de 2018 do IPCO especificou que as justificações registadas pelos analistas do GCHQ cumpriam a norma exigida e os analistas estavam a ter em conta a proporcionalidade das suas consultas de dados em larga escala em suficiente detalhe. Relatório anual de 2018 do comissário para os poderes de investigação, ponto 6.22, ver a nota de rodapé 464.

396

(397)  Relatório anual de 2019 do comissário para os poderes de investigação, ponto 7.6, ver a nota de rodapé 463.

397

(398)  Relatório anual de 2019 do comissário para os poderes de investigação, ponto 10.22, ver a nota de rodapé 463.

398

(399)  Isto decorre da definição de dados de comunicações prevista na section 261(5) do IPA 2016, segundo a qual os dados de comunicações são detidos ou obtidos por um operador de telecomunicações e dizem respeito ao utilizador de um serviço de telecomunicações e estão relacionados com a prestação desse serviço, ou estão incluídos, fazem parte, estão ligados ou logicamente associados a uma comunicação (ver também o Code of Practice on Bulk Acquisition of Communications Data), disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf, pontos 2.15 a 2.22]. Além disso, a definição de operador de telecomunicações prevista na section 261(10) do IPA 2016 exige que um operador de telecomunicações seja uma pessoa que disponibilize ou preste um serviço de telecomunicações a pessoas no Reino Unido ou que controle ou forneça um sistema de telecomunicações que se encontra (total ou parcialmente) no Reino Unido ou é controlado a partir do Reino Unido. Estas definições tornam claro que as obrigações ao abrigo do IPA 2016 não podem ser impostas aos operadores de telecomunicações cujo equipamento não se encontre no Reino Unido ou não seja controlado a partir do Reino Unido e que não ofereçam nem prestem serviços a pessoas no Reino Unido (ver também o Code of Practice on Bulk Acquisition of Communications Data, ponto 2.2). Se os assinantes da UE (quer estejam localizados na UE, quer no Reino Unido) utilizassem serviços no Reino Unido, quaisquer comunicações relacionadas com a prestação destes serviços seriam recolhidas diretamente pelo prestador de serviços no Reino Unido e não sujeitas a uma transferência da UE.

399

section 261(5)

Code of Practice on Bulk Acquisition of Communications Data

section 261(10)

Code of Practice on Bulk Acquisition of Communications Data

(400)  A section 94(1) do Telecommunication Act 1984 (Lei de 1984 relativa às Comunicações) dispunha que o ministro da tutela podia emitir instruções de caráter geral que lhe pareçam necessárias ou oportunas no interesse da segurança nacional (ver a nota de rodapé 451).

400

section 94(1)

Telecommunication Act 1984

(401)  Ver o acórdão Privacy International, n.o 78.

401

o

(402)  Ver o Code of Practice on Bulk Acquisition of Communications Data, ponto 4.11 (ver a nota de rodapé 399414).

402

Code of Practice on Bulk Acquisition of Communications Data

(403)  Um mandado de aquisição em larga escala só pode ser solicitado pelos responsáveis dos serviços de informações que sejam: i) o diretor-geral do serviço de segurança (Director General of the Security Service), ii) o diretor do serviço de informações secretas (Chief of the Secret Intelligence Service), ou iii) o diretor do GCHQ (ver sections 158 e 263 do IPA 2016).

403

Director General of the Security Service

Chief of the Secret Intelligence Service

sections 158

263

(404)  
  Code of Practice on Bulk Acquisition of Communications Data, ponto 4.5 (ver a nota de rodapé 399).

404

Code of Practice on Bulk Acquisition of Communications Data

(405)  Nos termos da section 161 do IPA 2016, os objetivos operacionais especificados no mandado devem ser os especificados numa lista mantida pelos responsáveis dos serviços de informações («lista de finalidades operacionais»), como objetivos que consideram serem fins operacionais para os quais os dados de comunicações obtidos com base em certificados de aquisição agrupados podem ser selecionados para exame.

405

section 161

(406)  
  Code of Practice on Bulk Acquisition of Communications Data, ponto 6.6 (ver a nota de rodapé 399).

406

Code of Practice on Bulk Acquisition of Communications Data

(407)  A section 172 do IPA 2016 exige que sejam estabelecidas salvaguardas específicas para a fase de filtragem e seleção para o exame da comunicação adquirida em larga escala. Além disso, um exame deliberado em violação destas salvaguardas constitui igualmente uma infração penal (ver a section 173 do IPA 2016).

407

section 172

section 173

(408)  
  Section 171 do IPA 2016.

408

Section 171

(409)  
  Section 171(9) do IPA 2016.

409

Section 171(9)

(410)  
  Section 162 do IPA 2016.

410

Section 162

(411)  
  Section 163 do IPA 2016.

411

Section 163

(412)  
  Section 164 a 166 do IPA 2016.

412

Section 164

166

(413)  
  Section 159 do IPA 2016.

413

Section 159

(414)  Relatório anual de 2019 do IPCO, ponto 8.6, ver a nota de rodapé 463.

414

(415)  Relatório anual de 2019 do IPCO, ponto 10.4, ver a nota de rodapé 463.

415

(416)  Relatório anual de 2019 do IPCO, ponto 8.37, ver a nota de rodapé 463.

416

(417)  
  Section 200 do IPA 2016.

417

Section 200

(418)  
  Explanatory Framework for Adequacy Discussions, section H: National security (Secção H do quadro explicativo do Reino Unido para debates de adequação: segurança nacional), p. 34, ver a nota de rodapé 29.

418

Explanatory Framework for Adequacy Discussions, section H: National security

(419)  
  Section 204 do IPA 2016.

419

Section 204

(420)  
  Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets (código de boas práticas sobre a conservação e utilização de conjuntos de dados pessoais em larga escala dos serviços de informações), ponto 4.7, disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715478/Bulk_Personal_Datasets_Code_of_Practice.pdf

420

Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets

(421)  
  Section 205 do IPA 2016.

421

Section 205

(422)  Como, por exemplo, dados pessoais sensíveis, ver a section 202 do IPA 2016 e o Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets, pontos 4.21 e 4.12, ver a nota de rodapé 469.

422

section 202

Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets

(423)  Um pedido de um mandado de conjuntos de dados pessoais em larga escala específicos deve ser analisado individualmente pelo ministro da tutela, ou seja, em relação a um conjunto de dados específico. O serviço de informações é obrigado, nos termos da section 205 do IPA, a incluir no seu pedido de mandado de conjuntos de dados pessoais em larga escala específicos uma explicação pormenorizada da natureza e extensão do material em questão e uma lista das «finalidades operacionais» para as quais o serviço de informações pretende examinar o conjunto de dados pessoais em larga escala (quando o serviço de informações solicitar um mandado para conservação e exame e não apenas para conservação). Por sua vez, ao emitir um mandado de conjuntos de dados pessoais em larga escala de classe, o ministro da tutela tem imediatamente em conta toda a categoria de conjuntos de dados.

423

section 205

(424)  
  Section 204 e section 205 do IPA 2016.

424

Section 204

section 205

(425)  
  Section 2 do IPA 2016.

425

Section 2

(426)  
  Sections 204 e 205 do IPA 2016.

426

Sections 204

205

(427)  
  Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets, ponto 5.2, ver a nota de rodapé 420.

427

Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets

(428)  
  Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets, pontos 8.1 a 8.15, ver a nota de rodapé 420.

428

Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets

(429)  
  Explanatory Framework for Adequacy Discussions, section H: National security (Secção H do quadro explicativo do Reino Unido para debates de adequação: segurança nacional), p. 34, ver a nota de rodapé 29.

429

Explanatory Framework for Adequacy Discussions, section H: National security

(430)  
  Section 87(1) do DPA 2018.

430

Section 87(1)

(431)  
  Section 87(3) do DPA 2018. Embora os responsáveis pelo tratamento possam estar isentos deste princípio nos termos da section 110 do DPA 2018, na medida em que tal isenção seja necessária para salvaguardar a segurança nacional, essa isenção deve ser avaliada caso a caso e só pode ser invocada na medida em que a aplicação de uma disposição específica tenha consequências negativas para a segurança nacional (ver o considerando 132). Os certificados de segurança nacional para os serviços de informações do Reino Unido (disponíveis na seguinte ligação: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/) não abrangem a section 87(3) do DPA 2018. Além disso, uma vez que qualquer tratamento com uma finalidade diferente deve ser autorizado por lei, os serviços de informações devem dispor de uma base jurídica clara para o tratamento posterior.

431

Section 87(3)

section 110

section 87(3)

(432)  Para informações adicionais sobre estes fins, ver a nota de rodapé 312.

432

(433)  Ver a nota de rodapé 312.

433

(434)  Orientações do ICO sobre o tratamento pelos serviços de informações (ver a nota de rodapé 161).

434

(435)  
  Section 54 do IPA 2016.

435

Section 54

(436)  
  Section 130 do IPA 2016.

436

Section 130

(437)  
  Section 151 do IPA 2016.

437

Section 151

(438)  
  Section 171(9) do IPA 2016.

438

Section 171(9)

(439)  
  Section 192 do IPA 2016.

439

Section 192

(440)  As disposições devem incluir medidas destinadas a garantir que todas as cópias de qualquer um desses materiais são armazenadas de forma segura enquanto forem conservadas. O material obtido ao abrigo de um mandado e todas as cópias de qualquer desses materiais devem ser destruídos logo que deixem de existir motivos pertinentes para a sua conservação (ver sections 150(2), 150(5) e 151(2) do IPA 2016). Importa notar que garantias semelhantes, previstas no quadro jurídico anterior (RIPA 2000), foram consideradas em conformidade com os requisitos estabelecidos pelo Tribunal Europeu dos Direitos Humanos para a partilha de material obtido por interceção em larga escala com Estados estrangeiros ou organizações internacionais (Tribunal Europeu dos Direitos Humanos (Grande Secção), Big Brother Watch e o./Reino Unido [ver a nota de rodapé 279 acima], n.os 362 e 399).

440

sections 150(2)

150(5)

151(2)

Big Brother Watch e o./Reino Unido

os

(441)  
  Section 116 do DPA 2018.

441

Section 116

(442)  Nos termos do schedule 13, ponto 2, do DPA 2018, podem ser emitidas notificações de execução e sanção a um responsável pelo tratamento ou subcontratante em relação a violações da parte 4, capítulo 2, do DPA 2018 (princípios do tratamento), de uma disposição da parte 4 do DPA 2018 que confira direitos a um titular de dados, da obrigação de comunicar uma violação de dados pessoais ao comissário nos termos da section 108 do DPA 2018, e dos princípios aplicáveis às transferências de dados pessoais para países terceiros, países que não sejam membros da Convenção e organizações internacionais da section 109 do DPA (para mais informações sobre a notificação de execução e sanção, ver o considerando 92).

442

schedule 13

section 108

section 109

(443)  Nos termos da section 147(6) do DPA de 2018, o comissário para a informação não pode notificar um organismo especificado na section 23(3) do Freedom of Information Act 2000 (Lei de 2000 relativa à Liberdade de Informação). Incluem-se aqui o Security Service (serviço de segurança) (MI5), o Secret Intelligence Service (serviço de informações secretas) (MI6) e o Government Communications Headquarter (quartel-general de comunicações do Estado).

443

section 147(6)

section 23(3)

Freedom of Information Act 2000

Security Service

Secret Intelligence Service

Government Communications Headquarter

(444)  As disposições passíveis de isenção são: section 108 (comunicação de uma violação de dados pessoais ao comissário), section 119 (inspeção em conformidade com as obrigações internacionais), sections 142 a 154 e schedule 15 (notificações do comissário e poderes de entrada e de inspeção) e sections 170 a 173 (infrações relativas a dados pessoais). Além disso, em relação ao tratamento efetuado pelos serviços de informações previsto no schedule 13 (outras funções gerais do comissário), n.o 1, alíneas a) e g), e n.o 2.

444

section 108

section 119

sections 142

154

schedule 15

sections 170

173

schedule 13

o

o

(445)  Memorando de entendimento celebrado entre o Gabinete do Comissário para a Informação e o UK Intelligence Community, ver a nota de rodapé 165.

445

UK Intelligence Community

(446)  Em sete destes casos, o comissário para a informação aconselhou o reclamante a dar a conhecer as suas preocupações ao responsável pelo tratamento (trata-se dos casos em que a pessoa deu a conhecer as suas preocupações ao comissário para a informação, mas deveria tê-lo feito primeiro junto do responsável pelo tratamento). Num dos casos, o comissário para a informação prestou aconselhamento geral ao responsável pelo tratamento (esta opção é utilizada quando não se afigura que os atos do responsável pelo tratamento tenham violado a legislação, mas uma melhoria das práticas poderia ter evitado que a questão fosse suscitada junto do comissário para a informação) e noutros 13 casos não foi necessária qualquer medida por parte do responsável pelo tratamento [esta opção é utilizada quando as questões suscitadas pelas pessoas são abrangidas pelo Data Protection Act 2018, uma vez que dizem respeito ao tratamento de informações pessoais, mas em que, com base nas informações transmitidas, não se afigura ter havido uma violação da legislação por parte do responsável pelo tratamento].

446

Data Protection Act 2018

(447)  Em conformidade com a section 227(7) e (8) do IPA 2016, o comissário para os poderes de investigação é um comissário judicial e comissário para os poderes de investigação e os outros comissários judiciais são conhecidos, coletivamente, como comissários judiciais. Existem atualmente 15 comissários judiciais.

447

section 227(7)

(8)

(448)  Nos termos da section 60(2) da parte 3 do Constitutional Reform Act 2005 (Lei de 2005 relativa à Reforma Constitucional), entende-se por «alto cargo judicial» o cargo de juiz de qualquer um dos seguintes tribunais: i) o Supreme Court (Supremo Tribunal), ii) o Court of Appeal in England and Wales (Tribunal de Recurso da Inglaterra e do País de Gales), iii) o High Court in England and Wales (Tribunal Superior da Inglaterra e do País de Gales), iv) o Court of Session (Tribunal de Sessão), v) o Court of Appeal in Northern Ireland (Tribunal de Recurso da Irlanda do Norte), vi) o High Court in Northern Ireland (Tribunal Superior da Irlanda do Norte); ou o cargo de Lord of Appeal in Ordinary (Lorde de Recurso Ordinário).

448

section 60(2)

Constitutional Reform Act 2005

Supreme Court

Court of Appeal in England and Wales

High Court in England and Wales

Court of Session

Court of Appeal in Northern Ireland

High Court in Northern Ireland

Lord of Appeal in Ordinary

(449)  A independência do poder judicial baseia-se numa convenção e tem sido amplamente reconhecido desde o 1701 Act of Settlement (Lei de 1701 relativa à Sucessão da Coroa).

449

1701 Act of Settlement

(450)  
  Section 227(3) do IPA 2016. Os comissários judiciais devem também ser recomendados pelo comissário para os poderes de investigação, section 227(4)(e) do IPA 2016.

450

Section 227(3)

section 227(4)(e)

(451)  
  Section 238 do IPA 2016.

451

Section 238

(452)  
  Section 227(2) do IPA 2016.

452

Section 227(2)

(453)  O processo de destituição é idêntico ao processo de destituição para outros juízes no Reino Unido [ver, por exemplo, a section 11(3) do Senior Courts Act 1981 (Lei de 1981 relativa aos Tribunais Superiores) e a section 33 do Constitutional Reform Act 2005, que também exigem uma resolução na sequência de uma aprovação por ambas as câmaras do parlamento]. Até à data, nenhum comissário judicial foi destituído das suas funções.

453

section 11(3)

Senior Courts Act 1981

section 33

Constitutional Reform Act 2005

(454)  Um organismo público independente é uma organização ou agência que recebe financiamento público, mas capaz de agir de forma independente (para uma definição e mais informações sobre um organismo público independente, consultar o manual do Gabinete de Ministros sobre a classificação dos organismos públicos, disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/519571/Classification-of-Public_Bodies-Guidance-for-Departments.pdf e o primeiro relatório da sessão de 2014-2015 da Public Administration Select Committee (comissão especial para a administração pública) da Câmara dos Comuns, disponível na seguinte ligação: https://publications.parliament.uk/pa/cm201415/cmselect/cmpubadm/110/110.pdf).

454

Public Administration Select Committee

(455)  De acordo com a section 229 do IPA 2016, o comissário judicial dispõe de amplos poderes de supervisão, que abrangem igualmente a supervisão da conservação e da divulgação dos dados recolhidos pelos serviços de informações.

455

section 229

(456)  Compete aos próprios comissários judiciais decidir quanto à aprovação de uma decisão do ministro da tutela de emitir um mandado. Se um comissário se recusar a aprovar um mandado, o ministro da tutela pode recorrer para o comissário para os poderes de investigação, cuja decisão é definitiva.

456

(457)  A autorização do comissário para os poderes de investigação é sempre solicitada quando os dados de comunicações são adquiridos para efeitos de aplicação da lei (section 60A do IPA 2016). Quando os dados de comunicações são adquiridos para efeitos de segurança nacional, a autorização pode ser concedida pelo comissário para os poderes de investigação ou, em alternativa, por um dirigente superior designado da autoridade pública competente (ver sections 61 e 61A do IPA 2016 e o considerando 203).

457

section 60A

sections 61

61A

(458)  
  End of Mission Statement of the Special Rapporteur on the Right to Privacy at the Conclusion Of his Mission to the United Kingdom of Great Britain and Northern Ireland (ver a nota de rodapé 281).

458

End of Mission Statement of the Special Rapporteur on the Right to Privacy at the Conclusion Of his Mission to the United Kingdom of Great Britain and Northern Ireland

(459)  
  Section 229 do IPA 2016. Os poderes em matéria de investigação e de informação do comissário judicial encontram-se descritas na section 235 do IPA 2016.

459

Section 229

section 235

(460)  Tal inclui medidas de vigilância ao abrigo do RIPA 2000, o exercício de funções ao abrigo da parte 3 do Police Act 1997 (Lei de 1997 relativa à Polícia) (autorização de ação em matéria de propriedade) e o exercício pelo ministro da tutela das funções ao abrigo das sections 5 a 7 do Intelligence Services Act 1994 (mandados de interferência em telegrafia sem fios, entrada e interferência em propriedade (section 229 do IPA 2016).

460

Police Act 1997

sections 5

7

Intelligence Services Act 1994

section 229

(461)  
  Section 230 do IPA 2016. O comissário para os poderes de investigação pode igualmente informar o primeiro-ministro, por sua iniciativa, sobre qualquer questão relacionada com as suas funções. O comissário para os poderes de investigação deve igualmente informar o primeiro-ministro, a seu pedido, e o este pode instruir o comissário para os poderes de investigação para rever todas as funções dos serviços de informações.

461

Section 230

(462)  Algumas partes podem ser excluídas se a sua publicação for contrária à segurança nacional.

462

(463)  Por exemplo, no relatório anual de 2019 do IPCO (ponto 6.38), é referido que foi recomendado ao MI5 que alterasse a sua política de conservação de conjuntos de dados pessoais em larga escala, uma vez que deveria ter adotado uma abordagem em que fosse tida em conta a proporcionalidade da conservação para todos os domínios de detenção de conjuntos de dados pessoais em larga escala e relativamente a cada conjunto de dados pessoais em larga escala detido. No final de 2018, o IPCO não estava convencido de que esta recomendação tinha sido seguida e o relatório de 2019 explicava que a MI5 está agora a introduzir um novo procedimento para cumprir este requisito. O relatório anual de 2019 (ponto 8.22) refere igualmente que foram formuladas várias recomendações para o GCHQ relativas à contabilização dos registos da proporcionalidade das suas consultas sobre dados em larga escala. O relatório confirma que foram introduzidas melhorias neste domínio no final de 2018. Annual Report of the Investigatory Powers Commissioner Office 2019 (Relatório anual de 2019 do Gabinete do Comissário para os Poderes de Investigação), disponível na seguinte ligação: https://www.ipco.org.uk/docs/IPC%20Annual%20Report%202019_Web%20Accessible%20version_final.pdf. Além disso, cada inspeção do IPCO a uma autoridade pública é concluída com um relatório apresentado à autoridade e inclui todas as recomendações decorrentes dessa inspeção. Em seguida, o IPCO inicia cada inspeção subsequente com uma análise das recomendações formuladas anteriormente a respeito da última inspeção e reflete no novo relatório de inspeção se as recomendações anteriores foram aplicadas ou adiadas.

463

Annual Report of the Investigatory Powers Commissioner Office 2019

(464)  Um erro é considerado «grave» quando o comissário considerar que causou prejuízos ou danos significativos à pessoa em causa [section 231(2) do IPA 2016]. Em 2018, foram comunicados 22 erros, dos quais oito foram considerados graves e resultaram em informações à pessoa em causa. Ver Annual Report of the Investigatory Powers Commissioner Office 2018 (Relatório anual de 2018 do Gabinete do Comissário para os Poderes de Investigação), anexo C (consultar https://www.ipco.org.uk/docs/IPCO%20Annual%20Report%202018%20final.pdf). Em 2019, 14 erros foram considerados graves. Ver Annual Report of the Investigatory Powers Commissioner Office 2019 (Relatório anual de 2019 do Gabinete do Comissário para os Poderes de Investigação), anexo C, ver a nota de rodapé 463.

464

section 231(2)

Annual Report of the Investigatory Powers Commissioner Office 2018

Annual Report of the Investigatory Powers Commissioner Office 2019

(465)  A section 231 do IPA 2016 especifica que, ao informar uma pessoa de um erro, o comissário para os poderes de investigação deve fornecer as informações que o comissário considere necessárias para o exercício desses direitos, tendo em conta, nomeadamente, em que medida a divulgação dos dados é contrária ao interesse público ou prejudicial à prevenção ou deteção da criminalidade grave, ao bem-estar económico do Reino Unido ou ao exercício continuado das funções de qualquer um dos serviços de informações.

465

section 231

(466)  Tal como explicado pelas autoridades do Reino Unido, o JSA aumentou as competências da ISC no sentido de incluir uma função na supervisão da comunidade dos serviços de informações, permitindo uma supervisão retrospetiva das atividades operacionais dos serviços em matérias de interesse nacional significativo.

466

(467)  
  Section 2 do JSA 2013.

467

Section 2

(468)  Memorando de entendimento entre o primeiro-ministro e a ISC, disponível na seguinte ligação: http://data.parliament.uk/DepositedPapers/Files/DEP2013-0415/AnnexA-JSBill-summaryofISCMoU.pdf

468

(469)  Memorando de entendimento entre o primeiro-ministro e a ISC, ponto 14, ver a nota de rodapé 468.

469

(470)  O ministro da tutela só pode vetar a divulgação da informação por dois motivos: a informação é sensível e não deve ser divulgada à ISC no interesse da segurança nacional ou trata-se de informação de tal natureza que, se o ministro da tutela fosse convidado a apresentá-la a uma comissão especial parlamentar da Câmara dos Comuns, o ministro da tutela ponderaria se tal seria adequado (por motivos não limitados à segurança nacional) (schedule 1, n.o 4, ponto 2, do JSA 2013).

470

schedule 1

o

(471)  
  Explanatory Framework for Adequacy Discussions, section H: National security (Secção H do quadro explicativo do Reino Unido para debates de adequação: segurança nacional), p. 43, ver a nota de rodapé 31.

471

Explanatory Framework for Adequacy Discussions, section H: National security

(472)  
  Section 1 do JSA 2013. Os ministros não são elegíveis como membros. Os mandato dos membros da ISC terá igual duração à legislatura do parlamento em que foram nomeados. Podem ser destituídos por resolução da Câmara pela qual foram nomeados, se deixarem de ser deputados do parlamento ou se passarem a ministros. Os membros podem também renunciar ao cargo.

472

Section 1

(473)  Os relatórios e as declarações da comissão estão disponíveis em linha na seguinte ligação: https://isc.independent.gov.uk/publications/. Em 2015, a ISC publicou um relatório intitulado Privacy and Security: A modern and transparent legal framework (Privacidade e segurança: um quadro jurídico moderno e transparente) (ver: https://isc.independent.gov.uk/wp-content/uploads/2021/01/20150312_ISC_PSRptweb.pdf), no qual analisou o quadro jurídico para as técnicas de vigilância utilizadas pelos serviços de informações e formulou um conjunto de recomendações que foram então tidas em conta e integradas no projeto de Lei relativa aos Poderes de Investigação que se converteu em lei, o IPA 2016. A resposta do governo ao relatório sobre a privacidade e a segurança está disponível na seguinte ligação: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20151208_Privacy_and_Security_Government_Response.pdf

473

Privacy and Security: A modern and transparent legal framework

(474)  
  Section 142, 161 e 183 do IPA 2016.

474

Section 142

161

183

(475)  
  Section 234 do IPA 2016.

475

Section 234

(476)  
  Section 236 do IPA 2016.

476

Section 236

(477)  
  Intelligence and Security Committee of Parliament, Report on the draft Investigatory Powers Bill (Relatório sobre o projeto de Lei relativa aos Poderes de Investigação), disponível na seguinte ligação: https://isc.independent.gov.uk/wp-content/uploads/2021/01/20160209_ISC_Rpt_IPBillweb.pdf

477

Intelligence and Security Committee of Parliament

Report on the draft Investigatory Powers Bill

(478)  Estes deveres gerais em matéria de privacidade encontram-se agora previstos na section 2(2) do IPA 2016, que prevê que uma autoridade pública, que atue ao abrigo do IPA 2016, deve ter em conta se o que se pretende alcançar através do mandado, autorização ou notificação pode, na medida do razoável, ser alcançado com recurso a outros meios menos intrusivos, se o nível de proteção a aplicar em relação a qualquer obtenção de informações por força do mandado, autorização ou notificação é mais elevado devido à especial sensibilidade dessas informações, ao interesse público na integridade e segurança de quaisquer outros sistemas de telecomunicações e serviços postais, e a quaisquer outros aspetos de interesse público na proteção da privacidade.

478

section 2(2)

(479)  Por exemplo, na sequência do pedido da ISC, foi reduzido de cinco para três dias o número de dias em que um mandado «urgente» pode estar em vigor antes de o comissário judicial o ter de aprovar, tendo sido conferido à ISC o poder de reencaminhar questões para investigação ao comissário para os poderes de investigação.

479

(480)  
  Schrems II, n.o 194.

480

Schrems II

o

(481)  
  Schrems II, n.o 197.

481

Schrems II

o

(482)  
  Section 94(11) do DPA 2018.

482

Section 94(11)

(483)  
  Section 99(4) do DPA 2018.

483

Section 99(4)

(484)  
  Section 100(1) do DPA 2018.

484

Section 100(1)

(485)  A section 169 do DPA 2018 permite pedidos de indemnização de «[u]ma pessoa que sofra danos devido a uma violação de um requisito da legislação em matéria de proteção de dados». De acordo com as informações fornecidas pelas autoridades do Reino Unido, na prática, uma ação ou uma reclamação contra os serviços de informações serão provavelmente apresentadas no Investigatory Powers Tribunal, que tem uma ampla competência, pode atribuir indemnizações/compensações, e onde intentar uma ação não envolve custos.

485

section 169

Investigatory Powers Tribunal

(486)  
  Section 169(5) do DPA 2018.

486

Section 169(5)

(487)  Nos termos do schedule 3 do RIPA 2000, os membros do tribunal devem ter experiência judicial especificada e são elegíveis para uma nova nomeação.

487

schedule 3

(488)  Um «comunicado» é uma moção apresentada ao parlamento que procura informar a monarca dos pareceres do parlamento numa determinada questão.

488

(489)  
  Schedule 3, n.o 1, ponto 5, do RIPA 2000.

489

Schedule 3

o

(490)  
  Section 65(5) do RIPA 2000.

490

Section 65(5)

(491)  Sobre o critério de «convicção», ver o processo Human Rights Watch/Secretary of State [2016] UKIPTrib15_165-CH, n.o 41. Neste processo, o Investigatory Powers Tribunal, referindo-se à jurisprudência do Tribunal Europeu dos Direitos Humanos, considerou que o critério adequado, relativamente à convicção declarada de que uma conduta abrangida pela subsection 68(5) do RIPA 2000 foi levada a cabo por ou em nome de qualquer um dos serviços de informações, é se existe algum fundamento para tal convicção, de tal forma que a pessoa só possa alegar ser vítima de uma violação ocasionada pela mera existência de medidas secretas ou legislação que permita medidas secretas, se puder demonstrar que, devido à sua situação pessoal, está potencialmente em risco de ser sujeita a tais medidas.

491

Human Rights Watch/Secretary of State

o

Investigatory Powers Tribunal

subsection 68(5)

(492)  
  Section 65(4)(a) do RIPA 2000.

492

Section 65(4)(a)

(493)  Tais circunstâncias dizem respeito à conduta das autoridades públicas que tem lugar com autoridade (por exemplo, um mandado, uma autorização/notificação para a aquisição de comunicações, etc.), ou se as circunstâncias forem tais (exista ou não essa autoridade) que não teria sido adequado que a conduta tivesse ocorrido sem ela, ou pelo menos sem ter sido dada a devida consideração se tal autoridade deveria ser solicitada. As condutas autorizadas por um comissário judicial são consideradas como tendo ocorrido em circunstâncias contestáveis [section 65 (7ZA) do RIPA 2000], enquanto outras condutas que têm lugar com a autorização de uma pessoa que detém um cargo judicial são consideradas como não tendo ocorrido em circunstâncias contestáveis [section 65(7) e (8) do RIPA 2000].

493

section 65 (7ZA)

section 65(7)

(8)

(494)  De acordo com as informações fornecidas pelas autoridades do Reino Unido, o baixo limiar para a apresentação de uma reclamação faz com que não seja raro a investigação do tribunal determinar que o autor da reclamação nunca foi, na verdade, objeto de investigação por uma autoridade pública. O último relatório estatístico do Investigatory Powers Tribunal especifica que, em 2016, o tribunal recebeu 209 reclamações, 52% das quais foram consideradas levianas ou vexatórias e 25% receberam um resultado «sem determinação». As autoridades do Reino Unido explicaram que tal significa que não foram utilizados poderes/atividades encobertas em relação aos autores das reclamações, ou que foram utilizadas técnicas encobertas e que o tribunal determinou que a atividade era legal. Além disso, 11% foram consideradas como estando fora da sua competência, foram retiradas ou não eram válidas, 5% foram consideradas intempestivas, e 7% foram decididas a favor do autor da reclamação. Relatório estatístico do Investigatory Powers Tribunal de 2016, disponível na seguinte ligação: https://www.ipt-uk.com/docs/IPT%20Statisical%20Report%202016.pdf

494

Investigatory Powers Tribunal

Investigatory Powers Tribunal

(495)  Ver o processo Human Rights Watch/Secretary of State [2016] UKIPTrib15_165-CH. Neste processo, o Investigatory Powers Tribunal, referindo-se à jurisprudência do Tribunal Europeu dos Direitos Humanos, considerou que o critério adequado relativamente à convicção de que uma conduta abrangida pela subsection 68(5) do RIPA 2000 foi levada a cabo por ou em nome de qualquer um dos serviços de informações é se existe algum fundamento para tal convicção, incluindo o facto de uma pessoa só poder alegar ser vítima de uma violação ocasionada pela mera existência de medidas secretas ou legislação que permita medidas secretas, se puder demonstrar que, devido à sua situação pessoal, está potencialmente em risco de ser sujeita a tais medidas (ver Human Rights Watch/Secretary of State, n.o 41).

495

Human Rights Watch/Secretary of State

Investigatory Powers Tribunal

subsection 68(5)

Human Rights Watch/Secretary of State,

o

(496)  
  Section 67(3) do RIPA 2000.

496

Section 67(3)

(497)  
  Section 67(2) do RIPA 2000.

497

Section 67(2)

(498)  
  Section 68(6) – (7) do RIPA 2000.

498

Section 68(6) – (7)

(499)  
  Section 68(4) do RIPA 2000.

499

Section 68(4)

(500)  Um exemplo da aplicação dessas competências é o processo Liberty e o./Security Service, SIS, GCHQ, [2015] UKIP Trib 13_77-H_2. O tribunal decidiu a favor de dois autores de reclamações porque a sua comunicação, num caso, foi conservada além dos limites estabelecidos e, no outro, porque o procedimento de exame não foi seguido, conforme estabelecido no regulamento interno do GCHQ. No primeiro caso, o tribunal ordenou aos serviços de informações que destruíssem as comunicações que foram conservada por mais tempo do que o prazo pertinente. No segundo, não foi decretada uma ordem de destruição porque a comunicação não foi conservada.

500

Liberty e o./Security Service, SIS, GCHQ

(501)  
  Kennedy, ver nota de rodapé 129.

501

Kennedy,

(502)  Tribunal Europeu dos Direitos Humanos, Big Brother Watch e o./Reino Unido, (ver a nota de rodapé 268 acima), n.os 413 a 415.

502

Big Brother Watch e o./Reino Unido,

os

(503)  Tribunal Europeu dos Direitos Humanos, Big Brother Watch, n.o 425.

503

Big Brother Watch,

o

(504)  Tal como ilustrado, por exemplo, no recente acórdão da Grande Secção do Tribunal Europeu dos Direitos Humanos, no processo Big Brother Watch e o./Reino Unido (ver a nota de rodapé 279 acima ), tal permite um controlo judicial efetivo — semelhante àquele a que os Estados-Membros da UE estão sujeitos — por um tribunal internacional sobre a conformidade com os direitos fundamentais por parte das autoridades públicas no acesso aos dados pessoais. Além disso, a execução dos acórdãos do Tribunal Europeu dos Direitos Humanos está sujeita a um controlo específico pelo Conselho da Europa.

504

Big Brother Watch e o./Reino Unido

(505)  No processo Belhaj e o. [2017] UKSC 3, a determinação da ilegalidade da interceção de material protegido pela confidencialidade baseou-se diretamente no artigo 8.o da CEDH (ver determinação 11).

505

Belhaj e o.

o

(506)  
  High Court of Justice, Liberty, [2019] EWHC 2057 (Admin.), n.o 170.

506

High Court of Justice

Liberty

o

(507)  
  Schrems, n.o 65.

507

Schrems

o

(508)  
  Schrems, n.o 65: «A este respeito, incumbe ao legislador nacional prever vias de recurso que permitam à autoridade nacional de controlo em causa invocar as críticas que considera fundadas perante os órgãos jurisdicionais nacionais, para que estes últimos, caso partilhem das dúvidas dessa autoridade quanto à validade da decisão da Comissão, procedam a um reenvio prejudicial para efeitos da apreciação da validade dessa decisão».

508

Schrems

o

(509)  Parecer 14/2021 sobre o projeto de decisão de execução da Comissão Europeia nos termos do Regulamento (UE) 2016/679 relativa à adequação do nível de proteção de dados pessoais no Reino Unido, disponível na seguinte ligação: https://edpb.europa.eu/our-work-tools/our-documents/opinion-art-70/opinion-142021-regarding-european-commission-draft_en

509

---

| 11.10.2021 | PT | Jornal Oficial da União Europeia | L 360/69 |
| --- | --- | --- | --- |

11.10.2021

PT

Jornal Oficial da União Europeia

L 360/69

---

DECISÃO DE EXECUÇÃO (UE) 2021/1773 DA COMISSÃO

de 28 de junho de 2021

nos termos da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho sobre a adequação do nível de proteção dos dados pessoais assegurado pelo Reino Unido

[notificada com o número C(2021) 4801]

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (1), nomeadamente o artigo 36.o, n.o 3,

Considerando o seguinte:

1.   INTRODUÇÃO

INTRODUÇÃO

| (1) | A Diretiva (UE) 2016/680 estabelece as regras relativas às transferências de dados pessoais pelas autoridades competentes na União para países terceiros e organizações internacionais, na medida em que essas transferências sejam abrangidas pelo respetivo âmbito de aplicação. As regras relativas às transferências internacionais de dados pelas autoridades competentes são estabelecidas no capítulo V da Diretiva (UE) 2016/680, mais especificamente nos seus artigos 35.o a 40.°. Embora a circulação de dados pessoais com destino e a partir de países fora da União Europeia seja essencial para uma cooperação eficiente no domínio da aplicação da lei, é indispensável garantir que o nível de proteção concedido aos dados pessoais na União Europeia não é prejudicado por tais transferências (2). |
| --- | --- |

(1)

A Diretiva (UE) 2016/680 estabelece as regras relativas às transferências de dados pessoais pelas autoridades competentes na União para países terceiros e organizações internacionais, na medida em que essas transferências sejam abrangidas pelo respetivo âmbito de aplicação. As regras relativas às transferências internacionais de dados pelas autoridades competentes são estabelecidas no capítulo V da Diretiva (UE) 2016/680, mais especificamente nos seus artigos 35.o a 40.°. Embora a circulação de dados pessoais com destino e a partir de países fora da União Europeia seja essencial para uma cooperação eficiente no domínio da aplicação da lei, é indispensável garantir que o nível de proteção concedido aos dados pessoais na União Europeia não é prejudicado por tais transferências (2).

o

2

| (2) | Nos termos do artigo 36.o, n.o 3, da Diretiva (UE) 2016/680, a Comissão pode decidir, por meio de um ato de execução, que um país terceiro, um território, um ou mais setores específicos desse país terceiro, ou uma organização internacional, assegura(m) um nível de proteção adequado. Tendo em conta esta condição, pode-se efetuar transferências de dados pessoais para um país terceiro sem que seja necessária mais nenhuma autorização (salvo se outro Estado-Membro de onde provêm os dados tiver de autorizar a transferência), como previsto no artigo 35.o, n.o 1, e no considerando 66 da Diretiva (UE) 2016/680. |
| --- | --- |

(2)

Nos termos do artigo 36.o, n.o 3, da Diretiva (UE) 2016/680, a Comissão pode decidir, por meio de um ato de execução, que um país terceiro, um território, um ou mais setores específicos desse país terceiro, ou uma organização internacional, assegura(m) um nível de proteção adequado. Tendo em conta esta condição, pode-se efetuar transferências de dados pessoais para um país terceiro sem que seja necessária mais nenhuma autorização (salvo se outro Estado-Membro de onde provêm os dados tiver de autorizar a transferência), como previsto no artigo 35.o, n.o 1, e no considerando 66 da Diretiva (UE) 2016/680.

o

o

o

o

| (3) | Conforme especificado no artigo 36.o, n.o 2, da Diretiva (UE) 2016/680, a adoção de uma decisão de adequação tem de basear-se numa análise exaustiva da ordem jurídica do país terceiro. Na sua avaliação, a Comissão tem de apurar se o país terceiro em causa garante um nível de proteção «essencialmente equivalente» ao assegurado na União Europeia [considerando 67 da Diretiva (UE) 2016/680]. O critério pelo qual se avalia a «equivalência essencial» é o estabelecido pela legislação da UE, nomeadamente a Diretiva (UE) 2016/680, bem como pela jurisprudência do Tribunal de Justiça da União Europeia (3). O documento de referência relativo à adequação do Comité Europeu para a Proteção de Dados é também importante nesta matéria (4). |
| --- | --- |

(3)

Conforme especificado no artigo 36.o, n.o 2, da Diretiva (UE) 2016/680, a adoção de uma decisão de adequação tem de basear-se numa análise exaustiva da ordem jurídica do país terceiro. Na sua avaliação, a Comissão tem de apurar se o país terceiro em causa garante um nível de proteção «essencialmente equivalente» ao assegurado na União Europeia [considerando 67 da Diretiva (UE) 2016/680]. O critério pelo qual se avalia a «equivalência essencial» é o estabelecido pela legislação da UE, nomeadamente a Diretiva (UE) 2016/680, bem como pela jurisprudência do Tribunal de Justiça da União Europeia (3). O documento de referência relativo à adequação do Comité Europeu para a Proteção de Dados é também importante nesta matéria (4).

o

o

3

4

| (4) | Conforme esclareceu o Tribunal de Justiça da União Europeia, não é exigido um nível de proteção idêntico (5). Mais concretamente, os meios a que o país terceiro em causa recorre para proteger os dados pessoais podem ser diferentes dos aplicados na União Europeia, desde que se revelem, na prática, eficazes para assegurar um nível adequado de proteção (6). Por conseguinte, o padrão de adequação não exige que as regras da União sejam replicadas ponto por ponto. Em vez disso, importa aferir sobretudo se, por meio do teor dos direitos de privacidade e da sua aplicação, controlo e execução efetivos, o sistema estrangeiro consegue, no seu conjunto, garantir o nível de proteção exigido (7). |
| --- | --- |

(4)

Conforme esclareceu o Tribunal de Justiça da União Europeia, não é exigido um nível de proteção idêntico (5). Mais concretamente, os meios a que o país terceiro em causa recorre para proteger os dados pessoais podem ser diferentes dos aplicados na União Europeia, desde que se revelem, na prática, eficazes para assegurar um nível adequado de proteção (6). Por conseguinte, o padrão de adequação não exige que as regras da União sejam replicadas ponto por ponto. Em vez disso, importa aferir sobretudo se, por meio do teor dos direitos de privacidade e da sua aplicação, controlo e execução efetivos, o sistema estrangeiro consegue, no seu conjunto, garantir o nível de proteção exigido (7).

5

6

7

| (5) | A Comissão analisou com atenção o direito e as práticas pertinentes do Reino Unido. Com base nas suas conclusões, expostas a abaixo, a Comissão conclui que o Reino Unido assegura um nível adequado de proteção dos dados pessoais transferidos pelas autoridades competentes na União, abrangidas pelo âmbito de aplicação da Diretiva (UE) 2016/680, às autoridades competentes do Reino Unido abrangidas pelo âmbito de aplicação da parte 3 do Data Protection Act 2018 (Lei de 2018 relativa à Proteção de Dados – DPA 2018) (8). |
| --- | --- |

(5)

A Comissão analisou com atenção o direito e as práticas pertinentes do Reino Unido. Com base nas suas conclusões, expostas a abaixo, a Comissão conclui que o Reino Unido assegura um nível adequado de proteção dos dados pessoais transferidos pelas autoridades competentes na União, abrangidas pelo âmbito de aplicação da Diretiva (UE) 2016/680, às autoridades competentes do Reino Unido abrangidas pelo âmbito de aplicação da parte 3 do Data Protection Act 2018 (Lei de 2018 relativa à Proteção de Dados – DPA 2018) (8).

Data Protection Act 2018

8

| (6) | Em resultado da presente decisão, tais transferências podem ser efetuadas sem que seja necessária mais nenhuma autorização por um período de quatro anos, sob reserva de uma possível renovação e sem prejuízo das condições previstas no artigo 35.o da Diretiva (UE) 2016/680. |
| --- | --- |

(6)

Em resultado da presente decisão, tais transferências podem ser efetuadas sem que seja necessária mais nenhuma autorização por um período de quatro anos, sob reserva de uma possível renovação e sem prejuízo das condições previstas no artigo 35.o da Diretiva (UE) 2016/680.

o

2.   NORMAS APLICÁVEIS AO TRATAMENTO DE DADOS PESSOAIS POR AUTORIDADES COMPETENTES PARA FINS DE APLICAÇÃO DO DIREITO PENAL

NORMAS APLICÁVEIS AO TRATAMENTO DE DADOS PESSOAIS POR AUTORIDADES COMPETENTES PARA FINS DE APLICAÇÃO DO DIREITO PENAL

2.1.   Quadro constitucional

Quadro constitucional

| (7) | O Reino Unido é uma democracia parlamentar. Possui um parlamento soberano, que tem supremacia em relação a todas as outras instituições governamentais, um executivo proveniente do parlamento e responsável perante este e um sistema judiciário independente. O executivo retira a sua autoridade da sua capacidade de congregar o apoio da Câmara dos Comuns eleita e é responsável perante ambas as câmaras do parlamento (Câmara dos Comuns e Câmara dos Lordes), que são responsáveis pelo controlo do governo e por debater e aprovar a legislação. O parlamento do Reino Unido delegou no parlamento escocês, no parlamento do País de Gales (Senedd Cymru) e na Assembleia da Irlanda do Norte a responsabilidade de legislar em certas matérias internas na Escócia, no País de Gales e na Irlanda do Norte. Embora a proteção de dados seja uma matéria reservada ao parlamento do Reino Unido, ou seja, é aplicável a mesma legislação a todo o território, existem outros domínios políticos pertinentes para a presente decisão que foram delegados. Por exemplo, os sistemas de justiça penal, incluindo o policiamento (as atividades realizadas pelas forças policiais) da Escócia e da Irlanda do Norte, são da competência do parlamento escocês e da Assembleia da Irlanda do Norte, respetivamente (9). |
| --- | --- |

(7)

O Reino Unido é uma democracia parlamentar. Possui um parlamento soberano, que tem supremacia em relação a todas as outras instituições governamentais, um executivo proveniente do parlamento e responsável perante este e um sistema judiciário independente. O executivo retira a sua autoridade da sua capacidade de congregar o apoio da Câmara dos Comuns eleita e é responsável perante ambas as câmaras do parlamento (Câmara dos Comuns e Câmara dos Lordes), que são responsáveis pelo controlo do governo e por debater e aprovar a legislação. O parlamento do Reino Unido delegou no parlamento escocês, no parlamento do País de Gales (Senedd Cymru) e na Assembleia da Irlanda do Norte a responsabilidade de legislar em certas matérias internas na Escócia, no País de Gales e na Irlanda do Norte. Embora a proteção de dados seja uma matéria reservada ao parlamento do Reino Unido, ou seja, é aplicável a mesma legislação a todo o território, existem outros domínios políticos pertinentes para a presente decisão que foram delegados. Por exemplo, os sistemas de justiça penal, incluindo o policiamento (as atividades realizadas pelas forças policiais) da Escócia e da Irlanda do Norte, são da competência do parlamento escocês e da Assembleia da Irlanda do Norte, respetivamente (9).

Senedd Cymru

9

| (8) | Embora o Reino Unido não possua uma constituição codificada na aceção de um documento constitutivo codificado, os seus princípios constitucionais têm surgido com o passar do tempo, tendo origem, em particular, na jurisprudência e em convenções. Tem sido reconhecido o valor constitucional de determinadas leis, como a Magna Carta, o Bill of Rights 1689 (Carta dos Direitos de 1689) e o Human Rights Act 1998 (Lei de 1998 relativa aos Direitos Humanos). Os direitos fundamentais das pessoas singulares têm-se desenvolvido, como parte da constituição, por meio da jurisprudência, da legislação e de tratados internacionais, em particular a Convenção Europeia dos Direitos Humanos (CEDH), que o Reino Unido ratificou em 1951. Em 1987, o Reino Unido também ratificou a Convenção do Conselho da Europa para a Proteção das Pessoas relativamente ao Tratamento Automatizado de Dados de Caráter Pessoal (Convenção 108) (10). |
| --- | --- |

(8)

Embora o Reino Unido não possua uma constituição codificada na aceção de um documento constitutivo codificado, os seus princípios constitucionais têm surgido com o passar do tempo, tendo origem, em particular, na jurisprudência e em convenções. Tem sido reconhecido o valor constitucional de determinadas leis, como a Magna Carta, o Bill of Rights 1689 (Carta dos Direitos de 1689) e o Human Rights Act 1998 (Lei de 1998 relativa aos Direitos Humanos). Os direitos fundamentais das pessoas singulares têm-se desenvolvido, como parte da constituição, por meio da jurisprudência, da legislação e de tratados internacionais, em particular a Convenção Europeia dos Direitos Humanos (CEDH), que o Reino Unido ratificou em 1951. Em 1987, o Reino Unido também ratificou a Convenção do Conselho da Europa para a Proteção das Pessoas relativamente ao Tratamento Automatizado de Dados de Caráter Pessoal (Convenção 108) (10).

Magna Carta

Bill of Rights 1689

Human Rights Act 1998

10

| (9) | O Human Rights Act 1998 incorpora os direitos constantes da CEDH no direito do Reino Unido. A referida lei concede a todas as pessoas os direitos e as liberdades fundamentais previstas nos artigos 2.o a 12.° e no artigo 14.o da CEDH, nos artigos 1.o a 3.° do seu Protocolo n.o 1 e no artigo 1.o do seu Protocolo n.o 13, lido em conjugação com os artigos 16.o a 18.° da CEDH. Tal inclui o direito ao respeito pela vida privada e familiar, que, por sua vez, inclui o direito à proteção dos dados, e o direito a um tribunal imparcial (11). Mais particularmente, nos termos do artigo 8.o da CEDH, só pode haver ingerência da autoridade pública se esta ingerência estiver prevista na lei e constituir uma providência que, numa sociedade democrática, seja necessária para a segurança nacional, para a segurança pública, para o bem-estar económico do país, a defesa da ordem e a prevenção das infrações penais, a proteção da saúde ou da moral, ou a proteção dos direitos e das liberdades de terceiros. |
| --- | --- |

(9)

O Human Rights Act 1998 incorpora os direitos constantes da CEDH no direito do Reino Unido. A referida lei concede a todas as pessoas os direitos e as liberdades fundamentais previstas nos artigos 2.o a 12.° e no artigo 14.o da CEDH, nos artigos 1.o a 3.° do seu Protocolo n.o 1 e no artigo 1.o do seu Protocolo n.o 13, lido em conjugação com os artigos 16.o a 18.° da CEDH. Tal inclui o direito ao respeito pela vida privada e familiar, que, por sua vez, inclui o direito à proteção dos dados, e o direito a um tribunal imparcial (11). Mais particularmente, nos termos do artigo 8.o da CEDH, só pode haver ingerência da autoridade pública se esta ingerência estiver prevista na lei e constituir uma providência que, numa sociedade democrática, seja necessária para a segurança nacional, para a segurança pública, para o bem-estar económico do país, a defesa da ordem e a prevenção das infrações penais, a proteção da saúde ou da moral, ou a proteção dos direitos e das liberdades de terceiros.

Human Rights Act 1998

o

o

o

o

o

o

o

11

o

| (10) | Em conformidade com o Human Rights Act 1998, qualquer ato por parte das autoridades públicas tem de ser compatível com os direitos garantidos ao abrigo da CEDH (12). Além disso, o direito primário e o direito derivado têm de ser interpretados e aplicados de modo compatível com os referidos direitos (13). Se considerar que os seus direitos, incluindo os direitos à privacidade e à proteção dos dados, foram violados por autoridades públicas, qualquer pessoa singular pode obter reparação junto dos tribunais do Reino Unido ao abrigo do Human Rights Act 1998 e, em última instância, depois de esgotar todos os recursos a nível nacional, pode obter reparação junto do Tribunal Europeu dos Direitos Humanos por violações dos direitos garantidos ao abrigo da CEDH. |
| --- | --- |

(10)

Em conformidade com o Human Rights Act 1998, qualquer ato por parte das autoridades públicas tem de ser compatível com os direitos garantidos ao abrigo da CEDH (12). Além disso, o direito primário e o direito derivado têm de ser interpretados e aplicados de modo compatível com os referidos direitos (13). Se considerar que os seus direitos, incluindo os direitos à privacidade e à proteção dos dados, foram violados por autoridades públicas, qualquer pessoa singular pode obter reparação junto dos tribunais do Reino Unido ao abrigo do Human Rights Act 1998 e, em última instância, depois de esgotar todos os recursos a nível nacional, pode obter reparação junto do Tribunal Europeu dos Direitos Humanos por violações dos direitos garantidos ao abrigo da CEDH.

Human Rights Act 1998

12

13

Human Rights Act 1998

2.2.   Quadro do Reino Unido em matéria de proteção de dados

Quadro do Reino Unido em matéria de proteção de dados

| (11) | O Reino Unido saiu da União em 31 de janeiro de 2020. Ao abrigo do Acordo sobre a saída do Reino Unido da Grã-Bretanha e da Irlanda do Norte da União Europeia e da Comunidade Europeia da Energia Atómica (14), o direito da União continuou a aplicar-se no Reino Unido durante o período de transição até 31 de dezembro de 2020. Antes da saída e durante o período de transição, o quadro jurídico em matéria de proteção de dados pessoais no Reino Unido que rege o tratamento de dados pessoais efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção das ameaças à segurança pública, consistia nas partes pertinentes do Data Protection Act 2018, que transpôs a Diretiva (UE) 2016/680. |
| --- | --- |

(11)

O Reino Unido saiu da União em 31 de janeiro de 2020. Ao abrigo do Acordo sobre a saída do Reino Unido da Grã-Bretanha e da Irlanda do Norte da União Europeia e da Comunidade Europeia da Energia Atómica (14), o direito da União continuou a aplicar-se no Reino Unido durante o período de transição até 31 de dezembro de 2020. Antes da saída e durante o período de transição, o quadro jurídico em matéria de proteção de dados pessoais no Reino Unido que rege o tratamento de dados pessoais efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção das ameaças à segurança pública, consistia nas partes pertinentes do Data Protection Act 2018, que transpôs a Diretiva (UE) 2016/680.

14

Data Protection Act 2018

| (12) | Para preparar a saída da UE, o Governo do Reino Unido promulgou o European Union (Withdrawal) Act 2018 [Lei de 2018 sobre (a Retirada da) União Europeia] (EUWA) (15), que incorporava legislação da União diretamente aplicável no direito do Reino Unido e previa que a denominada «legislação interna derivada da UE» continuaria a ter efeito após o fim do período de transição. A parte 3 do DPA 2018 (16) que transpôs a Diretiva (UE) 2016/680 constitui «legislação interna derivada da UE» ao abrigo do EUWA. De acordo com o EUWA, a «legislação interna derivada da UE» tem de ser interpretada pelos tribunais do Reino Unido em conformidade com a jurisprudência pertinente do Tribunal de Justiça da União Europeia (Tribunal de Justiça) e os princípios gerais do direito da União em vigor imediatamente antes do fim do período de transição (designados por «jurisprudência da UE mantida» e «princípios gerais do direito da UE mantidos», respetivamente) (17). |
| --- | --- |

(12)

Para preparar a saída da UE, o Governo do Reino Unido promulgou o European Union (Withdrawal) Act 2018 [Lei de 2018 sobre (a Retirada da) União Europeia] (EUWA) (15), que incorporava legislação da União diretamente aplicável no direito do Reino Unido e previa que a denominada «legislação interna derivada da UE» continuaria a ter efeito após o fim do período de transição. A parte 3 do DPA 2018 (16) que transpôs a Diretiva (UE) 2016/680 constitui «legislação interna derivada da UE» ao abrigo do EUWA. De acordo com o EUWA, a «legislação interna derivada da UE» tem de ser interpretada pelos tribunais do Reino Unido em conformidade com a jurisprudência pertinente do Tribunal de Justiça da União Europeia (Tribunal de Justiça) e os princípios gerais do direito da União em vigor imediatamente antes do fim do período de transição (designados por «jurisprudência da UE mantida» e «princípios gerais do direito da UE mantidos», respetivamente) (17).

European Union (Withdrawal) Act 2018

15

16

17

| (13) | Ao abrigo do EUWA, os ministros do Reino Unido têm o poder de introduzir atos de direito derivado, através de instrumentos estatutários, para proceder às alterações necessárias ao direito da UE mantido em consequência da saída do Reino Unido da União Europeia. Os Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 [Regulamentos de 2019 relativos à Proteção dos Dados, à Privacidade e às Comunicações Eletrónicas (alterações, etc.) (saída da UE) — Regulamentos DPPEC] (18) exercem este poder. Os referidos regulamentos alteram a legislação em matéria de proteção de dados do Reino Unido, incluindo o DPA 2018, por motivos de compatibilidade com o contexto interno (19). |
| --- | --- |

(13)

Ao abrigo do EUWA, os ministros do Reino Unido têm o poder de introduzir atos de direito derivado, através de instrumentos estatutários, para proceder às alterações necessárias ao direito da UE mantido em consequência da saída do Reino Unido da União Europeia. Os Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 [Regulamentos de 2019 relativos à Proteção dos Dados, à Privacidade e às Comunicações Eletrónicas (alterações, etc.) (saída da UE) — Regulamentos DPPEC] (18) exercem este poder. Os referidos regulamentos alteram a legislação em matéria de proteção de dados do Reino Unido, incluindo o DPA 2018, por motivos de compatibilidade com o contexto interno (19).

Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019

18

19

| (14) | Por conseguinte, as normas jurídicas sobre o tratamento de dados pessoais efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública no Reino Unido após o período de transição ao abrigo do Acordo de Saída continuarão a ser estabelecidas nas partes pertinentes do DPA 2018, mas com a redação que lhe foi dada pelos Regulamentos DPPEC, em particular na parte 3 da referida lei. O Regulamento Geral sobre a Proteção de Dados do Reino Unido (RGPD do Reino Unido) não é aplicável a este tipo de tratamento. |
| --- | --- |

(14)

Por conseguinte, as normas jurídicas sobre o tratamento de dados pessoais efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública no Reino Unido após o período de transição ao abrigo do Acordo de Saída continuarão a ser estabelecidas nas partes pertinentes do DPA 2018, mas com a redação que lhe foi dada pelos Regulamentos DPPEC, em particular na parte 3 da referida lei. O Regulamento Geral sobre a Proteção de Dados do Reino Unido (RGPD do Reino Unido) não é aplicável a este tipo de tratamento.

| (15) | A parte 3 do DPA 2018 prevê as regras de tratamento de dados pessoais para fins de aplicação do direito penal, incluindo princípios em matéria de proteção de dados, fundamentação jurídica para o tratamento (licitude), direitos dos titulares dos dados, obrigações das autoridades competentes enquanto responsáveis pelo tratamento e restrições relativas a transferências ulteriores. Ao mesmo tempo, são previstas regras em matéria de supervisão, cumprimento e recurso aplicáveis ao setor da aplicação da lei nas partes 5 e 6 do DPA 2018. |
| --- | --- |

(15)

A parte 3 do DPA 2018 prevê as regras de tratamento de dados pessoais para fins de aplicação do direito penal, incluindo princípios em matéria de proteção de dados, fundamentação jurídica para o tratamento (licitude), direitos dos titulares dos dados, obrigações das autoridades competentes enquanto responsáveis pelo tratamento e restrições relativas a transferências ulteriores. Ao mesmo tempo, são previstas regras em matéria de supervisão, cumprimento e recurso aplicáveis ao setor da aplicação da lei nas partes 5 e 6 do DPA 2018.

| (16) | Além disso, à luz do papel relevante desempenhado pelas forças policiais no setor da aplicação da lei, há que ter em consideração as regras que regem a ação da polícia. Uma vez que a ação da polícia é uma matéria delegada, são aplicáveis diversos atos legislativos, que, porém, são muitas vezes semelhantes no que respeita ao seu conteúdo, à ação da polícia a) na Inglaterra e no País de Gales, b) na Escócia e c) na Irlanda do Norte (20). Além disso, diversos tipos de documentos de orientação proporcionam clarificações adicionais sobre a melhor forma de utilizar os poderes da polícia. Existem três tipos principais de orientações policiais: 1) orientações legais emitidas ao abrigo de legislação, como o Code of Ethics (código deontológico) (21) e o Code of Practice on the Management of Police Information (código de boas de práticas para a gestão da informação da polícia – código de boas práticas MoPI) (22) emitido ao abrigo do Police Act 1996 (Lei de 1996 relativa à Polícia) (23) ou os códigos PACE (24) publicados ao abrigo do Police and Criminal Evidence Act (Lei relativa à Polícia e aos e Meios de Prova Penal) (25), 2) a Authorised Professional Practice on the Management of Police Information (prática profissional autorizada para a gestão da informação Policial) (26) (orientações de PPA para a gestão da informação policial), emitida pelo College of Policing (Academia de Polícia), e 3) orientações operacionais (publicadas pela própria polícia). O National Police Chiefs’ Council (Conselho Nacional de Chefias Policiais) (um organismo coordenador para todas as forças policiais do Reino Unido) publica orientações operacionais, aprovadas por todas as forças policiais e, por conseguinte, aplicáveis a nível nacional (27). Estas orientações têm como objetivo assegurar a coerência entre as forças no que respeita às formas de gestão da informação (28). |
| --- | --- |

(16)

Além disso, à luz do papel relevante desempenhado pelas forças policiais no setor da aplicação da lei, há que ter em consideração as regras que regem a ação da polícia. Uma vez que a ação da polícia é uma matéria delegada, são aplicáveis diversos atos legislativos, que, porém, são muitas vezes semelhantes no que respeita ao seu conteúdo, à ação da polícia a) na Inglaterra e no País de Gales, b) na Escócia e c) na Irlanda do Norte (20). Além disso, diversos tipos de documentos de orientação proporcionam clarificações adicionais sobre a melhor forma de utilizar os poderes da polícia. Existem três tipos principais de orientações policiais: 1) orientações legais emitidas ao abrigo de legislação, como o Code of Ethics (código deontológico) (21) e o Code of Practice on the Management of Police Information (código de boas de práticas para a gestão da informação da polícia – código de boas práticas MoPI) (22) emitido ao abrigo do Police Act 1996 (Lei de 1996 relativa à Polícia) (23) ou os códigos PACE (24) publicados ao abrigo do Police and Criminal Evidence Act (Lei relativa à Polícia e aos e Meios de Prova Penal) (25), 2) a Authorised Professional Practice on the Management of Police Information (prática profissional autorizada para a gestão da informação Policial) (26) (orientações de PPA para a gestão da informação policial), emitida pelo College of Policing (Academia de Polícia), e 3) orientações operacionais (publicadas pela própria polícia). O National Police Chiefs’ Council (Conselho Nacional de Chefias Policiais) (um organismo coordenador para todas as forças policiais do Reino Unido) publica orientações operacionais, aprovadas por todas as forças policiais e, por conseguinte, aplicáveis a nível nacional (27). Estas orientações têm como objetivo assegurar a coerência entre as forças no que respeita às formas de gestão da informação (28).

20

Code of Ethics

21

Code of Practice on the Management of Police Information

22

Police Act 1996

23

24

Police and Criminal Evidence Act

25

Authorised Professional Practice on the Management of Police Information

26

College of Policing

National Police Chiefs’ Council

27

28

| (17) | O código de boas práticas MoPI foi emitido pelo ministro da tutela (Secretary of State) em 2005, por meio dos poderes previstos na section 39A do Police Act 1996 (29). Qualquer código de boas práticas publicado ao abrigo do Police Act tem de ser aprovado pelo ministro da tutela e é objeto de consulta à National Crime Agency antes de ser apresentado ao parlamento. A section 39A(7) do Police Act exige que a polícia tenha devidamente em conta os códigos emitidos ao abrigo da referida lei, pelo que se espera que a polícia os cumpra (30). Além disso, as orientações não previstas por lei (como as orientações de PPA para a gestão da informação policial) têm de ser sempre coerentes com o código de boas práticas MoPI, que prevalece sobre elas (31). Em todo o caso, embora possa haver determinadas situações operacionais que os obrigam a divergir destas orientações, os agentes de segurança continuam a ter de cumprir os requisitos da parte 3 do DPA 2018 (32). |
| --- | --- |

(17)

O código de boas práticas MoPI foi emitido pelo ministro da tutela (Secretary of State) em 2005, por meio dos poderes previstos na section 39A do Police Act 1996 (29). Qualquer código de boas práticas publicado ao abrigo do Police Act tem de ser aprovado pelo ministro da tutela e é objeto de consulta à National Crime Agency antes de ser apresentado ao parlamento. A section 39A(7) do Police Act exige que a polícia tenha devidamente em conta os códigos emitidos ao abrigo da referida lei, pelo que se espera que a polícia os cumpra (30). Além disso, as orientações não previstas por lei (como as orientações de PPA para a gestão da informação policial) têm de ser sempre coerentes com o código de boas práticas MoPI, que prevalece sobre elas (31). Em todo o caso, embora possa haver determinadas situações operacionais que os obrigam a divergir destas orientações, os agentes de segurança continuam a ter de cumprir os requisitos da parte 3 do DPA 2018 (32).

Secretary of State

section 39A

Police Act 1996

29

Police Act

National Crime Agency

section 39A(7)

Police Act

30

31

32

| (18) | O Gabinete do Comissário para a Informação («comissário para a informação» ou «ICO») (33) (para mais informações sobre o ICO, ver os considerandos 93 a 109) proporciona mais orientações sobre a legislação em matéria de proteção de dados do Reino Unido relativa ao tratamento no setor da aplicação da lei. Embora não sejam juridicamente vinculativas, numa ação, os tribunais teriam de ter em consideração qualquer violação das orientações, uma vez que têm peso interpretativo e demonstram a forma como o comissário interpreta e aplica a legislação em matéria de proteção de dados (34). |
| --- | --- |

(18)

O Gabinete do Comissário para a Informação («comissário para a informação» ou «ICO») (33) (para mais informações sobre o ICO, ver os considerandos 93 a 109) proporciona mais orientações sobre a legislação em matéria de proteção de dados do Reino Unido relativa ao tratamento no setor da aplicação da lei. Embora não sejam juridicamente vinculativas, numa ação, os tribunais teriam de ter em consideração qualquer violação das orientações, uma vez que têm peso interpretativo e demonstram a forma como o comissário interpreta e aplica a legislação em matéria de proteção de dados (34).

33

34

| (19) | Por fim, tal como mencionado nos considerandos 8 a 10, as agências de aplicação da lei do Reino Unido têm de assegurar o cumprimento da (CEDH) e da Convenção 108. |
| --- | --- |

(19)

Por fim, tal como mencionado nos considerandos 8 a 10, as agências de aplicação da lei do Reino Unido têm de assegurar o cumprimento da (CEDH) e da Convenção 108.

| (20) | Por conseguinte, na sua estrutura e componentes principais, o quadro jurídico que rege o tratamento de dados pelas autoridades de aplicação do direito penal do Reino Unido é muito semelhante ao aplicável na UE. Tal inclui o facto de tal quadro depender não só de obrigações estabelecidas no direito interno, que foram moldadas pelo direito da UE, mas também de obrigações consagradas no direito internacional, em particular por meio da adesão do Reino Unido à CEDH e à Convenção 108, bem como por meio da sua submissão à competência jurisdicional do Tribunal Europeu dos Direitos Humanos. Estas obrigações decorrentes de instrumentos internacionais juridicamente vinculativos, relativos, nomeadamente, à proteção de dados pessoais, constituem, por conseguinte, um elemento particularmente importante do quadro jurídico avaliado na presente decisão. |
| --- | --- |

(20)

Por conseguinte, na sua estrutura e componentes principais, o quadro jurídico que rege o tratamento de dados pelas autoridades de aplicação do direito penal do Reino Unido é muito semelhante ao aplicável na UE. Tal inclui o facto de tal quadro depender não só de obrigações estabelecidas no direito interno, que foram moldadas pelo direito da UE, mas também de obrigações consagradas no direito internacional, em particular por meio da adesão do Reino Unido à CEDH e à Convenção 108, bem como por meio da sua submissão à competência jurisdicional do Tribunal Europeu dos Direitos Humanos. Estas obrigações decorrentes de instrumentos internacionais juridicamente vinculativos, relativos, nomeadamente, à proteção de dados pessoais, constituem, por conseguinte, um elemento particularmente importante do quadro jurídico avaliado na presente decisão.

2.3.   Âmbito de aplicação material e territorial

Âmbito de aplicação material e territorial

| (21) | O âmbito material da parte 3 do DPA 2018 coincide com o âmbito de aplicação da Diretiva 2016/680, conforme especificado no seu artigo 2.o, n.o 2. A parte 3 aplica-se ao tratamento de dados pessoais por uma autoridade competente por meios total ou parcialmente automatizados, bem como ao tratamento por uma entidade competente por meios não automatizados de dados pessoais contidos num ficheiro ou a ele destinados. |
| --- | --- |

(21)

O âmbito material da parte 3 do DPA 2018 coincide com o âmbito de aplicação da Diretiva 2016/680, conforme especificado no seu artigo 2.o, n.o 2. A parte 3 aplica-se ao tratamento de dados pessoais por uma autoridade competente por meios total ou parcialmente automatizados, bem como ao tratamento por uma entidade competente por meios não automatizados de dados pessoais contidos num ficheiro ou a ele destinados.

o

o

| (22) | Além disso, para que seja abrangido pelo âmbito de aplicação da parte 3, o responsável pelo tratamento tem de ser uma «autoridade competente» e o tratamento tem de ser efetuado «para efeitos de aplicação da lei». Por conseguinte, o regime de proteção de dados avaliado na presente decisão é aplicável a todas as atividades de aplicação da lei destas autoridades competentes. |
| --- | --- |

(22)

Além disso, para que seja abrangido pelo âmbito de aplicação da parte 3, o responsável pelo tratamento tem de ser uma «autoridade competente» e o tratamento tem de ser efetuado «para efeitos de aplicação da lei». Por conseguinte, o regime de proteção de dados avaliado na presente decisão é aplicável a todas as atividades de aplicação da lei destas autoridades competentes.

| (23) | A section 30 do DPA define o conceito de «autoridade competente» como uma das pessoas constantes do schedule 7 do DPA 2018, bem como qualquer outra pessoa desde que desempenhe funções legais para efeitos de aplicação da lei. As autoridades competentes constantes do schedule 7 incluem não só forças policiais, mas também todos os ministérios do Governo do Reino Unido, bem como outras autoridades com funções de investigação [por exemplo, o Comissário para o Her Majesty’s Revenue and Customs (serviço real de fiscalidade e alfândegas do Reino Unido), a Welsh Revenue Authority (autoridade fiscal do País de Gales), a Competition and Markets Authority (autoridade para a concorrência e os mercados) ou o Her Majesty’s Land Register (registo predial)], agências de ação penal, outras agências de justiça penal e outros titulares ou organizações que realizam atividades de aplicação da lei (35). A parte 3 do DPA 2018 aplica-se igualmente aos tribunais sempre que estes exercem a suas funções jurisdicionais, exceto a parte relacionada com os direitos dos titulares dos dados e a supervisão do ICO (36). A lista de autoridades competentes prevista no schedule 7 não é definitiva, podendo ser atualizada pelo ministro da tutela por meio de regulamentação, tendo em conta as alterações na organização das funções públicas (37). |
| --- | --- |

(23)

A section 30 do DPA define o conceito de «autoridade competente» como uma das pessoas constantes do schedule 7 do DPA 2018, bem como qualquer outra pessoa desde que desempenhe funções legais para efeitos de aplicação da lei. As autoridades competentes constantes do schedule 7 incluem não só forças policiais, mas também todos os ministérios do Governo do Reino Unido, bem como outras autoridades com funções de investigação [por exemplo, o Comissário para o Her Majesty’s Revenue and Customs (serviço real de fiscalidade e alfândegas do Reino Unido), a Welsh Revenue Authority (autoridade fiscal do País de Gales), a Competition and Markets Authority (autoridade para a concorrência e os mercados) ou o Her Majesty’s Land Register (registo predial)], agências de ação penal, outras agências de justiça penal e outros titulares ou organizações que realizam atividades de aplicação da lei (35). A parte 3 do DPA 2018 aplica-se igualmente aos tribunais sempre que estes exercem a suas funções jurisdicionais, exceto a parte relacionada com os direitos dos titulares dos dados e a supervisão do ICO (36). A lista de autoridades competentes prevista no schedule 7 não é definitiva, podendo ser atualizada pelo ministro da tutela por meio de regulamentação, tendo em conta as alterações na organização das funções públicas (37).

section 30

schedule 7

schedule 7

Her Majesty’s Revenue and Customs

Welsh Revenue Authority

Competition and Markets Authority

Her Majesty’s Land Register

35

36

schedule 7

37

| (24) | O tratamento em causa tem igualmente de ser realizado «para efeitos de aplicação da lei», expressão pela qual se entende a prevenção, a investigação, a deteção ou a repressão de infrações penais ou a execução de sanções penais, incluindo a salvaguarda da segurança pública e a prevenção de ameaças à segurança pública (38). O tratamento por uma autoridade competente não se rege pela parte 3 do DPA 2018 se não for realizado para efeitos de aplicação da lei. É esse o caso, por exemplo, quando a Competition and Markets Authority investiga casos que não são tipificados como infrações penais (por exemplo, fusões entre empresas). Neste caso, será aplicável o RGPD do Reino Unido, lido em conjugação com a parte 2 do DPA 2018, uma vez que o tratamento por autoridades competentes é efetuado para fins diversos da aplicação da lei. Para determinar que regime de proteção de dados é aplicável (parte 3 ou parte 2 do DPA 2018) no tratamento dos dados pessoais em causa, a autoridade competente, ou seja, o responsável pelo tratamento, tem de apurar se a «finalidade principal» do tratamento é uma das finalidades de aplicação da lei abrangidas pelo DPA 2018. |
| --- | --- |

(24)

O tratamento em causa tem igualmente de ser realizado «para efeitos de aplicação da lei», expressão pela qual se entende a prevenção, a investigação, a deteção ou a repressão de infrações penais ou a execução de sanções penais, incluindo a salvaguarda da segurança pública e a prevenção de ameaças à segurança pública (38). O tratamento por uma autoridade competente não se rege pela parte 3 do DPA 2018 se não for realizado para efeitos de aplicação da lei. É esse o caso, por exemplo, quando a Competition and Markets Authority investiga casos que não são tipificados como infrações penais (por exemplo, fusões entre empresas). Neste caso, será aplicável o RGPD do Reino Unido, lido em conjugação com a parte 2 do DPA 2018, uma vez que o tratamento por autoridades competentes é efetuado para fins diversos da aplicação da lei. Para determinar que regime de proteção de dados é aplicável (parte 3 ou parte 2 do DPA 2018) no tratamento dos dados pessoais em causa, a autoridade competente, ou seja, o responsável pelo tratamento, tem de apurar se a «finalidade principal» do tratamento é uma das finalidades de aplicação da lei abrangidas pelo DPA 2018.

38

Competition and Markets Authority

| (25) | Quanto ao âmbito territorial da parte 3 do DPA 2018, a section 207(2), determina que o DPA se aplica ao tratamento de dados pessoais no contexto das atividades de pessoas estabelecidas em todo o território do Reino Unido. Tal inclui autoridades públicas dos territórios da Inglaterra, do País de Gales, da Escócia e da Irlanda do Norte abrangidas pelo âmbito material da parte 3 do DPA 2018 (39). |
| --- | --- |

(25)

Quanto ao âmbito territorial da parte 3 do DPA 2018, a section 207(2), determina que o DPA se aplica ao tratamento de dados pessoais no contexto das atividades de pessoas estabelecidas em todo o território do Reino Unido. Tal inclui autoridades públicas dos territórios da Inglaterra, do País de Gales, da Escócia e da Irlanda do Norte abrangidas pelo âmbito material da parte 3 do DPA 2018 (39).

section 207(2)

39

2.3.1.   Definição de dados pessoais e tratamento

Definição de dados pessoais e tratamento

| (26) | Os conceitos importantes de «dados pessoais» e «tratamento» são definidos na section 3 do DPA 2018 e aplicam-se a todo o DPA. As definições seguem rigorosamente as definições correspondentes constantes do artigo 3.o da Diretiva (UE) 2016/680. No âmbito do DPA 2018, por «dados pessoais» entende-se quaisquer informações relativas a uma pessoa viva identificada ou identificável (40). Nos termos da section 3(3) do DPA 2018, é considerada identificável uma pessoa que possa ser identificada, direta ou indiretamente, a partir das informações, incluindo por referência a um nome ou um identificador ou por referência a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social. Por «tratamento» entende-se uma operação ou um conjunto de operações efetuadas sobre informações, ou conjuntos de informações, nomeadamente a) a recolha, o registo, a organização, a estruturação ou a conservação; b) a adaptação ou alteração; c) a recuperação, a consulta ou a utilização; d) a divulgação por transmissão, difusão ou por qualquer outra forma de disponibilização; e) a comparação ou interconexão; ou f) a limitação, o apagamento ou a destruição. Além disso, a lei define «tratamento sensível» como «a) o tratamento de dados pessoais que revelam a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas ou a filiação sindical; b) o tratamento de dados genéticos, ou de dados biométricos, para destinados a identificar uma pessoa de forma inequívoca; c) o tratamento de dados relativos à saúde; d) o tratamento de dados relativos à vida sexual ou à orientação sexual» (41). A este respeito, a section 205 do DPA 2018 fixa as definições de «dados biométricos» (42), «dados relativos à saúde» (43) e «dados genéticos» (44). |
| --- | --- |

(26)

Os conceitos importantes de «dados pessoais» e «tratamento» são definidos na section 3 do DPA 2018 e aplicam-se a todo o DPA. As definições seguem rigorosamente as definições correspondentes constantes do artigo 3.o da Diretiva (UE) 2016/680. No âmbito do DPA 2018, por «dados pessoais» entende-se quaisquer informações relativas a uma pessoa viva identificada ou identificável (40). Nos termos da section 3(3) do DPA 2018, é considerada identificável uma pessoa que possa ser identificada, direta ou indiretamente, a partir das informações, incluindo por referência a um nome ou um identificador ou por referência a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social. Por «tratamento» entende-se uma operação ou um conjunto de operações efetuadas sobre informações, ou conjuntos de informações, nomeadamente a) a recolha, o registo, a organização, a estruturação ou a conservação; b) a adaptação ou alteração; c) a recuperação, a consulta ou a utilização; d) a divulgação por transmissão, difusão ou por qualquer outra forma de disponibilização; e) a comparação ou interconexão; ou f) a limitação, o apagamento ou a destruição. Além disso, a lei define «tratamento sensível» como «a) o tratamento de dados pessoais que revelam a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas ou a filiação sindical; b) o tratamento de dados genéticos, ou de dados biométricos, para destinados a identificar uma pessoa de forma inequívoca; c) o tratamento de dados relativos à saúde; d) o tratamento de dados relativos à vida sexual ou à orientação sexual» (41). A este respeito, a section 205 do DPA 2018 fixa as definições de «dados biométricos» (42), «dados relativos à saúde» (43) e «dados genéticos» (44).

section 3

o

40

section 3(3)

41

section 205

42

43

44

| (27) | A section 32 do DPA 2018 clarifica as definições de «responsável pelo tratamento» e «subcontratante» no contexto do tratamento de dados pessoais para efeitos de aplicação da lei seguindo rigorosamente as definições equivalentes da Diretiva (UE) 2016/680. Por «responsável pelo tratamento» entende-se a autoridade competente, que determina as finalidades e os meios do tratamento de dados pessoais. Se o tratamento for exigido por lei, o responsável pelo tratamento é a autoridade competente a que incumbe tal obrigação imposta pela lei em causa. Por «subcontratante» entende-se qualquer pessoa que proceda ao tratamento de dados pessoais em nome do responsável pelo tratamento (que não uma pessoa que seja um funcionário do responsável pelo tratamento). |
| --- | --- |

(27)

A section 32 do DPA 2018 clarifica as definições de «responsável pelo tratamento» e «subcontratante» no contexto do tratamento de dados pessoais para efeitos de aplicação da lei seguindo rigorosamente as definições equivalentes da Diretiva (UE) 2016/680. Por «responsável pelo tratamento» entende-se a autoridade competente, que determina as finalidades e os meios do tratamento de dados pessoais. Se o tratamento for exigido por lei, o responsável pelo tratamento é a autoridade competente a que incumbe tal obrigação imposta pela lei em causa. Por «subcontratante» entende-se qualquer pessoa que proceda ao tratamento de dados pessoais em nome do responsável pelo tratamento (que não uma pessoa que seja um funcionário do responsável pelo tratamento).

section 32

2.4.   Garantias, direitos e obrigações

Garantias, direitos e obrigações

2.4.1.   Licitude e lealdade do tratamento

Licitude e lealdade do tratamento

| (28) | Em conformidade com a section 35 do DPA 2018, os dados pessoais têm de ser objeto de um tratamento lícito e leal, à semelhança do artigo 4.o, n.o 1, alínea a), da Diretiva (UE) 2016/680. Em conformidade com a section 35(2) do DPA 2018, o tratamento de dados pessoais para efeitos de aplicação da lei só é lícito se estiver previsto na lei e se o titular dos dados tiver dado o seu consentimento ao tratamento para essa finalidade ou o tratamento for necessário ao exercício de funções de uma autoridade competente para essa finalidade. |
| --- | --- |

(28)

Em conformidade com a section 35 do DPA 2018, os dados pessoais têm de ser objeto de um tratamento lícito e leal, à semelhança do artigo 4.o, n.o 1, alínea a), da Diretiva (UE) 2016/680. Em conformidade com a section 35(2) do DPA 2018, o tratamento de dados pessoais para efeitos de aplicação da lei só é lícito se estiver previsto na lei e se o titular dos dados tiver dado o seu consentimento ao tratamento para essa finalidade ou o tratamento for necessário ao exercício de funções de uma autoridade competente para essa finalidade.

section 35

o

o

section 35(2)

2.4.1.1.   Tratamento previsto na lei

Tratamento previsto na lei

| (29) | À semelhança do artigo 8.o da Diretiva (UE) 2016/680, para garantir a licitude de um tratamento abrangido pela parte 3 do DPA 2018, este tratamento tem de «estar previsto na lei». Por tratamento «lícito» entende-se o tratamento autorizado por lei, jurisprudência ou prerrogativa real (45). |
| --- | --- |

(29)

À semelhança do artigo 8.o da Diretiva (UE) 2016/680, para garantir a licitude de um tratamento abrangido pela parte 3 do DPA 2018, este tratamento tem de «estar previsto na lei». Por tratamento «lícito» entende-se o tratamento autorizado por lei, jurisprudência ou prerrogativa real (45).

o

45

| (30) | Os poderes das autoridades competentes regem-se, de modo geral, por leis, o que significa que as suas funções e poderes são estabelecidos de modo claro na legislação adotada pelo parlamento (46). Em determinados casos, a polícia e outras autoridades competentes constantes do schedule 7 do DPA 2018 podem contar com a jurisprudência para proceder ao tratamento de dados (47). A jurisprudência tem-se desenvolvido por meio de precedentes estabelecidos por decisões dos tribunais. A jurisprudência é pertinente no contexto dos poderes conferidos à polícia, que deriva desta fonte de lei o seu dever essencial de proteger o público mediante a deteção e prevenção da criminalidade (48). Porém, as forças policiais dispõem de poderes decorrentes tanto da jurisprudência como da legislação (49) para cumprir esse dever. Sempre que a polícia tenha poderes estatutários, estes prevalecem sobre os poderes decorrentes da jurisprudência (50). |
| --- | --- |

(30)

Os poderes das autoridades competentes regem-se, de modo geral, por leis, o que significa que as suas funções e poderes são estabelecidos de modo claro na legislação adotada pelo parlamento (46). Em determinados casos, a polícia e outras autoridades competentes constantes do schedule 7 do DPA 2018 podem contar com a jurisprudência para proceder ao tratamento de dados (47). A jurisprudência tem-se desenvolvido por meio de precedentes estabelecidos por decisões dos tribunais. A jurisprudência é pertinente no contexto dos poderes conferidos à polícia, que deriva desta fonte de lei o seu dever essencial de proteger o público mediante a deteção e prevenção da criminalidade (48). Porém, as forças policiais dispõem de poderes decorrentes tanto da jurisprudência como da legislação (49) para cumprir esse dever. Sempre que a polícia tenha poderes estatutários, estes prevalecem sobre os poderes decorrentes da jurisprudência (50).

46

schedule 7

47

48

49

50

| (31) | Os tribunais têm reconhecido que o alcance dos poderes e das obrigações dos agentes de segurança decorrentes da jurisprudência abrange «todas as medidas que se afiguram necessárias para manter a paz, prevenir a criminalidade ou para proteger a propriedade contra infrações penais» (51). Os poderes decorrentes da jurisprudência não são absolutos. Estão sujeitos a um conjunto de limitações, incluindo limites estabelecidos pelos tribunais (52) e pela legislação, em particular o Human Rights Act 1998 e o Equality Act 2010 (Lei de 2010 relativa à Igualdade) (53). Além disso, para o tratamento de dados pelas autoridades competentes ao abrigo da parte 3 do DPA 2018, tal implica que o exercício dos poderes decorrentes da jurisprudência seja coerente com os requisitos estabelecidos no DPA 2018 (54). Acresce que as decisões para realizar qualquer tipo de tratamento de dados têm de ter em conta os requisitos das orientações aplicáveis, como o código de boas práticas MoPI, bem como as orientações específicas de um dos países do Reino Unido (55). O governo e os organismos operacionais da polícia emitem diversos documentos de orientação para assegurar que os agentes de segurança exercem os seus poderes de tratamento dentro dos limites fixados pela jurisprudência e pela legislação pertinente (56). |
| --- | --- |

(31)

Os tribunais têm reconhecido que o alcance dos poderes e das obrigações dos agentes de segurança decorrentes da jurisprudência abrange «todas as medidas que se afiguram necessárias para manter a paz, prevenir a criminalidade ou para proteger a propriedade contra infrações penais» (51). Os poderes decorrentes da jurisprudência não são absolutos. Estão sujeitos a um conjunto de limitações, incluindo limites estabelecidos pelos tribunais (52) e pela legislação, em particular o Human Rights Act 1998 e o Equality Act 2010 (Lei de 2010 relativa à Igualdade) (53). Além disso, para o tratamento de dados pelas autoridades competentes ao abrigo da parte 3 do DPA 2018, tal implica que o exercício dos poderes decorrentes da jurisprudência seja coerente com os requisitos estabelecidos no DPA 2018 (54). Acresce que as decisões para realizar qualquer tipo de tratamento de dados têm de ter em conta os requisitos das orientações aplicáveis, como o código de boas práticas MoPI, bem como as orientações específicas de um dos países do Reino Unido (55). O governo e os organismos operacionais da polícia emitem diversos documentos de orientação para assegurar que os agentes de segurança exercem os seus poderes de tratamento dentro dos limites fixados pela jurisprudência e pela legislação pertinente (56).

51

52

Human Rights Act 1998

Equality Act 2010

53

54

55

56

| (32) | As prerrogativas reais constituem uma outra componente da «lei» e dizem respeito a determinados poderes investidos na Coroa suscetíveis de serem exercidos pelo executivo e que não se baseiam na legislação, mas derivam da soberania do monarca (57). Existem muito poucos exemplos de poderes de prerrogativa pertinentes no contexto da aplicação da lei. Entre eles, inclui-se, por exemplo, o quadro de auxílio judiciário mútuo que permite a partilha de dados por um ministro com países terceiros para efeitos de aplicação da lei, não estando sempre estatuído o poder de partilhar dados deste modo (58). As prerrogativas reais estão sujeitas a princípios da jurisprudência (59) e subordinam-se à legislação, estando, por conseguinte, sujeitas aos limites previstos no Human Rights Act 1998 e no DPA 2018 (60). |
| --- | --- |

(32)

As prerrogativas reais constituem uma outra componente da «lei» e dizem respeito a determinados poderes investidos na Coroa suscetíveis de serem exercidos pelo executivo e que não se baseiam na legislação, mas derivam da soberania do monarca (57). Existem muito poucos exemplos de poderes de prerrogativa pertinentes no contexto da aplicação da lei. Entre eles, inclui-se, por exemplo, o quadro de auxílio judiciário mútuo que permite a partilha de dados por um ministro com países terceiros para efeitos de aplicação da lei, não estando sempre estatuído o poder de partilhar dados deste modo (58). As prerrogativas reais estão sujeitas a princípios da jurisprudência (59) e subordinam-se à legislação, estando, por conseguinte, sujeitas aos limites previstos no Human Rights Act 1998 e no DPA 2018 (60).

57

58

59

Human Rights Act 1998

60

| (33) | À semelhança do artigo 8.o da Diretiva (UE) 2016/680, o regime do Reino Unido exige que, para cumprir o princípio da licitude, as autoridades competentes assegurem que, quando se baseia na lei, o tratamento seja «necessário» para levar a cabo a incumbência para uma finalidade de aplicação da lei. O ICO proporciona uma orientação a este respeito, esclarecendo que «tem de constituir uma forma específica e proporcionada de alcançar a finalidade. Não haverá uma base lícita se for possível alcançar a finalidade de modo razoável por outros meios menos intrusivos. Não basta alegar que o tratamento é necessário porque se decidiu realizar o procedimento de uma determinada forma. Trata-se de saber se o tratamento é necessário para a finalidade especificada» (61). |
| --- | --- |

(33)

À semelhança do artigo 8.o da Diretiva (UE) 2016/680, o regime do Reino Unido exige que, para cumprir o princípio da licitude, as autoridades competentes assegurem que, quando se baseia na lei, o tratamento seja «necessário» para levar a cabo a incumbência para uma finalidade de aplicação da lei. O ICO proporciona uma orientação a este respeito, esclarecendo que «tem de constituir uma forma específica e proporcionada de alcançar a finalidade. Não haverá uma base lícita se for possível alcançar a finalidade de modo razoável por outros meios menos intrusivos. Não basta alegar que o tratamento é necessário porque se decidiu realizar o procedimento de uma determinada forma. Trata-se de saber se o tratamento é necessário para a finalidade especificada» (61).

o

61

2.4.1.2.   Tratamento com base no «consentimento» do titular dos dados

Tratamento com base no «consentimento» do titular dos dados

| (34) | Conforme referido no considerando 28, a section 35(2) do DPA 2018 prevê a possibilidade de proceder ao tratamento de dados pessoais com base no «consentimento» da pessoa. |
| --- | --- |

(34)

Conforme referido no considerando 28, a section 35(2) do DPA 2018 prevê a possibilidade de proceder ao tratamento de dados pessoais com base no «consentimento» da pessoa.

| (35) | No entanto, o consentimento não se afigura uma base jurídica pertinente para as operações de tratamento abrangidas pelo âmbito de aplicação da presente decisão. Efetivamente, as operações de tratamento abrangidas pela presente decisão dirão sempre respeito a dados que tenham sido transferidos ao abrigo da Diretiva (UE) 2016/680 por uma autoridade competente de um Estado-Membro da UE para uma autoridade competente do Reino Unido. Por conseguinte, não envolverão, geralmente, o tipo de interação direta (recolha) entre uma autoridade pública e os titulares dos dados suscetível de basear-se no consentimento ao abrigo da section 35(2)(a) do DPA 2018. |
| --- | --- |

(35)

No entanto, o consentimento não se afigura uma base jurídica pertinente para as operações de tratamento abrangidas pelo âmbito de aplicação da presente decisão. Efetivamente, as operações de tratamento abrangidas pela presente decisão dirão sempre respeito a dados que tenham sido transferidos ao abrigo da Diretiva (UE) 2016/680 por uma autoridade competente de um Estado-Membro da UE para uma autoridade competente do Reino Unido. Por conseguinte, não envolverão, geralmente, o tipo de interação direta (recolha) entre uma autoridade pública e os titulares dos dados suscetível de basear-se no consentimento ao abrigo da section 35(2)(a) do DPA 2018.

section 35(2)(a)

| (36) | Embora a dependência do consentimento não seja, portanto, considerada pertinente para a avaliação realizada na presente decisão, por uma questão de exaustividade, afigura-se oportuno referir que, no contexto da aplicação da lei, o tratamento não se baseia exclusivamente no consentimento, dado que a autoridade competente tem de ter sempre um poder subjacente que lhe permite proceder ao tratamento dos dados (62). Mais especificamente, e à semelhança do permitido ao abrigo da Diretiva (UE) 2016/680 (63), tal significa que o consentimento serve de condição adicional para permitir a realização de determinadas operações de tratamento limitadas e específicas que não poderiam ser realizadas de outra forma, como, por exemplo, a recolha e o tratamento de uma amostra de ADN de uma pessoa que não seja suspeita. Neste caso, não se procederia ao tratamento se não fosse dado consentimento ou este tivesse sido retirado (64). |
| --- | --- |

(36)

Embora a dependência do consentimento não seja, portanto, considerada pertinente para a avaliação realizada na presente decisão, por uma questão de exaustividade, afigura-se oportuno referir que, no contexto da aplicação da lei, o tratamento não se baseia exclusivamente no consentimento, dado que a autoridade competente tem de ter sempre um poder subjacente que lhe permite proceder ao tratamento dos dados (62). Mais especificamente, e à semelhança do permitido ao abrigo da Diretiva (UE) 2016/680 (63), tal significa que o consentimento serve de condição adicional para permitir a realização de determinadas operações de tratamento limitadas e específicas que não poderiam ser realizadas de outra forma, como, por exemplo, a recolha e o tratamento de uma amostra de ADN de uma pessoa que não seja suspeita. Neste caso, não se procederia ao tratamento se não fosse dado consentimento ou este tivesse sido retirado (64).

62

63

64

| (37) | Nos casos que exigem o consentimento da pessoa singular, este consentimento tem de ser explícito e implicar um ato positivo inequívoco (65). As forças policiais estão obrigadas a ter um aviso de privacidade que inclua, nomeadamente, a informação necessária relacionada com a utilização válida do consentimento. Além disso, algumas delas publicam materiais adicionais sobre o cumprimento da legislação em matéria de proteção de dados, incluindo como e quando recorrem ao consentimento enquanto base jurídica (66). |
| --- | --- |

(37)

Nos casos que exigem o consentimento da pessoa singular, este consentimento tem de ser explícito e implicar um ato positivo inequívoco (65). As forças policiais estão obrigadas a ter um aviso de privacidade que inclua, nomeadamente, a informação necessária relacionada com a utilização válida do consentimento. Além disso, algumas delas publicam materiais adicionais sobre o cumprimento da legislação em matéria de proteção de dados, incluindo como e quando recorrem ao consentimento enquanto base jurídica (66).

65

66

2.4.1.3.   Tratamento sensível

Tratamento sensível

| (38) | Devem existir garantias específicas aplicáveis ao tratamento de «categorias especiais» de dados. A este respeito, à semelhança do previsto no artigo 10.o da Diretiva (UE) 2016/680, a parte 3 do DPA 2018 prevê garantias mais robustas para o designado «tratamento de dados sensíveis» (67). |
| --- | --- |

(38)

Devem existir garantias específicas aplicáveis ao tratamento de «categorias especiais» de dados. A este respeito, à semelhança do previsto no artigo 10.o da Diretiva (UE) 2016/680, a parte 3 do DPA 2018 prevê garantias mais robustas para o designado «tratamento de dados sensíveis» (67).

o

67

| (39) | Nos termos da section 35(3) do DPA 1998, as autoridades competentes só podem proceder ao tratamento de dados sensíveis para efeitos de aplicação da lei em dois casos: 1) se o titular dos dados tiver dado consentimento para o tratamento para efeitos de aplicação da lei e, no momento em que o tratamento é realizado, o responsável pelo tratamento dispõe de um documento de políticas adequado (68); ou 2) o tratamento é estritamente necessário para efeitos de aplicação da lei, cumpre pelo menos uma das condições constantes do schedule 8 do DPA 2018 e, no momento em que o tratamento é realizado, o responsável pelo tratamento dispõe de um documento de políticas adequado (69). |
| --- | --- |

(39)

Nos termos da section 35(3) do DPA 1998, as autoridades competentes só podem proceder ao tratamento de dados sensíveis para efeitos de aplicação da lei em dois casos: 1) se o titular dos dados tiver dado consentimento para o tratamento para efeitos de aplicação da lei e, no momento em que o tratamento é realizado, o responsável pelo tratamento dispõe de um documento de políticas adequado (68); ou 2) o tratamento é estritamente necessário para efeitos de aplicação da lei, cumpre pelo menos uma das condições constantes do schedule 8 do DPA 2018 e, no momento em que o tratamento é realizado, o responsável pelo tratamento dispõe de um documento de políticas adequado (69).

section 35(3)

68

schedule 8

69

| (40) | No que respeita ao primeiro caso, conforme explicado no considerando 38, a necessidade do consentimento não é considerada pertinente no tipo de situação de transferência objeto da presente decisão (70). |
| --- | --- |

(40)

No que respeita ao primeiro caso, conforme explicado no considerando 38, a necessidade do consentimento não é considerada pertinente no tipo de situação de transferência objeto da presente decisão (70).

70

| (41) | Quando o tratamento de dados sensíveis não depende do consentimento, pode ser realizado nas condições prevista no schedule 8 do DPA 2018. Estas condições estão relacionadas com o processamento necessário para fins previstos na lei; a administração da justiça; a proteção dos interesses vitais do titular de dados ou de um terceiro; a salvaguarda de crianças e pessoas em risco; os direitos em processos judiciais; os atos judiciais; a prevenção da fraude; o arquivo; se os dados pessoais tenham sido manifestamente tornados públicos pelo seu titular. Para além do caso em que os dados são manifestamente tornados públicos, todas as condições previstas no schedule 8 estão sujeitas ao teste da «estrita necessidade». Tal como esclarecido pelo ICO, «neste contexto, por «estritamente necessário
  »
  entende-se que o tratamento tem de estar relacionado com uma necessidade social premente que não pode ser alcançada razoavelmente por meios menos intrusivos» (71). Além disso, algumas das condições estão sujeitas a limitações adicionais. Por exemplo, para que se possa recorrer à condição relativa aos «fins previstos na lei» e à «condição relativa à salvaguarda» (schedule 8, n.os 1 e 4) é necessário realizar o teste adicional do interesse público importante. Além disso, no que respeita às condições relativas à salvaguarda da criança (schedule 8, n.o 4), é igualmente necessário que o titular dos dados também tenha uma determinada idade e que se considere que este está em risco. Além disso, o responsável pelo tratamento só pode aplicar a condição prevista no schedule 8, n.o 4, em circunstâncias específicas (72). Existem, igualmente, limitações para as condições relativas aos «atos judiciais» e à «prevenção da fraude» (schedule 8, n.os 7 e 8, respetivamente). Ambas só são aplicáveis a responsáveis pelo tratamento específicos. No caso dos atos judiciais, só um tribunal ou outra autoridade judicial conseguem satisfazer esta condição e, no caso da prevenção da fraude, só os responsáveis pelo tratamento que sejam organizações de luta contra a fraude conseguem satisfazer esta condição. |
| --- | --- |

(41)

Quando o tratamento de dados sensíveis não depende do consentimento, pode ser realizado nas condições prevista no schedule 8 do DPA 2018. Estas condições estão relacionadas com o processamento necessário para fins previstos na lei; a administração da justiça; a proteção dos interesses vitais do titular de dados ou de um terceiro; a salvaguarda de crianças e pessoas em risco; os direitos em processos judiciais; os atos judiciais; a prevenção da fraude; o arquivo; se os dados pessoais tenham sido manifestamente tornados públicos pelo seu titular. Para além do caso em que os dados são manifestamente tornados públicos, todas as condições previstas no schedule 8 estão sujeitas ao teste da «estrita necessidade». Tal como esclarecido pelo ICO, «neste contexto, por «estritamente necessário
  »
  entende-se que o tratamento tem de estar relacionado com uma necessidade social premente que não pode ser alcançada razoavelmente por meios menos intrusivos» (71). Além disso, algumas das condições estão sujeitas a limitações adicionais. Por exemplo, para que se possa recorrer à condição relativa aos «fins previstos na lei» e à «condição relativa à salvaguarda» (schedule 8, n.os 1 e 4) é necessário realizar o teste adicional do interesse público importante. Além disso, no que respeita às condições relativas à salvaguarda da criança (schedule 8, n.o 4), é igualmente necessário que o titular dos dados também tenha uma determinada idade e que se considere que este está em risco. Além disso, o responsável pelo tratamento só pode aplicar a condição prevista no schedule 8, n.o 4, em circunstâncias específicas (72). Existem, igualmente, limitações para as condições relativas aos «atos judiciais» e à «prevenção da fraude» (schedule 8, n.os 7 e 8, respetivamente). Ambas só são aplicáveis a responsáveis pelo tratamento específicos. No caso dos atos judiciais, só um tribunal ou outra autoridade judicial conseguem satisfazer esta condição e, no caso da prevenção da fraude, só os responsáveis pelo tratamento que sejam organizações de luta contra a fraude conseguem satisfazer esta condição.

schedule 8

schedule 8

»

71

schedule 8

os

schedule 8

o

schedule 8

o

72

schedule 8

os

| (42) | Por fim, quando o tratamento depende de uma das condições enunciadas no schedule 8 e em conformidade com a section 42 do DPA 2018, tem de existir um «documento de políticas adequado» — que explique os procedimentos do responsável pelo tratamento para garantir o cumprimento dos princípios da proteção de dados e as políticas do responsável pelo tratamento no que respeita à conservação e ao apagamento de dados pessoais — e sendo aplicáveis as obrigações de registo alargado. |
| --- | --- |

(42)

Por fim, quando o tratamento depende de uma das condições enunciadas no schedule 8 e em conformidade com a section 42 do DPA 2018, tem de existir um «documento de políticas adequado» — que explique os procedimentos do responsável pelo tratamento para garantir o cumprimento dos princípios da proteção de dados e as políticas do responsável pelo tratamento no que respeita à conservação e ao apagamento de dados pessoais — e sendo aplicáveis as obrigações de registo alargado.

2.4.2.   Limitação das finalidades

Limitação das finalidades

| (43) | Os dados pessoais devem ser tratados com uma finalidade específica e, subsequentemente, utilizados apenas na medida em que essa utilização não seja incompatível com a finalidade do tratamento. Este princípio da proteção de dados é garantido pela section 36 do DPA 2018. Esta disposição, à semelhança do artigo 4.o, n.o 1, alínea b), da Diretiva (UE) 2016/680, exige que a) as finalidades de aplicação da lei para que se procede à recolha de dados pessoais em qualquer momento sejam determinadas, explícitas e legítimas, e b) os dados pessoais recolhidos deste modo não sejam tratados de uma forma incompatível com a finalidade para que foram recolhidos. |
| --- | --- |

(43)

Os dados pessoais devem ser tratados com uma finalidade específica e, subsequentemente, utilizados apenas na medida em que essa utilização não seja incompatível com a finalidade do tratamento. Este princípio da proteção de dados é garantido pela section 36 do DPA 2018. Esta disposição, à semelhança do artigo 4.o, n.o 1, alínea b), da Diretiva (UE) 2016/680, exige que a) as finalidades de aplicação da lei para que se procede à recolha de dados pessoais em qualquer momento sejam determinadas, explícitas e legítimas, e b) os dados pessoais recolhidos deste modo não sejam tratados de uma forma incompatível com a finalidade para que foram recolhidos.

section 36

o

o

| (44) | Quando as autoridades competentes tratam dados para efeitos de aplicação da lei, estes podem incluir fins de arquivo, fins de investigação científica ou história e fins estatísticos (73). Nesses casos, o DPA 2018 esclarece igualmente que o arquivo (ou o tratamento para fins de investigação científica ou histórica ou estatísticos) não é permitido se for realizado em relação a decisões relacionadas com um titular de dados específico ou se for suscetível de provocar importantes danos ou sofrimento emocional ao titular dos dados (74). |
| --- | --- |

(44)

Quando as autoridades competentes tratam dados para efeitos de aplicação da lei, estes podem incluir fins de arquivo, fins de investigação científica ou história e fins estatísticos (73). Nesses casos, o DPA 2018 esclarece igualmente que o arquivo (ou o tratamento para fins de investigação científica ou histórica ou estatísticos) não é permitido se for realizado em relação a decisões relacionadas com um titular de dados específico ou se for suscetível de provocar importantes danos ou sofrimento emocional ao titular dos dados (74).

73

74

2.4.3.   Exatidão e minimização dos dados

Exatidão e minimização dos dados

| (45) | Os dados têm de ser exatos e, se necessário, atualizados. Têm, igualmente, de ser adequados, pertinentes e não excessivos relativamente às finalidades para que são tratados. À semelhança do artigo 4.o, n.o 1, alíneas c), d) e e), da Diretiva (UE) 2016/680, estes princípios são garantidos nas sections 37 e 38 do DPA 2018. É necessário tomar todas as medidas razoáveis para assegurar que os dados inexatos (75) sejam apagados ou retificados sem demora (76), tendo em conta a finalidade de aplicação da lei para a qual são tratados (77) e para assegurar que os dados pessoais inexatos, incompletos ou que não estejam atualizados não sejam transmitidos ou disponibilizados para efeitos de aplicação da lei (78). |
| --- | --- |

(45)

Os dados têm de ser exatos e, se necessário, atualizados. Têm, igualmente, de ser adequados, pertinentes e não excessivos relativamente às finalidades para que são tratados. À semelhança do artigo 4.o, n.o 1, alíneas c), d) e e), da Diretiva (UE) 2016/680, estes princípios são garantidos nas sections 37 e 38 do DPA 2018. É necessário tomar todas as medidas razoáveis para assegurar que os dados inexatos (75) sejam apagados ou retificados sem demora (76), tendo em conta a finalidade de aplicação da lei para a qual são tratados (77) e para assegurar que os dados pessoais inexatos, incompletos ou que não estejam atualizados não sejam transmitidos ou disponibilizados para efeitos de aplicação da lei (78).

o

o

sections 37

38

75

76

77

78

| (46) | Além disso, à semelhança do artigo 7.o da Diretiva (UE) 2016/680, o regime de proteção de dados do Reino Unido especifica que os dados pessoais baseados em factos têm de ser, na medida do possível, distinguidos dos dados pessoais baseados em apreciações pessoais (79). Se for caso disso e na medida do possível, tem de ser feita uma distinção entre os dados pessoais relativos a diferentes categorias de titulares de dados, como pessoas suspeitas, pessoas condenadas por uma infração penal, vítimas de uma infração penal e testemunhas (80). |
| --- | --- |

(46)

Além disso, à semelhança do artigo 7.o da Diretiva (UE) 2016/680, o regime de proteção de dados do Reino Unido especifica que os dados pessoais baseados em factos têm de ser, na medida do possível, distinguidos dos dados pessoais baseados em apreciações pessoais (79). Se for caso disso e na medida do possível, tem de ser feita uma distinção entre os dados pessoais relativos a diferentes categorias de titulares de dados, como pessoas suspeitas, pessoas condenadas por uma infração penal, vítimas de uma infração penal e testemunhas (80).

o

79

80

2.4.4.   Limitação da conservação

Limitação da conservação

| (47) | Em conformidade com o artigo 5.o da Diretiva (UE) 2016/680, em princípio, os dados não devem ser conservados mais tempo do que o necessário para as finalidades para as quais são tratados. Nos termos da section 39 do DPA 2018 e à semelhança do artigo 5.o da referida diretiva, é proibido conservar dados pessoais tratados para efeitos de aplicação da lei por mais tempo do que o necessário tendo em conta a finalidade para a qual são tratados. O regime jurídico do Reino Unido exige que sejam estabelecidos prazos adequados para a reavaliação periódica da necessidade de conservação de dados pessoais para efeitos de aplicação da lei. Foram estabelecidas regras adicionais para as práticas relativas à conservação de dados pessoais e os prazos aplicáveis na legislação pertinente e nas orientações que regem os poderes e o funcionamento da polícia. Por exemplo, na Inglaterra e no País de Gales, o código de boas práticas MoPI do College of Policing e as orientações de PPA para a gestão da informação policial proporcionam um quadro para garantir um processo de conservação, reavaliação e eliminação coerente e assente no risco para a gestão das informações de policiamento operacionais (81). Este quadro estabelece expectativas claras em todo o serviço quanto à melhor forma de criar, partilhar, utilizar e gerir a informação em cada força policial e agência e entre as mesmas (82). Espera-se que polícia cumpra o código de boas práticas MoPI, sendo o cumprimento verificado pelo Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services (83). |
| --- | --- |

(47)

Em conformidade com o artigo 5.o da Diretiva (UE) 2016/680, em princípio, os dados não devem ser conservados mais tempo do que o necessário para as finalidades para as quais são tratados. Nos termos da section 39 do DPA 2018 e à semelhança do artigo 5.o da referida diretiva, é proibido conservar dados pessoais tratados para efeitos de aplicação da lei por mais tempo do que o necessário tendo em conta a finalidade para a qual são tratados. O regime jurídico do Reino Unido exige que sejam estabelecidos prazos adequados para a reavaliação periódica da necessidade de conservação de dados pessoais para efeitos de aplicação da lei. Foram estabelecidas regras adicionais para as práticas relativas à conservação de dados pessoais e os prazos aplicáveis na legislação pertinente e nas orientações que regem os poderes e o funcionamento da polícia. Por exemplo, na Inglaterra e no País de Gales, o código de boas práticas MoPI do College of Policing e as orientações de PPA para a gestão da informação policial proporcionam um quadro para garantir um processo de conservação, reavaliação e eliminação coerente e assente no risco para a gestão das informações de policiamento operacionais (81). Este quadro estabelece expectativas claras em todo o serviço quanto à melhor forma de criar, partilhar, utilizar e gerir a informação em cada força policial e agência e entre as mesmas (82). Espera-se que polícia cumpra o código de boas práticas MoPI, sendo o cumprimento verificado pelo Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services (83).

o

section 39

o

College of Policing

81

82

Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services

83

| (48) | O Police Service of Northern Ireland (PSNI) não é obrigado por lei a observar o código de boas práticas MoPI. No entanto, o quadro do código MoPI adotado em 2011 é completado pelo PSNI Handbook (manual da PSNI) (84), que estabelece políticas e procedimentos para a aplicação do código de boas práticas MoPI na Irlanda do Norte. |
| --- | --- |

(48)

O Police Service of Northern Ireland (PSNI) não é obrigado por lei a observar o código de boas práticas MoPI. No entanto, o quadro do código MoPI adotado em 2011 é completado pelo PSNI Handbook (manual da PSNI) (84), que estabelece políticas e procedimentos para a aplicação do código de boas práticas MoPI na Irlanda do Norte.

Police Service of Northern Ireland

PSNI Handbook

84

| (49) | Na Escócia, as forças policiais dependem do Record Retention Standard Operating Procedure (procedimento operacional normalizado para a conservação de registos) (SOP) (85), que apoia a Records Management Policy (política de gestão de registos) da Autoridade Policial da Escócia (86). O SOP estabelece regras de conservação específicas para os registos detidos pela Autoridade Policial da Escócia. |
| --- | --- |

(49)

Na Escócia, as forças policiais dependem do Record Retention Standard Operating Procedure (procedimento operacional normalizado para a conservação de registos) (SOP) (85), que apoia a Records Management Policy (política de gestão de registos) da Autoridade Policial da Escócia (86). O SOP estabelece regras de conservação específicas para os registos detidos pela Autoridade Policial da Escócia.

Record Retention Standard Operating Procedure

85

Records Management Policy

86

| (50) | Para além do requisito global de reavaliação dos registos aplicável em todo o Reino Unido, existem regras localizadas mais pormenorizadas. Para dar alguns exemplos, no que respeita à Inglaterra e ao País de Gales, o Police and Criminal Evidence Act, com a redação que lhe foi dada pelo Protection of Freedom Act 2012 (Lei de 2012 relativa à Proteção da Liberdade) (PoFA), prevê a conservação de impressões digitais e perfis de ADN, bem como um regime específico para as pessoas não condenadas (87). O PoFA criou igualmente a posição de Comissário para a Conservação e Utilização de Materiais Biométricos («comissário biométrico») (88). O estudo de 2017 relativo às imagens recolhidas em detenção estabelece as regras específicas para estas imagens (89). No que respeita à Escócia, o Criminal Procedure (Scotland) Act 1995 prevê as regras para a obtenção e conservação de impressões digitais e amostras biológicas (90). Tal como no caso da Inglaterra e do País de Gales, a legislação regula a conservação de dados biométricos em diversos casos (91). |
| --- | --- |

(50)

Para além do requisito global de reavaliação dos registos aplicável em todo o Reino Unido, existem regras localizadas mais pormenorizadas. Para dar alguns exemplos, no que respeita à Inglaterra e ao País de Gales, o Police and Criminal Evidence Act, com a redação que lhe foi dada pelo Protection of Freedom Act 2012 (Lei de 2012 relativa à Proteção da Liberdade) (PoFA), prevê a conservação de impressões digitais e perfis de ADN, bem como um regime específico para as pessoas não condenadas (87). O PoFA criou igualmente a posição de Comissário para a Conservação e Utilização de Materiais Biométricos («comissário biométrico») (88). O estudo de 2017 relativo às imagens recolhidas em detenção estabelece as regras específicas para estas imagens (89). No que respeita à Escócia, o Criminal Procedure (Scotland) Act 1995 prevê as regras para a obtenção e conservação de impressões digitais e amostras biológicas (90). Tal como no caso da Inglaterra e do País de Gales, a legislação regula a conservação de dados biométricos em diversos casos (91).

Police and Criminal Evidence Act

Protection of Freedom Act 2012

87

88

89

Criminal Procedure (Scotland) Act 1995

90

91

2.4.5.   Segurança dos dados

Segurança dos dados

| (51) | Os dados pessoais têm de ser tratados de uma forma que garanta a sua segurança, incluindo proteção contra tratamento não autorizado ou ilícito e contra perda, destruição ou danos acidentais. Para este fim, as autoridades públicas têm de tomar as medidas técnicas e organizativas adequadas para proteger os dados pessoais contra eventuais ameaças. Estas medidas têm de ser avaliadas tendo em consideração o estado atual dos conhecimentos e os custos conexos. |
| --- | --- |

(51)

Os dados pessoais têm de ser tratados de uma forma que garanta a sua segurança, incluindo proteção contra tratamento não autorizado ou ilícito e contra perda, destruição ou danos acidentais. Para este fim, as autoridades públicas têm de tomar as medidas técnicas e organizativas adequadas para proteger os dados pessoais contra eventuais ameaças. Estas medidas têm de ser avaliadas tendo em consideração o estado atual dos conhecimentos e os custos conexos.

| (52) | Estes princípios estão espelhados na section 40 do DPA 2018, de acordo com a qual, à semelhança do artigo 4.o, n.o 1, alínea f), da Diretiva (UE) 2016/680, os dados pessoais tratados para efeitos de aplicação da lei têm de ser tratados de uma forma que garanta a sua segurança adequada, recorrendo a medidas técnicas ou organizativas adequadas. Tal inclui a proteção dos dados contra o seu tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidentais (92). A section 66 do DPA 2018 especifica adicionalmente que cada responsável pelo tratamento e cada subcontratante tem de tomar as medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado aos riscos decorrentes do tratamento de dados pessoais. De acordo com as notas explicativas, o responsável pelo tratamento tem de avaliar os riscos e adotar as medidas de segurança adequadas com base nesta avaliação, como, por exemplo, a cifragem ou níveis específicos de credenciação de segurança do pessoal que trata os dados (93). A avaliação tem igualmente de ter em conta, por exemplo, a natureza dos dados tratados e quaisquer outros fatores ou circunstâncias pertinentes suscetíveis de afetarem a segurança do tratamento. |
| --- | --- |

(52)

Estes princípios estão espelhados na section 40 do DPA 2018, de acordo com a qual, à semelhança do artigo 4.o, n.o 1, alínea f), da Diretiva (UE) 2016/680, os dados pessoais tratados para efeitos de aplicação da lei têm de ser tratados de uma forma que garanta a sua segurança adequada, recorrendo a medidas técnicas ou organizativas adequadas. Tal inclui a proteção dos dados contra o seu tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidentais (92). A section 66 do DPA 2018 especifica adicionalmente que cada responsável pelo tratamento e cada subcontratante tem de tomar as medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado aos riscos decorrentes do tratamento de dados pessoais. De acordo com as notas explicativas, o responsável pelo tratamento tem de avaliar os riscos e adotar as medidas de segurança adequadas com base nesta avaliação, como, por exemplo, a cifragem ou níveis específicos de credenciação de segurança do pessoal que trata os dados (93). A avaliação tem igualmente de ter em conta, por exemplo, a natureza dos dados tratados e quaisquer outros fatores ou circunstâncias pertinentes suscetíveis de afetarem a segurança do tratamento.

section 40

o

o

92

section 66

93

| (53) | O regime que rege o cumprimento dos princípios de segurança dos dados é muito semelhante ao estabelecido pelos artigos 29.o a 31.° da Diretiva (UE) 2016/680. Mais particularmente, nos termos da section 67(1) do DPA 2018, em caso de violação de dados pessoais da responsabilidade do responsável pelo tratamento, este último tem de notificar desse facto o comissário para a informação sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento da violação (94). A obrigação de notificar não é aplicável quando a violação dos dados pessoais não for suscetível de resultar num risco para os direitos e as liberdades das pessoas singulares (95). O responsável pelo tratamento tem de documentar os factos relacionados com quaisquer violações dos dados pessoais, os seus efeitos e as medidas corretivas tomadas de modo que permita ao comissário para a informação verificar a conformidade com o DPA (96). Se tomarem conhecimento de uma violação da segurança, os subcontratantes têm de notificar o responsável pelo tratamento sem demora injustificada (97). |
| --- | --- |

(53)

O regime que rege o cumprimento dos princípios de segurança dos dados é muito semelhante ao estabelecido pelos artigos 29.o a 31.° da Diretiva (UE) 2016/680. Mais particularmente, nos termos da section 67(1) do DPA 2018, em caso de violação de dados pessoais da responsabilidade do responsável pelo tratamento, este último tem de notificar desse facto o comissário para a informação sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento da violação (94). A obrigação de notificar não é aplicável quando a violação dos dados pessoais não for suscetível de resultar num risco para os direitos e as liberdades das pessoas singulares (95). O responsável pelo tratamento tem de documentar os factos relacionados com quaisquer violações dos dados pessoais, os seus efeitos e as medidas corretivas tomadas de modo que permita ao comissário para a informação verificar a conformidade com o DPA (96). Se tomarem conhecimento de uma violação da segurança, os subcontratantes têm de notificar o responsável pelo tratamento sem demora injustificada (97).

o

section 67(1)

94

95

96

97

| (54) | Nos termos da section 68(1) do DPA 2018, se uma violação dos dados pessoais for suscetível de resultar num elevado risco para os direitos e liberdades das pessoas, o responsável pelo tratamento tem de comunicar a violação de dados pessoais ao titular dos dados sem demora injustificada (98). Esta notificação tem de incluir as mesmas informações que a notificação ao comissário para a informação descrita no considerando 53. Esta obrigação não é aplicável se o responsável pelo tratamento tiver tomado as medidas técnicas e organizativas de proteção adequadas, que foram aplicadas aos dados pessoais afetados pela violação. Também não é aplicável se o responsável pelo tratamento tiver tomado medidas subsequentes que asseguram que o elevado risco para os direitos e as liberdades dos titulares dos dados já não é suscetível de se concretizar. Por fim, o responsável pelo tratamento não tem de notificar o titular dos dados se tal implicar um esforço desproporcionado (99). Nesse caso, as informações têm de ser disponibilizadas ao titular dos dados por outro modo igualmente eficaz, por exemplo, por meio de uma comunicação pública (100). Se o responsável pelo tratamento não tiver informado o titular dos dados da violação dos dados pessoais, o comissário para a informação, tendo sido notificado em conformidade com a section 67 do DPA e tendo considerado a probabilidade de a violação resultar num elevado risco, pode exigir que o referido responsável pelo tratamento proceda à notificação da violação ao titular dos dados (101). |
| --- | --- |

(54)

Nos termos da section 68(1) do DPA 2018, se uma violação dos dados pessoais for suscetível de resultar num elevado risco para os direitos e liberdades das pessoas, o responsável pelo tratamento tem de comunicar a violação de dados pessoais ao titular dos dados sem demora injustificada (98). Esta notificação tem de incluir as mesmas informações que a notificação ao comissário para a informação descrita no considerando 53. Esta obrigação não é aplicável se o responsável pelo tratamento tiver tomado as medidas técnicas e organizativas de proteção adequadas, que foram aplicadas aos dados pessoais afetados pela violação. Também não é aplicável se o responsável pelo tratamento tiver tomado medidas subsequentes que asseguram que o elevado risco para os direitos e as liberdades dos titulares dos dados já não é suscetível de se concretizar. Por fim, o responsável pelo tratamento não tem de notificar o titular dos dados se tal implicar um esforço desproporcionado (99). Nesse caso, as informações têm de ser disponibilizadas ao titular dos dados por outro modo igualmente eficaz, por exemplo, por meio de uma comunicação pública (100). Se o responsável pelo tratamento não tiver informado o titular dos dados da violação dos dados pessoais, o comissário para a informação, tendo sido notificado em conformidade com a section 67 do DPA e tendo considerado a probabilidade de a violação resultar num elevado risco, pode exigir que o referido responsável pelo tratamento proceda à notificação da violação ao titular dos dados (101).

section 68(1)

98

99

100

section 67

101

2.4.6.   Transparência

Transparência

| (55) | Os titulares dos dados têm de ser informados sobre as principais características do tratamento dos respetivos dados pessoais. Este princípio da proteção de dados é espelhado na section 44 do DPA 2018, que, à semelhança do artigo 13.o da Diretiva (UE) 2016/680, determina que o responsável pelo tratamento tem um dever geral de disponibilizar aos titulares dos dados informações sobre o tratamento dos seus dados pessoais (disponibilizando as informações de modo geral ao público ou de qualquer outra forma) (102). As informações cuja disponibilização é exigida incluem a) a identidade e os contactos do responsável pelo tratamento; b) se for aplicável, os contactos do encarregado da proteção de dados; c) as finalidades para as quais o responsável pelo tratamento trata os dados pessoais; d) a existência dos direitos de solicitar ao responsável pelo tratamento acesso aos dados pessoais, a retificação dos dados pessoais e o apagamento dos dados pessoais ou a limitação do seu tratamento; e e) a existência do direito de apresentar reclamação junto do comissário para a informação e os contactos do comissário (103). |
| --- | --- |

(55)

Os titulares dos dados têm de ser informados sobre as principais características do tratamento dos respetivos dados pessoais. Este princípio da proteção de dados é espelhado na section 44 do DPA 2018, que, à semelhança do artigo 13.o da Diretiva (UE) 2016/680, determina que o responsável pelo tratamento tem um dever geral de disponibilizar aos titulares dos dados informações sobre o tratamento dos seus dados pessoais (disponibilizando as informações de modo geral ao público ou de qualquer outra forma) (102). As informações cuja disponibilização é exigida incluem a) a identidade e os contactos do responsável pelo tratamento; b) se for aplicável, os contactos do encarregado da proteção de dados; c) as finalidades para as quais o responsável pelo tratamento trata os dados pessoais; d) a existência dos direitos de solicitar ao responsável pelo tratamento acesso aos dados pessoais, a retificação dos dados pessoais e o apagamento dos dados pessoais ou a limitação do seu tratamento; e e) a existência do direito de apresentar reclamação junto do comissário para a informação e os contactos do comissário (103).

section 44

o

102

103

| (56) | Em casos específicos para permitir o exercício dos direitos dos titulares dos dados ao abrigo do DPA 2018 (por exemplo, quando os dados pessoais objeto de tratamento foram recolhidos sem conhecimento dos titulares dos dados), o responsável pelo tratamento também tem de facultar aos titulares dos dados informações sobre a) o fundamento jurídico do tratamento; b) informações sobre o prazo de conservação dos dados pessoais ou, se tal não for possível, sobre os critérios aplicados para definir esse período; c) se aplicável, informações sobre as categorias de destinatários dos dados pessoais (inclusive nos países terceiros ou nas organizações internacionais); d) as informações necessárias para permitir o exercício dos direitos dos titulares dos dados ao abrigo da parte 3 do DPA 2018 (104). |
| --- | --- |

(56)

Em casos específicos para permitir o exercício dos direitos dos titulares dos dados ao abrigo do DPA 2018 (por exemplo, quando os dados pessoais objeto de tratamento foram recolhidos sem conhecimento dos titulares dos dados), o responsável pelo tratamento também tem de facultar aos titulares dos dados informações sobre a) o fundamento jurídico do tratamento; b) informações sobre o prazo de conservação dos dados pessoais ou, se tal não for possível, sobre os critérios aplicados para definir esse período; c) se aplicável, informações sobre as categorias de destinatários dos dados pessoais (inclusive nos países terceiros ou nas organizações internacionais); d) as informações necessárias para permitir o exercício dos direitos dos titulares dos dados ao abrigo da parte 3 do DPA 2018 (104).

104

2.4.7.   Direitos individuais

Direitos individuais

| (57) | Tem de ser concedido aos titulares dos direitos um conjunto de direitos executórios. A parte 3, capítulo 3, do DPA 2018 concede às pessoas singulares os direitos de acesso, retificação e apagamento e limitação (105), que são comparáveis aos previstos no capítulo III da Diretiva (UE) 2016/680. |
| --- | --- |

(57)

Tem de ser concedido aos titulares dos direitos um conjunto de direitos executórios. A parte 3, capítulo 3, do DPA 2018 concede às pessoas singulares os direitos de acesso, retificação e apagamento e limitação (105), que são comparáveis aos previstos no capítulo III da Diretiva (UE) 2016/680.

105

| (58) | O direito de acesso está previsto na section 45 do DPA 2018. Em primeiro lugar, as pessoas têm o direito de obter uma confirmação por parte do responsável pelo tratamento de que os seus dados pessoais estão a ser ou não objeto de tratamento (106). Em segundo lugar, se os dados pessoais são objeto de tratamento, o titular dos dados tem o direito de aceder aos dados e receber as informações seguintes sobre o tratamento: a) as finalidades e o fundamento jurídico do tratamento; b) as categorias de dados envolvidos; c) o destinatário a quem os dados foram divulgados; d) o período de conservação dos dados pessoais; e) a existência do direito do titular dos dados de solicitar a retificação e o apagamento de dados pessoais; f) o direito de apresentar reclamação; e g) qualquer informação sobre a origem dos dados pessoais em causa (107). |
| --- | --- |

(58)

O direito de acesso está previsto na section 45 do DPA 2018. Em primeiro lugar, as pessoas têm o direito de obter uma confirmação por parte do responsável pelo tratamento de que os seus dados pessoais estão a ser ou não objeto de tratamento (106). Em segundo lugar, se os dados pessoais são objeto de tratamento, o titular dos dados tem o direito de aceder aos dados e receber as informações seguintes sobre o tratamento: a) as finalidades e o fundamento jurídico do tratamento; b) as categorias de dados envolvidos; c) o destinatário a quem os dados foram divulgados; d) o período de conservação dos dados pessoais; e) a existência do direito do titular dos dados de solicitar a retificação e o apagamento de dados pessoais; f) o direito de apresentar reclamação; e g) qualquer informação sobre a origem dos dados pessoais em causa (107).

section 45

106

107

| (59) | Em conformidade com a section 46 do DPA 2018, o titular dos dados tem o direito de exigir ao responsável pelo tratamento que retifique dados pessoais inexatos que lhe digam respeito. O responsável pelo tratamento tem de retificar (ou, se os dados forem inexatos porque estão incompletos, completar) os dados sem demora injustificada. Se os dados pessoais tiverem de ser conservados para efeitos de prova, o responsável pelo tratamento tem de limitar o seu tratamento (em vez de retificar os dados pessoais) (108). |
| --- | --- |

(59)

Em conformidade com a section 46 do DPA 2018, o titular dos dados tem o direito de exigir ao responsável pelo tratamento que retifique dados pessoais inexatos que lhe digam respeito. O responsável pelo tratamento tem de retificar (ou, se os dados forem inexatos porque estão incompletos, completar) os dados sem demora injustificada. Se os dados pessoais tiverem de ser conservados para efeitos de prova, o responsável pelo tratamento tem de limitar o seu tratamento (em vez de retificar os dados pessoais) (108).

section 46

108

| (60) | A section 47 do DPA 2018 determina que as pessoas têm o direito ao apagamento ou à limitação do tratamento. O responsável pelo tratamento tem de apagar (109) os dados pessoais sem demora injustificada se o tratamento dos dados pessoais infringir qualquer dos princípios da proteção de dados, o fundamento jurídico do tratamento ou as garantias relacionadas com o arquivo e o tratamento de dados sensíveis. O responsável pelo tratamento tem igualmente de apagar os dados se a tal estiver legalmente obrigado. Se os dados pessoais tiverem de ser conservados para efeitos de prova, o responsável pelo tratamento tem de limitar o seu tratamento (em vez de apagar os dados pessoais) (110). O responsável pelo tratamento tem de limitar o tratamento dos dados pessoais se o titular dos dados contestar a exatidão dos dados pessoais, mas não for possível apurar se os dados são exatos ou não (111). |
| --- | --- |

(60)

A section 47 do DPA 2018 determina que as pessoas têm o direito ao apagamento ou à limitação do tratamento. O responsável pelo tratamento tem de apagar (109) os dados pessoais sem demora injustificada se o tratamento dos dados pessoais infringir qualquer dos princípios da proteção de dados, o fundamento jurídico do tratamento ou as garantias relacionadas com o arquivo e o tratamento de dados sensíveis. O responsável pelo tratamento tem igualmente de apagar os dados se a tal estiver legalmente obrigado. Se os dados pessoais tiverem de ser conservados para efeitos de prova, o responsável pelo tratamento tem de limitar o seu tratamento (em vez de apagar os dados pessoais) (110). O responsável pelo tratamento tem de limitar o tratamento dos dados pessoais se o titular dos dados contestar a exatidão dos dados pessoais, mas não for possível apurar se os dados são exatos ou não (111).

section 47

109

110

111

| (61) | Se o titular dos dados solicitar a retificação ou o apagamento de dados pessoais ou a limitação do seu tratamento, o responsável pelo tratamento tem de informar por escrito o titular dos dados do deferimento do pedido ou, caso tenha sido indeferido, informar o titular dos dados dos motivos do indeferimento e das vias de recurso disponíveis [o direito do titular dos dados de solicitar uma investigação por parte do comissário para a informação para apurar se a limitação foi aplicada de modo lícito, o direito a apresentar reclamação junto do comissário para a informação e o direito de requerer uma ordem de cumprimento (compliance order) junto de um tribunal] (112). |
| --- | --- |

(61)

Se o titular dos dados solicitar a retificação ou o apagamento de dados pessoais ou a limitação do seu tratamento, o responsável pelo tratamento tem de informar por escrito o titular dos dados do deferimento do pedido ou, caso tenha sido indeferido, informar o titular dos dados dos motivos do indeferimento e das vias de recurso disponíveis [o direito do titular dos dados de solicitar uma investigação por parte do comissário para a informação para apurar se a limitação foi aplicada de modo lícito, o direito a apresentar reclamação junto do comissário para a informação e o direito de requerer uma ordem de cumprimento (compliance order) junto de um tribunal] (112).

compliance order

112

| (62) | Caso retifique os dados pessoais recebidos de outra autoridade competente, o responsável pelo tratamento tem de notificar a outra autoridade (113). Caso retifique ou apague dados pessoais que tenham sido divulgados pelo responsável pelo tratamento ou limite o seu tratamento, o responsável pelo tratamento tem de notificar os destinatários e os destinatários têm igualmente de retificar ou apagar os dados pessoais ou limitar o seu tratamento (desde que tal seja da sua responsabilidade) (114). |
| --- | --- |

(62)

Caso retifique os dados pessoais recebidos de outra autoridade competente, o responsável pelo tratamento tem de notificar a outra autoridade (113). Caso retifique ou apague dados pessoais que tenham sido divulgados pelo responsável pelo tratamento ou limite o seu tratamento, o responsável pelo tratamento tem de notificar os destinatários e os destinatários têm igualmente de retificar ou apagar os dados pessoais ou limitar o seu tratamento (desde que tal seja da sua responsabilidade) (114).

113

114

| (63) | Além disso, o titular dos dados tem o direito de ser informado pelo responsável pelo tratamento sem demora injustificada sobre as violações dos dados pessoais suscetíveis de resultarem num elevado risco para os direitos e as liberdades das pessoas singulares (115). |
| --- | --- |

(63)

Além disso, o titular dos dados tem o direito de ser informado pelo responsável pelo tratamento sem demora injustificada sobre as violações dos dados pessoais suscetíveis de resultarem num elevado risco para os direitos e as liberdades das pessoas singulares (115).

115

| (64) | Em relação a todos os direitos do titular dos dados e à semelhança do previsto no artigo 12.o da Diretiva (UE) 2016/680, o responsável pelo tratamento tem a obrigação de assegurar que qualquer informação ao titular dos dados é fornecida de uma forma concisa, inteligível e de fácil acesso (116) e, se possível, deve ser fornecida na mesma forma que o pedido (117). O responsável pelo tratamento tem de dar resposta ao pedido do titular dos dados sem demora injustificada e em todo o caso, em princípio, antes do fim do prazo de um mês a contar da data do pedido (118). Se tiver dúvidas razoáveis quanto à identidade de uma pessoa, o responsável pelo tratamento pode solicitar informações adicionais e adiar o seguimento do pedido até apurar a identidade. O responsável pelo tratamento pode exigir o pagamento de uma taxa razoável ou indeferir o pedido se considerar que este é manifestamente infundado (119). O ICO forneceu uma orientação sobre as circunstâncias em que se considera que um pedido é manifestamente infundado ou excessivo e em que se pode exigir o pagamento de uma taxa (120). |
| --- | --- |

(64)

Em relação a todos os direitos do titular dos dados e à semelhança do previsto no artigo 12.o da Diretiva (UE) 2016/680, o responsável pelo tratamento tem a obrigação de assegurar que qualquer informação ao titular dos dados é fornecida de uma forma concisa, inteligível e de fácil acesso (116) e, se possível, deve ser fornecida na mesma forma que o pedido (117). O responsável pelo tratamento tem de dar resposta ao pedido do titular dos dados sem demora injustificada e em todo o caso, em princípio, antes do fim do prazo de um mês a contar da data do pedido (118). Se tiver dúvidas razoáveis quanto à identidade de uma pessoa, o responsável pelo tratamento pode solicitar informações adicionais e adiar o seguimento do pedido até apurar a identidade. O responsável pelo tratamento pode exigir o pagamento de uma taxa razoável ou indeferir o pedido se considerar que este é manifestamente infundado (119). O ICO forneceu uma orientação sobre as circunstâncias em que se considera que um pedido é manifestamente infundado ou excessivo e em que se pode exigir o pagamento de uma taxa (120).

o

116

117

118

119

120

| (65) | Além disso, ao abrigo da section 53(4) do DPA 2018, o ministro da tutela pode especificar por meio de regulamentação o montante máximo da taxa. |
| --- | --- |

(65)

Além disso, ao abrigo da section 53(4) do DPA 2018, o ministro da tutela pode especificar por meio de regulamentação o montante máximo da taxa.

section 53(4)

2.4.7.1.   Limitações dos direitos do titular dos dados e obrigações em matéria de transparência

Limitações dos direitos do titular dos dados e obrigações em matéria de transparência

| (66) | As autoridades competentes podem, em determinadas circunstâncias, limitar determinados direitos do titular de dados: o direito de acesso (121), a ser informado (122), a ter conhecimento das violações de dados pessoais (123) e a ser informado sobre os motivos de indeferimento de um pedido de retificação ou apagamento (124). À semelhança do regime constante do capítulo III da Diretiva (UE) 2016/680, a autoridade competente, tendo em conta os direitos fundamentais e os interesses legítimos do titular dos dados, só pode aplicar a limitação se esta for necessária e proporcionada para: a) evitar prejudicar um inquérito, uma investigação ou um procedimento oficial ou judicial; b) evitar prejudicar a prevenção, a deteção, a investigação ou a repressão de infrações penais, ou a execução de sanções penais; c) proteger a segurança pública; d) proteger a segurança nacional; e) proteger os direitos e liberdades de terceiros. |
| --- | --- |

(66)

As autoridades competentes podem, em determinadas circunstâncias, limitar determinados direitos do titular de dados: o direito de acesso (121), a ser informado (122), a ter conhecimento das violações de dados pessoais (123) e a ser informado sobre os motivos de indeferimento de um pedido de retificação ou apagamento (124). À semelhança do regime constante do capítulo III da Diretiva (UE) 2016/680, a autoridade competente, tendo em conta os direitos fundamentais e os interesses legítimos do titular dos dados, só pode aplicar a limitação se esta for necessária e proporcionada para: a) evitar prejudicar um inquérito, uma investigação ou um procedimento oficial ou judicial; b) evitar prejudicar a prevenção, a deteção, a investigação ou a repressão de infrações penais, ou a execução de sanções penais; c) proteger a segurança pública; d) proteger a segurança nacional; e) proteger os direitos e liberdades de terceiros.

121

122

123

124

| (67) | O ICO forneceu uma orientação sobre a aplicação destas limitações. De acordo com esta orientação, os responsáveis pelo tratamento têm de realizar uma análise caso a caso para alcançar um equilíbrio entre os direitos da pessoa em causa e o eventual prejuízo decorrente da divulgação. Mais particularmente, têm de justificar o caráter necessário e proporcionado de qualquer limitação aplicada e só podem limitar o que é fornecido se tal prejudicar as finalidades mencionadas acima (125). |
| --- | --- |

(67)

O ICO forneceu uma orientação sobre a aplicação destas limitações. De acordo com esta orientação, os responsáveis pelo tratamento têm de realizar uma análise caso a caso para alcançar um equilíbrio entre os direitos da pessoa em causa e o eventual prejuízo decorrente da divulgação. Mais particularmente, têm de justificar o caráter necessário e proporcionado de qualquer limitação aplicada e só podem limitar o que é fornecido se tal prejudicar as finalidades mencionadas acima (125).

125

| (68) | Existe ainda um conjunto de outras orientações emitidas pelas autoridades competentes que fornecem informações pormenorizadas sobre todos os aspetos da legislação em matéria de proteção de dados, incluindo sobre a aplicação das limitações dos direitos dos titulares dos dados (126). Por exemplo, no que respeita à section 45(4), segundo o manual para a proteção de dados do National Police Chiefs’ Counsel: «É importante salientar que as limitações só podem ser aplicadas na medida do necessário e enquanto forem necessárias. Por conseguinte, é proibida uma aplicação geral da limitação a todos os dados pessoais de um requerente ou uma aplicação permanente da limitação. Quanto a este último caso, muitas vezes é necessário impedir a divulgação dos dados pessoais recolhidos sem o conhecimento do titular dos dados sob suspeita numa investigação para evitar prejudicar a investigação no decurso da mesma, mas, posteriormente, não adviria prejuízo algum se os dados pessoais fossem divulgados à pessoa em causa durante o interrogatório. As forças policiais têm de adotar processos que assegurem que a aplicação destas limitações se limita unicamente à medida do necessário e pelo prazo necessário» (127). Esta orientação também fornece exemplos das circunstâncias em que é mais provável que se recorra a cada uma das limitações (128). |
| --- | --- |

(68)

Existe ainda um conjunto de outras orientações emitidas pelas autoridades competentes que fornecem informações pormenorizadas sobre todos os aspetos da legislação em matéria de proteção de dados, incluindo sobre a aplicação das limitações dos direitos dos titulares dos dados (126). Por exemplo, no que respeita à section 45(4), segundo o manual para a proteção de dados do National Police Chiefs’ Counsel: «É importante salientar que as limitações só podem ser aplicadas na medida do necessário e enquanto forem necessárias. Por conseguinte, é proibida uma aplicação geral da limitação a todos os dados pessoais de um requerente ou uma aplicação permanente da limitação. Quanto a este último caso, muitas vezes é necessário impedir a divulgação dos dados pessoais recolhidos sem o conhecimento do titular dos dados sob suspeita numa investigação para evitar prejudicar a investigação no decurso da mesma, mas, posteriormente, não adviria prejuízo algum se os dados pessoais fossem divulgados à pessoa em causa durante o interrogatório. As forças policiais têm de adotar processos que assegurem que a aplicação destas limitações se limita unicamente à medida do necessário e pelo prazo necessário» (127). Esta orientação também fornece exemplos das circunstâncias em que é mais provável que se recorra a cada uma das limitações (128).

126

section 45(4)

National Police Chiefs’ Counsel

127

128

| (69) | Além disso, no que se refere à possibilidade de limitar qualquer um dos direitos mencionados acima para efeitos de proteção da «segurança nacional», o responsável pelo tratamento pode solicitar um certificado assinado por um ministro do Gabinete ou pelo Procurador-Geral (ou Advocate General na Escócia) que ateste que a limitação desses direitos constitui uma medida necessária e proporcionada para a proteção da segurança nacional (129). O Governo do Reino Unido emitiu uma orientação sobre os certificados de segurança nacional ao abrigo do DPA 2018 que, nomeadamente, destaca que qualquer limitação dos direitos dos titulares dos dados para salvaguardar a segurança nacional tem de ser proporcionada e necessária (130) (para mais pormenores sobre os certificados de segurança nacional, ver considerandos 131 a 134). |
| --- | --- |

(69)

Além disso, no que se refere à possibilidade de limitar qualquer um dos direitos mencionados acima para efeitos de proteção da «segurança nacional», o responsável pelo tratamento pode solicitar um certificado assinado por um ministro do Gabinete ou pelo Procurador-Geral (ou Advocate General na Escócia) que ateste que a limitação desses direitos constitui uma medida necessária e proporcionada para a proteção da segurança nacional (129). O Governo do Reino Unido emitiu uma orientação sobre os certificados de segurança nacional ao abrigo do DPA 2018 que, nomeadamente, destaca que qualquer limitação dos direitos dos titulares dos dados para salvaguardar a segurança nacional tem de ser proporcionada e necessária (130) (para mais pormenores sobre os certificados de segurança nacional, ver considerandos 131 a 134).

Advocate General

129

130

| (70) | Além disso, se for aplicável uma limitação dos direitos dos titulares dos dados, a autoridade competente tem de informar o titular dos dados sem demora injustificada de que os seus direitos foram limitados, dos motivos subjacentes à limitação e das vias de recurso disponíveis, exceto se a prestação de tais informações prejudicar os motivos subjacentes à aplicação da limitação (131). Como medida de salvaguarda adicional contra a incorreta utilização das limitações, o responsável pelo tratamento tem de registar os motivos subjacentes à limitação da informação e disponibilizar o registo ao comissário para a informação se solicitado (132). |
| --- | --- |

(70)

Além disso, se for aplicável uma limitação dos direitos dos titulares dos dados, a autoridade competente tem de informar o titular dos dados sem demora injustificada de que os seus direitos foram limitados, dos motivos subjacentes à limitação e das vias de recurso disponíveis, exceto se a prestação de tais informações prejudicar os motivos subjacentes à aplicação da limitação (131). Como medida de salvaguarda adicional contra a incorreta utilização das limitações, o responsável pelo tratamento tem de registar os motivos subjacentes à limitação da informação e disponibilizar o registo ao comissário para a informação se solicitado (132).

131

132

| (71) | Se o responsável pelo tratamento se recusar a prestar informações adicionais em matéria de transparência ou a proporcionar o acesso, ou indeferir um pedido de retificação, apagamento ou limitação do tratamento, a pessoa singular pode solicitar ao comissário para a informação que investigue se o responsável pelo tratamento tem utilizado a limitação de modo lícito (133). A pessoa singular em causa também pode apresentar reclamação ao comissário para a informação ou requerer que um tribunal ordene que o responsável pelo tratamento dê seguimento ao pedido (134). |
| --- | --- |

(71)

Se o responsável pelo tratamento se recusar a prestar informações adicionais em matéria de transparência ou a proporcionar o acesso, ou indeferir um pedido de retificação, apagamento ou limitação do tratamento, a pessoa singular pode solicitar ao comissário para a informação que investigue se o responsável pelo tratamento tem utilizado a limitação de modo lícito (133). A pessoa singular em causa também pode apresentar reclamação ao comissário para a informação ou requerer que um tribunal ordene que o responsável pelo tratamento dê seguimento ao pedido (134).

133

134

2.4.7.2.   Decisões automatizadas

Decisões automatizadas

| (72) | As sections 49 e 50 do DPA 2018 abrangem, respetivamente, os direitos relacionados com as decisões automatizadas e as garantias a aplicar (135). À semelhança do artigo 11.o da Diretiva (UE) 2016/680, o responsável pelo tratamento só pode tomar uma decisão significativa exclusivamente com base no tratamento automatizado de dados pessoais se tal for exigido ou autorizado por lei (136). Uma decisão é considerada significativa se produzir um efeito legal adverso respeitante ao titular dos dados ou se afetar significativamente o titular dos dados (137). |
| --- | --- |

(72)

As sections 49 e 50 do DPA 2018 abrangem, respetivamente, os direitos relacionados com as decisões automatizadas e as garantias a aplicar (135). À semelhança do artigo 11.o da Diretiva (UE) 2016/680, o responsável pelo tratamento só pode tomar uma decisão significativa exclusivamente com base no tratamento automatizado de dados pessoais se tal for exigido ou autorizado por lei (136). Uma decisão é considerada significativa se produzir um efeito legal adverso respeitante ao titular dos dados ou se afetar significativamente o titular dos dados (137).

sections 49

50

135

o

136

137

| (73) | Se o responsável pelo tratamento estiver obrigado ou for autorizado por lei a tomar uma decisão significativa, a section 50 do DPA 2018 estabelece as garantias aplicáveis a tal decisão (denominada «decisão significativa elegível»). Logo que seja razoavelmente exequível, o responsável pelo tratamento tem de notificar o titular dos dados da tomada de tal decisão. Posteriormente, o titular dos dados pode requerer, no prazo de um mês, a reapreciação da decisão ou a tomada de uma nova decisão que não se baseie unicamente no tratamento automatizado. O responsável pelo tratamento tem de analisar o pedido e informar o titular dos dados do resultado da referida análise. O DPA 2018 confere ao ministro da tutela o poder de adotar regulamentação relativa a garantias adicionais (138). Até ao momento não foi adotada regulamentação para o efeito. |
| --- | --- |

(73)

Se o responsável pelo tratamento estiver obrigado ou for autorizado por lei a tomar uma decisão significativa, a section 50 do DPA 2018 estabelece as garantias aplicáveis a tal decisão (denominada «decisão significativa elegível»). Logo que seja razoavelmente exequível, o responsável pelo tratamento tem de notificar o titular dos dados da tomada de tal decisão. Posteriormente, o titular dos dados pode requerer, no prazo de um mês, a reapreciação da decisão ou a tomada de uma nova decisão que não se baseie unicamente no tratamento automatizado. O responsável pelo tratamento tem de analisar o pedido e informar o titular dos dados do resultado da referida análise. O DPA 2018 confere ao ministro da tutela o poder de adotar regulamentação relativa a garantias adicionais (138). Até ao momento não foi adotada regulamentação para o efeito.

section 50

138

2.4.8.   Transferências ulteriores

Transferências ulteriores

| (74) | O nível de proteção conferido aos dados pessoais transferidos a partir de uma autoridade de aplicação da lei de um Estado-Membro para uma autoridade de aplicação da lei do Reino Unido não pode ser prejudicado pela transferência subsequente desses dados para destinatários num país terceiro. As referidas «transferências ulteriores», que constituem, da perspetiva da autoridade de aplicação da lei do Reino Unido, transferências internacionais do Reino Unido, apenas devem ser permitidas nos casos em que o destinatário fora do Reino Unido esteja, pelo seu lado, sujeito a normas que assegurem um nível de proteção semelhante ao garantido no âmbito da ordem jurídica britânica. |
| --- | --- |

(74)

O nível de proteção conferido aos dados pessoais transferidos a partir de uma autoridade de aplicação da lei de um Estado-Membro para uma autoridade de aplicação da lei do Reino Unido não pode ser prejudicado pela transferência subsequente desses dados para destinatários num país terceiro. As referidas «transferências ulteriores», que constituem, da perspetiva da autoridade de aplicação da lei do Reino Unido, transferências internacionais do Reino Unido, apenas devem ser permitidas nos casos em que o destinatário fora do Reino Unido esteja, pelo seu lado, sujeito a normas que assegurem um nível de proteção semelhante ao garantido no âmbito da ordem jurídica britânica.

| (75) | O regime do Reino Unido em matéria de transferências internacionais é regulamentado pela parte 3, capítulo 5, do DPA 2018 (139) e reflete a abordagem adotada no capítulo V da Diretiva (UE) 2016/680. Mais particularmente, para transferir dados pessoais para um país terceiro, a autoridade competente tem de cumprir três condições: a) a transferência tem de ser necessária para efeitos de aplicação da lei; b) a transferência tem de se basear: i) num regulamento de adequação respeitante ao país terceiro, ii) se não se basear num regulamento de adequação, na existência de garantias adequadas, ou iii) se não se basear num regulamento de adequação nem em garantias adequadas, tem de basear-se em circunstâncias especiais; e c) o destinatário da transferência tem de ser: i) uma autoridade relevante (ou seja, a autoridade equivalente a uma autoridade competente) no país terceiro, ii) uma «organização internacional relevante», por exemplo, um órgão internacional que desempenha funções correspondentes a qualquer uma das finalidades de aplicação da lei, ou iii) uma pessoa que não uma autoridade relevante, mas unicamente se a transferência for estritamente necessária para a consecução de uma das finalidades de aplicação da lei; os direitos e liberdades fundamentais do titular dos dados não se sobrepõem ao interesse público que obriga à transferência; uma transferência dos dados pessoais para uma autoridade relevante no país terceiro seria ineficaz ou inadequada; e o destinatário foi informado das finalidades para as quais os dados podem ser tratados (140). |
| --- | --- |

(75)

O regime do Reino Unido em matéria de transferências internacionais é regulamentado pela parte 3, capítulo 5, do DPA 2018 (139) e reflete a abordagem adotada no capítulo V da Diretiva (UE) 2016/680. Mais particularmente, para transferir dados pessoais para um país terceiro, a autoridade competente tem de cumprir três condições: a) a transferência tem de ser necessária para efeitos de aplicação da lei; b) a transferência tem de se basear: i) num regulamento de adequação respeitante ao país terceiro, ii) se não se basear num regulamento de adequação, na existência de garantias adequadas, ou iii) se não se basear num regulamento de adequação nem em garantias adequadas, tem de basear-se em circunstâncias especiais; e c) o destinatário da transferência tem de ser: i) uma autoridade relevante (ou seja, a autoridade equivalente a uma autoridade competente) no país terceiro, ii) uma «organização internacional relevante», por exemplo, um órgão internacional que desempenha funções correspondentes a qualquer uma das finalidades de aplicação da lei, ou iii) uma pessoa que não uma autoridade relevante, mas unicamente se a transferência for estritamente necessária para a consecução de uma das finalidades de aplicação da lei; os direitos e liberdades fundamentais do titular dos dados não se sobrepõem ao interesse público que obriga à transferência; uma transferência dos dados pessoais para uma autoridade relevante no país terceiro seria ineficaz ou inadequada; e o destinatário foi informado das finalidades para as quais os dados podem ser tratados (140).

139

140

| (76) | Os regulamentos de adequação respeitantes a um país terceiro, um território ou um setor de um país terceiro, uma organização internacional ou uma descrição (141) desse país, território, setor ou organização são adotados pelo ministro da tutela. No que respeita ao critério a cumprir, o ministro da tutela tem de avaliar se o referido território/setor/organização garante um nível adequado de proteção dos dados pessoais. A section 74A(4) do DPA 2018 especifica que, para o efeito, o ministro da tutela tem de considerar um conjunto de elementos que reflete os constantes do artigo 36.o da Diretiva (UE) 2016/680 (142). A este respeito, desde o fim do período de transição, a parte 3 do DPA 2018 constitui «legislação interna derivada da UE», que, tal como explicado, será interpretada pelos tribunais do Reino Unido em conformidade com a jurisprudência pertinente do Tribunal de Justiça antes da saída do Reino Unido da União e os princípios gerais do direito da União, tal como vigoravam imediatamente antes do fim do período de transição. Tal inclui o critério da «equivalência essencial» que será, por conseguinte, aplicado às avaliações de adequação realizadas pelas autoridades do Reino Unido. |
| --- | --- |

(76)

Os regulamentos de adequação respeitantes a um país terceiro, um território ou um setor de um país terceiro, uma organização internacional ou uma descrição (141) desse país, território, setor ou organização são adotados pelo ministro da tutela. No que respeita ao critério a cumprir, o ministro da tutela tem de avaliar se o referido território/setor/organização garante um nível adequado de proteção dos dados pessoais. A section 74A(4) do DPA 2018 especifica que, para o efeito, o ministro da tutela tem de considerar um conjunto de elementos que reflete os constantes do artigo 36.o da Diretiva (UE) 2016/680 (142). A este respeito, desde o fim do período de transição, a parte 3 do DPA 2018 constitui «legislação interna derivada da UE», que, tal como explicado, será interpretada pelos tribunais do Reino Unido em conformidade com a jurisprudência pertinente do Tribunal de Justiça antes da saída do Reino Unido da União e os princípios gerais do direito da União, tal como vigoravam imediatamente antes do fim do período de transição. Tal inclui o critério da «equivalência essencial» que será, por conseguinte, aplicado às avaliações de adequação realizadas pelas autoridades do Reino Unido.

141

section 74A(4)

o

142

| (77) | Quanto ao procedimento, os regulamentos estão sujeitos aos requisitos processuais «gerais» previstos na section 182 do DPA 2018. Ao abrigo deste procedimento, o ministro da tutela tem de consultar o comissário para a informação ao propor futuros regulamentos de adequação do Reino Unido (143). Depois de adotados pelo ministro da tutela, esses regulamentos são apresentados ao parlamento e sujeitos ao procedimento de «resolução negativa», segundo o qual as câmaras do parlamento podem examinar o regulamento e podem aprovar uma moção para anular o regulamento no prazo de 40 dias (144). |
| --- | --- |

(77)

Quanto ao procedimento, os regulamentos estão sujeitos aos requisitos processuais «gerais» previstos na section 182 do DPA 2018. Ao abrigo deste procedimento, o ministro da tutela tem de consultar o comissário para a informação ao propor futuros regulamentos de adequação do Reino Unido (143). Depois de adotados pelo ministro da tutela, esses regulamentos são apresentados ao parlamento e sujeitos ao procedimento de «resolução negativa», segundo o qual as câmaras do parlamento podem examinar o regulamento e podem aprovar uma moção para anular o regulamento no prazo de 40 dias (144).

section 182

143

144

| (78) | Nos termos da section 74B(1) do DPA 2018, os regulamentos de adequação devem ser revistos, no máximo, de quatro em quatro anos, devendo o ministro da tutela controlar, de forma continuada, os desenvolvimentos nos países terceiros e nas organizações internacionais suscetíveis de afetarem as decisões que visam criar regulamentos de adequação ou alterar ou revogar esses regulamentos. Caso tenha conhecimento de que um determinado país ou uma organização deixou de assegurar um nível adequado de proteção de dados pessoais, o ministro da tutela tem de alterar ou revogar, na medida do necessário, os regulamentos e iniciar consultas com o país terceiro ou a organização internacional em causa com vista a corrigir a falta de um nível adequado de proteção. |
| --- | --- |

(78)

Nos termos da section 74B(1) do DPA 2018, os regulamentos de adequação devem ser revistos, no máximo, de quatro em quatro anos, devendo o ministro da tutela controlar, de forma continuada, os desenvolvimentos nos países terceiros e nas organizações internacionais suscetíveis de afetarem as decisões que visam criar regulamentos de adequação ou alterar ou revogar esses regulamentos. Caso tenha conhecimento de que um determinado país ou uma organização deixou de assegurar um nível adequado de proteção de dados pessoais, o ministro da tutela tem de alterar ou revogar, na medida do necessário, os regulamentos e iniciar consultas com o país terceiro ou a organização internacional em causa com vista a corrigir a falta de um nível adequado de proteção.

section 74B(1)

| (79) | À semelhança do disposto no artigo 37.o da Diretiva (UE) 2016/680, na falta de uma decisão de adequação, seria possível proceder a uma transferência de dados pessoais no contexto da aplicação da lei se existissem garantias adequadas. Tais garantias são asseguradas por meio de a) um instrumento jurídico vinculativo que contém garantias adequadas para a proteção de dados pessoais; ou b) uma avaliação realizada pelo responsável pelo controlo, que, tendo avaliado todas as circunstâncias inerentes à transferência, conclui que existem garantias adequadas para proteger os dados (145). Além disso, quando as transferências se baseiam em garantias adequadas, o DPA 2018 prevê que, além da função de supervisão habitual do ICO, as autoridades competentes têm de prestar informações específicas sobre as transferências para o ICO (146). |
| --- | --- |

(79)

À semelhança do disposto no artigo 37.o da Diretiva (UE) 2016/680, na falta de uma decisão de adequação, seria possível proceder a uma transferência de dados pessoais no contexto da aplicação da lei se existissem garantias adequadas. Tais garantias são asseguradas por meio de a) um instrumento jurídico vinculativo que contém garantias adequadas para a proteção de dados pessoais; ou b) uma avaliação realizada pelo responsável pelo controlo, que, tendo avaliado todas as circunstâncias inerentes à transferência, conclui que existem garantias adequadas para proteger os dados (145). Além disso, quando as transferências se baseiam em garantias adequadas, o DPA 2018 prevê que, além da função de supervisão habitual do ICO, as autoridades competentes têm de prestar informações específicas sobre as transferências para o ICO (146).

o

145

146

| (80) | Caso não tenha por base uma decisão de adequação ou garantias adequadas, a transferência só pode ser efetuada em circunstâncias determinadas e específicas, denominadas «circunstâncias especiais» (147). É esse o caso quando a transferência é necessária: a) para proteger os interesses vitais do titular dos dados ou de outra pessoa; b) para proteger os interesses legítimos do titular dos dados; c) para prevenir uma ameaça imediata e grave contra a segurança pública de um país terceiro; d) em determinados casos para efeitos de aplicação da lei; ou e) em determinados casos por um motivo legal (como seja os relacionados com processos judiciais ou para obter aconselhamento jurídico) (148). Convém salientar que as alíneas d) e e) não são aplicáveis caso os direitos e as liberdades do titular dos dados se sobreponham ao interesse público da transferência (149). Este conjunto de circunstâncias corresponde às situações e condições específicas consideradas «derrogações» ao abrigo do artigo 38.o da Diretiva (UE) 2016/680. |
| --- | --- |

(80)

Caso não tenha por base uma decisão de adequação ou garantias adequadas, a transferência só pode ser efetuada em circunstâncias determinadas e específicas, denominadas «circunstâncias especiais» (147). É esse o caso quando a transferência é necessária: a) para proteger os interesses vitais do titular dos dados ou de outra pessoa; b) para proteger os interesses legítimos do titular dos dados; c) para prevenir uma ameaça imediata e grave contra a segurança pública de um país terceiro; d) em determinados casos para efeitos de aplicação da lei; ou e) em determinados casos por um motivo legal (como seja os relacionados com processos judiciais ou para obter aconselhamento jurídico) (148). Convém salientar que as alíneas d) e e) não são aplicáveis caso os direitos e as liberdades do titular dos dados se sobreponham ao interesse público da transferência (149). Este conjunto de circunstâncias corresponde às situações e condições específicas consideradas «derrogações» ao abrigo do artigo 38.o da Diretiva (UE) 2016/680.

147

148

149

o

| (81) | Nestas circunstâncias, a data, a hora e a justificação da transferência, o nome e quaisquer outras informações pertinentes sobre o destinatário e uma descrição dos dados pessoais transferidos têm de ser documentados e transmitidos ao comissário para a informação mediante pedido (150). |
| --- | --- |

(81)

Nestas circunstâncias, a data, a hora e a justificação da transferência, o nome e quaisquer outras informações pertinentes sobre o destinatário e uma descrição dos dados pessoais transferidos têm de ser documentados e transmitidos ao comissário para a informação mediante pedido (150).

150

| (82) | A section 78 do DPA 2018 regulamenta o cenário das «transferências subsequentes», ou seja, quando os dados pessoais que foram transferidos do Reino Unido para um país terceiro são subsequentemente transferidos para outro país terceiro ou uma organização internacional. Nos termos da section 78(1) do DPA, o responsável pelo tratamento britânico tem de condicionar a transferência dos dados à proibição de outras transferências para um país terceiro sem a autorização do responsável pelo tratamento que procede à transferência. Além disso, de acordo com a section 78(3), e à semelhança do disposto no artigo 35.o, n.o 1, alínea e), da Diretiva (UE) 2016/680, são aplicáveis diversos requisitos essenciais caso seja exigida essa autorização. Mais especificamente, ao decidir se uma transferência deve ser autorizada ou não, a autoridade competente tem de assegurar que a transferência posterior é necessária para efeitos de aplicação da lei e deve considerar, entre outros fatores, a) a gravidade das circunstâncias que conduziram ao pedido de autorização, b) a finalidade para a qual os dados pessoais foram inicialmente transferidos e c) as normas de proteção dos dados pessoais aplicáveis no país terceiro ou na organização internacional para a qual os dados pessoais seriam transferidos. |
| --- | --- |

(82)

A section 78 do DPA 2018 regulamenta o cenário das «transferências subsequentes», ou seja, quando os dados pessoais que foram transferidos do Reino Unido para um país terceiro são subsequentemente transferidos para outro país terceiro ou uma organização internacional. Nos termos da section 78(1) do DPA, o responsável pelo tratamento britânico tem de condicionar a transferência dos dados à proibição de outras transferências para um país terceiro sem a autorização do responsável pelo tratamento que procede à transferência. Além disso, de acordo com a section 78(3), e à semelhança do disposto no artigo 35.o, n.o 1, alínea e), da Diretiva (UE) 2016/680, são aplicáveis diversos requisitos essenciais caso seja exigida essa autorização. Mais especificamente, ao decidir se uma transferência deve ser autorizada ou não, a autoridade competente tem de assegurar que a transferência posterior é necessária para efeitos de aplicação da lei e deve considerar, entre outros fatores, a) a gravidade das circunstâncias que conduziram ao pedido de autorização, b) a finalidade para a qual os dados pessoais foram inicialmente transferidos e c) as normas de proteção dos dados pessoais aplicáveis no país terceiro ou na organização internacional para a qual os dados pessoais seriam transferidos.

section 78

section 78(1)

section 78(3)

o

o

| (83) | Além disso, são aplicáveis salvaguardas adicionais quando os dados objeto de transferência posterior a partir do Reino Unido tenham sido transferidos inicialmente a partir da União Europeia. |
| --- | --- |

(83)

Além disso, são aplicáveis salvaguardas adicionais quando os dados objeto de transferência posterior a partir do Reino Unido tenham sido transferidos inicialmente a partir da União Europeia.

| (84) | Em primeiro lugar, a section 73(1)(b) do DPA 2018 — à semelhança, do artigo 35.o, n.o 1, alínea c), da Diretiva (UE) 2016/680 — determina que, caso os dados pessoais tenham sido inicialmente transmitidos ou disponibilizados de outra forma ao responsável pelo tratamento ou outra autoridade competente por um Estado-Membro, esse Estado-Membro, ou qualquer pessoa estabelecida nesse Estado-Membro que seja uma autoridade competente para efeitos da Diretiva (UE) 2016/680, tem de ter autorizado a transferência em conformidade com a legislação do Estado-Membro. |
| --- | --- |

(84)

Em primeiro lugar, a section 73(1)(b) do DPA 2018 — à semelhança, do artigo 35.o, n.o 1, alínea c), da Diretiva (UE) 2016/680 — determina que, caso os dados pessoais tenham sido inicialmente transmitidos ou disponibilizados de outra forma ao responsável pelo tratamento ou outra autoridade competente por um Estado-Membro, esse Estado-Membro, ou qualquer pessoa estabelecida nesse Estado-Membro que seja uma autoridade competente para efeitos da Diretiva (UE) 2016/680, tem de ter autorizado a transferência em conformidade com a legislação do Estado-Membro.

section 73(1)(b)

o

o

| (85) | No entanto, à semelhança do artigo 35.o, n.o 2, da Diretiva (UE) 2016/680, não é necessária esta autorização se a) a transferência for necessária para prevenir uma ameaça imediata e grave à segurança pública de um Estado-Membro ou de um país terceiro ou aos interesses essenciais de um Estado-Membro e c) o consentimento não puder ser obtido em tempo útil. Neste caso, a autoridade do Estado-Membro que seria responsável por tomar uma decisão sobre a autorização da transferência tem de ser informada sem demora (151). |
| --- | --- |

(85)

No entanto, à semelhança do artigo 35.o, n.o 2, da Diretiva (UE) 2016/680, não é necessária esta autorização se a) a transferência for necessária para prevenir uma ameaça imediata e grave à segurança pública de um Estado-Membro ou de um país terceiro ou aos interesses essenciais de um Estado-Membro e c) o consentimento não puder ser obtido em tempo útil. Neste caso, a autoridade do Estado-Membro que seria responsável por tomar uma decisão sobre a autorização da transferência tem de ser informada sem demora (151).

o

o

151

| (86) | Em segundo lugar, aplica-se a mesma abordagem caso os dados tenham sido inicialmente transferidos a partir da União Europeia para o Reino Unido e, de novo, transferidos pelo Reino Unido para um país terceiro que, subsequentemente, procederia a uma transferência ulterior para um país terceiro. Neste caso, nos termos da section 78(4), a autoridade competente do Reino Unido não pode autorizar esta última transferência, ao abrigo da section 78(1), salvo se «o Estado-Membro [que tenha transferido inicialmente os dados em questão], ou qualquer pessoa estabelecida nesse Estado-Membro que seja uma autoridade competente para efeitos da Diretiva Proteção de Dados na Aplicação da Lei, tenha autorizado a transferência em conformidade com o direito do Estado-Membro». Estas salvaguardas são importantes já que permitem às autoridades dos Estados-Membros assegurar a continuidade da proteção, em conformidade com o direito da UE em matéria de proteção de dados, ao longo da «cadeia de transferências». |
| --- | --- |

(86)

Em segundo lugar, aplica-se a mesma abordagem caso os dados tenham sido inicialmente transferidos a partir da União Europeia para o Reino Unido e, de novo, transferidos pelo Reino Unido para um país terceiro que, subsequentemente, procederia a uma transferência ulterior para um país terceiro. Neste caso, nos termos da section 78(4), a autoridade competente do Reino Unido não pode autorizar esta última transferência, ao abrigo da section 78(1), salvo se «o Estado-Membro [que tenha transferido inicialmente os dados em questão], ou qualquer pessoa estabelecida nesse Estado-Membro que seja uma autoridade competente para efeitos da Diretiva Proteção de Dados na Aplicação da Lei, tenha autorizado a transferência em conformidade com o direito do Estado-Membro». Estas salvaguardas são importantes já que permitem às autoridades dos Estados-Membros assegurar a continuidade da proteção, em conformidade com o direito da UE em matéria de proteção de dados, ao longo da «cadeia de transferências».

section 78(4)

section 78(1)

| (87) | Este novo quadro para transferências internacionais tornou-se aplicável no fim do período de transição (152). Contudo, o schedule 21, n.os 10 a 12, do DPA 2018 (introduzido pelos Regulamentos DPPEC) prevê que, no fim do período de transição, determinadas transferências de dados pessoais sejam tratadas como se se baseassem em regulamentos de adequação. Estas transferências incluem transferências para um Estado-Membro, um Estado da EFTA, um país terceiro sujeito a uma decisão de adequação da UE no fim do período de transição e o território de Gibraltar. Consequentemente, as transferências para esses países podem continuar como ocorriam antes da saída do Reino Unido da União. Após o fim do período de transição, o ministro da tutela tem de proceder a uma análise destas conclusões de adequação durante um período de quatro anos, ou seja, até ao final de dezembro de 2024. De acordo com a explicação apresentada pelas autoridades do Reino Unido, embora seja necessário que o ministro da tutela efetue essa análise até ao final de dezembro de 2024, as disposições transitórias não incluem uma disposição «de caducidade» e as disposições transitórias pertinentes não deixarão automaticamente de ter efeito se a análise não for concluída até ao fim de dezembro de 2024. |
| --- | --- |

(87)

Este novo quadro para transferências internacionais tornou-se aplicável no fim do período de transição (152). Contudo, o schedule 21, n.os 10 a 12, do DPA 2018 (introduzido pelos Regulamentos DPPEC) prevê que, no fim do período de transição, determinadas transferências de dados pessoais sejam tratadas como se se baseassem em regulamentos de adequação. Estas transferências incluem transferências para um Estado-Membro, um Estado da EFTA, um país terceiro sujeito a uma decisão de adequação da UE no fim do período de transição e o território de Gibraltar. Consequentemente, as transferências para esses países podem continuar como ocorriam antes da saída do Reino Unido da União. Após o fim do período de transição, o ministro da tutela tem de proceder a uma análise destas conclusões de adequação durante um período de quatro anos, ou seja, até ao final de dezembro de 2024. De acordo com a explicação apresentada pelas autoridades do Reino Unido, embora seja necessário que o ministro da tutela efetue essa análise até ao final de dezembro de 2024, as disposições transitórias não incluem uma disposição «de caducidade» e as disposições transitórias pertinentes não deixarão automaticamente de ter efeito se a análise não for concluída até ao fim de dezembro de 2024.

152

schedule 21

os

2.4.9.   Responsabilidade

Responsabilidade

| (88) | De acordo com o princípio da responsabilidade, as autoridades públicas que procedem ao tratamento de dados são obrigadas a aplicar medidas técnicas e organizativas adequadas para cumprir as suas obrigações de proteção dos dados de forma eficaz e poder demonstrar esse cumprimento, em particular junto da autoridade de controlo competente. |
| --- | --- |

(88)

De acordo com o princípio da responsabilidade, as autoridades públicas que procedem ao tratamento de dados são obrigadas a aplicar medidas técnicas e organizativas adequadas para cumprir as suas obrigações de proteção dos dados de forma eficaz e poder demonstrar esse cumprimento, em particular junto da autoridade de controlo competente.

| (89) | Este princípio é espelhado na section 56 do DPA 2018, que introduz uma obrigação de responsabilidade geral do responsável pelo tratamento, ou seja, uma obrigação de aplicar medidas técnicas e organizativas adequadas para assegurar e poder demonstrar que o tratamento de dados pessoais cumpre os requisitos da parte 3 do DPA 2018. As medidas aplicadas têm de ser reavaliadas e atualizadas se necessário e, sempre que tal se afigure proporcionado no que respeita ao tratamento, incluir políticas adequadas de proteção dos dados. |
| --- | --- |

(89)

Este princípio é espelhado na section 56 do DPA 2018, que introduz uma obrigação de responsabilidade geral do responsável pelo tratamento, ou seja, uma obrigação de aplicar medidas técnicas e organizativas adequadas para assegurar e poder demonstrar que o tratamento de dados pessoais cumpre os requisitos da parte 3 do DPA 2018. As medidas aplicadas têm de ser reavaliadas e atualizadas se necessário e, sempre que tal se afigure proporcionado no que respeita ao tratamento, incluir políticas adequadas de proteção dos dados.

section 56

| (90) | Em consonância com o capítulo IV da Diretiva (UE) 2016/680, as sections 55 a 71 do DPA 2018 preveem diversos mecanismos para assegurar a responsabilidade e permitir aos responsáveis pelo tratamento e subcontratantes comprovar a sua conformidade. Mais particularmente, os responsáveis pelo tratamento estão obrigados a aplicar medidas de proteção de dados desde a conceção e por predefinição, ou seja, a assegurar a eficaz aplicação dos princípios da proteção de dados, e são obrigados a manter registos de todas as categorias de atividades de tratamento da responsabilidade do responsável pelo tratamento (incluindo informações sobre a identidade do responsável pelo tratamento, os dados de contacto do encarregado da proteção de dados, as finalidades do tratamento, as categorias de destinatários das divulgações e uma descrição das categorias dos titulares dos dados e dados pessoais) e disponibilizar estes registos ao comissário para a informação mediante pedido. O responsável pelo tratamento e subcontratante têm igualmente de manter registos cronológicos de determinadas operações de tratamento e disponibilizá-los ao comissário para a informação (153). Os responsáveis pelo tratamento também estão especificamente obrigados a cooperar com o comissário para a informação no desempenho das atribuições do comissário. |
| --- | --- |

(90)

Em consonância com o capítulo IV da Diretiva (UE) 2016/680, as sections 55 a 71 do DPA 2018 preveem diversos mecanismos para assegurar a responsabilidade e permitir aos responsáveis pelo tratamento e subcontratantes comprovar a sua conformidade. Mais particularmente, os responsáveis pelo tratamento estão obrigados a aplicar medidas de proteção de dados desde a conceção e por predefinição, ou seja, a assegurar a eficaz aplicação dos princípios da proteção de dados, e são obrigados a manter registos de todas as categorias de atividades de tratamento da responsabilidade do responsável pelo tratamento (incluindo informações sobre a identidade do responsável pelo tratamento, os dados de contacto do encarregado da proteção de dados, as finalidades do tratamento, as categorias de destinatários das divulgações e uma descrição das categorias dos titulares dos dados e dados pessoais) e disponibilizar estes registos ao comissário para a informação mediante pedido. O responsável pelo tratamento e subcontratante têm igualmente de manter registos cronológicos de determinadas operações de tratamento e disponibilizá-los ao comissário para a informação (153). Os responsáveis pelo tratamento também estão especificamente obrigados a cooperar com o comissário para a informação no desempenho das atribuições do comissário.

sections 55

71

153

| (91) | O DPA 2018 também estabelece requisitos adicionais para o tratamento suscetível de resultar num elevado risco para os direitos e as liberdades das pessoas singulares. Estes incluem uma obrigação de realizar avaliações de impacto relativas à proteção de dados e consultar o comissário para a informação antes do tratamento se uma avaliação indicar que o tratamento resultaria num elevado risco para os direitos e as liberdades das pessoas singulares (na ausência de medidas de atenuação do risco). |
| --- | --- |

(91)

O DPA 2018 também estabelece requisitos adicionais para o tratamento suscetível de resultar num elevado risco para os direitos e as liberdades das pessoas singulares. Estes incluem uma obrigação de realizar avaliações de impacto relativas à proteção de dados e consultar o comissário para a informação antes do tratamento se uma avaliação indicar que o tratamento resultaria num elevado risco para os direitos e as liberdades das pessoas singulares (na ausência de medidas de atenuação do risco).

| (92) | Os responsáveis pelo tratamento têm, além disso, de nomear um encarregado da proteção de dados, a menos que o responsável pelo tratamento seja um tribunal, ou outra autoridade judiciária, no exercício da sua competência judicial (154). O responsável pelo tratamento tem de assegurar que o encarregado da proteção de dados participa em todas as questões relacionadas com a proteção dos dados pessoais, dispõe dos recursos e do acesso necessário aos dados pessoais e às operações de tratamento e pode desempenhar as suas funções de forma independente. As funções do encarregado da proteção de dados estão estabelecidas na section 71 do DPA 2018, incluindo prestar informações e aconselhamento e fiscalizar a conformidade, bem como cooperar e servir de ponto de contacto com o comissário para a informação. No desempenho das suas funções, o encarregado da proteção de dados tem de ter em consideração os riscos associados às operações de tratamento, tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento. |
| --- | --- |

(92)

Os responsáveis pelo tratamento têm, além disso, de nomear um encarregado da proteção de dados, a menos que o responsável pelo tratamento seja um tribunal, ou outra autoridade judiciária, no exercício da sua competência judicial (154). O responsável pelo tratamento tem de assegurar que o encarregado da proteção de dados participa em todas as questões relacionadas com a proteção dos dados pessoais, dispõe dos recursos e do acesso necessário aos dados pessoais e às operações de tratamento e pode desempenhar as suas funções de forma independente. As funções do encarregado da proteção de dados estão estabelecidas na section 71 do DPA 2018, incluindo prestar informações e aconselhamento e fiscalizar a conformidade, bem como cooperar e servir de ponto de contacto com o comissário para a informação. No desempenho das suas funções, o encarregado da proteção de dados tem de ter em consideração os riscos associados às operações de tratamento, tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento.

154

section 71

2.5.   Supervisão e aplicação coerciva

Supervisão e aplicação coerciva

2.5.1.   Supervisão independente

Supervisão independente

| (93) | Por forma a assegurar que também seja garantido na prática um nível adequado de proteção dos dados, tem de ser criada uma autoridade de controlo independente incumbida de supervisionar e aplicar coercivamente as normas em matéria de proteção de dados. Essa autoridade tem de atuar com total independência e imparcialidade no cumprimento das suas obrigações e no exercício das respetivas competências. |
| --- | --- |

(93)

Por forma a assegurar que também seja garantido na prática um nível adequado de proteção dos dados, tem de ser criada uma autoridade de controlo independente incumbida de supervisionar e aplicar coercivamente as normas em matéria de proteção de dados. Essa autoridade tem de atuar com total independência e imparcialidade no cumprimento das suas obrigações e no exercício das respetivas competências.

| (94) | No Reino Unido, cabe ao comissário para a informação efetuar a supervisão e a imposição do cumprimento do RGPD do Reino Unido e do DPA 2018 (155). O comissário para a informação supervisiona o tratamento de dados pessoais pelas autoridades competentes abrangidas pelo âmbito de aplicação da parte 3 do DPA 2018 (156). O comissário para a informação é uma «sociedade individual»: uma entidade jurídica distinta composta por uma pessoa singular. O comissário para a informação é apoiado no seu trabalho por um gabinete. Em 31 de março de 2020, o Gabinete do Comissário para a Informação tinha 768 membros permanentes (157). O ministério que patrocina o comissário para a informação (sponsor department) é o Ministério dos Assuntos Digitais, da Cultura, dos Meios de Comunicação e do Desporto (158). |
| --- | --- |

(94)

No Reino Unido, cabe ao comissário para a informação efetuar a supervisão e a imposição do cumprimento do RGPD do Reino Unido e do DPA 2018 (155). O comissário para a informação supervisiona o tratamento de dados pessoais pelas autoridades competentes abrangidas pelo âmbito de aplicação da parte 3 do DPA 2018 (156). O comissário para a informação é uma «sociedade individual»: uma entidade jurídica distinta composta por uma pessoa singular. O comissário para a informação é apoiado no seu trabalho por um gabinete. Em 31 de março de 2020, o Gabinete do Comissário para a Informação tinha 768 membros permanentes (157). O ministério que patrocina o comissário para a informação (sponsor department) é o Ministério dos Assuntos Digitais, da Cultura, dos Meios de Comunicação e do Desporto (158).

155

156

157

sponsor department

158

| (95) | A independência do comissário é descrita explicitamente no artigo 52.o do RGPD do Reino Unido, que não efetua quaisquer alterações significativas ao artigo 52.o, n.os 1 a 3, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (159). De acordo com o RGPD do Reino Unido, o comissário tem de agir com total independência no desempenho das suas funções e no exercício das suas competências, não pode estar sujeito a influências externas, diretas ou indiretas, no desempenho das suas funções e no exercício das suas competências, e não pode solicitar nem receber instruções de ninguém. O comissário tem igualmente de se abster de qualquer ato incompatível com as suas funções e, durante o seu mandato, não pode desempenhar nenhuma atividade, remunerada ou não, que com elas seja incompatível. |
| --- | --- |

(95)

A independência do comissário é descrita explicitamente no artigo 52.o do RGPD do Reino Unido, que não efetua quaisquer alterações significativas ao artigo 52.o, n.os 1 a 3, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (159). De acordo com o RGPD do Reino Unido, o comissário tem de agir com total independência no desempenho das suas funções e no exercício das suas competências, não pode estar sujeito a influências externas, diretas ou indiretas, no desempenho das suas funções e no exercício das suas competências, e não pode solicitar nem receber instruções de ninguém. O comissário tem igualmente de se abster de qualquer ato incompatível com as suas funções e, durante o seu mandato, não pode desempenhar nenhuma atividade, remunerada ou não, que com elas seja incompatível.

o

o

os

159

| (96) | As condições para a nomeação e a exoneração do comissário para a informação estão estabelecidas no schedule 12 do DPA 2018. O comissário para a informação é nomeado pela rainha com base numa recomendação do governo na sequência de um concurso equitativo e aberto. O candidato tem de ter as qualificações, as competências e as aptidões adequadas. De acordo com o Governance Code on Public Appointments (código para a governação das nomeações públicas) (160), o painel de avaliação consultivo efetua uma lista dos candidatos que podem ser nomeados. Antes de o ministro dos Assuntos Digitais, da Cultura, dos Meios de Comunicação e do Desporto tomar a sua decisão, a comissão especial competente do parlamento tem de realizar uma triagem prévia à nomeação. A posição da comissão é tornada pública (161). |
| --- | --- |

(96)

As condições para a nomeação e a exoneração do comissário para a informação estão estabelecidas no schedule 12 do DPA 2018. O comissário para a informação é nomeado pela rainha com base numa recomendação do governo na sequência de um concurso equitativo e aberto. O candidato tem de ter as qualificações, as competências e as aptidões adequadas. De acordo com o Governance Code on Public Appointments (código para a governação das nomeações públicas) (160), o painel de avaliação consultivo efetua uma lista dos candidatos que podem ser nomeados. Antes de o ministro dos Assuntos Digitais, da Cultura, dos Meios de Comunicação e do Desporto tomar a sua decisão, a comissão especial competente do parlamento tem de realizar uma triagem prévia à nomeação. A posição da comissão é tornada pública (161).

schedule

Governance Code on Public Appointments

160

161

| (97) | O mandato do comissário para a informação dura no máximo sete anos. O comissário para a informação pode ser afastado do cargo pela rainha na sequência de um comunicado de ambas as câmaras do parlamento (162). Só pode apresentado um pedido de exoneração do comissário para a informação a uma das câmaras do parlamento se um ministro tiver apresentado um relatório à câmara em causa onde indique que está convicto de que o comissário para a informação cometeu uma falta grave e/ou que o comissário deixou de cumprir as condições exigidas para o exercício das suas funções (163). |
| --- | --- |

(97)

O mandato do comissário para a informação dura no máximo sete anos. O comissário para a informação pode ser afastado do cargo pela rainha na sequência de um comunicado de ambas as câmaras do parlamento (162). Só pode apresentado um pedido de exoneração do comissário para a informação a uma das câmaras do parlamento se um ministro tiver apresentado um relatório à câmara em causa onde indique que está convicto de que o comissário para a informação cometeu uma falta grave e/ou que o comissário deixou de cumprir as condições exigidas para o exercício das suas funções (163).

162

163

| (98) | O financiamento do comissário para a informação provém de três fontes: i) taxas de proteção de dados pagas pelos responsáveis pelo tratamento que são fixadas pelos regulamentos do ministro da tutela (164) e representam entre 85 % e 90 % do orçamento anual do gabinete (165); ii) a subvenção eventualmente paga pelo governo ao comissário para a informação e que é maioritariamente utilizada para financiar os custos de funcionamento do gabinete do comissário para a informação no que diz respeito a funções não relacionadas com a proteção de dados (166); e iii) taxas cobradas pelos serviços (167). De momento, essas taxas não são cobradas. |
| --- | --- |

(98)

O financiamento do comissário para a informação provém de três fontes: i) taxas de proteção de dados pagas pelos responsáveis pelo tratamento que são fixadas pelos regulamentos do ministro da tutela (164) e representam entre 85 % e 90 % do orçamento anual do gabinete (165); ii) a subvenção eventualmente paga pelo governo ao comissário para a informação e que é maioritariamente utilizada para financiar os custos de funcionamento do gabinete do comissário para a informação no que diz respeito a funções não relacionadas com a proteção de dados (166); e iii) taxas cobradas pelos serviços (167). De momento, essas taxas não são cobradas.

164

165

166

167

| (99) | As funções gerais do comissário para a informação relativas ao tratamento de dados pessoais abrangido pelo âmbito de aplicação da parte 3 do DPA 2018 são estabelecidas no schedule 13 do DPA 2018. As funções incluem o acompanhamento e a aplicação coerciva da parte 3 do DPA 2018, a sensibilização do público, a prestação de aconselhamento ao parlamento, ao governo e a outras instituições em matéria de medidas legislativas e administrativas, a sensibilização dos responsáveis pelo tratamento e subcontratantes para as suas obrigações, a prestação de informações aos titulares de dados relativamente ao exercício dos seus direitos e a realização de investigações. A fim de assegurar a independência do sistema judiciário, o comissário para a informação não está autorizado a exercer as suas funções quanto ao tratamento de dados pessoais efetuado pelos tribunais ou por pessoas singulares no exercício da sua competência judicial. Todavia, a supervisão do sistema judiciário é assegurada por órgãos especializados, analisados abaixo. |
| --- | --- |

(99)

As funções gerais do comissário para a informação relativas ao tratamento de dados pessoais abrangido pelo âmbito de aplicação da parte 3 do DPA 2018 são estabelecidas no schedule 13 do DPA 2018. As funções incluem o acompanhamento e a aplicação coerciva da parte 3 do DPA 2018, a sensibilização do público, a prestação de aconselhamento ao parlamento, ao governo e a outras instituições em matéria de medidas legislativas e administrativas, a sensibilização dos responsáveis pelo tratamento e subcontratantes para as suas obrigações, a prestação de informações aos titulares de dados relativamente ao exercício dos seus direitos e a realização de investigações. A fim de assegurar a independência do sistema judiciário, o comissário para a informação não está autorizado a exercer as suas funções quanto ao tratamento de dados pessoais efetuado pelos tribunais ou por pessoas singulares no exercício da sua competência judicial. Todavia, a supervisão do sistema judiciário é assegurada por órgãos especializados, analisados abaixo.

schedule 13

2.5.1.1   Aplicação coerciva, incluindo sanções

Aplicação coerciva, incluindo sanções

| (100) | O comissário possui poderes gerais de investigação, de correção, de autorização e de aconselhamento no que respeita ao tratamento de dados pessoais a que se aplica a parte 3 do DPA 2018. O comissário tem poder para notificar o responsável pelo tratamento ou o subcontratante de uma alegada violação da parte 3, fazer advertências aos responsáveis pelo tratamento ou ao subcontratante no sentido de que as operações de tratamento previstas são suscetíveis de violar as disposições da parte 3 e fazer repreensões ao responsável pelo tratamento ou ao subcontratante sempre que as operações de tratamento tiverem violado as disposições da parte 3. Além disso, o comissário pode emitir, por iniciativa própria ou a pedido, pareceres dirigidos ao parlamento do Reino Unido, ao governo ou a outras instituições e organismos, bem como ao público, sobre qualquer assunto relacionado com a proteção de dados pessoais (168). |
| --- | --- |

(100)

O comissário possui poderes gerais de investigação, de correção, de autorização e de aconselhamento no que respeita ao tratamento de dados pessoais a que se aplica a parte 3 do DPA 2018. O comissário tem poder para notificar o responsável pelo tratamento ou o subcontratante de uma alegada violação da parte 3, fazer advertências aos responsáveis pelo tratamento ou ao subcontratante no sentido de que as operações de tratamento previstas são suscetíveis de violar as disposições da parte 3 e fazer repreensões ao responsável pelo tratamento ou ao subcontratante sempre que as operações de tratamento tiverem violado as disposições da parte 3. Além disso, o comissário pode emitir, por iniciativa própria ou a pedido, pareceres dirigidos ao parlamento do Reino Unido, ao governo ou a outras instituições e organismos, bem como ao público, sobre qualquer assunto relacionado com a proteção de dados pessoais (168).

168

| (101) | Além disso, o comissário tem poderes para:






  — | ordenar que o responsável pelo tratamento e o subcontratante (e, em determinadas circunstâncias, qualquer outra pessoa) lhe forneçam as informações de que necessite mediante uma notificação informativa («notificação informativa») (169), |
| --- | --- | --- |

(101)

Além disso, o comissário tem poderes para:

—

ordenar que o responsável pelo tratamento e o subcontratante (e, em determinadas circunstâncias, qualquer outra pessoa) lhe forneçam as informações de que necessite mediante uma notificação informativa («notificação informativa») (169),

169

| — | realizar investigações e auditorias por meio da emissão de uma notificação de avaliação, o que poderá implicar que o responsável pelo tratamento ou o subcontratante permita que o comissário entre em instalações específicas, inspecione ou analise os documentos ou os equipamentos, entreviste as pessoas responsáveis pelo tratamento dos dados pessoais em nome do responsável pelo tratamento («notificação de avaliação») (170), |
| --- | --- |

—

realizar investigações e auditorias por meio da emissão de uma notificação de avaliação, o que poderá implicar que o responsável pelo tratamento ou o subcontratante permita que o comissário entre em instalações específicas, inspecione ou analise os documentos ou os equipamentos, entreviste as pessoas responsáveis pelo tratamento dos dados pessoais em nome do responsável pelo tratamento («notificação de avaliação») (170),

170

| — | obter acesso de outra forma aos documentos dos responsáveis pelo tratamento e dos subcontratantes e acesso às suas instalações em conformidade com a section 154 do DPA 2018 («poderes de entrada e inspeção»), |
| --- | --- |

—

obter acesso de outra forma aos documentos dos responsáveis pelo tratamento e dos subcontratantes e acesso às suas instalações em conformidade com a section 154 do DPA 2018 («poderes de entrada e inspeção»),

section 154

| — | exercer os poderes de correção por meio de advertências e repreensões ou emitir ordens por meio de uma notificação de execução, que exige que os responsáveis pelo tratamento/subcontratantes tomem ou se abstenham de tomar determinadas medidas («notificação de execução») (171), e |
| --- | --- |

—

exercer os poderes de correção por meio de advertências e repreensões ou emitir ordens por meio de uma notificação de execução, que exige que os responsáveis pelo tratamento/subcontratantes tomem ou se abstenham de tomar determinadas medidas («notificação de execução») (171), e

171

| — | impor coimas sob a forma de uma notificação de sanção («notificação de sanção») (172). |
| --- | --- |

—

impor coimas sob a forma de uma notificação de sanção («notificação de sanção») (172).

172

| (102) | A Regulatory Action Policy (política de intervenção regulamentar) do ICO descreve as circunstâncias mediante as quais o comissário emite, respetivamente, uma notificação informativa, de avaliação, de execução e de sanção (173). A notificação de execução pode impor requisitos que o comissário considera adequados para efeitos de correção do incumprimento. A notificação de sanção exige que a pessoa pague um montante especificado na notificação ao comissário para a informação. A notificação de sanção pode ser emitida sempre que houver um incumprimento de determinadas disposições do DPA 2018 (174) ou pode ser emitida a um responsável pelo tratamento ou subcontratante que não tenha respeitado uma notificação informativa, uma notificação de avaliação ou uma notificação de execução. |
| --- | --- |

(102)

A Regulatory Action Policy (política de intervenção regulamentar) do ICO descreve as circunstâncias mediante as quais o comissário emite, respetivamente, uma notificação informativa, de avaliação, de execução e de sanção (173). A notificação de execução pode impor requisitos que o comissário considera adequados para efeitos de correção do incumprimento. A notificação de sanção exige que a pessoa pague um montante especificado na notificação ao comissário para a informação. A notificação de sanção pode ser emitida sempre que houver um incumprimento de determinadas disposições do DPA 2018 (174) ou pode ser emitida a um responsável pelo tratamento ou subcontratante que não tenha respeitado uma notificação informativa, uma notificação de avaliação ou uma notificação de execução.

Regulatory Action Policy

173

174

| (103) | Mais especificamente, ao determinar se há lugar à emissão de uma notificação de sanção a um responsável pelo tratamento ou subcontratante e ao determinar o montante da sanção, o comissário para a informação tem de ter em conta as matérias constantes da section 155(3) do DPA 2018, incluindo a natureza e a gravidade do incumprimento, o caráter intencional ou negligente do incumprimento, todas as medidas tomadas pelo responsável pelo tratamento ou pelo subcontratante para atenuar os danos sofridos pelos titulares dos dados, o nível de responsabilidade do responsável pelo tratamento ou do subcontratante (tendo em conta as medidas técnicas e organizativas aplicadas pelo responsável pelo tratamento ou pelo subcontratante), quaisquer incumprimentos anteriores por parte do responsável pelo tratamento ou do subcontratante, as categorias dos dados pessoais afetadas pelo incumprimento e a circunstância de a sanção ser eficaz, proporcionada e dissuasiva. |
| --- | --- |

(103)

Mais especificamente, ao determinar se há lugar à emissão de uma notificação de sanção a um responsável pelo tratamento ou subcontratante e ao determinar o montante da sanção, o comissário para a informação tem de ter em conta as matérias constantes da section 155(3) do DPA 2018, incluindo a natureza e a gravidade do incumprimento, o caráter intencional ou negligente do incumprimento, todas as medidas tomadas pelo responsável pelo tratamento ou pelo subcontratante para atenuar os danos sofridos pelos titulares dos dados, o nível de responsabilidade do responsável pelo tratamento ou do subcontratante (tendo em conta as medidas técnicas e organizativas aplicadas pelo responsável pelo tratamento ou pelo subcontratante), quaisquer incumprimentos anteriores por parte do responsável pelo tratamento ou do subcontratante, as categorias dos dados pessoais afetadas pelo incumprimento e a circunstância de a sanção ser eficaz, proporcionada e dissuasiva.

section 155(3)

| (104) | O montante máximo da sanção que pode ser imposta por notificação de sanção é de a) 17 500 000 GBP relativamente ao incumprimento dos princípios de proteção dos dados [sections 35, 36, 37, 38(1), 39(1) e 40 do DPA 2018], das obrigações de transparência e dos direitos individuais (sections 44, 45, 46, 47, 48, 49, 52 e 53 do DPA 2018), e dos princípios para as transferências internacionais de dados pessoais (sections 73, 75, 76, 77 e 78 do DPA 2018); e b) 8 700 000 GBP nos restantes casos (175). Em caso de incumprimento de uma notificação informativa, de uma notificação de avaliação ou de uma notificação de execução, o montante máximo da sanção que pode ser imposta por uma notificação de sanção é de 17 500 000 GBP. |
| --- | --- |

(104)

O montante máximo da sanção que pode ser imposta por notificação de sanção é de a) 17 500 000 GBP relativamente ao incumprimento dos princípios de proteção dos dados [sections 35, 36, 37, 38(1), 39(1) e 40 do DPA 2018], das obrigações de transparência e dos direitos individuais (sections 44, 45, 46, 47, 48, 49, 52 e 53 do DPA 2018), e dos princípios para as transferências internacionais de dados pessoais (sections 73, 75, 76, 77 e 78 do DPA 2018); e b) 8 700 000 GBP nos restantes casos (175). Em caso de incumprimento de uma notificação informativa, de uma notificação de avaliação ou de uma notificação de execução, o montante máximo da sanção que pode ser imposta por uma notificação de sanção é de 17 500 000 GBP.

sections 35, 36, 37, 38(1), 39(1)

40

sections 44, 45, 46, 47, 48, 49, 52

53

sections 73, 75, 76, 77

78

175

| (105) | De acordo com os seus relatórios anuais mais recentes (2018-2019 (176), 2019-2020 (177)), o comissário para a informação realizou um conjunto de investigações relativas ao tratamento de dados pessoais pelas autoridades de aplicação do direito penal. Por exemplo, em outubro de 2019, o comissário realizou uma investigação e publicou um parecer relativo à utilização da tecnologia de reconhecimento facial em locais públicos pelas autoridades de aplicação da lei. A investigação especial centrou-se, em particular, na utilização das capacidades de reconhecimento facial em tempo real pela polícia de Gales do Sul e pelo Metropolitan Police Service (MPS). Para além disso, o comissário investigou a «matriz dos gangues» do MPS (178) e descobriu um conjunto de violações graves da legislação em matéria de proteção de dados que poderiam reduzir a confiança do público na matriz e na utilização dos dados. |
| --- | --- |

(105)

De acordo com os seus relatórios anuais mais recentes (2018-2019 (176), 2019-2020 (177)), o comissário para a informação realizou um conjunto de investigações relativas ao tratamento de dados pessoais pelas autoridades de aplicação do direito penal. Por exemplo, em outubro de 2019, o comissário realizou uma investigação e publicou um parecer relativo à utilização da tecnologia de reconhecimento facial em locais públicos pelas autoridades de aplicação da lei. A investigação especial centrou-se, em particular, na utilização das capacidades de reconhecimento facial em tempo real pela polícia de Gales do Sul e pelo Metropolitan Police Service (MPS). Para além disso, o comissário investigou a «matriz dos gangues» do MPS (178) e descobriu um conjunto de violações graves da legislação em matéria de proteção de dados que poderiam reduzir a confiança do público na matriz e na utilização dos dados.

176

177

Metropolitan Police Service

178

| (106) | Em novembro de 2018, o comissário para a informação emitiu uma notificação de execução e, subsequentemente, o MPS tomou as medidas necessárias para aumentar a segurança e a responsabilidade e para assegurar que os dados eram utilizados de forma proporcionada. |
| --- | --- |

(106)

Em novembro de 2018, o comissário para a informação emitiu uma notificação de execução e, subsequentemente, o MPS tomou as medidas necessárias para aumentar a segurança e a responsabilidade e para assegurar que os dados eram utilizados de forma proporcionada.

| (107) | Outro exemplo de uma ação de execução recente é a coima de 325 000 GBP imposta pelo comissário em maio de 2018 ao Crown Prosecution Service, por ter perdido DVD não encriptados que continham gravações de inquéritos policiais. Além disso, o comissário para a informação realizou investigações em temas mais abrangentes, por exemplo, no primeiro semestre de 2020, relativas à utilização da extração de números de telefone para efeitos policiais e ao tratamento dos dados das vítimas pela polícia. |
| --- | --- |

(107)

Outro exemplo de uma ação de execução recente é a coima de 325 000 GBP imposta pelo comissário em maio de 2018 ao Crown Prosecution Service, por ter perdido DVD não encriptados que continham gravações de inquéritos policiais. Além disso, o comissário para a informação realizou investigações em temas mais abrangentes, por exemplo, no primeiro semestre de 2020, relativas à utilização da extração de números de telefone para efeitos policiais e ao tratamento dos dados das vítimas pela polícia.

Crown Prosecution Service

| (108) | Para além dos poderes sancionatórios do comissário para a informação, determinadas violações da legislação em matéria de proteção de dados constituem infrações e, como tal, podem estar sujeitas a sanções penais (section 196 do DPA 2018). Tal aplica-se, por exemplo, à obtenção ou divulgação de dados pessoais sem o consentimento do responsável pelo tratamento e à facilitação da divulgação de dados pessoais a outra pessoa sem o consentimento do responsável pelo tratamento (179); à reidentificação de informações que são dados pessoais anonimizados sem o consentimento do responsável pelo tratamento que ficou incumbido da anonimização dos dados pessoais (180); à obstrução intencional do comissário para impedi-lo de exercer os seus poderes relativamente à inspeção dos dados pessoais, de acordo com as obrigações internacionais (181), às declarações falsas em resposta a uma notificação informativa ou à destruição de informações relacionadas com notificações informativas e de avaliação (182). |
| --- | --- |

(108)

Para além dos poderes sancionatórios do comissário para a informação, determinadas violações da legislação em matéria de proteção de dados constituem infrações e, como tal, podem estar sujeitas a sanções penais (section 196 do DPA 2018). Tal aplica-se, por exemplo, à obtenção ou divulgação de dados pessoais sem o consentimento do responsável pelo tratamento e à facilitação da divulgação de dados pessoais a outra pessoa sem o consentimento do responsável pelo tratamento (179); à reidentificação de informações que são dados pessoais anonimizados sem o consentimento do responsável pelo tratamento que ficou incumbido da anonimização dos dados pessoais (180); à obstrução intencional do comissário para impedi-lo de exercer os seus poderes relativamente à inspeção dos dados pessoais, de acordo com as obrigações internacionais (181), às declarações falsas em resposta a uma notificação informativa ou à destruição de informações relacionadas com notificações informativas e de avaliação (182).

section 196

179

180

181

182

| (109) | O comissário para a informação tem também o dever, por força da section 139 do DPA 2018, de apresentar às câmaras do parlamento um relatório geral sobre o desempenho das funções que assume no âmbito da referida lei (183). |
| --- | --- |

(109)

O comissário para a informação tem também o dever, por força da section 139 do DPA 2018, de apresentar às câmaras do parlamento um relatório geral sobre o desempenho das funções que assume no âmbito da referida lei (183).

section 139

183

2.5.2.   Supervisão do sistema judiciário

Supervisão do sistema judiciário

| (110) | A supervisão do tratamento de dados pessoais pelos tribunais e pelo sistema judiciário tem dois objetivos. Caso o titular de um cargo judicial ou um tribunal não atue no exercício de uma competência judicial, o comissário para a informação encarrega-se da supervisão. Caso o responsável pelo tratamento atue no exercício de uma competência judicial (184), o ICO não pode exercer as suas funções de supervisão, sendo a supervisão realizada por organismos especiais. Tal reflete a abordagem adotada no artigo 32.o da Diretiva (UE) 2016/680. |
| --- | --- |

(110)

A supervisão do tratamento de dados pessoais pelos tribunais e pelo sistema judiciário tem dois objetivos. Caso o titular de um cargo judicial ou um tribunal não atue no exercício de uma competência judicial, o comissário para a informação encarrega-se da supervisão. Caso o responsável pelo tratamento atue no exercício de uma competência judicial (184), o ICO não pode exercer as suas funções de supervisão, sendo a supervisão realizada por organismos especiais. Tal reflete a abordagem adotada no artigo 32.o da Diretiva (UE) 2016/680.

184

o

| (111) | Em particular, no segundo cenário, no caso dos tribunais da Inglaterra e do País de Gales e dos tribunais de primeira instância (first-tier tribunals) e superiores (upper tribunals) da Inglaterra e do País de Gales, essa supervisão é realizada pelo Judicial Data Protection Panel (Painel de Proteção dos Dados Judiciais) (185). Além disso, o presidente do sistema judiciário (Lord Chief Justice) e o presidente dos tribunais (Senior President of Tribunals) emitiram uma notificação de privacidade (186) que define a forma como os tribunais da Inglaterra e do País de Gales tratam os dados pessoais para uma função judicial. Os sistemas judiciais da Irlanda do Norte (187) e da Escócia (188) emitiram uma notificação semelhante. |
| --- | --- |

(111)

Em particular, no segundo cenário, no caso dos tribunais da Inglaterra e do País de Gales e dos tribunais de primeira instância (first-tier tribunals) e superiores (upper tribunals) da Inglaterra e do País de Gales, essa supervisão é realizada pelo Judicial Data Protection Panel (Painel de Proteção dos Dados Judiciais) (185). Além disso, o presidente do sistema judiciário (Lord Chief Justice) e o presidente dos tribunais (Senior President of Tribunals) emitiram uma notificação de privacidade (186) que define a forma como os tribunais da Inglaterra e do País de Gales tratam os dados pessoais para uma função judicial. Os sistemas judiciais da Irlanda do Norte (187) e da Escócia (188) emitiram uma notificação semelhante.

first-tier tribunals

upper tribunals

Judicial Data Protection Panel

185

Lord Chief Justice

Senior President of Tribunals

186

187

188

| (112) | Além disso, na Irlanda do Norte, o presidente do sistema judiciário da Irlanda do Norte nomeou um juiz do High Court como juiz supervisor de dados (DSJ) (189). Também emitiu orientações dirigidas ao sistema judicial da Irlanda do Norte sobre o que fazer em caso de perda ou potencial perda de dados e como tratar os problemas decorrentes dessa perda (190). |
| --- | --- |

(112)

Além disso, na Irlanda do Norte, o presidente do sistema judiciário da Irlanda do Norte nomeou um juiz do High Court como juiz supervisor de dados (DSJ) (189). Também emitiu orientações dirigidas ao sistema judicial da Irlanda do Norte sobre o que fazer em caso de perda ou potencial perda de dados e como tratar os problemas decorrentes dessa perda (190).

High Court

189

190

| (113) | Na Escócia, o Lorde Presidente (Lord President) nomeou um juiz supervisor de dados para investigar as reclamações associadas a violações da proteção de dados. Tal encontra-se enunciado nas regras em matéria de reclamações judiciais, que refletem as regras estabelecidas para a Inglaterra e o País de Gales (191). |
| --- | --- |

(113)

Na Escócia, o Lorde Presidente (Lord President) nomeou um juiz supervisor de dados para investigar as reclamações associadas a violações da proteção de dados. Tal encontra-se enunciado nas regras em matéria de reclamações judiciais, que refletem as regras estabelecidas para a Inglaterra e o País de Gales (191).

Lord President

191

| (114) | Por último, no Supreme Court (Supremo Tribunal), um dos juízes do Supreme Court é nomeado para supervisionar a proteção de dados. |
| --- | --- |

(114)

Por último, no Supreme Court (Supremo Tribunal), um dos juízes do Supreme Court é nomeado para supervisionar a proteção de dados.

Supreme Court

Supreme Court

2.5.3.   Vias de recurso

Vias de recurso

| (115) | A fim de assegurar uma proteção adequada e, nomeadamente, o exercício dos direitos individuais, o titular dos dados deve dispor de vias de recurso administrativas e judiciais eficazes, incluindo a possibilidade de obter uma indemnização por danos. |
| --- | --- |

(115)

A fim de assegurar uma proteção adequada e, nomeadamente, o exercício dos direitos individuais, o titular dos dados deve dispor de vias de recurso administrativas e judiciais eficazes, incluindo a possibilidade de obter uma indemnização por danos.

| (116) | Em primeiro lugar, o titular dos dados tem o direito de apresentar reclamação ao comissário para a informação caso considere que existe uma violação da parte 3 do DPA 2018 no que diz respeito aos seus dados pessoais (192). Conforme descrito nos considerandos 100 e 109, o comissário para a informação tem o poder de avaliar a conformidade com o DPA 2018 do responsável pelo tratamento e do subcontratante, de exigir que estes tomem as medidas necessárias ou se abstenham de tomar medidas em caso de incumprimento e de impor coimas. |
| --- | --- |

(116)

Em primeiro lugar, o titular dos dados tem o direito de apresentar reclamação ao comissário para a informação caso considere que existe uma violação da parte 3 do DPA 2018 no que diz respeito aos seus dados pessoais (192). Conforme descrito nos considerandos 100 e 109, o comissário para a informação tem o poder de avaliar a conformidade com o DPA 2018 do responsável pelo tratamento e do subcontratante, de exigir que estes tomem as medidas necessárias ou se abstenham de tomar medidas em caso de incumprimento e de impor coimas.

192

| (117) | Em segundo lugar, o DPA 2018 prevê o direito à ação judicial contra o comissário para a informação. Caso o comissário não «dê seguimento» (193) a uma reclamação efetuada pelo titular de dados, o autor da reclamação tem acesso à ação judicial, uma vez que pode recorrer a um tribunal de primeira instância (194) para ordenar que o comissário tome as medidas adequadas para dar resposta à reclamação ou informar o autor da reclamação do progresso da reclamação (195). Além disso, qualquer pessoa que receba uma das notificações referidas acima (notificações informativas, de avaliação, de execução ou de sanção) emitidas pelo comissário pode recorrer a um tribunal de primeira instância. Se o tribunal considerar que a decisão do comissário não respeita a lei ou que o comissário para a informação deveria ter exercido o seu poder de apreciação de outra forma, o tribunal tem de permitir o recurso ou substituir por outra notificação ou decisão que poderia ter sido emitida ou proferida pelo comissário para a informação (196). |
| --- | --- |

(117)

Em segundo lugar, o DPA 2018 prevê o direito à ação judicial contra o comissário para a informação. Caso o comissário não «dê seguimento» (193) a uma reclamação efetuada pelo titular de dados, o autor da reclamação tem acesso à ação judicial, uma vez que pode recorrer a um tribunal de primeira instância (194) para ordenar que o comissário tome as medidas adequadas para dar resposta à reclamação ou informar o autor da reclamação do progresso da reclamação (195). Além disso, qualquer pessoa que receba uma das notificações referidas acima (notificações informativas, de avaliação, de execução ou de sanção) emitidas pelo comissário pode recorrer a um tribunal de primeira instância. Se o tribunal considerar que a decisão do comissário não respeita a lei ou que o comissário para a informação deveria ter exercido o seu poder de apreciação de outra forma, o tribunal tem de permitir o recurso ou substituir por outra notificação ou decisão que poderia ter sido emitida ou proferida pelo comissário para a informação (196).

193

194

195

196

| (118) | Em terceiro lugar, as pessoas singulares podem intentar uma ação judicial contra um responsável pelo tratamento ou um subcontratante diretamente nos tribunais, ao abrigo da section 167 do DPA 2018. No caso de uma ação intentada por um titular de dados, se um tribunal decidir que houve uma violação dos direitos do titular dos dados ao abrigo da legislação em matéria de proteção de dados, o tribunal pode ordenar que o responsável pelo tratamento ou um subcontratante que atue em nome dele tome ou se abstenha de tomar as medidas especificadas na ordem, no que diz respeito ao tratamento. Além disso, ao abrigo da section 169 do DPA 2018, qualquer pessoa que tenha sofrido danos por uma violação de um requisito da legislação em matéria de proteção de dados (incluindo a parte 3 do DPA 2018), que não seja o RGPD do Reino Unido, tem direito a uma indemnização por esses danos do responsável pelo tratamento ou do subcontratante, salvo se o mesmo conseguir provar que não é de modo algum responsável pelo evento que deu origem aos danos. Os danos incluem perdas financeiras e não financeiras, como sofrimento emocional. |
| --- | --- |

(118)

Em terceiro lugar, as pessoas singulares podem intentar uma ação judicial contra um responsável pelo tratamento ou um subcontratante diretamente nos tribunais, ao abrigo da section 167 do DPA 2018. No caso de uma ação intentada por um titular de dados, se um tribunal decidir que houve uma violação dos direitos do titular dos dados ao abrigo da legislação em matéria de proteção de dados, o tribunal pode ordenar que o responsável pelo tratamento ou um subcontratante que atue em nome dele tome ou se abstenha de tomar as medidas especificadas na ordem, no que diz respeito ao tratamento. Além disso, ao abrigo da section 169 do DPA 2018, qualquer pessoa que tenha sofrido danos por uma violação de um requisito da legislação em matéria de proteção de dados (incluindo a parte 3 do DPA 2018), que não seja o RGPD do Reino Unido, tem direito a uma indemnização por esses danos do responsável pelo tratamento ou do subcontratante, salvo se o mesmo conseguir provar que não é de modo algum responsável pelo evento que deu origem aos danos. Os danos incluem perdas financeiras e não financeiras, como sofrimento emocional.

section 167

section 169

| (119) | Em quarto lugar, se considerar que houve uma violação dos seus direitos, incluindo do direito à privacidade e à proteção dos dados, por parte das autoridades públicas, qualquer pessoa pode obter reparação junto dos tribunais do Reino Unido ao abrigo do Human Rights Act 1998. Os responsáveis pelo tratamento ao abrigo da parte 3 do DPA 2018, ou seja, as autoridades competentes, são sempre autoridades públicas na aceção do Human Rights Act 1998. Qualquer pessoa que afirme que uma autoridade pública atuou (ou pretende atuar) de uma forma incompatível com um dos direitos da convenção e, consequentemente, ilícita, nos termos da section 6(1) do Human Rights Act 1998 pode intentar uma ação junto do tribunal competente contra a autoridade em questão ou recorrer aos direitos em causa em qualquer processo judicial, sempre que essa pessoa seja (ou venha a ser) vítima de um ato ilícito (197). |
| --- | --- |

(119)

Em quarto lugar, se considerar que houve uma violação dos seus direitos, incluindo do direito à privacidade e à proteção dos dados, por parte das autoridades públicas, qualquer pessoa pode obter reparação junto dos tribunais do Reino Unido ao abrigo do Human Rights Act 1998. Os responsáveis pelo tratamento ao abrigo da parte 3 do DPA 2018, ou seja, as autoridades competentes, são sempre autoridades públicas na aceção do Human Rights Act 1998. Qualquer pessoa que afirme que uma autoridade pública atuou (ou pretende atuar) de uma forma incompatível com um dos direitos da convenção e, consequentemente, ilícita, nos termos da section 6(1) do Human Rights Act 1998 pode intentar uma ação junto do tribunal competente contra a autoridade em questão ou recorrer aos direitos em causa em qualquer processo judicial, sempre que essa pessoa seja (ou venha a ser) vítima de um ato ilícito (197).

Human Rights Act 1998

Human Rights Act 1998

section 6(1)

Human Rights Act 1998

197

| (120) | Se considerar que algum ato de uma autoridade pública é ilícito, o tribunal pode conferir essa reparação, ou proferir essa decisão, dentro das suas competências e de uma forma que considere justa e adequada (198). O tribunal pode igualmente declarar que uma das disposições do direito primário é incompatível com um direito garantido abrigo da CEDH. |
| --- | --- |

(120)

Se considerar que algum ato de uma autoridade pública é ilícito, o tribunal pode conferir essa reparação, ou proferir essa decisão, dentro das suas competências e de uma forma que considere justa e adequada (198). O tribunal pode igualmente declarar que uma das disposições do direito primário é incompatível com um direito garantido abrigo da CEDH.

198

| (121) | Por último, depois de esgotarem as vias de recurso nacionais, as pessoas singulares podem obter reparação junto do Tribunal Europeu dos Direitos Humanos por violações dos direitos garantidos pela Convenção Europeia dos Direitos Humanos. |
| --- | --- |

(121)

Por último, depois de esgotarem as vias de recurso nacionais, as pessoas singulares podem obter reparação junto do Tribunal Europeu dos Direitos Humanos por violações dos direitos garantidos pela Convenção Europeia dos Direitos Humanos.

2.6.   Transferências subsequentes

Transferências subsequentes

| (122) | O direito do Reino Unido permite a partilha de dados por uma autoridade de aplicação da lei com outras autoridades britânicas para finalidades diferentes daquelas para as quais foram inicialmente recolhidos (denominada «transferência subsequente»), sob reserva de determinadas condições. |
| --- | --- |

(122)

O direito do Reino Unido permite a partilha de dados por uma autoridade de aplicação da lei com outras autoridades britânicas para finalidades diferentes daquelas para as quais foram inicialmente recolhidos (denominada «transferência subsequente»), sob reserva de determinadas condições.

| (123) | À semelhança do disposto no artigo 4.o, n.o 2, da Diretiva (UE) 2016/680, a section 36(3) do DPA 2018 permite que os dados pessoais recolhidos por uma autoridade competente para efeitos de aplicação da lei sejam tratados posteriormente (pelo responsável pelo tratamento inicial ou por outro responsável pelo tratamento) para qualquer outra finalidade de aplicação da lei, desde que o responsável pelo tratamento esteja autorizado por lei a efetuar o tratamento dos dados para a outra finalidade e o tratamento seja necessário e proporcionado (199). Neste caso, todas as garantias previstas na parte 3 do DPA 2018 e analisadas acima são aplicáveis ao tratamento efetuado pela autoridade que os recebe. |
| --- | --- |

(123)

À semelhança do disposto no artigo 4.o, n.o 2, da Diretiva (UE) 2016/680, a section 36(3) do DPA 2018 permite que os dados pessoais recolhidos por uma autoridade competente para efeitos de aplicação da lei sejam tratados posteriormente (pelo responsável pelo tratamento inicial ou por outro responsável pelo tratamento) para qualquer outra finalidade de aplicação da lei, desde que o responsável pelo tratamento esteja autorizado por lei a efetuar o tratamento dos dados para a outra finalidade e o tratamento seja necessário e proporcionado (199). Neste caso, todas as garantias previstas na parte 3 do DPA 2018 e analisadas acima são aplicáveis ao tratamento efetuado pela autoridade que os recebe.

o

o

section 36(3)

199

| (124) | Na ordem jurídica do Reino Unido, existem diversas leis que permitem explicitamente a transferência subsequente. Mais particularmente, i) o Digital Economy Act 2017 (Lei de 2017 relativa à Economia Digital) permite a partilha entre as autoridades públicas para várias finalidades, por exemplo, em caso de fraude contra o setor público que implique uma perda ou risco de perda para as autoridades públicas (200) ou em caso de dívida com uma autoridade pública ou a Coroa (201); ii) o Crime and Courts Act 2013 permite a partilha de informações com a National Crime Agency (NCA) (202) para o combate, a investigação e a repressão da criminalidade grave e organizada; o Serious Crime Act 2007 (Lei de 2007 relativa à Criminalidade Grave) permite que as autoridades públicas divulguem informações às organizações antifraude para efeitos de prevenção da fraude (203). |
| --- | --- |

(124)

Na ordem jurídica do Reino Unido, existem diversas leis que permitem explicitamente a transferência subsequente. Mais particularmente, i) o Digital Economy Act 2017 (Lei de 2017 relativa à Economia Digital) permite a partilha entre as autoridades públicas para várias finalidades, por exemplo, em caso de fraude contra o setor público que implique uma perda ou risco de perda para as autoridades públicas (200) ou em caso de dívida com uma autoridade pública ou a Coroa (201); ii) o Crime and Courts Act 2013 permite a partilha de informações com a National Crime Agency (NCA) (202) para o combate, a investigação e a repressão da criminalidade grave e organizada; o Serious Crime Act 2007 (Lei de 2007 relativa à Criminalidade Grave) permite que as autoridades públicas divulguem informações às organizações antifraude para efeitos de prevenção da fraude (203).

Digital Economy Act 2017

200

201

Crime and Courts Act 2013

National Crime Agency

202

Serious Crime Act 2007

203

| (125) | Estas leis determinam explicitamente que a partilha de informações deve cumprir as regras estabelecidas no DPA 2018. Além disso, o College of Policing publicou a Authorised Professional Practice on Information Sharing (Prática Profissional Autorizada para a partilha de informações) (204), para auxiliar a polícia no cumprimento das suas obrigações de proteção dos dados previstas no RGPD do Reino Unido, no DPA e no Human Rights Act 1998. A conformidade da partilha com o quadro jurídico aplicável para a proteção de dados está, obviamente, sujeita à fiscalização jurisdicional (205). |
| --- | --- |

(125)

Estas leis determinam explicitamente que a partilha de informações deve cumprir as regras estabelecidas no DPA 2018. Além disso, o College of Policing publicou a Authorised Professional Practice on Information Sharing (Prática Profissional Autorizada para a partilha de informações) (204), para auxiliar a polícia no cumprimento das suas obrigações de proteção dos dados previstas no RGPD do Reino Unido, no DPA e no Human Rights Act 1998. A conformidade da partilha com o quadro jurídico aplicável para a proteção de dados está, obviamente, sujeita à fiscalização jurisdicional (205).

College of Policing

Authorised Professional Practice on Information Sharing

204

Human Rights Act 1998

205

| (126) | Além disso, à semelhança do disposto no artigo 9.o da Diretiva (UE) 2016/680, o DPA 2018 prevê que os dados pessoais recolhidos para efeitos de aplicação da lei podem ser objeto de tratamento para outro fim que não a aplicação da lei quando o tratamento é autorizado por lei (206). Este tipo de partilha abrange dois cenários: 1) quando a autoridade de aplicação do direito penal partilha dados com uma autoridade que não é uma autoridade de aplicação do direito penal nem é uma agência de informações (como, por exemplo, uma autoridade fiscal ou financeira, uma autoridade da concorrência, um serviço de assistência social à infância); 2) quando uma autoridade de aplicação do direito penal partilha dados com uma agência de informações. No primeiro cenário, o tratamento de dados pessoais encontra-se abrangido pelo âmbito de aplicação do RGPD do Reino Unido, bem como na parte 2 do DPA 2018. Conforme referido na Decisão adotada ao abrigo do Regulamento (UE) 2016/679, as garantias previstas pelo RGPD do Reino Unido e a parte 2 do DPA 2018 prestam um nível de proteção que é essencialmente equivalente ao prestado na União (207). |
| --- | --- |

(126)

Além disso, à semelhança do disposto no artigo 9.o da Diretiva (UE) 2016/680, o DPA 2018 prevê que os dados pessoais recolhidos para efeitos de aplicação da lei podem ser objeto de tratamento para outro fim que não a aplicação da lei quando o tratamento é autorizado por lei (206). Este tipo de partilha abrange dois cenários: 1) quando a autoridade de aplicação do direito penal partilha dados com uma autoridade que não é uma autoridade de aplicação do direito penal nem é uma agência de informações (como, por exemplo, uma autoridade fiscal ou financeira, uma autoridade da concorrência, um serviço de assistência social à infância); 2) quando uma autoridade de aplicação do direito penal partilha dados com uma agência de informações. No primeiro cenário, o tratamento de dados pessoais encontra-se abrangido pelo âmbito de aplicação do RGPD do Reino Unido, bem como na parte 2 do DPA 2018. Conforme referido na Decisão adotada ao abrigo do Regulamento (UE) 2016/679, as garantias previstas pelo RGPD do Reino Unido e a parte 2 do DPA 2018 prestam um nível de proteção que é essencialmente equivalente ao prestado na União (207).

o

206

207

| (127) | No segundo cenário, no que diz respeito à partilha de dados recolhidos por uma autoridade de aplicação do direito penal com uma agência de informações para efeitos de segurança nacional, a base jurídica que autoriza essa partilha é o Counter Terrorism Act 2008 (Lei de 2008 relativa ao Combate ao Terrorismo) (CTA 2008) (208). Ao abrigo da CTA 2008, qualquer pessoa pode facultar informações a quaisquer serviços de informações para efeitos de cumprimento das funções desse serviço, incluindo as funções de «segurança nacional». |
| --- | --- |

(127)

No segundo cenário, no que diz respeito à partilha de dados recolhidos por uma autoridade de aplicação do direito penal com uma agência de informações para efeitos de segurança nacional, a base jurídica que autoriza essa partilha é o Counter Terrorism Act 2008 (Lei de 2008 relativa ao Combate ao Terrorismo) (CTA 2008) (208). Ao abrigo da CTA 2008, qualquer pessoa pode facultar informações a quaisquer serviços de informações para efeitos de cumprimento das funções desse serviço, incluindo as funções de «segurança nacional».

Counter Terrorism Act 2008

208

| (128) | No que diz respeito às condições em que os dados podem ser partilhados para efeitos de segurança nacional, o Intelligence Service Act (Lei relativa ao Serviço de Informações) e o Security Service Act (Lei relativa ao Serviço de Segurança) limitam a capacidade de obtenção dos dados dos serviços de informações aos dados estritamente necessários ao desempenho das suas funções legais. As autoridades competentes, abrangidas pelo âmbito de aplicação da parte 3 do DPA 2018, que procuram partilhar dados com os serviços de informações terão de ter em consideração um conjunto de fatores/limitações, para além das funções legais das agências que são criadas no Intelligence Service Act e no Security Service Act (209). A section 20 do CTA 2008 clarifica que qualquer partilha de dados efetuada nos termos da section 19 do CTA 2008 tem de cumprir, ainda assim, a legislação em matéria de proteção de dados; o que significa que todas as limitações e requisitos do DPA 2018 são aplicáveis. Além disso, as autoridades de aplicação da lei e os serviços de informações são autoridades públicas para efeitos do Human Rights Act 1998, tendo, por conseguinte, de assegurar que atuam em conformidade com os direitos garantidos ao abrigo da CEDH, incluindo o respetivo artigo 8.o. Por outras palavras, estes requisitos significam que qualquer partilha de dados entre as agências de aplicação da lei e os serviços de informações tem de cumprir a legislação em matéria de proteção de dados e a CEDH. |
| --- | --- |

(128)

No que diz respeito às condições em que os dados podem ser partilhados para efeitos de segurança nacional, o Intelligence Service Act (Lei relativa ao Serviço de Informações) e o Security Service Act (Lei relativa ao Serviço de Segurança) limitam a capacidade de obtenção dos dados dos serviços de informações aos dados estritamente necessários ao desempenho das suas funções legais. As autoridades competentes, abrangidas pelo âmbito de aplicação da parte 3 do DPA 2018, que procuram partilhar dados com os serviços de informações terão de ter em consideração um conjunto de fatores/limitações, para além das funções legais das agências que são criadas no Intelligence Service Act e no Security Service Act (209). A section 20 do CTA 2008 clarifica que qualquer partilha de dados efetuada nos termos da section 19 do CTA 2008 tem de cumprir, ainda assim, a legislação em matéria de proteção de dados; o que significa que todas as limitações e requisitos do DPA 2018 são aplicáveis. Além disso, as autoridades de aplicação da lei e os serviços de informações são autoridades públicas para efeitos do Human Rights Act 1998, tendo, por conseguinte, de assegurar que atuam em conformidade com os direitos garantidos ao abrigo da CEDH, incluindo o respetivo artigo 8.o. Por outras palavras, estes requisitos significam que qualquer partilha de dados entre as agências de aplicação da lei e os serviços de informações tem de cumprir a legislação em matéria de proteção de dados e a CEDH.

Intelligence Service Act

Security Service Act

Intelligence Service Act

Security Service Act

209

section 20

section 19

Human Rights Act 1998

o

| (129) | O tratamento, por parte dos serviços de informações, de dados pessoais recebidos ou obtidos a partir de autoridades de aplicação da lei para finalidades de segurança nacional está sujeito a um conjunto de condições e garantias (210). A parte 4 do DPA 2018 é aplicável a todo o tratamento efetuado pelos serviços de informações ou em seu nome. Estabelece os principais princípios de proteção de dados (licitude, lealdade e transparência (211); limitação das finalidades (212); minimização dos dados (213); exatidão (214); limitação da conservação (215) e segurança (216), impõe condições para o tratamento de categorias especiais de dados (217), prevê os direitos dos titulares dos dados (218), exige a proteção de dados desde a conceção (219) e regulamenta as transferências internacionais de dados pessoais (220). |
| --- | --- |

(129)

O tratamento, por parte dos serviços de informações, de dados pessoais recebidos ou obtidos a partir de autoridades de aplicação da lei para finalidades de segurança nacional está sujeito a um conjunto de condições e garantias (210). A parte 4 do DPA 2018 é aplicável a todo o tratamento efetuado pelos serviços de informações ou em seu nome. Estabelece os principais princípios de proteção de dados (licitude, lealdade e transparência (211); limitação das finalidades (212); minimização dos dados (213); exatidão (214); limitação da conservação (215) e segurança (216), impõe condições para o tratamento de categorias especiais de dados (217), prevê os direitos dos titulares dos dados (218), exige a proteção de dados desde a conceção (219) e regulamenta as transferências internacionais de dados pessoais (220).

210

211

212

213

214

215

216

217

218

219

220

| (130) | Paralelamente, a section 110 do DPA 2018 prevê uma isenção de determinadas disposições na parte 4 do DPA 2018 quando essa isenção é necessária para proteger a segurança nacional. A section 110(2) do DPA 2018 enumera as disposições em que é permitida uma isenção. Inclui os princípios de proteção de dados (à exceção do princípio da licitude), os direitos dos titulares dos dados, a obrigação de informar o comissário para a informação sobre uma violação de dados, os poderes de inspeção do comissário para a informação de acordo com as obrigações internacionais, determinados poderes sancionatórios do comissário para a informação, as disposições que criminalizam determinadas violações da proteção de dados e as disposições relativas às finalidades de tratamento especiais, como os fins jornalísticos, académicos ou artísticos. É possível recorrer a esta isenção com base numa análise caso a caso (221). Conforme explicado pelas autoridades do Reino Unido e confirmado pela jurisprudência do Reino Unido, «(um) responsável pelo tratamento tem de ter em conta as consequências efetivas para a segurança nacional ou a defesa caso tenha de cumprir a disposição específica em matéria de proteção de dados e se consegue cumprir razoavelmente a regra habitual sem afetar a segurança nacional ou a defesa» (222). Cabe à supervisão do ICO determinar se a isenção foi usada adequadamente ou não (223). |
| --- | --- |

(130)

Paralelamente, a section 110 do DPA 2018 prevê uma isenção de determinadas disposições na parte 4 do DPA 2018 quando essa isenção é necessária para proteger a segurança nacional. A section 110(2) do DPA 2018 enumera as disposições em que é permitida uma isenção. Inclui os princípios de proteção de dados (à exceção do princípio da licitude), os direitos dos titulares dos dados, a obrigação de informar o comissário para a informação sobre uma violação de dados, os poderes de inspeção do comissário para a informação de acordo com as obrigações internacionais, determinados poderes sancionatórios do comissário para a informação, as disposições que criminalizam determinadas violações da proteção de dados e as disposições relativas às finalidades de tratamento especiais, como os fins jornalísticos, académicos ou artísticos. É possível recorrer a esta isenção com base numa análise caso a caso (221). Conforme explicado pelas autoridades do Reino Unido e confirmado pela jurisprudência do Reino Unido, «(um) responsável pelo tratamento tem de ter em conta as consequências efetivas para a segurança nacional ou a defesa caso tenha de cumprir a disposição específica em matéria de proteção de dados e se consegue cumprir razoavelmente a regra habitual sem afetar a segurança nacional ou a defesa» (222). Cabe à supervisão do ICO determinar se a isenção foi usada adequadamente ou não (223).

section 110

section 110(2)

221

222

223

| (131) | Além disso, no que se refere à possibilidade de restringir a aplicação de qualquer um dos direitos mencionados acima para efeitos de proteção da «segurança nacional», a section 79 do DPA 2018 prevê a possibilidade de um responsável pelo tratamento solicitar um certificado assinado por um ministro do Gabinete ou pelo Procurador-Geral (Attorney General) que ateste que a restrição desses direitos constitui uma medida necessária e proporcionada para a proteção da segurança nacional (224). O Governo do Reino Unido emitiu uma orientação sobre o certificado de segurança nacional ao abrigo do DPA 2018 que, nomeadamente, salienta que qualquer limitação dos direitos dos titulares dos dados para efeitos de proteção da segurança nacional tem de ser necessária e proporcionada (225). Todos os certificados de segurança nacional têm de ser publicados no sítio Web do ICO (226). |
| --- | --- |

(131)

Além disso, no que se refere à possibilidade de restringir a aplicação de qualquer um dos direitos mencionados acima para efeitos de proteção da «segurança nacional», a section 79 do DPA 2018 prevê a possibilidade de um responsável pelo tratamento solicitar um certificado assinado por um ministro do Gabinete ou pelo Procurador-Geral (Attorney General) que ateste que a restrição desses direitos constitui uma medida necessária e proporcionada para a proteção da segurança nacional (224). O Governo do Reino Unido emitiu uma orientação sobre o certificado de segurança nacional ao abrigo do DPA 2018 que, nomeadamente, salienta que qualquer limitação dos direitos dos titulares dos dados para efeitos de proteção da segurança nacional tem de ser necessária e proporcionada (225). Todos os certificados de segurança nacional têm de ser publicados no sítio Web do ICO (226).

section 79

Attorney General

224

225

226

| (132) | O certificado deve ter uma duração fixa não superior a cinco anos, para que seja analisado regularmente pelo poder executivo (227). O certificado tem de identificar os dados pessoais ou as categorias de dados pessoais sujeitas à isenção, bem como as disposições do DPA 2018 às quais se aplica a isenção (228). |
| --- | --- |

(132)

O certificado deve ter uma duração fixa não superior a cinco anos, para que seja analisado regularmente pelo poder executivo (227). O certificado tem de identificar os dados pessoais ou as categorias de dados pessoais sujeitas à isenção, bem como as disposições do DPA 2018 às quais se aplica a isenção (228).

227

228

| (133) | Importa notar que os certificados de segurança nacional não preveem um motivo adicional a fim de restringir os direitos em matéria de proteção de dados por razões de segurança nacional. Ou seja, o responsável pelo tratamento ou o subcontratante só pode recorrer a um certificado quando tiver a certeza de que é necessário recorrer à isenção por motivos de segurança nacional, que tem de ser aplicada caso a caso. Mesmo que um certificado de segurança nacional se aplique à matéria em questão, o ICO pode investigar se o recurso à isenção de segurança nacional constituía uma medida justificada num caso específico (229). |
| --- | --- |

(133)

Importa notar que os certificados de segurança nacional não preveem um motivo adicional a fim de restringir os direitos em matéria de proteção de dados por razões de segurança nacional. Ou seja, o responsável pelo tratamento ou o subcontratante só pode recorrer a um certificado quando tiver a certeza de que é necessário recorrer à isenção por motivos de segurança nacional, que tem de ser aplicada caso a caso. Mesmo que um certificado de segurança nacional se aplique à matéria em questão, o ICO pode investigar se o recurso à isenção de segurança nacional constituía uma medida justificada num caso específico (229).

229

| (134) | As pessoas diretamente afetadas pela emissão do certificado podem recorrer ao Upper Tribunal (230) para contestar o certificado (231) ou, caso o certificado inclua a identificação dos dados por meio de uma descrição geral, para contestar a aplicação do mesmo a dados específicos (232). |
| --- | --- |

(134)

As pessoas diretamente afetadas pela emissão do certificado podem recorrer ao Upper Tribunal (230) para contestar o certificado (231) ou, caso o certificado inclua a identificação dos dados por meio de uma descrição geral, para contestar a aplicação do mesmo a dados específicos (232).

Upper Tribunal

230

231

232

| (135) | O tribunal analisará a decisão de emitir um certificado e decidirá se existiram motivos razoáveis para a emissão do certificado (233). O tribunal pode ter em conta um vasto conjunto de questões, nomeadamente a necessidade, a proporcionalidade e a licitude, tendo em conta o impacto nos direitos dos titulares de dados e considerando a necessidade de proteger a segurança nacional. Consequentemente, o tribunal pode determinar que o certificado não se aplica aos dados pessoais específicos que são o objeto do recurso (234). |
| --- | --- |

(135)

O tribunal analisará a decisão de emitir um certificado e decidirá se existiram motivos razoáveis para a emissão do certificado (233). O tribunal pode ter em conta um vasto conjunto de questões, nomeadamente a necessidade, a proporcionalidade e a licitude, tendo em conta o impacto nos direitos dos titulares de dados e considerando a necessidade de proteger a segurança nacional. Consequentemente, o tribunal pode determinar que o certificado não se aplica aos dados pessoais específicos que são o objeto do recurso (234).

233

234

| (136) | Ao abrigo do schedule 11 do DPA 2018, aplica-se um conjunto diferente de possíveis restrições a determinadas disposições da parte 4 do DPA 2018 (235) para salvaguardar outros importantes objetivos de interesse público geral ou interesses protegidos, como, por exemplo, o privilégio parlamentar, a prerrogativa legal de confidencialidade, a conduta dos processos judiciais ou a eficácia do combate das forças armadas. A aplicação destas disposições é dispensada para determinadas categorias de dados («com base na categoria») ou é dispensada na medida em que a aplicação destas disposições seria suscetível de prejudicar o interesse protegido («com base no prejuízo») (236). As isenções com base no prejuízo só podem ser invocadas na medida em que a aplicação da disposição de proteção de dados enunciada fosse suscetível de prejudicar o interesse específico em questão. Por conseguinte, a utilização de uma isenção tem de ser sempre justificada referindo o prejuízo relevante que seria suscetível de ocorrer no caso individual. As isenções com base na categoria só podem ser invocadas relativamente à categoria de dados específica e definida de modo circunscrito para a qual é concedida a isenção. A sua finalidade e o seu efeito são semelhantes a diversas exceções previstas no RGPD do Reino Unido (no schedule 2 do DPA 2018), que, por sua vez, refletem as previstas no artigo 23.o do RGPD. |
| --- | --- |

(136)

Ao abrigo do schedule 11 do DPA 2018, aplica-se um conjunto diferente de possíveis restrições a determinadas disposições da parte 4 do DPA 2018 (235) para salvaguardar outros importantes objetivos de interesse público geral ou interesses protegidos, como, por exemplo, o privilégio parlamentar, a prerrogativa legal de confidencialidade, a conduta dos processos judiciais ou a eficácia do combate das forças armadas. A aplicação destas disposições é dispensada para determinadas categorias de dados («com base na categoria») ou é dispensada na medida em que a aplicação destas disposições seria suscetível de prejudicar o interesse protegido («com base no prejuízo») (236). As isenções com base no prejuízo só podem ser invocadas na medida em que a aplicação da disposição de proteção de dados enunciada fosse suscetível de prejudicar o interesse específico em questão. Por conseguinte, a utilização de uma isenção tem de ser sempre justificada referindo o prejuízo relevante que seria suscetível de ocorrer no caso individual. As isenções com base na categoria só podem ser invocadas relativamente à categoria de dados específica e definida de modo circunscrito para a qual é concedida a isenção. A sua finalidade e o seu efeito são semelhantes a diversas exceções previstas no RGPD do Reino Unido (no schedule 2 do DPA 2018), que, por sua vez, refletem as previstas no artigo 23.o do RGPD.

schedule 11

235

236

schedule

o

| (137) | Resulta do que precede que estão previstas limitações e condições ao abrigo das disposições legais aplicáveis do Reino Unido, conforme igualmente interpretado pelos tribunais e pelo comissário para a informação, para garantir que essas isenções e limitações permanecem dentro dos limites do necessário e proporcionado para proteger a segurança nacional. |
| --- | --- |

(137)

Resulta do que precede que estão previstas limitações e condições ao abrigo das disposições legais aplicáveis do Reino Unido, conforme igualmente interpretado pelos tribunais e pelo comissário para a informação, para garantir que essas isenções e limitações permanecem dentro dos limites do necessário e proporcionado para proteger a segurança nacional.

| (138) | O tratamento de dados pessoais realizado pelos serviços de informações ao abrigo da parte 4 do DPA 2018 é supervisionado pelo comissário para a informação (237). |
| --- | --- |

(138)

O tratamento de dados pessoais realizado pelos serviços de informações ao abrigo da parte 4 do DPA 2018 é supervisionado pelo comissário para a informação (237).

237

| (139) | As funções gerais do comissário para a informação relativas ao tratamento de dados pessoais pelos serviços de informações ao abrigo da parte 4 do DPA 2018 são estabelecidas no schedule 13 do DPA 2018. As funções incluem, nomeadamente, o acompanhamento e a aplicação coerciva da parte 4 do DPA 2018, a sensibilização do público, a prestação de aconselhamento ao parlamento, ao governo e a outras instituições em matéria de medidas legislativas e administrativas, a sensibilização dos responsáveis pelo tratamento e subcontratantes para as suas obrigações, a prestação de informações aos titulares dos dados relativamente ao exercício dos seus direitos e a realização de investigações. |
| --- | --- |

(139)

As funções gerais do comissário para a informação relativas ao tratamento de dados pessoais pelos serviços de informações ao abrigo da parte 4 do DPA 2018 são estabelecidas no schedule 13 do DPA 2018. As funções incluem, nomeadamente, o acompanhamento e a aplicação coerciva da parte 4 do DPA 2018, a sensibilização do público, a prestação de aconselhamento ao parlamento, ao governo e a outras instituições em matéria de medidas legislativas e administrativas, a sensibilização dos responsáveis pelo tratamento e subcontratantes para as suas obrigações, a prestação de informações aos titulares dos dados relativamente ao exercício dos seus direitos e a realização de investigações.

schedule 13

| (140) | No que respeita à parte 3 do DPA 2018, o comissário tem o poder de notificar os responsáveis pelo tratamento de uma alegada violação e emitir advertências na eventualidade de uma operação de tratamento ser suscetível de violar as normas, emitindo repreensões caso se confirme a violação. Pode igualmente emitir notificações de execução e sanção por violação de determinadas disposições da lei (238). No entanto, contrastando com outras partes do DPA 2018, o comissário não pode emitir uma notificação de avaliação a um organismo de segurança nacional (239). |
| --- | --- |

(140)

No que respeita à parte 3 do DPA 2018, o comissário tem o poder de notificar os responsáveis pelo tratamento de uma alegada violação e emitir advertências na eventualidade de uma operação de tratamento ser suscetível de violar as normas, emitindo repreensões caso se confirme a violação. Pode igualmente emitir notificações de execução e sanção por violação de determinadas disposições da lei (238). No entanto, contrastando com outras partes do DPA 2018, o comissário não pode emitir uma notificação de avaliação a um organismo de segurança nacional (239).

238

239

| (141) | Além disso, a section 110 do DPA 2018 prevê uma exceção à utilização de determinados poderes do comissário sempre que necessário por motivos de salvaguarda da segurança nacional. Tal inclui o poder conferido ao comissário para emitir (todos os tipos de) notificações abrangidas pelo DPA (notificações de informação, avaliação, execução e sanção) e o poder de realizar inspeções em conformidade com as obrigações internacionais, os poderes de entrada e inspeção e as normas em matérias de infrações (240). Como explicado no considerando 136, estas exceções aplicar-se-ão apenas se necessário e proporcionado, bem como caso a caso. A aplicação destas exceções pode ser objeto de fiscalização jurisdicional (241). |
| --- | --- |

(141)

Além disso, a section 110 do DPA 2018 prevê uma exceção à utilização de determinados poderes do comissário sempre que necessário por motivos de salvaguarda da segurança nacional. Tal inclui o poder conferido ao comissário para emitir (todos os tipos de) notificações abrangidas pelo DPA (notificações de informação, avaliação, execução e sanção) e o poder de realizar inspeções em conformidade com as obrigações internacionais, os poderes de entrada e inspeção e as normas em matérias de infrações (240). Como explicado no considerando 136, estas exceções aplicar-se-ão apenas se necessário e proporcionado, bem como caso a caso. A aplicação destas exceções pode ser objeto de fiscalização jurisdicional (241).

section 110

240

241

| (142) | O ICO e os serviços de informações do Reino Unido assinaram um memorando de entendimento (242) que estabelece um quadro de cooperação referente a um conjunto de questões, incluindo as notificações de violações de dados e o tratamento das reclamações dos titulares dos dados. Mais particularmente, nele prevê-se que, ao receber uma reclamação, o ICO avaliará se foi adequadamente invocada uma isenção de segurança nacional. As respostas às perguntas formuladas pelo ICO no contexto da análise das reclamações individuais têm de ser dadas no prazo de 20 dias úteis de acordo com as orientações do Governo do Reino Unido sobre os certificados de segurança nacional ao abrigo do Data Protection Act, por meio dos canais seguros adequados se envolver informações classificadas. Desde abril de 2018 até à data, o ICO recebeu 21 reclamações de pessoas singulares sobre os serviços de informações. Cada reclamação foi avaliada e o resultado foi comunicado ao titular dos dados (243). |
| --- | --- |

(142)

O ICO e os serviços de informações do Reino Unido assinaram um memorando de entendimento (242) que estabelece um quadro de cooperação referente a um conjunto de questões, incluindo as notificações de violações de dados e o tratamento das reclamações dos titulares dos dados. Mais particularmente, nele prevê-se que, ao receber uma reclamação, o ICO avaliará se foi adequadamente invocada uma isenção de segurança nacional. As respostas às perguntas formuladas pelo ICO no contexto da análise das reclamações individuais têm de ser dadas no prazo de 20 dias úteis de acordo com as orientações do Governo do Reino Unido sobre os certificados de segurança nacional ao abrigo do Data Protection Act, por meio dos canais seguros adequados se envolver informações classificadas. Desde abril de 2018 até à data, o ICO recebeu 21 reclamações de pessoas singulares sobre os serviços de informações. Cada reclamação foi avaliada e o resultado foi comunicado ao titular dos dados (243).

242

Data Protection Act

243

| (143) | Além disso, a Intelligence and Security Committee (comissão para as informações e a segurança) (ISC) desempenha uma função de supervisão parlamentar em matéria de tratamento de dados pelos serviços de informações. Esta comissão encontra a sua base jurídica no Justice and Security Act 2013 (Lei de 2013 relativa à justiça e segurança) (JSA 2013) (244). A referida lei estabelece a ISC enquanto comissão do parlamento do Reino Unido. A ISC é composta por membros pertencentes a ambas as câmaras do parlamento e nomeados pelo primeiro-ministro na sequência de uma consulta ao líder da oposição (245). A ISC está obrigada a apresentar um relatório anual ao parlamento sobre o exercício das respetivas funções, bem como outros relatórios que considere adequados (246). |
| --- | --- |

(143)

Além disso, a Intelligence and Security Committee (comissão para as informações e a segurança) (ISC) desempenha uma função de supervisão parlamentar em matéria de tratamento de dados pelos serviços de informações. Esta comissão encontra a sua base jurídica no Justice and Security Act 2013 (Lei de 2013 relativa à justiça e segurança) (JSA 2013) (244). A referida lei estabelece a ISC enquanto comissão do parlamento do Reino Unido. A ISC é composta por membros pertencentes a ambas as câmaras do parlamento e nomeados pelo primeiro-ministro na sequência de uma consulta ao líder da oposição (245). A ISC está obrigada a apresentar um relatório anual ao parlamento sobre o exercício das respetivas funções, bem como outros relatórios que considere adequados (246).

Intelligence and Security Committee

Justice and Security Act 2013

244

245

246

| (144) | Desde 2013, a ISC tem recebido cada vez mais poderes, incluindo a supervisão das atividades operacionais dos serviços de segurança. Ao abrigo da secção 2 da JSA 2013, a ISC está incumbida de supervisionar as despesas, a administração, as políticas e o funcionamento das agências nacionais de segurança. A JSA 2013 especifica que a ISC pode realizar investigações sobre matérias operacionais quando estas não digam respeito a operações em curso (247). O memorando de entendimento celebrado entre o primeiro-ministro e a ISC (248) especifica os elementos a ter em conta ao apurar se uma atividade integra ou não uma operação em curso (249). O primeiro-ministro também pode solicitar que a ISC investigue operações em curso, podendo esta analisar informações transmitidas voluntariamente pelas agências. |
| --- | --- |

(144)

Desde 2013, a ISC tem recebido cada vez mais poderes, incluindo a supervisão das atividades operacionais dos serviços de segurança. Ao abrigo da secção 2 da JSA 2013, a ISC está incumbida de supervisionar as despesas, a administração, as políticas e o funcionamento das agências nacionais de segurança. A JSA 2013 especifica que a ISC pode realizar investigações sobre matérias operacionais quando estas não digam respeito a operações em curso (247). O memorando de entendimento celebrado entre o primeiro-ministro e a ISC (248) especifica os elementos a ter em conta ao apurar se uma atividade integra ou não uma operação em curso (249). O primeiro-ministro também pode solicitar que a ISC investigue operações em curso, podendo esta analisar informações transmitidas voluntariamente pelas agências.

247

248

249

| (145) | Nos termos do schedule 1 do JSA 2013, a ISC pode solicitar a divulgação de qualquer informação aos responsáveis por qualquer um dos três serviços de informações. A agência tem de disponibilizar a referida informação, a menos que o ministro da tutela o recuse (250). As autoridades do Reino Unido explicaram que, na prática, são retidas muito poucas informações solicitadas pela ISC (251). |
| --- | --- |

(145)

Nos termos do schedule 1 do JSA 2013, a ISC pode solicitar a divulgação de qualquer informação aos responsáveis por qualquer um dos três serviços de informações. A agência tem de disponibilizar a referida informação, a menos que o ministro da tutela o recuse (250). As autoridades do Reino Unido explicaram que, na prática, são retidas muito poucas informações solicitadas pela ISC (251).

schedule 1

250

251

| (146) | No que respeita às vias de recurso, em primeiro lugar, ao abrigo da section 165(2) do DPA 2018, o titular dos dados pode apresentar reclamação junto do ICO se considerar que existe uma violação de dados pessoais a si respeitantes no âmbito da parte 4 do DPA 2018, incluindo qualquer utilização abusiva das derrogações e limitações de segurança nacional. |
| --- | --- |

(146)

No que respeita às vias de recurso, em primeiro lugar, ao abrigo da section 165(2) do DPA 2018, o titular dos dados pode apresentar reclamação junto do ICO se considerar que existe uma violação de dados pessoais a si respeitantes no âmbito da parte 4 do DPA 2018, incluindo qualquer utilização abusiva das derrogações e limitações de segurança nacional.

section 165(2)

| (147) | Além disso, ao abrigo da parte 4 do DPA 2018, as pessoas singulares têm o direito de solicitar ao High Court [ou ao Court of Session (Tribunal de Sessão) na Escócia] que ordene ao responsável pelo tratamento que cumpra os direitos de acesso aos dados (252), de oposição ao tratamento (253) e de retificação ou apagamento. |
| --- | --- |

(147)

Além disso, ao abrigo da parte 4 do DPA 2018, as pessoas singulares têm o direito de solicitar ao High Court [ou ao Court of Session (Tribunal de Sessão) na Escócia] que ordene ao responsável pelo tratamento que cumpra os direitos de acesso aos dados (252), de oposição ao tratamento (253) e de retificação ou apagamento.

High Court

Court of Session

252

253

| (148) | As pessoas singulares também têm o direito de pedir uma indemnização ao responsável pelo tratamento ou a um subcontratante por danos sofridos devido a uma violação de um requisito da parte 4 do DPA 2018 (254). Os danos incluem perdas financeiras e não financeiras, como sofrimento emocional (255). |
| --- | --- |

(148)

As pessoas singulares também têm o direito de pedir uma indemnização ao responsável pelo tratamento ou a um subcontratante por danos sofridos devido a uma violação de um requisito da parte 4 do DPA 2018 (254). Os danos incluem perdas financeiras e não financeiras, como sofrimento emocional (255).

254

255

| (149) | Por fim, as pessoas podem apresentar reclamação junto do Investigatory Powers Tribunal (Tribunal dos Poderes de Investigação) por qualquer ato praticado pelas agências de informações do Reino Unido ou em seu nome (256). O Investigatory Powers Tribunal (IPT) foi criado pelo Regulation of Investigatory Powers Act 2000, para a Inglaterra, o País de Gales e a Irlanda do Norte, e o Regulation of Investigatory Powers (Scotland) Act 2000 (RIPA 2000), para a Escócia (257). Nos termos da section 65 do RIPA 2000, os membros do IPT são nomeados pela rainha por um período de cinco anos. |
| --- | --- |

(149)

Por fim, as pessoas podem apresentar reclamação junto do Investigatory Powers Tribunal (Tribunal dos Poderes de Investigação) por qualquer ato praticado pelas agências de informações do Reino Unido ou em seu nome (256). O Investigatory Powers Tribunal (IPT) foi criado pelo Regulation of Investigatory Powers Act 2000, para a Inglaterra, o País de Gales e a Irlanda do Norte, e o Regulation of Investigatory Powers (Scotland) Act 2000 (RIPA 2000), para a Escócia (257). Nos termos da section 65 do RIPA 2000, os membros do IPT são nomeados pela rainha por um período de cinco anos.

Investigatory Powers Tribunal

256

Investigatory Powers Tribunal

Regulation of Investigatory Powers Act 2000

Regulation of Investigatory Powers (Scotland) Act 2000

257

section 65

| (150) | Os membros podem ser afastados do seu cargo pela rainha na sequência de um comunicado (258) de ambas as câmaras do parlamento (259). |
| --- | --- |

(150)

Os membros podem ser afastados do seu cargo pela rainha na sequência de um comunicado (258) de ambas as câmaras do parlamento (259).

258

259

| (151) | Para intentar uma ação junto do IPT («requisito de legitimidade»), nos termos da section 65 do RIPA 2000, uma pessoa singular tem de estar convicta de que i) os atos de um serviço de informações ocorreram em relação a si, a qualquer um dos seus bens, a quaisquer comunicações por si enviadas, ou a si destinadas, ou à sua utilização de qualquer serviço postal, serviço de telecomunicações ou sistema de telecomunicações (260), e ii) os atos ocorreram em «circunstâncias contestáveis» (261) ou «foram praticados pelos serviços de informações ou em nome destes» (262). Dado que este paradigma da «convicção», em particular, tem sido interpretado de forma bastante ampla (263), o recurso ao tribunal está sujeito a requisitos de legitimidade relativamente baixos. |
| --- | --- |

(151)

Para intentar uma ação junto do IPT («requisito de legitimidade»), nos termos da section 65 do RIPA 2000, uma pessoa singular tem de estar convicta de que i) os atos de um serviço de informações ocorreram em relação a si, a qualquer um dos seus bens, a quaisquer comunicações por si enviadas, ou a si destinadas, ou à sua utilização de qualquer serviço postal, serviço de telecomunicações ou sistema de telecomunicações (260), e ii) os atos ocorreram em «circunstâncias contestáveis» (261) ou «foram praticados pelos serviços de informações ou em nome destes» (262). Dado que este paradigma da «convicção», em particular, tem sido interpretado de forma bastante ampla (263), o recurso ao tribunal está sujeito a requisitos de legitimidade relativamente baixos.

section 65

260

261

262

263

| (152) | Quando o referido tribunal considera uma reclamação que lhe foi apresentada, incumbe-lhe o dever de investigar se as pessoas contra as quais é feita qualquer alegação na reclamação estiveram envolvidas no que respeita ao autor da reclamação, bem como investigar a autoridade que alegadamente esteve envolvida nas violações e se os alegados atos ocorreram (264). Quando aprecia um processo, o referido tribunal tem de aplicar os mesmos princípios para proceder à sua determinação que seriam aplicados por um tribunal num pedido de fiscalização jurisdicional (265). |
| --- | --- |

(152)

Quando o referido tribunal considera uma reclamação que lhe foi apresentada, incumbe-lhe o dever de investigar se as pessoas contra as quais é feita qualquer alegação na reclamação estiveram envolvidas no que respeita ao autor da reclamação, bem como investigar a autoridade que alegadamente esteve envolvida nas violações e se os alegados atos ocorreram (264). Quando aprecia um processo, o referido tribunal tem de aplicar os mesmos princípios para proceder à sua determinação que seriam aplicados por um tribunal num pedido de fiscalização jurisdicional (265).

264

265

| (153) | O tribunal tem de notificar o autor da reclamação se houve ou não determinação a seu favor (266). Ao abrigo da section 67(6) e (7) do RIPA 2000, o tribunal tem competência para adotar medidas provisórias e para conceder uma indemnização ou decretar outra medida que considere adequada (267). Nos termos da section 67A do RIPA 2000, as determinações do tribunal podem ser objeto de recurso, sob reserva de uma autorização do referido tribunal ou do tribunal de recurso competente. |
| --- | --- |

(153)

O tribunal tem de notificar o autor da reclamação se houve ou não determinação a seu favor (266). Ao abrigo da section 67(6) e (7) do RIPA 2000, o tribunal tem competência para adotar medidas provisórias e para conceder uma indemnização ou decretar outra medida que considere adequada (267). Nos termos da section 67A do RIPA 2000, as determinações do tribunal podem ser objeto de recurso, sob reserva de uma autorização do referido tribunal ou do tribunal de recurso competente.

266

section 67(6)

(7)

267

section 67A

| (154) | Mais particularmente, as pessoas podem intentar uma ação — e obter reparação — junto do IPT se considerarem que uma autoridade pública atuou (ou pretende atuar) de modo incompatível com os direitos consagrados na CEDH, incluindo o direito à privacidade e proteção de dados, e que é, por conseguinte, ilícito por força da section 6(1) do Human Rights Act 1998. Foi concedida ao IPT competência exclusiva para todas as reclamações relativas ao Human Rights Act relacionadas com as agências de informações. Tal significa, conforme referido pelo High Court, que «a questão de ter havido uma violação do HRA relativamente aos factos de um determinado processo é algo que pode, em princípio, ser suscitado e decidido por um tribunal independente, que pode ter acesso a todo o material pertinente, incluindo material secreto. [...] Neste contexto, temos também em mente que o próprio IPT está agora sujeito à possibilidade de recurso num tribunal de recurso competente (na Inglaterra e no País de Gales, o Court of Appeal); e que o Supreme Court decidiu recentemente que o IPT é, em princípio, passível de fiscalização jurisdicional: ver R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219» (268). Se considerar que algum ato de uma autoridade pública é ilícito, o IPT pode conferir essa reparação, ou proferir essa decisão, dentro das suas competências e de uma forma que considere justa e adequada (269). |
| --- | --- |

(154)

Mais particularmente, as pessoas podem intentar uma ação — e obter reparação — junto do IPT se considerarem que uma autoridade pública atuou (ou pretende atuar) de modo incompatível com os direitos consagrados na CEDH, incluindo o direito à privacidade e proteção de dados, e que é, por conseguinte, ilícito por força da section 6(1) do Human Rights Act 1998. Foi concedida ao IPT competência exclusiva para todas as reclamações relativas ao Human Rights Act relacionadas com as agências de informações. Tal significa, conforme referido pelo High Court, que «a questão de ter havido uma violação do HRA relativamente aos factos de um determinado processo é algo que pode, em princípio, ser suscitado e decidido por um tribunal independente, que pode ter acesso a todo o material pertinente, incluindo material secreto. [...] Neste contexto, temos também em mente que o próprio IPT está agora sujeito à possibilidade de recurso num tribunal de recurso competente (na Inglaterra e no País de Gales, o Court of Appeal); e que o Supreme Court decidiu recentemente que o IPT é, em princípio, passível de fiscalização jurisdicional: ver R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219» (268). Se considerar que algum ato de uma autoridade pública é ilícito, o IPT pode conferir essa reparação, ou proferir essa decisão, dentro das suas competências e de uma forma que considere justa e adequada (269).

section 6(1)

Human Rights Act 1998

Human Rights Act

High Court

Court of Appeal

Supreme Court

R (Privacy International)/Investigatory Powers Tribunal

268

269

| (155) | Depois de esgotarem as vias de recurso nacionais, as pessoas singulares podem recorrer ao Tribunal Europeu dos Direitos Humanos por violações dos direitos garantidos pela CEDH, incluindo o direito à privacidade e à proteção de dados. |
| --- | --- |

(155)

Depois de esgotarem as vias de recurso nacionais, as pessoas singulares podem recorrer ao Tribunal Europeu dos Direitos Humanos por violações dos direitos garantidos pela CEDH, incluindo o direito à privacidade e à proteção de dados.

| (156) | Do que precede, resulta que a partilha, por pate de autoridades de aplicação do direito penal do Reino Unido, de dados transferidos ao abrigo da presente decisão com outras autoridades públicas, incluindo agências de informações, é enquadrada por limitações e condições que asseguram que tais transferências subsequentes são necessárias e proporcionadas e estão sujeitas a garantias em matéria de proteção de dados específicas ao abrigo do DPA 2018. Além disso, o tratamento de dados pelas autoridades públicas em causa é supervisionado por organismos independentes, tendo as pessoas afetadas acesso a vias de recurso judicial eficazes. |
| --- | --- |

(156)

Do que precede, resulta que a partilha, por pate de autoridades de aplicação do direito penal do Reino Unido, de dados transferidos ao abrigo da presente decisão com outras autoridades públicas, incluindo agências de informações, é enquadrada por limitações e condições que asseguram que tais transferências subsequentes são necessárias e proporcionadas e estão sujeitas a garantias em matéria de proteção de dados específicas ao abrigo do DPA 2018. Além disso, o tratamento de dados pelas autoridades públicas em causa é supervisionado por organismos independentes, tendo as pessoas afetadas acesso a vias de recurso judicial eficazes.

3.   CONCLUSÃO

CONCLUSÃO

| (157) | A Comissão entende que a parte 3 do DPA 2018 assegura um nível de proteção dos dados pessoais transferidos para efeitos de aplicação do direito penal das autoridades competentes da União para as autoridades competentes do Reino Unido que é essencialmente equivalente ao garantido pela Diretiva (UE) 2016/680. |
| --- | --- |

(157)

A Comissão entende que a parte 3 do DPA 2018 assegura um nível de proteção dos dados pessoais transferidos para efeitos de aplicação do direito penal das autoridades competentes da União para as autoridades competentes do Reino Unido que é essencialmente equivalente ao garantido pela Diretiva (UE) 2016/680.

| (158) | Além disso, a Comissão considera que os mecanismos de controlo e as vias de recurso previstas na legislação do Reino Unido permitem, no seu conjunto, identificar e sancionar na prática as violações, proporcionando vias judiciais aos titulares dos dados para ter acesso aos respetivos dados pessoais e, em última instância, requerer a retificação ou o apagamento dos mesmos. |
| --- | --- |

(158)

Além disso, a Comissão considera que os mecanismos de controlo e as vias de recurso previstas na legislação do Reino Unido permitem, no seu conjunto, identificar e sancionar na prática as violações, proporcionando vias judiciais aos titulares dos dados para ter acesso aos respetivos dados pessoais e, em última instância, requerer a retificação ou o apagamento dos mesmos.

| (159) | Por último, com base nas informações disponíveis sobre o quadro jurídico do Reino Unido, a Comissão entende que qualquer ingerência nos direitos fundamentais das pessoas singulares, cujos dados pessoais sejam transferidos da União Europeia para o Reino Unido pelas autoridades públicas do Reino Unido para fins de interesse público, incluindo no contexto da partilha de dados pessoais entre autoridades de aplicação da lei e outras autoridades públicas como organismos de segurança nacional, será limitada ao estritamente necessário para alcançar o objetivo legítimo em causa, existindo uma proteção jurídica eficaz contra tal ingerência. |
| --- | --- |

(159)

Por último, com base nas informações disponíveis sobre o quadro jurídico do Reino Unido, a Comissão entende que qualquer ingerência nos direitos fundamentais das pessoas singulares, cujos dados pessoais sejam transferidos da União Europeia para o Reino Unido pelas autoridades públicas do Reino Unido para fins de interesse público, incluindo no contexto da partilha de dados pessoais entre autoridades de aplicação da lei e outras autoridades públicas como organismos de segurança nacional, será limitada ao estritamente necessário para alcançar o objetivo legítimo em causa, existindo uma proteção jurídica eficaz contra tal ingerência.

| (160) | Assim, há que decidir que o Reino Unido garante um nível adequado de proteção na aceção do artigo 36.o, n.o 2, da Diretiva (UE) 2016/680, interpretado à luz da Carta dos Direitos Fundamentais da União Europeia. |
| --- | --- |

(160)

Assim, há que decidir que o Reino Unido garante um nível adequado de proteção na aceção do artigo 36.o, n.o 2, da Diretiva (UE) 2016/680, interpretado à luz da Carta dos Direitos Fundamentais da União Europeia.

o

o

| (161) | Esta conclusão baseia-se tanto no regime interno britânico relevante como nos seus compromissos internacionais, em particular a adesão à Convenção Europeia dos Direitos Humanos e a submissão à competência jurisdicional do Tribunal Europeu dos Direitos do Humanos. Por conseguinte, a adesão contínua a essas obrigações internacionais é um elemento particularmente importante da avaliação em que se baseia a presente decisão. |
| --- | --- |

(161)

Esta conclusão baseia-se tanto no regime interno britânico relevante como nos seus compromissos internacionais, em particular a adesão à Convenção Europeia dos Direitos Humanos e a submissão à competência jurisdicional do Tribunal Europeu dos Direitos do Humanos. Por conseguinte, a adesão contínua a essas obrigações internacionais é um elemento particularmente importante da avaliação em que se baseia a presente decisão.

4.   EFEITOS DA PRESENTE DECISÃO E AÇÃO DAS AUTORIDADES DE PROTEÇÃO DE DADOS

EFEITOS DA PRESENTE DECISÃO E AÇÃO DAS AUTORIDADES DE PROTEÇÃO DE DADOS

| (162) | Os Estados-Membros e os respetivos órgãos são obrigados a tomar as medidas necessárias para cumprir os atos das instituições da União, uma vez que se presume que estes últimos são lícitos e, logo, produzem efeitos jurídicos até caducarem, serem revogados, anulados no âmbito de um recurso de anulação ou declarados inválidos na sequência de um reenvio prejudicial ou de uma exceção de ilegalidade. |
| --- | --- |

(162)

Os Estados-Membros e os respetivos órgãos são obrigados a tomar as medidas necessárias para cumprir os atos das instituições da União, uma vez que se presume que estes últimos são lícitos e, logo, produzem efeitos jurídicos até caducarem, serem revogados, anulados no âmbito de um recurso de anulação ou declarados inválidos na sequência de um reenvio prejudicial ou de uma exceção de ilegalidade.

| (163) | Consequentemente, uma decisão de adequação da Comissão adotada nos termos do artigo 36.o, n.o 3, da Diretiva (UE) 2016/680 é vinculativa para todos os organismos dos Estados-Membros aos quais se destina, nomeadamente para as suas autoridades de controlo independentes. Em particular, durante o período de aplicação da presente decisão, as transferências de um responsável pelo tratamento ou de um subcontratante na União Europeia para responsáveis pelo tratamento e subcontratantes no Reino Unido podem ser efetuadas sem que seja necessária mais nenhuma autorização. |
| --- | --- |

(163)

Consequentemente, uma decisão de adequação da Comissão adotada nos termos do artigo 36.o, n.o 3, da Diretiva (UE) 2016/680 é vinculativa para todos os organismos dos Estados-Membros aos quais se destina, nomeadamente para as suas autoridades de controlo independentes. Em particular, durante o período de aplicação da presente decisão, as transferências de um responsável pelo tratamento ou de um subcontratante na União Europeia para responsáveis pelo tratamento e subcontratantes no Reino Unido podem ser efetuadas sem que seja necessária mais nenhuma autorização.

o

o

| (164) | Ao mesmo tempo, importa recordar que, em conformidade com o artigo 47.o, n.o 5, da Diretiva (UE) 2016/680, e conforme explicado pelo Tribunal de Justiça no acórdão proferido no processo Schrems, quando uma autoridade nacional responsável pela proteção de dados, incluindo na sequência de uma reclamação, questiona a compatibilidade de uma decisão de adequação da Comissão com os direitos fundamentais à privacidade e à proteção dos dados da pessoa singular, o direito nacional tem de prever vias de recurso que lhe permitam invocar as críticas junto de um tribunal nacional, que poderá ter de proceder a um reenvio prejudicial para o Tribunal de Justiça (270). |
| --- | --- |

(164)

Ao mesmo tempo, importa recordar que, em conformidade com o artigo 47.o, n.o 5, da Diretiva (UE) 2016/680, e conforme explicado pelo Tribunal de Justiça no acórdão proferido no processo Schrems, quando uma autoridade nacional responsável pela proteção de dados, incluindo na sequência de uma reclamação, questiona a compatibilidade de uma decisão de adequação da Comissão com os direitos fundamentais à privacidade e à proteção dos dados da pessoa singular, o direito nacional tem de prever vias de recurso que lhe permitam invocar as críticas junto de um tribunal nacional, que poderá ter de proceder a um reenvio prejudicial para o Tribunal de Justiça (270).

o

o

270

5.   CONTROLO, SUSPENSÃO, REVOGAÇÃO OU ALTERAÇÃO DA PRESENTE DECISÃO

CONTROLO, SUSPENSÃO, REVOGAÇÃO OU ALTERAÇÃO DA PRESENTE DECISÃO

| (165) | Nos termos do artigo 36.o, n.o 4, da Diretiva (UE) 2016/680, a Comissão tem de controlar, de forma continuada, os desenvolvimentos pertinentes no Reino Unido após a adoção da presente decisão, a fim de avaliar se ainda assegura um nível de proteção essencialmente equivalente. Tal controlo é particularmente importante neste caso, uma vez que o Reino Unido administrará, aplicará e fará cumprir um novo regime de proteção de dados que já não estará sujeito ao direito da União, que pode ser suscetível de evoluir. A este respeito, prestar-se-á especial atenção à aplicação, na prática, das regras do Reino Unido em matéria de transferências de dados pessoais para países terceiros, nomeadamente por meio da celebração de acordos internacionais, e ao impacto que podem ter no nível de proteção oferecido aos dados transferidos ao abrigo da presente decisão, bem como à eficácia do exercício dos direitos das pessoas nos domínios abrangidos pela presente decisão. Entre outros elementos, o controlo da Comissão basear-se-á nos desenvolvimentos da jurisprudência e na supervisão do ICO e de outros organismos independentes. |
| --- | --- |

(165)

Nos termos do artigo 36.o, n.o 4, da Diretiva (UE) 2016/680, a Comissão tem de controlar, de forma continuada, os desenvolvimentos pertinentes no Reino Unido após a adoção da presente decisão, a fim de avaliar se ainda assegura um nível de proteção essencialmente equivalente. Tal controlo é particularmente importante neste caso, uma vez que o Reino Unido administrará, aplicará e fará cumprir um novo regime de proteção de dados que já não estará sujeito ao direito da União, que pode ser suscetível de evoluir. A este respeito, prestar-se-á especial atenção à aplicação, na prática, das regras do Reino Unido em matéria de transferências de dados pessoais para países terceiros, nomeadamente por meio da celebração de acordos internacionais, e ao impacto que podem ter no nível de proteção oferecido aos dados transferidos ao abrigo da presente decisão, bem como à eficácia do exercício dos direitos das pessoas nos domínios abrangidos pela presente decisão. Entre outros elementos, o controlo da Comissão basear-se-á nos desenvolvimentos da jurisprudência e na supervisão do ICO e de outros organismos independentes.

o

o

| (166) | A fim de facilitar este controlo, as autoridades do Reino Unido devem informar pronta e regularmente a Comissão de qualquer alteração significativa do ordenamento jurídico britânico que tenha impacto no quadro jurídico objeto da presente decisão, bem como de qualquer evolução nas práticas relacionadas com o tratamento dos dados pessoais avaliadas na presente decisão, nomeadamente no respeitante aos elementos referidos no considerando 165. |
| --- | --- |

(166)

A fim de facilitar este controlo, as autoridades do Reino Unido devem informar pronta e regularmente a Comissão de qualquer alteração significativa do ordenamento jurídico britânico que tenha impacto no quadro jurídico objeto da presente decisão, bem como de qualquer evolução nas práticas relacionadas com o tratamento dos dados pessoais avaliadas na presente decisão, nomeadamente no respeitante aos elementos referidos no considerando 165.

| (167) | Além disso, a fim de permitir à Comissão o exercício eficaz da sua função de controlo, os Estados-Membros devem informar a Comissão sobre qualquer medida pertinente adotada pelas autoridades nacionais responsáveis pela proteção dos dados, em particular no que se refere a consultas ou reclamações de titulares de dados da UE relativas à transferência de dados pessoais da União para autoridades competentes no Reino Unido. A Comissão deve igualmente ser informada sobre quaisquer indícios de que as ações das autoridades públicas britânicas responsáveis pela prevenção, investigação, deteção ou repressão de infrações penais, incluindo os organismos de controlo, não asseguram o nível de proteção exigido. |
| --- | --- |

(167)

Além disso, a fim de permitir à Comissão o exercício eficaz da sua função de controlo, os Estados-Membros devem informar a Comissão sobre qualquer medida pertinente adotada pelas autoridades nacionais responsáveis pela proteção dos dados, em particular no que se refere a consultas ou reclamações de titulares de dados da UE relativas à transferência de dados pessoais da União para autoridades competentes no Reino Unido. A Comissão deve igualmente ser informada sobre quaisquer indícios de que as ações das autoridades públicas britânicas responsáveis pela prevenção, investigação, deteção ou repressão de infrações penais, incluindo os organismos de controlo, não asseguram o nível de proteção exigido.

| (168) | Sempre que as informações disponíveis, nomeadamente as resultantes do controlo da presente decisão ou fornecidas pelas autoridades do Reino Unido ou dos Estados-Membros, revelarem que o nível de proteção conferido pelo Reino Unido pode já não ser adequado, a Comissão deve informar prontamente as autoridades competentes do Reino Unido desse facto e solicitar que sejam adotadas medidas adequadas dentro de um prazo razoável a especificar, que não pode exceder três meses. Se necessário, este prazo pode ser prorrogado por um período determinado, tendo em conta a natureza da questão em causa e/ou das medidas a adotar. |
| --- | --- |

(168)

Sempre que as informações disponíveis, nomeadamente as resultantes do controlo da presente decisão ou fornecidas pelas autoridades do Reino Unido ou dos Estados-Membros, revelarem que o nível de proteção conferido pelo Reino Unido pode já não ser adequado, a Comissão deve informar prontamente as autoridades competentes do Reino Unido desse facto e solicitar que sejam adotadas medidas adequadas dentro de um prazo razoável a especificar, que não pode exceder três meses. Se necessário, este prazo pode ser prorrogado por um período determinado, tendo em conta a natureza da questão em causa e/ou das medidas a adotar.

| (169) | Se, uma vez decorrido o prazo especificado, as autoridades britânicas competentes não tomarem essas medidas ou não demonstrarem, de forma satisfatória, que a presente decisão continua a basear-se num nível de proteção adequado, a Comissão dará início ao procedimento referido no artigo 58.o, n.o 2, da Diretiva (UE) 2016/680 com vista à suspensão total ou parcial ou à revogação da presente decisão. |
| --- | --- |

(169)

Se, uma vez decorrido o prazo especificado, as autoridades britânicas competentes não tomarem essas medidas ou não demonstrarem, de forma satisfatória, que a presente decisão continua a basear-se num nível de proteção adequado, a Comissão dará início ao procedimento referido no artigo 58.o, n.o 2, da Diretiva (UE) 2016/680 com vista à suspensão total ou parcial ou à revogação da presente decisão.

o

o

| (170) | Em alternativa, a Comissão dará início ao procedimento com vista a alterar a decisão, nomeadamente sujeitando as transferências de dados a condições adicionais ou limitando o âmbito de aplicação da verificação de adequação às transferências de dados em relação às quais continua a ser assegurado um nível adequado de proteção. |
| --- | --- |

(170)

Em alternativa, a Comissão dará início ao procedimento com vista a alterar a decisão, nomeadamente sujeitando as transferências de dados a condições adicionais ou limitando o âmbito de aplicação da verificação de adequação às transferências de dados em relação às quais continua a ser assegurado um nível adequado de proteção.

| (171) | Por imperativos de urgência devidamente justificados, a Comissão recorrerá à possibilidade de adotar, em conformidade com o procedimento referido no artigo 58.o, n.o 3, da Diretiva (UE) 2016/680, atos de execução imediatamente aplicáveis que suspendam, revoguem ou alterem a decisão. |
| --- | --- |

(171)

Por imperativos de urgência devidamente justificados, a Comissão recorrerá à possibilidade de adotar, em conformidade com o procedimento referido no artigo 58.o, n.o 3, da Diretiva (UE) 2016/680, atos de execução imediatamente aplicáveis que suspendam, revoguem ou alterem a decisão.

o

o

6.   VIGÊNCIA E RENOVAÇÃO DA PRESENTE DECISÃO

VIGÊNCIA E RENOVAÇÃO DA PRESENTE DECISÃO

| (172) | Há que ter em conta que, com o fim do período de transição previsto pelo Acordo de Saída e logo que a disposição provisória constante do artigo 782.o do Acordo de Comércio e Cooperação UE-Reino Unido deixe de ser aplicável, o Reino Unido administrará, aplicará e fará cumprir um novo regime de proteção de dados em comparação com o que estava em vigor quando estava vinculado pelo direito da União Europeia. Tal pode envolver, nomeadamente, alterações ou modificações do quadro de proteção de dados avaliado na presente decisão, bem como outros desenvolvimentos pertinentes. |
| --- | --- |

(172)

Há que ter em conta que, com o fim do período de transição previsto pelo Acordo de Saída e logo que a disposição provisória constante do artigo 782.o do Acordo de Comércio e Cooperação UE-Reino Unido deixe de ser aplicável, o Reino Unido administrará, aplicará e fará cumprir um novo regime de proteção de dados em comparação com o que estava em vigor quando estava vinculado pelo direito da União Europeia. Tal pode envolver, nomeadamente, alterações ou modificações do quadro de proteção de dados avaliado na presente decisão, bem como outros desenvolvimentos pertinentes.

o

| (173) | Por conseguinte, convém prever que a presente decisão seja aplicável por um período de quatro anos a partir da sua entrada em vigor. |
| --- | --- |

(173)

Por conseguinte, convém prever que a presente decisão seja aplicável por um período de quatro anos a partir da sua entrada em vigor.

| (174) | Se, em particular, as informações resultantes do controlo da presente decisão revelarem que as conclusões relativas à adequação do nível de proteção assegurado no Reino Unido continuam a justificar-se de facto e de direito, a Comissão deve, o mais tardar seis meses antes de a presente decisão deixar de ser aplicável, dar início ao procedimento de alteração da presente decisão, ampliando o seu âmbito de aplicação temporal, em princípio, por um período adicional de quatro anos. Qualquer ato de execução que altere a presente decisão deve ser adotado em conformidade com o procedimento referido no artigo 58.o, n.o 2, do Regulamento (UE) 2016/680. |
| --- | --- |

(174)

Se, em particular, as informações resultantes do controlo da presente decisão revelarem que as conclusões relativas à adequação do nível de proteção assegurado no Reino Unido continuam a justificar-se de facto e de direito, a Comissão deve, o mais tardar seis meses antes de a presente decisão deixar de ser aplicável, dar início ao procedimento de alteração da presente decisão, ampliando o seu âmbito de aplicação temporal, em princípio, por um período adicional de quatro anos. Qualquer ato de execução que altere a presente decisão deve ser adotado em conformidade com o procedimento referido no artigo 58.o, n.o 2, do Regulamento (UE) 2016/680.

o

o

7.   CONSIDERAÇÕES FINAIS

CONSIDERAÇÕES FINAIS

| (175) | O Comité Europeu para a Proteção de Dados publicou o seu parecer (271), que foi tido em conta na elaboração da presente decisão. |
| --- | --- |

(175)

O Comité Europeu para a Proteção de Dados publicou o seu parecer (271), que foi tido em conta na elaboração da presente decisão.

271

| (176) | As medidas previstas na presente decisão estão em conformidade com o parecer do comité criado ao abrigo do artigo 58.o da Diretiva (UE) 2016/680. |
| --- | --- |

(176)

As medidas previstas na presente decisão estão em conformidade com o parecer do comité criado ao abrigo do artigo 58.o da Diretiva (UE) 2016/680.

o

| (177) | Nos termos do artigo 6.o-A do Protocolo n.o 21 relativo à posição do Reino Unido e da Irlanda em relação ao espaço de liberdade, segurança e justiça, anexo ao TUE e ao TFUE, a Irlanda não fica vinculada pelas regras estabelecidas na Diretiva (UE) 2016/680, e, por conseguinte, pela presente decisão de execução, que digam respeito ao tratamento de dados pessoais pelos Estados-Membros no exercício de atividades relativas à aplicação da parte III, título V, capítulo 4 ou 5, do TFUE, caso a Irlanda não esteja vinculada por regras que regem as formas de cooperação judiciária em matéria penal ou de cooperação policial no âmbito das quais devem ser observadas as disposições definidas com base no artigo 16.o do TFUE. Além disso, em virtude da Decisão de Execução (UE) 2020/1745 do Conselho (272), a Diretiva (UE) 2016/680 entra em vigor e é aplicada a título provisório na Irlanda a partir de 1 de janeiro de 2021. Por conseguinte, a Irlanda fica vinculada pela presente decisão de execução, nas condições previstas para a aplicação da Diretiva (UE) 2016/680 na Irlanda em conformidade com a Decisão de Execução (UE) 2020/1745, no que respeita ao acervo de Schengen em que participa. |
| --- | --- |

(177)

Nos termos do artigo 6.o-A do Protocolo n.o 21 relativo à posição do Reino Unido e da Irlanda em relação ao espaço de liberdade, segurança e justiça, anexo ao TUE e ao TFUE, a Irlanda não fica vinculada pelas regras estabelecidas na Diretiva (UE) 2016/680, e, por conseguinte, pela presente decisão de execução, que digam respeito ao tratamento de dados pessoais pelos Estados-Membros no exercício de atividades relativas à aplicação da parte III, título V, capítulo 4 ou 5, do TFUE, caso a Irlanda não esteja vinculada por regras que regem as formas de cooperação judiciária em matéria penal ou de cooperação policial no âmbito das quais devem ser observadas as disposições definidas com base no artigo 16.o do TFUE. Além disso, em virtude da Decisão de Execução (UE) 2020/1745 do Conselho (272), a Diretiva (UE) 2016/680 entra em vigor e é aplicada a título provisório na Irlanda a partir de 1 de janeiro de 2021. Por conseguinte, a Irlanda fica vinculada pela presente decisão de execução, nas condições previstas para a aplicação da Diretiva (UE) 2016/680 na Irlanda em conformidade com a Decisão de Execução (UE) 2020/1745, no que respeita ao acervo de Schengen em que participa.

o

o

o

272

| (178) | Nos termos dos artigos 2.o e 2.°-A do Protocolo n.o 22 relativo à posição da Dinamarca, anexo ao Tratado da União Europeia e ao Tratado sobre o Funcionamento da União Europeia, a Dinamarca não fica vinculada nem sujeita à aplicação das regras estabelecidas na Diretiva (UE) 2016/680, e, por conseguinte, à presente decisão de execução, que digam respeito ao tratamento de dados pessoais pelos Estados-Membros no exercício de atividades abrangidas pelo âmbito de aplicação da parte III, título V, capítulo 4 ou 5, do TFUE. Contudo, uma vez que a Diretiva (UE) 2016/680 se baseia no acervo de Schengen, a Dinamarca, em conformidade com artigo 4.o do referido protocolo, notificou, em 26 de outubro de 2016, a sua decisão de transpor a Diretiva (UE) 2016/680. Por conseguinte, a Dinamarca fica vinculada, por força do direito internacional, a dar execução à presente decisão de execução. |
| --- | --- |

(178)

Nos termos dos artigos 2.o e 2.°-A do Protocolo n.o 22 relativo à posição da Dinamarca, anexo ao Tratado da União Europeia e ao Tratado sobre o Funcionamento da União Europeia, a Dinamarca não fica vinculada nem sujeita à aplicação das regras estabelecidas na Diretiva (UE) 2016/680, e, por conseguinte, à presente decisão de execução, que digam respeito ao tratamento de dados pessoais pelos Estados-Membros no exercício de atividades abrangidas pelo âmbito de aplicação da parte III, título V, capítulo 4 ou 5, do TFUE. Contudo, uma vez que a Diretiva (UE) 2016/680 se baseia no acervo de Schengen, a Dinamarca, em conformidade com artigo 4.o do referido protocolo, notificou, em 26 de outubro de 2016, a sua decisão de transpor a Diretiva (UE) 2016/680. Por conseguinte, a Dinamarca fica vinculada, por força do direito internacional, a dar execução à presente decisão de execução.

o

o

o

| (179) | No que diz respeito à Islândia e à Noruega, a presente decisão de execução constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do acordo celebrado entre o Conselho da União Europeia e a Islândia e o Reino da Noruega relativo à associação destes Estados à execução, à aplicação e ao desenvolvimento do acervo de Schengen (273). |
| --- | --- |

(179)

No que diz respeito à Islândia e à Noruega, a presente decisão de execução constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do acordo celebrado entre o Conselho da União Europeia e a Islândia e o Reino da Noruega relativo à associação destes Estados à execução, à aplicação e ao desenvolvimento do acervo de Schengen (273).

273

| (180) | No que diz respeito à Suíça, a presente decisão de execução constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen (274). |
| --- | --- |

(180)

No que diz respeito à Suíça, a presente decisão de execução constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen (274).

274

| (181) | No que diz respeito ao Listenstaine, a presente decisão de execução constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Protocolo entre a União Europeia, a Comunidade Europeia, a Confederação Suíça e o Principado do Listenstaine relativo à adesão do Principado do Listenstaine ao Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen (275). |
| --- | --- |

(181)

No que diz respeito ao Listenstaine, a presente decisão de execução constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Protocolo entre a União Europeia, a Comunidade Europeia, a Confederação Suíça e o Principado do Listenstaine relativo à adesão do Principado do Listenstaine ao Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen (275).

275

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o

Para efeitos do artigo 36.o da Diretiva (UE) 2016/680, o Reino Unido assegura um nível de proteção adequado dos dados pessoais transferidos da União Europeia para as autoridades públicas do Reino Unido responsáveis pela prevenção, investigação, deteção ou repressão de infrações penais e pela execução de sanções penais.

Artigo 2.o

Sempre que, para efeitos de proteção das pessoas singulares no que se refere ao tratamento dos seus dados pessoais, as autoridades de supervisão competentes dos Estados-Membros exerçam as suas competências, nos termos do artigo 47.o da Diretiva (UE) 2016/680, no que respeita às transferências de dados pessoais para autoridades públicas no Reino Unido dentro do âmbito de aplicação previsto no artigo 1.o, o Estado-Membro em causa deve informar de imediato a Comissão.

Artigo 3.o

1.   A Comissão deve garantir o controlo contínuo da aplicação do quadro jurídico em que assenta a presente decisão, nomeadamente as condições em que se procede a transferências ulteriores e as condições em que os direitos individuais são exercidos, por forma a avaliar se o Reino Unido continua a assegurar um nível de proteção adequado na aceção do artigo 1.o.

2.   Os Estados-Membros e a Comissão devem comunicar-se reciprocamente os casos em que o comissário para a informação, ou qualquer outra autoridade britânica competente, deixe de cumprir o quadro jurídico em que a presente decisão assenta.

3.   Os Estados-Membros e a Comissão devem comunicar-se reciprocamente quaisquer informações relativas a indícios de que a ingerência das autoridades públicas britânicas no direito das pessoas singulares à proteção dos seus dados pessoais excede o estritamente necessário ou de que não existe uma proteção jurídica eficaz contra tal ingerência.

4.   Se tomar conhecimento de quaisquer indícios de que deixou de ser assegurado um nível de proteção adequado, a Comissão deve informar desse facto as autoridades competentes do Reino Unido e pode suspender, revogar ou alterar a presente decisão.

5.   The Commission may suspend, repeal or amend this Decision if the lack of cooperation of the government of the United Kingdom prevents the Commission from determining whether the finding in Article 1 is affected.

Artigo 4.o

A presente decisão caduca em 27 de junho de 2025, a menos que seja prorrogada nos termos do procedimento referido no artigo 58.o, n.o 2, da Diretiva (UE) 2016/680.

Artigo 5.o

Os destinatários da presente decisão são os Estados-Membros.

Feito em Bruxelas, em 28 de junho de 2021.

Pela Comissão

Didier REYNDERS

Membro da Comissão

---

(1)  
  JO L 119 de 4.5.2016, p. 89.

1

(2)  Ver considerando 64 da Diretiva (UE) 2016/680.

2

(3)  Ver, mais recentemente, o processo C-311/18, Maximilian Schrems/Data Protection Commissioner («Schrems II») ECLI:EU:C:2020:559.

3

(4)  Ver Recommendations 01/2021 on the adequacy referential under the Law Enforcement Directive (Recomendações 01/2021 a respeito do documento de referência relativo à adequação nos termos da Diretiva Proteção de Dados na Aplicação da Lei), adotadas em fevereiro de 2021, disponíveis na seguinte ligação: https://edpb.europa.eu/our-work-tools/general-guidance/police-justice-guidelines-recommendations-best-practices_pt

4

Recommendations 01/2021 on the adequacy referential under the Law Enforcement Directive

(5)  Processo C-362/14, Maximillian Schrems/Data Protection Commissioner («Schrems»), ECLI:EU:C:2015:650, n.o 73.

5

o

(6)  Schrems, n.o 74.

6

o

(7)  Ver Comunicação da Comissão ao Parlamento Europeu e ao Conselho, Intercâmbio e proteção de dados pessoais num mundo globalizado, COM(2017) 7, de 10.1.2017, secção 3.1, p. 6-7, disponível na seguinte ligação: https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:52017DC0007&from=EN

7

(8)  
  Data Protection Act 2018, disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/2018/12/contents

8

Data Protection Act 2018

(9)  
  UK Explanatory Framework for Adequacy Discussions, Section F: Law enforcement, (Quadro explicativo do Reino Unido para as conversações em matéria de adequação, secção F: Aplicação da lei), disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872237/F_-_Law_Enforcement_.pdf

9

UK Explanatory Framework for Adequacy Discussions, Section F: Law enforcement

(10)  Os princípios da Convenção 108 foram inicialmente integrados no direito do Reino Unido por meio do Data Protection Act of 1984 (Lei de 1984 relativa à Proteção de Dados), que foi substituído pelo DPA 1998, que, por sua vez, foi substituído pelo DPA 2018 (lido em conjugação com o RGPD do Reino Unido). Em 2018, o Reino Unido assinou igualmente o Protocolo que altera a Convenção para a Proteção das Pessoas relativamente ao Tratamento Automatizado de Dados de Caráter Pessoal (designado por «Convenção 108+») e encontra-se atualmente em processo de ratificação da convenção.

10

Data Protection Act of 1984

(11)  Artigos 6.o e 8.° da CEDH (ver igualmente schedule 1 do Human Rights Act 1998).

11

o

schedule 1

Human Rights Act 1998

(12)  
  Section 6 do Human Rights Act 1998.

12

Section 6

Human Rights Act 1998

(13)  
  Section 3 do Human Rights Act 1998.

13

Section 3

Human Rights Act 1998

(14)  Acordo sobre a saída do Reino Unido da Grã-Bretanha e da Irlanda do Norte da União Europeia e da Comunidade Europeia da Energia Atómica, 2019/C 384 I/01, XT/21054/2019/INIT (JO C 384 I de 12.11.2019, p. 1) («Acordo de Saída» ou «WA»), disponível na seguinte ligação: https://eur-lex.europa.eu/legal-content/PT/TXT/PDF/?uri=CELEX:12019W/TXT(02)&from=PT

14

(15)  
  European Union (Withdrawal) Act 2018, disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/2018/16/contents

15

European Union (Withdrawal) Act 2018

(16)  
  Data Protection Act 2018, disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/2018/12/contents

16

Data Protection Act 2018

(17)  
  Section 6 do EUWA 2018.

17

Section 6

(18)  
  Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019, disponíveis na seguinte ligação: https://www.legislation.gov.uk/uksi/2019/419/contents/made, com a redação que lhe foi dada pelo DPPEC 2020, disponível na seguinte ligação: https://www.legislation.gov.uk/ukdsi/2020/9780348213522

18

Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019

(19)  O regulamento sobre a saída efetua um conjunto de alterações à parte 3 do DPA 2018. Muitas delas são alterações técnicas, como a supressão de referências ao «Estado-Membro» ou à «Diretiva Proteção de Dados na Aplicação da Lei» [ver, por exemplo, section 48(8) ou section 73(5)(a) do DPA 2018], substituindo-as por «direito interno», para que a parte 3 funcione efetivamente como direito interno após o fim do período de transição. Nalgumas partes, foi necessário outro tipo de alterações, por exemplo, no que respeita a «quem» adota «decisões de adequação» para efeitos do quadro jurídico do Reino Unido em matéria de proteção de dados (ver section 74A do DPA 2018), ou seja, o ministro da tutela em vez da Comissão Europeia.

19

section 48(8)

section 73(5)(a)

section 74A

(20)  Para uma explicação mais pormenorizada sobre as forças policiais e os respetivos poderes no Reino Unido, ver: UK Explanatory Framework for Adequacy Discussions, Section F: Law Enforcement (ver nota de rodapé 9).

20

UK Explanatory Framework for Adequacy Discussions, Section F: Law Enforcement

(21)  
  Code of Practice for the Principles and Standards of Professional Behaviour for the Policing Profession of England and Wales (código de boas práticas para os princípios e as normas de comportamento profissional da profissão policial na Inglaterra e no País de Gales), disponível na seguinte ligação: https://www.college.police.uk/What-we-do/Ethics/Documents/Code_of_Ethics.pdf; Police Service Northern Ireland Code of Ethic (código deontológico dos serviços policiais da Irlanda do Norte), disponível na seguinte ligação: https://www.nipolicingboard.org.uk/psni-code-ethics; Code of Ethic for policing in Scotland (código deontológico da polícia na Escócia), disponível na seguinte ligação: https://www.scotland.police.uk/about-us/code-of-ethics-for-policing-in-scotland/

21

Code of Practice for the Principles and Standards of Professional Behaviour for the Policing Profession of England and Wales

Police Service Northern Ireland Code of Ethic

Code of Ethic for policing in Scotland

(22)  
  Code of Practice on the Management of Police Information, disponível na seguinte ligação: http://library.college.police.uk/docs/APPref/Management-of-Police-Information.pdf

22

Code of Practice on the Management of Police Information

(23)  
  Police Act 1996, disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/1996/16/contents

23

Police Act 1996

(24)  Códigos de boas práticas do Police and Criminal Evidence Act 1984 (PACE), disponíveis na seguinte ligação: https://www.gov.uk/guidance/police-and-criminal-evidence-act-1984-pace-codes-of-practice.

24

Police and Criminal Evidence Act 1984

(25)  
  Police and Criminal Evidence Act 1984, disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/1984/60/contents

25

Police and Criminal Evidence Act 1984

(26)  
  Code of Practice on the Management of Police Information, disponível na seguinte ligação: https://www.app.college.police.uk/app-content/information-management/management-of-police-information/

26

Code of Practice on the Management of Police Information

(27)  
  Data Protection Manual for Police Data Protection Professionals (manual de proteção de dados para os profissionais de proteção dos dados policiais), disponível na seguinte ligação: https://www.npcc.police.uk/2019%20FOI/IMORCC/225%2019%20NPCC%20DP%20Manual%20Draft%200.11%20Mar%202019.pdf

27

Data Protection Manual for Police Data Protection Professionals

(28)  Por exemplo, o código de boas práticas MoPI (ver nota de rodapé 22) aplica-se à retenção de informações policiais operacionais [ver considerando 47 da presente decisão].

28

(29)  De acordo com as informações prestadas pelas autoridades do Reino Unido, durante o período de conversações sobre a adequação, o College of Policing encontrava-se a elaborar um projeto de código de prática para a gestão da informação e dos registos para substituir o código de boas práticas MoPI. The draft code was published for public consultation on 25 January 2021 and is available at following link: https://www.college.police.uk/article/information-records-management-consultation

29

College of Policing

(30)  No processo R./the Commission of Police of the Metropolis [2014] EWCA Civ 585, o estatuto legal do código de boas práticas MoPI foi confirmado, tendo o Lorde de Recurso Ordinário (Lord Justice) John Laws declarado que o Comissário da Polícia Metropolitana estava obrigado a ter em conta o código de boas práticas MoPI e as orientações de PPA para a gestão da informação policial em conformidade com a section 39A do Police Act 1996.

30

Lord Justice

section 39A

Police Act 1996

(31)  A polícia é inspecionada quanto ao cumprimento do código de boas práticas MoPI por parte do (Inspeção Real dos Serviços Policiais e de Bombeiros e Salvamento) (HMICFRS).

31

(32)  Ver, a este respeito, a posição do College of Policing sobre o cumprimento das orientações de PPA em todos os elementos do policiamento, que explica que a «PPA é autorizada pelo organismo profissional para a polícia (o College of Policing) enquanto fonte oficial da prática profissional em matéria de policiamento. Espera-se que os agentes de segurança e pessoal policial tenham em conta a PPA no exercício das suas responsabilidades. No entanto, podem surgir circunstâncias em que existem motivos operacionais legítimos para que a força policial divirja das orientações de PPA, contanto que haja uma lógica clara para tal. Por conseguinte, caberia à força policial assumir a responsabilidade por qualquer risco local e nacional decorrente de um funcionamento que não se enquadra nas orientações acordadas a nível nacional, sendo a força policial responsável por qualquer risco se, consequentemente, ocorrer um incidente ou for efetuada uma investigação», disponível na seguinte ligação https://www.app.college.police.uk/faq-page/

32

College of Policing

College of Policing

(33)  
  Guide to Law Enforcement Processing (guia para o tratamento de dados na aplicação da lei), disponível na seguinte ligação: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/

33

Guide to Law Enforcement Processing

(34)  Ver processo Bridges/the Chief Constable of South Wales Police [2019] EWHC 2341 (Admin) em que, embora tome nota da natureza não vinculativa das orientações do comissário, o High Court (Tribunal Superior) afirmou que «[a]o considerar se um responsável pelo tratamento de dados cumpriu a obrigação constante da section 64 [realizar uma avaliação de impacto sobre a proteção de dados em relação ao tratamento de elevado risco], os tribunais terão em conta as orientações publicadas pelo comissário para a informação no que respeita às avaliações de impacto sobre a proteção de dados».

34

High Court

section 64

(35)  Nomeadamente, o schedule 7 do DPA 2018 enuncia os diretores do Ministério Público, o diretor do Ministério Público da Irlanda do Norte e o comissário para a informação.

35

schedule 7

(36)  
  Section 43(3) do DPA 2018.

36

Section 43(3)

(37)  
  Section 30(3) do DPA 2018. Os serviços de informações (o Secret Intelligence Service, o Security Service e o quartel-general de comunicações do governo) não são autoridades competentes [ver section 30(2) do DPA 2018], não se aplicando a parte 3 do DPA 2018 a nenhuma das suas atividades. As suas atividades são abrangidas pelo âmbito de aplicação da parte 4 do DPA 2018.

37

Section 30(3)

Secret Intelligence Service

Security Service

section 30(2)

(38)  
  Section 31 do DPA 2018.

38

Section 31

(39)  Tal significa que o DPA de 2018 e, por conseguinte, a presente decisão não são aplicáveis às dependências da Coroa do Reino Unido e a outros territórios ultramarinos do Reino Unido, como, por exemplo, as Ilhas Falkland e o território de Gibraltar.

39

(40)  Os dados pessoais relativos a pessoas falecidas não são abrangidos pelo âmbito de aplicação do DPA 2018.

40

(41)  
  Section 35(8) do DPA 2018.

41

Section 35(8)

(42)  Por «dados biométricos» entende-se os dados pessoais resultantes de um tratamento técnico específico relativo às características físicas, fisiológicas ou comportamentais de uma pessoa que permitem ou confirmam a identificação única dessa pessoa, nomeadamente imagens faciais ou dados dactiloscópicos.

42

(43)  Por «dados relativos à saúde» entende-se os dados pessoais relacionados com a saúde física ou mental de uma pessoa, incluindo a prestação de serviços de saúde, que revelem informações sobre o seu estado de saúde.

43

(44)  Por «dados genéticos» entende-se os dados pessoais relativos às características genéticas, hereditárias ou adquiridas, de uma pessoa que deem informações únicas sobre a fisiologia ou a saúde dessa pessoa e que resultem designadamente de uma análise de uma amostra biológica proveniente da pessoa singular em causa.

44

(45)  Notas explicativas do DPA 2018, n.o 181, disponível no seguinte endereço: https://www.legislation.gov.uk/ukpga/2018/12/pdfs/ukpgaen_20180012_en.pdf

45

o

(46)  A National Crime Agency, por exemplo, deriva os seus poderes do Crime and Courts Act 2013 (Lei de 2013 relativa à Criminalidade e aos Tribunais), disponível na seguinte ligação https://www.legislation.gov.uk/ukpga/2013/22/contents. De modo semelhante, os poderes da Food Standards Agency (Agência para as Normas Alimentares) estão previstos no Food Standards Act 1999 (Lei de 1999 relativa às Normas Alimentares), disponível na seguinte ligação https://www.legislation.gov.uk/ukpga/1999/28/contents. A título de exemplo, pode-se referir o Prosecution of Offenders Act 1985 (Lei de 1985 relativa ao Exercício da Ação Penal contra Infratores), que criou o Crown Prosecution Service (Ministério Público) (ver https://www.legislation.gov.uk/ukpga/1985/23/contents); o Commissioners for Revenue and Customs Act 2005 (Lei de 2005 relativa aos Comissários para a Fiscalidade e as Alfândegas), que estabelece o Her Majesty’s Revenue and Customs (ver https://www.legislation.gov.uk/ukpga/2005/11/contents); o Criminal Procedure (Scotland) Act 1995 [Lei de 1995 (da Escócia) relativa ao Processo Penal], que criou a Scottish Criminal Cases Review Commission (Comissão Escocesa para a Investigação de Infrações Penais) (ver https://www.legislation.gov.uk/ukpga/1995/46/contents); o Justice (Northern Ireland) Act 2002 [Lei de 2002 (da Irlanda do Norte) relativa à Justiça], que criou o Public Prosecution Service (Ministério Público) na Irlanda do Norte (ver https://www.legislation.gov.uk/ukpga/2002/26/contents) e o Serious Fraud Office (Serviço para as Fraudes Graves) foi criado pelo Criminal Justice Act 1987 (Lei de 1987 relativa à Justiça Penal), que lhe conferiu os poderes (ver https://www.legislation.gov.uk/ukpga/1987/38/contents).

46

National Crime Agency

Crime and Courts Act 2013

Food Standards Agency

Food Standards Act 1999

Prosecution of Offenders Act 1985

Crown Prosecution Service

Commissioners for Revenue and Customs Act 2005

Her Majesty’s Revenue and Customs

Criminal Procedure (Scotland) Act 1995

Scottish Criminal Cases Review Commission

Justice (Northern Ireland) Act 2002

Public Prosecution Service

Serious Fraud Office

Criminal Justice Act 1987

(47)  Por exemplo, de acordo com as informações prestadas pelas autoridades do Reino Unido, no Crown Office and Procurator Fiscal Service (Ministério Público), responsável pela ação penal em processos na Escócia, o Procurador-Geral (Lord Advocate), que é o dirigente do sistema de ação penal na Escócia, deriva da jurisprudência os seus poderes de investigação de mortes e exercício da ação penal, ao passo que algumas das suas funções são estabelecidas por lei. Além disso, a Coroa e, por extensão, diversos governos, departamentos e ministros também derivam os seus poderes de uma combinação de legislação, jurisprudência e prerrogativa real (poderes consuetudinários conferidos à Coroa, mas exercidos por ministros).

47

Crown Office and Procurator Fiscal Service

Lord Advocate

(48)  
  UK Explanatory Framework for Adequacy Discussions, Section F: Law Enforcement, p. 8 (ver nota de rodapé 9).

48

UK Explanatory Framework for Adequacy Discussions, Section F: Law Enforcement

(49)  Os principais atos legislativos que estabelecem o regime dos principais poderes policiais (detenção, busca, autorização da prorrogação da detenção, recolha de impressões digitais, recolha de amostras íntimas, interceção por mandado, acesso a dados de comunicação) são: i) para a Inglaterra e o País de Gales, o Police and Criminal Evidence Act 1984 (PACE), disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/1984/60/contents (com a redação que lhe foi dada pelo Protection of Freedoms Act 2012 (Lei de 2012 relativa à Proteção das Liberdades) (PoFA), disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/2012/9/contents) e o Investigatory Powers Act 2016 (Lei de 2016 relativa aos Poderes de Investigação) (IPA), disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/2016/25/contents), ii) para a Escócia, o Criminal Justice (Scotland) Act 2016 [Lei de 2016 (da Escócia) relativa à Justiça Penal], disponível na seguinte ligação: https://www.legislation.gov.uk/asp/2016/1/contents e o Criminal Procedure (Scotland) Act 1995, disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/1995/46/contents), iii) para a Irlanda do Norte, o Police and Criminal Evidence (Northern Ireland) Order 1989 [Decreto de 1989 (da Irlanda do Norte) relativo à polícia e aos meios de prova penal], disponível na seguinte ligação: https://www.legislation.gov.uk/nisi/1989/1341/contents

49

Police and Criminal Evidence Act 1984

Protection of Freedoms Act 2012

Investigatory Powers Act 2016

Criminal Justice (Scotland) Act 2016

Criminal Procedure (Scotland) Act 1995

Police and Criminal Evidence (Northern Ireland) Order 1989

(50)  As autoridades do Reino Unido explicaram que o princípio da supremacia das disposições legislativas já se encontra há muito estabelecido no Reino Unido, remontando ao acórdão proferido no processo Entick/Carrington [1765] EWHC KB J98, que reconheceu que existem limites ao exercício dos poderes do executivo e estabeleceu o princípio da subordinação dos poderes decorrentes da jurisprudência e de prerrogativa do monarca e do governo à legislação do país.

50

(51)  Ver processo Rice/Connolly [1966] 2 QB 414.

51

(52)  Ver processo R(Catt)/Association of Chief police Officers [2015] AC 1065, em que, no que respeita ao poder policial para obter e conservar informações de uma pessoa singular (que cometeu uma infração penal), Lorde Jonathan Sumption considerou que, ao abrigo da jurisprudência, a polícia tem o poder de obter e conservar informação para fins policiais, ou seja, em termos gerais, para a manutenção da ordem pública e a prevenção e deteção da criminalidade. Estes poderes não permitem métodos intrusivos de obtenção de informação, como a entrada em propriedade privada ou atos (que não a detenção ao abrigo dos poderes decorrentes da jurisprudência) que constituam uma agressão. O juiz considerou que, neste caso, os poderes decorrentes da jurisprudência eram suficientes para permitir a obtenção e a conservação do tipo de informação pública em causa nestes recursos.

52

(53)  
  Equality Act 2010, disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/2010/15/contents

53

Equality Act 2010

(54)  Para um exemplo de um processo em que os poderes da polícia decorrentes da jurisprudência são analisados no quadro do DPA 1998, ver a decisão do High Court no processo Bridges/the Chief Constable of South Wales Police (ver nota de rodapé 33). Ver, igualmente, os processos Vidal-Hall/Google Inc. [2015] EWCA Civ 311 e Richard/BBC [2018] EWHC 1837 (Ch).

54

High Court

Vidal-Hall/Google Inc.

Richard/BBC

(55)  Ver, por exemplo, a orientação do Police Service of Northern Ireland constante das instruções de serviço sobre a gestão de registos, disponível na seguinte ligação: https://www.psni.police.uk/globalassets/advice--information/our-publications/policies-and-service-procedures/records-management-080819.pdf

55

Police Service of Northern Ireland

(56)  A Câmara dos Comuns publicou um documento informativo que explica os principais poderes policiais decorrentes da jurisprudência e da legislação na Inglaterra e no País de Gales (ver https://researchbriefings.files.uk/documents/CBP-8637/CBP-8637.pdf). De acordo com este documento, por exemplo, não obstante o facto de os poderes de manutenção «da paz do Reino» derivarem da jurisprudência, bem como «o uso da força», «os poderes para parar e revistar» derivam sempre da legislação. Além disso, o Governo escocês proporciona informações no seu sítio Web sobre os poderes policiais de detenção e para parar e revistar (ver https://www.gov.scot/policies/police/police-powers/).

56

(57)  De acordo com a informação prestada pelas autoridades do Reino Unido, os poderes de prerrogativa exercidos pelo governo incluem, por exemplo, a celebração e ratificação de tratados, a diplomacia, o uso das forças armadas no Reino Unido para manter a paz em apoio da polícia.

57

(58)  A este respeito, ver a avaliação do regime de transferência ulterior do Reino Unido nos considerandos (74)-(87).

58

(59)  Ver processo Bancoult/Secretary of State for Foreign and Commonwealth Affairs [2008] UKHL 61, em que os tribunais consideraram que o poder de prerrogativa de elaborar decretos-lei estava igualmente sujeito aos fundamentos ordinários da fiscalização jurisdicional.

59

(60)  Ver processo Attorney-General/De Keyser’s Royal Hotel Ltd [1920] AC 508, em que o tribunal considerou que os poderes de prerrogativa não podem ser utilizados quando existem poderes legais que os substituem; processo Laker Airways Ltd/Department of Trade [1977] QB 643, em que o tribunal considerou que os poderes de prerrogativa não podem ser utilizados para frustrar a legislação; processo R/Secretary of State for the Home Department, ex p. Fire Brigades Union [1995] UKHL 3, em que o tribunal considerou que os poderes de prerrogativa não podem ser utilizados quando contrariam legislação promulgada, mesmo que a referida legislação ainda não tenha entrado em vigor; processo R (Miller)/Secretary of State for Exiting the European Union [2017] UKSC 5, em que o tribunal confirmou a capacidade de ajustar e abolir por lei os poderes de prerrogativa. Para uma visão geral da relação entre as prerrogativas reais e os poderes decorrentes da legislação ou da jurisprudência, ver o artigo informativo da Câmara dos Comuns, disponível na seguinte ligação: https://researchbriefings.files.parliament.uk/documents/SN03861/SN03861.pdf

60

Laker Airways Ltd/Department of Trade

R/Secretary of State for the Home Department, ex p. Fire Brigades Union

R (Miller)/Secretary of State for Exiting the European Union

(61)  
  Guide to Law Enforcement Processing, «What is the first principle about?»
  (guia para o tratamento de dados na aplicação da lei, «Qual o seu primeiro princípio?»), disponível na seguinte ligação: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/principles/#ib2

61

Guide to Law Enforcement Processing, «What is the first principle about?»

(62)  Tal decorre do texto da disposição pertinente do DPA 2018, segundo a qual o tratamento de dados pessoais para efeitos de aplicação da lei só é lícito se e na medida em que «estiver previsto na lei» e se a) o titular dos dados tiver dado o seu consentimento ao tratamento para essa finalidade, ou b) o tratamento for necessário ao exercício de funções de uma autoridade competente para essa finalidade.

62

(63)  Ver considerandos 35 e 37 do Regulamento (UE) 2016/680.

63

(64)  As autoridades do Reino Unido explicaram que, por exemplo, uma situação em que o consentimento pode constituir uma base adequada para proceder ao tratamento seria quando a polícia obtém uma amostra de ADN relacionada com uma pessoa desaparecida para compará-la com um corpo que eventualmente seja encontrado. Nestas circunstâncias, seria impróprio que a polícia obrigasse o titular dos dados a fornecer uma amostra. Em vez disso, a polícia solicitaria o consentimento da pessoa, que é livremente dado e pode ser retirado a qualquer momento. Se o consentimento for retirado, os dados não podem ser objeto de tratamento, a menos que se estabeleça uma nova base jurídica para continuar o tratamento da amostra (por exemplo, o titular dos dados tornou-se um suspeito). Poderia surgir uma outra situação, por exemplo, em que a força policial investiga uma infração penal em que a vítima (que pode ser a vítima de um assalto, de um delito sexual ou de violência doméstica, os parentes de uma vítima de homicídio ou outra vítima de infrações penais) beneficiaria de uma referenciação junto da Victim Support (uma organização de beneficência independente dedicada ao apoio às pessoas afetadas pela criminalidade e incidentes traumáticos). Nestas circunstâncias, a polícia apenas partilhará informações pessoais como o nome e os dados de contacto com a Victim Support se obtiverem o consentimento da vítima.

64

(65)  Não existe uma definição independente de «consentimento» para efeitos de tratamento de dados pessoais ao abrigo da parte 3 do DPA 2018. O ICO forneceu orientações sobre a noção de «consentimento» ao abrigo da parte 3 do DPA 2018, esclarecendo que o termo tem o mesmo sentido e deve ser consentâneo com a definição prevista no RGPD, nomeadamente que «o consentimento tem de ser dado de livre vontade e tem de haver uma escolha genuína quanto à aceitação do tratamento dos dados» [Guide to Law Enforcement Processing, «What is the first principle about?»
  (ver nota de rodapé 64) e Guide to Data Protection (guia para a proteção dos dados), na parte relativa ao consentimento, disponível na seguinte ligação: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/lawful-basis-for-processing/consent/).

65

Guide to Law Enforcement Processing, «What is the first principle about?»

Guide to Data Protection

(66)  Ver, por exemplo, as informações constantes da página Web da polícia de Lincolnshire (ver https://www.lincs.police.uk/resource-library/data-protection/law-enforcement-processing/) ou na página Web da polícia de West Yorkshire (https://www.westyorkshire.police.uk/sites/default/files/2018-06/data_protection.pdf).

66

(67)  
  Section 35(8) do DPA 2018.

67

Section 35(8)

(68)  
  Section 35(4) do DPA 2018.

68

Section 35(4)

(69)  
  Section 35(5) do DPA 2018.

69

Section 35(5)

(70)  Por uma questão de exaustividade, afigura-se oportuno referir que, quando o tratamento se baseia no consentimento, este tem de ser dado de livre vontade, específico e informado e tem de haver uma escolha específica quanto à aceitação do tratamento dos dados. Além disso, o responsável pelo tratamento, ao proceder ao tratamento com base no consentimento do titular dos dados, está obrigado a ter um documento de políticas adequado (appropriate policy document, APD). A section 42 do DPA 2018 descreve em termos gerais os requisitos que o APD tem de observar. Torna claro que o documento, no mínimo, tem de explicar os procedimentos do responsável pelo tratamento para assegurar o cumprimento dos princípios da proteção de dados e explicar as políticas do responsável pelo tratamento no que respeita à conservação e ao apagamento de dados pessoais. Nos termos da section 42 do DPA 2018, tal significa que o responsável pelo tratamento tem de elaborar um documento que a) explique os procedimentos do responsável pelo tratamento para garantir o cumprimento dos princípios da proteção de dados; e b) explique as políticas do responsável pelo tratamento em matéria de conservação e apagamento de dados pessoais tratados com base no consentimento do titular dos dados ou que dê uma indicação do tempo durante o qual os referidos dados pessoais são provavelmente conservados. Mais particularmente, o documento de políticas exige que o responsável pelo tratamento, no cumprimento do seu dever de registo das atividades de tratamento, inclua sempre os elementos mencionados nas alíneas a) e b). O ICO publicou um modelo do referido documento [Guide to Law Enforcement Processing.
  «
  Conditions for sensitive processing»
  (guia para o tratamento de dados na aplicação da lei. «Condições para o tratamento sensível»), disponível na seguinte ligação: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/conditions-for-sensitive-processing) e pode tomar medidas coercivas se os responsáveis pelo tratamento não cumprirem estes requisitos. O APD é também examinado pelos tribunais ao analisarem possíveis violações do DPA 2018. Por exemplo, no recente processo R (Bridges)/Chief Constable of South Wales Police, os tribunais analisaram o APD do responsável pelo tratamento e consideram-no adequado, mas teria sido útil se fosse mais detalhado. Por conseguinte, a polícia de Gales do Sul reviu o APD e atualizou-o em consonância com as novas orientações do ICO (ver nota de rodapé 33). Além disso, em conformidade com a section 42(3) do DPA 2018, o APD deve ser revisto periodicamente pelo responsável pelo tratamento. Por fim, a título de garantia adicional, em conformidade com a section 42(4) do DPA 2018, o responsável pelo tratamento está obrigado a manter um registo alargado das atividades de tratamento, incluindo elementos adicionais em relação à obrigação geral que incumbe ao responsável pelo tratamento no âmbito das atividades de tratamento estabelecida na section 61 do DPA 2018.

70

appropriate policy document

section 42

section 42

Guide to Law Enforcement Processing.

Conditions for sensitive processing»

R (Bridges)/Chief Constable of South Wales Police

section 42(3)

section 42(4)

section 61

(71)  
  Guide to Law Enforcement Processing, «Conditions for sensitive processing»
  (ver nota de rodapé 70).

71

Guide to Law Enforcement Processing, «Conditions for sensitive processing»

(72)  O tratamento sem consentimento do titular dos dados realiza-se se: a) o titular dos dados não puder dar o consentimento para o tratamento; b) não for expectável que o responsável pelo tratamento consiga obter o consentimento do titular dos dados para o tratamento; c) o tratamento tiver de ser realizado sem o consentimento do titular dos dados porquanto a obtenção do consentimento do titular dos dados prejudicaria a prestação da proteção referida no subponto 1, alínea a).

72

(73)  Ver section 41(1) do DPA 2018.

73

section 41(1)

(74)  Ver section 41(2) do DPA 2018.

74

section 41(2)

(75)  Nos termos da section 205 do DPA 2018 por «inexatos» entende-se os dados pessoais «incorretos ou suscetíveis de induzir em erro». As autoridades do Reino Unido explicaram que os dados relacionados com investigações penais são habitualmente incompletos, mas, independentemente desse facto, podem ser exatos.

75

section 205

(76)  
  Section 38(1) do DPA 2018.

76

Section 38(1)

(77)  De acordo com o quadro explicativo do Reino Unido para as conversações em matéria de adequação, «tal assegura o reconhecimento tanto dos direitos dos titulares dos dados como das necessidades operacionais das autoridades de aplicação da lei. O ponto referido acima foi rigorosamente tido em conta durante as fases de elaboração do projeto do Data Protection Bill, uma vez que podem existir motivos operacionais específicos e limitados pelos quais os dados não podem ser retificados. Tal ocorrerá, mais provavelmente, se for necessário preservar os dados pessoais inexatos na sua forma inicial para fins probatórios» (ver UK Explanatory Framework for Adequacy Discussions, Section F: Law Enforcement, p. 21, ver nota de rodapé 9).

77

Data Protection Bill

UK Explanatory Framework for Adequacy Discussions, Section F: Law Enforcement

(78)  
  Section 38(4) do DPA 2018. Além disso, por força da section 38(5) do DPA 2018, é necessário verificar a qualidade dos dados pessoais antes de estes serem transmitidos ou disponibilizados, em todas as transmissões de dados pessoais, é necessário incluir as informações necessárias para que o destinatário possa aferir até que ponto os dados são exatos, completos e fiáveis, e estão atualizados, e é necessário notificar sem demora o destinatário caso se verifique, após a transmissão de dados pessoais, que os dados estavam incorretos ou a transmissão era ilícita.

78

Section 38(4)

section 38(5)

(79)  
  Section 38(2) do DPA 2018.

79

Section 38(2)

(80)  
  Section 38(3) do DPA 2018.

80

Section 38(3)

(81)  Este quadro assegura a coerência na aplicação da conservação dos dados pessoais adquiridos. O período de reavaliação depende das infrações penais, que se dividem em quatro grupos: 1) determinadas questões de proteção pública; 2) outras infrações graves e violentas de natureza sexual; 3) todas as restantes infrações penais; 4) diversas. As orientações de PPA para a gestão da informação policial apresentam informações mais pormenorizadas (ver nota de rodapé 26).

81

(82)  De acordo com as informações fornecidas pelas autoridades do Reino Unido, as outras organizações podem seguir os princípios do código de boas práticas MoPI se o desejarem, por exemplo, o Her Majesty’s Revenue and Customs e a National Crime Agency adotaram voluntariamente muitos dos princípios do código de boas práticas MoPI para assegurar a coerência na aplicação da lei. Em geral, a maioria das organizações fornece a todos os seus funcionários políticas e orientações específicas sobre a melhor forma de tratar os dados pessoais como parte da sua função e adaptadas à organização específica. Em geral, tal inclui igualmente formação obrigatória.

82

Her Majesty’s Revenue and Customs

National Crime Agency

(83)  O código de boas práticas MoPI foi publicado recorrendo aos poderes concedidos ao abrigo do Police Act 1996, que permite que o College of Policing publique códigos de boas práticas relacionados com o funcionamento eficaz do policiamento. Qualquer código de boas práticas elaborado ao abrigo da referida lei tem de ser aprovado pelo ministro da tutela e é objeto de consulta à National Crime Agency antes de ser apresentado ao parlamento. A section 39A(7) do Police Act 1996 exige que a polícia tenha em devida conta os códigos emitidos ao abrigo do Police Act 1996.

83

Police Act 1996

College of Policing

National Crime Agency

section 39A(7)

Police Act 1996

Police Act 1996

(84)  
  PSNI MoPI Handbook, capítulos 1 a 6.

84

PSNI MoPI Handbook

(85)  
  Record Retention Standard Operating Procedure (SOP), disponível na seguinte ligação: https://www.scotland.police.uk/spa-media/nhobty5i/record-retention-sop.pdf

85

Record Retention Standard Operating Procedure

(86)  Para mais informações sobre a gestão de registos, ver as informações relacionadas com o National Records of Scotland (Serviço de Registos da Escócia), disponíveis na seguinte ligação: https://www.nrscotland.gov.uk/record-keeping/records-management

86

National Records of Scotland

(87)  Os períodos de conservação variam conforme a pessoa tenha sido condenada ou não (sections 63I a 63KI do PACE 1984). Por exemplo, no caso de um adulto condenado por infração suscetível de inscrição no registo, as suas impressões digitais e perfil de ADN podem ser conservados por tempo indeterminado [section 63I(2) do PACE 1984], ao passo que a conservação é temporalmente limitada se a pessoa condenada tiver menos de 18 anos, se se tratar de uma infração suscetível de inscrição no registo de «menor gravidade» e se a pessoa nunca tenha sido condenada (section 63K do PACE 1984). A conservação no caso de uma pessoa detida ou acusada, mas não condenada, está temporalmente limitada a três anos (section 63F do PACE 1984). O alargamento deste prazo de conservação tem de ser aprovado por uma autoridade judicial [section 63F(7) do PACE 1984]. No caso de pessoas detidas ou acusadas, mas não condenadas por uma infração de menor gravidade, não é possível conservar informações (sections 63D e 63H do PACE 1984).

87

sections 63I

63KI

section 63I(2)

section 63K

section 63F

section 63F(7)

sections 63D

63H

(88)  A section 20 do PoFA 2012 cria o cargo de comissário biométrico, que, designadamente, decide se a polícia pode ou não conservar os registos dos perfis de ADN e impressões digitais de pessoas detidas, mas não acusadas, por infrações graves (section 63G do PACE 1984). Além disso, o comissário biométrico tem a responsabilidade geral de reavaliar a conservação e utilização de ADN e impressões digitais e a conservação por motivos de segurança nacional [section 20(2), do PoFA 2012]. O comissário biométrico é nomeado ao abrigo do Code for Public Appointments (código para as nomeações públicas) [disponível na seguinte ligação: Governance Code for Public Appointments – GOV.UK (www.gov.uk)]. As condições de nomeação deixam claro que este só pode ser destituído pelo ministro da Administração Interna em circunstâncias rigorosamente definidas, que incluem o incumprimento das suas obrigações durante um período de três meses, a condenação por infração penal ou o incumprimento das condições da sua nomeação.

88

section 20

section 63G

section 20(2)

Code for Public Appointments

Governance Code for Public Appointments

(89)  
  Review of the Use and Retention of Custody Images (estudo sobre a utilização e conservação de imagens recolhidas em detenção), disponível na seguinte ligação: https://www.gov.uk/government/publications/custody-images-review-of-their-use-and-retention

89

Review of the Use and Retention of Custody Images

(90)  
  Section 18 e seguintes do Criminal Procedure (Scotland) Act 1995.

90

Section 18

Criminal Procedure (Scotland) Act 1995

(91)  Os períodos de conservação variam conforme a pessoa tenha sido condenada ou não [section 18(3) do Criminal Procedure (Scotland) Act 1995] ou seja menor ou não. Neste último caso, o período de conservação é de três anos a partir da condenação na audiência do menor [section 18E(8) do Criminal Procedure (Scotland) Act 1995]. Os dados de pessoas detidas, mas não condenadas, não podem ser conservados [section 18(3) do Criminal Procedure (Scotland) Act 1995], salvo em casos específicos dependendo da gravidade da infração penal [section 18A do Criminal Procedure (Scotland) Act 1995]. O Scottish Biometrics Commissioner Act 2020 (Lei de 2020 relativa ao Comissário Biométrico da Escócia) (ver https://www.legislation.gov.uk/asp/2020/8/contents) cria o cargo de comissário biométrico da Escócia, que tem de elaborar e rever os códigos de boas práticas (aprovados pelo parlamento escocês) no que respeita à aquisição, à conservação, à utilização e à destruição de dados biométricos para fins de justiça penal e policiais (section 7 do Scottish Biometrics Commissioner Act 2020).

91

section 18(3)

Criminal Procedure (Scotland) Act 1995

section 18E(8)

Criminal Procedure (Scotland) Act 1995

section 18(3)

Criminal Procedure (Scotland) Act 1995

section 18A

Criminal Procedure (Scotland) Act 1995

Scottish Biometrics Commissioner Act 2020

section 7

Scottish Biometrics Commissioner Act 2020

(92)  De acordo com as notas explicativas do DPA 2018 (ver nota de rodapé 45), o responsável pelo tratamento tem, nomeadamente, de: conceber e organizar a sua segurança de acordo com a natureza dos dados pessoais que detém e os danos que possam resultar de uma violação da segurança; ser claro quanto à pessoa pertencente à sua organização incumbida de assegurar a segurança da informação; garantir que dispõe da devida segurança física e técnica, apoiada por políticas e procedimentos robustos, bem como funcionários bem formados; e estar pronto para dar uma resposta célere e eficaz a qualquer violação da segurança.

92

(93)  N.o 221 das notas explicativas do DPA 2018 (ver nota de rodapé 45).

93

o

(94)  A section 67(4) do DPA 2018 determina que a notificação tem de incluir uma descrição da natureza da violação dos dados pessoais (incluindo, se possível, as categorias e o número aproximado de titulares de dados afetados, e as categorias e o número aproximado de registos de dados pessoais em causa), o nome e os dados de contacto de um ponto de contacto, uma descrição das consequências prováveis da violação de dados pessoais e uma descrição das medidas adotadas ou propostas pelo responsável pelo tratamento para reparar a violação de dados pessoais (incluindo, se for caso disso, medidas para atenuar eventuais efeitos negativos).

94

section 67(4)

(95)  
  Section 67(2) do DPA 2018.

95

Section 67(2)

(96)  
  Section 67(6) do DPA 2018.

96

Section 67(6)

(97)  
  Section 67(9) do DPA 2018.

97

Section 67(9)

(98)  Nos termos da section 68(7) do DPA 2018, o responsável pelo tratamento pode limitar, total ou parcialmente, a prestação de informação ao titular dos dados na medida e enquanto a limitação constitua, tendo em consideração os direitos fundamentais e interesses legítimos do titular dos dados, uma medida necessária e proporcionada para a) evitar prejudicar os inquéritos, as investigações ou os procedimentos judiciais; b) evitar prejudicar a prevenção, a deteção, a investigação ou a repressão de infrações penais, ou a execução de sanções penais; c) proteger a segurança pública; d) proteger a segurança nacional; e) proteger os direitos e liberdades de terceiros.

98

section 68(7)

(99)  
  Section 68(3) do DPA 2018.

99

Section 68(3)

(100)  
  Section 68(5) do DPA 2018.

100

Section 68(5)

(101)  
  Section 68(6) do DPA 2018, sob reserva da limitação prevista na section 68(8) do DPA 2018.

101

Section 68(6)

section 68(8)

(102)  O guia para o tratamento de dados na aplicação da lei dá o seguinte exemplo: «Dispõe uma notificação de privacidade genérica no seu sítio Web que abrange as informações essenciais da organização, a finalidade para a qual trata os dados pessoais, os direitos dos titulares dos dados e o seu direito de apresentar reclamação junto do comissário para a informação. Recebeu informações de que uma pessoa singular estava presente quando ocorreu uma infração penal. Ao interrogar essa pessoa, tem de facultar a informação genérica, bem como informação adicional, para que ela possa exercer os respetivos direitos. Só pode limitar as legítimas informações sobre o tratamento se tal for suscetível de afetar negativamente a investigação que empreende» [Guide to Law Enforcement Processing, «What information should we supply to an individual?»
  (guia para o tratamento de dados na aplicação da lei. «Que informações devemos prestar às pessoas singulares?»], disponível na seguinte ligação: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-to-be-informed/#ib3).

102

Guide to Law Enforcement Processing, «What information should we supply to an individual?»

(103)  Segundo o guia para o tratamento de dados na aplicação da lei, as informações facultadas sobre o tratamento de dados pessoais têm de ser concisas, inteligíveis e de fácil acesso; redigidas em linguagem clara e simples, adaptada às necessidades das pessoas vulneráveis, como as crianças; e gratuitas [Guide to Law Enforcement Processing, «How should we provide this information?»
  (guia para o tratamento de dados na aplicação da lei, «Como devemos prestar essas informações?»), disponível na seguinte ligação: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-to-be-informed/#ib1].

103

Guide to Law Enforcement Processing, «How should we provide this information?»

(104)  
  Section 44(2) do DPA 2018.

104

Section 44(2)

(105)  Para uma análise pormenorizada dos direitos dos titulares ver: Guide to Law Enforcement Processing, na parte relativa aos direitos individuais, disponível na seguinte ligação: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/

105

Guide to Law Enforcement Processing

(106)  
  Section 45(1) do DPA 2018.

106

Section 45(1)

(107)  
  Section 45(2) do DPA 2018.

107

Section 45(2)

(108)  
  Section 46(4) do DPA 2018.

108

Section 46(4)

(109)  Os titulares dos dados podem solicitar ao responsável pelo tratamento que apague os dados pessoais ou limite o seu tratamento (mas os deveres do responsável pelo tratamento de apagar os dados ou limitar o seu tratamento são aplicáveis independentemente de o pedido ter sido apresentado).

109

(110)  
  Sections 46(4) e 47(2) do DPA 2018.

110

Sections 46(4)

47(2)

(111)  
  Section 47(3) do DPA 2018.

111

Section 47(3)

(112)  
  Section 48(1) do DPA 2018.

112

Section 48(1)

(113)  
  Section 48(7) do DPA 2018.

113

Section 48(7)

(114)  
  Section 48(9) do DPA 2018.

114

Section 48(9)

(115)  
  Section 68 do DPA 2018.

115

Section 68

(116)  
  Section 52(1) do DPA 2018.

116

Section 52(1)

(117)  
  Section 52(3) do DPA 2018.

117

Section 52(3)

(118)  Segundo a section 54 do DPA 2018, por «prazo aplicável» entende-se o prazo de um mês, ou outro prazo mais longo especificado nas disposições regulamentares, com início na data pertinente [quando o responsável pelo tratamento recebe o pedido em causa; quando o responsável pelo tratamento recebe as informações solicitadas (caso existam) em relação a um pedido ao abrigo da section 52(4) do DPA; ou quando é paga a taxa cobrada (caso exista) em relação ao pedido ao abrigo da section 53 do DPA].

118

section 54

section 52(4)

section 53

(119)  
  Section 53(1) do DPA 2018.

119

Section 53(1)

(120)  De acordo com a orientação do ICO, o responsável pelo tratamento pode decidir exigir ao titular dos dados o pagamento de taxas se o seu pedido for manifestamente infundado ou excessivo, mas, ainda assim, decidir dar resposta ao mesmo. A taxa tem de ser razoável e justificável em termos de custo. Guide to Law Enforcement Processing, «Manifestly unfounded and excessive requests»
  (guia para o tratamento de dados na aplicação da lei, «Pedidos manifestamente infundados e excessivos», disponível na seguinte ligação: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/manifestly-unfounded-and-excessive-requests/

120

Guide to Law Enforcement Processing, «Manifestly unfounded and excessive requests»

(121)  
  Section 45(4) do DPA 2018.

121

Section 45(4)

(122)  
  Section 44(4) do DPA 2018.

122

Section 44(4)

(123)  
  Section 68(7) do DPA 2018.

123

Section 68(7)

(124)  
  Section 48(3) do DPA 2018.

124

Section 48(3)

(125)  Ver, por exemplo, Guide to Law Enforcement Processing, na parte respeitante ao direito de acesso, disponível na seguinte ligação: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-of-access/#ib8

125

Guide to Law Enforcement Processing

(126)  Ver, por exemplo, Data Protection Manual for Police Data Protection Professionals, emitido pelo National Police Chiefs’ Counsel (ver nota de rodapé 27), ou a orientação publicada pelo Serious Fraud Office, disponível na seguinte ligação: https://www.sfo.gov.uk/publications/guidance-policy-and-protocols/sfo-operational-handbook/data-protection/

126

Data Protection Manual for Police Data Protection Professionals

National Police Chiefs’ Counsel

Serious Fraud Office

(127)  
  Data Protection Manual do National Police Chiefs’ Counsel, p. 140 (ver nota de rodapé 27).

127

Data Protection Manual

National Police Chiefs’ Counsel

(128)  O manual de proteção de dados do National Police Chiefs’ Counsel determina que a finalidade de «evitar prejudicar um inquérito, uma investigação ou um procedimento oficial ou judicial» é suscetível de ter relevância no caso dos dados pessoais tratados em inquéritos, processos do tribunal de família, investigações disciplinares internas em matéria não penal e investigações como a Investigação independente aos abusos sexuais de menores; ao passo que a finalidade de «proteger os direitos e liberdades de terceiros» é pertinente para os dados pessoais relacionados igualmente com outras pessoas e com o requerente» (Data Protection Manual do National Police Chiefs’ Counsel, p. 140, ver nota de rodapé 27).

128

National Police Chiefs’ Counsel

(129)  
  Section 79 do DPA 2018.

129

Section 79

(130)  
  UK Government Guidance on National Security Certificates (orientações do Governo do Reino Unido sobre os certificados de segurança nacional), disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf

130

UK Government Guidance on National Security Certificates

(131)  
  Section 44(5) e (6); Section 45(5) e (6); Section 48(4) do DPA 2018.

131

Section 44(5)

(6)

Section 45(5)

(6)

Section 48(4)

(132)  
  Section 44(7); Section 45(7); Section 48(6) do DPA 2018.

132

Section 44(7)

Section 45(7)

Section 48(6)

(133)  
  Section 51 do DPA 2018.

133

Section 51

(134)  
  Section 167 do DPA 2018.

134

Section 167

(135)  No que respeita ao alcance do tratamento automatizado, as notas explicativas do DPA 2018 determinam que: «estas disposições dizem respeito às decisões totalmente automatizadas e não ao tratamento automatizado. O tratamento automatizado (incluindo a definição de perfis) trata-se de uma operação realizada sobre os dados sem necessidade de intervenção humana. É utilizado com regularidade na aplicação da lei para separar grandes conjuntos de dados em quantidades razoáveis para posterior utilização por um operador humano. As decisões automatizadas são uma forma de tratamento automatizado e exigem que a decisão final seja tomada sem interferência humana». (Notas explicativas do DPA, n.o 204, ver nota de rodapé 45).

135

o

(136)  Para além da proteção prevista no DPA, existem outras limitações legislativas no quadro jurídico do Reino Unido que são aplicáveis às autoridades de aplicação da lei e preveniriam o tratamento automatizado (incluindo a definição de perfis) que resulte na discriminação ilícita. O Human Rights Act 1998 incorpora os direitos da CEDH no direito do Reino Unido, nomeadamente o direito consagrado no artigo 14.o da Convenção, a proibição da discriminação. Analogamente, o Equality Act 2010 proíbe a discriminação contra as pessoas com características protegidas (nomeadamente, o sexo, a raça, a deficiência, etc.).

136

Human Rights Act 1998

o

Equality Act 2010

(137)  
  Section 49(2) do DPA 2018.

137

Section 49(2)

(138)  
  Section 50(4) do DPA 2018.

138

Section 50(4)

(139)  Este novo regime surgiu no fim do período de transição, incluindo o poder concedido ao ministro da tutela para adotar regulamentos de adequação. No entanto, os Regulamentos DPPEC (em particular, o schedule 21, n.os 10 a 12, que este regulamento insere no DPA 2018) determina que determinadas transferências de dados pessoais durante e após o período de transição são tratadas como se se baseassem em regulamentos de adequação. Estas transferências incluem transferências para países terceiros sujeitos a uma decisão de adequação da UE no fim do período de transição e para os Estados-Membros da UE, os Estados da EFTA e o território de Gibraltar em virtude da aplicação da Diretiva Proteção de Dados na Aplicação da Lei ao tratamento de dados para fins de aplicação da lei [os Estados da EFTA aplicam a Diretiva (UE) 2016/680 devido às obrigações que lhes incumbem por força das disposições do acervo de Schengen]. Tal significa que no fim do período de transição as transferências para estes países podem prosseguir tal como antes da saída da UE. Após o fim do período de transição, o ministro da tutela tem de proceder a uma análise destas conclusões de adequação no prazo de quatro anos.

139

schedule 21

os

(140)  
  Sections 73 e 77 do DPA 2018.

140

Sections 73

77

(141)  As autoridades do Reino Unido explicaram que a descrição de um país ou de uma organização internacional diz respeito a uma situação em que seria necessário realizar uma determinação específica e parcial da adequação com limitações específicas (por exemplo, um regulamento de adequação relativo a apenas determinados tipos de transferências de dados).

141

(142)  Ver section 74A(4) do DPA 2018, que determina que, ao avaliar a adequação do nível de proteção «o ministro da tutela tem, em particular, de ter em conta a) o princípio do Estado de direito, o respeito dos direitos humanos e das liberdades fundamentais, a legislação pertinente, tanto geral como setorial, incluindo em matéria de segurança pública, defesa, segurança nacional e de direito penal e o acesso das autoridades públicas aos dados pessoais, bem como a aplicação de tal legislação, regras de proteção de dados, regras profissionais e medidas de segurança, incluindo regras para a transferência ulterior de dados pessoais para outro país terceiro ou organização internacional, que são cumpridas nesse país ou nessa organização internacional, jurisprudência, bem como direitos efetivos e executórios do titular de dados e vias de recurso administrativo e judicial para os titulares de dados cujos dados tenham sido transferidos, b) a existência e funcionamento efetivo de uma ou mais autoridades de controlo independentes no país terceiro ou a que a organização internacional está sujeita, responsável por assegurar o cumprimento das regras de proteção dos dados, incluindo poderes coercivos adequados, para assistir e aconselhar os titulares de dados no exercício dos seus direitos e para cooperar com o comissário, e c) os compromissos internacionais assumidos pelo país terceiro ou pela organização internacional em causa ou outras obrigações decorrentes de convenções ou instrumentos juridicamente vinculativos, bem como da sua participação em sistemas multilaterais ou regionais, em particular no que respeita à proteção dos dados pessoais».

142

section 74A(4)

(143)  Ver o memorando de entendimento entre o ministro dos Assuntos Digitais, da Cultura, dos Meios de Comunicação e do Desporto e o Gabinete do Comissário para a Informação sobre o papel do ICO em relação à nova avaliação da adequação do Reino Unido, disponível na seguinte ligação: https://www.gov.uk/government/publications/memorandum-of-understanding-mou-on-the-role-of-the-ico-in-relation-to-new-uk-adequacy-assessments

143

(144)  Durante este período de 40 dias, ambas as câmaras do parlamento podem votar contra os regulamentos, se assim o desejarem; se a moção for aprovada, em última instância, os regulamentos deixarão de ter efeito jurídico.

144

(145)  
  Section 75 do DPA 2018.

145

Section 75

(146)  Nos termos da section 75(3) do DPA 2018, no caso de uma transferência de dados pessoais dependente de garantias adequadas: a) a transferência tem de ser documentada, b) a documentação tem de ser transmitida ao comissário mediante pedido e c) a documentação tem de incluir, em particular, i) a data e hora de transferência, ii) o nome e quaisquer outras informações pertinentes sobre o destinatário, iii) a justificação da transferência e iv) uma descrição dos dados pessoais transferidos.

146

section 75(3)

(147)  
  Guide to Law Enforcement Processing, «Are there any special circumstances?»
  (guia para o tratamento de dados na aplicação da lei, «Existem circunstâncias especiais?»), disponível na seguinte ligação: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/international-transfers/#ib3).

147

Guide to Law Enforcement Processing, «Are there any special circumstances?»

(148)  
  Section 76 do DPA 2018.

148

Section 76

(149)  
  Section 76 do DPA 2018.

149

Section 76

(150)  
  Section 76(3) do DPA 2018.

150

Section 76(3)

(151)  
  Section 73(5) do DPA 2018.

151

Section 73(5)

(152)  No que respeita à aplicabilidade deste novo quadro, há que lê-lo à luz do artigo 782.o do Acordo de Comércio e Cooperação entre a União Europeia e a Comunidade Europeia da Energia Atómica, por Um Lado, e o Reino Unido da Grã-Bretanha e da Irlanda do Norte, por Outro (JO L 444 de 31.12.2020, p. 14) («Acordo de Comércio e Cooperação UE-Reino Unido»), disponível na seguinte ligação: https://eur-lex.europa.eu/legal-content/PT/TXT/PDF/?uri=CELEX:22020A1231(01)&from=PT

152

o

(153)  
  Section 62 do DPA 2018.

153

Section 62

(154)  
  Section 69 do DPA 2018.

154

Section 69

(155)  Artigo 36.o, n.o 2, alínea b), da Diretiva (UE) 2016/680.

155

o

o

(156)  
  Section 116 do DPA 2018.

156

Section 116

(157)  
  Information Commissioner’s Annual Report and Financial Statements 2019-2020 (Relatório anual e demonstrações financeiras do comissário para a informação), disponível na seguinte ligação: https://ico.org.uk/media/about-the-ico/documents/2618021/annual-report-2019-20-v83-certified.pdf

157

Information Commissioner’s Annual Report and Financial Statements 2019-2020

(158)  A relação entre os dois é regulamentada por um acordo de gestão. Mais particularmente, as responsabilidades principais do Ministério dos Assuntos Digitais, da Cultura, dos Meios de Comunicação e do Desporto, enquanto ministério patrocinador, incluem: garantir que o ICO recebe financiamento e recursos adequados; representar os interesses do ICO junto do parlamento e de outros ministérios; garantir a existência de um quadro nacional de proteção de dados sólido; e dar orientação e apoio ao ICO em questões empresariais, como mercado imobiliário, locações e aquisições (o Acordo de Gestão para 2018-2021 está disponível na seguinte ligação: https://ico.org.uk/media/about-the-ico/documents/2259800/management-agreement-2018-2021.pdf).

158

(159)  Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

159

(160)  
  Governance Code on Public Appointments, disponível na seguinte ligação: https://www.gov.uk/government/publications/governance-code-for-public-appointments

160

Governance Code on Public Appointments

(161)  
  Second Report of Session 2015-2016 (Segundo relatório da sessão de 2015-2016) da Comissão da Cultura, dos Meios de Comunicação e do Desporto da Câmara dos Comuns, disponível na seguinte ligação: https://publications.parliament.uk/pa/cm201516/cmselect/cmcumeds/990/990.pdf

161

Second Report of Session 2015-2016

(162)  Um «comunicado» é uma moção apresentada ao parlamento que procura informar a monarca dos pareceres do parlamento numa determinada questão.

162

(163)  
  Schedule 12, n.o 3, do DPA 2018.

163

Schedule 12

o

(164)  
  Section 137 do DPA 2018.

164

Section 137

(165)  As sections 137 e 138 do DPA 2018 incluem uma série de garantias para assegurar a fixação correta das taxas. Mais particularmente, o artigo 137.o, n.o 4, do DPA 2018 enumera as matérias que o ministro da tutela tem de ter em conta ao elaborar regulamentos que especificam o montante que as diferentes organizações têm de pagar. A section 138(1) e a section 182 do DPA 2018 também contêm uma obrigação legal que exige que o ministro da tutela consulte o comissário para a informação e outros representantes das pessoas suscetíveis de serem afetadas pelos regulamentos, antes da respetiva elaboração, para que os seus pontos de vista sejam tidos em conta. Além disso, nos termos da section 138(2) do DPA 2018, o comissário para a informação é obrigado a manter o funcionamento dos Charges Regulations (Regulamentos relativos a taxas) sob análise e pode apresentar propostas ao ministro da tutela para que sejam efetuadas alterações nos regulamentos. Por último, salvo nos casos em que os regulamentos são elaborados simplesmente para ter em conta um aumento do índice de preços de retalho (sendo que, nesse caso, serão sujeitos ao procedimento de resolução negativa), os regulamentos estão sujeitos ao procedimento de resolução afirmativa e não podem ser elaborados até terem sido aprovados por resolução por cada uma das câmaras do parlamento.

165

sections 137

138

o

o

section 138(1)

section 182

section 138(2)

Charges Regulations

(166)  O Acordo de Gestão esclareceu que «[o] ministro da tutela pode efetuar pagamentos ao comissário para a informação com os fundos disponibilizados pelo parlamento, nos termos do schedule 12, n.o 9, do DPA 2018. Após consulta ao comissário para a informação, o DCMS pagar-lhe-á os montantes adequados (a subvenção) para os custos administrativos do ICO e o exercício das funções do comissário para a informação no que respeita a um conjunto de funções específicas, incluindo a liberdade de informação» (Acordo de Gestão para 2018-2021, ponto 1.12, ver a nota de rodapé 158).

166

schedule 12

o

(167)  
  Section 134 do DPA 2018.

167

Section 134

(168)  
  Schedule 13, n.o 2, do DPA 2018.

168

Schedule 13

o

(169)  
  Section 142 do DPA 2018 (sob reserva das limitações previstas na section 143 do DPA 2018).

169

Section 142

section 143

(170)  
  Section 146 do DPA 2018 (sob reserva das limitações previstas na section 147 do DPA 2018).

170

Section 146

section 147

(171)  
  Sections 149 a 151 do DPA 2018 (sob reserva das limitações previstas na section 152 do DPA 2018).

171

Sections 149

151

section 152

(172)  
  Section 155 do DPA 2018 (sob reserva das limitações previstas na section 156 do DPA 2018).

172

Section 155

section 156

(173)  
  Regulatory Action Policy, disponível na seguinte ligação: https://ico.org.uk/media/about-the-ico/documents/2259467/regulatory-action-policy.pdf

173

Regulatory Action Policy

(174)  Mais particularmente, o ICO pode emitir uma notificação de sanção por incumprimento do disposto na section 149(2), (3), (4) ou (5) do DPA 2018.

174

section 149(2)

(3)

(4)

(5)

(175)  
  Section 157 do DPA 2018.

175

Section 157

(176)  
  Information Commissioner’s Annual Report and Financial Statements 2018-2019 (Relatório anual e demonstrações financeiras do comissário para a informação), disponível na seguinte ligação: https://ico.org.uk/media/about-the-ico/documents/2615262/annual-report-201819.pdf

176

Information Commissioner’s Annual Report and Financial Statements 2018-2019

(177)  
  Information Commissioner’s Annual Report and Financial Statements 2019-2020 (ver nota de rodapé 157).

177

Information Commissioner’s Annual Report and Financial Statements 2019-2020

(178)  Uma base de dados que registava informações relacionadas com alegados membros de gangues e vítimas da criminalidade de gangues.

178

(179)  
  Section 170 do DPA 2018.

179

Section 170

(180)  
  Section 171 do DPA 2018.

180

Section 171

(181)  
  Section 119 do DPA 2018.

181

Section 119

(182)  
  Sections 144 e 148 do DPA 2018.

182

Sections 144

148

(183)  Conforme estabelecido no Acordo de Gestão, o relatório anual tem de: i) abranger todas as atividades internas, subsidiárias e conjuntas sob o controlo do ICO; ii) respeitar o Treasury’s Financial Reporting Manual (Manual para o relato financeiro do tesouro público) (FReM); iii) conter uma declaração sobre a governação, que descreve de que modo o tesoureiro geriu e controlou o recursos utilizados na organização no decurso do ano, demonstrando em que medida a organização procede a uma boa gestão dos riscos na consecução das suas metas e dos seus objetivos; e iv) descrever de modo geral as principais atividades e o desempenho durante o exercício anterior e resumir os planos futuros (Acordo de Gestão para 2018-2021, ponto 3.26, ver nota de rodapé 158).

183

Treasury’s Financial Reporting Manual

(184)  
  Section 117 do DPA 2018.

184

Section 117

(185)  O painel é responsável por fornecer orientações e formação ao sistema judiciário. Também trata das reclamações efetuadas pelos titulares dos dados no que diz respeito ao tratamento de dados pessoais pelos tribunais e pelas pessoas singulares no exercício de uma competência judicial. O painel visa proporcionar os meios necessários para a resolução de qualquer reclamação. Se o autor da reclamação estiver insatisfeito com uma decisão do painel, e tiver facultado provas adicionais, este poderá reconsiderar a sua decisão. Embora não imponha sanções financeiras, caso considere que existe uma violação suficientemente grave do DPA 2018, o painel poderá encaminhar a reclamação para o Judicial Conduct Investigation Office (Serviço de Inquérito à Conduta Judicial) (JCIO), que investigará a reclamação. Caso a reclamação seja aceite, cabe ao Lorde Chanceler (Lord Chancellor) e ao presidente do sistema judiciário (ou a um alto magistrado para atuar em seu nome) decidir que medida deverá ser tomada contra o titular do cargo judicial. As medidas poderão ser, por ordem de gravidade: recomendação formal, advertência formal e repreensão e, em última instância, exoneração do cargo. Em caso de insatisfação com a forma como a reclamação foi investigada pelo JCIO, as pessoas singulares podem efetuar nova reclamação junto do Judicial Appointments and Conduct Ombudsman (Provedor para as Nomeações e a Conduta Judicial) (ver https://www.gov.uk/government/organisations/judicial-appointments-and-conduct-ombudsman). O provedor dispõe de poderes para solicitar ao JCIO que investigue novamente uma reclamação e pode propor que o autor da reclamação receba uma indemnização, caso tenha motivos para acreditar que este sofreu danos decorrentes de má administração.

185

Judicial Conduct Investigation Office

Lord Chancellor

Judicial Appointments and Conduct Ombudsman

(186)  A notificação de privacidade emitida pelo presidente do sistema judiciário e pelo presidente dos tribunais pode ser consultada na seguinte ligação: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

186

(187)  A notificação de privacidade emitida pelo presidente do sistema judiciário da Irlanda do Norte pode ser consultada na seguinte ligação: https://judiciaryni.uk/data-privacy

187

(188)  A notificação de privacidade emitida pelos tribunais escoceses está disponível na seguinte ligação: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

188

(189)  O DSJ emite orientações dirigidas ao sistema judiciário e investiga violações e/ou reclamações relativas ao tratamento de dados pessoais efetuado pelos tribunais ou por pessoas singulares no exercício da sua competência judicial.

189

(190)  Se for considerada grave, a reclamação ou a violação é encaminhada para o Judicial Complaints Officer (responsável pelas reclamações judiciais) para novas averiguações, de acordo com o código de boas práticas aplicável às reclamações do presidente do sistema judiciário da Irlanda do Norte. O resultado dessa reclamação pode incluir: a não imposição de medidas adicionais, o aconselhamento, a formação ou mentoria, a advertência informal, a advertência formal, a advertência final, a restrição da prática ou o encaminhamento para um tribunal. O código de boas práticas aplicável às reclamações emitido pelo presidente do sistema judiciário da Irlanda do Norte está disponível na seguinte ligação: https://judiciaryni.uk/sites/judiciary/files/media-files/14G.%20CODE%20OF%20PRACTICE%20Judicial%20~%2028%20Feb%2013%20%28Final%29%20updated%20with%20new%20comp..__1.pdf

190

Judicial Complaints Officer

(191)  Todas as reclamações efetuadas são investigadas pelo juiz supervisor de dados e encaminhadas para o Lorde Presidente, que dispõe de poderes para emitir pareceres, advertências formais ou repreensões caso considere necessário (existem regras equivalentes para membros do tribunal, que se encontram disponíveis na seguinte ligação: https://www.judiciary.scot/docs/librariesprovider3/judiciarydocuments/complaints/complaintsaboutthejudiciaryscotlandrules2017_1d392ab6e14f6425aa0c7f48d062f5cc5.pdf?sfvrsn=5d3eb9a1_2).

191

(192)  
  Section 165 do DPA 2018.

192

Section 165

(193)  A section 166 do DPA 2018 diz respeito especificamente às seguintes situações: a) o comissário não toma as medidas adequadas para dar resposta à reclamação, b) o comissário não informa o autor da reclamação do seguimento ou do resultado da reclamação antes do fim do prazo de três meses, que tem início quando o comissário recebe a reclamação ou c) se a análise da reclamação efetuada pelo comissário não for concluída dentro desse prazo e se o comissário não fornecer essas informações ao autor da reclamação num prazo subsequente de três meses.

193

section 166

(194)  O tribunal de primeira instância é o tribunal competente para deliberar sobre recursos interpostos contra as decisões tomadas pelos organismos regulamentares do governo. No caso da decisão do comissário para a informação, a secção competente é a General Regulatory Chamber, que tem competência em todo o Reino Unido.

194

General Regulatory Chamber

(195)  
  Section 166 do DPA 2018.

195

Section 166

(196)  
  Sections 161 e 162 do DPA 2018.

196

Sections 161

162

(197)  Ver processo Brown/Commissioner of the Met 2016, no qual o tribunal decidiu a favor da parte requerente no contexto da proteção de dados numa ação interposta contra a polícia. O tribunal decidiu a favor da parte requerente, sustentando as suas alegações de violação das obrigações do DPA 1998, de violação do HRA 1998 (e o direito conexo constante do artigo 8.o da CEDH) e de delito de utilização abusiva de informações privadas (a parte requerida admitiu, finalmente, a violação do DPA e da CEDH, pelo que o julgamento se centrou na forma de reparação mais adequada). Em resultado destas violações, o tribunal conferiu uma indemnização pecuniária ao requerente.

197

o

(198)  
  Section 8(1) do Human Rights Act 1998.

198

Section 8(1)

Human Rights Act 1998

(199)  
  Section 36(3) do DPA 2018.

199

Section 36(3)

(200)  
  Section 56 do Digital Economy Act 2017, disponível na seguinte ligação https://www.legislation.gov.uk/ukpga/2017/30/contents

200

Section 56

Digital Economy Act 2017

(201)  
  Section 48 do Digital Economy Act 2017.

201

Section 48

Digital Economy Act 2017

(202)  
  Section 7 do Crime and Courts Act 2013, disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/2013/22/contents

202

Section 7

Crime and Courts Act 2013

(203)  
  Section 68 do Serious Crime Act 2007, disponível na seguinte ligação https://www.legislation.gov.uk/ukpga/2007/27/contents

203

Section 68

Serious Crime Act 2007

(204)  
  Authorised Professional Practice on Information Sharing, disponível na seguinte ligação: https://www.app.college.police.uk/app-content/information-management/sharing-police-information

204

Authorised Professional Practice on Information Sharing

(205)  Ver, por exemplo, o processo M/the Chief Constable of Sussex Police [2019] EWHC 975 (Admin), no qual foi pedido ao High Court que analisasse a partilha de dados entre a polícia e a Business Crime Reduction Partnership (BCRP), uma organização habilitada a gerir regimes de notificações de exclusão, que proíbem as pessoas de entrar nas instalações comerciais dos seus membros. O tribunal analisou a partilha de dados, que decorria com base num acordo que tinha como finalidade proteger o público e prevenir a criminalidade e, por fim, concluiu que a maioria dos aspetos da partilha de dados era lícita, à exceção de algumas informações sensíveis partilhadas entre a polícia e a BCRP. Outro exemplo é o processo Cooper/NCA [2019] EWCA Civ 16, no qual o Court of Appeal (Tribunal de Recurso) analisou a partilha de dados entre a polícia e a Serious Organised Crime Agency (SOCA), uma agência de aplicação da lei que atualmente faz parte da NCA.

205

High Court

Business Crime Reduction Partnership

Cooper/NCA

Court of Appeal

Serious Organised Crime Agency

(206)  
  Section 36(4) do DPA 2018.

206

Section 36(4)

(207)  Decisão de Execução da Comissão nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho sobre a adequação do nível de proteção dos dados pessoais assegurado pelo Reino Unido [C(2021) 4800].

207

(208)  
  Section 19 do Counter Terrorism Act 2008, disponível na seguinte ligação: https://www.legislation.gov.uk/ukpga/2008/28/section/19

208

Section 19

Counter Terrorism Act 2008

(209)  A section 2(2) do Intelligence Service Act 1994 (ver https://www.legislation.gov.uk/ukpga/1994/13/contents) determina que «[o] responsável do serviço de informações é responsável pela eficácia desse serviço e cabe-lhe a ele garantir – a) que existem mecanismos que garantem que o serviço de informações apenas obtém as informações estritamente necessárias ao exercício adequado das suas funções e que o serviço de informações apenas divulga as informações estritamente necessárias — i) para o efeito; ii) no interesse da segurança nacional; iii) para efeitos de prevenção ou deteção da criminalidade grave; ou iv) para efeitos de processos penais; e b) que o serviço de informações não toma nenhuma medida para promover os interesses de algum partido político do Reino Unido», ao passo que a section 2(2) do Security Service Act 1989 (ver https://www.legislation.gov.uk/ukpga/1989/5/contents) prevê que «[o] diretor-geral é responsável pela eficácia do serviço e cabe-lhe a ele garantir — a) que existem mecanismos que garantem que o serviço apenas obtém as informações estritamente necessárias ao exercício adequado das suas funções e que apenas divulga as informações estritamente necessárias para esse efeito ou para efeitos de prevenção ou deteção da [criminalidade grave ou para efeitos de processos penais]; b) que o serviço não toma nenhuma medida para promover os interesses de algum partido político; e c) que existem mecanismos acordados com o diretor-geral da National Crime Agency para a coordenação das atividades do serviço, nos termos da section 1(4) da presente lei, com as atividades das forças policiais, a National Crime Agency e outras agências de aplicação da lei».

209

section 2(2)

Intelligence Service Act 1994

section 2(2)

Security Service Act 1989

National Crime Agency

section 1(4)

National Crime Agency

(210)  As salvaguardas e as limitações dos poderes dos serviços de informações também são regulamentadas pelo Investigatory Powers Act 2016, que, juntamente com o Regulation of Investigatory Powers Act 2000 (Regulamento de 2000 relativo aos poderes de investigação), para a Inglaterra, o País de Gales e a Irlanda do Norte, e o Regulation of Investigatory Powers (Scotland) Act 2000 [Regulamento de 2000 (da Escócia) relativo aos poderes de investigação], para a Escócia, proporcionam a base jurídica para a utilização de tais poderes. No entanto, estes poderes não são pertinentes no contexto da «transferência subsequente», uma vez que abrangem a recolha direta de dados pessoais por parte das agências de informações. Para uma avaliação dos poderes concedidos às agências de informações ao abrigo do Investigatory Powers Act, ver a Decisão de Execução da Comissão nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho sobre a adequação do nível de proteção dos dados pessoais assegurado pelo Reino Unido [C(2021) 4800].

210

Investigatory Powers Act 2016

Regulation of Investigatory Powers Act 2000

Regulation of Investigatory Powers (Scotland) Act 2000

Investigatory Powers Act

(211)  Ao abrigo da section 86(6) do DPA 2018, para determinar a lealdade e a transparência do tratamento, há que ter em consideração o método empregue para a obtenção dos dados. Neste sentido, o requisito de lealdade e transparência é preenchido se os dados forem obtidos junto de uma pessoa que esteja legalmente autorizada ou obrigada a fornecê-los.

211

section 86(6)

(212)  Ao abrigo da section 87 do DPA 2018, as finalidades do tratamento têm de ser determinadas, explícitas e legítimas. Os dados não podem ser tratados de uma forma incompatível com as finalidades para as quais foram recolhidos. Ao abrigo da section 87(3) só pode ser permitido um tratamento de dados pessoais compatível se o responsável pelo tratamento estiver autorizado por lei a tratar os dados para essa finalidade e o tratamento for necessário e proporcionado para essa outra finalidade. As operações de tratamento devem ser consideradas tratamento compatível se se compuserem de operações de tratamento para fins de arquivo de interesse público, para fins de investigação científica ou histórica ou para fins estatísticos e estiverem sujeitas a garantias adequadas [section 87(4) do DPA 2018].

212

section 87

section 87(3)

section 87(4)

(213)  Os dados pessoais têm de ser adequados, relevantes e não excessivos (section 88 do DPA 2018).

213

section 88

(214)  Os dados pessoais têm de ser precisos e atualizados (section 89 do DPA 2018).

214

section 89

(215)  Os dados pessoais têm de ser conservados apenas durante o período necessário (section 90 do DPA 2018).

215

section 90

(216)  O sexto princípio de proteção de dados consiste na obrigatoriedade de os dados pessoais serem tratados de uma forma que inclua a tomada de medidas de segurança adequadas no que diz respeito aos riscos decorrentes do tratamento de dados pessoais. Os riscos incluem (nomeadamente) o acesso acidental ou não autorizado aos dados pessoais ou a respetiva destruição, perda, utilização, modificação ou divulgação (section 91 do DPA 2018). A section 107 exige igualmente que 1) cada responsável pelo tratamento aplique as medidas de segurança adequadas tendo em conta os riscos decorrentes do tratamento de dados pessoais e 2) em caso de tratamento automatizado, cada responsável pelo tratamento e subcontratante aplique medidas preventivas ou de atenuação com base numa avaliação do risco.

216

section 91

section 107

(217)  
  Section 86(2)(b) e schedule 10 do DPA 2018.

217

Section 86(2)(b)

schedule 10

(218)  Parte 4, capítulo 3, do DPA 2018, nomeadamente os direitos: de acesso, de retificação e apagamento, de se opor ao tratamento e de não ficar sujeito a nenhuma decisão automatizada, de intervir na decisão automatizada e de ser informado da decisão automatizada. Além disso, o responsável pelo tratamento tem de informar o titular dos dados do tratamento dos seus dados pessoais.

218

(219)  
  Section 103 do DPA 2018.

219

Section 103

(220)  
  Section 109 do DPA 2018. É possível efetuar transferências de dados pessoais para organizações internacionais ou países fora do Reino Unido caso as transferências constituam uma medida necessária e proporcionada para efeitos das funções legais do responsável pelo tratamento ou para outras finalidades previstas em artigos específicos do Security Service Act 1989 e do Intelligence Service Act 1994.

220

Section 109

Security Service Act 1989

Intelligence Service Act 1994

(221)  Ver processo Baker/Secretary of State for the Home Department [2001] UKIT NSA2 («Baker/Secretary of State»).

221

Baker/Secretary of State for the Home Department

(222)  
  UK Explanatory Framework for Adequacy Discussions, Section H: National Security Data Protection and Investigatory Powers Framework (Quadro explicativo do Reino Unido para as conversações em matéria de adequação, secção H: Proteção dos dados no âmbito da segurança nacional e quadro dos poderes de investigação), p 15 e 16, disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872239/H_-_National_Security.pdf. Ver igualmente processo Baker/Secretary of State (ver nota de rodapé 220 acima), no qual o tribunal anulou um certificado de segurança nacional emitido pelo ministro da tutela e confirma a aplicação da isenção de segurança nacional, tendo em conta que não havia motivo para criar uma isenção geral da obrigação de responder a pedidos de acesso e que, ao permitir essa isenção em todas as circunstâncias sem uma análise caso a caso, excedeu-se o que seria necessário e proporcionado para a proteção da segurança nacional.

222

UK Explanatory Framework for Adequacy Discussions, Section H: National Security Data Protection and Investigatory Powers Framework

Baker/Secretary of State

(223)  Ver o memorando de entendimento entre o ICO e a comunidade de serviços de informações do Reino Unido, segundo o qual «[a]pós a receção de uma reclamação efetuada por um titular de dados, o ICO certificar-se-á de que a questão foi tratada corretamente e, se for caso disso, de que a aplicação de eventuais isenções foi utilizada adequadamente» (memorando de entendimento entre o Gabinete do Comissário para a Informação e a comunidade de serviços de informações do Reino Unido, ponto 16, disponível na seguinte ligação: https://ico.org.uk/media/about-the-ico/mou/2617438/uk-intelligence-community-ico-mou.pdf).

223

(224)  O DPA 2018 revogou a possibilidade de emitir certificados ao abrigo da section 28(2) do Data Protection Act 1998. Todavia, continua a existir a possibilidade de emitir «certificados antigos», na medida em que existe um desafio histórico ao abrigo da lei de 1998 (ver n.o 17 da parte 5 do schedule 20 do DPA 2018). Todavia, esta possibilidade afigura-se muito rara e só se aplicará em casos limitados, como, por exemplo, quando um titular dos dados contesta a utilização da isenção relativa à segurança nacional a respeito de um tratamento efetuado ao abrigo da lei de 1998 por uma autoridade pública. Importa observar que, nestes casos, a section 28 do DPA 1998 será aplicável na sua totalidade, incluindo, por conseguinte, a possibilidade de o titular dos dados contestar o certificado perante o tribunal. De momento não foram emitidos nenhuns certificados de segurança nacional ao abrigo do DPE 1998.

224

section 28(2)

Data Protection Act 1998

o

schedule 20

section 28

(225)  
  United Kingdom Government Guidance on National Security Certificates under the Data Protection Act 2018 (orientação do Governo do Reino Unido em matéria de certificados de segurança nacional ao abrigo do Data Protection Act 2018), disponível na seguinte ligação: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf

225

United Kingdom Government Guidance on National Security Certificates under the Data Protection Act 2018

Data Protection Act 2018

(226)  De acordo com a section 130 do DPA 2018, o ICO pode decidir não publicar o texto ou parte do texto do certificado, se tal for contrário ao interesse da segurança nacional ou ao interesse público, ou for suscetível de comprometer a segurança de qualquer pessoa. Nestes casos, o ICO divulgará, todavia, o facto de o certificado ter sido emitido.

226

section 130

(227)  
  United Kingdom Government Guidance on National Security Certificates, ponto 15, ver nota de rodapé 225.

227

United Kingdom Government Guidance on National Security Certificates

(228)  
  United Kingdom Government Guidance on National Security Certificates, ponto 5, ver nota de rodapé 225.

228

United Kingdom Government Guidance on National Security Certificates

(229)  A section 102 do DPA 2018 exige que o responsável pelo tratamento demonstre que cumpriu o DPA 2018. Tal implica que o serviço de informações teria de demonstrar ao ICO que, ao recorrer à isenção, teve em conta as circunstâncias específicas do caso. O ICO também publica um registo dos certificados de segurança nacional, disponível na seguinte ligação: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/

229

section 102

(230)  O Upper Tribunal é o tribunal competente para apreciar os recursos contra as decisões tomadas pelos tribunais administrativos inferiores e dispõe de competências específicas para lidar com recursos diretos contra decisões tomadas por determinados organismos governamentais.

230

Upper Tribunal

(231)  
  Section 111(3) do DPA 2018.

231

Section 111(3)

(232)  
  Section 111(5) do DPA 2018.

232

Section 111(5)

(233)  No processo Baker/Secretary of State (ver nota de rodapé 221), o Information Tribunal (tribunal especializado em questões de informação) anulou um certificado de segurança nacional emitido pelo ministro da tutela, tendo em conta que não havia motivo para criar uma exceção geral da obrigação de responder a pedidos de acesso e que, ao permitir essa exceção em todas as circunstâncias sem uma análise caso a caso, excedeu-se o que seria necessário e proporcionado para a proteção da segurança nacional.

233

Baker/Secretary of State

Information Tribunal

(234)  
  United Kingdom Government Guidance on National Security Certificates, ponto 25, ver nota de rodapé 224.

234

United Kingdom Government Guidance on National Security Certificates

(235)  Estas incluem: i) os princípios de proteção de dados estabelecidos na parte 4, à exceção do requisito da licitude do tratamento previsto no primeiro princípio e a obrigatoriedade de o tratamento cumprir uma das condições relevantes estabelecidas nos schedules 9 e 10; ii) os direitos dos titulares de dados; e iii) os deveres relativos à denúncia de violações ao ICO.

235

schedules

(236)  De acordo com o quadro explicativo do Reino Unido, as isenções «baseadas na categoria» são: i) informações sobre a concessão de títulos e altos cargos da Coroa; ii) a prerrogativa legal de confidencialidade; iii) referências confidenciais em matéria de emprego, formação ou educação; e iv) as respostas e classificações de exames. As isenções «com base no prejuízo» dizem respeito às seguintes questões: i) prevenção ou deteção de crimes; detenção e repressão de infratores; ii) privilégio parlamentar; iii) processos judiciais; iv) a eficácia do combate das forças armadas da Coroa; v) o bem-estar económico do Reino Unido; vi) as negociações com o titular dos dados; vii) investigação científica ou histórica ou fins estatísticos; viii) arquivo de interesse público. UK Explanatory Framework for Adequacy Discussions, Section H: National Security, p. 13, ver nota de rodapé 222.

236

UK Explanatory Framework for Adequacy Discussions, Section H: National Security

(237)  
  Section 116 do DPA 2018.

237

Section 116

(238)  Nos termos da section 149(2) do DPA 2018, lida em conjugação com a section 155, as notificações de execução e sanção podem ser emitidas a um responsável pelo tratamento ou a um subcontratante relativamente a violações da parte 4, capítulo 2, do DPA 2018 (princípios do tratamento), uma disposição da parte 4 do DPA 2018 que confere direitos a um titular de dados, um requisito de comunicação de uma violação de dados pessoais ao comissário imposto pela section 108 do DPA 2018 e os princípios aplicáveis às transferências de dados pessoais para países terceiros, países que não sejam signatários da convenção e organizações internacionais da section 109 do DPA 2018. (Para mais informações sobre a notificação de execução e sanção, ver os considerandos 102)a 103).

238

section 149(2)

section 155

section 108

section 109

(239)  Nos termos da section 147(6) do DPA 2018, o comissário para a informação não pode remeter uma notificação de avaliação a um organismo indicado na section 23(3) do Freedom of Information Act 2000 (Lei de 2000 relativa à liberdade de informação). Entre eles incluem-se o Security Service (MI5), o Secret Intelligence Service (MI6) e o quartel-general de comunicações do governo.

239

section 147(6)

section 23(3)

Freedom of Information Act 2000

Security Service

Secret Intelligence Service

(240)  As disposições passíveis de isenção são: A section 108 (comunicação de uma violação de dados pessoais ao comissário), a section 119 (inspeção em conformidade com as obrigações internacionais); sections 142 a 154 e schedule 15 (notificações do comissário e poderes de entrada e inspeção); e sections 170 a 173 (infrações relacionadas com os dados pessoais). Para além disso, relativamente ao tratamento pelos serviços de informações previsto no schedule 13 (outras funções gerais do comissário), n.o 1, alíneas a) e g), e n.o 2.

240

section 108

section 119

sections 142

154

schedule 15

sections 170

173

schedule 13

o

o

(241)  Ver, por exemplo, processo Baker/Secretary of State for the Home Department (ver nota de rodapé 221).

241

Baker/Secretary of State for the Home Department

(242)  Memorando de entendimento entre o ICO e a comunidade dos serviços de informações do Reino Unido, ver nota de rodapé 231.

242

(243)  Em sete destes casos, o ICO aconselhou o reclamante a suscitar as suas preocupações junto do responsável pelo tratamento (trata-se dos casos em que a pessoa suscitou as suas preocupações junto do ICO, mas deveria tê-lo feito primeiro junto do responsável pelo tratamento), num dos casos, o ICO aconselhou de modo geral o responsável pelo tratamento (esta opção é utilizada quando não se afigura que os atos do responsável pelo tratamento tenham violado a legislação, mas uma melhoria das práticas poderia ter evitado que a preocupação fosse suscitada junto do ICO) e noutros 13 casos não foi necessária qualquer medida por parte do responsável pelo tratamento (esta opção é utilizada quando as preocupações suscitadas pelas pessoas são abrangidas pelo Data Protection Act 2018 uma vez que dizem respeito ao tratamento de informações pessoais, mas, com base nas informações transmitidas, não se afigura que o responsável pelo tratamento tenha violado a legislação).

243

Data Protection Act 2018

(244)  Conforme explicado pelas autoridades do Reino Unido, a JSA expandiu as competências da ISC no sentido de incluir uma função na supervisão da comunidade dos serviços de informações, permitindo uma supervisão retrospetiva das atividades operacionais dos serviços em matérias de interesse nacional significativo.

244

(245)  
  Section 1 do JSA 2013. Os ministros não são elegíveis para assumir funções como membros. O mandato dos membros da ISC tem igual duração à legislatura em que foram nomeados. Podem ser exonerados por resolução da câmara pela qual foram nomeados, se deixarem de ser deputados ao parlamento ou se passarem a ministros. Os membros também podem renunciar ao cargo.

245

Section 1

(246)  Os relatórios e as declarações da comissão estão disponíveis em linha na seguinte ligação: http://isc.independent.gov.uk/committee-reports. Em 2015, a ISC publicou um relatório intitulado Privacy and Security: A modern and transparent legal framework» (Privacidade e segurança: um quadro jurídico moderno e transparente) (ver: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20150312_ISC_P%2BS%2BRpt%28web%29.pdf) no qual analisou o quadro jurídico para as técnicas de vigilância utilizadas pelos serviços de informações e formulou um conjunto de recomendações que foram então tidas em conta e integradas no projeto de lei relativa aos poderes de investigação que se converteu em lei, a IPA 2016. A resposta do governo ao relatório sobre a privacidade e a segurança está disponível na seguinte ligação: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20151208_Privacy_and_Security_Government_Response.pdf

246

Privacy and Security: A modern and transparent legal framework

(247)  
  Section 2 do JSA 2013.

247

Section 2

(248)  Memorando de entendimento entre o primeiro-ministro e a ISC, disponível na seguinte ligação: http://data.parliament.uk/DepositedPapers/Files/DEP2013-0415/AnnexA-JSBill-summaryofISCMoU.pdf

248

(249)  Memorando de entendimento entre o primeiro-ministro e a ISC, ponto 14, ver nota de rodapé 248.

249

(250)  O ministro da tutela só pode recusar a divulgação da informação por dois motivos: a informação é sensível e não deve ser divulgada à ISC a bem da segurança nacional; ou trata-se de informação de tal natureza que, se fosse chamado a produzi-la perante uma comissão especial parlamentar da Câmara dos Comuns, levaria o ministro da tutela a considerar (por motivos que não se limitam à segurança nacional) que seria conveniente não o fazer (schedule 1, n.o 4, ponto 2, da JSA 2013).

250

schedule 1

o

(251)  
  UK Explanatory Framework – Section H: National Security, p. 43.

251

UK Explanatory Framework – Section H: National Security

(252)  
  Section 94(11) do DPA 2018.

252

Section 94(11)

(253)  
  Section 99(4) do DPA 2018.

253

Section 99(4)

(254)  
  Section 169 do DPA 2018, que permite pedidos de indemnização de «[u]ma pessoa que sofra danos devido a uma violação de um requisito da legislação em matéria de proteção de dados pessoais».

254

Section 169

(255)  
  Section 169(5) do DPA 2018.

255

Section 169(5)

(256)  Ver section 65(2)(b) do RIPA.

256

section 65(2)(b)

(257)  Nos termos do schedule 3 do RIPA 2000, os membros têm de ter uma determinada experiência judicial e o seu mandato é renovável.

257

schedule 3

(258)  Sobre a noção de «comunicado», ver nota de rodapé 183.

258

(259)  
  Schedule 3, n.o 1, ponto 5, do RIPA 2000.

259

Schedule 3

o

(260)  
  Section 65(4) do RIPA 2000.

260

Section 65(4)

(261)  Tais circunstâncias dizem respeito aos atos das autoridades públicas que ocorrem num contexto de autoridade (por exemplo, um mandado, uma autorização/notificação para a aquisição de comunicações, etc.) ou se as circunstâncias forem tais (exista ou não tal autoridade) que não teria sido adequado que os atos tivessem sido praticados sem ela, ou pelo menos sem ter sido dada a devida consideração se tal autoridade deveria ser solicitada. Os atos autorizados por um comissário judicial são considerados como tendo ocorrido em circunstâncias contestáveis [section 65 (7ZA) do RIPA 2000], enquanto outros atos que ocorrem com a autorização de uma pessoa que exerça funções jurisdicionais são considerados como não tendo ocorrido em circunstâncias contestáveis [section 65(7) e (8) do RIPA 2000].

261

section 65

7ZA

section 65(7)

(8)

(262)  De acordo com as informações fornecidas pelas autoridades do Reino Unido, o baixo limiar para a apresentação de uma reclamação implica que não é raro que a investigação do tribunal determine que o autor da reclamação nunca foi, na verdade, objeto de investigação por uma autoridade pública. O último relatório estatístico do IPT especifica que, em 2016, o tribunal recebeu 209 reclamações, 52% das quais foram consideradas levianas ou vexatórias e 25% receberam um resultado «sem determinação». As autoridades do Reino Unido explicaram que tal significa que não foram utilizadas atividades/poderes encobertos em relação aos autores das reclamações, ou que foram utilizadas técnicas encobertas e que o tribunal determinou que a atividade era lícita. Além disso, 11% foram excluídas da competência, foram retiradas ou não eram válidas, 5% foram consideradas intempestivas e 7% foram decididas a favor do autor da reclamação. Relatório estatístico do Investigatory Powers Tribunal de 2016, disponível na seguinte ligação: https://www.ipt-uk.com/docs/IPT%20Statisical%20Report%202016.pdf

262

Investigatory Powers Tribunal

(263)  Ver processo Human Rights Watch/Secretary of State [2016] UKIPTrib15_165-CH. Neste processo, o Investigatory Powers Tribunal, remetendo para jurisprudência do TEDH, considerou que o critério adequado no que respeita à convicção de que um ato abrangido pela subsection 68(5) do RIPA 2000 foi levado a cabo por qualquer um dos serviços de informações ou em seu nome consiste em apurar se existe algum fundamento para tal convicção, incluindo o facto de uma pessoa só poder alegar ser vítima de uma violação ocasionada pela mera existência de medidas secretas ou de legislação que permita medidas secretas, se puder demonstrar que, devido à sua situação pessoal, está potencialmente em risco de ser sujeita a tais medidas (ver Human Rights Watch/Secretary of State, n.o 41).

263

Human Rights Watch/Secretary of State

Investigatory Powers Tribunal

subsection 68(5)

Human Rights Watch/Secretary of State

o

(264)  
  Section 67(3) do RIPA 2000.

264

Section 67(3)

(265)  
  Section 67(2) do RIPA 2000.

265

Section 67(2)

(266)  
  Section 68(4) do RIPA 2000.

266

Section 68(4)

(267)  Tal pode incluir uma ordem que exija a destruição de qualquer gravação de informações detida por qualquer autoridade pública relacionada com qualquer pessoa.

267

(268)  
  High Court of Justice, Liberty, [2019] EWHC 2057 (Admin.), n.o 170.

268

High Court of Justice

o

(269)  
  Section 8(1) do Human Rights Act 1998.

269

Section 8(1)

Human Rights Act 1998

(270)  
  Schrems, n.o 65.

270

Schrems

o

(271)  
  Opinion 15/2021 regarding the European Commission draft implementing decision pursuant to Directive (EU) 2016/680 on the adequate protection of personal data in the United Kingdom [Parecer 15/2021 sobre o projeto de decisão de execução da Comissão Europeia nos termos do Regulamento (UE) 2016/680 relativa à adequação do nível de proteção de dados pessoais no Reino Unido], disponível na seguinte ligação:https://edpb.europa.eu/our-work-tools/our-documents/opinion-led/opinion-152021-regarding-european-commission-draft_en

271

Opinion 15/2021 regarding the European Commission draft implementing decision pursuant to Directive (EU) 2016/680 on the adequate protection of personal data in the United Kingdom

(272)  Decisão de Execução (UE) 2020/1745 do Conselho, de 18 de novembro de 2020, relativa à entrada em vigor das disposições do acervo de Schengen em matéria de proteção de dados e à entrada em vigor a título provisório de determinadas disposições do acervo de Schengen na Irlanda (JO L 393 de 23.11.2020, p. 3).

272

(273)  
  JO L 176 de 10.7.1999, p. 36.

273

(274)  
  JO L 53 de 27.2.2008, p. 52.

274

(275)  
  JO L 160 de 18.6.2011, p. 21.

275

---

| 11.10.2021 | PT | Jornal Oficial da União Europeia | L 360/108 |
| --- | --- | --- | --- |

11.10.2021

PT

Jornal Oficial da União Europeia

L 360/108

---

DECISÃO DE EXECUÇÃO (UE) 2021/1774 DO CONSELHO

de 5 de outubro de 2021

que altera a Decisão de Execução (UE) 2018/1493 que autoriza a Hungria a introduzir uma medida especial em derrogação do artigo 26.o, n.o 1, alínea a), e dos artigos 168.o e 168.o-A da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado

O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta a Diretiva 2006/112/CE do Conselho, de 28 de novembro de 2006, relativa ao sistema comum do imposto sobre o valor acrescentado (1), nomeadamente o artigo 395.o, n.o 1, primeiro parágrafo,

Tendo em conta a proposta da Comissão Europeia,

Considerando o seguinte:

| (1) | A Decisão de Execução (UE) 2018/1493 do Conselho (2) autorizou a Hungria a aplicar, até 31 de dezembro de 2021, uma medida especial que, por um lado, limita a 50 % o direito de dedução do imposto sobre o valor acrescentado («IVA») pago sobre as despesas relacionadas com os veículos ligeiros de passageiros não exclusivamente utilizados para fins profissionais, em derrogação dos artigos 168.o e 168.o-A da Diretiva 2006/112/CE, e por outro lado, permite não tratar como prestação de serviços a título oneroso a utilização para fins alheios à empresa dos veículos ligeiros de passageiros que constituam um bem próprio de uma empresa de um sujeito passivo quando tais veículos tenham sido sujeitos a uma limitação autorizada ao abrigo do artigo 1.o da decisão de execução, em derrogação do artigo 26.o, n.o 1, alínea a), da referida diretiva («medida especial»). |
| --- | --- |

(1)

A Decisão de Execução (UE) 2018/1493 do Conselho (2) autorizou a Hungria a aplicar, até 31 de dezembro de 2021, uma medida especial que, por um lado, limita a 50 % o direito de dedução do imposto sobre o valor acrescentado («IVA») pago sobre as despesas relacionadas com os veículos ligeiros de passageiros não exclusivamente utilizados para fins profissionais, em derrogação dos artigos 168.o e 168.o-A da Diretiva 2006/112/CE, e por outro lado, permite não tratar como prestação de serviços a título oneroso a utilização para fins alheios à empresa dos veículos ligeiros de passageiros que constituam um bem próprio de uma empresa de um sujeito passivo quando tais veículos tenham sido sujeitos a uma limitação autorizada ao abrigo do artigo 1.o da decisão de execução, em derrogação do artigo 26.o, n.o 1, alínea a), da referida diretiva («medida especial»).

| (2) | Por ofício registado na Comissão em 25 de fevereiro de 2021, a Hungria solicitou autorização para continuar a aplicar a medida especial («pedido de prorrogação»). |
| --- | --- |

(2)

Por ofício registado na Comissão em 25 de fevereiro de 2021, a Hungria solicitou autorização para continuar a aplicar a medida especial («pedido de prorrogação»).

| (3) | Em conformidade com o artigo 395.o, n.o 2, segundo parágrafo, da Diretiva 2006/112/CE, a Comissão transmitiu o pedido de prorrogação aos restantes Estados-Membros por ofício datado de 7 de abril de 2021. Por ofício de 8 de abril de 2021, a Comissão notificou a Hungria de que dispunha de todas as informações necessárias para apreciar a prorrogação do pedido. |
| --- | --- |

(3)

Em conformidade com o artigo 395.o, n.o 2, segundo parágrafo, da Diretiva 2006/112/CE, a Comissão transmitiu o pedido de prorrogação aos restantes Estados-Membros por ofício datado de 7 de abril de 2021. Por ofício de 8 de abril de 2021, a Comissão notificou a Hungria de que dispunha de todas as informações necessárias para apreciar a prorrogação do pedido.

| (4) | Nos termos do artigo 5.o da Decisão de Execução (UE) 2018/1493, a Hungria apresentou à Comissão, juntamente com o pedido de prorrogação, um relatório que inclui a análise da percentagem máxima fixada para a dedução do IVA. Com base na informação atualmente disponível, a saber, a experiência alcançada com as auditorias fiscais e os dados estatísticos relativos à utilização privada dos veículos ligeiros de passageiros, a Hungria confirmou no pedido de prorrogação que a justificação da limitação a 50 % se mantém válida e adequada. Além disso, ao simplificar a coleta de IVA, a medida especial reduziu efetivamente os encargos administrativos que recaem sobre os contribuintes e as autoridades fiscais. Ao mesmo tempo, evita a evasão fiscal por meio da manutenção de registos incorretos. Por conseguinte, a Hungria deve ser autorizada a continuar a aplicar essa medida especial. |
| --- | --- |

(4)

Nos termos do artigo 5.o da Decisão de Execução (UE) 2018/1493, a Hungria apresentou à Comissão, juntamente com o pedido de prorrogação, um relatório que inclui a análise da percentagem máxima fixada para a dedução do IVA. Com base na informação atualmente disponível, a saber, a experiência alcançada com as auditorias fiscais e os dados estatísticos relativos à utilização privada dos veículos ligeiros de passageiros, a Hungria confirmou no pedido de prorrogação que a justificação da limitação a 50 % se mantém válida e adequada. Além disso, ao simplificar a coleta de IVA, a medida especial reduziu efetivamente os encargos administrativos que recaem sobre os contribuintes e as autoridades fiscais. Ao mesmo tempo, evita a evasão fiscal por meio da manutenção de registos incorretos. Por conseguinte, a Hungria deve ser autorizada a continuar a aplicar essa medida especial.

| (5) | A prorrogação da medida especial deve ser limitada no tempo, de modo a permitir uma avaliação da sua eficácia e da adequação da percentagem. Por esse motivo, a Hungria deve ser autorizada a continuar a aplicar a medida especial por um período limitado, até 31 de dezembro de 2024. |
| --- | --- |

(5)

A prorrogação da medida especial deve ser limitada no tempo, de modo a permitir uma avaliação da sua eficácia e da adequação da percentagem. Por esse motivo, a Hungria deve ser autorizada a continuar a aplicar a medida especial por um período limitado, até 31 de dezembro de 2024.

| (6) | Caso a Hungria considere que é necessária uma prorrogação da autorização para além de 2024, deve apresentar à Comissão um relatório contendo uma análise da percentagem máxima aplicada, juntamente com o pedido de prorrogação, o mais tardar, em 31 de março de 2024. |
| --- | --- |

(6)

Caso a Hungria considere que é necessária uma prorrogação da autorização para além de 2024, deve apresentar à Comissão um relatório contendo uma análise da percentagem máxima aplicada, juntamente com o pedido de prorrogação, o mais tardar, em 31 de março de 2024.

| (7) | A medida especial terá apenas um efeito negligenciável no montante global do imposto cobrado na fase de consumo final e não terá qualquer impacto adverso nos recursos próprios da União provenientes do IVA. |
| --- | --- |

(7)

A medida especial terá apenas um efeito negligenciável no montante global do imposto cobrado na fase de consumo final e não terá qualquer impacto adverso nos recursos próprios da União provenientes do IVA.

| (8) | Por conseguinte, a Decisão (UE) 2018/1493 deve ser alterada em conformidade, |
| --- | --- |

(8)

Por conseguinte, a Decisão (UE) 2018/1493 deve ser alterada em conformidade,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o

O artigo 5.o da Decisão de Execução (UE) 2018/1493 passa a ter a seguinte redação:

«Artigo 5.o

A presente decisão é aplicável de 1 de janeiro de 2019 a 31 de dezembro de 2024.

Os pedidos de prorrogação da autorização prevista na presente decisão devem ser apresentados à Comissão, o mais tardar, em 31 de março de 2024, juntamente com um relatório incluindo a análise da percentagem fixada no artigo 1.o».

Artigo 2.o

A presente decisão produz efeitos na data da sua notificação.

Artigo 3.o

A destinatária da presente decisão é a Hungria.

Feito no Luxemburgo, em 5 de outubro de 2021.

Pelo Conselho

O Presidente

A. ŠIRCELJ

---

(1)  
  JO L 347 de 11.12.2006, p. 1.

1

(2)  Decisão de Execução (UE) 2018/1493 do Conselho, de 2 de outubro de 2018, que autoriza a Hungria a introduzir uma medida especial em derrogação do artigo 26.o, n.o 1, alínea a), e dos artigos 168.o e 168.o-A da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado (JO L 252 de 8.10.2018, p. 44).

2

o

o

o

o

---

| 11.10.2021 | PT | Jornal Oficial da União Europeia | L 360/110 |
| --- | --- | --- | --- |

11.10.2021

PT

Jornal Oficial da União Europeia

L 360/110

---

DECISÃO DE EXECUÇÃO (UE) 2021/1775 DO CONSELHO

de 5 de outubro de 2021

que altera a Decisão de Execução (UE) 2018/789 que autoriza a Hungria a instituir uma medida especial em derrogação ao artigo 193.o da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado

O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta a Diretiva 2006/112/CE do Conselho, de 28 de novembro de 2006, relativa ao sistema comum do imposto sobre o valor acrescentado (1), nomeadamente o artigo 395.o, n.o 1, primeiro parágrafo,

Tendo em conta a proposta da Comissão Europeia,

Considerando o seguinte:

| (1) | O artigo 193.o da Diretiva 2006/112/CE estatui que qualquer sujeito passivo que efetue entregas de bens ou prestações de serviços tributáveis é, regra geral, responsável pelo pagamento do imposto sobre o valor acrescentado (IVA) às administrações fiscais. |
| --- | --- |

(1)

O artigo 193.o da Diretiva 2006/112/CE estatui que qualquer sujeito passivo que efetue entregas de bens ou prestações de serviços tributáveis é, regra geral, responsável pelo pagamento do imposto sobre o valor acrescentado (IVA) às administrações fiscais.

| (2) | A Decisão de Execução (UE) 2018/789 do Conselho (2) autorizou a Hungria a introduzir uma medida em derrogação ao artigo 193.o da Diretiva 2006/112/CE no que diz respeito à pessoa responsável pelo pagamento do IVA no caso de certas entregas efetuadas por um sujeito passivo se sobre este impender um processo de liquidação ou qualquer outro processo pelo qual se determine a respetiva insolvência (a «medida especial»). |
| --- | --- |

(2)

A Decisão de Execução (UE) 2018/789 do Conselho (2) autorizou a Hungria a introduzir uma medida em derrogação ao artigo 193.o da Diretiva 2006/112/CE no que diz respeito à pessoa responsável pelo pagamento do IVA no caso de certas entregas efetuadas por um sujeito passivo se sobre este impender um processo de liquidação ou qualquer outro processo pelo qual se determine a respetiva insolvência (a «medida especial»).

| (3) | Por ofício registado na Comissão em 18 de fevereiro de 2021, a Hungria apresentou à Comissão um pedido de prorrogação da autorização para aplicar a medida especial até 31 de dezembro de 2026 («pedido»). Juntamente com o pedido, a Hungria apresentou um relatório, incluindo um reexame da medida especial. |
| --- | --- |

(3)

Por ofício registado na Comissão em 18 de fevereiro de 2021, a Hungria apresentou à Comissão um pedido de prorrogação da autorização para aplicar a medida especial até 31 de dezembro de 2026 («pedido»). Juntamente com o pedido, a Hungria apresentou um relatório, incluindo um reexame da medida especial.

| (4) | De acordo com o artigo 395.o, n.o 2, segundo parágrafo, da Diretiva 2006/112/CE, a Comissão, por ofícios de 7 de abril de 2021, transmitiu o pedido aos restantes Estados-Membros. Por ofício de 8 de abril de 2021, a Comissão notificou a Hungria de que dispunha de todas as informações necessárias para apreciar o pedido. |
| --- | --- |

(4)

De acordo com o artigo 395.o, n.o 2, segundo parágrafo, da Diretiva 2006/112/CE, a Comissão, por ofícios de 7 de abril de 2021, transmitiu o pedido aos restantes Estados-Membros. Por ofício de 8 de abril de 2021, a Comissão notificou a Hungria de que dispunha de todas as informações necessárias para apreciar o pedido.

| (5) | A Hungria argumenta que, muitas vezes, os sujeitos passivos em situação de liquidação ou em processo de insolvência não procedem ao pagamento do IVA devido às autoridades fiscais. Ao mesmo tempo, o adquirente, sujeito passivo com direito a dedução, continua a poder deduzir o IVA incorrido, o que tem efeitos negativos sobre o orçamento e permite financiar a liquidação. A Hungria também registou casos de fraude em que as empresas em liquidação emitiriam faturas fictícias a empresas ativas, reduzindo de forma importante o imposto a pagar sem a garantia de que o emitente pagaria o IVA devido. |
| --- | --- |

(5)

A Hungria argumenta que, muitas vezes, os sujeitos passivos em situação de liquidação ou em processo de insolvência não procedem ao pagamento do IVA devido às autoridades fiscais. Ao mesmo tempo, o adquirente, sujeito passivo com direito a dedução, continua a poder deduzir o IVA incorrido, o que tem efeitos negativos sobre o orçamento e permite financiar a liquidação. A Hungria também registou casos de fraude em que as empresas em liquidação emitiriam faturas fictícias a empresas ativas, reduzindo de forma importante o imposto a pagar sem a garantia de que o emitente pagaria o IVA devido.

| (6) | O artigo 199.o, n.o 1, alínea g), da Diretiva 2006/112/CE permite aos Estados-Membros estabelecer que a pessoa responsável pelo pagamento do IVA é o sujeito passivo destinatário da entrega de um bem imóvel vendido pelo devedor no âmbito de um processo de venda coerciva (o «mecanismo de autoliquidação»). A medida especial permite à Hungria alargar a aplicação do mecanismo de autoliquidação a outras entregas efetuadas por sujeitos passivos em processo de insolvência, nomeadamente a entrega de bens de investimento e a entrega de outros bens ou a prestação de serviços com um valor de mercado livre superior a 100 000 HUF. |
| --- | --- |

(6)

O artigo 199.o, n.o 1, alínea g), da Diretiva 2006/112/CE permite aos Estados-Membros estabelecer que a pessoa responsável pelo pagamento do IVA é o sujeito passivo destinatário da entrega de um bem imóvel vendido pelo devedor no âmbito de um processo de venda coerciva (o «mecanismo de autoliquidação»). A medida especial permite à Hungria alargar a aplicação do mecanismo de autoliquidação a outras entregas efetuadas por sujeitos passivos em processo de insolvência, nomeadamente a entrega de bens de investimento e a entrega de outros bens ou a prestação de serviços com um valor de mercado livre superior a 100 000 HUF.

| (7) | Com base na informação apresentada pela Hungria, a aplicação do mecanismo de autoliquidação a estes tipos de operações serviu de facto para simplificar a cobrança de impostos e prevenir a evasão fiscal. A aplicação da medida especial limitou as perdas para as receitas públicas e gerou receitas orçamentais adicionais. Além disso, os efeitos económicos da pandemia de COVID-19 poderão conduzir a um aumento acentuado do número de liquidações num futuro próximo, sublinhando a necessidade de prorrogar a medida especial. |
| --- | --- |

(7)

Com base na informação apresentada pela Hungria, a aplicação do mecanismo de autoliquidação a estes tipos de operações serviu de facto para simplificar a cobrança de impostos e prevenir a evasão fiscal. A aplicação da medida especial limitou as perdas para as receitas públicas e gerou receitas orçamentais adicionais. Além disso, os efeitos económicos da pandemia de COVID-19 poderão conduzir a um aumento acentuado do número de liquidações num futuro próximo, sublinhando a necessidade de prorrogar a medida especial.

| (8) | A derrogação solicitada deve ter uma duração limitada, mas ainda assim deve dar à administração fiscal tempo para introduzir outras medidas convencionais para resolver o problema em causa e reduzir as perdas para o orçamento público, em especial no que se refere às perdas relacionadas com práticas fraudulentas antes que a medida especial caduque, tornando assim redundante a medida especial. Uma derrogação para permitir a utilização do mecanismo de autoliquidação é concedida apenas a título excecional para áreas específicas objeto de fraude e constitui um instrumento de último recurso. A autorização deve, por conseguinte, ser prorrogada apenas até 31 de dezembro de 2024. |
| --- | --- |

(8)

A derrogação solicitada deve ter uma duração limitada, mas ainda assim deve dar à administração fiscal tempo para introduzir outras medidas convencionais para resolver o problema em causa e reduzir as perdas para o orçamento público, em especial no que se refere às perdas relacionadas com práticas fraudulentas antes que a medida especial caduque, tornando assim redundante a medida especial. Uma derrogação para permitir a utilização do mecanismo de autoliquidação é concedida apenas a título excecional para áreas específicas objeto de fraude e constitui um instrumento de último recurso. A autorização deve, por conseguinte, ser prorrogada apenas até 31 de dezembro de 2024.

| (9) | A medida especial não tem qualquer impacto adverso nos recursos próprios da União provenientes do IVA. |
| --- | --- |

(9)

A medida especial não tem qualquer impacto adverso nos recursos próprios da União provenientes do IVA.

| (10) | Por conseguinte, a Decisão de Execução (UE) 2018/789 deve ser alterada em conformidade, |
| --- | --- |

(10)

Por conseguinte, a Decisão de Execução (UE) 2018/789 deve ser alterada em conformidade,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o

No artigo 2.o da Decisão de Execução (UE) 2018/789, o segundo parágrafo passa a ter a seguinte redação:

«A presente decisão caduca em 31 de dezembro de 2024.»

Artigo 2.o

A presente decisão produz efeitos na data da sua notificação.

Artigo 3.o

A destinatária da presente decisão é a Hungria.

Feito no Luxemburgo, em 5 de outubro de 2021.

Pelo Conselho

O Presidente

A. ŠIRCELJ

---

(1)  
  JO L 347 de 11.12.2006, p. 1.

1

(2)  Decisão de Execução (UE) 2018/789 do Conselho, de 25 de maio de 2018, que autoriza a Hungria a aplicar uma medida especial em derrogação ao artigo 193.o da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado (JO L 134 de 31.5.2018, p. 10).

2

o

---

| 11.10.2021 | PT | Jornal Oficial da União Europeia | L 360/112 |
| --- | --- | --- | --- |

11.10.2021

PT

Jornal Oficial da União Europeia

L 360/112

---

DECISÃO DE EXECUÇÃO (UE) 2021/1776 DO CONSELHO

de 5 de outubro de 2021

que altera a Decisão 2009/791/CE que autoriza a República Federal da Alemanha a continuar a aplicar uma medida em derrogação ao artigo 168.o da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado

O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta a Diretiva 2006/112/CE do Conselho, de 28 de novembro de 2006, relativa ao sistema comum do imposto sobre o valor acrescentado (1), nomeadamente o artigo 395.o, n.o 1, primeiro parágrafo,

Tendo em conta a proposta da Comissão Europeia,

Considerando o seguinte:

| (1) | Os artigos 168.o e 168.°-A da Diretiva 2006/112/CE regem o direito de os sujeitos passivos deduzirem o imposto sobre o valor acrescentado (IVA) que incide sobre os bens e serviços que lhes são fornecidos para fins relacionados com as suas operações tributadas. A República Federal da Alemanha («Alemanha») foi autorizada a introduzir uma medida derrogatória que visa excluir do direito à dedução o IVA que incide sobre os bens e serviços, quando esses bens e serviços forem utilizados pelo sujeito passivo em mais de 90 % para os seus fins privados ou do seu pessoal ou, em geral, para fins não profissionais ou atividades não económicas. |
| --- | --- |

(1)

Os artigos 168.o e 168.°-A da Diretiva 2006/112/CE regem o direito de os sujeitos passivos deduzirem o imposto sobre o valor acrescentado (IVA) que incide sobre os bens e serviços que lhes são fornecidos para fins relacionados com as suas operações tributadas. A República Federal da Alemanha («Alemanha») foi autorizada a introduzir uma medida derrogatória que visa excluir do direito à dedução o IVA que incide sobre os bens e serviços, quando esses bens e serviços forem utilizados pelo sujeito passivo em mais de 90 % para os seus fins privados ou do seu pessoal ou, em geral, para fins não profissionais ou atividades não económicas.

| (2) | A Decisão 2000/186/CE do Conselho (2) autorizou inicialmente a Alemanha a introduzir e aplicar medidas derrogatória dos artigos 6.o e 17.° da Diretiva 77/388/CEE do Conselho (3) até 31 de dezembro de 2002. A Decisão 2003/354/CE do Conselho (4) autorizou a Alemanha a aplicar uma medida derrogatória do artigo 17.o da Diretiva 77/388/CEE até 30 de junho de 2004. A Decisão 2004/817/CE do Conselho (5) prorrogou essa autorização até 31 de dezembro de 2009. |
| --- | --- |

(2)

A Decisão 2000/186/CE do Conselho (2) autorizou inicialmente a Alemanha a introduzir e aplicar medidas derrogatória dos artigos 6.o e 17.° da Diretiva 77/388/CEE do Conselho (3) até 31 de dezembro de 2002. A Decisão 2003/354/CE do Conselho (4) autorizou a Alemanha a aplicar uma medida derrogatória do artigo 17.o da Diretiva 77/388/CEE até 30 de junho de 2004. A Decisão 2004/817/CE do Conselho (5) prorrogou essa autorização até 31 de dezembro de 2009.

| (3) | A Decisão 2009/791/CE do Conselho (6) autorizou a Alemanha a continuar a aplicar uma medida em derrogação ao artigo 168.o da Diretiva 2006/112/CE. No seguimento de prorrogações sucessivas, a autorização irá expirar em 31 de dezembro de 2021. |
| --- | --- |

(3)

A Decisão 2009/791/CE do Conselho (6) autorizou a Alemanha a continuar a aplicar uma medida em derrogação ao artigo 168.o da Diretiva 2006/112/CE. No seguimento de prorrogações sucessivas, a autorização irá expirar em 31 de dezembro de 2021.

| (4) | A Diretiva 2009/162/UE do Conselho (7) inseriu o artigo 168.o-A na Diretiva 2006/112/CE, a fim de limitar a dedução à proporção de utilização profissional efetiva e, dessa forma, aplicar mais eficazmente o princípio segundo o qual a dedução só tem lugar na medida em que os bens e serviços em causa são utilizados para as atividades da empresa do sujeito passivo. O artigo 1.o da Decisão 2009/791/CE foi alterado de modo a incluir uma referência ao artigo 168.o-A da Diretiva 2006/112/CE. Por conseguinte, o título da Decisão 2009/791/CE deve também fazer referência ao artigo 168.o-A da Diretiva 2006/112/CE. |
| --- | --- |

(4)

A Diretiva 2009/162/UE do Conselho (7) inseriu o artigo 168.o-A na Diretiva 2006/112/CE, a fim de limitar a dedução à proporção de utilização profissional efetiva e, dessa forma, aplicar mais eficazmente o princípio segundo o qual a dedução só tem lugar na medida em que os bens e serviços em causa são utilizados para as atividades da empresa do sujeito passivo. O artigo 1.o da Decisão 2009/791/CE foi alterado de modo a incluir uma referência ao artigo 168.o-A da Diretiva 2006/112/CE. Por conseguinte, o título da Decisão 2009/791/CE deve também fazer referência ao artigo 168.o-A da Diretiva 2006/112/CE.

| (5) | Por ofício registado na Comissão de 19 de fevereiro de 2021, a Alemanha apresentou um pedido à Comissão no sentido de prorrogar a autorização para continuar a aplicar uma medida em derrogação («medida especial») aos artigos 168.o e 168.°-A da Diretiva 2006/112/CE, que visa excluir totalmente do direito à dedução o IVA que incide sobre os bens e serviços que forem utilizados pelo sujeito passivo em mais de 90 % para fins privados ou não profissionais, incluindo atividades não económicas («pedido»). O pedido foi acompanhado de um relatório sobre a aplicação da medida especial, incluindo uma análise da taxa de rateio aplicada ao direito à dedução do IVA, conforme exigido pelo artigo 2.o da Decisão 2009/791/CE. |
| --- | --- |

(5)

Por ofício registado na Comissão de 19 de fevereiro de 2021, a Alemanha apresentou um pedido à Comissão no sentido de prorrogar a autorização para continuar a aplicar uma medida em derrogação («medida especial») aos artigos 168.o e 168.°-A da Diretiva 2006/112/CE, que visa excluir totalmente do direito à dedução o IVA que incide sobre os bens e serviços que forem utilizados pelo sujeito passivo em mais de 90 % para fins privados ou não profissionais, incluindo atividades não económicas («pedido»). O pedido foi acompanhado de um relatório sobre a aplicação da medida especial, incluindo uma análise da taxa de rateio aplicada ao direito à dedução do IVA, conforme exigido pelo artigo 2.o da Decisão 2009/791/CE.

| (6) | Nos termos do artigo 395.o, n.o 2, segundo parágrafo, da Diretiva 2006/112/CE, a Comissão transmitiu o pedido aos demais Estados-Membros por ofícios datados de 17 de março de 2021. Por ofício datado de 18 de março de 2021, a Comissão comunicou à Alemanha que dispunha de todas as informações necessárias para apreciar o pedido. |
| --- | --- |

(6)

Nos termos do artigo 395.o, n.o 2, segundo parágrafo, da Diretiva 2006/112/CE, a Comissão transmitiu o pedido aos demais Estados-Membros por ofícios datados de 17 de março de 2021. Por ofício datado de 18 de março de 2021, a Comissão comunicou à Alemanha que dispunha de todas as informações necessárias para apreciar o pedido.

| (7) | Segundo a Alemanha, a medida especial revelou-se muito eficaz para simplificar a cobrança do IVA e para evitar as fraudes e evasões fiscais. A medida especial reduz os encargos administrativos para as empresas e para as administrações fiscais, uma vez que não é necessária qualquer monitorização da subsequente utilização dos bens e serviços aos quais a exclusão da dedução foi aplicada no momento da sua aquisição. Por esse motivo, a Alemanha deve ser autorizada a continuar a aplicar a medida especial durante um novo período limitado, até 31 de dezembro de 2024. |
| --- | --- |

(7)

Segundo a Alemanha, a medida especial revelou-se muito eficaz para simplificar a cobrança do IVA e para evitar as fraudes e evasões fiscais. A medida especial reduz os encargos administrativos para as empresas e para as administrações fiscais, uma vez que não é necessária qualquer monitorização da subsequente utilização dos bens e serviços aos quais a exclusão da dedução foi aplicada no momento da sua aquisição. Por esse motivo, a Alemanha deve ser autorizada a continuar a aplicar a medida especial durante um novo período limitado, até 31 de dezembro de 2024.

| (8) | No caso de a Alemanha considerar necessária uma prorrogação para além de 2024, deverá apresentar um pedido à Comissão até 31 de março de 2024, acompanhado de um relatório sobre a aplicação da medida especial, que deve incluir uma análise da taxa de rateio aplicada. |
| --- | --- |

(8)

No caso de a Alemanha considerar necessária uma prorrogação para além de 2024, deverá apresentar um pedido à Comissão até 31 de março de 2024, acompanhado de um relatório sobre a aplicação da medida especial, que deve incluir uma análise da taxa de rateio aplicada.

| (9) | A medida especial não tem qualquer impacto adverso nos recursos próprios da União provenientes do IVA. |
| --- | --- |

(9)

A medida especial não tem qualquer impacto adverso nos recursos próprios da União provenientes do IVA.

| (10) | A Decisão 2009/791/CE deve, pois, ser alterada em conformidade, |
| --- | --- |

(10)

A Decisão 2009/791/CE deve, pois, ser alterada em conformidade,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o

A Decisão 2009/791/CE é alterada do seguinte modo:

| 1) | O título passa a ter a seguinte redação:

  «Decisão 2009/791/CE do Conselho, de 20 de outubro de 2009, que autoriza a República Federal da Alemanha a continuar a aplicar uma medida em derrogação aos artigos 168.o e 168.°-A da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado»; |
| --- | --- |

1)

O título passa a ter a seguinte redação:

«Decisão 2009/791/CE do Conselho, de 20 de outubro de 2009, que autoriza a República Federal da Alemanha a continuar a aplicar uma medida em derrogação aos artigos 168.o e 168.°-A da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado»;

| 2) | O artigo 2.o passa a ter a seguinte redação:

  «Artigo 2.o

  A presente decisão caduca em 31 de dezembro de 2024.
  Os pedidos de prorrogação da aplicação da medida derrogatória prevista na presente decisão devem ser apresentados à Comissão até 31 de março de 2024.
  Esses pedidos de prorrogação devem ser acompanhados de um relatório sobre a aplicação da presente medida que inclua a análise da taxa de rateio aplicada ao direito à dedução do IVA com base na presente decisão.». |
| --- | --- |

2)

O artigo 2.o passa a ter a seguinte redação:

«Artigo 2.o

A presente decisão caduca em 31 de dezembro de 2024.

Os pedidos de prorrogação da aplicação da medida derrogatória prevista na presente decisão devem ser apresentados à Comissão até 31 de março de 2024.

Esses pedidos de prorrogação devem ser acompanhados de um relatório sobre a aplicação da presente medida que inclua a análise da taxa de rateio aplicada ao direito à dedução do IVA com base na presente decisão.».

Artigo 2.o

A presente decisão produz efeitos na data da sua notificação.

Artigo 3.o

A destinatária da presente decisão é a República Federal da Alemanha.

Feito no Luxemburgo, em 5 de outubro de 2021.

Pelo Conselho

O Presidente

A. ŠIRCELJ

---

(1)  
  JO L 347 de 11.12.2006, p. 1.

1

(2)  Decisão 2000/186/CE do Conselho, de 28 de fevereiro de 2000, que autoriza a República Federal da Alemanha a aplicar medidas derrogatórias dos artigos 6.o e 17.° da sexta Diretiva 77/388/CEE relativa à harmonização das legislações dos Estados-Membros respeitantes aos impostos sobre o volume de negócios — Sistema Comum do imposto sobre o valor acrescentado: matéria coletável uniforme (JO L 59 de 4.3.2000, p. 12).

2

o

(3)  Sexta Diretiva 77/388/CEE do Conselho, de 17 de maio de 1977, relativa à harmonização das legislações dos Estados-Membros respeitantes aos impostos sobre o volume de negócios — sistema comum do imposto sobre o valor acrescentado: matéria coletável uniforme (JO L 145 de 13.6.1977, p. 1).

3

(4)  Decisão 2003/354/CE do Conselho, de 13 de maio de 2003, que autoriza a Alemanha a aplicar uma medida derrogatória do artigo 17.o da Sexta Diretiva 77/388/CEE relativa à harmonização das legislações dos Estados-Membros respeitantes aos impostos sobre o volume de negócios (JO L 123 de 17.5.2003, p. 47).

4

o

(5)  Decisão 2004/817/CE do Conselho, de 19 de novembro de 2004, que autoriza a República Federal da Alemanha a aplicar uma medida derrogatória do artigo 17.o da Sexta Diretiva 77/388/CEE relativa à harmonização das legislações dos Estados-Membros respeitantes aos impostos sobre o volume de negócios (JO L 357 de 2.12.2004, p. 33).

5

o

(6)  Decisão 2009/791/CE do Conselho, de 20 de outubro de 2009, que autoriza a República Federal da Alemanha a continuar a aplicar uma medida em derrogação ao artigo 168.o da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado (JO L 283 de 30.10.2009, p. 55).

6

o

(7)  Diretiva 2009/162/UE do Conselho, de 22 de dezembro de 2009, que altera diversas disposições da Diretiva 2006/112/CE, relativa ao sistema comum do imposto sobre o valor acrescentado (JO L 10 de 15.1.2010, p. 14).

7

---

| 11.10.2021 | PT | Jornal Oficial da União Europeia | L 360/115 |
| --- | --- | --- | --- |

11.10.2021

PT

Jornal Oficial da União Europeia

L 360/115

---

DECISÃO DE EXECUÇÃO (UE) 2021/1777 DO CONSELHO

de 5 de outubro de 2021

que autoriza a Itália a aplicar taxas reduzidas de tributação ao gasóleo utilizado para aquecimento e à eletricidade fornecidos no município de Campione d’Italia

O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta a Diretiva 2003/96/CE do Conselho, de 27 de outubro de 2003, que reestrutura o quadro comunitário de tributação dos produtos energéticos e da eletricidade (1), nomeadamente o artigo 19.o,

Tendo em conta a proposta da Comissão Europeia,

Considerando o seguinte:

| (1) | Por ofício de 7 de agosto de 2020, a Itália solicitou autorização para aplicar, no período compreendido entre 1 de janeiro de 2021 e 31 de dezembro de 2026, taxas reduzidas de tributação ao gasóleo utilizado para aquecimento e à eletricidade fornecidos no município de Campione d’Italia em conformidade com o artigo 19.o da Diretiva 2003/96/CE. Em 19 de janeiro de 2021, a Itália forneceu informações e esclarecimentos adicionais em apoio do pedido. |
| --- | --- |

(1)

Por ofício de 7 de agosto de 2020, a Itália solicitou autorização para aplicar, no período compreendido entre 1 de janeiro de 2021 e 31 de dezembro de 2026, taxas reduzidas de tributação ao gasóleo utilizado para aquecimento e à eletricidade fornecidos no município de Campione d’Italia em conformidade com o artigo 19.o da Diretiva 2003/96/CE. Em 19 de janeiro de 2021, a Itália forneceu informações e esclarecimentos adicionais em apoio do pedido.

| (2) | O município de Campione d’Italia é um exclave italiano na Suíça, com um âmbito geográfico muito limitado e uma população reduzida. A zona é montanhosa, o que limita o desenvolvimento urbano, as atividades industriais e a sua acessibilidade geral. Dada a sua localização geográfica, a sua falta de acesso à rede de gás natural e as suas condições climáticas extremas, os custos do fornecimento de produtos energéticos a Campione d’Italia são elevados, independentemente de serem fornecidos a partir da Suíça ou de Itália. Além disso, a entrada de Campione d’Italia no território aduaneiro da União em 1 de janeiro de 2020 levou a um aumento dos custos da energia para as famílias e para as empresas. Além disso, Campione d’Italia está a atravessar uma grave crise económica, agravada pela pandemia de COVID-19. |
| --- | --- |

(2)

O município de Campione d’Italia é um exclave italiano na Suíça, com um âmbito geográfico muito limitado e uma população reduzida. A zona é montanhosa, o que limita o desenvolvimento urbano, as atividades industriais e a sua acessibilidade geral. Dada a sua localização geográfica, a sua falta de acesso à rede de gás natural e as suas condições climáticas extremas, os custos do fornecimento de produtos energéticos a Campione d’Italia são elevados, independentemente de serem fornecidos a partir da Suíça ou de Itália. Além disso, a entrada de Campione d’Italia no território aduaneiro da União em 1 de janeiro de 2020 levou a um aumento dos custos da energia para as famílias e para as empresas. Além disso, Campione d’Italia está a atravessar uma grave crise económica, agravada pela pandemia de COVID-19.

| (3) | Para atenuar o elevado custo da energia em Campione d’Italia, a tributação de certos produtos energéticos deverá ser reduzida. |
| --- | --- |

(3)

Para atenuar o elevado custo da energia em Campione d’Italia, a tributação de certos produtos energéticos deverá ser reduzida.

| (4) | A Comissão examinou a medida solicitada, tendo concluído que esta não provocava distorções de concorrência, não prejudicava o bom funcionamento do mercado interno e não podia ser considerada incompatível com as políticas da União nos domínios do ambiente, da energia e dos transportes. As taxas reduzidas de tributação para o gasóleo e a eletricidade continuariam a ser iguais ou superiores aos níveis mínimos de tributação estabelecidos na Diretiva 2003/96/CE e compensariam parcialmente o aumento dos custos da energia no município de Campione d’Italia. A redução fiscal não é cumulativa com qualquer outro tipo de redução fiscal. |
| --- | --- |

(4)

A Comissão examinou a medida solicitada, tendo concluído que esta não provocava distorções de concorrência, não prejudicava o bom funcionamento do mercado interno e não podia ser considerada incompatível com as políticas da União nos domínios do ambiente, da energia e dos transportes. As taxas reduzidas de tributação para o gasóleo e a eletricidade continuariam a ser iguais ou superiores aos níveis mínimos de tributação estabelecidos na Diretiva 2003/96/CE e compensariam parcialmente o aumento dos custos da energia no município de Campione d’Italia. A redução fiscal não é cumulativa com qualquer outro tipo de redução fiscal.

| (5) | Por conseguinte, a Itália deverá ser autorizada a aplicar taxas de tributação reduzidas ao gasóleo utilizado para aquecimento e à eletricidade fornecidos no município de Campione d’Italia. |
| --- | --- |

(5)

Por conseguinte, a Itália deverá ser autorizada a aplicar taxas de tributação reduzidas ao gasóleo utilizado para aquecimento e à eletricidade fornecidos no município de Campione d’Italia.

| (6) | A fim de assegurar que são alcançados os objetivos visados pela medida derrogatória, em particular os que visam evitar os efeitos disruptivos das atuais circunstâncias económicas, sociais e geográficas de Campione d’Italia e de assegurar condições de concorrência equitativas ao atenuar os elevados custos energéticos, convém que a presente decisão seja aplicável desde 1 de janeiro de 2021. Ao prever a aplicação a partir de uma data anterior à entrada em vigor da medida derrogatória, é respeitada a confiança legítima dos operadores do mercado e dos indivíduos, uma vez que a medida derrogatória não interfere com os seus direitos e obrigações. |
| --- | --- |

(6)

A fim de assegurar que são alcançados os objetivos visados pela medida derrogatória, em particular os que visam evitar os efeitos disruptivos das atuais circunstâncias económicas, sociais e geográficas de Campione d’Italia e de assegurar condições de concorrência equitativas ao atenuar os elevados custos energéticos, convém que a presente decisão seja aplicável desde 1 de janeiro de 2021. Ao prever a aplicação a partir de uma data anterior à entrada em vigor da medida derrogatória, é respeitada a confiança legítima dos operadores do mercado e dos indivíduos, uma vez que a medida derrogatória não interfere com os seus direitos e obrigações.

| (7) | Cada autorização concedida ao abrigo do artigo 19.o, n.o 2, da Diretiva 2003/96/CE deve ser estritamente limitada no tempo. Para dar ao município de Campione d’Italia um grau suficiente de certeza, a autorização deverá ser concedida por um período de seis anos. Contudo, a fim de não comprometer a evolução do regime jurídico em vigor, é oportuno prever que, se o Conselho, deliberando com base no artigo 113.o do Tratado sobre o Funcionamento da União Europeia, vier a adotar um sistema geral alterado de tributação dos produtos energéticos com o qual a presente autorização não seja compatível, a presente autorização deverá deixar de se aplicar no dia em que essas regras gerais se tornarem aplicáveis. |
| --- | --- |

(7)

Cada autorização concedida ao abrigo do artigo 19.o, n.o 2, da Diretiva 2003/96/CE deve ser estritamente limitada no tempo. Para dar ao município de Campione d’Italia um grau suficiente de certeza, a autorização deverá ser concedida por um período de seis anos. Contudo, a fim de não comprometer a evolução do regime jurídico em vigor, é oportuno prever que, se o Conselho, deliberando com base no artigo 113.o do Tratado sobre o Funcionamento da União Europeia, vier a adotar um sistema geral alterado de tributação dos produtos energéticos com o qual a presente autorização não seja compatível, a presente autorização deverá deixar de se aplicar no dia em que essas regras gerais se tornarem aplicáveis.

| (8) | A presente decisão não prejudica a aplicação das regras da União em matéria de auxílios estatais, |
| --- | --- |

(8)

A presente decisão não prejudica a aplicação das regras da União em matéria de auxílios estatais,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o

A Itália é autorizada a aplicar taxas reduzidas tributação ao gasóleo utilizado para aquecimento e à eletricidade fornecidos no município de Campione d’Italia, desde que os níveis mínimos de tributação referidos nos artigos 9.o e 10.° da Diretiva 2003/96/CE sejam cumpridos.

Artigo 2.o

A presente decisão é aplicável no período compreendido entre 1 de janeiro de 2021 e 31 de dezembro de 2026.

Contudo, se o Conselho, deliberando com base no disposto no artigo 113.o ou em qualquer outra disposição pertinente do Tratado sobre o Funcionamento da União Europeia, introduzir um sistema geral alterado de tributação dos produtos energéticos com o qual a autorização concedida no artigo 1.o da presente decisão não seja compatível, a presente decisão deixa de ser aplicável no dia em que essas normas gerais se tornem aplicáveis.

Artigo 3.o

A destinatária da presente decisão é a República Italiana.

Feito no Luxemburgo, em 5 de outubro de 2021.

Pelo Conselho

O Presidente

A. ŠIRCELJ

---

(1)  
  JO L 283 de 31.10.2003, p. 51.

1

---

| 11.10.2021 | PT | Jornal Oficial da União Europeia | L 360/117 |
| --- | --- | --- | --- |

11.10.2021

PT

Jornal Oficial da União Europeia

L 360/117

---

DECISÃO DE EXECUÇÃO (UE) 2021/1778 DO CONSELHO

de 5 de outubro de 2021

que autoriza a República Federal da Alemanha a aplicar uma medida especial em derrogação ao artigo 193.o da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado

O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta a Diretiva 2006/112/CE do Conselho, de 28 de novembro de 2006, relativa ao sistema comum do imposto sobre o valor acrescentado (1), nomeadamente o artigo 395.o, n.o 1, primeiro parágrafo,

Tendo em conta a proposta da Comissão Europeia,

Considerando o seguinte:

| (1) | O artigo 193.o da Diretiva 2006/112/CE estabelece que os sujeitos passivos que efetuem entregas de bens ou prestações de serviços são, regra geral, os devedores do imposto sobre o valor acrescentado (IVA) às administrações fiscais. |
| --- | --- |

(1)

O artigo 193.o da Diretiva 2006/112/CE estabelece que os sujeitos passivos que efetuem entregas de bens ou prestações de serviços são, regra geral, os devedores do imposto sobre o valor acrescentado (IVA) às administrações fiscais.

| (2) | Por ofício registado na Comissão de 15 de março de 2021, a República Federal da Alemanha («Alemanha») apresentou um pedido de autorização à Comissão para aplicar uma medida especial em derrogação ao artigo 193.o da Diretiva 2006/112/CE no que diz respeito aos devedores do IVA no caso de transferências de licenças de emissão negociadas no âmbito de um sistema nacional de comércio ao abrigo da Lei relativa ao Comércio de Licenças de Emissão de Combustíveis (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen — «BEHG») de 12 de dezembro de 2019 («pedido»). |
| --- | --- |

(2)

Por ofício registado na Comissão de 15 de março de 2021, a República Federal da Alemanha («Alemanha») apresentou um pedido de autorização à Comissão para aplicar uma medida especial em derrogação ao artigo 193.o da Diretiva 2006/112/CE no que diz respeito aos devedores do IVA no caso de transferências de licenças de emissão negociadas no âmbito de um sistema nacional de comércio ao abrigo da Lei relativa ao Comércio de Licenças de Emissão de Combustíveis (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen — «BEHG») de 12 de dezembro de 2019 («pedido»).

| (3) | Nos termos do artigo 395.o, n.o 2, segundo parágrafo, da Diretiva 2006/112/CE, por ofícios datados de 7 de abril de 2021, a Comissão transmitiu o pedido aos demais Estados-Membros e, por ofício datado de 8 de abril de 2021, comunicou à Alemanha que dispunha de todas as informações necessárias para considerar o pedido. |
| --- | --- |

(3)

Nos termos do artigo 395.o, n.o 2, segundo parágrafo, da Diretiva 2006/112/CE, por ofícios datados de 7 de abril de 2021, a Comissão transmitiu o pedido aos demais Estados-Membros e, por ofício datado de 8 de abril de 2021, comunicou à Alemanha que dispunha de todas as informações necessárias para considerar o pedido.

| (4) | O artigo 199.o-A, n.o 1, alíneas a) e b), da Diretiva 2006/112/CE permite que os Estados-Membros designem sujeitos passivos que recebam transferências de licenças de emissão de gases com efeito de estufa, tal como definidos no artigo 3.o da Diretiva 2003/87/CE do Parlamento Europeu e do Conselho (2), e transferências de outras unidades que possam ser utilizadas pelos operadores para cumprimento da mesma diretiva, como devedores do IVA («mecanismo de autoliquidação»). As referidas disposições foram incluídas na Diretiva 2006/112/CE pela Diretiva 2010/23/UE do Conselho (3) a fim de contribuir para a luta contra a fraude no domínio do IVA. A aplicação do mecanismo de autoliquidação ao comércio de emissões de gases com efeito de estufa nos termos do artigo 199.o-A, n.o 1, alíneas a) e b), da Diretiva 2006/112/CE está limitada às licenças de emissão negociadas no âmbito do Sistema de Comércio de Emissões da UE («CELE»). |
| --- | --- |

(4)

O artigo 199.o-A, n.o 1, alíneas a) e b), da Diretiva 2006/112/CE permite que os Estados-Membros designem sujeitos passivos que recebam transferências de licenças de emissão de gases com efeito de estufa, tal como definidos no artigo 3.o da Diretiva 2003/87/CE do Parlamento Europeu e do Conselho (2), e transferências de outras unidades que possam ser utilizadas pelos operadores para cumprimento da mesma diretiva, como devedores do IVA («mecanismo de autoliquidação»). As referidas disposições foram incluídas na Diretiva 2006/112/CE pela Diretiva 2010/23/UE do Conselho (3) a fim de contribuir para a luta contra a fraude no domínio do IVA. A aplicação do mecanismo de autoliquidação ao comércio de emissões de gases com efeito de estufa nos termos do artigo 199.o-A, n.o 1, alíneas a) e b), da Diretiva 2006/112/CE está limitada às licenças de emissão negociadas no âmbito do Sistema de Comércio de Emissões da UE («CELE»).

| (5) | Ao abrigo da BEHG, a Alemanha criou um quadro jurídico para um sistema nacional de comércio que abrange as emissões não abrangidas pelo CELE. Por conseguinte, o artigo 199.o-A, n.o 1, alíneas a) e b), da Diretiva 2006/112/CE não fornece a base jurídica para a aplicação do mecanismo de autoliquidação ao comércio de licenças ao abrigo da BEHG. |
| --- | --- |

(5)

Ao abrigo da BEHG, a Alemanha criou um quadro jurídico para um sistema nacional de comércio que abrange as emissões não abrangidas pelo CELE. Por conseguinte, o artigo 199.o-A, n.o 1, alíneas a) e b), da Diretiva 2006/112/CE não fornece a base jurídica para a aplicação do mecanismo de autoliquidação ao comércio de licenças ao abrigo da BEHG.

| (6) | De acordo com a Alemanha, o comércio de licenças de emissão é muito vulnerável à fraude no domínio do IVA. O comércio de licenças de emissão de combustíveis ao abrigo da BEHG poderia ser explorado para fins fraudulentos, tal como acontece ao abrigo do CELE. As licenças de emissão podem ser trocadas de forma rápida, repetida e fácil. Consequentemente, é muito difícil para as autoridades detetar tais mudanças de propriedade e garantir que o valor adequado do imposto seja cobrado. O adquirente das licenças, sendo um sujeito passivo com direito à dedução, poderia deduzir o IVA incorrido, sem que o fornecedor tivesse pago às autoridades fiscais o imposto sobre o volume de negócios faturado. Em especial, o envolvimento de «operadores fictícios», que, uma vez descobertos, desaparecem rapidamente ou não possuem quaisquer ativos, impede que as autoridades cobrem o imposto objeto de evasão, com consequências negativas para o orçamento. Para obviar às perdas de receitas públicas, a Alemanha solicitou autorização para uma derrogação ao artigo 193.o da Diretiva 2006/112/CE a fim de aplicar o mecanismo de autoliquidação à transferência de licenças de emissão. |
| --- | --- |

(6)

De acordo com a Alemanha, o comércio de licenças de emissão é muito vulnerável à fraude no domínio do IVA. O comércio de licenças de emissão de combustíveis ao abrigo da BEHG poderia ser explorado para fins fraudulentos, tal como acontece ao abrigo do CELE. As licenças de emissão podem ser trocadas de forma rápida, repetida e fácil. Consequentemente, é muito difícil para as autoridades detetar tais mudanças de propriedade e garantir que o valor adequado do imposto seja cobrado. O adquirente das licenças, sendo um sujeito passivo com direito à dedução, poderia deduzir o IVA incorrido, sem que o fornecedor tivesse pago às autoridades fiscais o imposto sobre o volume de negócios faturado. Em especial, o envolvimento de «operadores fictícios», que, uma vez descobertos, desaparecem rapidamente ou não possuem quaisquer ativos, impede que as autoridades cobrem o imposto objeto de evasão, com consequências negativas para o orçamento. Para obviar às perdas de receitas públicas, a Alemanha solicitou autorização para uma derrogação ao artigo 193.o da Diretiva 2006/112/CE a fim de aplicar o mecanismo de autoliquidação à transferência de licenças de emissão.

| (7) | A designação do destinatário como sujeito passivo devedor do IVA nesses casos específicos simplificaria o procedimento de cobrança do IVA e evitaria a evasão e a elisão fiscais. Por conseguinte, a Alemanha deve ser autorizada a aplicar o mecanismo de autoliquidação à transferência de licenças de emissão negociadas no âmbito de um sistema nacional de comércio ao abrigo da BEHG («a medida especial»). |
| --- | --- |

(7)

A designação do destinatário como sujeito passivo devedor do IVA nesses casos específicos simplificaria o procedimento de cobrança do IVA e evitaria a evasão e a elisão fiscais. Por conseguinte, a Alemanha deve ser autorizada a aplicar o mecanismo de autoliquidação à transferência de licenças de emissão negociadas no âmbito de um sistema nacional de comércio ao abrigo da BEHG («a medida especial»).

| (8) | A medida especial deverá ser limitada no tempo. A Alemanha deve, portanto, ser autorizada a aplicar a medida especial até 31 de dezembro de 2024. |
| --- | --- |

(8)

A medida especial deverá ser limitada no tempo. A Alemanha deve, portanto, ser autorizada a aplicar a medida especial até 31 de dezembro de 2024.

| (9) | Dado o âmbito e o caráter inovador da medida especial, é importante avaliar o seu impacto. Por conseguinte, se a Alemanha desejar prorrogar essa medida especial além de 2024, deve apresentar à Comissão um relatório que inclua um reexame da medida especial, acompanhado do pedido de prorrogação, até 31 de março de 2024. O referido relatório deve incluir uma avaliação do impacto da medida especial no que se refere à luta contra a fraude no domínio do IVA e ao número de operadores e operações afetados pela medida especial. |
| --- | --- |

(9)

Dado o âmbito e o caráter inovador da medida especial, é importante avaliar o seu impacto. Por conseguinte, se a Alemanha desejar prorrogar essa medida especial além de 2024, deve apresentar à Comissão um relatório que inclua um reexame da medida especial, acompanhado do pedido de prorrogação, até 31 de março de 2024. O referido relatório deve incluir uma avaliação do impacto da medida especial no que se refere à luta contra a fraude no domínio do IVA e ao número de operadores e operações afetados pela medida especial.

| (10) | A medida especial não tem incidência negativa nos recursos próprios da União provenientes do IVA, |
| --- | --- |

(10)

A medida especial não tem incidência negativa nos recursos próprios da União provenientes do IVA,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o

Em derrogação ao artigo 193.o da Diretiva 2006/112/CE, a República Federal da Alemanha é autorizada a estabelecer que o devedor do IVA é o sujeito passivo ao qual tenha sido efetuada uma transferência de licenças de emissão negociadas no âmbito de um sistema nacional de comércio ao abrigo da Lei relativa ao Comércio de Licenças de Emissão de Combustíveis (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen) de 12 de dezembro de 2019.

Artigo 2.o

A presente decisão expira em 31 de dezembro de 2024.

Qualquer pedido de prorrogação da medida especial prevista na presente decisão deve ser apresentado à Comissão até 31 de março de 2024 e ser acompanhado de um relatório sobre a aplicação desta medida que inclua uma avaliação do impacto da medida no que se refere à luta contra a fraude no domínio do IVA e ao número de operadores e operações afetados pela medida.

Artigo 3.o

A presente decisão produz efeitos na data da sua notificação.

Artigo 4.o

A destinatária da presente decisão é a República Federal da Alemanha.

Feito no Luxemburgo, em 5 de outubro de 2021.

Pelo Conselho

O Presidente

A. ŠIRCELJ

---

(1)  
  JO L 347 de 11.12.2006, p. 1.

1

(2)  Diretiva 2003/87/CE do Parlamento Europeu e do Conselho, de 13 de outubro de 2003, relativa à criação de um sistema de comércio de licenças de emissão de gases com efeito de estufa na União e que altera a Diretiva 96/61/CE do Conselho (JO L 275 de 25.10.2003, p. 32).

2

(3)  Diretiva 2010/23/UE do Conselho, de 16 de março de 2010, que altera a Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado no que se refere à aplicação facultativa e temporária de um mecanismo de autoliquidação ao fornecimento ou prestação de certos serviços que apresentam um risco de fraude (JO L 72 de 20.3.2010, p. 1).

3

---

| 11.10.2021 | PT | Jornal Oficial da União Europeia | L 360/120 |
| --- | --- | --- | --- |

11.10.2021

PT

Jornal Oficial da União Europeia

L 360/120

---

DECISÃO DE EXECUÇÃO (UE) 2021/1779 DO CONSELHO

de 5 de outubro de 2021

que altera a Decisão de Execução 2009/1013/UE que autoriza a República da Áustria a continuar a aplicar uma medida em derrogação ao artigo 168.o da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado

O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta a Diretiva 2006/112/CE do Conselho, de 28 de novembro de 2006, relativa ao sistema comum do imposto sobre o valor acrescentado (1), nomeadamente o artigo 395.o, n.o 1, primeiro parágrafo,

Tendo em conta a proposta da Comissão Europeia,

Considerando o seguinte:

| (1) | A Decisão de Execução 2009/1013/UE do Conselho (2) autorizou a República da Áustria («Áustria») a aplicar uma medida especial em derrogação à Diretiva 2006/112/CE («medida especial»). Na sequência de prorrogações sucessivas, a referida autorização caduca em 31 de dezembro de 2021. |
| --- | --- |

(1)

A Decisão de Execução 2009/1013/UE do Conselho (2) autorizou a República da Áustria («Áustria») a aplicar uma medida especial em derrogação à Diretiva 2006/112/CE («medida especial»). Na sequência de prorrogações sucessivas, a referida autorização caduca em 31 de dezembro de 2021.

| (2) | A Diretiva n.o 2009/162/UE do Conselho (3) inseriu o artigo 168.o-A na Diretiva 2006/112/CE a fim de limitar a dedução à proporção da utilização profissional efetiva e, assim, aplicar mais eficazmente o princípio segundo o qual a dedução só tem lugar na medida em que os bens e serviços em causa sejam utilizados para as atividades da empresa do sujeito passivo. O artigo 1.o da Decisão de Execução 2009/1013/UE foi alterado para incluir uma referência ao artigo 168.o-A da Diretiva 2006/112/CE. Por conseguinte, o título da Decisão de Execução 2009/1013/UE deve também fazer referência ao artigo 168.o-A da Diretiva 2006/112/CE. |
| --- | --- |

(2)

A Diretiva n.o 2009/162/UE do Conselho (3) inseriu o artigo 168.o-A na Diretiva 2006/112/CE a fim de limitar a dedução à proporção da utilização profissional efetiva e, assim, aplicar mais eficazmente o princípio segundo o qual a dedução só tem lugar na medida em que os bens e serviços em causa sejam utilizados para as atividades da empresa do sujeito passivo. O artigo 1.o da Decisão de Execução 2009/1013/UE foi alterado para incluir uma referência ao artigo 168.o-A da Diretiva 2006/112/CE. Por conseguinte, o título da Decisão de Execução 2009/1013/UE deve também fazer referência ao artigo 168.o-A da Diretiva 2006/112/CE.

| (3) | A medida especial derroga aos artigos 168.o e 168.°-A da Diretiva 2006/112/CE que regem o direito de os sujeitos passivos deduzirem o imposto sobre o valor acrescentado (IVA) que incide sobre os bens que lhes são fornecidos e os serviços que lhes são prestados para fins relacionados com as suas operações tributadas. A medida especial visa excluir do direito à dedução o IVA que incide sobre as despesas relativas aos bens e serviços quando estes sejam utilizados pelo sujeito passivo em mais de 90% para os seus fins privados ou do seu pessoal ou, em geral, para fins não profissionais ou atividades não económicas. |
| --- | --- |

(3)

A medida especial derroga aos artigos 168.o e 168.°-A da Diretiva 2006/112/CE que regem o direito de os sujeitos passivos deduzirem o imposto sobre o valor acrescentado (IVA) que incide sobre os bens que lhes são fornecidos e os serviços que lhes são prestados para fins relacionados com as suas operações tributadas. A medida especial visa excluir do direito à dedução o IVA que incide sobre as despesas relativas aos bens e serviços quando estes sejam utilizados pelo sujeito passivo em mais de 90% para os seus fins privados ou do seu pessoal ou, em geral, para fins não profissionais ou atividades não económicas.

| (4) | O objetivo da medida especial é simplificar o procedimento de liquidação e cobrança do IVA. A medida afeta apenas de forma negligenciável o nível do montante do imposto devido na fase de consumo final. |
| --- | --- |

(4)

O objetivo da medida especial é simplificar o procedimento de liquidação e cobrança do IVA. A medida afeta apenas de forma negligenciável o nível do montante do imposto devido na fase de consumo final.

| (5) | Por ofício registado na Comissão em 19 de março de 2021, a Áustria solicitou autorização para continuar a aplicar a medida especial («pedido»). |
| --- | --- |

(5)

Por ofício registado na Comissão em 19 de março de 2021, a Áustria solicitou autorização para continuar a aplicar a medida especial («pedido»).

| (6) | Nos termos do artigo 395.o, n.o 2, segundo parágrafo, da Diretiva 2006/112/CE, por ofícios datados de 7 de abril de 2021, a Comissão transmitiu o pedido aos outros Estados-Membros. Por ofício datado de 8 de abril de 2021, a Comissão comunicou à Áustria que dispunha de todas as informações necessárias para apreciar o pedido. |
| --- | --- |

(6)

Nos termos do artigo 395.o, n.o 2, segundo parágrafo, da Diretiva 2006/112/CE, por ofícios datados de 7 de abril de 2021, a Comissão transmitiu o pedido aos outros Estados-Membros. Por ofício datado de 8 de abril de 2021, a Comissão comunicou à Áustria que dispunha de todas as informações necessárias para apreciar o pedido.

| (7) | Segundo a Áustria, a medida especial revelou-se muito eficaz para simplificar a cobrança do IVA e para evitar a fraude e a evasão fiscais. A medida reduz os encargos administrativos para as empresas e para as administrações fiscais, uma vez que não implica qualquer controlo da subsequente utilização dos bens e serviços aos quais a exclusão da dedução foi aplicada no momento da sua aquisição. Por esse motivo, a Áustria deve ser autorizada a continuar a aplicar a medida especial durante um novo período limitado, até 31 de dezembro de 2024. |
| --- | --- |

(7)

Segundo a Áustria, a medida especial revelou-se muito eficaz para simplificar a cobrança do IVA e para evitar a fraude e a evasão fiscais. A medida reduz os encargos administrativos para as empresas e para as administrações fiscais, uma vez que não implica qualquer controlo da subsequente utilização dos bens e serviços aos quais a exclusão da dedução foi aplicada no momento da sua aquisição. Por esse motivo, a Áustria deve ser autorizada a continuar a aplicar a medida especial durante um novo período limitado, até 31 de dezembro de 2024.

| (8) | No caso de a Áustria considerar necessário prorrogar a autorização para além de 2024, deverá apresentar um pedido à Comissão até 31 de março de 2024, acompanhado de um relatório sobre a aplicação da medida especial, que deve incluir uma análise da taxa de rateio aplicada. |
| --- | --- |

(8)

No caso de a Áustria considerar necessário prorrogar a autorização para além de 2024, deverá apresentar um pedido à Comissão até 31 de março de 2024, acompanhado de um relatório sobre a aplicação da medida especial, que deve incluir uma análise da taxa de rateio aplicada.

| (9) | A medida especial não tem qualquer impacto adverso nos recursos próprios da União provenientes do IVA. |
| --- | --- |

(9)

A medida especial não tem qualquer impacto adverso nos recursos próprios da União provenientes do IVA.

| (10) | A Decisão de Execução 2009/1013/UE deve, por conseguinte, ser alterada em conformidade, |
| --- | --- |

(10)

A Decisão de Execução 2009/1013/UE deve, por conseguinte, ser alterada em conformidade,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o

A Decisão de Execução 2009/1013/UE é alterada do seguinte modo:

| 1) | O título passa a ter a seguinte redação:

  «Decisão de Execução 2009/1013/UE do Conselho, de 22 de dezembro de 2009, que autoriza a República da Áustria a continuar a aplicar uma medida em derrogação aos artigos 168.o e 168-A da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado»; |
| --- | --- |

1)

O título passa a ter a seguinte redação:

«Decisão de Execução 2009/1013/UE do Conselho, de 22 de dezembro de 2009, que autoriza a República da Áustria a continuar a aplicar uma medida em derrogação aos artigos 168.o e 168-A da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado»;

| 2) | Os artigos 1.o e 2.° passam a ter a seguinte redação:

  «Artigo 1.o

  Em derrogação dos artigos 168.o e 168.°-A da Diretiva 2006/112/CE, a República da Áustria é autorizada a excluir integralmente do direito à dedução o imposto sobre o valor acrescentado (IVA) que incide sobre as despesas relativas a bens e serviços quando a percentagem da sua utilização para os fins privados de um sujeito passivo ou do seu pessoal ou, em geral, para fins não profissionais ou atividades não económicas, seja superior a 90% da sua utilização total.


  Artigo 2.o

  A presente decisão caduca em 31 de dezembro de 2024.
  Os pedidos de prorrogação da medida derrogatória prevista na presente decisão devem ser apresentados à Comissão até 31 de março de 2024.
  Esses pedidos de prorrogação devem ser acompanhados de um relatório sobre a aplicação da presente medida que inclua uma análise da taxa de rateio aplicada ao direito à dedução do IVA com base na presente decisão.» |
| --- | --- |

2)

Os artigos 1.o e 2.° passam a ter a seguinte redação:

«Artigo 1.o

Em derrogação dos artigos 168.o e 168.°-A da Diretiva 2006/112/CE, a República da Áustria é autorizada a excluir integralmente do direito à dedução o imposto sobre o valor acrescentado (IVA) que incide sobre as despesas relativas a bens e serviços quando a percentagem da sua utilização para os fins privados de um sujeito passivo ou do seu pessoal ou, em geral, para fins não profissionais ou atividades não económicas, seja superior a 90% da sua utilização total.

Artigo 2.o

A presente decisão caduca em 31 de dezembro de 2024.

Os pedidos de prorrogação da medida derrogatória prevista na presente decisão devem ser apresentados à Comissão até 31 de março de 2024.

Esses pedidos de prorrogação devem ser acompanhados de um relatório sobre a aplicação da presente medida que inclua uma análise da taxa de rateio aplicada ao direito à dedução do IVA com base na presente decisão.»

Artigo 2.o

A presente decisão produz efeitos na data da sua notificação.

Artigo 3.o

A destinatária da presente decisão é a República da Áustria.

Feito no Luxemburgo, em 5 de outubro de 2021.

Pelo Conselho

O Presidente

A. ŠIRCELJ

---

(1)  
  JO L 347 de 11.12.2006, p. 1.

1

(2)  Decisão de Execução 2009/1013/UE do Conselho, de 22 de dezembro de 2009, que autoriza a República da Áustria a continuar a aplicar uma medida em derrogação ao artigo 168.o da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado (JO L 348 de 29.12.2009, p. 21).

2

o

(3)  Diretiva n.o 2009/162/UE do Conselho, de 22 de dezembro de 2009, que altera diversas disposições da Diretiva 2006/112/CE, relativa ao sistema comum do imposto sobre o valor acrescentado (JO L 10 de 15.1.2010, p. 14).

3

o

---

| 11.10.2021 | PT | Jornal Oficial da União Europeia | L 360/122 |
| --- | --- | --- | --- |

11.10.2021

PT

Jornal Oficial da União Europeia

L 360/122

---

DECISÃO DE EXECUÇÃO (UE) 2021/1780 DO CONSELHO

de 5 de outubro de 2021

que altera a Decisão 2009/790/CE que autoriza a República da Polónia a aplicar uma medida em derrogação ao artigo 287.o da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado

O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta a Diretiva 2006/112/CE do Conselho, de 28 de novembro de 2006, relativa ao sistema comum do imposto sobre o valor acrescentado (1), nomeadamente o artigo 395.o, n.o 1, primeiro parágrafo,

Tendo em conta a proposta da Comissão Europeia,

Considerando o seguinte:

| (1) | Nos termos do artigo 287.o, ponto 14, da Diretiva 2006/112/CE, a República da Polónia («Polónia») pode conceder uma isenção do imposto sobre o valor acrescentado (IVA) aos sujeitos passivos cujo volume de negócios anual seja, no máximo, igual ao contravalor de 10 000 euros em moeda nacional à taxa de conversão do dia da sua adesão. |
| --- | --- |

(1)

Nos termos do artigo 287.o, ponto 14, da Diretiva 2006/112/CE, a República da Polónia («Polónia») pode conceder uma isenção do imposto sobre o valor acrescentado (IVA) aos sujeitos passivos cujo volume de negócios anual seja, no máximo, igual ao contravalor de 10 000 euros em moeda nacional à taxa de conversão do dia da sua adesão.

| (2) | A Decisão 2009/790/CE do Conselho (2) autoriza a Polónia a introduzir uma medida especial em derrogação ao artigo 287.o da Diretiva 2006/112/CE para isentar de IVA os sujeitos passivos cujo volume de negócios anual não seja superior ao contravalor em moeda nacional de 40 000 euros («medida derrogatória»). |
| --- | --- |

(2)

A Decisão 2009/790/CE do Conselho (2) autoriza a Polónia a introduzir uma medida especial em derrogação ao artigo 287.o da Diretiva 2006/112/CE para isentar de IVA os sujeitos passivos cujo volume de negócios anual não seja superior ao contravalor em moeda nacional de 40 000 euros («medida derrogatória»).

| (3) | A Decisão de Execução (UE) 2018/1919 do Conselho (3) autorizou a Polónia a continuar a aplicar a medida derrogatória até 31 de dezembro de 2021, ou até à entrada em vigor de uma diretiva que alterasse as disposições dos artigos 281.o a 294.° da Diretiva 2006/112/CE, consoante o que ocorresse primeiro. |
| --- | --- |

(3)

A Decisão de Execução (UE) 2018/1919 do Conselho (3) autorizou a Polónia a continuar a aplicar a medida derrogatória até 31 de dezembro de 2021, ou até à entrada em vigor de uma diretiva que alterasse as disposições dos artigos 281.o a 294.° da Diretiva 2006/112/CE, consoante o que ocorresse primeiro.

| (4) | Por ofício registado na Comissão de 1 de março de 2021, a Polónia apresentou à Comissão um pedido de autorização para continuar a aplicar a medida derrogatória até 31 de dezembro de 2024 («o pedido»). |
| --- | --- |

(4)

Por ofício registado na Comissão de 1 de março de 2021, a Polónia apresentou à Comissão um pedido de autorização para continuar a aplicar a medida derrogatória até 31 de dezembro de 2024 («o pedido»).

| (5) | Nos termos do artigo 395.o, n.o 2, segundo parágrafo, da Diretiva 2006/112/CE, a Comissão transmitiu o pedido aos outros Estados-Membros, exceto Chipre, por ofício de 25 de março de 2021, e a Chipre por ofício de 26 de março de 2021. Por ofício de 29 de março de 2021, a Comissão comunicou à Polónia que dispunha de todas as informações necessárias para apreciar o pedido. |
| --- | --- |

(5)

Nos termos do artigo 395.o, n.o 2, segundo parágrafo, da Diretiva 2006/112/CE, a Comissão transmitiu o pedido aos outros Estados-Membros, exceto Chipre, por ofício de 25 de março de 2021, e a Chipre por ofício de 26 de março de 2021. Por ofício de 29 de março de 2021, a Comissão comunicou à Polónia que dispunha de todas as informações necessárias para apreciar o pedido.

| (6) | A medida derrogatória está em conformidade com os objetivos políticos da Comunicação da Comissão de 25 de junho de 2008 intitulada «“Think Small First” — Um “Small Business Act” para a Europa». |
| --- | --- |

(6)

A medida derrogatória está em conformidade com os objetivos políticos da Comunicação da Comissão de 25 de junho de 2008 intitulada «“Think Small First” — Um “Small Business Act” para a Europa».

| (7) | De acordo com as informações prestadas pela Polónia, a medida derrogatória terá apenas um impacto negligenciável no montante global da receita fiscal da Polónia cobrada na fase de consumo final. Os sujeitos passivos podem ainda optar pelo regime normal de IVA. |
| --- | --- |

(7)

De acordo com as informações prestadas pela Polónia, a medida derrogatória terá apenas um impacto negligenciável no montante global da receita fiscal da Polónia cobrada na fase de consumo final. Os sujeitos passivos podem ainda optar pelo regime normal de IVA.

| (8) | Na sequência da entrada em vigor do Regulamento (UE, Euratom) 2021/769 do Conselho (4), não haverá cálculo de compensação efetuado pela Polónia a partir da declaração de recursos próprios relativamente ao IVA para o exercício de 2021 e seguintes. |
| --- | --- |

(8)

Na sequência da entrada em vigor do Regulamento (UE, Euratom) 2021/769 do Conselho (4), não haverá cálculo de compensação efetuado pela Polónia a partir da declaração de recursos próprios relativamente ao IVA para o exercício de 2021 e seguintes.

| (9) | Dado o potencial impacto positivo da medida derrogatória na simplificação das obrigações relacionadas com o IVA e na redução dos encargos administrativos e dos custos para as pequenas empresas, a Polónia deve ser autorizada a aplicar a medida derrogatória por um novo período. |
| --- | --- |

(9)

Dado o potencial impacto positivo da medida derrogatória na simplificação das obrigações relacionadas com o IVA e na redução dos encargos administrativos e dos custos para as pequenas empresas, a Polónia deve ser autorizada a aplicar a medida derrogatória por um novo período.

| (10) | A Diretiva (UE) 2020/285 do Conselho (5) alterou os artigos 281.o a 294.° da Diretiva 2006/112/CE no que respeita ao regime especial das pequenas empresas e que estabelece novas regras para as pequenas empresas, nomeadamente o limiar máximo do volume de negócios anual do Estado-Membro que não pode ser superior a 85 000 euros ou ao seu contravalor em moeda nacional. |
| --- | --- |

(10)

A Diretiva (UE) 2020/285 do Conselho (5) alterou os artigos 281.o a 294.° da Diretiva 2006/112/CE no que respeita ao regime especial das pequenas empresas e que estabelece novas regras para as pequenas empresas, nomeadamente o limiar máximo do volume de negócios anual do Estado-Membro que não pode ser superior a 85 000 euros ou ao seu contravalor em moeda nacional.

| (11) | A autorização para aplicar a medida derrogatória deve ser limitada no tempo. O prazo deve ser suficiente para permitir a avaliação da eficácia e da adequação do limiar. Além disso, a Diretiva (UE) 2020/285 exige que os Estados-Membros adotem e publiquem, até 31 de dezembro de 2024, as disposições legislativas, regulamentares e administrativas necessárias para dar cumprimento ao artigo 1.o da referida diretiva e aplicar essas disposições a partir de 1 de janeiro de 2025. Por conseguinte, a Polónia deve ser autorizada a aplicar a medida derrogatória até 31 de dezembro de 2024. |
| --- | --- |

(11)

A autorização para aplicar a medida derrogatória deve ser limitada no tempo. O prazo deve ser suficiente para permitir a avaliação da eficácia e da adequação do limiar. Além disso, a Diretiva (UE) 2020/285 exige que os Estados-Membros adotem e publiquem, até 31 de dezembro de 2024, as disposições legislativas, regulamentares e administrativas necessárias para dar cumprimento ao artigo 1.o da referida diretiva e aplicar essas disposições a partir de 1 de janeiro de 2025. Por conseguinte, a Polónia deve ser autorizada a aplicar a medida derrogatória até 31 de dezembro de 2024.

| (12) | A Decisão 2009/790/CE deve, por conseguinte, ser alterada em conformidade, |
| --- | --- |

(12)

A Decisão 2009/790/CE deve, por conseguinte, ser alterada em conformidade,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o

O artigo 2.o da Decisão 2009/790/CE passa a ter a seguinte redação:

«Artigo 2.o

A presente decisão é aplicável de 1 de janeiro de 2010 a 31 de dezembro de 2024.»

Artigo 2.o

A presente decisão produz efeitos na data da sua notificação.

Artigo 3.o

A destinatária da presente decisão é a República da Polónia.

Feito no Luxemburgo, em 5 de outubro de 2021.

Pelo Conselho

O Presidente

A. ŠIRCELJ

---

(1)  
  JO L 347 de 11.12.2006, p. 1.

1

(2)  Decisão 2009/790/CE do Conselho, de 20 de outubro de 2009, que autoriza a República da Polónia a aplicar uma medida em derrogação ao artigo 287.o da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado (JO L 283 de 30.10.2009, p. 53).

2

o

(3)  Decisão de Execução (UE) 2018/1919 do Conselho, de 4 de dezembro de 2018, que altera a Decisão 2009/790/CE que autoriza a República da Polónia a aplicar uma medida em derrogação ao artigo 287.o da Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado (JO L 311 de 7.12.2018, p. 32).

3

o

(4)  Regulamento (UE, Euratom) 2021/769 do Conselho, de 30 de abril de 2021, que altera o Regulamento (CEE, Euratom) n.o 1553/89 relativo ao regime uniforme e definitivo de cobrança dos recursos próprios provenientes do Imposto sobre o Valor Acrescentado (JO L 165 de 11.5.2021, p. 9).

4

o

(5)  Diretiva (UE) 2020/285 do Conselho, de 18 de fevereiro de 2020, que altera a Diretiva 2006/112/CE relativa ao sistema comum do imposto sobre o valor acrescentado no que respeita ao regime especial das pequenas empresas e o Regulamento (UE) n.o 904/2010 no que respeita à cooperação administrativa e à troca de informações para efeitos do controlo da correta aplicação do regime especial das pequenas empresas (JO L 62 de 2.3.2020, p. 13).

5

o

---

| 11.10.2021 | PT | Jornal Oficial da União Europeia | L 360/124 |
| --- | --- | --- | --- |

11.10.2021

PT

Jornal Oficial da União Europeia

L 360/124

---

DECISÃO DE EXECUÇÃO (UE) 2021/1781 DO CONSELHO

de 7 de outubro de 2021

relativa à suspensão de certas disposições do Regulamento (CE) n.o 810/2009 do Parlamento Europeu e do Conselho no que diz respeito à Gâmbia

O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (CE) n.o 810/2009 do Parlamento Europeu e do Conselho, de 13 de julho de 2009, que estabelece o Código Comunitário de Vistos (Código de Vistos) (1), nomeadamente o artigo 25.o-A, n.o 5, alínea a),

Tendo em conta a proposta da Comissão Europeia,

Considerando o seguinte:

| (1) | No final de fevereiro de 2019, as autoridades gambianas decidiram unilateralmente impor uma moratória a todas as operações de regresso forçado, que impediu a realização de regressos efetivos durante a maior parte de 2019. Após o levantamento da moratória em janeiro de 2020, os Estados-Membros depararam-se com obstáculos recorrentes impostos pela Gâmbia à organização e à execução das operações de regresso. A cooperação inconstante da Gâmbia dificultou também todas as fases do processo de regresso, inclusive na aplicação das boas práticas existentes e de outras disposições operacionais anteriormente acordadas entre a União e a Gâmbia. Em 6 de abril de 2021, as autoridades gambianas indicaram que o país não estava em condições de receber repatriados até nova indicação e, em junho de 2021, confirmaram a existência de «uma moratória sobre o regresso forçado ou o repatriamento até depois das eleições de dezembro». |
| --- | --- |

(1)

No final de fevereiro de 2019, as autoridades gambianas decidiram unilateralmente impor uma moratória a todas as operações de regresso forçado, que impediu a realização de regressos efetivos durante a maior parte de 2019. Após o levantamento da moratória em janeiro de 2020, os Estados-Membros depararam-se com obstáculos recorrentes impostos pela Gâmbia à organização e à execução das operações de regresso. A cooperação inconstante da Gâmbia dificultou também todas as fases do processo de regresso, inclusive na aplicação das boas práticas existentes e de outras disposições operacionais anteriormente acordadas entre a União e a Gâmbia. Em 6 de abril de 2021, as autoridades gambianas indicaram que o país não estava em condições de receber repatriados até nova indicação e, em junho de 2021, confirmaram a existência de «uma moratória sobre o regresso forçado ou o repatriamento até depois das eleições de dezembro».

| (2) | Desde 2019, a Comissão tomou medidas para melhorar o nível de cooperação da Gâmbia em matéria de readmissão de nacionais de países terceiros em situação irregular. Essas medidas consistiram em várias reuniões com as autoridades gambianas, tanto a nível técnico como político, para encontrar soluções mutuamente aceitáveis e para chegar a acordo sobre ulteriores projetos de apoio em benefício da Gâmbia. Paralelamente, realizaram-se intercâmbios de alto nível entre a Comissão e a Gâmbia. A matéria de readmissão também foi discutida com a Gâmbia noutras reuniões organizadas pelo SEAE. |
| --- | --- |

(2)

Desde 2019, a Comissão tomou medidas para melhorar o nível de cooperação da Gâmbia em matéria de readmissão de nacionais de países terceiros em situação irregular. Essas medidas consistiram em várias reuniões com as autoridades gambianas, tanto a nível técnico como político, para encontrar soluções mutuamente aceitáveis e para chegar a acordo sobre ulteriores projetos de apoio em benefício da Gâmbia. Paralelamente, realizaram-se intercâmbios de alto nível entre a Comissão e a Gâmbia. A matéria de readmissão também foi discutida com a Gâmbia noutras reuniões organizadas pelo SEAE.

| (3) | Tendo em conta as medidas tomadas até à data pela Comissão para melhorar o nível de cooperação e as relações globais da União com a Gâmbia, considera-se que a cooperação deste país com a União em matéria de readmissão não é suficiente e que, por conseguinte, é necessário que a União tome medidas. |
| --- | --- |

(3)

Tendo em conta as medidas tomadas até à data pela Comissão para melhorar o nível de cooperação e as relações globais da União com a Gâmbia, considera-se que a cooperação deste país com a União em matéria de readmissão não é suficiente e que, por conseguinte, é necessário que a União tome medidas.

| (4) | A aplicação de determinadas disposições do Regulamento (CE) n.o 810/2009 deverá, pois, ser temporariamente suspensa para os nacionais da Gâmbia sujeitos à obrigação de visto nos termos do Regulamento (UE) 2018/1806 do Parlamento Europeu e do Conselho (2). Tal deverá encorajar as autoridades gambianas a tomarem as medidas necessárias para melhorar a cooperação em matéria de readmissão. |
| --- | --- |

(4)

A aplicação de determinadas disposições do Regulamento (CE) n.o 810/2009 deverá, pois, ser temporariamente suspensa para os nacionais da Gâmbia sujeitos à obrigação de visto nos termos do Regulamento (UE) 2018/1806 do Parlamento Europeu e do Conselho (2). Tal deverá encorajar as autoridades gambianas a tomarem as medidas necessárias para melhorar a cooperação em matéria de readmissão.

| (5) | As disposições temporariamente suspensas são as enunciadas no artigo 25.o-A, n.o 5, alínea a), do Código de Vistos: a suspensão da possibilidade de dispensa dos requisitos relativos aos documentos comprovativos a apresentar pelos requerentes de visto a que se refere o artigo 14.o, n.o 6, a suspensão do prazo geral de tratamento de 15 dias de calendário referido no artigo 23.o, n.o 1 (o que, em consequência, também exclui a aplicação da regra relativa à prorrogação deste prazo até um máximo de 45 dias em casos individuais), a suspensão da emissão de vistos de entradas múltiplas nos termos do artigo 24.o, n.o 2 e n.o 2-C, e a suspensão da isenção facultativa do pagamento de emolumentos de visto para os titulares de passaportes diplomáticos e de passaportes de serviço, em conformidade com o artigo 16.o, n.o 5, alínea b). |
| --- | --- |

(5)

As disposições temporariamente suspensas são as enunciadas no artigo 25.o-A, n.o 5, alínea a), do Código de Vistos: a suspensão da possibilidade de dispensa dos requisitos relativos aos documentos comprovativos a apresentar pelos requerentes de visto a que se refere o artigo 14.o, n.o 6, a suspensão do prazo geral de tratamento de 15 dias de calendário referido no artigo 23.o, n.o 1 (o que, em consequência, também exclui a aplicação da regra relativa à prorrogação deste prazo até um máximo de 45 dias em casos individuais), a suspensão da emissão de vistos de entradas múltiplas nos termos do artigo 24.o, n.o 2 e n.o 2-C, e a suspensão da isenção facultativa do pagamento de emolumentos de visto para os titulares de passaportes diplomáticos e de passaportes de serviço, em conformidade com o artigo 16.o, n.o 5, alínea b).

| (6) | O artigo 21.o, n.o 1, do Tratado sobre o Funcionamento da União Europeia (TFUE) dispõe que qualquer cidadão da União goza do direito de circular e permanecer livremente no território dos Estados-Membros, sem prejuízo das limitações e condições previstas nos Tratados e nas disposições adotadas em sua aplicação. A Diretiva 2004/38/CE do Parlamento Europeu e do Conselho (3) dá execução a essas limitações e condições. A presente decisão não afeta a aplicação da referida diretiva, que alarga o direito de livre circulação aos membros da família, independentemente da sua nacionalidade, de um cidadão da União quando o acompanham ou com ele se reúnem. A presente decisão não se aplica aos membros da família de um cidadão da União a quem se aplica a Diretiva 2004/38/CE, ou aos membros da família de um nacional de país terceiro que beneficia de um direito de livre circulação equivalente ao dos cidadãos da União, ao abrigo de um acordo entre a União e os Estados-Membros, por um lado, e um país terceiro, por outro. |
| --- | --- |

(6)

O artigo 21.o, n.o 1, do Tratado sobre o Funcionamento da União Europeia (TFUE) dispõe que qualquer cidadão da União goza do direito de circular e permanecer livremente no território dos Estados-Membros, sem prejuízo das limitações e condições previstas nos Tratados e nas disposições adotadas em sua aplicação. A Diretiva 2004/38/CE do Parlamento Europeu e do Conselho (3) dá execução a essas limitações e condições. A presente decisão não afeta a aplicação da referida diretiva, que alarga o direito de livre circulação aos membros da família, independentemente da sua nacionalidade, de um cidadão da União quando o acompanham ou com ele se reúnem. A presente decisão não se aplica aos membros da família de um cidadão da União a quem se aplica a Diretiva 2004/38/CE, ou aos membros da família de um nacional de país terceiro que beneficia de um direito de livre circulação equivalente ao dos cidadãos da União, ao abrigo de um acordo entre a União e os Estados-Membros, por um lado, e um país terceiro, por outro.

| (7) | As medidas previstas na presente decisão não deverão prejudicar as obrigações de direito internacional que incubem aos Estados-Membros enquanto países anfitriões de organizações internacionais intergovernamentais ou de conferências internacionais convocadas por organizações internacionais intergovernamentais sediadas nos Estados-Membros. Por conseguinte, a suspensão temporária não se aplica aos nacionais da Gâmbia que apresentam um pedido de visto na medida em que isso é necessário para que os Estados-Membros cumpram as suas obrigações enquanto países anfitriões dessas organizações ou conferências. |
| --- | --- |

(7)

As medidas previstas na presente decisão não deverão prejudicar as obrigações de direito internacional que incubem aos Estados-Membros enquanto países anfitriões de organizações internacionais intergovernamentais ou de conferências internacionais convocadas por organizações internacionais intergovernamentais sediadas nos Estados-Membros. Por conseguinte, a suspensão temporária não se aplica aos nacionais da Gâmbia que apresentam um pedido de visto na medida em que isso é necessário para que os Estados-Membros cumpram as suas obrigações enquanto países anfitriões dessas organizações ou conferências.

| (8) | Nos termos dos artigos 1.o e 2.o do Protocolo n.o 22 relativo à posição da Dinamarca, anexo ao Tratado da União Europeia e ao TFUE, a Dinamarca não participa na adoção da presente decisão sujeita à sua aplicação. Uma vez que o presente regulamento se baseia no acervo de Schengen, a Dinamarca decide, nos termos do artigo 4.o desse Protocolo e no prazo de seis meses a contar da decisão do Conselho sobre a presente decisão, se procede à respetiva transposição para o seu direito interno. |
| --- | --- |

(8)

Nos termos dos artigos 1.o e 2.o do Protocolo n.o 22 relativo à posição da Dinamarca, anexo ao Tratado da União Europeia e ao TFUE, a Dinamarca não participa na adoção da presente decisão sujeita à sua aplicação. Uma vez que o presente regulamento se baseia no acervo de Schengen, a Dinamarca decide, nos termos do artigo 4.o desse Protocolo e no prazo de seis meses a contar da decisão do Conselho sobre a presente decisão, se procede à respetiva transposição para o seu direito interno.

| (9) | A presente decisão constitui um desenvolvimento das disposições do acervo de Schengen em que a Irlanda não participa, nos termos da Decisão 2002/192/CE do Conselho (4). Por conseguinte, a Irlanda não participa na adoção da presente decisão e não fica a ela vinculada nem sujeita à sua aplicação. |
| --- | --- |

(9)

A presente decisão constitui um desenvolvimento das disposições do acervo de Schengen em que a Irlanda não participa, nos termos da Decisão 2002/192/CE do Conselho (4). Por conseguinte, a Irlanda não participa na adoção da presente decisão e não fica a ela vinculada nem sujeita à sua aplicação.

| (10) | No que diz respeito à Islândia e à Noruega, a presente decisão constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Acordo celebrado pelo Conselho da União Europeia com a República da Islândia e o Reino da Noruega relativo à associação destes Estados à execução, à aplicação e ao desenvolvimento do acervo de Schengen (5), que se inserem no domínio a que se refere o artigo 1.o, ponto B, da Decisão 1999/437/CE do Conselho (6). |
| --- | --- |

(10)

No que diz respeito à Islândia e à Noruega, a presente decisão constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Acordo celebrado pelo Conselho da União Europeia com a República da Islândia e o Reino da Noruega relativo à associação destes Estados à execução, à aplicação e ao desenvolvimento do acervo de Schengen (5), que se inserem no domínio a que se refere o artigo 1.o, ponto B, da Decisão 1999/437/CE do Conselho (6).

| (11) | No que diz respeito à Suíça, a presente decisão constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen (7), que se inserem no domínio a que se refere o artigo 1.o, ponto B, da Decisão 1999/437/CE do Conselho, em conjugação com o artigo 3.o da Decisão 2008/146/CE do Conselho (8). |
| --- | --- |

(11)

No que diz respeito à Suíça, a presente decisão constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen (7), que se inserem no domínio a que se refere o artigo 1.o, ponto B, da Decisão 1999/437/CE do Conselho, em conjugação com o artigo 3.o da Decisão 2008/146/CE do Conselho (8).

| (12) | No que diz respeito ao Listenstaine, a presente decisão constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Protocolo entre a União Europeia, a Comunidade Europeia, a Confederação Suíça e o Principado do Listenstaine relativo à adesão do Principado do Listenstaine ao Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen (9), que se inserem no domínio a que se refere o artigo 1.o, ponto B, da Decisão 1999/437/CE do Conselho, em conjugação com o artigo 3.o da Decisão 2011/350/UE do Conselho (10). |
| --- | --- |

(12)

No que diz respeito ao Listenstaine, a presente decisão constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Protocolo entre a União Europeia, a Comunidade Europeia, a Confederação Suíça e o Principado do Listenstaine relativo à adesão do Principado do Listenstaine ao Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen (9), que se inserem no domínio a que se refere o artigo 1.o, ponto B, da Decisão 1999/437/CE do Conselho, em conjugação com o artigo 3.o da Decisão 2011/350/UE do Conselho (10).

| (13) | A presente decisão constitui um ato baseado no acervo de Schengen ou de algum modo com ele relacionado, na aceção, respetivamente, do artigo 3.o, n.o 2, do Ato de Adesão de 2003, do artigo 4.o, n.o 2, do Ato de Adesão de 2005 e do artigo 4.o, n.o 2, do Ato de Adesão de 2011. |
| --- | --- |

(13)

A presente decisão constitui um ato baseado no acervo de Schengen ou de algum modo com ele relacionado, na aceção, respetivamente, do artigo 3.o, n.o 2, do Ato de Adesão de 2003, do artigo 4.o, n.o 2, do Ato de Adesão de 2005 e do artigo 4.o, n.o 2, do Ato de Adesão de 2011.

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o

Âmbito de aplicação

1.   A presente decisão aplica-se aos nacionais da Gâmbia sujeitos à obrigação de visto nos termos do Regulamento (UE) 2018/1806.

2.   A presente decisão não se aplica aos nacionais da Gâmbia isentos da obrigação de visto nos termos do artigo 4.o ou do artigo 6.o do Regulamento (UE) 2018/1806.

3.   A presente decisão não se aplica aos nacionais da Gâmbia que apresentaram um pedido de visto e que são membros da família de um cidadão da União a quem se aplica a Diretiva 2004/38/CE, ou membros da família de um nacional de país terceiro que beneficia de um direito de livre circulação equivalente ao dos cidadãos da União, ao abrigo de um acordo entre a União e os Estados-Membros, por um lado, e um país terceiro, por outro.

4.   A presente decisão aplica-se sem prejuízo dos casos em que um Estado-Membro esteja vinculado por uma obrigação de direito internacional, a saber:

| a) | Enquanto país anfitrião de uma organização internacional intergovernamental; |
| --- | --- |

a)

Enquanto país anfitrião de uma organização internacional intergovernamental;

| b) | Enquanto país anfitrião de uma conferência internacional convocada pelas Nações Unidas ou sob os seus auspícios ou por outras organizações internacionais intergovernamentais sediadas num Estado-Membro; |
| --- | --- |

b)

Enquanto país anfitrião de uma conferência internacional convocada pelas Nações Unidas ou sob os seus auspícios ou por outras organizações internacionais intergovernamentais sediadas num Estado-Membro;

| c) | Nos termos de um acordo multilateral que confira privilégios e imunidades; ou |
| --- | --- |

c)

Nos termos de um acordo multilateral que confira privilégios e imunidades; ou

| d) | Nos termos do Tratado de Latrão, de 1929, celebrado entre a Santa Sé (Estado da Cidade do Vaticano) e a Itália, com a última redação que lhe foi dada. |
| --- | --- |

d)

Nos termos do Tratado de Latrão, de 1929, celebrado entre a Santa Sé (Estado da Cidade do Vaticano) e a Itália, com a última redação que lhe foi dada.

Artigo 2.o

Suspensão temporária da aplicação de determinadas disposições do Regulamento (CE) n.o 810/2009

É temporariamente suspensa a aplicação das seguintes disposições do Regulamento (CE) n.o 810/2009:

o

| a) | Artigo 14.o, n.o 6; |
| --- | --- |

a)

Artigo 14.o, n.o 6;

o

o

| b) | Artigo 16.o, n.o 5, alínea b); |
| --- | --- |

b)

Artigo 16.o, n.o 5, alínea b);

o

o

| c) | Artigo 23.o, n.o 1; |
| --- | --- |

c)

Artigo 23.o, n.o 1;

o

o

| d) | Artigo 24.o, n.os 2 e 2-C. |
| --- | --- |

d)

Artigo 24.o, n.os 2 e 2-C.

o

os

Artigo 3.o

Destinatários

Os destinatários da presente decisão são o Reino da Bélgica, a República da Bulgária, a República Checa, a República Federal da Alemanha, a República da Estónia, a República Helénica, o Reino de Espanha, a República Francesa, a República da Croácia, a República Italiana, a República de Chipre, a República da Letónia, a República da Lituânia, o Grão-Ducado do Luxemburgo, a Hungria, a República de Malta, o Reino dos Países Baixos, a República da Áustria, a República da Polónia, a República Portuguesa, a Roménia, a República da Eslovénia, a República Eslovaca, a República da Finlândia e o Reino da Suécia.

Feito no Luxemburgo, em 7 de outubro de 2021.

Pelo Conselho

O Presidente

M. DIKAUČIČ

---

(1)  
  JO L 243 de 15.9.2009, p. 1.

1

(2)  Regulamento (UE) 2018/1806 do Parlamento Europeu e do Conselho, de 14 de novembro de 2018, que fixa a lista dos países terceiros cujos nacionais estão sujeitos à obrigação de visto para transpor as fronteiras externas e a lista dos países terceiros cujos nacionais estão isentos dessa obrigação (JO L 303 de 28.11.2018, p. 39).

2

(3)  Diretiva 2004/38/CE do Parlamento Europeu e do Conselho, de 29 de abril de 2004, relativa ao direito de livre circulação e residência dos cidadãos da União e dos membros das suas famílias no território dos Estados-Membros, que altera o Regulamento (CEE) n.o 1612/68 e que revoga as Diretivas 64/221/CEE, 68/360/CEE, 72/194/CEE, 73/148/CEE, 75/34/CEE, 75/35/CEE, 90/364/CEE, 90/365/CEE e 93/96/CEE (JO L 158 de 30.4.2004, p. 77).

3

o

(4)  Decisão 2002/192/CE do Conselho, de 28 de fevereiro de 2002, sobre o pedido da Irlanda para participar em algumas das disposições do acervo de Schengen (JO L 64 de 7.3.2002, p. 20).

4

(5)  
  JO L 176 de 10.7.1999, p. 36.

5

(6)  Decisão 1999/437/CE do Conselho, de 17 de maio de 1999, relativa a determinadas regras de aplicação do Acordo celebrado pelo Conselho da União Europeia com a República da Islândia e o Reino da Noruega relativo à associação dos dois Estados à execução, à aplicação e ao desenvolvimento do acervo de Schengen (JO L 176 de 10.7.1999, p. 31).

6

(7)  
  JO L 53 de 27.2.2008, p. 52.

7

(8)  Decisão 2008/146/CE do Conselho, de 28 de janeiro de 2008, respeitante à celebração, em nome da Comunidade Europeia, do Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen (JO L 53 de 27.2.2008, p. 1).

8

(9)  
  JO L 160 de 18.6.2011, p. 21.

9

(10)  Decisão 2011/350/UE do Conselho, de 7 de março de 2011, respeitante à celebração, em nome da União Europeia, do Protocolo entre a União Europeia, a Comunidade Europeia, a Confederação Suíça e o Principado do Listenstaine relativo à adesão do Principado do Listenstaine ao Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen, no que respeita à supressão dos controlos nas fronteiras internas e à circulação das pessoas (JO L 160 de 18.6.2011, p. 19).

10

---

RECOMENDAÇÕES

| 11.10.2021 | PT | Jornal Oficial da União Europeia | L 360/128 |
| --- | --- | --- | --- |

11.10.2021

PT

Jornal Oficial da União Europeia

L 360/128

---

RECOMENDAÇÃO (UE) 2021/1782 DO CONSELHO

de 8 de outubro de 2021

que altera a Recomendação (UE) 2020/912 relativa à restrição temporária das viagens não indispensáveis para a UE e ao eventual levantamento de tal restrição

O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 77.o, n.o 2, alíneas b) e e), e o artigo 292.o, primeira e segunda frases,

Considerando o seguinte:

| (1) | Em 30 de junho de 2020, o Conselho adotou uma recomendação relativa à restrição temporária das viagens não indispensáveis para a UE e ao eventual levantamento de tal restrição (1) (a seguir designada por «recomendação do Conselho»). |
| --- | --- |

(1)

Em 30 de junho de 2020, o Conselho adotou uma recomendação relativa à restrição temporária das viagens não indispensáveis para a UE e ao eventual levantamento de tal restrição (1) (a seguir designada por «recomendação do Conselho»).

| (2) | Desde então, o Conselho adotou as Recomendações (UE) 2020/1052 (2), (UE) 2020/1144 (3), (UE) 2020/1186 (4), (UE) 2020/1551 (5), (UE) 2020/2169 (6), (UE) 2021/89 (7), (UE) 2021/132 (8), (UE) 2021/767 (9), (UE) 2021/892 (10), (UE) 2021/992 (11), (UE) 2021/1085 (12), (UE) 2021/1170 (13), (UE) 2021/1346 (14), (UE) 2021/1459 (15) e (UE) 2021/1712 (16) que alteram a Recomendação (UE) 2020/912 do Conselho relativa à restrição temporária das viagens não indispensáveis para a UE e ao eventual levantamento de tal restrição. |
| --- | --- |

(2)

Desde então, o Conselho adotou as Recomendações (UE) 2020/1052 (2), (UE) 2020/1144 (3), (UE) 2020/1186 (4), (UE) 2020/1551 (5), (UE) 2020/2169 (6), (UE) 2021/89 (7), (UE) 2021/132 (8), (UE) 2021/767 (9), (UE) 2021/892 (10), (UE) 2021/992 (11), (UE) 2021/1085 (12), (UE) 2021/1170 (13), (UE) 2021/1346 (14), (UE) 2021/1459 (15) e (UE) 2021/1712 (16) que alteram a Recomendação (UE) 2020/912 do Conselho relativa à restrição temporária das viagens não indispensáveis para a UE e ao eventual levantamento de tal restrição.

| (3) | Em 20 de maio de 2021, o Conselho adotou a Recomendação 2021/816 que altera a Recomendação (UE) 2020/912 do Conselho relativa à restrição temporária das viagens não indispensáveis para a UE e ao eventual levantamento de tal restrição (17) a fim de atualizar os critérios utilizados para avaliar se as viagens não indispensáveis de países terceiros são seguras e deverão ser autorizadas. |
| --- | --- |

(3)

Em 20 de maio de 2021, o Conselho adotou a Recomendação 2021/816 que altera a Recomendação (UE) 2020/912 do Conselho relativa à restrição temporária das viagens não indispensáveis para a UE e ao eventual levantamento de tal restrição (17) a fim de atualizar os critérios utilizados para avaliar se as viagens não indispensáveis de países terceiros são seguras e deverão ser autorizadas.

| (4) | A recomendação do Conselho previa que, a partir de 1 de julho de 2020, os Estados-Membros levantassem, de forma gradual e coordenada, a restrição temporária imposta sobre as viagens não indispensáveis para a UE relativamente aos residentes dos países terceiros enunciados no seu anexo I. A lista de países terceiros constante do anexo I deveria ser revista e, eventualmente, atualizada pelo Conselho de duas em duas semanas, após estreita consulta com a Comissão e com as agências e serviços competentes da UE, depois de uma avaliação global baseada na metodologia, nos critérios e nas informações referidos na recomendação do Conselho. |
| --- | --- |

(4)

A recomendação do Conselho previa que, a partir de 1 de julho de 2020, os Estados-Membros levantassem, de forma gradual e coordenada, a restrição temporária imposta sobre as viagens não indispensáveis para a UE relativamente aos residentes dos países terceiros enunciados no seu anexo I. A lista de países terceiros constante do anexo I deveria ser revista e, eventualmente, atualizada pelo Conselho de duas em duas semanas, após estreita consulta com a Comissão e com as agências e serviços competentes da UE, depois de uma avaliação global baseada na metodologia, nos critérios e nas informações referidos na recomendação do Conselho.

| (5) | Desde então, em estreita consulta com a Comissão e com as agências e serviços competentes da UE e aplicando os critérios e a metodologia estabelecidos, o Conselho tem debatido a revisão da lista de países terceiros constante do anexo I da recomendação do Conselho, com a redação que lhe foi dada pela Recomendação 2021/816. Em consequência desses debates, a lista de países terceiros constante do anexo I deverá ser alterada. Em particular, o Barém e os Emirados Árabes Unidos deverão ser acrescentados à lista. |
| --- | --- |

(5)

Desde então, em estreita consulta com a Comissão e com as agências e serviços competentes da UE e aplicando os critérios e a metodologia estabelecidos, o Conselho tem debatido a revisão da lista de países terceiros constante do anexo I da recomendação do Conselho, com a redação que lhe foi dada pela Recomendação 2021/816. Em consequência desses debates, a lista de países terceiros constante do anexo I deverá ser alterada. Em particular, o Barém e os Emirados Árabes Unidos deverão ser acrescentados à lista.

| (6) | O controlo de fronteira não é efetuado exclusivamente no interesse do Estado-Membro em cujas fronteiras externas se exerce, mas no interesse de todos os Estados-Membros que suprimiram os controlos nas fronteiras internas. Os Estados-Membros deverão, pois, garantir que as medidas tomadas nas fronteiras externas sejam coordenadas de modo a assegurar o bom funcionamento do espaço Schengen. Para o efeito, a partir de 8 de outubro de 2021, os Estados-Membros deverão continuar a levantar, de forma coordenada, a restrição temporária imposta sobre as viagens não indispensáveis para a UE relativamente aos residentes dos países terceiros, das Regiões Administrativas Especiais e das outras entidades e autoridades territoriais enunciados no anexo I da recomendação do Conselho, com a redação que lhe é dada pela presente recomendação. |
| --- | --- |

(6)

O controlo de fronteira não é efetuado exclusivamente no interesse do Estado-Membro em cujas fronteiras externas se exerce, mas no interesse de todos os Estados-Membros que suprimiram os controlos nas fronteiras internas. Os Estados-Membros deverão, pois, garantir que as medidas tomadas nas fronteiras externas sejam coordenadas de modo a assegurar o bom funcionamento do espaço Schengen. Para o efeito, a partir de 8 de outubro de 2021, os Estados-Membros deverão continuar a levantar, de forma coordenada, a restrição temporária imposta sobre as viagens não indispensáveis para a UE relativamente aos residentes dos países terceiros, das Regiões Administrativas Especiais e das outras entidades e autoridades territoriais enunciados no anexo I da recomendação do Conselho, com a redação que lhe é dada pela presente recomendação.

| (7) | Nos termos dos artigos 1.o e 2.o do Protocolo (n.o 22) relativo à posição da Dinamarca, anexo ao Tratado da União Europeia e ao TFUE, a Dinamarca não participa na adoção da presente recomendação, que não a vincula nem se lhe aplica. Uma vez que a presente recomendação desenvolve o acervo de Schengen, a Dinamarca decide, nos termos do artigo 4.o do Protocolo acima referido e no prazo de seis meses a contar da decisão do Conselho relativa à presente recomendação, se procede à sua aplicação. |
| --- | --- |

(7)

Nos termos dos artigos 1.o e 2.o do Protocolo (n.o 22) relativo à posição da Dinamarca, anexo ao Tratado da União Europeia e ao TFUE, a Dinamarca não participa na adoção da presente recomendação, que não a vincula nem se lhe aplica. Uma vez que a presente recomendação desenvolve o acervo de Schengen, a Dinamarca decide, nos termos do artigo 4.o do Protocolo acima referido e no prazo de seis meses a contar da decisão do Conselho relativa à presente recomendação, se procede à sua aplicação.

| (8) | A presente recomendação constitui um desenvolvimento das disposições do acervo de Schengen em que a Irlanda não participa, nos termos da Decisão 2002/192/CE do Conselho (18); por conseguinte, a Irlanda não participa na sua adoção, não ficando por ela vinculada nem sujeita à sua aplicação. |
| --- | --- |

(8)

A presente recomendação constitui um desenvolvimento das disposições do acervo de Schengen em que a Irlanda não participa, nos termos da Decisão 2002/192/CE do Conselho (18); por conseguinte, a Irlanda não participa na sua adoção, não ficando por ela vinculada nem sujeita à sua aplicação.

| (9) | Em relação à Islândia e à Noruega, a presente recomendação constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Acordo celebrado pelo Conselho da União Europeia e a República da Islândia e o Reino da Noruega relativo à associação destes dois Estados à execução, à aplicação e ao desenvolvimento do acervo de Schengen, que se inserem no domínio a que se refere o artigo 1.o, ponto A, da Decisão 1999/437/CE do Conselho (19). |
| --- | --- |

(9)

Em relação à Islândia e à Noruega, a presente recomendação constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Acordo celebrado pelo Conselho da União Europeia e a República da Islândia e o Reino da Noruega relativo à associação destes dois Estados à execução, à aplicação e ao desenvolvimento do acervo de Schengen, que se inserem no domínio a que se refere o artigo 1.o, ponto A, da Decisão 1999/437/CE do Conselho (19).

| (10) | Em relação à Suíça, a presente recomendação constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen, que se inserem no domínio a que se refere o artigo 1.o, ponto A, da Decisão 1999/437/CE (20), em conjugação com o artigo 3.o da Decisão 2008/146/CE do Conselho (21). |
| --- | --- |

(10)

Em relação à Suíça, a presente recomendação constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen, que se inserem no domínio a que se refere o artigo 1.o, ponto A, da Decisão 1999/437/CE (20), em conjugação com o artigo 3.o da Decisão 2008/146/CE do Conselho (21).

| (11) | Em relação ao Listenstaine, a presente recomendação constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Protocolo entre a União Europeia, a Comunidade Europeia, a Confederação Suíça e o Principado do Listenstaine relativo à adesão do Principado do Listenstaine ao Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen, que se inserem no domínio a que se refere o artigo 1.o, ponto A, da Decisão 1999/437/CE (22), em conjugação com o artigo 3.o da Decisão 2011/350/UE do Conselho (23). |
| --- | --- |

(11)

Em relação ao Listenstaine, a presente recomendação constitui um desenvolvimento das disposições do acervo de Schengen, na aceção do Protocolo entre a União Europeia, a Comunidade Europeia, a Confederação Suíça e o Principado do Listenstaine relativo à adesão do Principado do Listenstaine ao Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen, que se inserem no domínio a que se refere o artigo 1.o, ponto A, da Decisão 1999/437/CE (22), em conjugação com o artigo 3.o da Decisão 2011/350/UE do Conselho (23).

ADOTOU A PRESENTE RECOMENDAÇÃO:

A Recomendação (UE) 2020/912 do Conselho, relativa à restrição temporária das viagens não indispensáveis para a UE e ao eventual levantamento de tal restrição, com a redação que lhe foi dada pelas Recomendações (UE) 2020/1052, (UE) 2020/1144, (UE) 2020/1186, (UE) 2020/1551, (UE) 2020/2169, (UE) 2021/89, (UE) 2021/132, (UE) 2021/767, (UE) 2021/816, (UE) 2021/892, (UE) 2021/992, (EU) 2021/1085, (UE) 2021/1170, (UE) 2021/1346, (UE) 2021/1459 e (UE) 2021/1712, é alterada do seguinte modo:

| 1) | O primeiro parágrafo do ponto 1 da recomendação do Conselho passa a ter a seguinte redação:






  «1. | A partir de 8 de outubro de 2021, os Estados-Membros devem levantar gradualmente a restrição temporária das viagens não indispensáveis para a UE, de forma coordenada, relativamente aos residentes dos países terceiros enunciados no anexo I.» |
| --- | --- | --- |

1)

O primeiro parágrafo do ponto 1 da recomendação do Conselho passa a ter a seguinte redação:

«1.

| 2) | O anexo I da recomendação passa a ter a seguinte redação:


  “«ANEXO I
  Países terceiros, Regiões Administrativas Especiais e outras entidades e autoridades territoriais cujos residentes não devem ser afetados pela restrição temporária das viagens não indispensáveis para a UE aplicável nas fronteiras externas:






  I. | ESTADOS






  1. | AUSTRÁLIA |
| --- | --- | --- | --- |

2)

O anexo I da recomendação passa a ter a seguinte redação:

“«ANEXO I

Países terceiros, Regiões Administrativas Especiais e outras entidades e autoridades territoriais cujos residentes não devem ser afetados pela restrição temporária das viagens não indispensáveis para a UE aplicável nas fronteiras externas:

I.

ESTADOS

1.

AUSTRÁLIA

| 2. | BARÉM |
| --- | --- |

2.

BARÉM

| 3. | CANADÁ |
| --- | --- |

3.

CANADÁ

| 4. | CHILE |
| --- | --- |

4.

CHILE

| 5. | JORDÂNIA |
| --- | --- |

5.

JORDÂNIA

| 6. | KOWEIT |
| --- | --- |

6.

KOWEIT

| 7. | NOVA ZELÂNDIA |
| --- | --- |

7.

NOVA ZELÂNDIA

| 8. | CATAR |
| --- | --- |

8.

CATAR

| 9. | RUANDA |
| --- | --- |

9.

RUANDA

| 10. | ARÁBIA SAUDITA |
| --- | --- |

10.

ARÁBIA SAUDITA

| 11. | SINGAPURA |
| --- | --- |

11.

SINGAPURA

| 12. | COREIA DO SUL |
| --- | --- |

12.

COREIA DO SUL

| 13. | UCRÂNIA |
| --- | --- |

13.

UCRÂNIA

| 14. | EMIRADOS ÁRABES UNIDOS |
| --- | --- |

14.

EMIRADOS ÁRABES UNIDOS

| 15. | URUGUAI |
| --- | --- |

15.

URUGUAI

| 16. | CHINA (*1) |
| --- | --- |

16.

CHINA (*1)

| II. | REGIÕES ADMINISTRATIVAS ESPECIAIS DA REPÚBLICA POPULAR DA CHINA





  Região Administrativa Especial de Hong Kong |
| --- | --- |

II.

REGIÕES ADMINISTRATIVAS ESPECIAIS DA REPÚBLICA POPULAR DA CHINA

Região Administrativa Especial de Hong Kong

| Região Administrativa Especial de Macau |
| --- |

Região Administrativa Especial de Macau

| III. | ENTIDADES E AUTORIDADES TERRITORIAIS NÃO RECONHECIDAS COMO ESTADOS POR PELO MENOS UM ESTADO-MEMBRO





  Taiwan |
| --- | --- |

III.

ENTIDADES E AUTORIDADES TERRITORIAIS NÃO RECONHECIDAS COMO ESTADOS POR PELO MENOS UM ESTADO-MEMBRO

Taiwan

(*1)  sob reserva de confirmação da reciprocidade."

*1

Feito no Luxemburgo, em 8 de outubro de 2021.

Pelo Conselho,

O Presidente

M. DIKAUČIČ

---

(1)  
  JO L 208 I de 1.7.2020, p. 1.

1

(2)  
  JO L 230 de 17.7.2020, p. 26.

2

(3)  
  JO L 248 de 31.7.2020, p. 26.

3

(4)  
  JO L 261 de 11.8.2020, p. 83.

4

(5)  
  JO L 354 de 26.10.2020, p. 19.

5

(6)  
  JO L 431 de 21.12.2020, p. 75.

6

(7)  
  JO L 33 de 29.1.2021, p. 1.

7

(8)  
  JO L 41 de 4.2.2021, p. 1.

8

(9)  
  JO L 165 I de 11.5.2021, p. 66.

9

(10)  
  JO L 198 de 4.6.2021, p. 1.

10

(11)  
  JO L 221 de 21.6.2021, p. 12.

11

(12)  
  JO L 235 de 2.7.2021, p. 27.

12

(13)  
  JO L 255 de 16.7.2021, p. 3.

13

(14)  
  JO L 306 de 31.8.2021, p. 4.

14

(15)  
  JO L 320 de 10.9.2021, p. 1.

15

(16)  
  JO L 341 de 24.9.2021, p. 1.

16

(17)  
  JO L 182 de 21.5.2021, p. 1.

17

(18)  Decisão 2002/192/CE do Conselho, de 28 de fevereiro de 2002, sobre o pedido da Irlanda para participar em algumas das disposições do acervo de Schengen (JO L 64 de 7.3.2002, p. 20).

18

(19)  
  JO L 176 de 10.7.1999, p. 31.

19

(20)  
  JO L 53 de 27.2.2008, p. 52.

20

(21)  Decisão 2008/146/CE do Conselho, de 28 de janeiro de 2008, respeitante à celebração, em nome da Comunidade Europeia, do Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen (JO L 53 de 27.2.2008, p. 1).

21

(22)  
  JO L 160 de 18.6.2011, p. 21.

22

(23)  Decisão 2011/350/UE do Conselho, de 7 de março de 2011, respeitante à celebração, em nome da União Europeia, do Protocolo entre a União Europeia, a Comunidade Europeia, a Confederação Suíça e o Principado do Listenstaine relativo à adesão do Principado do Listenstaine ao Acordo entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen, no que respeita à supressão dos controlos nas fronteiras internas e à circulação das pessoas (JO L 160 de 18.6.2011, p. 19).

23

---