PT Jornal Oficial da União Europeia L 344/100

DECISÃO DE EXECUÇÃO (UE) 2016/2297 DA COMISSÃO

de 16 de dezembro de 2016

que altera as Decisões 2001/497/CE e 2010/87/UE relativas às cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para países terceiros e para subcontratantes estabelecidos nesses países, nos termos da Diretiva 95/46/CE do Parlamento Europeu e do Conselho

[notificada com o número C(2016) 8471]

(Texto relevante para efeitos do EEE)

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta a Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1), nomeadamente o artigo 26.o, n.o 4,

Após consulta da Autoridade Europeia para a Proteção de Dados,

Considerando o seguinte:

(1) No acórdão proferido em 6 de outubro de 2015 no processo C-362/14, Maximillian Schrems/Data Protection Commissioner (2), o Tribunal de Justiça da União Europeia considerou que, ao adotar o artigo 3.o da Decisão 2000/520/CE (3), a Comissão ultrapassou a competência que lhe é atribuída pelo artigo 25.o, n.o 6, da Diretiva 95/46/CE, lido à luz da Carta dos Direitos Fundamentais da União Europeia, tendo declarado inválido o referido artigo.

(2) O artigo 3.o, n.o 1, primeiro parágrafo, da Decisão 2000/520/CE estabelece condições restritivas, ao abrigo das quais as autoridades nacionais de controlo podem decidir suspender as transferências de dados para uma empresa autocertificada dos EUA, independentemente da verificação de adequação da Comissão.

(3) No acórdão Schrems, o Tribunal de Justiça esclareceu que as autoridades nacionais de controlo continuam a ser competentes para supervisionar a transferência de dados pessoais para um país terceiro que tenha sido objeto de uma decisão de adequação da Comissão e que a Comissão não pode limitar os seus poderes nos termos do artigo 28.o da Diretiva 95/46/CE. Nos termos desse artigo, as referidas autoridades dispõem, nomeadamente, de poderes de inquérito, tais como o poder de recolher todas as informações necessárias ao desempenho das suas funções de controlo, de poderes efetivos de intervenção, como o de proibir temporária ou definitivamente o tratamento dos dados, ou, ainda, do poder de intervir em processos judiciais (4).

(4) No mesmo acórdão, o Tribunal de Justiça recordou que, em conformidade com o artigo 25.o, n.o 6, segundo parágrafo, da Diretiva 95/46/CE, os Estados-Membros e os respetivos organismos devem tomar as medidas necessárias para dar cumprimento aos atos das instituições da União, uma vez que se presume que estes últimos são legais e, em conformidade, produzem efeitos legais até ao momento em que são revogados, anulados num recurso de anulação ou declarados inválidos na sequência de um pedido de decisão prejudicial ou uma exceção de ilegalidade.

(5) Mutatis mutandis, uma decisão adotada pela Comissão nos termos do artigo 26.o, n.o 4, da Diretiva 95/46/CE é vinculativa para todos os organismos dos Estados-Membros aos quais se destina, nomeadamente para as suas autoridades independentes de supervisão, na medida em que tem por efeito o reconhecimento de que as transferências efetuadas com base em cláusulas contratuais-tipo nela estabelecidas oferecem as garantias suficientes referidas no artigo 26.o, n.o 2, da referida diretiva. Tal não impede uma autoridade nacional de controlo de exercer as suas competências de supervisão dos fluxos de dados, incluindo o poder de suspender ou de proibir uma transferência de dados pessoais, se considerar que a transferência é efetuada em violação da legislação nacional ou da UE em matéria de proteção de dados, nomeadamente quando o importador dos dados não respeite as cláusulas contratuais-tipo.

(6) As Decisões 2001/497/CE (5) e 2010/87/UE (6) da Comissão preveem uma limitação dos poderes das autoridades nacionais de controlo, semelhante à prevista no artigo 3.o, n.o 1, primeiro parágrafo, da Decisão 2000/520/CE, que o Tribunal de Justiça considerou inválido.

(7) À luz do acórdão Schrems, e em conformidade com o artigo 266.o do Tratado, as disposições dessas decisões que limitam os poderes das autoridades nacionais de controlo devem, por conseguinte, ser substituídas.

(8) A fim de facilitar o controlo eficaz da aplicação das decisões relativas às cláusulas contratuais-tipo atualmente em vigor, os Estados-Membros devem informar a Comissão das medidas adotadas pelas respetivas autoridades nacionais de controlo.

(9) O parecer emitido pelo Grupo de Proteção das Pessoas no que diz respeito ao Tratamento de Dados Pessoais, instituído nos termos do artigo 29.o da Diretiva 95/46/CE, foi tido em conta na elaboração da presente decisão.

(10) As medidas previstas na presente decisão estão em conformidade com o parecer do Comité instituído pelo artigo 31.o, n.o 1, da Diretiva 95/46/CE,

(11) As Decisões 2001/497/CE e 2010/87/UE devem, por conseguinte, ser alteradas em conformidade,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o

O artigo 4.o da Decisão 2001/497/CE passa a ter a seguinte redação:

«Artigo 4.o Sempre que as autoridades competentes dos Estados-Membros exerçam os seus poderes nos termos do artigo 28.o, n.o 3, da Diretiva 95/46/CE, conduzindo assim à suspensão ou proibição definitiva dos fluxos de dados para países terceiros a fim de proteger pessoas singulares no que respeita ao tratamento dos seus dados pessoais, o Estado-Membro em causa deve, sem demora, informar a Comissão, a qual, por sua vez, informará os outros Estados-Membros.»

Artigo 2.o

O artigo 4.o da Decisão 2010/87/UE passa a ter a seguinte redação:

«Artigo 4.o Sempre que as autoridades competentes dos Estados-Membros exerçam os seus poderes nos termos do artigo 28.o, n.o 3, da Diretiva 95/46/CE, conduzindo assim à suspensão ou proibição definitiva dos fluxos de dados para países terceiros a fim de proteger pessoas singulares no que respeita ao tratamento dos seus dados pessoais, o Estado-Membro em causa deve, sem demora, informar a Comissão, a qual, por sua vez, informará os outros Estados-Membros.»

Artigo 3.o

Os Estados-Membros são os destinatários da presente decisão.

Feito em Bruxelas, em 16 de dezembro de 2016. Pela Comissão Věra JOUROVÁ Membro da Comissão

(1) JO L 281 de 23.11.1995, p. 31.

(2) ECLI:EU:C:2015:650.

(3) Decisão 2000/520/CE da Comissão, de 26 de julho de 2000, nos termos da Diretiva 95/46/CE do Parlamento Europeu e do Conselho e relativa ao nível de proteção assegurado pelos princípios de «porto seguro» e pelas respetivas questões mais frequentes (FAQ) emitidos pelo Department of Commerce dos Estados Unidos da América (JO L 215 de 25.8.2000, p. 7).

(4) Acórdão Schrems, n.o 40 e seguintes, 101 a 103.

(5) Decisão 2001/497/CE da Comissão, de 15 de junho de 2001, relativa às cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para países terceiros, nos termos da Diretiva 95/46/CE (JO L 181 de 4.7.2001, p. 19).

(6) Decisão 2010/87/UE da Comissão, de 5 de fevereiro de 2010, relativa às cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para subcontratantes estabelecidos em países terceiros nos termos da Diretiva 95/46/CE do Parlamento Europeu e do Conselho (JO L 39 de 12.2.2010, p. 5).