PT Jornal Oficial da União Europeia L 207/1

DECISÃO DE EXECUÇÃO (UE) 2016/1250 DA COMISSÃO

de 12 de julho de 2016

relativa ao nível de proteção assegurado pelo Escudo de Proteção da Privacidade UE-EUA, com fundamento na Diretiva 95/46/CE do Parlamento Europeu e do Conselho

[notificada com o número C(2016) 4176]

(Texto relevante para efeitos do EEE)

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta a Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1), nomeadamente, do artigo 25.o, n.o 6,

Após consulta da Autoridade Europeia para a Proteção de Dados (2),

1. INTRODUÇÃO

(1) A Diretiva 95/46/CE estabelece as regras relativas à transferência de dados pessoais dos Estados-Membros para países terceiros, desde que as referidas transferências sejam abrangidas pelo seu âmbito de aplicação.

(2) O artigo 1.o da Diretiva 95/46/CE e os considerandos 2 e 10 do seu preâmbulo pretendem assegurar não apenas a proteção completa e efetiva das liberdades e dos direitos fundamentais das pessoas singulares, nomeadamente o direito fundamental ao respeito pela vida privada no que se refere ao tratamento de dados pessoais, mas também um elevado nível de proteção desses direitos e liberdades fundamentais (3).

(3) A importância tanto do direito fundamental ao respeito pela vida privada, garantido pelo artigo 7.o, como do direito fundamental à proteção de dados pessoais, garantido pelo artigo 8.o da Carta dos Direitos Fundamentais da União Europeia, foi salientada na jurisprudência do Tribunal de Justiça (4).

(4) Nos termos do artigo 25.o, n.o 1, da Diretiva 95/46/CE, os Estados-Membros devem estabelecer que a transferência de dados pessoais para um país terceiro só pode realizar-se se o país terceiro em questão assegurar um nível de proteção adequado e as legislações dos Estados-Membros que transpõem outras disposições da diretiva tiverem sido respeitadas antes de efetuada a transferência. A Comissão pode considerar que um país terceiro assegura tal nível de proteção adequado em virtude da sua legislação nacional ou dos compromissos internacionais que assumiu a fim de proteger os direitos das pessoas. Nesse caso, e sem prejuízo da observância das disposições nacionais adotadas nos termos de outras disposições da diretiva, os dados pessoais podem ser transferidos dos Estados-Membros sem que sejam necessárias garantias adicionais.

(5) Nos termos do artigo 25.o, n.o 2, da Diretiva 95/46/CE, o nível de proteção dos dados oferecido por um país terceiro deve ser apreciado em função de todas as circunstâncias que rodeiem a transferência ou o conjunto de transferências de dados, em especial, as regras de direito, gerais ou setoriais, em vigor no país terceiro em causa.

(6) Na Decisão 2000/520/CE da Comissão (5), para efeitos do artigo 25.o, n.o 2, da Diretiva 95/46/CE, considerou-se que os «princípios da privacidade em porto seguro», aplicados em conformidade com as orientações facultadas pelas denominadas «questões mais frequentes» emitidas pelo Department of Commerce (equivalente a Ministério do Comércio) dos Estados Unidos da América, asseguravam um nível de proteção adequado dos dados pessoais transferidos da União para organizações estabelecidas nos Estados Unidos.

(7) Nas suas comunicações COM(2013) 846 final (6) e COM(2013) 847 final, de 27 de novembro de 2013 (7), a Comissão considerou que os fundamentos essenciais do sistema «porto seguro» deveriam ser reexaminados e reforçados no contexto de vários fatores, nomeadamente o aumento exponencial dos fluxos de dados e a respetiva importância fundamental para a economia transatlântica, o rápido crescimento do número de empresas estabelecidas nos EUA que subscrevem os princípios de «porto seguro» e as novas informações sobre a dimensão e o âmbito de aplicação de determinados programas de informações dos EUA, que levantaram questões quanto ao nível da proteção que o acordo conseguiria garantir. Além disso, a Comissão identificou várias lacunas e deficiências no sistema «porto seguro».

(8) Com base nos elementos de prova recolhidos pela Comissão, designadamente nas informações decorrentes dos trabalhos desenvolvidos pelo grupo de contacto UE-EUA sobre a proteção da vida privada (8) e nas informações sobre os programas de informações dos EUA recebidas no grupo de trabalho ad hoc UE-EUA (9), a Comissão formulou 13 recomendações para uma reapreciação do sistema «porto seguro». Estas recomendações centraram-se no reforço dos princípios materiais de proteção da privacidade, através no aumento da transparência das políticas de proteção da vida privada das empresas autocertificadas dos EUA, de uma melhor supervisão, do controlo e da aplicação, pelas autoridades dos EUA, da observância desses princípios, da disponibilidade de mecanismos de resolução de litígios acessíveis, e na necessidade de assegurar que a utilização da derrogação por motivos de segurança nacional constante da Decisão 2000/520/CE é proporcionada e se limita ao estritamente necessário.

(9) No seu acórdão de 6 de outubro de 2015 no processo C-362/14, Maximillian Schrems/Data Protection Commissioner (10), o Tribunal de Justiça da União Europeia declarou inválida a Decisão 2000/520/CE. Sem examinar o conteúdo dos princípios da «privacidade em porto seguro», o Tribunal considerou que a Comissão não havia afirmado nessa decisão que os Estados Unidos «asseguravam» efetivamente um nível de proteção adequado em virtude da sua legislação interna ou dos seus compromissos internacionais (11).

(10) A este respeito, o Tribunal de Justiça explicou que, embora o termo «nível de proteção adequado» expresso no artigo 25.o, n.o 6, da Diretiva 95/46/CE não implique um nível de proteção idêntico ao garantido na ordem jurídica da União, deve ser entendido no sentido de exigir que esse país terceiro assegure um nível de proteção das liberdades e dos direitos fundamentais «substancialmente equivalente» ao conferido na União nos termos da Diretiva 95/46/CE, lida à luz da Carta dos Direitos Fundamentais. Ainda que, a este respeito, os meios a que esse país recorre possam ser diferentes dos implementados dentro da União, tais meios devem, todavia, revelar-se efetivos, na prática (12).

(11) O Tribunal de Justiça criticou a ausência de constatações suficientes na Decisão 2000/520/CE relativamente à existência, nos Estados Unidos da América, de normas de caráter estadual destinadas a limitar as eventuais ingerências nos direitos fundamentais das pessoas cujos dados sejam transferidos da União para os Estados Unidos, ingerências essas que as autoridades estaduais deste país seriam autorizadas a praticar quando prosseguem objetivos legítimos, tais como a segurança nacional, bem como à existência de uma proteção jurídica eficaz contra ingerências desta natureza (13).

(12) Em 2014, a Comissão tinha encetado conversações com as autoridades dos EUA a fim de debater o reforço do sistema «porto seguro» em conformidade com as 13 recomendações apresentadas na Comunicação COM(2013) 847 final. Após o acórdão do Tribunal de Justiça da União Europeia no processo Schrems, verificou-se uma intensificação do diálogo, com vista a alcançar uma eventual nova decisão de adequação que preenchesse os requisitos do artigo 25.o da Diretiva 95/46/CE, tal como interpretado pelo Tribunal de Justiça. Os documentos que figuram em anexo à presente decisão e que também serão publicados no Registo Federal dos Estados Unidos constituem o resultado destes debates. Os princípios de privacidade (anexo II), em conjunto com os compromissos e as declarações oficiais de várias autoridades dos EUA constantes dos documentos nos anexos I e III a VII, constituem o «Escudo de Proteção da Privacidade UE-EUA».

(13) A Comissão analisou cuidadosamente a legislação e a prática dos EUA, nomeadamente estes compromissos e declarações oficiais. Com base nas conclusões estabelecidas nos considerandos (136)-(140), a Comissão conclui que os EUA asseguram um nível de proteção adequado dos dados pessoais transferidos ao abrigo do Escudo de Proteção da Privacidade UE-EUA da União para organizações autocertificadas nos Estados Unidos.

2. O «ESCUDO DE PROTEÇÃO DA PRIVACIDADE UE-EUA»

(14) O Escudo de Proteção da Privacidade UE-EUA baseia-se num sistema de autocertificação através do qual as organizações dos EUA assumem o compromisso de estabelecer um conjunto de princípios de privacidade — os princípios do quadro do Escudo de Proteção da Privacidade UE-EUA, incluindo os princípios suplementares (em seguida designados em conjunto «os princípios») — emitidos pelo Department of Commerce dos EUA e constantes do anexo II da presente decisão. É aplicável simultaneamente aos responsáveis pelo tratamento e aos subcontratantes (agentes), com a especificidade de que os subcontratantes devem ser contratualmente obrigados a agir apenas mediante instruções do responsável europeu pelo tratamento e ajudar este último a responder aos pedidos das pessoas que exercem os seus direitos por força destes princípios (14).

(15) Sem prejuízo do respeito das disposições nacionais adotadas em aplicação da Diretiva 95/46/CE, a presente decisão tem por efeito autorizar as transferências de um responsável pelo tratamento ou de um subcontratante da União para organizações americanas que autocertificaram a sua adesão aos princípios junto do Department of Commerce e que se comprometeram a respeitá-los. Os princípios só se aplicam ao tratamento dos dados pessoais pela organização americana, na medida em que esse tratamento não seja abrangido pelo âmbito de aplicação da legislação da União (15). O Escudo de Proteção da Privacidade não prejudica a aplicação da legislação da União que rege o tratamento dos dados pessoais nos Estados-Membros (16).

(16) A proteção proporcionada aos dados pessoais pelo Escudo de Proteção da Privacidade é aplicável a qualquer titular de dados da UE (17) cujos dados pessoais foram transferidos a partir da UE para organizações situadas nos Estados Unidos que autocertificaram a sua adesão aos princípios junto do Department of Commerce.

(17) Os princípios serão aplicáveis imediatamente após a certificação. A única exceção diz respeito ao princípio de responsabilização pela transferência ulterior, quando a organização que se autocertifica no quadro do Escudo de Proteção da Privacidade desenvolve já relações comerciais com terceiros. Como será certamente necessário algum tempo para pôr essas relações em conformidade com as regras aplicáveis ao abrigo do princípio de responsabilização pela transferência ulterior, a organização será obrigada a fazê-lo o mais depressa possível, e de qualquer modo num prazo de nove meses a contar da autocertificação (desde que esta se realize nos dois meses seguintes ao dia de entrada em vigor do Escudo de Proteção da Privacidade). Durante este período transitório, a organização deve aplicar o princípio de aviso e princípio de escolha (permitindo assim ao titular de dados da UE opor-se ao tratamento) e, quando os dados pessoais forem transferidos para um terceiro agindo na qualidade de agente, deve assegurar-se que este prevê pelo menos o mesmo nível de proteção que é exigido pelos princípios (18). Este período transitório prevê um equilíbrio razoável e adequado entre o respeito do direito fundamental de proteção dos dados e a necessidade legítima das empresas disporem de um prazo suficiente para se adaptarem ao novo quadro, nos casos em que tal dependa também das suas relações comerciais com terceiros.

(18) O sistema será administrado e acompanhado pelo Department of Commerce com base nos seus compromissos estabelecidos nas declarações do Secretário do Comércio dos EUA (anexo I da presente decisão). No que diz respeito à aplicação dos princípios, a Federal Trade Commission (FTC) e o Department of Transportation apresentaram declarações que constam do anexo IV e do anexo V da presente decisão.

2.1. Princípios de privacidade

(19) No âmbito da sua autocertificação ao abrigo do Escudo de Proteção da Privacidade UE-EUA, as organizações têm de se comprometer a cumprir os princípios (19).

(20) No âmbito do princípio de aviso, as organizações são obrigadas a fornecer informações aos titulares de dados sobre vários elementos-chave relacionados com o tratamento dos seus dados pessoais (por exemplo, tipo de dados recolhidos, finalidade do tratamento, direito de acesso e escolha, condições de transferência ulterior e responsabilidade). São aplicáveis garantias adicionais, nomeadamente o requisito de as organizações publicarem as respetivas políticas em matéria de proteção da vida privada (refletindo os princípios), bem como de apresentarem ligações para o sítio web do Department of Commerce (com informações adicionais sobre a autocertificação, os direitos dos titulares de dados e os mecanismos de recursos disponíveis), a lista do Escudo de Proteção da Privacidade (a que se refere o considerando 30) e o sítio web de uma entidade adequada de resolução alternativa de litígios.

(21) No âmbito do princípio de integridade dos dados e limitação dos fins, os dados pessoais devem limitar-se ao que é relevante para o fim do tratamento, ser fiáveis para a utilização prevista, exatos, completos e atuais. Uma organização não pode tratar dados pessoais de modo incompatível com o fim que motivou a recolha original ou que tenha sido autorizado posteriormente pelo titular dos dados. As organizações devem assegurar que os dados pessoais são fiáveis em relação à utilização prevista, exatos, completos e atuais.

(22) Quando uma nova finalidade (finalidade alterada) é materialmente diferente mas contudo compatível com a finalidade inicial, o princípio da escolha confere aos titulares de dados o direito de se oporem ao tratamento. O princípio da escolha não se substitui à proibição expressa dos tratamentos incompatíveis (20). São aplicáveis ao marketing direto (21) regras especiais que permitem, de forma geral, uma oposição «a qualquer momento» à utilização dos dados pessoais. No caso de dados sensíveis, as organizações devem, normalmente, obter o consentimento expresso (opt in) da pessoa cujos dados foram objeto de tratamento.

(23) Ainda ao abrigo do princípio de integridade dos dados e limitação dos fins, só podem ser conservadas informações pessoais sob uma forma que permita identificar uma pessoa ou a torne identificável (portanto sob a forma de dados pessoais) enquanto a sua utilização seja conforme à ou às finalidades para as quais foram inicialmente recolhidas ou posterirmente autorizadas. Esta obrigação não impede que as organizações aderentes ao Escudo de Proteção da Privacidade continuem a tratar informações pessoais durante períodos mais longos, mas apenas durante, e na medida em que, esse tratamento sirva razoavelmente para uma das finalidades específicas seguintes: arquivamento no interesse público, jornalismo, literatura e arte, bem como investigação histórica e análise estatística. A conservação de dados pessoais durante um período mais longo para uma destas finalidades será sujeita às garantias previstas nos princípios.

(24) No âmbito do princípio de segurança, as organizações que criam, mantêm, utilizam ou divulgam dados pessoais devem tomar precauções de segurança «razoáveis e adequadas», tomando em consideração os riscos que o tratamento e a natureza dos dados implicam. No caso de tratamento ulterior, as organizações devem celebrar um contrato com a entidade que procederá ao tratamento ulterior dos dados que assegure o mesmo nível de proteção previsto pelos princípios e tomar medidas para assegurar a sua aplicação adequada.

(25) No âmbito do princípio de acesso (22), os titulares de dados têm o direito, sem necessidade de justificação e apenas em troca de uma taxa não excessiva, de obter de uma organização a confirmação de se esta trata dados pessoais relacionados consigo e de que os dados lhe sejam comunicados num prazo razoável. Este direito só pode ser limitado em circunstâncias excecionais; qualquer recusa ou limitação do direito de acesso deve ser necessária, devidamente justificada e a organização deve suportar o ónus de demonstrar que estes requisitos são preenchidos. Os titulares de dados devem poder corrigir, alterar ou eliminar informações pessoais sempre que estas sejam incorretas ou tenham sido tratadas em violação dos princípios. Em domínios em que é muito provável que as empresas recorram ao tratamento automatizado de dados pessoais para tomar decisões que afetem a pessoa (por exemplo, concessão de crédito, ofertas de crédito hipotecário, emprego), o direito americano proporciona proteções específicas contra as decisões negativas (23). Estes atos preveem normalmente que as pessoas têm o direito de serem informadas das razões específicas subjacentes à decisão (por exemplo, a recusa de concessão de um crédito), de contestar as informações incompletas ou inexatas (bem como confiança em fatores ilegais) e procurar obter reparação. Estas regras oferecem proteções no número de casos provavelmente bastante limitado em que a própria organização aderente ao Escudo de Proteção da Privacidade tomaria as decisões automatizadas (24). No entanto, tendo em conta a utilização acrescida do tratamento automatizado (incluindo a definição de perfis) enquanto base para tomar decisões que afetam pessoas na economia digital moderna, trata-se de um domínio que deve ser acompanhado de perto. A fim de facilitar este acompanhamento, foi acordado com as autoridades americanas que será previsto um diálogo sobre a tomada de decisão automatizada, incluindo um intercâmbio sobre as semelhanças e as diferenças das abordagens adotadas pela UE e pelos Estados Unidos na matéria, no quadro da primeiro análise anual, bem como de posteriores análises, se necessário.

(26) No âmbito do princípio de recurso, aplicação e responsabilidade, (25) as organizações participantes devem proporcionar mecanismos robustos para assegurar a conformidade com os restantes princípios e vias de recurso para todos os titulares de dados cujos dados pessoais tenham sido tratados de modo não conforme, nomeadamente reparações eficazes. Quando uma organização tenha decidido, a título voluntário, autocertificar (26) a sua adesão ao Escudo de Proteção da Privacidade UE-EUA, o cumprimento efetivo dos princípios é obrigatório. Para poder continuar a basear-se no Escudo de Proteção da Privacidade para receber dados pessoais da União, as organizações devem proceder anualmente à certificação da sua participação no quadro. As organizações devem também tomar medidas para verificar (27) que as suas políticas públicas em matéria de proteção da vida privada são conformes com os princípios de privacidade e são efetivamente cumpridas. Tal pode ser efetuado através de um sistema de autoavaliação, que deve incluir procedimentos internos que assegurem que os trabalhadores recebem formação sobre a aplicação das políticas da organização em matéria de proteção da vida privada e que a conformidade é periodicamente reexaminada de forma objetiva, ou verificações de conformidade externas, cujos métodos podem incluir auditorias ou verificações aleatórias. Além disso, a organização deve criar um mecanismo de recurso efetivo para tratar eventuais queixas (ver igualmente a este respeito o considerando 43) e estar sujeita aos poderes de investigação e de execução da FTC, do Department of Transportation e de qualquer outro organismo oficial americano que assegurará o respeito efetivo dos princípios.

(27) São aplicáveis regras especiais às transferências designadas como «ulteriores», ou seja, às transferências de dados pessoais de uma organização para um responsável pelo tratamento ou um subcontratante, independentemente de este se encontrar nos Estados Unidos ou num país terceiro fora dos Estados Unidos (e da União). Estas regras têm por objetivo assegurar que a proteção garantida aos dados pessoais dos titulares de dados da UE não será comprometida, e não pode ser contornada, ao transferir esses dados para terceiros. São particularmente importantes em cadeias de tratamento mais complexas, caraterísticas da economia digital atual.

(28) Por força do princípio de responsabilização pela transferência ulterior (28), qualquer transferência ulterior só pode realizar-se i) para fins limitados e específicos, ii) com base num contrato (ou num dispositivo comparável em caso de transferência no âmbito de um grupo de empresas (29)) e iii) se nesse contrato estiver previsto o mesmo nível de proteção que o garantido pelos princípios, o que inclui a obrigação de só limitar a aplicação dos princípios na medida do necessário para efeitos da segurança nacional, da aplicação da lei ou de outros interesses públicos (30). Estas regras devem ser lidas em conjugação com o princípio de aviso e, em caso de transferência posterior para um responsável pelo tratamento num país terceiro (31), com o princípio da escolha, segundo o qual os titulares de dados devem ser informados (entre outras) do tipo/identidade de qualquer destinatário terceiro, da finalidade da transferência ulterior, bem como da escolha que podem proporcionar e da possibilidade de poderem opor-se (opt out) ou, no caso de dados sensíveis, terem de dar «o seu consentimento expresso» (opt in) a essas transferências posteriores. Tendo em conta o princípio de integridade dos dados e limitação dos fins, a obrigação de fornecer o mesmo nível de proteção que o garantido pelos princípios, pressupõe que o terceiro só pode tratar as informações pessoais que lhe foram transmitidas para fins que não sejam incompatíveis com os as finalidades para as quais foram inicialmente recolhidos ou posteriormente autorizados pelo titular dos dados.

(29) A obrigação de fornecer o mesmo nível de proteção que o garantido pelos princípios é aplicável a todos os terceiros que intervenham no tratamento dos dados assim transferidos independentemente da sua localização (nos EUA ou num outro país terceiro), bem como quando o destinatário terceiro inicial comunica por sua vez esses dados a um outro destinatário terceiro, por exemplo, para fins de subcontratação. De qualquer modo, o contrato com o destinatário terceiro deve prever que, se este último verificar que deixou de estar em condições de cumprir esta obrigação, informará do facto a organização aderente ao Escudo de Proteção da Privacidade. Nesse caso, deve pôr termo ao tratamento ou devem ser tomadas outras medidas razoáveis e adequadas para solucionar a situação (32). Sempre que surjam problemas de cumprimento na cadeia de (sub)tratamento, a organização aderente ao Escudo de Proteção da Privacidade agindo como responsável pelo tratamento dos dados pessoais deverá provar que não é responsável pela questão que dá origem aos danos; caso contrário deverá assumir a responsabilidade, em conformidade com o princípio de recurso, aplicação e responsabilidade. Estão previstas proteções suplementares em caso de transferência posterior para um mandatário terceiro (33).

2.2. Transparência, gestão e supervisão do Escudo de Proteção da Privacidade UE-EUA

(30) O Escudo de Proteção da Privacidade UE-EUA prevê mecanismos de supervisão e de aplicação destinados a verificar e garantir que as empresas americanas autocertificadas respeitam os princípios e que será resolvida qualquer falha de cumprimento. Estes mecanismos são definidos nos princípios (anexo II) e nos compromissos assumidos pelo Department of Commerce (anexo I), pela FTC (anexo IV) e pelo Department of Transportation (anexo V).

(31) Para que o Escudo de Proteção da Privacidade UE-EUA seja corretamente aplicado, as partes interessadas, tal como os titulares dos dados, os exportadores de dados e as autoridades nacionais responsáveis pela proteção dos dados devem estar em condições de identificar as organizações aderentes aos princípios. Para o efeito, o Department of Commerce assumiu a responsabilidade de manter atualizada e disponibilizar ao público uma lista das organizações que autocertificaram a sua adesão aos princípios e que estão abrangidas pelo âmbito de competência de, pelo menos, uma das autoridades de execução referidas nos anexos I e II da presente decisão («lista do Escudo de Proteção da Privacidade») (34). O Department of Commerce atualizará a lista com base nos pedidos de renovação da certificação anual das organizações e sempre que uma organização se retire ou seja suprimida do Escudo de Proteção da Privacidade UE-EUA. Também conservará e disponibilizará ao público um registo oficial das organizações suprimidas da lista que, em cada caso, identifica o motivo de tal supressão. Por último, fornecerá uma ligação para a lista de processos da FTC relacionados com a aplicação do Escudo de Proteção da Privacidade conservados que figurará no sítio web da FTC.

(32) O Department of Commerce publicará a lista do Escudo de Proteção da Privacidade e as declarações de renovação da certificação num sítio web específico. As organizações autocertificadas deverão, por seu lado, fornecer o endereço web do Department para a lista do Escudo de Proteção da Privacidade. Além disso, caso se encontre disponível em linha, a política das organizações em matéria de proteção da vida privada deve incluir uma hiperligação para o sítio web do Escudo de Proteção da Privacidade, bem como uma ligação para o sítio web ou para um formulário de apresentação de queixas do mecanismo de recurso independente que está disponível para investigar queixas por resolver. O Department of Commerce verificará sistematicamente, no contexto da certificação e renovação da certificação da adesão de uma organização ao quadro, se as suas políticas em matéria de proteção da vida privada observam os princípios.

(33) As organizações que tenham persistido em não cumprir os princípios serão suprimidas da lista do Escudo de Proteção da Privacidade e devem devolver ou eliminar os dados pessoais recebidos ao abrigo do Escudo de Proteção da Privacidade UE-EUA. Noutros casos de supressão, tais como a retirada voluntária ou a não renovação da certificação, a organização pode manter os referidos dados se confirmar anualmente ao Department of Commerce o seu compromisso de continuar a aplicar os princípios ou proporcionar uma proteção adequada dos dados pessoais através de outros meios autorizados (por exemplo, através de um contrato que reflita na íntegra os requisitos das cláusulas contratuais-tipo relevantes aprovadas pela Comissão). Neste caso, as organizações devem identificar um ponto de contacto na organização para o esclarecimento de todas as questões relacionadas com o Escudo de Proteção da Privacidade.

(34) Além disso, o Department of Commerce procederá ao controlo das organizações que já não participam no Escudo de Proteção da Privacidade UE-EUA, quer por se terem retirado voluntariamente ou por a sua certificação ter caducado, a fim de verificar se devolverão, eliminarão ou manterão (35) os dados pessoais previamente recebidos no âmbito do quadro. Se mantiverem estes dados, as organizações são obrigadas a aplicar-lhes os princípios. Nos casos em que o Department of Commerce tenha afastado organizações do quadro devido ao incumprimento persistente dos princípios, esta entidade certificar-se-á de que as referidas organizações devolvem ou eliminam os dados pessoais recebidos no âmbito do quadro.

(35) Sempre que, por algum motivo, uma organização abandone o Escudo de Proteção da Privacidade UE-EUA, esta deve eliminar todas as declarações públicas que sugiram que continua a participar no mesmo ou que tem direito aos seus benefícios, nomeadamente quaisquer referências ao Escudo de Proteção da Privacidade UE-EUA na sua política pública em matéria de proteção da vida privada. O Department of Commerce procurará e resolverá as falsas declarações de participação no Escudo, incluindo por parte de antigos participantes (36). Todas as falsas declarações destinadas ao grande público relativamente à adesão aos princípios sob a forma de declarações ou práticas enganosas são passíveis de medidas de execução pela FTC, pelo Department of Transportation ou por outras autoridades de execução americanas; as declarações falsas prestadas ao Department of Commerce são passíveis de execução ao abrigo do False Statements Act (legislação sobre falsas declarações — 18 USC § 1001) (37).

(36) O Department of Commerce controlará sistematicamente todas as falsas declarações de participação no Escudo de Proteção da Privacidade ou a utilização indevida da marca de certificação do Escudo de Proteção da Privacidade e as APD podem remeter organizações para um ponto de contacto específico do Department of Commerce para efeitos de análise. Sempre que uma organização tenha deixado de participar no Escudo de Proteção da Privacidade UE-EUA, não tenha procedido à renovação da certificação ou seja suprimida da lista do Escudo de Proteção da Privacidade, o Department of Commerce verificará, numa base contínua, se esta eliminou da sua política pública em matéria de proteção da vida privada todas as referências ao Escudo de Proteção da Privacidade que sugiram a continuação da sua participação e, caso esta continue a prestar falsas declarações, submeterá a questão à FTC, ao Department of Transportation ou a outra autoridade competente para possíveis medidas de execução. Também enviará questionários às organizações cuja autocertificação tenha caducado ou que se tenham voluntariamente retirado do Escudo de Proteção da Privacidade UE-EUA a fim de verificar se as organizações devolverão, eliminarão ou continuarão a aplicar os princípios de privacidade aos dados pessoais que receberam durante a sua participação no Escudo de Proteção da Privacidade e, caso os dados pessoais sejam conservados, verificar quem, no seio da organização, será o ponto de contacto permanente para o esclarecimento de questões relacionadas com o Escudo de Proteção da Privacidade.

(37) Numa base contínua, o Department of Commerce realizará análises de conformidade sistemáticas (38) das organizações autocertificadas, nomeadamente através do envio de questionários pormenorizados. Também procederá a verificações sistemáticas sempre que tenha recebido uma queixa específica (não abusiva), se uma organização não apresentar respostas válidas às suas questões, ou se existirem indícios credíveis de que uma organização não respeita os princípios. Se necessário, o Department of Commerce consultará igualmente as APD em relação às análises de conformidade.

2.3. Mecanismo de recurso, tratamento de queixas e execução

(38) O Escudo de Proteção da Privacidade UE-EUA, através do princípio de recurso, aplicação e responsabilidade, exige que as organizações criem vias de recurso em caso de incumprimento dos princípios e, por conseguinte, a possibilidade, para os titulares de dados da UE, de apresentarem queixas por incumprimento dos princípios por parte das empresas americanas autocertificadas, e de aquelas serem resolvidas, se necessário mediante uma decisão de reparação efetiva.

(39) No quadro da sua autocertificação, as organizações devem satisfazer os requisitos do princípio de recurso, aplicação e responsabilidade, prevendo mecanismos de recurso independentes facilmente acessíveis e eficazes, através dos quais as queixas e os litígios possam ser examinados e resolvidos sem custos para os titulares de dados.

(40) As organizações podem escolher mecanismos de recurso independentes na União ou nos Estados Unidos, opção que inclui a possibilidade de se comprometer, numa base voluntária, a cooperar com as autoridades responsáveis pela proteção de dados (APD) da UE. Todavia, uma tal escolha não existe quando as organizações tratam dados relativos aos recursos humanos, uma vez que nesse caso a cooperação com as APD é obrigatória. Outras alternativas consistem em recorrer a um organismo independente de resolução alternativa de litígios ou a programas de proteção da privacidade elaborados pelo setor privado, que integram os princípios nas suas regras. Estes devem incluir mecanismos de execução eficazes conformes aos requisitos do princípio de recurso, aplicação e responsabilidade. As organizações são obrigadas a solucionar os problemas de não conformidade. Devem igualmente especificar que estão sujeitas aos poderes de investigação e de execução da FTC, do Department of Transportation ou de qualquer outro organismo oficial americano.

(41) Por conseguinte, o quadro do Escudo de Proteção da Privacidade fornece aos titulares de dados um certo número de possibilidades para fazerem valer os seus direitos, apresentarem queixas em caso de incumprimento pelas empresas autocertificadas americanas e de aquelas serem resolvidas, se necessário mediante uma decisão de reparação efetiva. Os titulares de dados podem apresentar uma queixa diretamente junto de uma organização, de um organismo independente de resolução de litígios designado pela organização, das APD nacionais ou da FTC.

(42) Nos casos em que essas queixas não foram resolvidas por um desses mecanismos de recurso ou de aplicação, as pessoas têm igualmente o direito de invocar uma arbitragem vinculativa ao abrigo do Comité do Escudo de Proteção da Privacidade (anexos I e II da presente decisão). Salvo no que diz respeito ao comité de arbitragem, que exige o esgotamento de um certo número de vias de recurso antes de se poder recorrer a ele, os titulares de dados têm a liberdade de recorrer a um, a vários ou a todos os mecanismos de recurso da sua escolha, não sendo a obrigados a escolher um determinado mecanismo ou a seguir uma determinada ordem. No entanto, tal como seguidamente mencionado, existe uma certa ordem lógica que é aconselhável seguir.

(43) Em primeiro lugar, os titulares de dados da UE podem recorrer em casos de incumprimento dos princípios através de contactos diretos com a empresa autocertificada dos EUA. A fim de facilitar a resolução, a organização deve instaurar um mecanismo de recurso eficaz para tratar de tais queixas. A política das organizações em matéria de proteção da privacidade deve, por conseguinte, informar claramente as pessoas sobre um ponto de contacto, interno ou externo à organização, que procederá ao tratamento das queixas (nomeadamente qualquer estabelecimento competente na União que possa responder a questões e queixas) e sobre os mecanismos independentes de tratamento das queixas.

(44) Após a receção de uma queixa individual, independentemente de ser apresentada diretamente pelo interessado ou através do Department of Commerce na sequência de um reenvio por uma APD, a organização deve fornecer uma resposta ao titular de dados da UE num prazo de 45 dias. Esta resposta deve incluir uma apreciação do mérito da queixa e informações sobre a maneira como a organização resolverá o problema. Do mesmo modo, as organizações devem responder rapidamente às questões e a outros pedidos de informação relativos à sua adesão aos princípios que lhes são dirigidos pelo Department of Commerce ou por uma APD (39) (quando a organização se comprometeu a cooperar com a APD). As organizações devem conservar arquivos sobre a execução das suas políticas de privacidade e disponibilizá-los, mediante pedido, a uma instância de recurso independente ou à FTC (ou a outra autoridade dos EUA com competência para investigar práticas desleais e enganosas), no quadro de uma investigação ou de uma queixa por não conformidade.

(45) Em segundo lugar, os titulares de dados podem também apresentar uma queixa diretamente junto de um organismo independente de resolução de litígios (quer nos Estados Unidos ou na União) designado pela organização para investigar e resolver queixas individuais (a menos que sejam evidentemente infundadas ou abusivas) e para proporcionar uma via de recurso adequada a título gratuito para o titular dos dados. As reparações e sanções aplicadas por tal organismo devem ser suficientemente rigorosas para garantir a conformidade das organizações com os princípios e devem prever uma inversão ou correção, por parte da organização, dos efeitos do incumprimento e, em função das circunstâncias, a cessação da continuação do tratamento dos dados pessoais em causa e/ou a sua eliminação, bem como a publicação no que se refere a casos de incumprimento. Os organismos independentes para a resolução de litígios designados por uma organização serão obrigados a incluir nos seus sítios web públicos informações pertinentes sobre o Escudo de Proteção da Privacidade UE-EUA e os serviços que prestam neste âmbito. Todos os anos, devem publicar um relatório anual com estatísticas agregadas relativas a estes serviços (40).

(46) Como parte dos seus procedimentos de análise da conformidade, o Department of Commerce verificará se as empresas autocertificadas dos EUA se registaram efetivamente junto dos mecanismos de recurso independentes nos quais alegam estar registadas. Tanto as organizações como os mecanismos de recurso independentes responsáveis devem responder imediatamente às questões e aos pedidos de informações apresentados pelo Department of Commerce sobre o Escudo de Proteção da Privacidade.

(47) Nos casos em que a organização não cumpra a decisão de um organismo de autorregulação ou de resolução de litígios, este último deve notificar o incumprimento ao Department of Commerce e à FTC (ou a outra autoridade dos EUA com competência para investigar práticas desleais e enganosas), ou a um tribunal competente (41). Se uma organização se recusar a cumprir uma decisão definitiva de um organismo de autoregulação, um organismo independente de resolução de conflitos, ou um organismo público competente em matéria de privacidade, ou quando o referido organismo determinar que uma organização não cumpre frequentemente os princípios, tal será considerado como um incumprimento sistemático o que implica que o Department of Commerce, após dar à organização que não cumpriu um pré-aviso de 30 dias e uma oportunidade para responder, eliminará a referida organização da lista (42). Se, uma vez suprimida da lista, a organização continuar a alegar a sua certificação de participação no Escudo de Proteção da Privacidade, o Department of Commerce submeterá a questão à FTC ou outro organismo com funções coercivas (43).

(48) Em terceiro lugar, as pessoas também podem apresentar as suas queixas a uma autoridade nacional responsável pela proteção dos dados. As organizações são obrigadas a cooperar na investigação e a resolução de uma queixa por uma APD, quer no que diz respeito ao tratamento de dados de recursos humanos recolhidos no contexto de uma relação laboral ou quando a entidade respetiva se tenha submetido voluntariamente à supervisão por parte das APD. Designadamente, as organizações devem responder a questões, respeitar o aconselhamento prestado pela APD, incluindo no que se refere a medidas de reparação ou compensação e a apresentar à APD uma confirmação escrita de que as referidas medidas foram tomadas.

(49) O aconselhamento das APD será veiculado através de um painel informal das APD composto por estas autoridades à escala da União (44), que contribuirá para assegurar uma abordagem coerente e harmonizada em relação a uma determinada queixa. A resposta será emitida após ter sido dada a ambas as partes envolvidas a oportunidade de apresentar observações e de fornecer todas as informações sobre as provas que considerem necessárias. O painel fornecerá aconselhamento o mais rapidamente possível, dentro dos limites processuais permitidos, regra geral, nos 60 dias seguintes à receção da queixa. Se uma organização não aplicar o conselho da APD no prazo de 25 dias, sem apresentar uma razão válida para o atraso, o painel comunicará a sua intenção de levar o caso à FTC (ou a outra autoridade de execução competente dos EUA), ou de concluir que o compromisso de cooperação foi seriamente violado. Na primeira alternativa, tal conduzirá a medidas de execução com base na secção 5 da FTC Act (ou lei semelhante). Na segunda alternativa, o painel informará o Department of Commerce, que considerará a recusa da organização de cumprir o conselho do painel como um incumprimento persistente conducente à supressão da organização da lista do Escudo de Proteção da Privacidade.

(50) Se a APD à qual a queixa foi apresentada não tomar medidas ou tomar medidas insuficientes para a sua resolução, o queixoso tem a possibilidade de contestar tal (in)ação junto dos tribunais nacionais do respetivo Estado-Membro.

(51) As pessoas também podem apresentar queixas às APD, mesmo quando o painel das APD não tiver sido designado como organismo de resolução de litígios de uma organização. Nestes casos, a APD pode remeter essas queixas quer para o Department of Commerce quer para a FTC. Para facilitar e reforçar a cooperação em questões relacionadas com queixas individuais e com o incumprimento por parte das organizações participantes no Escudo de Proteção da Privacidade, o Department of Commerce criará um ponto de contacto específico que servirá de ponto de ligação com as APD e assisti-las-á nas investigações sobre o cumprimento dos princípios por parte de uma organização (45). Do mesmo modo, a FTC comprometeu-se a criar um ponto de contacto específico (46) e a prestar assistência às APD nas suas investigações nos termos do U.S. Safe web Act (lei relativa à segurança da web) (47).

(52) Em quarto lugar, o Department of Commerce comprometeu-se a receber, verificar e envidar os melhores esforços para resolver queixas sobre o incumprimento dos princípios por parte de uma organização. Para esse efeito, o Department of Commerce prevê procedimentos especiais para que as APD reenviam queixas a um ponto de contacto dedicado, procedam ao seu rastreio e acompanhem as empresas a fim de facilitar a resolução. Com o intuito de acelerar o tratamento de queixas individuais, o ponto de contacto estabelecerá um contacto direto com a respetiva APD sobre questões de conformidade e, em especial, mantê-la-á atualizada sobre o estado das queixas num prazo máximo de 90 dias após a apresentação da queixa. Tal permite que os titulares de dados apresentem queixas de incumprimento imputadas a empresas autocertificadas dos EUA diretamente à sua APD nacional e que estas sejam transmitidas ao Department of Commerce enquanto autoridade dos EUA que administra o Escudo de Proteção da Privacidade dos EUA. O Department of Commerce também se comprometeu a apresentar, na análise anual do funcionamento do Escudo de Proteção da Privacidade UE-EUA, um relatório que analisa de forma agregada as queixas recebidas todos os anos (48).

(53) Se, com base nas suas verificações sistemáticas, queixas ou quaisquer outras informações, o Department of Commerce concluir que uma organização persistiu em não cumprir os princípios de privacidade, suprimirá a referida organização da lista do Escudo de Proteção da Privacidade. A recusa em cumprir uma decisão final de qualquer organização de autorregulação em matéria de proteção da privacidade, organismo independente de resolução de litígios ou entidade pública, incluindo a APD, será considerada um incumprimento persistente.

(54) Em quinto lugar, uma organização participante no Escudo de Proteção da Privacidade deve estar sujeita aos poderes de investigação e de execução das autoridades dos Estados Unidos, em especial a Federal Trade Commission (FTC) (49), que garantirá de forma eficaz o cumprimento dos princípios. A FTC dará prioridade às queixas de incumprimento dos princípios de privacidade submetidas por organismos independentes de resolução de litígios ou de autorregulação, pelo Department of Commerce e pelas APD (por iniciativa própria ou após a receção de queixas) a fim de determinar se a secção 5 da FTC Act (lei relativa à Comissão reguladora do comércio federal) foi violada (50). A FTC comprometeu-se a criar um processo de transmissão de queixas normalizado, a designar um ponto de contacto no organismo para a receção de queixas das APD e a proceder ao intercâmbio de informações sobre as mesmas. Além disso, aceitará queixas diretamente de pessoas singulares e procederá a investigações no âmbito do Escudo de Proteção da Privacidade por iniciativa própria, nomeadamente como parte das suas investigações em maior escala sobre questões relacionadas com a privacidade.

(55) A FTC pode assegurar a conformidade através de decisões administrativas («injunções») e controlará sistematicamente a conformidade com estas decisões. Sempre que as organizações não as cumpram, a FTC pode submeter o caso ao tribunal competente a fim de solicitar sanções de caráter civil e outras reparações, designadamente por quaisquer danos provocados pela conduta ilegal. Em alternativa, a FTC pode solicitar diretamente uma injunção temporária ou permanente ou outras reparações junto de um tribunal federal. Cada injunção emitida junto de uma organização participante no Escudo de Proteção da Privacidade conterá disposições de comunicação pela própria organização (51), e as organizações serão obrigadas a publicar todas as secções pertinentes relacionadas com o Escudo de Proteção da Privacidade dos relatórios de conformidade ou avaliação apresentados à FTC. Por último, a FTC manterá uma lista em linha das empresas objeto de decisões judiciais ou da FTC em processos relativos ao Escudo de Proteção da Privacidade.

(56) Em sexto lugar, enquanto mecanismo de «último recurso», caso nenhuma das restantes vias de recurso tenha resolvido a queixa de forma satisfatória, o titular de dados da UE pode invocar arbitragem vinculativa pelo «Comité do Escudo de Proteção da Privacidade». As organizações devem informar as pessoas sobre a possibilidade, em certas condições, de invocar a arbitragem vinculativa e são obrigadas a responder quando uma pessoa recorrer a esta opção, notificando a organização em causa (52).

(57) Este comité arbitral será constituído por um grupo de, pelo menos, 20 árbitros nomeados pelo Department of Commerce e a Comissão com base na sua independência, integridade, bem como experiência na legislação dos EUA em matéria de proteção da privacidade e na legislação da União em matéria de proteção dos dados. Para cada litígio individual, as partes selecionarão a partir deste grupo um conjunto de um ou três (53) árbitros. Os procedimentos serão regidos por regras de arbitragem normalizadas a acordar entre o Department of Commerce e a Comissão. Estas regras completarão o quadro já concluído que contém vários elementos que reforçam a acessibilidade deste mecanismo para os titulares de dados da UE: i) na preparação de uma queixa a apresentar junto do comité, o titular de dados pode ser assistido pela sua APD nacional; ii) embora a arbitragem ocorra nos Estados Unidos, os titulares de dados da UE podem optar por participar através de videoconferência ou conferência telefónica, que será fornecida sem custos para o titular dos dados; iii) embora a arbitragem ocorra em inglês, mediante um pedido fundamentado, regra geral (54), será fornecida interpretação na audição arbitral, bem como tradução, sem custos para o titular dos dados, iv) finalmente, embora cada parte tenha de suportar os honorários do próprio advogado, se for representada por um advogado perante o comité, o Department of Commerce criará um fundo alimentado por contribuições anuais das organizações participantes no Escudo de Proteção da Privacidade, que devem cobrir os custos elegíveis do procedimento arbitral, até aos montantes máximos, a determinar pelas autoridades dos EUA em consulta com a Comissão.

(58) O Comité do Escudo de Proteção da Privacidade terá competência para aplicar as «medidas equitativas, específicas do titular dos dados e não monetárias» (55) necessárias para corrigir o incumprimento dos princípios. Embora o comité tome em consideração outras reparações já obtidas por outros mecanismos do Escudo de Proteção da Privacidade no estabelecimento da sua decisão, as pessoas podem recorrer a arbitragem se considerarem que estas outras reparações são insuficientes. Tal permitirá que os titulares de dados da UE invoquem arbitragem em todos os casos nos quais a ação ou inação das autoridades competentes dos EUA (por exemplo, da FTC) não tenha resolvido as suas queixas de forma satisfatória. Não é possível invocar arbitragem se uma APD tiver autoridade jurídica para resolver a queixa em questão no que se refere à empresa autocertificada dos EUA, nomeadamente nos casos em que a organização é obrigada a cooperar e a respeitar o aconselhamento das APD no respeitante ao tratamento de dados relativos a recursos humanos ou se tiver comprometido voluntariamente a tal. As pessoas podem executar a decisão de arbitragem nos tribunais dos EUA ao abrigo da Federal Arbitration Act (lei relativa à arbitragem federal), garantindo assim um recurso jurídico em caso de incumprimento por parte da empresa.

(59) Em sétimo lugar, quando uma organização não cumpra o seu compromisso de respeitar os princípios e a política pública em matéria de proteção da vida privada, podem encontrar-se disponíveis vias de recurso judicial adicionais ao abrigo da legislação dos Estados dos EUA que proporcionem reparações nos termos do direito civil e nos processos de declarações fraudulentas, atos desleais ou enganosos, ou incumprimento de contrato.

(60) Além disso, quando uma APD, depois da receção de uma queixa apresentada por um titular de dados da UE, considere que a transferência dos dados pessoais de uma pessoa para uma organização nos Estados Unidos é realizada em violação da legislação da UE em matéria de proteção de dados, nomeadamente quando o exportador dos dados da UE tem razões para crer que a organização não respeita os princípios, pode igualmente exercer as suas competências face ao exportador de dados e, se necessário, ordenar a suspensão da transferência dos dados.

(61) Tendo em conta as informações constantes da presente secção, a Comissão considera que os princípios emitidos pelo Department of Commerce dos EUA, asseguram, enquanto tal, um nível de proteção dos dados pessoais que é essencialmente equivalente ao assegurado pelos princípios substantivos de base estabelecidos na Diretiva 95/46/CE.

(62) Além disso, as obrigações de transparência bem como a análise da administração do cumprimento do Escudo de Proteção da Privacidade pelo Department of Commerce garantem a aplicação eficaz dos princípios.

(63) Além disso, a Comissão considera que, como um todo, os mecanismos de recurso e aplicação previstos pelo Escudo de Proteção da Privacidade permitem, na prática, a identificação e sanção das infrações aos princípios por parte das organizações aderentes ao Escudo de Proteção da Privacidade e oferecem vias de recurso ao titular de dados que lhe dão acesso aos seus dados pessoais e permitem a retificação ou eliminação de tais dados.

3. ACESSO E UTILIZAÇÃO DE DADOS PESSOAIS, TRANSFERIDOS AO ABRIGO DO ESCUDO DE PROTEÇÃO DA PRIVACIDADE UE-EUA, PELAS AUTORIDADES PÚBLICAS DOS EUA

(64) Tal como decorre do anexo II, secção I, ponto 5, a adesão aos princípios limita-se ao necessário para observar os requisitos de segurança nacional, interesse público ou aplicação da lei.

(65) A Comissão avaliou as limitações e garantias disponíveis na legislação dos EUA no que se refere ao acesso e à utilização de dados pessoais, transferidos ao abrigo do Escudo de Proteção da Privacidade UE-EUA, pelas autoridades públicas dos EUA para efeitos de segurança nacional, de exercício de funções coercivas e outros fins de interesse público. Além disso, o governo dos EUA, através do seu Office of the Director of National Intelligence (ODNI) (56), apresentou à Comissão declarações e compromissos pormenorizadas que constam do anexo VI da presente decisão. Por carta assinada pelo Secretary of State e que figura na anexo III da presente decisão, o governo dos EUA também se comprometeu a criar um novo mecanismo de supervisão da ingerência da segurança nacional, o Mediador para o Escudo de Proteção da Privacidade, que é independente do setor das informações. Por último, uma declaração do Department of Justice (equivalente ao Ministério da Justiça) dos EUA, constante do anexo VII da presente decisão, descreve as limitações e garantias aplicáveis ao acesso e à utilização de dados pelas autoridades públicas para efeitos de aplicação da lei e outros fins de interesse público. Para aumentar a transparência e refletir a natureza jurídica destes compromissos, cada um dos documentos enumerados e que figuram em anexo à presente decisão será publicado no Registo Federal dos EUA.

(66) As conclusões da Comissão sobre as limitações ao acesso e à utilização de dados pessoais, transferidos da União Europeia para os Estados Unidos, pelas autoridades públicas dos EUA e a existência de proteção jurídica efetiva são explicadas em maior pormenor abaixo.

3.1. Acesso e utilização pelas autoridades públicas dos EUA para efeitos de segurança nacional

(67) A análise da Comissão demonstra que a legislação dos EUA contém um certo número de limitações ao acesso e utilização de dados pessoais transferidos ao abrigo do Escudo de Proteção da Privacidade UE-EUA para efeitos de segurança nacional, bem como mecanismos de supervisão e reparação que proporcionam garantias suficientes para a proteção eficaz dos dados contra a ingerência ilegal e o risco de abuso (57). Desde 2013, quando a Comissão emitiu as suas duas comunicações (ver considerando 7), este enquadramento jurídico foi significativamente reforçado, tal como descrito seguidamente.

3.1.1. Limitações

(68) Nos termos da Constituição dos EUA, o Presidente, na qualidade de Comandante Supremo e Chefe do Executivo, é responsável por garantir a segurança nacional e, no que diz respeito às informações externas, é responsável pelos negócios estrangeiros dos EUA (58). Embora o Congresso tenha competência para impor limitações, e o tenha feito em vários aspetos, o Presidente dentro destes limites pode administrar as atividades do setor das informações dos EUA, nomeadamente através de decretos executivos ou diretivas presidenciais. Tal é igualmente aplicável aos domínios nos quais não existem orientações do Congresso. Atualmente, os dois instrumentos jurídicos centrais a este respeito são o Decreto Executivo n.o 12333 («E.O. 12333») (59) e a Presidential Policy Directive 28.

(69) A Presidential Policy Directive 28 («PPD-28»), emitida em 17 de janeiro de 2014, impõe várias limitações às operações de «informação de origem eletromagnética» (60). Esta PPD é vinculativa para os serviços de informações norte-americanos (61) e permanece em vigor após a alteração da administração dos EUA (62). A PPD-28 é de especial importância para os cidadãos de países terceiros, nomeadamente para os titulares de dados da UE. Entre outras coisas, estabelece que: a) a recolha de informação de origem eletromagnética deve basear-se numa lei ou autorização presidencial, e deve ser efetuada de acordo com a Constituição dos EUA (em especial a Quarta Emenda) e a legislação dos EUA; b) todas as pessoas devem ser tratadas com dignidade e respeito, independentemente da sua nacionalidade ou local de residência; c) todas as pessoas têm interesses legítimos à privacidade no tratamento das suas informações pessoais; d) a privacidade e as liberdades cívicas devem ser considerações tomadas em conta no planeamento das atividades de informação de origem eletromagnética dos EUA; e) As atividades de informação de origem eletromagnética devem, portanto, incluir garantias adequadas para as informações pessoais de todas as pessoas, independentemente da sua nacionalidade ou local de residência.

(70) A PPD-28 estabelece que as informações de origem eletromagnética podem ser recolhidas exclusivamente nos casos em que exista um objetivo de espionagem externa ou de contraespionagem ou para apoiar missões nacionais e departamentais e não para qualquer outro fim (por exemplo, para proporcionar uma vantagem concorrencial às empresas dos EUA). Relativamente a este aspeto, o ODNI explica que os serviços de informações «devem exigir que, sempre que possível, a recolha incida em objetivos ou temas de informação externa específicos através da utilização de discriminantes (por exemplo, mecanismos específicos, termos de seleção e identificadores)» (63). Além disso, as declarações fornecem garantias de que as decisões sobre a recolha de informações não são deixadas à discrição dos agentes dos serviços de informações, estando sujeitas às políticas e aos procedimentos que os vários serviços do setor das informações dos EUA são obrigados a adotar para aplicar a PPD-28 (64). Por conseguinte, a investigação e determinação de seletores adequados ocorre no âmbito do «National Intelligence Priorities Framework» (NIPF) (quadro das prioridades dos serviços de informações nacionais — NIPF) que assegura que as prioridades em termos de informações são definidas por decisores políticos de alto nível e regularmente reexaminadas para que continuem a responder às ameaças reais à segurança nacional, tendo em em consideração os possíveis riscos relacionados para a privacidade (65). Com base no que precede, o pessoal dos serviços de informações investiga e identifica termos de seleção específicos que devem recolher informações externas que dão resposta às prioridades (66). Os termos de seleção ou «seletores» devem ser regularmente reexaminados para determinar se ainda proporcionam informações valiosas em conformidade com as prioridades (67).

(71) Além disso, os requisitos estabelecidos na PPD-28 segundo os quais a recolha de informações deve ser sempre (68)«a mais adaptada possível», e o setor das informações deve dar prioridade à disponibilidade de outras informações e alternativas adequadas e viáveis (69) refletem uma regra geral do estabelecimento de prioridades de uma recolha seletiva em detrimento de uma recolha em larga escala. Segundo a declaração da ODNI, garantem, em especial, que a recolha em larga escala não é «em massa» nem «indiscriminada», e que a exceção não substitui a regra (70).

(72) Embora a PPD-28 explique que os elementos do setor das informações devem, por vezes recolher informação de origem eletromagnética em larga escala em determinadas circunstâncias, por exemplo, para identificar e avaliar ameaças novas ou emergentes, estabelece que esses elementos devem dar prioridade a alternativas que permitam a recolha de informação seletiva de origem eletromagnética (71). Daqui resulta que a recolha em larga escala só será autorizada quando a recolha seletiva através da utilização de discriminantes — isto é, identificadores associados a um objetivo específico (como o correio eletrónico ou o número do telefone do objetivo) — não possa realizar-se por motivos técnicos ou operacionais (72). O que precede é aplicável à forma de recolha da informação de origem eletromagnética e ao conteúdo que é efetivamente recolhido (72).

(73) Segundo as declarações da ODNI, mesmo quando os serviços de informações não puderem utilizar identificadores específicos para especificar a recolha, aqueles procurarão reduzir a recolha «tanto quanto possível». Para garantir isto, «aplicarão filtros e outras ferramentas técnicas para centrar a recolha nas instalações suscetíveis de conter comunicações com valor para as informações externas» (dando assim resposta a requisitos dos responsáveis políticos dos Estados Unidos no que diz respeito ao procedimento descrito no ponto 70). Como consequência deste facto, a recolha em larga escala centrar-se-á, pelo menos, de duas maneiras: em primeiro lugar, dirá sempre respeito a objetivos específicos de informações externas (por exemplo, adquirir informação de origem eletromagnética sobre as atividades de um grupo terrorista que opera numa determinada região) e centrar a recolha em comunicações que possuem esse nexo. Segundo a garantia dada pelo ODNI, tal reflete-se no facto de as atividades de informação de origem eletromagnética dos Estados Unidos se referirem apenas a uma fração das comunicações através da Internet (73). Em segundo lugar, as declarações do ODNI explicam que os filtros e outros instrumentos técnicos utilizados serão concebidos para centrará a recolha «da forma mais exata possível», a fim de garantir que a quantidade de «informação não pertinente» recolhida seja mínima.

(74) Por último, mesmo nos casos em que os Estados Unidos consideram necessário efetuar a recolha em grande escala de informação de origem eletromagnética, nas condições estabelecidas nos considerandos 70-73, a PPD-28 limita a utilização desta informação a uma lista específica de seis objetivos de segurança nacional com vista a proteger a privacidade e as liberdades cívicas de todas as pessoas, independentemente da sua nacionalidade ou local de residência (74). Estes objetivos admissíveis englobam medidas de deteção e combate a ameaças decorrentes de espionagem, terrorismo, armas de destruição maciça, ameaças à cibersegurança, para as forças armadas ou o pessoal militar, bem como ameaças criminosas transnacionais relacionadas com os restantes cinco objetivos e serão reexaminados, pelo menos, anualmente. De acordo com as declarações do governo dos EUA, os elementos do setor das informações reforçaram as suas normas e práticas analíticas para a consulta de informação de origem eletromagnética não avaliada a fim de cumprir estes requisitos; a utilização de consultas seletivas «assegura que apenas os elementos que se consideram deter um potencial valor informativo são apresentados aos analistas para efeitos de análise». (75)

(75) Estas limitações são de especial relevância para os dados pessoais transferidos ao abrigo do Escudo de Proteção da Privacidade, nomeadamente se a recolha de dados pessoais ocorrer fora dos Estados Unidos da América, designadamente durante o seu trânsito nos cabos transatlânticos da União para os Estados Unidos. Tal como confirmado pelas autoridades dos EUA nas declarações do ODNI, as limitações e garantias aí estabelecidas — designadamente as da PPD-28 — são aplicáveis a tal recolha (76).

(76) Embora não enunciados nesses termos jurídicos, estes princípios refletem a essência dos princípios de necessidade e proporcionalidade. É evidentemente atribuída prioridade à recolha seletiva, ao passo que a recolha em larga escala é limitada a situações (excecionais) nas quais a recolha seletiva não é possível por motivos técnicos ou operacionais. Mesmo nos casos em que não seja possível evitar a recolha em larga escala, a «utilização» posterior de tais dados através do acesso é estritamente limitada a objetivos de segurança nacional específicos e legítimos (77).

(77) Enquanto diretiva emitida pelo Presidente na qualidade de Chefe do Executivo, estes requisitos são vinculativos para todo o setor das informações e foram posteriormente aplicados através das normas e procedimentos dos serviços que transpõem os princípios gerais em orientações específicas para as operações quotidianas. Além disso, embora o Congresso em si não esteja vinculado pela PPD-28, também tomou medidas para garantir que a recolha e o acesso a dados pessoais nos Estados Unidos são seletivos e não executados «de forma generalizada».

(78) Decorre das informações disponíveis, nomeadamente das declarações recebidas do governo dos EUA, que após a transferência dos dados para organizações localizadas nos Estados Unidos e autocertificadas ao abrigo do Escudo de Proteção da Privacidade UE-EUA, os serviços de informações dos EUA só podem (78) solicitar dados pessoais nos casos em que o seu pedido respeite a Foreign Intelligence Surveillance Act (lei relativa à vigilância dos serviços de informações externas— FISA) ou seja efetuado pelo Federal Bureau of Investigation (FBI) (Gabinete Federal de Investigação) com base numa denominada National Security Letter (carta de segurança nacional — NSL) (79). Existem várias bases jurídicas ao abrigo da FISA que podem ser utilizadas para recolher (e subsequentemente tratar) os dados pessoais de titulares de dados da UE transferidos no âmbito do Escudo de Proteção da Privacidade UE-EUA. Para além da secção 104 da FISA (80) que abrange vigilância eletrónica individualizada tradicional e da secção 402 da FISA (81) e da instalação de dispositivos de registo de chamadas telefónicas e comunicações eletrónicas, os dois instrumentos centrais são a secção 501 da FISA (antiga secção 215 da U.S. PATRIOT ACT) e a secção 702 da FISA (82).

(79) A este respeito, a USA FREEDOM Act, adotada em 2 de junho de 2015, proíbe a recolha em larga escala de registos com base na secção 402 da FISA (autoridade em matéria de dispositivos de registo de chamadas telefónicas e comunicações eletrónicas), na secção 501 da FISA (antiga secção 215 da Patriot Act) (83) e através da utilização de NSL e, em vez disso, exige a utilização de «termos de seleção» específicos (84).

(80) Embora a FISA contenha autorizações jurídicas adicionais para a realização de atividades dos serviços de informações nacionais, incluindo informação de origem eletromagnética, a avaliação da Comissão demonstrou que, no que diz respeito aos dados pessoais a transferir ao abrigo do Escudo de Proteção da Privacidade UE-EUA, estas autoridades restringem igualmente a ingerência por parte das autoridades públicas à recolha e ao acesso seletivos.

(81) Tal é evidente no que se refere à vigilância eletrónica individualizada tradicional nos termos da secção 104 da FISA (85). Relativamente à secção 702 da FISA, que constitui a base de dois programas de informações importante geridos pelos serviços de informações dos EUA (PRISM, UPSTREAM), as investigações são realizadas de forma seletiva através da utilização de seletores individuais que identificam meios de comunicação específicos, tais como o endereço eletrónico ou o número de telefone da pessoa visada, mas não palavras-chave nem mesmo os nomes das pessoas em causa (86). Portanto, tal como referido pela Privacy and Civil Liberties Oversight Board (comissão de controlo da privacidade e das liberdades cívicas — PCLOB), a vigilância da secção 702 «consiste exclusivamente em visar cidadãos [de países terceiros] específicos sobre os quais foi feita uma determinação individualizada» (87). Devido a uma cláusula de «caducidade», será necessário rever a secção 702 da FISA em 2017, data em que a Comissão terá de reexaminar as garantias à disposição dos titulares de dados da UE.

(82) Além disso, nas suas declarações, o governo dos EUA apresentou garantias explícitas à Comissão Europeia de que o setor das informações dos EUA «não procede à vigilância indiscriminada de ninguém, nomeadamente de cidadãos europeus comuns» (88). No que diz respeito aos dados pessoais recolhidos nos EUA, esta declaração é apoiada por dados empíricos que demonstram que os pedidos de acesso através de NSL e nos termos da FISA, tanto a nível individual como em conjunto, dizem respeito a um número relativamente reduzido de alvos quando comparados com o fluxo global de dados na Internet (89).

(83) No que se refere ao acesso a dados recolhidos e à segurança dos dados, a PPD-28 exige que o acesso seja «limitado ao pessoal autorizado com necessidade de conhecer as informações para desempenhar a sua missão» e que as informações pessoais «devem ser tratadas e armazenadas em condições que proporcionem uma proteção adequada e impeçam o acesso de pessoas não autorizadas, em conformidade com as garantias aplicáveis às informações sensíveis». O pessoal dos serviços de informações recebe formação apropriada e adequada sobre os princípios estabelecidos na PPD-28 (90).

(84) Por último, no que se refere à conservação e posterior divulgação de dados pessoais de titulares de dados da UE recolhidos pelos serviços de informações dos EUA, a PPD-28 estabelece que todas as pessoas (incluindo cidadãos de países terceiros) devem ser tratadas com dignidade e respeito, que todas as pessoas têm interesses legítimos de privacidade no tratamento dos seus dados pessoais e que os elementos do setor das informações devem, portanto, criar políticas que proporcionem garantias adequadas para os referidos dados «razoavelmente concebidas para minimizar o [seu] risco de divulgação e preservação» (91).

(85) O governo dos EUA explicou que este requisito de razoabilidade significa que os elementos do setor das informações não terão de adotar «todas as medidas teoricamente possíveis», mas terão de «equilibrar os seus esforços para proteger os interesses legítimos em matéria de privacidade e liberdades cívicas com as necessidades práticas das atividades de informação de origem eletromagnética» (92). A este respeito, os cidadãos de países terceiros serão tratados do mesmo modo que os cidadãos dos EUA, com base nos procedimentos aprovados pelo Attorney General (93).

(86) De acordo com estas regras, em geral, a preservação limita-se a um período máximo de cinco anos, a menos que exista uma determinação específica na legislação ou uma determinação expressa efetuada pelo Director of National Intelligence após uma avaliação cuidadosa das preocupações em matéria de privacidade — tomando em consideração as opiniões do Civil Liberties Protection Officer (agente responsável pela proteção das liberdades cívicas) do ODNI, bem como dos funcionários responsáveis pela proteção da privacidade e das liberdades cívicas — de que a preservação continuada é do interesse da segurança nacional (94). A divulgação limita-se aos casos nos quais as informações são relevantes para o objetivo subjacente à recolha e, como tal, dão resposta a um pedido autorizado em matéria de aplicação da lei ou informações externas (95).

(87) De acordo com as garantias oferecidas pelo governo dos EUA, as informações pessoais não podem ser divulgadas exclusivamente porque o titular dos dados é um cidadão de um país terceiro e «a informação de origem eletromagnética sobre as atividades quotidianas de um estrangeiro não seria considerada informação externa passível de divulgação ou preservação permanente por força simplesmente desse facto, a menos que dê resposta de outro modo a um pedido autorizado em matéria de informações externas» (96).

(88) Tendo em conta tudo o que precede, a Comissão conclui que existem normas em vigor nos Estados Unidos destinadas a limitar qualquer ingerência para efeitos de segurança nacional nos direitos fundamentais das pessoas cujos dados pessoais são transferidos da União para os Estados Unidos ao abrigo do Escudo de Proteção da Privacidade UE-EUA ao estritamente necessário para a consecução do objetivo legítimo em questão.

(89) Tal como o mostrou a análise anterior, o direito americano garante que as medidas de vigilância servirão apenas para a obtenção de informações oriundas do estrangeiro, o que constitui um objetivo estratégico legítimo (97), e serão o mais possível adaptadas. Em especial, a recolha em larga escala só será autorizada a título excecional, quando não for viável uma recolha seletiva, sendo acompanhada de salvaguardas adicionais com vista a limitar ao máximo a quantidade de dados recolhidos e o posterior acesso (que deverá ser centrado e autorizado unicamente para fins específicos).

(90) Segundo a apreciação da Comissão, esta prática está conforme à norma fixada pelo Tribunal de Justiça no acórdão Schrems, segundo o qual uma legislação que envolva uma ingerência nos direitos fundamentais garantidos pelos artigos 7.o e 8.o da Carta deve impor «um mínimo de exigências» (98) e «não se limitar ao mínimo estritamente necessário quando autoriza, de forma generalizada, a conservação de todos os dados pessoais de todas as pessoas cujos dados foram transferidos da União Europeia para os Estados Unidos sem que fosse efetuada qualquer diferenciação, limitação ou exceção, tendo em conta os objetivos prosseguidos e sem que fosse previsto um critério objetivo que permita delimitar o acesso das autoridades públicas aos dados e respetiva utilização ulterior para fins específicos, estritamente restritos e suscetíveis de justificar a ingerência que comportam tanto o acesso como a utilização desses dados». (99) Não existirá recolha e armazenamento ilimitados de dados de todas as pessoas sem restrições nem acesso ilimitado. Além disso, as observações apresentadas à Comissão, incluindo a garantia de que as atividades de informação de origem eletromagnética dos EUA dizem respeito apenas a uma pequena parte das comunicações que transitam pela Internet, excluem que se possa aceder «numa base generalizada» (100) ao conteúdo das comunicações eletrónicas.

3.1.2. Proteção jurídica efetiva

(91) A Comissão avaliou tanto os mecanismos de supervisão existentes nos Estados Unidos no que se refere a qualquer ingerência pelos serviços de informações dos EUA nos dados pessoais transferidos para os EUA como as vias de recurso individuais acessíveis aos titulares de dados da UE.

Supervisão

(92) O conjunto da comunidade dos serviços de informações dos Estados Unidos está sujeito a diversos mecanismos de controlo e de supervisão que são abrangidos pelas três vertentes do Estado. Trata-se nomeadamente de órgãos internos e externos na vertente executiva, de um certo número de comissões do Congresso, bem como entidades responsáveis pela supervisão judiciária que incide especificamente nas atividades realizadas no quadro da Foreign Intelligence Surveillance Act.

(93) Em primeiro lugar, as atividades de informações levadas a cabo pelas autoridades dos EUA são objeto de ampla supervisão por parte do poder executivo.

(94) Segundo a PPD-28, secção 4(a)(iv), as políticas e os procedimentos dos elementos do setor das informações «devem incluir medidas adequadas para facilitar a supervisão da implementação de garantias que protejam as informações pessoais»; estas medidas devem incluir auditorias periódicas (101).

(95) Foram instaurados vários níveis de supervisão a este respeito, nomeadamente os agentes responsáveis pela proteção das liberdades cívicas ou da privacidade, os inspetores-gerais, o Civil Liberties and Privacy Office (gabinete responsável pela proteção da privacidade e das liberdades cívicas) do ODNI, a PCLOB e a Intelligence Oversight Board (comissão de supervisão dos serviços de informações) do Presidente. Estas funções de supervisão são apoiadas pelo pessoal responsável pela conformidade em todos os serviços (102).

(96) Tal como explicado pelo governo dos EUA (103), os agentes responsáveis pelas liberdades cívicas ou a privacidade com responsabilidade de supervisão existem em vários departamentos com responsabilidades em matéria de informações e serviços de informações (104). Embora os poderes específicos destes agentes possam variar um pouco em função do estatuto de autorização, normalmente englobam a supervisão dos procedimentos a fim de assegurar que o respetivo departamento/organismo tem em devida consideração a proteção da privacidade e das liberdades cívicas e instaurou procedimentos adequados para a resolução de queixas de pessoas que consideram que a sua privacidade ou liberdades cívicas foram violadas (e, em alguns casos, como o ODNI, podem ter competência para investigar queixas (105)). O chefe do departamento/organismo, por sua vez, deve assegurar que o agente recebe todas as informações e tem acesso a todos os materiais necessários ao desempenho das suas funções. Os agentes responsáveis pela proteção da privacidade e das liberdades cívicas comunicam periodicamente ao Congresso e à PCLOB, designadamente sobre o número e a natureza das queixas recebidas pelo departamento/organismo, bem como um resumo de tais queixas, as análises efetuadas e as questões colocadas e o impacto das atividades levadas a cabo pelo agente (106). Segundo a avaliação das autoridades nacionais de proteção dos dados, o controlo interno exercido pelos agentes responsáveis pela proteção da privacidade e das liberdades cívicas pode ser considerado «bastante sólido», mesmo que na sua opinião esses agentes não beneficiem do grau de independência exigido (107).

(97) Além disso, cada elemento do setor das informações dispõe do seu próprio inspetor-geral que, entre outras funções, é responsável pela supervisão das atividades de informações externas (108). Isto inclui, no âmbito do ODNI, um Office of the Inspector General (gabinete do inspetor-geral) com competência abrangente sobre todo o setor das informações e autorizado a investigar queixas ou informações respeitantes a alegações de conduta ilegal ou abuso de autoridade relacionadas com o ODNI e/ou programas e atividades do setor das informações (109). Os inspetores-gerais são unidades juridicamente independentes (110) responsáveis pela realização de auditorias e investigações relacionadas com os programas e operações levados a cabo pelo respetivo serviço para efeitos de segurança nacional, nomeadamente por abuso ou violação da lei (111). Estão autorizados a aceder a todos os registos, relatórios, auditorias, revisões, documentos, recomendações ou outros materiais relevantes, através de intimações, se necessário, e podem recolher depoimentos (112). Embora os inspetores-gerais apenas possam emitir recomendações não vinculativas sobre medidas corretivas, os seus relatórios, nomeadamente sobre ações de acompanhamento (ou a sua inexistência) são publicados e, além disso, transmitidos ao Congresso que pode, com base neles, exercer a sua função de supervisão (113).

(98) Além disso, são atribuídas à Privacy and Civil Liberties Oversight Board, um órgão independente (114) dentro do poder executivo constituído por um conselho bipartidário de cinco membros (115) nomeados pelo Presidente para um mandato de seis anos e aprovados pelo Senado, responsabilidades no domínio das políticas de luta contra o terrorismo e da respetiva aplicação, com vista à proteção da privacidade e das liberdades cívicas. No quadro da sua análise da ação do setor das informações, pode aceder a todos os registos, relatórios, auditorias, análises, documentos e recomendações dos serviços de informações, nomeadamente informações classificadas, realizar entrevistas e recolher depoimentos. Recebe relatórios dos agentes responsáveis pela proteção da privacidade e das liberdades cívicas de vários departamentos/serviços federais (116), pode emitir recomendações e comunica regularmente aos comités do Congresso e ao Presidente (117). A PCLOB é igualmente responsável, dentro dos limites do seu mandato, pela preparação de um relatório de avaliação da aplicação da PPD-28.

(99) Por último, os mecanismos de supervisão supracitados são complementados pela Intelligence Oversight Board criada no âmbito do Intelligence Advisory Board do Presidente que supervisiona a conformidade dos serviços de informações dos EUA com a Constituição e todas as normas aplicáveis.

(100) Para facilitar a supervisão, os elementos do setor das informações são incentivados a conceber sistemas de informações que permitam o controlo, o registo e a análise das consultas ou outras pesquisas de informações pessoais (118). Os organismos de supervisão e conformidade verificarão periodicamente as práticas dos elementos do setor das informações para proteger as informações pessoais constantes da informação de origem eletromagnética e a sua conformidade com estes procedimentos (119).

(101) Além disso, estas funções de supervisão são apoiadas por amplos requisitos de comunicação no que diz respeito ao incumprimento. Em especial, os procedimentos dos serviços devem garantir que, sempre que se verifique um problema de conformidade grave que implique as informações pessoais de qualquer pessoa, independentemente da sua nacionalidade, recolhidas através de informação de origem eletromagnética, esse problema deve ser imediatamente comunicado ao chefe do elemento do setor das informações que, nos termos da PPD-28, deve determinar se são necessárias medidas corretivas (120). Além disso, de acordo com o Decreto Executivo n.o 12333, todos os elementos do setor das informações são obrigados a comunicar as situações de incumprimento à Intelligence Oversight Board (121). Estes mecanismos asseguram que o problema será resolvido no nível mais elevado do setor das informações. Sempre que diga respeito a um cidadão de um país terceiro, o Director of National Intelligence, em consulta com o Secretary of State e o chefe do departamento ou serviço que efetua a notificação, deve determinar se devem ser tomadas medidas para notificar o governo estrangeiro em questão, em consonância com a proteção das fontes, dos métodos e dos funcionários dos EUA (122).

(102) Em segundo lugar, para além destes mecanismos de supervisão no poder executivo, o Congresso dos EUA, especificamente os House and Senate Intelligence and Judiciary Committees, tem responsabilidades de supervisão no que se refere a todas as atividades de informações externas dos EUA, designadamente a informação de origem eletromagnética. De acordo com a National Security Act (lei relativa à segurança nacional), «[o] Presidente deve garantir que os comités de informações do Congresso são mantidos plenamente informados e atualizados sobre as atividades de informações dos Estados Unidos, nomeadamente sobre qualquer atividade de informação prevista significativa, tal como exigido pelo presente subcapítulo» (123). Além disso, «[o] Presidente deve assegurar que todas as atividades de informações ilegais são imediatamente comunicadas aos comités de informações do Congresso, a par de todas as medidas corretivas tomadas ou previstas em relação a tal atividade ilegal» (124). Os membros destes comités têm acesso a informações classificadas, bem como a métodos e programas de informações (125).

(103) Legislação posterior alargou e aperfeiçoou os requisitos de comunicação, tanto relativamente aos elementos do setor das informações, como aos inspetores-gerais e ao Attorney General. Por exemplo, a FISA exige que o Attorney General«informe na íntegra» o Senado e os House Intelligence and Judiciary Committees relativamente às atividades do governo nos termos de determinadas secções da FISA (126). Exige ainda que o governo apresente aos comités do Congresso cópias de «todas as decisões, decretos ou pareceres do Foreign Intelligence Surveillance Court ou do Foreign Intelligence Surveillance Court of Review que incluam construção ou interpretação significativas» das disposições da FISA. Nomeadamente, no que se refere à vigilância nos termos da secção 702 da FISA, a supervisão é exercida através de relatórios exigidos por lei apresentados aos Intelligence and Judiciary Committees, bem como de esclarecimentos e audições frequentes. Estes incluem um relatório semestral apresentado pelo Attorney General que descreve a utilização da secção 702 da FISA, com documentos de apoio que incluem, nomeadamente os relatórios de conformidade do Department of Justice e do ODNI, bem como uma descrição de todas as situações de incumprimento (127), e uma avaliação semestral distinta efetuada pelo Attorney General e o DNI que documenta a conformidade com os procedimentos de orientação e minimização que visam garantir que a recolha é efetuada para atingir um objetivo válido em termos de informações externas (128). O Congresso também recebe relatórios elaborados pelos inspetores-gerais que estão autorizados a avaliar a conformidade dos serviços com os procedimentos de orientação e minimização, bem como com as orientações do Attorney General.

(104) De acordo com a Freedom Act de 2015, o governo dos EUA deve divulgar anualmente ao Congresso (e ao público) o número de decisões e diretivas solicitadas e recebidas ao abrigo da FISA, bem como as estimativas do número de cidadãos norte-americanos e de países terceiros que são alvo de vigilância, entre outros (129). A referida lei exige igualmente a comunicação pública adicional do número de NSL emitidas, novamente no que diz respeito aos cidadãos norte-americanos e de países terceiros (permitindo ao mesmo tempo que os destinatários de decisões e certificações nos termos da FISA, bem como de pedidos NSL, emitam relatórios de transparência em determinadas condições) (130).

(105) Em terceiro lugar, as atividades de informações levadas a cabo pelas autoridades públicas dos EUA com base na FISA permitem a reapreciação, e, em alguns casos, a autorização prévia das medidas pelo Tribunal da FISA (FISC) (131), um tribunal independente (132) cujas decisões podem ser impugnadas perante o Foreign Intelligence Court of Review (FISCR) (133) e, em última instância, o Supremo Tribunal dos Estados Unidos (134). Em caso de autorização prévia, as autoridades requerentes (FBI, NSA, CIA, etc.) terão de apresentar um projeto de pedido aos advogados do National Security Department do Department of Justice que analisarão e, se necessário, solicitarão informações adicionais (135). Após a finalização do pedido, este terá de ser aprovado pelo Attorney General, Deputy Attorney General ou pelo Assistant Attorney General for National Security (136). Subsequentemente, o Department of Justice apresentará o pedido ao FISC, que avaliará o pedido e emitirá uma determinação preliminar sobre a forma de proceder (137). Sempre que ocorra uma audição, o FISC tem autoridade para recolher depoimentos que podem incluir pareceres de peritos (138).

(106) O FISC (e o FISCR) são apoiados por um grupo permanente de cinco peritos em questões de segurança nacional, bem como em liberdades cívicas (139). A partir deste grupo, o tribunal deve nomear uma pessoa para intervir na qualidade de amicus curiae, a fim de assistir na análise de qualquer pedido de decisão ou reapreciação que, na opinião do tribunal, apresente uma interpretação nova ou significativa do direito, a menos que o tribunal considere que tal nomeação não é adequada (140). Em especial, tal deve garantir que as considerações em matéria de proteção da privacidade são tidas em devida conta na avaliação do tribunal. O tribunal também pode nomear uma pessoa ou organização para intervir na qualidade de amicus curiae, fornecendo, nomeadamente, competências técnicas, sempre que considere necessário ou, mediante pedido, autorizar uma pessoa ou organização a apresentar informações a título de amicus curiae (141).

(107) No que se refere às duas autorizações judiciais de vigilância nos termos da FISA que são mais importantes para as transferências de dados ao abrigo do Escudo de Proteção da Privacidade UE-EUA, a supervisão pelo FISC difere.

(108) Nos termos da secção 501 da FISA (142), que permite a recolha de «todas as coisas tangíveis (nomeadamente livros, registos, documentos e outros elementos)», o pedido apresentado junto do FISC deve conter uma declaração dos factos que demonstre que existem motivos razoáveis para considerar que as coisas tangíveis solicitadas são relevantes para uma investigação autorizada (que não uma avaliação das ameaças) realizada para obter informações no estrangeiro não relacionadas com um cidadão norte-americano ou para efeitos de proteção contra o terrorismo internacional ou atividades de informações clandestinas. Além disso, o pedido deve conter uma enumeração dos procedimentos de minimização adotados pelo Attorney General para a preservação e divulgação das informações recolhidas (143).

(109) Pelo contrário, nos termos da secção 702 da FISA (144), o FISC não autoriza medidas de vigilância individuais; em vez disso, autoriza programas de vigilância (tais como o PRISM e o UPSTREAM) com base em certificações anuais elaboradas pelo Attorney General e o Director of National Intelligence. A secção 702 da FISA permite que se visem pessoas que se acredite estarem localizadas fora dos Estados Unidos a fim de obter informações no estrangeiro (145). Esta seleção da pessoa visada é realizada pela NSA em duas fases: em primeiro lugar, os analistas da NSA identificaram os cidadãos de países terceiros localizados no estrangeiro cuja vigilância conduzirá, com base na avaliação do analista, às informações externas relevantes especificadas na certificação. Em segundo lugar, após a identificação destas pessoas e a sua aprovação como objetivos por um amplo mecanismo de análise no âmbito da NSA (146), são designados (ou seja, desenvolvidos e aplicados) os seletores que identificam os meios de comunicação (como o endereço de correio eletrónico) utilizados pelas pessoas visadas (147). Tal como indicado, as certificações a aprovar pelo FISC não contêm informações sobre as pessoas visadas, mas sim categorias de identificação das informações no estrangeiro (148). Embora o FISC não avalie — com base numa causa provável ou em qualquer outra norma — se as pessoas são adequadamente visadas para efeitos de obtenção de informações externas (149), o seu controlo alarga-se à condição de que «um objetivo significativo da recolha consiste na obtenção de informações no estrangeiro» (150). Com efeito, nos termos da secção 702 do FISA, a NSA pode recolher comunicações de cidadãos de países terceiros fora dos EUA apenas se for possível considerar razoavelmente que um determinado meio de comunicação está a ser utilizado para comunicar informações no estrangeiro (por exemplo, relacionadas com terrorismo internacional, proliferação nuclear ou atividades cibernéticas hostis). As determinações para este efeito são objeto de controlo jurisdicional (151). As certificações também necessitam de prever procedimentos de orientação e minimização (152). O Attorney General e o Director of National Intelligence verificam a conformidade e os serviços são obrigados a comunicar todas as situações de incumprimento ao FISC (153) (bem como ao Congresso e à Intelligence Oversight Board do Presidente), que, com base no que precede, pode alterar a autorização (154).

(110) Além disso, a fim de aumentar a eficiência da supervisão pelo FISC, a administração dos EUA concordou em implementar uma recomendação apresentada pela PCLOB com o objetivo de fornecer ao FISC documentação relativa às decisões sobre a seleção de alvos nos termos da secção 702, designadamente uma amostra aleatória de formulários de atribuição de missões, para permitir ao FISC avaliar de que modo o requisito para efeitos de informações externas é cumprido na prática (155). Ao mesmo tempo, a administração dos EUA aceitou e tomou medidas para rever os procedimentos de seleção de alvos da NSA para documentar melhor os motivos para a recolha de informações externas apresentados nas decisões relativas à seleção de alvos (156).

Reparação individual

(111) Existem várias vias acessíveis nos termos da legislação dos EUA aos titulares de dados da UE caso estes tenham preocupações relativamente à possibilidade de os seus dados pessoais terem sido tratados (recolhidos, avaliados, etc.) por elementos do setor das informações dos EUA, e em caso positivo, se as limitações aplicáveis na legislação dos EUA foram cumpridas. Essencialmente estas dizem respeito a três domínios: ingerência nos termos da FISA; acesso ilegal e intencional aos dados pessoais por parte de funcionários do governo; e acesso à informação nos termos da Freedom of Information Act (lei relativa à liberdade de informação — FOIA) (157).

(112) Em primeiro lugar, a Foreign Intelligence Surveillance Act prevê várias vias de recurso acessíveis igualmente a cidadãos de países terceiros, a fim de contestar a vigilância eletrónica ilegal (158). O que precede inclui a possibilidade de as pessoas instaurarem uma ação civil de indemnização contra os Estados Unidos sempre que as informações sobre si tenham sido ilegal e intencionalmente utilizadas ou divulgadas (159); instaurarem uma ação de indemnização contra funcionários do governo dos EUA na sua capacidade pessoal («no aparente cumprimento da lei») (160); e contestarem a legalidade da vigilância (e solicitarem a supressão das informações) caso o governo dos EUA tencione utilizar ou divulgar quaisquer informações obtidas ou decorrentes de vigilância eletrónica contra a pessoa em processos judiciais ou administrativos nos Estados Unidos (161).

(113) Em segundo lugar, o governo dos EUA remeteu a Comissão para várias vias de recurso adicionais que os titulares de dados da UE podem utilizar para efeitos de recurso contra funcionários do governo em virtude do acesso, ou da utilização, ilegal por parte do governo, de dados pessoais, nomeadamente para alegados efeitos de segurança nacional (isto é, a Computer Fraud and Abuse Act (162); a Electronic Communications Privacy Act (163); e a Right to Financial Privacy Act (164)). Todas estas ações são referentes a dados, alvos e/ou tipos de acesso específicos (por exemplo, acesso remoto a um computador através da Internet) e encontram-se disponíveis em determinadas condições (por exemplo, conduta intencional/deliberada, conduta fora da capacidade oficial, danos sofridos) (165). Uma possibilidade mais geral de recurso está prevista na Administrative Procedure Act (5 U.S.C. § 702), segundo a qual «qualquer pessoa que sofra um prejuízo resultante de uma decisão de uma agência ou que é afetada ou lesada pela decisão de uma agência», pode interpor um recurso judicial. Tal inclui a possibilidade de solicitar ao tribunal «que declare ilegais e anule a atuação, os resultados e as conclusões da agência, que se venham a verificar […] arbitrários, caprichosos, um abuso de poder, ou de outro modo não conformes ao direito» (166).

(114) Por último, o governo dos EUA salientou a FOIA como um meio para os cidadãos de países terceiros solicitarem o acesso a documentação existente dos serviços federais, nomeadamente nos casos em que esta contenha os dados pessoais do respetivo titular (167). Devido à sua incidência, a FOIA não prevê uma via de recurso individual contra a ingerência nos dados pessoais como tal, embora possa, em princípio, permitir que as pessoas obtenham acesso a informações relevantes conservadas por serviços de informações nacionais. Mesmo a este respeito, as possibilidades parecem ser limitadas, uma vez que os serviços podem reter informações abrangidas por determinadas exceções enumeradas, nomeadamente o acesso a informações de segurança nacional classificadas e informações relativas a investigações relacionadas com a aplicação da lei (168). Tomando em consideração o que precede, a utilização de tais exceções pelos serviços de informações nacionais pode ser contestada pelas pessoas, que podem solicitar o controlo jurisdicional e administrativo.

(115) Embora as pessoas, incluindo os titulares de dados da UE, disponham de várias vias de recurso se tiverem sido objeto de vigilância (eletrónica) ilegal para efeitos de segurança nacional, é igualmente evidente que pelo menos algumas bases jurídicas que os serviços de informações dos EUA podem utilizar (por exemplo E.O. 12333) não são abrangidas. Além disso, mesmo nos casos em que, em princípio, existem possibilidades de recurso judicial para cidadãos de países terceiros, como no que diz respeito à vigilância ao abrigo da FISA, as causas de ação disponíveis são limitadas (169) e as ações apresentadas por pessoas singulares (incluindo cidadãos dos EUA) serão declaradas inadmissíveis se não conseguirem demonstrar «legitimidade» (170), o que limita o acesso aos tribunais comuns (171).

(116) A fim de proporcionar uma via de recurso adicional acessível a todos os titulares de dados da UE, o governo dos EUA decidiu criar um novo mecanismo de mediação, tal como estabelecido na carta do U.S. Secretary of State à Comissão, que consta do anexo III da presente decisão. Este mecanismo baseia-se na nomeação, nos termos da PPD-28, de um coordenador superior (ao nível de Under-Secretary) no State Department como ponto de contacto junto do qual os governos estrangeiros podem expressar preocupações sobre as atividades de informação de origem eletromagnética dos EUA, mas vai significativamente além deste conceito inicial.

(117) Em especial, de acordo com os compromissos do governo dos EUA, o mecanismo de mediação assegurará que as queixas individuais são investigadas e abordadas de forma adequada e que as pessoas recebem uma confirmação independente de que as leis dos EUA foram cumpridas ou, no caso de uma violação dessas leis, que o incumprimento foi corrigido (172). O mecanismo inclui «o Mediador para o Escudo de Proteção da Privacidade», ou seja, o Under-Secretary e outro pessoal, assim como outros órgãos de supervisão competentes para controlar os diversos elementos dos serviços de informação em cuja cooperação o Mediador para o Escudo de Proteção da Privacidade se baseará para tratar das queixas. Em especial, quando o pedido de uma pessoa se refira à compatibilidade da vigilância com a legislação americana, o Mediador para o Escudo de Proteção da Privacidade poderá confiar em organismos de supervisão independentes com competências de investigação (como os inspetores-gerais e a PCLOB). Em cada caso, o Secretary of State garantirá que o Mediador disporá dos meios para assegurar que a sua resposta aos pedidos individuais se baseie em todas as informações necessárias.

(118) Através desta «estrutura composta», o mecanismo de mediação garante uma supervisão independente e um recurso individual. Além disso, a cooperação com outros organismos de supervisão assegura o acesso aos conhecimentos especializados necessários. Por último, ao impor ao Mediador para o Escudo de Proteção da Privacidade a obrigação de confirmar o cumprimento ou a correção de um incumprimento, o mecanismo reflete um compromisso do governo dos EUA no seu conjunto de tratar e resolver as queixas apresentadas por cidadãos da UE.

(119) Em primeiro lugar, ao contrário de um mecanismo exclusivamente intragovernamental, o Mediador para o Escudo de Proteção da Privacidade receberá e responderá a queixas individuais. Tais queixas podem ser dirigidas às autoridades de supervisão dos Estados-Membros competentes em matéria de supervisão dos serviços de segurança nacional e/ou do tratamento dos dados pessoais pelas autoridades públicas, que as apresentarão a um organismo centralizado a nível da UE, que as enviará ao Mediador para o Escudo de Proteção da Privacidade (173). Com efeito, tal beneficiará os cidadãos da UE, que podem recorrer a uma autoridade nacional «perto de casa» e na própria língua. A função de tal autoridade consistirá em apoiar o cidadão na apresentação de um pedido junto do Mediador para o Escudo de Proteção da Privacidade que contém as informações de base podendo, assim, ser considerado «completo». A pessoa não tem de demonstrar que o governo dos EUA acedeu, de facto, aos seus dados pessoais através de atividades de informação de origem eletromagnética.

(120) Em segundo lugar, o governo americano compromete-se a garantir que, no exercício das suas funções, o Mediador para o Escudo de Proteção da Privacidade poderá apoiar-se na cooperação de outros mecanismos de verificação do cumprimento e de supervisão previstos no direito dos EUA. Tal implicará por vezes os serviços de informações nacionais, em especial se o pedido tiver de ser interpretado como um pedido de acesso a documentos relacionados com a Freedom of Information Act. Noutros casos, em especial quando os pedidos dizem respeito à compatibilidade da vigilância com a legislação dos EUA, tal cooperação implicará organismos de supervisão independentes (por exemplo, inspetores-gerais) com a responsabilidade e poder para realizar uma investigação aprofundada (em especial através do acesso a todos os documentos pertinentes e competência para solicitar informações e declarações) e abordar casos de incumprimento (174). Além disso, o Mediador para o Escudo de Proteção da Privacidade terá a capacidade de submeter questões à PCLOB para análise (175). Nos casos em que um destes organismos de supervisão tenha detetado qualquer incumprimento, os serviços de informação em questão (por exemplo, uma agência de informações) terá de corrigir o incumprimento, uma vez que apenas deste modo o Mediador poderá garantir uma resposta «positiva» à pessoa (ou seja, que se corrigiu o incumprimento), em relação ao qual o governo americano se comprometeu. Por outro lado, no quadro da cooperação, o Mediador para o Escu