1.TERCEIRA REAPRECIAÇÃO ANUAL - ANTECEDENTES, PREPARAÇÃO E PROCESSO

Em 12 de julho de 2016, a Comissão adotou uma decisão («decisão de adequação») na qual considerou que o Escudo de Proteção da Privacidade UE-EUA assegura um nível de proteção adequado dos dados pessoais transferidos da UE para organizações estabelecidas nos Estados Unidos. Da decisão de adequação decorre, nomeadamente, que a Comissão procede a uma análise anual para apreciar todos os aspetos do funcionamento do quadro e, com base na mesma, elabora um relatório público a apresentar ao Parlamento Europeu e ao Conselho.

A primeira análise anual teve lugar em setembro de 2017, em Washington, D.C., e, em outubro de 2017, a Comissão adotou o seu relatório ao Parlamento Europeu e ao Conselho, que é acompanhado de um documento de trabalho dos seus serviços [SWD(2017)344 final]. A Comissão concluiu que os Estados Unidos continuavam a assegurar um nível adequado de proteção dos dados pessoais transferidos da União para os EUA, ao abrigo do Escudo de Proteção da Privacidade mas formulou dez recomendações para se melhorar a aplicação prática do quadro.

A segunda reapreciação anual teve lugar em outubro de 2018, em Bruxelas, e, em dezembro de 2018, a Comissão adotou o seu relatório ao Parlamento Europeu e ao Conselho, que é acompanhado de um documento de trabalho dos seus serviços [SWD(2018)487 final]. As informações reunidas no contexto da segunda reapreciação anual confirmaram as conclusões da Comissão constantes da decisão de adequação, tanto no que diz respeito aos «aspetos comerciais» do quadro (ou seja, aspetos relativos ao cumprimento dos requisitos do Escudo de Proteção da Privacidade pelas empresas certificadas, assim como à administração, supervisão e aplicação desses requisitos pelas autoridades competentes dos EUA), como no que se refere ao acesso das autoridades públicas aos dados pessoais transferidos ao abrigo do Escudo de Proteção da Privacidade.

As medidas tomadas para aplicar as recomendações da Comissão, na sequência da primeira análise anual, em particular, tinham melhorado vários aspetos do funcionamento do quadro na prática. Por exemplo, o Department of Commerce tinha introduzido novos mecanismos para detetar potenciais problemas de conformidade, a Federal Trade Commission tinha adotado uma atitude mais proativa no que respeita à fiscalização do cumprimento dos requisitos de conformidade e às medidas de aplicação coerciva, e tinha sido tornado público o relatório da Privacy and Civil Liberties Oversight Board sobre a implementação da Presidential Policy Directive 28 . Todavia, dado que algumas destas medidas tinham sido tomadas imediatamente antes da segunda reapreciação anual e que alguns processos ainda estavam em curso, a Comissão concluiu que a evolução destes processos e mecanismos devia ser acompanhada de perto.

Além disso, embora a função de Provedor do Escudo de Proteção da Privacidade tenha sido desempenhada pelo subsecretário de Estado e o correspondente mecanismo estivesse, por conseguinte, plenamente operacional, a Comissão sublinhou a importância de o cargo de Provedor do Escudo de Proteção da Privacidade ser ocupado a título permanente e instou o Governo dos EUA a identificar um candidato para esse cargo antes de 28 de fevereiro de 2019.

A reunião relativa à terceira reapreciação anual teve lugar em Washington, DC, em 12 e 13 de setembro de 2019. A reunião foi aberta pela diretora-geral da Justiça e dos Consumidores, Tiina Astola, pelo secretário de Comércio dos EUA, Wilbur Ross, pelo presidente da Comissão Federal do Comércio, Joseph Simons, e pelo vice-presidente do Comité Europeu para a Proteção de Dados, Ventsislav Karadjov. Pela UE, participaram na reunião representantes da Direção-Geral da Justiça e dos Consumidores da Comissão Europeia. Participaram igualmente nesta reunião oito representantes designados pelo Comité Europeu para a Proteção de Dados.

Do lado dos EUA, tomaram parte na reapreciação representantes do Department of Commerce, do Department of State, da Federal Trade Commission, do Department of Transportation, do Office of the Diretor of National Intelligence, do Department of Justice e membros da Privacy and Civil Liberties Oversight Board, bem como o Provedor de Justiça recém-nomeado (sobre a nomeação a título permanente, ver abaixo) e o Inspetor-Geral da Intelligence Community. Além disso, durante as pertinentes sessões de análise, prestaram informações representantes de duas organizações que prestam serviços independentes de resolução de litígios no âmbito do Escudo de Proteção da Privacidade e da Associação Americana de Arbitragem, que administra o painel de arbitragem do Escudo de Proteção da Privacidade. Por último, foram também tidas em conta na reapreciação anual as apresentações de organizações certificadas pelo Escudo de Proteção da Privacidade sobre as medidas tomadas pelas empresas para cumprirem os requisitos do quadro.

Em preparação da terceira reapreciação anual, a Comissão tinha recolhido informações junto das partes interessadas (em especial as empresas certificadas pelo Escudo de Proteção da Privacidade, através das respetivas associações comerciais e organizações não governamentais ativas no domínio dos direitos fundamentais, em particular os direitos digitais e a privacidade). Para além da recolha de contributos escritos, a Comissão reuniu-se com associações industriais e empresariais, em 9 de setembro de 2019, e com organizações não governamentais, em 11 de setembro de 2019.

As conclusões da Comissão apoiaram-se ainda em material disponível ao público, tais como decisões judiciais, normas de execução e procedimentos das autoridades competentes dos EUA, relatórios e estudos de organizações não governamentais, relatórios de transparência emitidos por empresas certificadas pelo Escudo de Proteção da Privacidade, relatórios anuais dos mecanismos de recurso independentes, bem como notícias dos meios de comunicação social.

O presente relatório conclui a terceira reapreciação anual do funcionamento do Escudo de Proteção da Privacidade. Este relatório, bem como o documento de trabalho dos serviços da Comissão [SWD(2019)390 final], seguem a mesma estrutura dos documentos sobre as duas reapreciações precedentes. O relatório abrange todos os aspetos do funcionamento do Escudo de Proteção da Privacidade, com especial destaque para os elementos que a Comissão identificou na segunda reapreciação anual como necessitando de ser acompanhados de perto.

Na sua apreciação, a Comissão teve igualmente em conta a evolução verificada durante o último ano, incluindo os litígios relativos ao Escudo de Proteção da Privacidade que se encontram pendentes no Tribunal de Justiça da União Europeia. A este respeito, a reapreciação constituiu uma oportunidade para a Comissão obter das autoridades esclarecimentos dos EUA sobre determinados aspetos específicos do quadro jurídico deste país que rege a recolha de informações estrangeiras, que foram suscitados no contexto do «processo Schrems II». Não obstante, depois de o Tribunal se pronunciar sobre os processos pendentes, a Comissão pode ter de reapreciar a situação.

2.VERIFICAÇÕES

No seu terceiro ano de funcionamento, o Escudo de Proteção da Privacidade, que, à data da reunião de reapreciação anual, tinha mais de 5 000 empresas participantes, passou da fase inicial para uma fase mais operacional. Abrangendo tanto aspetos comerciais como questões relacionadas com o acesso do governo aos dados pessoais, a terceira reapreciação anual centrou-se na experiência e nos ensinamentos retirados da aplicação prática do quadro.

As verificações pormenorizadas sobre o funcionamento do Escudo de Proteção da Privacidade após três anos de operacionalidade são apresentadas no documento de trabalho dos serviços da Comissão sobre a terceira reapreciação anual do funcionamento do Escudo de Proteção da Privacidade UE-EUA [SWD(2019)390 final], que acompanha o presente relatório.

2.1.Aspetos comerciais

Atendendo às conclusões da reapreciação anual do ano passado, a apreciação dos aspetos comerciais levada a cabo pela Comissão centrou-se, nomeadamente, nos progressos realizados pelo Department of Commerce i) no processo de recertificação, ii) na eficácia dos mecanismos introduzidos pelo Department of Commerce para controlar proativamente o cumprimento dos requisitos pelas empresas certificadas («fiscalização inesperada»), iii) nos instrumentos introduzidos para detetar alegações falsas, iv) nos progressos e nos resultados das medidas coercivas da Federal Trade Commission contra as violações do Escudo de Proteção da Privacidade e v) na evolução das orientações em matéria de dados relativos aos recursos humanos.

No que diz respeito ao processo de recertificação, verificou-se na terceira reapreciação anual que, como prática corrente, no final do período de (re)certificação, se uma empresa ainda não tiver concluído o processo de recertificação, o Department of Commerce, na sequência de um procedimento interno, concede à empresa um «período de tolerância» de duração significativa. Durante este período (cerca de três meses e meio, ou, em alguns casos e consoante o momento em que o Department of Commerce deteta que o processo de recertificação não foi concluído, um período mais longo), a empresa permanece na lista «ativa» do Escudo de Proteção da Privacidade. Enquanto a empresa constar da lista como participante no Escudo de Proteção da Privacidade, os deveres decorrentes do quadro permanecem vinculativos e aplicáveis coercivamente na íntegra. Contudo, tão longo período, em que a empresa continua a constar da lista como participante ativa no Escudo de Proteção da Privacidade apesar de o prazo para a recertificação da empresa ter terminado, reduz a transparência e a legibilidade da lista do Escudo de Proteção da Privacidade, tanto para as empresas como para as pessoas singulares na UE. Tão-pouco incentiva as empresas participantes a cumprirem rigorosamente o requisito de renovação anual da certificação.

No que diz respeito aos controlos proativos do cumprimento dos requisitos do Escudo de Proteção da Privacidade pelas empresas, o Department of Commerce introduziu, em abril de 2019, um sistema pelo qual controla mensalmente 30 empresas. A Comissão congratula-se com o facto de o Department of Commerce efetuar, regular e sistematicamente, controlos proativos da conformidade, o que é muito importante para se melhorar a conformidade geral com o quadro e para se detetarem casos que exijam medidas coercivas da Federal Trade Commission. Contudo, observa que estes controlos tendem a limitar-se a requisitos formais, tais como a falta de resposta de pontos de contacto designados ou a inacessibilidade em linha da política de privacidade de uma empresa. Embora estes sejam, sem dúvida, aspetos relevantes do cumprimento dos requisitos do Escudo de Proteção da Privacidade, tais controlos devem abranger também deveres substantivos; por exemplo, o cumprimento do princípio de responsabilização por transferências ulteriores, recorrendo plenamente aos instrumentos com que o Department of Commerce pode contar no âmbito do quadro. Os requisitos para transferências ulteriores foram significativamente reforçados no Escudo de Proteção da Privacidade, uma vez que a falta de salvaguardas em tais situações comprometeria as proteções garantidas pelo quadro. Se, por um lado, os controlos no local devem continuar a ser efetuados regular e sistematicamente, o cumprimento destes requisitos mais substantivos é também crucial para a continuidade do Escudo de Proteção da Privacidade, devendo ser objeto de fiscalização e aplicação coerciva rigorosos pelas autoridades dos EUA.