DECISÃO DE EXECUÇÃO (UE) 2021/1773 DA COMISSÃO

de 28 de junho de 2021

nos termos da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho sobre a adequação do nível de proteção dos dados pessoais assegurado pelo Reino Unido

[notificada com o número C(2021) 4801]

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (1), nomeadamente o artigo 36.o, n.o 3,

Considerando o seguinte:

1. INTRODUÇÃO

(1) A Diretiva (UE) 2016/680 estabelece as regras relativas às transferências de dados pessoais pelas autoridades competentes na União para países terceiros e organizações internacionais, na medida em que essas transferências sejam abrangidas pelo respetivo âmbito de aplicação. As regras relativas às transferências internacionais de dados pelas autoridades competentes são estabelecidas no capítulo V da Diretiva (UE) 2016/680, mais especificamente nos seus artigos 35.o a 40.°. Embora a circulação de dados pessoais com destino e a partir de países fora da União Europeia seja essencial para uma cooperação eficiente no domínio da aplicação da lei, é indispensável garantir que o nível de proteção concedido aos dados pessoais na União Europeia não é prejudicado por tais transferências (2).

(2) Nos termos do artigo 36.o, n.o 3, da Diretiva (UE) 2016/680, a Comissão pode decidir, por meio de um ato de execução, que um país terceiro, um território, um ou mais setores específicos desse país terceiro, ou uma organização internacional, assegura(m) um nível de proteção adequado. Tendo em conta esta condição, pode-se efetuar transferências de dados pessoais para um país terceiro sem que seja necessária mais nenhuma autorização (salvo se outro Estado-Membro de onde provêm os dados tiver de autorizar a transferência), como previsto no artigo 35.o, n.o 1, e no considerando 66 da Diretiva (UE) 2016/680.

(3) Conforme especificado no artigo 36.o, n.o 2, da Diretiva (UE) 2016/680, a adoção de uma decisão de adequação tem de basear-se numa análise exaustiva da ordem jurídica do país terceiro. Na sua avaliação, a Comissão tem de apurar se o país terceiro em causa garante um nível de proteção «essencialmente equivalente» ao assegurado na União Europeia [considerando 67 da Diretiva (UE) 2016/680]. O critério pelo qual se avalia a «equivalência essencial» é o estabelecido pela legislação da UE, nomeadamente a Diretiva (UE) 2016/680, bem como pela jurisprudência do Tribunal de Justiça da União Europeia (3). O documento de referência relativo à adequação do Comité Europeu para a Proteção de Dados é também importante nesta matéria (4).

(4) Conforme esclareceu o Tribunal de Justiça da União Europeia, não é exigido um nível de proteção idêntico (5). Mais concretamente, os meios a que o país terceiro em causa recorre para proteger os dados pessoais podem ser diferentes dos aplicados na União Europeia, desde que se revelem, na prática, eficazes para assegurar um nível adequado de proteção (6). Por conseguinte, o padrão de adequação não exige que as regras da União sejam replicadas ponto por ponto. Em vez disso, importa aferir sobretudo se, por meio do teor dos direitos de privacidade e da sua aplicação, controlo e execução efetivos, o sistema estrangeiro consegue, no seu conjunto, garantir o nível de proteção exigido (7).

(5) A Comissão analisou com atenção o direito e as práticas pertinentes do Reino Unido. Com base nas suas conclusões, expostas a abaixo, a Comissão conclui que o Reino Unido assegura um nível adequado de proteção dos dados pessoais transferidos pelas autoridades competentes na União, abrangidas pelo âmbito de aplicação da Diretiva (UE) 2016/680, às autoridades competentes do Reino Unido abrangidas pelo âmbito de aplicação da parte 3 do Data Protection Act 2018 (Lei de 2018 relativa à Proteção de Dados – DPA 2018) (8).

(6) Em resultado da presente decisão, tais transferências podem ser efetuadas sem que seja necessária mais nenhuma autorização por um período de quatro anos, sob reserva de uma possível renovação e sem prejuízo das condições previstas no artigo 35.o da Diretiva (UE) 2016/680.

2. NORMAS APLICÁVEIS AO TRATAMENTO DE DADOS PESSOAIS POR AUTORIDADES COMPETENTES PARA FINS DE APLICAÇÃO DO DIREITO PENAL

2.1. Quadro constitucional

(7) O Reino Unido é uma democracia parlamentar. Possui um parlamento soberano, que tem supremacia em relação a todas as outras instituições governamentais, um executivo proveniente do parlamento e responsável perante este e um sistema judiciário independente. O executivo retira a sua autoridade da sua capacidade de congregar o apoio da Câmara dos Comuns eleita e é responsável perante ambas as câmaras do parlamento (Câmara dos Comuns e Câmara dos Lordes), que são responsáveis pelo controlo do governo e por debater e aprovar a legislação. O parlamento do Reino Unido delegou no parlamento escocês, no parlamento do País de Gales (Senedd Cymru) e na Assembleia da Irlanda do Norte a responsabilidade de legislar em certas matérias internas na Escócia, no País de Gales e na Irlanda do Norte. Embora a proteção de dados seja uma matéria reservada ao parlamento do Reino Unido, ou seja, é aplicável a mesma legislação a todo o território, existem outros domínios políticos pertinentes para a presente decisão que foram delegados. Por exemplo, os sistemas de justiça penal, incluindo o policiamento (as atividades realizadas pelas forças policiais) da Escócia e da Irlanda do Norte, são da competência do parlamento escocês e da Assembleia da Irlanda do Norte, respetivamente (9).

(8) Embora o Reino Unido não possua uma constituição codificada na aceção de um documento constitutivo codificado, os seus princípios constitucionais têm surgido com o passar do tempo, tendo origem, em particular, na jurisprudência e em convenções. Tem sido reconhecido o valor constitucional de determinadas leis, como a Magna Carta, o Bill of Rights 1689 (Carta dos Direitos de 1689) e o Human Rights Act 1998 (Lei de 1998 relativa aos Direitos Humanos). Os direitos fundamentais das pessoas singulares têm-se desenvolvido, como parte da constituição, por meio da jurisprudência, da legislação e de tratados internacionais, em particular a Convenção Europeia dos Direitos Humanos (CEDH), que o Reino Unido ratificou em 1951. Em 1987, o Reino Unido também ratificou a Convenção do Conselho da Europa para a Proteção das Pessoas relativamente ao Tratamento Automatizado de Dados de Caráter Pessoal (Convenção 108) (10).

(9) O Human Rights Act 1998 incorpora os direitos constantes da CEDH no direito do Reino Unido. A referida lei concede a todas as pessoas os direitos e as liberdades fundamentais previstas nos artigos 2.o a 12.° e no artigo 14.o da CEDH, nos artigos 1.o a 3.° do seu Protocolo n.o 1 e no artigo 1.o do seu Protocolo n.o 13, lido em conjugação com os artigos 16.o a 18.° da CEDH. Tal inclui o direito ao respeito pela vida privada e familiar, que, por sua vez, inclui o direito à proteção dos dados, e o direito a um tribunal imparcial (11). Mais particularmente, nos termos do artigo 8.o da CEDH, só pode haver ingerência da autoridade pública se esta ingerência estiver prevista na lei e constituir uma providência que, numa sociedade democrática, seja necessária para a segurança nacional, para a segurança pública, para o bem-estar económico do país, a defesa da ordem e a prevenção das infrações penais, a proteção da saúde ou da moral, ou a proteção dos direitos e das liberdades de terceiros.

(10) Em conformidade com o Human Rights Act 1998, qualquer ato por parte das autoridades públicas tem de ser compatível com os direitos garantidos ao abrigo da CEDH (12). Além disso, o direito primário e o direito derivado têm de ser interpretados e aplicados de modo compatível com os referidos direitos (13). Se considerar que os seus direitos, incluindo os direitos à privacidade e à proteção dos dados, foram violados por autoridades públicas, qualquer pessoa singular pode obter reparação junto dos tribunais do Reino Unido ao abrigo do Human Rights Act 1998 e, em última instância, depois de esgotar todos os recursos a nível nacional, pode obter reparação junto do Tribunal Europeu dos Direitos Humanos por violações dos direitos garantidos ao abrigo da CEDH.

2.2. Quadro do Reino Unido em matéria de proteção de dados

(11) O Reino Unido saiu da União em 31 de janeiro de 2020. Ao abrigo do Acordo sobre a saída do Reino Unido da Grã-Bretanha e da Irlanda do Norte da União Europeia e da Comunidade Europeia da Energia Atómica (14), o direito da União continuou a aplicar-se no Reino Unido durante o período de transição até 31 de dezembro de 2020. Antes da saída e durante o período de transição, o quadro jurídico em matéria de proteção de dados pessoais no Reino Unido que rege o tratamento de dados pessoais efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção das ameaças à segurança pública, consistia nas partes pertinentes do Data Protection Act 2018, que transpôs a Diretiva (UE) 2016/680.

(12) Para preparar a saída da UE, o Governo do Reino Unido promulgou o European Union (Withdrawal) Act 2018 [Lei de 2018 sobre (a Retirada da) União Europeia] (EUWA) (15), que incorporava legislação da União diretamente aplicável no direito do Reino Unido e previa que a denominada «legislação interna derivada da UE» continuaria a ter efeito após o fim do período de transição. A parte 3 do DPA 2018 (16) que transpôs a Diretiva (UE) 2016/680 constitui «legislação interna derivada da UE» ao abrigo do EUWA. De acordo com o EUWA, a «legislação interna derivada da UE» tem de ser interpretada pelos tribunais do Reino Unido em conformidade com a jurisprudência pertinente do Tribunal de Justiça da União Europeia (Tribunal de Justiça) e os princípios gerais do direito da União em vigor imediatamente antes do fim do período de transição (designados por «jurisprudência da UE mantida» e «princípios gerais do direito da UE mantidos», respetivamente) (17).

(13) Ao abrigo do EUWA, os ministros do Reino Unido têm o poder de introduzir atos de direito derivado, através de instrumentos estatutários, para proceder às alterações necessárias ao direito da UE mantido em consequência da saída do Reino Unido da União Europeia. Os Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 [Regulamentos de 2019 relativos à Proteção dos Dados, à Privacidade e às Comunicações Eletrónicas (alterações, etc.) (saída da UE) — Regulamentos DPPEC] (18) exercem este poder. Os referidos regulamentos alteram a legislação em matéria de proteção de dados do Reino Unido, incluindo o DPA 2018, por motivos de compatibilidade com o contexto interno (19).

(14) Por conseguinte, as normas jurídicas sobre o tratamento de dados pessoais efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública no Reino Unido após o período de transição ao abrigo do Acordo de Saída continuarão a ser estabelecidas nas partes pertinentes do DPA 2018, mas com a redação que lhe foi dada pelos Regulamentos DPPEC, em particular na parte 3 da referida lei. O Regulamento Geral sobre a Proteção de Dados do Reino Unido (RGPD do Reino Unido) não é aplicável a este tipo de tratamento.

(15) A parte 3 do DPA 2018 prevê as regras de tratamento de dados pessoais para fins de aplicação do direito penal, incluindo princípios em matéria de proteção de dados, fundamentação jurídica para o tratamento (licitude), direitos dos titulares dos dados, obrigações das autoridades competentes enquanto responsáveis pelo tratamento e restrições relativas a transferências ulteriores. Ao mesmo tempo, são previstas regras em matéria de supervisão, cumprimento e recurso aplicáveis ao setor da aplicação da lei nas partes 5 e 6 do DPA 2018.

(16) Além disso, à luz do papel relevante desempenhado pelas forças policiais no setor da aplicação da lei, há que ter em consideração as regras que regem a ação da polícia. Uma vez que a ação da polícia é uma matéria delegada, são aplicáveis diversos atos legislativos, que, porém, são muitas vezes semelhantes no que respeita ao seu conteúdo, à ação da polícia a) na Inglaterra e no País de Gales, b) na Escócia e c) na Irlanda do Norte (20). Além disso, diversos tipos de documentos de orientação proporcionam clarificações adicionais sobre a melhor forma de utilizar os poderes da polícia. Existem três tipos principais de orientações policiais: 1) orientações legais emitidas ao abrigo de legislação, como o Code of Ethics (código deontológico) (21) e o Code of Practice on the Management of Police Information (código de boas de práticas para a gestão da informação da polícia – código de boas práticas MoPI) (22) emitido ao abrigo do Police Act 1996 (Lei de 1996 relativa à Polícia) (23) ou os códigos PACE (24) publicados ao abrigo do Police and Criminal Evidence Act (Lei relativa à Polícia e aos e Meios de Prova Penal) (25), 2) a Authorised Professional Practice on the Management of Police Information (prática profissional autorizada para a gestão da informação Policial) (26) (orientações de PPA para a gestão da informação policial), emitida pelo College of Policing (Academia de Polícia), e 3) orientações operacionais (publicadas pela própria polícia). O National Police Chiefs’ Council (Conselho Nacional de Chefias Policiais) (um organismo coordenador para todas as forças policiais do Reino Unido) publica orientações operacionais, aprovadas por todas as forças policiais e, por conseguinte, aplicáveis a nível nacional (27). Estas orientações têm como objetivo assegurar a coerência entre as forças no que respeita às formas de gestão da informação (28).

(17) O código de boas práticas MoPI foi emitido pelo ministro da tutela (Secretary of State) em 2005, por meio dos poderes previstos na section 39A do Police Act 1996 (29). Qualquer código de boas práticas publicado ao abrigo do Police Act tem de ser aprovado pelo ministro da tutela e é objeto de consulta à National Crime Agency antes de ser apresentado ao parlamento. A section 39A(7) do Police Act exige que a polícia tenha devidamente em conta os códigos emitidos ao abrigo da referida lei, pelo que se espera que a polícia os cumpra (30). Além disso, as orientações não previstas por lei (como as orientações de PPA para a gestão da informação policial) têm de ser sempre coerentes com o código de boas práticas MoPI, que prevalece sobre elas (31). Em todo o caso, embora possa haver determinadas situações operacionais que os obrigam a divergir destas orientações, os agentes de segurança continuam a ter de cumprir os requisitos da parte 3 do DPA 2018 (32).

(18) O Gabinete do Comissário para a Informação («comissário para a informação» ou «ICO») (33) (para mais informações sobre o ICO, ver os considerandos 93 a 109) proporciona mais orientações sobre a legislação em matéria de proteção de dados do Reino Unido relativa ao tratamento no setor da aplicação da lei. Embora não sejam juridicamente vinculativas, numa ação, os tribunais teriam de ter em consideração qualquer violação das orientações, uma vez que têm peso interpretativo e demonstram a forma como o comissário interpreta e aplica a legislação em matéria de proteção de dados (34).

(19) Por fim, tal como mencionado nos considerandos 8 a 10, as agências de aplicação da lei do Reino Unido têm de assegurar o cumprimento da (CEDH) e da Convenção 108.

(20) Por conseguinte, na sua estrutura e componentes principais, o quadro jurídico que rege o tratamento de dados pelas autoridades de aplicação do direito penal do Reino Unido é muito semelhante ao aplicável na UE. Tal inclui o facto de tal quadro depender não só de obrigações estabelecidas no direito interno, que foram moldadas pelo direito da UE, mas também de obrigações consagradas no direito internacional, em particular por meio da adesão do Reino Unido à CEDH e à Convenção 108, bem como por meio da sua submissão à competência jurisdicional do Tribunal Europeu dos Direitos Humanos. Estas obrigações decorrentes de instrumentos internacionais juridicamente vinculativos, relativos, nomeadamente, à proteção de dados pessoais, constituem, por conseguinte, um elemento particularmente importante do quadro jurídico avaliado na presente decisão.

2.3. Âmbito de aplicação material e territorial

(21) O âmbito material da parte 3 do DPA 2018 coincide com o âmbito de aplicação da Diretiva 2016/680, conforme especificado no seu artigo 2.o, n.o 2. A parte 3 aplica-se ao tratamento de dados pessoais por uma autoridade competente por meios total ou parcialmente automatizados, bem como ao tratamento por uma entidade competente por meios não automatizados de dados pessoais contidos num ficheiro ou a ele destinados.

(22) Além disso, para que seja abrangido pelo âmbito de aplicação da parte 3, o responsável pelo tratamento tem de ser uma «autoridade competente» e o tratamento tem de ser efetuado «para efeitos de aplicação da lei». Por conseguinte, o regime de proteção de dados avaliado na presente decisão é aplicável a todas as atividades de aplicação da lei destas autoridades competentes.

(23) A section 30 do DPA define o conceito de «autoridade competente» como uma das pessoas constantes do schedule 7 do DPA 2018, bem como qualquer outra pessoa desde que desempenhe funções legais para efeitos de aplicação da lei. As autoridades competentes constantes do schedule 7 incluem não só forças policiais, mas também todos os ministérios do Governo do Reino Unido, bem como outras autoridades com funções de investigação [por exemplo, o Comissário para o Her Majesty’s Revenue and Customs (serviço real de fiscalidade e alfândegas do Reino Unido), a Welsh Revenue Authority (autoridade fiscal do País de Gales), a Competition and Markets Authority (autoridade para a concorrência e os mercados) ou o Her Majesty’s Land Register (registo predial)], agências de ação penal, outras agências de justiça penal e outros titulares ou organizações que realizam atividades de aplicação da lei (35). A parte 3 do DPA 2018 aplica-se igualmente aos tribunais sempre que estes exercem a suas funções jurisdicionais, exceto a parte relacionada com os direitos dos titulares dos dados e a supervisão do ICO (36). A lista de autoridades competentes prevista no schedule 7 não é definitiva, podendo ser atualizada pelo ministro da tutela por meio de regulamentação, tendo em conta as alterações na organização das funções públicas (37).

(24) O tratamento em causa tem igualmente de ser realizado «para efeitos de aplicação da lei», expressão pela qual se entende a prevenção, a investigação, a deteção ou a repressão de infrações penais ou a execução de sanções penais, incluindo a salvaguarda da segurança pública e a prevenção de ameaças à segurança pública (38). O tratamento por uma autoridade competente não se rege pela parte 3 do DPA 2018 se não for realizado para efeitos de aplicação da lei. É esse o caso, por exemplo, quando a Competition and Markets Authority investiga casos que não são tipificados como infrações penais (por exemplo, fusões entre empresas). Neste caso, será aplicável o RGPD do Reino Unido, lido em conjugação com a parte 2 do DPA 2018, uma vez que o tratamento por autoridades competentes é efetuado para fins diversos da aplicação da lei. Para determinar que regime de proteção de dados é aplicável (parte 3 ou parte 2 do DPA 2018) no tratamento dos dados pessoais em causa, a autoridade competente, ou seja, o responsável pelo tratamento, tem de apurar se a «finalidade principal» do tratamento é uma das finalidades de aplicação da lei abrangidas pelo DPA 2018.

(25) Quanto ao âmbito territorial da parte 3 do DPA 2018, a section 207(2), determina que o DPA se aplica ao tratamento de dados pessoais no contexto das atividades de pessoas estabelecidas em todo o território do Reino Unido. Tal inclui autoridades públicas dos territórios da Inglaterra, do País de Gales, da Escócia e da Irlanda do Norte abrangidas pelo âmbito material da parte 3 do DPA 2018 (39).

2.3.1. Definição de dados pessoais e tratamento

(26) Os conceitos importantes de «dados pessoais» e «tratamento» são definidos na section 3 do DPA 2018 e aplicam-se a todo o DPA. As definições seguem rigorosamente as definições correspondentes constantes do artigo 3.o da Diretiva (UE) 2016/680. No âmbito do DPA 2018, por «dados pessoais» entende-se quaisquer informações relativas a uma pessoa viva identificada ou identificável (40). Nos termos da section 3(3) do DPA 2018, é considerada identificável uma pessoa que possa ser identificada, direta ou indiretamente, a partir das informações, incluindo por referência a um nome ou um identificador ou por referência a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social. Por «tratamento» entende-se uma operação ou um conjunto de operações efetuadas sobre informações, ou conjuntos de informações, nomeadamente a) a recolha, o registo, a organização, a estruturação ou a conservação; b) a adaptação ou alteração; c) a recuperação, a consulta ou a utilização; d) a divulgação por transmissão, difusão ou por qualquer outra forma de disponibilização; e) a comparação ou interconexão; ou f) a limitação, o apagamento ou a destruição. Além disso, a lei define «tratamento sensível» como «a) o tratamento de dados pessoais que revelam a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas ou a filiação sindical; b) o tratamento de dados genéticos, ou de dados biométricos, para destinados a identificar uma pessoa de forma inequívoca; c) o tratamento de dados relativos à saúde; d) o tratamento de dados relativos à vida sexual ou à orientação sexual» (41). A este respeito, a section 205 do DPA 2018 fixa as definições de «dados biométricos» (42), «dados relativos à saúde» (43) e «dados genéticos» (44).

(27) A section 32 do DPA 2018 clarifica as definições de «responsável pelo tratamento» e «subcontratante» no contexto do tratamento de dados pessoais para efeitos de aplicação da lei seguindo rigorosamente as definições equivalentes da Diretiva (UE) 2016/680. Por «responsável pelo tratamento» entende-se a autoridade competente, que determina as finalidades e os meios do tratamento de dados pessoais. Se o tratamento for exigido por lei, o responsável pelo tratamento é a autoridade competente a que incumbe tal obrigação imposta pela lei em causa. Por «subcontratante» entende-se qualquer pessoa que proceda ao tratamento de dados pessoais em nome do responsável pelo tratamento (que não uma pessoa que seja um funcionário do responsável pelo tratamento).

2.4. Garantias, direitos e obrigações

2.4.1. Licitude e lealdade do tratamento

(28) Em conformidade com a section 35 do DPA 2018, os dados pessoais têm de ser objeto de um tratamento lícito e leal, à semelhança do artigo 4.o, n.o 1, alínea a), da Diretiva (UE) 2016/680. Em conformidade com a section 35(2) do DPA 2018, o tratamento de dados pessoais para efeitos de aplicação da lei só é lícito se estiver previsto na lei e se o titular dos dados tiver dado o seu consentimento ao tratamento para essa finalidade ou o tratamento for necessário ao exercício de funções de uma autoridade competente para essa finalidade.

2.4.1.1. Tratamento previsto na lei

(29) À semelhança do artigo 8.o da Diretiva (UE) 2016/680, para garantir a licitude de um tratamento abrangido pela parte 3 do DPA 2018, este tratamento tem de «estar previsto na lei». Por tratamento «lícito» entende-se o tratamento autorizado por lei, jurisprudência ou prerrogativa real (45).

(30) Os poderes das autoridades competentes regem-se, de modo geral, por leis, o que significa que as suas funções e poderes são estabelecidos de modo claro na legislação adotada pelo parlamento (46). Em determinados casos, a polícia e outras autoridades competentes constantes do schedule 7 do DPA 2018 podem contar com a jurisprudência para proceder ao tratamento de dados (47). A jurisprudência tem-se desenvolvido por meio de precedentes estabelecidos por decisões dos tribunais. A jurisprudência é pertinente no contexto dos poderes conferidos à polícia, que deriva desta fonte de lei o seu dever essencial de proteger o público mediante a deteção e prevenção da criminalidade (48). Porém, as forças policiais dispõem de poderes decorrentes tanto da jurisprudência como da legislação (49) para cumprir esse dever. Sempre que a polícia tenha poderes estatutários, estes prevalecem sobre os poderes decorrentes da jurisprudência (50).

(31) Os tribunais têm reconhecido que o alcance dos poderes e das obrigações dos agentes de segurança decorrentes da jurisprudência abrange «todas as medidas que se afiguram necessárias para manter a paz, prevenir a criminalidade ou para proteger a propriedade contra infrações penais» (51). Os poderes decorrentes da jurisprudência não são absolutos. Estão sujeitos a um conjunto de limitações, incluindo limites estabelecidos pelos tribunais (52) e pela legislação, em particular o Human Rights Act 1998 e o Equality Act 2010 (Lei de 2010 relativa à Igualdade) (53). Além disso, para o tratamento de dados pelas autoridades competentes ao abrigo da parte 3 do DPA 2018, tal implica que o exercício dos poderes decorrentes da jurisprudência seja coerente com os requisitos estabelecidos no DPA 2018 (54). Acresce que as decisões para realizar qualquer tipo de tratamento de dados têm de ter em conta os requisitos das orientações aplicáveis, como o código de boas práticas MoPI, bem como as orientações específicas de um dos países do Reino Unido (55). O governo e os organismos operacionais da polícia emitem diversos documentos de orientação para assegurar que os agentes de segurança exercem os seus poderes de tratamento dentro dos limites fixados pela jurisprudência e pela legislação pertinente (56).

(32) As prerrogativas reais constituem uma outra componente da «lei» e dizem respeito a determinados poderes investidos na Coroa suscetíveis de serem exercidos pelo executivo e que não se baseiam na legislação, mas derivam da soberania do monarca (57). Existem muito poucos exemplos de poderes de prerrogativa pertinentes no contexto da aplicação da lei. Entre eles, inclui-se, por exemplo, o quadro de auxílio judiciário mútuo que permite a partilha de dados por um ministro com países terceiros para efeitos de aplicação da lei, não estando sempre estatuído o poder de partilhar dados deste modo (58). As prerrogativas reais estão sujeitas a princípios da jurisprudência (59) e subordinam-se à legislação, estando, por conseguinte, sujeitas aos limites previstos no Human Rights Act 1998 e no DPA 2018 (60).

(33) À semelhança do artigo 8.o da Diretiva (UE) 2016/680, o regime do Reino Unido exige que, para cumprir o princípio da licitude, as autoridades competentes assegurem que, quando se baseia na lei, o tratamento seja «necessário» para levar a cabo a incumbência para uma finalidade de aplicação da lei. O ICO proporciona uma orientação a este respeito, esclarecendo que «tem de constituir uma forma específica e proporcionada de alcançar a finalidade. Não haverá uma base lícita se for possível alcançar a finalidade de modo razoável por outros meios menos intrusivos. Não basta alegar que o tratamento é necessário porque se decidiu realizar o procedimento de uma determinada forma. Trata-se de saber se o tratamento é necessário para a finalidade especificada» (61).

2.4.1.2. Tratamento com base no «consentimento» do titular dos dados

(34) Conforme referido no considerando 28, a section 35(2) do DPA 2018 prevê a possibilidade de proceder ao tratamento de dados pessoais com base no «consentimento» da pessoa.

(35) No entanto, o consentimento não se afigura uma base jurídica pertinente para as operações de tratamento abrangidas pelo âmbito de aplicação da presente decisão. Efetivamente, as operações de tratamento abrangidas pela presente decisão dirão sempre respeito a dados que tenham sido transferidos ao abrigo da Diretiva (UE) 2016/680 por uma autoridade competente de um Estado-Membro da UE para uma autoridade competente do Reino Unido. Por conseguinte, não envolverão, geralmente, o tipo de interação direta (recolha) entre uma autoridade pública e os titulares dos dados suscetível de basear-se no consentimento ao abrigo da section 35(2)(a) do DPA 2018.

(36) Embora a dependência do consentimento não seja, portanto, considerada pertinente para a avaliação realizada na presente decisão, por uma questão de exaustividade, afigura-se oportuno referir que, no contexto da aplicação da lei, o tratamento não se baseia exclusivamente no consentimento, dado que a autoridade competente tem de ter sempre um poder subjacente que lhe permite proceder ao tratamento dos dados (62). Mais especificamente, e à semelhança do permitido ao abrigo da Diretiva (UE) 2016/680 (63), tal significa que o consentimento serve de condição adicional para permitir a realização de determinadas operações de tratamento limitadas e específicas que não poderiam ser realizadas de outra forma, como, por exemplo, a recolha e o tratamento de uma amostra de ADN de uma pessoa que não seja suspeita. Neste caso, não se procederia ao tratamento se não fosse dado consentimento ou este tivesse sido retirado (64).

(37) Nos casos que exigem o consentimento da pessoa singular, este consentimento tem de ser explícito e implicar um ato positivo inequívoco (65). As forças policiais estão obrigadas a ter um aviso de privacidade que inclua, nomeadamente, a informação necessária relacionada com a utilização válida do consentimento. Além disso, algumas delas publicam materiais adicionais sobre o cumprimento da legislação em matéria de proteção de dados, incluindo como e quando recorrem ao consentimento enquanto base jurídica (66).

2.4.1.3. Tratamento sensível

(38) Devem existir garantias específicas aplicáveis ao tratamento de «categorias especiais» de dados. A este respeito, à semelhança do previsto no artigo 10.o da Diretiva (UE) 2016/680, a parte 3 do DPA 2018 prevê garantias mais robustas para o designado «tratamento de dados sensíveis» (67).

(39) Nos termos da section 35(3) do DPA 1998, as autoridades competentes só podem proceder ao tratamento de dados sensíveis para efeitos de aplicação da lei em dois casos: 1) se o titular dos dados tiver dado consentimento para o tratamento para efeitos de aplicação da lei e, no momento em que o tratamento é realizado, o responsável pelo tratamento dispõe de um documento de políticas adequado (68); ou 2) o tratamento é estritamente necessário para efeitos de aplicação da lei, cumpre pelo menos uma das condições constantes do schedule 8 do DPA 2018 e, no momento em que o tratamento é realizado, o responsável pelo tratamento dispõe de um documento de políticas adequado (69).

(40) No que respeita ao primeiro caso, conforme explicado no considerando 38, a necessidade do consentimento não é considerada pertinente no tipo de situação de transferência objeto da presente decisão (70).

(41) Quando o tratamento de dados sensíveis não depende do consentimento, pode ser realizado nas condições prevista no schedule 8 do DPA 2018. Estas condições estão relacionadas com o processamento necessário para fins previstos na lei; a administração da justiça; a proteção dos interesses vitais do titular de dados ou de um terceiro; a salvaguarda de crianças e pessoas em risco; os direitos em processos judiciais; os atos judiciais; a prevenção da fraude; o arquivo; se os dados pessoais tenham sido manifestamente tornados públicos pelo seu titular. Para além do caso em que os dados são manifestamente tornados públicos, todas as condições previstas no schedule 8 estão sujeitas ao teste da «estrita necessidade». Tal como esclarecido pelo ICO, «neste contexto, por «estritamente necessário» entende-se que o tratamento tem de estar relacionado com uma necessidade social premente que não pode ser alcançada razoavelmente por meios menos intrusivos» (71). Além disso, algumas das condições estão sujeitas a limitações adicionais. Por exemplo, para que se possa recorrer à condição relativa aos «fins previstos na lei» e à «condição relativa à salvaguarda» (schedule 8, n.os 1 e 4) é necessário realizar o teste adicional do interesse público importante. Além disso, no que respeita às condições relativas à salvaguarda da criança (schedule 8, n.o 4), é igualmente necessário que o titular dos dados também tenha uma determinada idade e que se considere que este está em risco. Além disso, o responsável pelo tratamento só pode aplicar a condição prevista no schedule 8, n.o 4, em circunstâncias específicas (72). Existem, igualmente, limitações para as condições relativas aos «atos judiciais» e à «prevenção da fraude» (schedule 8, n.os 7 e 8, respetivamente). Ambas só são aplicáveis a responsáveis pelo tratamento específicos. No caso dos atos judiciais, só um tribunal ou outra autoridade judicial conseguem satisfazer esta condição e, no caso da prevenção da fraude, só os responsáveis pelo tratamento que sejam organizações de luta contra a fraude conseguem satisfazer esta condição.

(42) Por fim, quando o tratamento depende de uma das condições enunciadas no schedule 8 e em conformidade com a section 42 do DPA 2018, tem de existir um «documento de políticas adequado» — que explique os procedimentos do responsável pelo tratamento para garantir o cumprimento dos princípios da proteção de dados e as políticas do responsável pelo tratamento no que respeita à conservação e ao apagamento de dados pessoais — e sendo aplicáveis as obrigações de registo alargado.

2.4.2. Limitação das finalidades

(43) Os dados pessoais devem ser tratados com uma finalidade específica e, subsequentemente, utilizados apenas na medida em que essa utilização não seja incompatível com a finalidade do tratamento. Este princípio da proteção de dados é garantido pela section 36 do DPA 2018. Esta disposição, à semelhança do artigo 4.o, n.o 1, alínea b), da Diretiva (UE) 2016/680, exige que a) as finalidades de aplicação da lei para que se procede à recolha de dados pessoais em qualquer momento sejam determinadas, explícitas e legítimas, e b) os dados pessoais recolhidos deste modo não sejam tratados de uma forma incompatível com a finalidade para que foram recolhidos.

(44) Quando as autoridades competentes tratam dados para efeitos de aplicação da lei, estes podem incluir fins de arquivo, fins de investigação científica ou história e fins estatísticos (73). Nesses casos, o DPA 2018 esclarece igualmente que o arquivo (ou o tratamento para fins de investigação científica ou histórica ou estatísticos) não é permitido se for realizado em relação a decisões relacionadas com um titular de dados específico ou se for suscetível de provocar importantes danos ou sofrimento emocional ao titular dos dados (74).

2.4.3. Exatidão e minimização dos dados

(45) Os dados têm de ser exatos e, se necessário, atualizados. Têm, igualmente, de ser adequados, pertinentes e não excessivos relativamente às finalidades para que são tratados. À semelhança do artigo 4.o, n.o 1, alíneas c), d) e e), da Diretiva (UE) 2016/680, estes princípios são garantidos nas sections 37 e 38 do DPA 2018. É necessário tomar todas as medidas razoáveis para assegurar que os dados inexatos (75) sejam apagados ou retificados sem demora (76), tendo em conta a finalidade de aplicação da lei para a qual são tratados (77) e para assegurar que os dados pessoais inexatos, incompletos ou que não estejam atualizados não sejam transmitidos ou disponibilizados para efeitos de aplicação da lei (78).

(46) Além disso, à semelhança do artigo 7.o da Diretiva (UE) 2016/680, o regime de proteção de dados do Reino Unido especifica que os dados pessoais baseados em factos têm de ser, na medida do possível, distinguidos dos dados pessoais baseados em apreciações pessoais (79). Se for caso disso e na medida do possível, tem de ser feita uma distinção entre os dados pessoais relativos a diferentes categorias de titulares de dados, como pessoas suspeitas, pessoas condenadas por uma infração penal, vítimas de uma infração penal e testemunhas (80).

2.4.4. Limitação da conservação

(47) Em conformidade com o artigo 5.o da Diretiva (UE) 2016/680, em princípio, os dados não devem ser conservados mais tempo do que o necessário para as finalidades para as quais são tratados. Nos termos da section 39 do DPA 2018 e à semelhança do artigo 5.o da referida diretiva, é proibido conservar dados pessoais tratados para efeitos de aplicação da lei por mais tempo do que o necessário tendo em conta a finalidade para a qual são tratados. O regime jurídico do Reino Unido exige que sejam estabelecidos prazos adequados para a reavaliação periódica da necessidade de conservação de dados pessoais para efeitos de aplicação da lei. Foram estabelecidas regras adicionais para as práticas relativas à conservação de dados pessoais e os prazos aplicáveis na legislação pertinente e nas orientações que regem os poderes e o funcionamento da polícia. Por exemplo, na Inglaterra e no País de Gales, o código de boas práticas MoPI do College of Policing e as orientações de PPA para a gestão da informação policial proporcionam um quadro para garantir um processo de conservação, reavaliação e eliminação coerente e assente no risco para a gestão das informações de policiamento operacionais (81). Este quadro estabelece expectativas claras em todo o serviço quanto à melhor forma de criar, partilhar, utilizar e gerir a informação em cada força policial e agência e entre as mesmas (82). Espera-se que polícia cumpra o código de boas práticas MoPI, sendo o cumprimento verificado pelo Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services (83).

(48) O Police Service of Northern Ireland (PSNI) não é obrigado por lei a observar o código de boas práticas MoPI. No entanto, o quadro do código MoPI adotado em 2011 é completado pelo PSNI Handbook (manual da PSNI) (84), que estabelece políticas e procedimentos para a aplicação do código de boas práticas MoPI na Irlanda do Norte.

(49) Na Escócia, as forças policiais dependem do Record Retention Standard Operating Procedure (procedimento operacional normalizado para a conservação de registos) (SOP) (85), que apoia a Records Management Policy (política de gestão de registos) da Autoridade Policial da Escócia (86). O SOP estabelece regras de conservação específicas para os registos detidos pela Autoridade Policial da Escócia.

(50) Para além do requisito global de reavaliação dos registos aplicável em todo o Reino Unido, existem regras localizadas mais pormenorizadas. Para dar alguns exemplos, no que respeita à Inglaterra e ao País de Gales, o Police and Criminal Evidence Act, com a redação que lhe foi dada pelo Protection of Freedom Act 2012 (Lei de 2012 relativa à Proteção da Liberdade) (PoFA), prevê a conservação de impressões digitais e perfis de ADN, bem como um regime específico para as pessoas não condenadas (87). O PoFA criou igualmente a posição de Comissário para a Conservação e Utilização de Materiais Biométricos («comissário biométrico») (88). O estudo de 2017 relativo às imagens recolhidas em detenção estabelece as regras específicas para estas imagens (89). No que respeita à Escócia, o Criminal Procedure (Scotland) Act 1995 prevê as regras para a obtenção e conservação de impressões digitais e amostras biológicas (90). Tal como no caso da Inglaterra e do País de Gales, a legislação regula a conservação de dados biométricos em diversos casos (91).

2.4.5. Segurança dos dados

(51) Os dados pessoais têm de ser tratados de uma forma que garanta a sua segurança, incluindo proteção contra tratamento não autorizado ou ilícito e contra perda, destruição ou danos acidentais. Para este fim, as autoridades públicas têm de tomar as medidas técnicas e organizativas adequadas para proteger os dados pessoais contra eventuais ameaças. Estas medidas têm de ser avaliadas tendo em consideração o estado atual dos conhecimentos e os custos conexos.

(52) Estes princípios estão espelhados na section 40 do DPA 2018, de acordo com a qual, à semelhança do artigo 4.o, n.o 1, alínea f), da Diretiva (UE) 2016/680, os dados pessoais tratados para efeitos de aplicação da lei têm de ser tratados de uma forma que garanta a sua segurança adequada, recorrendo a medidas técnicas ou organizativas adequadas. Tal inclui a proteção dos dados contra o seu tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidentais (92). A section 66 do DPA 2018 especifica adicionalmente que cada responsável pelo tratamento e cada subcontratante tem de tomar as medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado aos riscos decorrentes do tratamento de dados pessoais. De acordo com as notas explicativas, o responsável pelo tratamento tem de avaliar os riscos e adotar as medidas de segurança adequadas com base nesta avaliação, como, por exemplo, a cifragem ou níveis específicos de credenciação de segurança do pessoal que trata os dados (93). A avaliação tem igualmente de ter em conta, por exemplo, a natureza dos dados tratados e quaisquer outros fatores ou circunstâncias pertinentes suscetíveis de afetarem a segurança do tratamento.

(53) O regime que rege o cumprimento dos princípios de segurança dos dados é muito semelhante ao estabelecido pelos artigos 29.o a 31.° da Diretiva (UE) 2016/680. Mais particularmente, nos termos da section 67(1) do DPA 2018, em caso de violação de dados pessoais da responsabilidade do responsável pelo tratamento, este último tem de notificar desse facto o comissário para a informação sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento da violação (94). A obrigação de notificar não é aplicável quando a violação dos dados pessoais não for suscetível de resultar num risco para os direitos e as liberdades das pessoas singulares (95). O responsável pelo tratamento tem de documentar os factos relacionados com quaisquer violações dos dados pessoais, os seus efeitos e as medidas corretivas tomadas de modo que permita ao comissário para a informação verificar a conformidade com o DPA (96). Se tomarem conhecimento de uma violação da segurança, os subcontratantes têm de notificar o responsável pelo tratamento sem demora injustificada (97).

(54) Nos termos da section 68(1) do DPA 2018, se uma violação dos dados pessoais for suscetível de resultar num elevado risco para os direitos e liberdades das pessoas, o responsável pelo tratamento tem de comunicar a violação de dados pessoais ao titular dos dados sem demora injustificada (98). Esta notificação tem de incluir as mesmas informações que a notificação ao comissário para a informação descrita no considerando 53. Esta obrigação não é aplicável se o responsável pelo tratamento tiver tomado as medidas técnicas e organizativas de proteção adequadas, que foram aplicadas aos dados pessoais afetados pela violação. Também não é aplicável se o responsável pelo tratamento tiver tomado medidas subsequentes que asseguram que o elevado risco para os direitos e as liberdades dos titulares dos dados já não é suscetível de se concretizar. Por fim, o responsável pelo tratamento não tem de notificar o titular dos dados se tal implicar um esforço desproporcionado (99). Nesse caso, as informações têm de ser disponibilizadas ao titular dos dados por outro modo igualmente eficaz, por exemplo, por meio de uma comunicação pública (100). Se o responsável pelo tratamento não tiver informado o titular dos dados da violação dos dados pessoais, o comissário para a informação, tendo sido notificado em conformidade com a section 67 do DPA e tendo considerado a probabilidade de a violação resultar num elevado risco, pode exigir que o referido responsável pelo tratamento proceda à notificação da violação ao titular dos dados (101).

2.4.6. Transparência

(55) Os titulares dos dados têm de ser informados sobre as principais características do tratamento dos respetivos dados pessoais. Este princípio da proteção de dados é espelhado na section 44 do DPA 2018, que, à semelhança do artigo 13.o da Diretiva (UE) 2016/680, determina que o responsável pelo tratamento tem um dever geral de disponibilizar aos titulares dos dados informações sobre o tratamento dos seus dados pessoais (disponibilizando as informações de modo geral ao público ou de qualquer outra forma) (102). As informações cuja disponibilização é exigida incluem a) a identidade e os contactos do responsável pelo tratamento; b) se for aplicável, os contactos do encarregado da proteção de dados; c) as finalidades para as quais o responsável pelo tratamento trata os dados pessoais; d) a existência dos direitos de solicitar ao responsável pelo tratamento acesso aos dados pessoais, a retificação dos dados pessoais e o apagamento dos dados pessoais ou a limitação do seu tratamento; e e) a existência do direito de apresentar reclamação junto do comissário para a informação e os contactos do comissário (103).

(56) Em casos específicos para permitir o exercício dos direitos dos titulares dos dados ao abrigo do DPA 2018 (por exemplo, quando os dados pessoais objeto de tratamento foram recolhidos sem conhecimento dos titulares dos dados), o responsável pelo tratamento também tem de facultar aos titulares dos dados informações sobre a) o fundamento jurídico do tratamento; b) informações sobre o prazo de conservação dos dados pessoais ou, se tal não for possível, sobre os critérios aplicados para definir esse período; c) se aplicável, informações sobre as categorias de destinatários dos dados pessoais (inclusive nos países terceiros ou nas organizações internacionais); d) as informações necessárias para permitir o exercício dos direitos dos titulares dos dados ao abrigo da parte 3 do DPA 2018 (104).

2.4.7. Direitos individuais

(57) Tem de ser concedido aos titulares dos direitos um conjunto de direitos executórios. A parte 3, capítulo 3, do DPA 2018 concede às pessoas singulares os direitos de acesso, retificação e apagamento e limitação (105), que são comparáveis aos previstos no capítulo III da Diretiva (UE) 2016/680.

(58) O direito de acesso está previsto na section 45 do DPA 2018. Em primeiro lugar, as pessoas têm o direito de obter uma confirmação por parte do responsável pelo tratamento de que os seus dados pessoais estão a ser ou não objeto de tratamento (106). Em segundo lugar, se os dados pessoais são objeto de tratamento, o titular dos dados tem o direito de aceder aos dados e receber as informações seguintes sobre o tratamento: a) as finalidades e o fundamento jurídico do tratamento; b) as categorias de dados envolvidos; c) o destinatário a quem os dados foram divulgados; d) o período de conservação dos dados pessoais; e) a existência do direito do titular dos dados de solicitar a retificação e o apagamento de dados pessoais; f) o direito de apresentar reclamação; e g) qualquer informação sobre a origem dos dados pessoais em causa (107).

(59) Em conformidade com a section 46 do DPA 2018, o titular dos dados tem o direito de exigir ao responsável pelo tratamento que retifique dados pessoais inexatos que lhe digam respeito. O responsável pelo tratamento tem de retificar (ou, se os dados forem inexatos porque estão incompletos, completar) os dados sem demora injustificada. Se os dados pessoais tiverem de ser conservados para efeitos de prova, o responsável pelo tratamento tem de limitar o seu tratamento (em vez de retificar os dados pessoais) (108).

(60) A section 47 do DPA 2018 determina que as pessoas têm o direito ao apagamento ou à limitação do tratamento. O responsável pelo tratamento tem de apagar (109) os dados pessoais sem demora injustificada se o tratamento dos dados pessoais infringir qualquer dos princípios da proteção de dados, o fundamento jurídico do tratamento ou as garantias relacionadas com o arquivo e o tratamento de dados sensíveis. O responsável pelo tratamento tem igualmente de apagar os dados se a tal estiver legalmente obrigado. Se os dados pessoais tiverem de ser conservados para efeitos de prova, o responsável pelo tratamento tem de limitar o seu tratamento (em vez de apagar os dados pessoais) (110). O responsável pelo tratamento tem de limitar o tratamento dos dados pessoais se o titular dos dados contestar a exatidão dos dados pessoais, mas não for possível apurar se os dados são exatos ou não (111).

(61) Se o titular dos dados solicitar a retificação ou o apagamento de dados pessoais ou a limitação do seu tratamento, o responsável pelo tratamento tem de informar por escrito o titular dos dados do deferimento do pedido ou, caso tenha sido indeferido, informar o titular dos dados dos motivos do indeferimento e das vias de recurso disponíveis [o direito do titular dos dados de solicitar uma investigação por parte do comissário para a informação para apurar se a limitação foi aplicada de modo lícito, o direito a apresentar reclamação junto do comissário para a informação e o direito de requerer uma ordem de cumprimento (compliance order) junto de um tribunal] (112).

(62) Caso retifique os dados pessoais recebidos de outra autoridade competente, o responsável pelo tratamento tem de notificar a outra autoridade (113). Caso retifique ou apague dados pessoais que tenham sido divulgados pelo responsável pelo tratamento ou limite o seu tratamento, o responsável pelo tratamento tem de notificar os destinatários e os destinatários têm igualmente de retificar ou apagar os dados pessoais ou limitar o seu tratamento (desde que tal seja da sua responsabilidade) (114).

(63) Além disso, o titular dos dados tem o direito de ser informado pelo responsável pelo tratamento sem demora injustificada sobre as violações dos dados pessoais suscetíveis de resultarem num elevado risco para os direitos e as liberdades das pessoas singulares (115).

(64) Em relação a todos os direitos do titular dos dados e à semelhança do previsto no artigo 12.o da Diretiva (UE) 2016/680, o responsável pelo tratamento tem a obrigação de assegurar que qualquer informação ao titular dos dados é fornecida de uma forma concisa, inteligível e de fácil acesso (116) e, se possível, deve ser fornecida na mesma forma que o pedido (117). O responsável pelo tratamento tem de dar resposta ao pedido do titular dos dados sem demora injustificada e em todo o caso, em princípio, antes do fim do prazo de um mês a contar da data do pedido (118). Se tiver dúvidas razoáveis quanto à identidade de uma pessoa, o responsável pelo tratamento pode solicitar informações adicionais e adiar o seguimento do pedido até apurar a identidade. O responsável pelo tratamento pode exigir o pagamento de uma taxa razoável ou indeferir o pedido se considerar que este é manifestamente infundado (119). O ICO forneceu uma orientação sobre as circunstâncias em que se considera que um pedido é manifestamente infundado ou excessivo e em que se pode exigir o pagamento de uma taxa (120).

(65) Além disso, ao abrigo da section 53(4) do DPA 2018, o ministro da tutela pode especificar por meio de regulamentação o montante máximo da taxa.

2.4.7.1. Limitações dos direitos do titular dos dados e obrigações em matéria de transparência

(66) As autoridades competentes podem, em determinadas circunstâncias, limitar determinados direitos do titular de dados: o direito de acesso (121), a ser informado (122), a ter conhecimento das violações de dados pessoais (123) e a ser informado sobre os motivos de indeferimento de um pedido de retificação ou apagamento (124). À semelhança do regime constante do capítulo III da Diretiva (UE) 2016/680, a autoridade competente, tendo em conta os direitos fundamentais e os interesses legítimos do titular dos dados, só pode aplicar a limitação se esta for necessária e proporcionada para: a) evitar prejudicar um inquérito, uma investigação ou um procedimento oficial ou judicial; b) evitar prejudicar a prevenção, a deteção, a investigação ou a repressão de infrações penais, ou a execução de sanções penais; c) proteger a segurança pública; d) proteger a segurança nacional; e) proteger os direitos e liberdades de terceiros.

(67) O ICO forneceu uma orientação sobre a aplicação destas limitações. De acordo com esta orientação, os responsáveis pelo tratamento têm de realizar uma análise caso a caso para alcançar um equilíbrio entre os direitos da pessoa em causa e o eventual prejuízo decorrente da divulgação. Mais particularmente, têm de justificar o caráter necessário e proporcionado de qualquer limitação aplicada e só podem limitar o que é fornecido se tal prejudicar as finalidades mencionadas acima (125).

(68) Existe ainda um conjunto de outras orientações emitidas pelas autoridades competentes que fornecem informações pormenorizadas sobre todos os aspetos da legislação em matéria de proteção de dados, incluindo sobre a aplicação das limitações dos direitos dos titulares dos dados (126). Por exemplo, no que respeita à section 45(4), segundo o manual para a proteção de dados do National Police Chiefs’ Counsel: «É importante salientar que as limitações só podem ser aplicadas na medida do necessário e enquanto forem necessárias. Por conseguinte, é proibida uma aplicação geral da limitação a todos os dados pessoais de um requerente ou uma aplicação permanente da limitação. Quanto a este último caso, muitas vezes é necessário impedir a divulgação dos dados pessoais recolhidos sem o conhecimento do titular dos dados sob suspeita numa investigação para evitar prejudicar a investigação no decurso da mesma, mas, posteriormente, não adviria prejuízo algum se os dados pessoais fossem divulgados à pessoa em causa durante o interrogatório. As forças policiais têm de adotar processos que assegurem que a aplicação destas limitações se limita unicamente à medida do necessário e pelo prazo necessário» (127). Esta orientação também fornece exemplos das circunstâncias em que é mais provável que se recorra a cada uma das limitações (128).

(69) Além disso, no que se refere à possibilidade de limitar qualquer um dos direitos mencionados acima para efeitos de proteção da «segurança nacional», o responsável pelo tratamento pode solicitar um certificado assinado por um ministro do Gabinete ou pelo Procurador-Geral (ou Advocate General na Escócia) que ateste que a limitação desses direitos constitui uma medida necessária e proporcionada para a proteção da segurança nacional (129). O Governo do Reino Unido emitiu uma orientação sobre os certificados de segurança nacional ao abrigo do DPA 2018 que, nomeadamente, destaca que qualquer limitação dos direitos dos titulares dos dados para salvaguardar a segurança nacional tem de ser proporcionada e necessária (130) (para mais pormenores sobre os certificados de segurança nacional, ver considerandos 131 a 134).

(70) Além disso, se for aplicável uma limitação dos direitos dos titulares dos dados, a autoridade competente tem de informar o titular dos dados sem demora injustificada de que os seus direitos foram limitados, dos motivos subjacentes à limitação e das vias de recurso disponíveis, exceto se a prestação de tais informações prejudicar os motivos subjacentes à aplicação da limitação (131). Como medida de salvaguarda adicional contra a incorreta utilização das limitações, o responsável pelo tratamento tem de registar os motivos subjacentes à limitação da informação e disponibilizar o registo ao comissário para a informação se solicitado (132).

(71) Se o responsável pelo tratamento se recusar a prestar informações adicionais em matéria de transparência ou a proporcionar o acesso, ou indeferir um pedido de retificação, apagamento ou limitação do tratamento, a pessoa singular pode solicitar ao comissário para a informação que investigue se o responsável pelo tratamento tem utilizado a limitação de modo lícito (133). A pessoa singular em causa também pode apresentar reclamação ao comissário para a informação ou requerer que um tribunal ordene que o responsável pelo tratamento dê seguimento ao pedido (134).

2.4.7.2. Decisões automatizadas

(72) As sections 49 e 50 do DPA 2018 abrangem, respetivamente, os direitos relacionados com as decisões automatizadas e as garantias a aplicar (135). À semelhança do artigo 11.o da Diretiva (UE) 2016/680, o responsável pelo tratamento só pode tomar uma decisão significativa exclusivamente com base no tratamento automatizado de dados pessoais se tal for exigido ou autorizado por lei (136). Uma decisão é considerada significativa se produzir um efeito legal adverso respeitante ao titular dos dados ou se afetar significativamente o titular dos dados (137).

(73) Se o responsável pelo tratamento estiver obrigado ou for autorizado por lei a tomar uma decisão significativa, a section 50 do DPA 2018 estabelece as garantias aplicáveis a tal decisão (denominada «decisão significativa elegível»). Logo que seja razoavelmente exequível, o responsável pelo tratamento tem de notificar o titular dos dados da tomada de tal decisão. Posteriormente, o titular dos dados pode requerer, no prazo de um mês, a reapreciação da decisão ou a tomada de uma nova decisão que não se baseie unicamente no tratamento automatizado. O responsável pelo tratamento tem de analisar o pedido e informar o titular dos dados do resultado da referida análise. O DPA 2018 confere ao ministro da tutela o poder de adotar regulamentação relativa a garantias adicionais (138). Até ao momento não foi adotada regulamentação para o efeito.

2.4.8. Transferências ulteriores

(74) O nível de proteção conferido aos dados pessoais transferidos a partir de uma autoridade de aplicação da lei de um Estado-Membro para uma autoridade de aplicação da lei do Reino Unido não pode ser prejudicado pela transferência subsequente desses dados para destinatários num país terceiro. As referidas «transferências ulteriores», que constituem, da perspetiva da autoridade de aplicação da lei do Reino Unido, transferências internacionais do Reino Unido, apenas devem ser permitidas nos casos em que o destinatário fora do Reino Unido esteja, pelo seu lado, sujeito a normas que assegurem um nível de proteção semelhante ao garantido no âmbito da ordem jurídica britânica.

(75) O regime do Reino Unido em matéria de transferências internacionais é regulamentado pela parte 3, capítulo 5, do DPA 2018 (139) e reflete a abordagem adotada no capítulo V da Diretiva (UE) 2016/680. Mais particularmente, para transferir dados pessoais para um país terceiro, a autoridade competente tem de cumprir três condições: a) a transferência tem de ser necessária para efeitos de aplicação da lei; b) a transferência tem de se basear: i) num regulamento de adequação respeitante ao país terceiro, ii) se não se basear num regulamento de adequação, na existência de garantias adequadas, ou iii) se não se basear num regulamento de adequação nem em garantias adequadas, tem de basear-se em circunstâncias especiais; e c) o destinatário da transferência tem de ser: i) uma autoridade relevante (ou seja, a autoridade equivalente a uma autoridade competente) no país terceiro, ii) uma «organização internacional relevante», por exemplo, um órgão internacional que desempenha funções correspondentes a qualquer uma das finalidades de aplicação da lei, ou iii) uma pessoa que não uma autoridade relevante, mas unicamente se a transferência for estritamente necessária para a consecução de uma das finalidades de aplicação da lei; os direitos e liberdades fundamentais do titular dos dados não se sobrepõem ao interesse público que obriga à transferência; uma transferência dos dados pessoais para uma autoridade relevante no país terceiro seria ineficaz ou inadequada; e o destinatário foi informado das finalidades para as quais os dados podem ser tratados (140).

(76) Os regulamentos de adequação respeitantes a um país terceiro, um território ou um setor de um país terceiro, uma organização internacional ou uma descrição (141) desse país, território, setor ou organização são adotados pelo ministro da tutela. No que respeita ao critério a cumprir, o ministro da tutela tem de avaliar se o referido território/setor/organização garante um nível adequado de proteção dos dados pessoais. A section 74A(4) do DPA 2018 especifica que, para o efeito, o ministro da tutela tem de considerar um conjunto de elementos que reflete os constantes do artigo 36.o da Diretiva (UE) 2016/680 (142). A este respeito, desde o fim do período de transição, a parte 3 do DPA 2018 constitui «legislação interna derivada da UE», que, tal como explicado, será interpretada pelos tribunais do Reino Unido em conformidade com a jurisprudência pertinente do Tribunal de Justiça antes da saída do Reino Unido da União e os princípios gerais do direito da União, tal como vigoravam imediatamente antes do fim do período de transição. Tal inclui o critério da «equivalência essencial» que será, por conseguinte, aplicado às avaliações de adequação realizadas pelas autoridades do Reino Unido.

(77) Quanto ao procedimento, os regulamentos estão sujeitos aos requisitos processuais «gerais» previstos na section 182 do DPA 2018. Ao abrigo deste procedimento, o ministro da tutela tem de consultar o comissário para a informação ao propor futuros regulamentos de adequação do Reino Unido (143). Depois de adotados pelo ministro da tutela, esses regulamentos são apresentados ao parlamento e sujeitos ao procedimento de «resolução negativa», segundo o qual as câmaras do parlamento podem examinar o regulamento e podem aprovar uma moção para anular o regulamento no prazo de 40 dias (144).

(78) Nos termos da section 74B(1) do DPA 2018, os regulamentos de adequação devem ser revistos, no máximo, de quatro em quatro anos, devendo o ministro da tutela controlar, de forma continuada, os desenvolvimentos nos países terceiros e nas organizações internacionais suscetíveis de afetarem as decisões que visam criar regulamentos de adequação ou alterar ou revogar esses regulamentos. Caso tenha conhecimento de que um determinado país ou uma organização deixou de assegurar um nível adequado de proteção de dados pessoais, o ministro da tutela tem de alterar ou revogar, na medida do necessário, os regulamentos e iniciar consultas com o país terceiro ou a organização internacional em causa com vista a corrigir a falta de um nível adequado de proteção.

(79) À semelhança do disposto no artigo 37.o da Diretiva (UE) 2016/680, na falta de uma decisão de adequação, seria possível proceder a uma transferência de dados pessoais no contexto da aplicação da lei se existissem garantias adequadas. Tais garantias são asseguradas por meio de a) um instrumento jurídico vinculativo que contém garantias adequadas para a proteção de dados pessoais; ou b) uma avaliação realizada pelo responsável pelo controlo, que, tendo avaliado todas as circunstâncias inerentes à transferência, conclui que existem garantias adequadas para proteger os dados (145). Além disso, quando as transferências se baseiam em garantias adequadas, o DPA 2018 prevê que, além da função de supervisão habitual do ICO, as autoridades competentes têm de prestar informações específicas sobre as transferências para o ICO (146).

(80) Caso não tenha por base uma decisão de adequação ou garantias adequadas, a transferência só pode ser efetuada em circunstâncias determinadas e específicas, denominadas «circunstâncias especiais» (147). É esse o caso quando a transferência é necessária: a) para proteger os interesses vitais do titular dos dados ou de outra pessoa; b) para proteger os interesses legítimos do titular dos dados; c) para prevenir uma ameaça imediata e grave contra a segurança pública de um país terceiro; d) em determinados casos para efeitos de aplicação da lei; ou e) em determinados casos por um motivo legal (como seja os relacionados com processos judiciais ou para obter aconselhamento jurídico) (148). Convém salientar que as alíneas d) e e) não são aplicáveis caso os direitos e as liberdades do titular dos dados se sobreponham ao interesse público da transferência (149). Este conjunto de circunstâncias corresponde às situações e condições específicas consideradas «derrogações» ao abrigo do artigo 38.o da Diretiva (UE) 2016/680.

(81) Nestas circunstâncias, a data, a hora e a justificação da transferência, o nome e quaisquer outras informações pertinentes sobre o destinatário e uma descrição dos dados pessoais transferidos têm de ser documentados e transmitidos ao comissário para a informação mediante pedido (150).

(82) A section 78 do DPA 2018 regulamenta o cenário das «transferências subsequentes», ou seja, quando os dados pessoais que foram transferidos do Reino Unido para um país terceiro são subsequentemente transferidos para outro país terceiro ou uma organização internacional. Nos termos da section 78(1) do DPA, o responsável pelo tratamento britânico tem de condicionar a transferência dos dados à proibição de outras transferências para um país terceiro sem a autorização do responsável pelo tratamento que procede à transferência. Além disso, de acordo com a section 78(3), e à semelhança do disposto no artigo 35.o, n.o 1, alínea e), da Diretiva (UE) 2016/680, são aplicáveis diversos requisitos essenciais caso seja exigida essa autorização. Mais especificamente, ao decidir se uma transferência deve ser autorizada ou não, a autoridade competente tem de assegurar que a transferência posterior é necessária para efeitos de aplicação da lei e deve considerar, entre outros fatores, a) a gravidade das circunstâncias que conduziram ao pedido de autorização, b) a finalidade para a qual os dados pessoais foram inicialmente transferidos e c) as normas de proteção dos dados pessoais aplicáveis no país terceiro ou na organização internacional para a qual os dados pessoais seriam transferidos.

(83) Além disso, são aplicáveis salvaguardas adicionais quando os dados objeto de transferência posterior a partir do Reino Unido tenham sido transferidos inicialmente a partir da União Europeia.

(84) Em primeiro lugar, a section 73(1)(b) do DPA 2018 — à semelhança, do artigo 35.o, n.o 1, alínea c), da Diretiva (UE) 2016/680 — determina que, caso os dados pessoais tenham sido inicialmente transmitidos ou disponibilizados de outra forma ao responsável pelo tratamento ou outra autoridade competente por um Estado-Membro, esse Estado-Membro, ou qualquer pessoa estabelecida nesse Estado-Membro que seja uma autoridade competente para efeitos da Diretiva (UE) 2016/680, tem de ter autorizado a transferência em conformidade com a legislação do Estado-Membro.

(85) No entanto, à semelhança do artigo 35.o, n.o 2, da Diretiva (UE) 2016/680, não é necessária esta autorização se a) a transferência for necessária para prevenir uma ameaça imediata e grave à segurança pública de um Estado-Membro ou de um país terceiro ou aos interesses essenciais de um Estado-Membro e c) o consentimento não puder ser obtido em tempo útil. Neste caso, a autoridade do Estado-Membro que seria responsável por tomar uma decisão sobre a autorização da transferência tem de ser informada sem demora (151).

(86) Em segundo lugar, aplica-se a mesma abordagem caso os dados tenham sido inicialmente transferidos a partir da União Europeia para o Reino Unido e, de novo, transferidos pelo Reino Unido para um país terceiro que, subsequentemente, procederia a uma transferência ulterior para um país terceiro. Neste caso, nos termos da section 78(4), a autoridade competente do Reino Unido não pode autorizar esta última transferência, ao abrigo da section 78(1), salvo se «o Estado-Membro [que tenha transferido inicialmente os dados em questão], ou qualquer pessoa estabelecida nesse Estado-Membro que seja uma autoridade competente para efeitos da Diretiva Proteção de Dados na Aplicação da Lei, tenha autorizado a transferência em conformidade com o direito do Estado-Membro». Estas salvaguardas são importantes já que permitem às autoridades dos Estados-Membros assegurar a continuidade da proteção, em conformidade com o direito da UE em matéria de proteção de dados, ao longo da «cadeia de transferências».

(87) Este novo quadro para transferências internacionais tornou-se aplicável no fim do período de transição (152). Contudo, o schedule 21, n.os 10 a 12, do DPA 2018 (introduzido pelos Regulamentos DPPEC) prevê que, no fim do período de transição, determinadas transferências de dados pessoais sejam tratadas como se se baseassem em regulamentos de adequação. Estas transferências incluem transferências para um Estado-Membro, um Estado da EFTA, um país terceiro sujeito a uma decisão de adequação da UE no fim do período de transição e o território de Gibraltar. Consequentemente, as transferências para esses países podem continuar como ocorriam antes da saída do Reino Unido da União. Após o fim do período de transição, o ministro da tutela tem de proceder a uma análise destas conclusões de adequação durante um período de quatro anos, ou seja, até ao final de dezembro de 2024. De acordo com a explicação apresentada pelas autoridades do Reino Unido, embora seja necessário que o ministro da tutela efetue essa análise até ao final de dezembro de 2024, as disposições transitórias não incluem uma disposição «de caducidade» e as disposições transitórias pertinentes não deixarão automaticamente de ter efeito se a análise não for concluída até ao fim de dezembro de 2024.

2.4.9. Responsabilidade

(88) De acordo com o princípio da responsabilidade, as autoridades públicas que procedem ao tratamento de dados são obrigadas a aplicar medidas técnicas e organizativas adequadas para cumprir as suas obrigações de proteção dos dados de forma eficaz e poder demonstrar esse cumprimento, em particular junto da autoridade de controlo competente.

(89) Este princípio é espelhado na section 56 do DPA 2018, que introduz uma obrigação de responsabilidade geral do responsável pelo tratamento, ou seja, uma obrigação de aplicar medidas técnicas e organizativas adequadas para assegurar e poder demonstrar que o tratamento de dados pessoais cumpre os requisitos da parte 3 do DPA 2018. As medidas aplicadas têm de ser reavaliadas e atualizadas se necessário e, sempre que tal se afigure proporcionado no que respeita ao tratamento, incluir políticas adequadas de proteção dos dados.

(90) Em consonância com o capítulo IV da Diretiva (UE) 2016/680, as sections 55 a 71 do DPA 2018 preveem diversos mecanismos para assegurar a responsabilidade e permitir aos responsáveis pelo tratamento e subcontratantes comprovar a sua conformidade. Mais particularmente, os responsáveis pelo tratamento estão obrigados a aplicar medidas de proteção de dados desde a conceção e por predefinição, ou seja, a assegurar a eficaz aplicação dos princípios da proteção de dados, e são obrigados a manter registos de todas as categorias de atividades de tratamento da responsabilidade do responsável pelo tratamento (incluindo informações sobre a identidade do responsável pelo tratamento, os dados de contacto do encarregado da proteção de dados, as finalidades do tratamento, as categorias de destinatários das divulgações e uma descrição das categorias dos titulares dos dados e dados pessoais) e disponibilizar estes registos ao comissário para a informação mediante pedido. O responsável pelo tratamento e subcontratante têm igualmente de manter registos cronológicos de determinadas operações de tratamento e disponibilizá-los ao comissário para a informação (153). Os responsáveis pelo tratamento também estão especificamente obrigados a cooperar com o comissário para a informação no desempenho das atribuições do comissário.

(91) O DPA 2018 também estabelece requisitos adicionais para o tratamento suscetível de resultar num elevado risco para os direitos e as liberdades das pessoas singulares. Estes incluem uma obrigação de realizar avaliações de impacto relativas à proteção de dados e consultar o comissário para a informação antes do tratamento se uma avaliação indicar que o tratamento resultaria num elevado risco para os direitos e as liberdades das pessoas singulares (na ausência de medidas de atenuação do risco).

(92) Os responsáveis pelo tratamento têm, além disso, de nomear um encarregado da proteção de dados, a menos que o responsável pelo tratamento seja um tribunal, ou outra autoridade judiciária, no exercício da sua competência judicial (154). O responsável pelo tratamento tem de assegurar que o encarregado da proteção de dados participa em todas as questões relacionadas com a proteção dos dados pessoais, dispõe dos recursos e do acesso necessário aos dados pessoais e às operações de tratamento e pode desempenhar as suas funções de forma independente. As funções do encarregado da proteção de dados estão estabelecidas na section 71 do DPA 2018, incluindo prestar informações e aconselhamento e fiscalizar a conformidade, bem como cooperar e servir de ponto de contacto com o comissário para a informação. No desempenho das suas funções, o encarregado da proteção de dados tem de ter em consideração os riscos associados às operações de tratamento, tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento.

2.5. Supervisão e aplicação coerciva

2.5.1. Supervisão independente

(93) Por forma a assegurar que também seja garantido na prática um nível adequado de proteção dos dados, tem de ser criada uma autoridade de controlo independente incumbida de supervisionar e aplicar coercivamente as normas em matéria de proteção de dados. Essa autoridade tem de atuar com total independência e imparcialidade no cumprimento das suas obrigações e no exercício das respetivas competências.

(94) No Reino Unido, cabe ao comissário para a informação efetuar a supervisão e a imposição do cumprimento do RGPD do Reino Unido e do DPA 2018 (155). O comissário para a informação supervisiona o tratamento de dados pessoais pelas autoridades competentes abrangidas pelo âmbito de aplicação da parte 3 do DPA 2018 (156). O comissário para a informação é uma «sociedade individual»: uma entidade jurídica distinta composta por uma pessoa singular. O comissário para a informação é apoiado no seu trabalho por um gabinete. Em 31 de março de 2020, o Gabinete do Comissário para a Informação tinha 768 membros permanentes (157). O ministério que patrocina o comissário para a informação (sponsor department) é o Ministério dos Assuntos Digitais, da Cultura, dos Meios de Comunicação e do Desporto (158).

(95) A independência do comissário é descrita explicitamente no artigo 52.o do RGPD do Reino Unido, que não efetua quaisquer alterações significativas ao artigo 52.o, n.os 1 a 3, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (159). De acordo com o RGPD do Reino Unido, o comissário tem de agir com total independência no desempenho das suas funções e no exercício das suas competências, não pode estar sujeito a influências externas, diretas ou indiretas, no desempenho das suas funções e no exercício das suas competências, e não pode solicitar nem receber instruções de ninguém. O comissário tem igualmente de se abster de qualquer ato incompatível com as suas funções e, durante o seu mandato, não pode desempenhar nenhuma atividade, remunerada ou não, que com elas seja incompatível.

(96) As condições para a nomeação e a exoneração do comissário para a informação estão estabelecidas no schedule 12 do DPA 2018. O comissário para a informação é nomeado pela rainha com base numa recomendação do governo na sequência de um concurso equitativo e aberto. O candidato tem de ter as qualificações, as competências e as aptidões adequadas. De acordo com o Governance Code on Public Appointments (código para a governação das nomeações públicas) (160), o painel de avaliação consultivo efetua uma lista dos candidatos que podem ser nomeados. Antes de o ministro dos Assuntos Digitais, da Cultura, dos Meios de Comunicação e do Desporto tomar a sua decisão, a comissão especial competente do parlamento tem de realizar uma triagem prévia à nomeação. A posição da comissão é tornada pública (161).

(97) O mandato do comissário para a informação dura no máximo sete anos. O comissário para a informação pode ser afastado do cargo pela rainha na sequência de um comunicado de ambas as câmaras do parlamento (162). Só pode apresentado um pedido de exoneração do comissário para a informação a uma das câmaras do parlamento se um ministro tiver apresentado um relatório à câmara em causa onde indique que está convicto de que o comissário para a informação cometeu uma falta grave e/ou que o comissário deixou de cumprir as condições exigidas para o exercício das suas funções (163).

(98) O financiamento do comissário para a informação provém de três fontes: i) taxas de proteção de dados pagas pelos responsáveis pelo tratamento que são fixadas pelos regulamentos do ministro da tutela (164) e representam entre 85 % e 90 % do orçamento anual do gabinete (165); ii) a subvenção eventualmente paga pelo governo ao comissário para a informação e que é maioritariamente utilizada para financiar os custos de funcionamento do gabinete do comissário para a informação no que diz respeito a funções não relacionadas com a proteção de dados (166); e iii) taxas cobradas pelos serviços (167). De momento, essas taxas não são cobradas.

(99) As funções gerais do comissário para a informação relativas ao tratamento de dados pessoais abrangido pelo âmbito de aplicação da parte 3 do DPA 2018 são estabelecidas no schedule 13 do DPA 2018. As funções incluem o acompanhamento e a aplicação coerciva da parte 3 do DPA 2018, a sensibilização do público, a prestação de aconselhamento ao parlamento, ao governo e a outras instituições em matéria de medidas legislativas e administrativas, a sensibilização dos responsáveis pelo tratamento e subcontratantes para as suas obrigações, a prestação de informações aos titulares de dados relativamente ao exercício dos seus direitos e a realização de investigações. A fim de assegurar a independência do sistema judiciário, o comissário para a informação não está autorizado a exercer as suas funções quanto ao tratamento de dados pessoais efetuado pelos tribunais ou por pessoas singulares no exercício da sua competência judicial. Todavia, a supervisão do sistema judiciário é assegurada por órgãos especializados, analisados abaixo.

2.5.1.1 Aplicação coerciva, incluindo sanções

(100) O comissário possui poderes gerais de investigação, de correção, de autorização e de aconselhamento no que respeita ao tratamento de dados pessoais a que se aplica a parte 3 do DPA 2018. O comissário tem poder para notificar o responsável pelo tratamento ou o subcontratante de uma alegada violação da parte 3, fazer advertências aos responsáveis pelo tratamento ou ao subcontratante no sentido de que as operações de tratamento previstas são suscetíveis de violar as disposições da parte 3 e fazer repreensões ao responsável pelo tratamento ou ao subcontratante sempre que as operações de tratamento tiverem violado as disposições da parte 3. Além disso, o comissário pode emitir, por iniciativa própria ou a pedido, pareceres dirigidos ao parlamento do Reino Unido, ao governo ou a outras instituições e organismos, bem como ao público, sobre qualquer assunto relacionado com a proteção de dados pessoais (168).

(101) Além disso, o comissário tem poderes para: — ordenar que o responsável pelo tratamento e o subcontratante (e, em determinadas circunstâncias, qualquer outra pessoa) lhe forneçam as informações de que necessite mediante uma notificação informativa («notificação informativa») (169), — realizar investigações e auditorias por meio da emissão de uma notificação de avaliação, o que poderá implicar que o responsável pelo tratamento ou o subcontratante permita que o comissário entre em instalações específicas, inspecione ou analise os documentos ou os equipamentos, entreviste as pessoas responsáveis pelo tratamento dos dados pessoais em nome do responsável pelo tratamento («notificação de avaliação») (170), — obter acesso de outra forma aos documentos dos responsáveis pelo tratamento e dos subcontratantes e acesso às suas instalações em conformidade com a section 154 do DPA 2018 («poderes de entrada e inspeção»), — exercer os poderes de correção por meio de advertências e repreensões ou emitir ordens por meio de uma notificação de execução, que exige que os responsáveis pelo tratamento/subcontratantes tomem ou se abstenham de tomar determinadas medidas («notificação de execução») (171), e — impor coimas sob a forma de uma notificação de sanção («notificação de sanção») (172).

(102) A Regulatory Action Policy (política de intervenção regulamentar) do ICO descreve as circunstâncias mediante as quais o comissário emite, respetivamente, uma notificação informativa, de avaliação, de execução e de sanção (173). A notificação de execução pode impor requisitos que o comissário considera adequados para efeitos de correção do incumprimento. A notificação de sanção exige que a pessoa pague um montante especificado na notificação ao comissário para a informação. A notificação de sanção pode ser emitida sempre que houver um incumprimento de determinadas disposições do DPA 2018 (174) ou pode ser emitida a um responsável pelo tratamento ou subcontratante que não tenha respeitado uma notificação informativa, uma notificação de avaliação ou uma notificação de execução.

(103) Mais especificamente, ao determinar se há lugar à emissão de uma notificação de sanção a um responsável pelo tratamento ou subcontratante e ao determinar o montante da sanção, o comissário para a informação tem de ter em conta as matérias constantes da section 155(3) do DPA 2018, incluindo a natureza e a gravidade do incumprimento, o caráter intencional ou negligente do incumprimento, todas as medidas tomadas pelo responsável pelo tratamento ou pelo subcontratante para atenuar os danos sofridos pelos titulares dos dados, o nível de responsabilidade do responsável pelo tratamento ou do subcontratante (tendo em conta as medidas técnicas e organizativas aplicadas pelo responsável pelo tratamento ou pelo subcontratante), quaisquer incumprimentos anteriores por parte do responsável pelo tratamento ou do subcontratante, as categorias dos dados pessoais afetadas pelo incumprimento e a circunstância de a sanção ser eficaz, proporcionada e dissuasiva.

(104) O montante máximo da sanção que pode ser imposta por notificação de sanção é de a) 17 500 000 GBP relativamente ao incumprimento dos princípios de proteção dos dados [sections 35, 36, 37, 38(1), 39(1) e 40 do DPA 2018], das obrigações de transparência e dos direitos individuais (sections 44, 45, 46, 47, 48, 49, 52 e 53 do DPA 2018), e dos princípios para as transferências internacionais de dados pessoais (sections 73, 75, 76, 77 e 78 do DPA 2018); e b) 8 700 000 GBP nos restantes casos (175). Em caso de incumprimento de uma notificação informativa, de uma notificação de avaliação ou de uma notificação de execução, o montante máximo da sanção que pode ser imposta por uma notificação de sanção é de 17 500 000 GBP.

(105) De acordo com os seus relatórios anuais mais recentes (2018-2019 (176), 2019-2020 (177)), o comissário para a informação realizou um conjunto de investigações relativas ao tratamento de dados pessoais pelas autoridades de aplicação do direito penal. Por exemplo, em outubro de 2019, o comissário realizou uma investigação e publicou um parecer relativo à utilização da tecnologia de reconhecimento facial em locais públicos pelas autoridades de aplicação da lei. A investigação especial centrou-se, em particular, na utilização das capacidades de reconhecimento facial em tempo real pela polícia de Gales do Sul e pelo Metropolitan Police Service (MPS). Para além disso, o comissário investigou a «matriz dos gangues» do MPS (178) e descobriu um conjunto de violações graves da legislação em matéria de proteção de dados que poderiam reduzir a confiança do público na matriz e na utilização dos dados.

(106) Em novembro de 2018, o comissário para a informação emitiu uma notificação de execução e, subsequentemente, o MPS tomou as medidas necessárias para aumentar a segurança e a responsabilidade e para assegurar que os dados eram utilizados de forma proporcionada.

(107) Outro exemplo de uma ação de execução recente é a coima de 325 000 GBP imposta pelo comissário em maio de 2018 ao Crown Prosecution Service, por ter perdido DVD não encriptados que continham gravações de inquéritos policiais. Além disso, o comissário para a informação realizou investigações em temas mais abrangentes, por exemplo, no primeiro semestre de 2020, relativas à utilização da extração de números de telefone para efeitos policiais e ao tratamento dos dados das vítimas pela polícia.

(108) Para além dos poderes sancionatórios do comissário para a informação, determinadas violações da legislação em matéria de proteção de dados constituem infrações e, como tal, podem estar sujeitas a sanções penais (section 196 do DPA 2018). Tal aplica-se, por exemplo, à obtenção ou divulgação de dados pessoais sem o consentimento do responsável pelo tratamento e à facilitação da divulgação de dados pessoais a outra pessoa sem o consentimento do responsável pelo tratamento (179); à reidentificação de informações que são dados pessoais anonimizados sem o consentimento do responsável pelo tratamento que ficou incumbido da anonimização dos dados pessoais (180); à obstrução intencional do comissário para impedi-lo de exercer os seus poderes relativamente à inspeção dos dados pessoais, de acordo com as obrigações internacionais (181), às declarações falsas em resposta a uma notificação informativa ou à destruição de informações relacionadas com notificações informativas e de avaliação (182).

(109) O comissário para a informação tem também o dever, por força da section 139 do DPA 2018, de apresentar às câmaras do parlamento um relatório geral sobre o desempenho das funções que assume no âmbito da referida lei (183).

2.5.2. Supervisão do sistema judiciário

(110) A supervisão do tratamento de dados pessoais pelos tribunais e pelo sistema judiciário tem dois objetivos. Caso o titular de um cargo judicial ou um tribunal não atue no exercício de uma competência judicial, o comissário para a informação encarrega-se da supervisão. Caso o responsável pelo tratamento atue no exercício de uma competência judicial (184), o ICO não pode exercer as suas funções de supervisão, sendo a supervisão realizada por organismos especiais. Tal reflete a abordagem adotada no artigo 32.o da Diretiva (UE) 2016/680.

(111) Em particular, no segundo cenário, no caso dos tribunais da Inglaterra e do País de Gales e dos tribunais de primeira instância (first-tier tribunals) e superiores (upper tribunals) da Inglaterra e do País de Gales, essa supervisão é realizada pelo Judicial Data Protection Panel (Painel de Proteção dos Dados Judiciais) (185). Além disso, o presidente do sistema judiciário (Lord Chief Justice) e o presidente dos tribunais (Senior President of Tribunals) emitiram uma notificação de privacidade (186) que define a forma como os tribunais da Inglaterra e do País de Gales tratam os dados pessoais para uma função judicial. Os sistemas judiciais da Irlanda do Norte (187) e da Escócia (188) emitiram uma notificação semelhante.

(112) Além disso, na Irlanda do Norte, o presidente do sistema judiciário da Irlanda do Norte nomeou um juiz do High Court como juiz supervisor de dados (DSJ) (189). Também emitiu orientações dirigidas ao sistema judicial da Irlanda do Norte sobre o que fazer em caso de perda ou potencial perda de dados e como tratar os problemas decorrentes dessa perda (190).

(113) Na Escócia, o Lorde Presidente (Lord President) nomeou um juiz supervisor de dados para investigar as reclamações associadas a violações da proteção de dados. Tal encontra-se enunciado nas regras em matéria de reclamações judiciais, que refletem as regras estabelecidas para a Inglaterra e o País de Gales (191).

(114) Por último, no Supreme Court (Supremo Tribunal), um dos juízes do Supreme Court é nomeado para supervisionar a proteção de dados.

2.5.3. Vias de recurso

(115) A fim de assegurar uma proteção adequada e, nomeadamente, o exercício dos direitos individuais, o titular dos dados deve dispor de vias de recurso administrativas e judiciais eficazes, incluindo a possibilidade de obter uma indemnização por danos.

(116) Em primeiro lugar, o titular dos dados tem o direito de apresentar reclamação ao comissário para a informação caso considere que existe uma violação da parte 3 do DPA 2018 no que diz respeito aos seus dados pessoais (192). Conforme descrito nos considerandos 100 e 109, o comissário para a informação tem o poder de avaliar a conformidade com o DPA 2018 do responsável pelo tratamento e do subcontratante, de exigir que estes tomem as medidas necessárias ou se abstenham de tomar medidas em caso de incumprimento e de impor coimas.

(117) Em segundo lugar, o DPA 2018 prevê o direito à ação judicial contra o comissário para a informação. Caso o comissário não «dê seguimento» (193) a uma reclamação efetuada pelo titular de dados, o autor da reclamação tem acesso à ação judicial, uma vez que pode recorrer a um tribunal de primeira instância (194) para ordenar que o comissário tome as medidas adequadas para dar resposta à reclamação ou informar o autor da reclamação do progresso da reclamação (195). Além disso, qualquer pessoa que receba uma das notificações referidas acima (notificações informativas, de avaliação, de execução ou de sanção) emitidas pelo comissário pode recorrer a um tribunal de primeira instância. Se o tribunal considerar que a decisão do comissário não respeita a lei ou que o comissário para a informação deveria ter exercido o seu poder de apreciação de outra forma, o tribunal tem de permitir o recurso ou substituir por outra notificação ou decisão que poderia ter sido emitida ou proferida pelo comissário para a informação (196).

(118) Em terceiro lugar, as pessoas singulares podem intentar uma ação judicial contra um responsável pelo tratamento ou um subcontratante diretamente nos tribunais, ao abrigo da section 167 do DPA 2018. No caso de uma ação intentada por um titular de dados, se um tribunal decidir que houve uma violação dos direitos do titular dos dados ao abrigo da legislação em matéria de proteção de dados, o tribunal pode ordenar que o responsável pelo tratamento ou um subcontratante que atue em nome dele tome ou se abstenha de tomar as medidas especificadas na ordem, no que diz respeito ao tratamento. Além disso, ao abrigo da section 169 do DPA 2018, qualquer pessoa que tenha sofrido danos por uma violação de um requisito da legislação em matéria de proteção de dados (incluindo a parte 3 do DPA 2018), que não seja o RGPD do Reino Unido, tem direito a uma indemnização por esses danos do responsável pelo tratamento ou do subcontratante, salvo se o mesmo conseguir provar que não é de modo algum responsável pelo evento que deu origem aos danos. Os danos incluem perdas financeiras e não financeiras, como sofrimento emocional.

(119) Em quarto lugar, se considerar que houve uma violação dos seus direitos, incluindo do direito à privacidade e à proteção dos dados, por parte das autoridades públicas, qualquer pessoa pode obter reparação junto dos tribunais do Reino Unido ao abrigo do Human Rights Act 1998. Os responsáveis pelo tratamento ao abrigo da parte 3 do DPA 2018, ou seja, as autoridades competentes, são sempre autoridades públicas na aceção do Human Rights Act 1998. Qualquer pessoa que afirme que uma autoridade pública atuou (ou pretende atuar) de uma forma incompatível com um dos direitos da convenção e, consequentemente, ilícita, nos termos da section 6(1) do Human Rights Act 1998 pode intentar uma ação junto do tribunal competente contra a autoridade em questão ou recorrer aos direitos em causa em qualquer processo judicial, sempre que essa pessoa seja (ou venha a ser) vítima de um ato ilícito (197).

(120) Se considerar que algum ato de uma autoridade pública é ilícito, o tribunal pode conferir essa reparação, ou proferir essa decisão, dentro das suas competências e de uma forma que considere justa e adequada (198). O tribunal pode igualmente declarar que uma das disposições do direito primário é incompatível com um direito garantido abrigo da CEDH.

(121) Por último, depois de esgotarem as vias de recurso nacionais, as pessoas singulares podem obter reparação junto do Tribunal Europeu dos Direitos Humanos por violações dos direitos garantidos pela Convenção Europeia dos Direitos Humanos.

2.6. Transferências subsequentes

(122) O direito do Reino Unido permite a partilha de dados por uma autoridade de aplicação da lei com outras autoridades britânicas para finalidades diferentes daquelas para as quais foram inicialmente recolhidos (denominada «transferência subsequente»), sob reserva de determinadas condições.

(123) À semelhança do disposto no artigo 4.o, n.o 2, da Diretiva (UE) 2016/680, a section 36(3) do DPA 2018 permite que os dados pessoais recolhidos por uma autoridade competente para efeitos de aplicação da lei sejam tratados posteriormente (pelo responsável pelo tratamento inicial ou por outro responsável pelo tratamento) para qualquer outra finalidade de aplicação da lei, desde que o responsável pelo tratamento esteja autorizado por lei a efetuar o tratamento dos dados para a outra finalidade e o tratamento seja necessário e proporcionado (199). Neste caso, todas as garantias previstas na parte 3 do DPA 2018 e analisadas acima são aplicáveis ao tratamento efetuado pela autoridade que os recebe.

(124) Na ordem jurídica do Reino Unido, existem diversas leis que permitem explicitamente a transferência subsequente. Mais particularmente, i) o Digital Economy Act 2017 (Lei de 2017 relativa à Economia Digital) permite a partilha entre as autoridades públicas para várias finalidades, por exemplo, em caso de fraude contra o setor público que implique uma perda ou risco de perda para as autoridades públicas (200) ou em caso de dívida com uma autoridade pública ou a Coroa (201); ii) o Crime and Courts Act 2013 permite a partilha de informações com a National Crime Agency (NCA) (202) para o combate, a investigação e a repressão da criminalidade grave e organizada; o Serious Crime Act 2007 (Lei de 2007 relativa à Criminalidade Grave) permite que as autoridades públicas divulguem informações às organizações antifraude para efeitos de prevenção da fraude (203).

(125) Estas leis determinam explicitamente que a partilha de informações deve cumprir as regras estabelecidas no DPA 2018. Além disso, o College of Policing publicou a Authorised Professional Practice on Information Sharing (Prática Profissional Autorizada para a partilha de informações) (204), para auxiliar a polícia no cumprimento das suas obrigações de proteção dos dados previstas no RGPD do Reino Unido, no DPA e no Human Rights Act 1998. A conformidade da partilha com o quadro jurídico aplicável para a proteção de dados está, obviamente, sujeita à fiscalização jurisdicional (205).

(126) Além disso, à semelhança do disposto no artigo 9.o da Diretiva (UE) 2016/680, o DPA 2018 prevê que os dados pessoais recolhidos para efeitos de aplicação da lei podem ser objeto de tratamento para outro fim que não a aplicação da lei quando o tratamento é autorizado por lei (206). Este tipo de partilha abrange dois cenários: 1) quando a autoridade de aplicação do direito penal partilha dados com uma autoridade que não é uma autoridade de aplicação do direito penal nem é uma agência de informações (como, por exemplo, uma autoridade fiscal ou financeira, uma autoridade da concorrência, um serviço de assistência social à infância); 2) quando uma autoridade de aplicação do direito penal partilha dados com uma agência de informações. No primeiro cenário, o tratamento de dados pessoais encontra-se abrangido pelo âmbito de aplicação do RGPD do Reino Unido, bem como na parte 2 do DPA 2018. Conforme referido na Decisão adotada ao abrigo do Regulamento (UE) 2016/679, as garantias previstas pelo RGPD do Reino Unido e a parte 2 do DPA 2018 prestam um nível de proteção que é essencialmente equivalente ao prestado na União (207).

(127) No segundo cenário, no que diz respeito à partilha de dados recolhidos por uma autoridade de aplicação do direito penal com uma agência de informações para efeitos de segurança nacional, a base jurídica que autoriza essa partilha é o Counter Terrorism Act 2008 (Lei de 2008 relativa ao Combate ao Terrorismo) (CTA 2008) (208). Ao abrigo da CTA 2008, qualquer pessoa pode facultar informações a quaisquer serviços de informações para efeitos de cumprimento das funções desse serviço, incluindo as funções de «segurança nacional».

(128) No que diz respeito às condições em que os dados podem ser partilhados para efeitos de segurança nacional, o Intelligence Service Act (Lei relativa ao Serviço de Informações) e o Security Service Act (Lei relativa ao Serviço de Segurança) limitam a capacidade de obtenção dos dados dos serviços de informações aos dados estritamente necessários ao desempenho das suas funções legais. As autoridades competentes, abrangidas pelo âmbito de aplicação da parte 3 do DPA 2018, que procuram partilhar dados com os serviços de informações terão de ter em consideração um conjunto de fatores/limitações, para além das funções legais das agências que são criadas no Intelligence Service Act e no Security Service Act (209). A section 20 do CTA 2008 clarifica que qualquer partilha de dados efetuada nos termos da section 19 do CTA 2008 tem de cumprir, ainda assim, a legislação em matéria de proteção de dados; o que significa que todas as limitações e requisitos do DPA 2018 são aplicáveis. Além disso, as autoridades de aplicação da lei e os serviços de informações são autoridades públicas para efeitos do Human Rights Act 1998, tendo, por conseguinte, de assegurar que atuam em conformidade com os direitos garantidos ao abrigo da CEDH, incluindo o respetivo artigo 8.o. Por outras palavras, estes requisitos significam que qualquer partilha de dados entre as agências de aplicação da lei e os serviços de informações tem de cumprir a legislação em matéria de proteção de dados e a CEDH.

(129) O tratamento, por parte dos serviços de informações, de dados pessoais recebidos ou obtidos a partir de autoridades de aplicação da lei para finalidades de segurança nacional está sujeito a um conjunto de condições e garantias (210). A parte 4 do DPA 2018 é aplicável a todo o tratamento efetuado pelos serviços de informações ou em seu nome. Estabelece os principais princípios de proteção de dados (licitude, lealdade e transparência (211); limitação das finalidades (212); minimização dos dados (213); exatidão (214); limitação da conservação (215) e segurança (216), impõe condições para o tratamento de categorias especiais de dados (217), prevê os direitos dos titulares dos dados (218), exige a proteção de dados desde a conceção (219) e regulamenta as transferências internacionais de dados pessoais (220).

(130) Paralelamente, a section 110 do DPA 2018 prevê uma isenção de determinadas disposições na parte 4 do DPA 2018 quando essa isenção é necessária para proteger a segurança nacional. A section 110(2) do DPA 2018 enumera as disposições em que é permitida uma isenção. Inclui os princípios de proteção de dados (à exceção do princípio da licitude), os direitos dos titula