COMISSÃO EUROPEIA Bruxelas, 29.2.2016 COM(2016) 117 final COMUNICAÇÃO DA COMISSÃO AO PARLAMENTO EUROPEU E AO CONSELHO Transferência transatlântica de dados: restaurar a confiança através de garantias sólidas



1. INTRODUÇÃO: O PAPEL DO INTERCÂMBIO DE DADOS PESSOAIS NAS RELAÇÕES UE-EUA Uma sólida parceria transatlântica entre a União Europeia e os Estados Unidos nunca foi tão essencial como hoje. Partilhamos valores comuns, prosseguimos objetivos políticos e económicos comuns, e cooperamos estreitamente na luta contra ameaças comuns à nossa segurança. A importância das nossas trocas comerciais e a nossa cooperação estreita a nível internacional testemunham o caráter sólido e duradouro da nossa relação. A transferência e intercâmbio de dados pessoais constituem um aspeto essencial em que se baseiam as relações estreitas que a União Europeia (UE) e os Estados Unidos (EUA) mantêm no domínio comercial e a nível dos serviços repressivos. Esses intercâmbios de dados exigem um elevado grau de proteção dos dados e a adoção das garantias adequadas. Em junho de 2013, relatos revelando a existência de programas de recolha maciça de informações nos Estados Unidos suscitaram sérias preocupações, tanto a nível da UE como dos Estados-Membros, quanto às consequências para os direitos fundamentais dos cidadãos europeus desses tratamentos de dados pessoais realizados em grande escala pelas autoridades públicas e empresas privadas nos Estados Unidos. Em resposta a essas revelações, a Comissão publicou, em 27 de novembro de 2013, uma Comunicação intitulada «Restabelecer a confiança nos fluxos de dados entre a UE e os EUA», que apresentava um plano de ação para restaurar a confiança nas transferências de dados no interesse da economia digital europeia, da proteção dos direitos dos cidadãos europeus e das relações transatlânticas na sua aceção mais ampla. Para atingir esse objetivo, a Comunicação prevê as principais medidas seguintes: (i) adotar o pacote de medidas de reforma sobre a proteção de dados proposto pela Comissão em 2012; (ii) reforçar a esfera de segurança do sistema «porto seguro» com base nas 13 recomendações enunciadas na Comunicação sobre o funcionamento desse sistema; e (iii) reforçar as garantias em matéria de proteção de dados no quadro da cooperação entre os serviços repressivos, nomeadamente concluindo as negociações do Acordo-Quadro UEEUA sobre a proteção de dados pessoais. Este último também contemplava o objetivo de os Estados Unidos se comprometerem com o respeito dos direitos individuais oponíveis, nomeadamente a possibilidade de exercício de recursos judiciais, em especial após a adoção da Judicial Redress Act (Lei sobre o recurso judicial), que alarga aos cidadãos da UE alguns direitos previstos na U.S. Privacy Act de 1974 (Lei sobre a proteção da vida privada), que anteriormente só podiam ser invocados pelos nacionais dos Estados Unidos e residentes permanentes. Estes objetivos foram reafirmados nas Orientações Políticas da Comissão Juncker: «A proteção dos dados é um direito fundamental que se reveste de uma importância especial na era digital. Para além de finalizar rapidamente os trabalhos legislativos sobre as regras comuns da União em matéria de proteção de dados, temos também de fazer reconhecer este direito no quadro das nossas relações externas. Tendo em conta as recentes revelações relativamente a uma vigilância em larga escala, parceiros próximos como os Estados Unidos terão de nos convencer que as disposições relativas ao «porto seguro» são realmente seguras, se querem que sejam mantidas. Os EUA têm igualmente de garantir que todos os cidadãos da UE, residentes ou não nos Estados Unidos, têm o direito de fazer valer os seus direitos à proteção de dados junto dos tribunais americanos. Este ponto será essencial para restabelecer a confiança nas relações transatlânticas.» Desde então, a Comissão tem trabalhado no sentido de alcançar os referidos objetivos. A Comissão intensificou as negociações sobre o Acordo-Quadro que foi rubricado pelas partes em 8 de setembro de 2015. As discussões interinstitucionais sobre o pacote de reforma da proteção de dados registaram um novo impulso que resultou num acordo político entre o Conselho e o Parlamento Europeu em 15 de dezembro de 2015. Quanto às transferências transatlânticas de dados no domínio comercial, a Comissão iniciou discussões com os Estados Unidos para reforçar o sistema «porto seguro» em janeiro de 2014. A anulação da Decisão «porto seguro» pelo Tribunal de Justiça no acórdão Schrems de 6 de outubro de 2015, confirmou a necessidade de dispor de um quadro renovado e forneceu indicações sobre as condições que este último deve respeitar. Na sequência do referido acórdão, em 6 de novembro de 2015 a Comissão emitiu orientações para as empresas sobre os instrumentos alternativos que permitem continuar a transferir dados pessoais para os Estados Unidos. Em 2 de fevereiro de 2016 foi alcançado um acordo político sobre um novo quadro para os fluxos transatlânticos de dados, ou seja o Escudo de Proteção da Privacidade UE-EUA, em substituição do dispositivo precedente. Estas realizações serão benéficas para as relações transatlânticas e deverão restabelecer a confiança dos europeus na economia digital, reforçando simultaneamente os seus direitos fundamentais. A UE e os seus Estados-Membros ficarão igualmente dotados de um quadro jurídico mais sólido para a proteção de dados que permitirá uma maior integração do mercado interno, em especial do mercado único digital, e a UE poderá intensificar os seus esforços para promover e desenvolver normas de proteção da privacidade e dos dados pessoais a nível internacional. Paralelamente, foram lançadas importantes iniciativas que conduziram a mudanças significativas na ordem jurídica dos Estados Unidos. Em 17 de janeiro de 2014, o Presidente Obama anunciou reformas sobre as atividades de informação de origem eletromagnética que foram subsequentemente materializadas na Presidential Policy Directive 28 (PPD-28). É importante salientar que estas reformas foram introduzidas principalmente para alargar certas medidas de proteção da vida privada aos não americanos, bem como recentrar a recolha de dados, que passou de uma recolha em larga escala para uma abordagem que dá prioridade às recolhas e aos acessos seletivos. A Comissão acolheu favoravelmente as novas orientações como um passo importante na direção certa. Este processo de reforma contribuiu igualmente para alimentar as discussões com os Estados Unidos sobre o Escudo de Proteção da Privacidade UE-EUA. Foram introduzidas novas alterações desde essa data. Por exemplo, em junho de 2015, os Estados Unidos aprovaram a Freedom Act que modificou certos programas de vigilância, reforçou o controlo jurisdicional e melhorou a transparência pública quanto à sua utilização. Por último, em 10 de fevereiro de 2016, o Congresso americano aprovou a Judicial Redress Act que foi promulgada pelo Presidente Obama em 24 de fevereiro de 2016. É neste contexto que a presente comunicação faz o ponto da situação sobre os progressos realizados na concretização dos objetivos definidos na Comunicação de 2013. Serão também sublinhados os domínios em que é necessário desenvolver mais esforços para consolidar e restaurar a plena confiança nas transferências transatlânticas de dados. 2. A REFORMA DA UE SOBRE A PROTEÇÃO DE DADOS 2.1 Contexto A fim de aproveitar as oportunidades e responder aos desafios de um mundo cada vez mais digital e interligado, a Comissão Europeia apresentou o seu pacote de reforma sobre a proteção de dados (a seguir designado «reforma») em janeiro de 2012. Ao reforçar as normas internas da UE e ao proporcionar aos indivíduos um maior controlo sobre os seus dados pessoais, a reforma visa promover a confiança na economia digital, quer os dados pessoais sejam tratados num Estado-Membro, na UE ou em países terceiros como os Estados Unidos. O pacote de reforma compreende dois instrumentos jurídicos, um regulamento geral de proteção de dados (a seguir designado «Regulamento») que estabelece um quadro comum da UE para a proteção dos dados e uma diretiva relativa à proteção de dados no domínio da cooperação policial e judiciária (a seguir designada «Diretiva Cooperação Policial») . Ao apresentar uma proposta de regulamento, que será diretamente aplicável nos EstadosMembros, a Comissão tinha por objetivo estabelecer uma norma comum de proteção de dados para todos, eliminando assim as diferenças no nível de proteção entre os Estados-Membros. Do mesmo modo, a Diretiva Cooperação Policial irá, pela primeira vez, estabelecer um conjunto de normas comuns a nível da UE, tendo simultaneamente em conta as especificidades das tradições judiciais e de aplicação da lei nos Estados-Membros. Em 15 de dezembro de 2015, o Parlamento Europeu e o Conselho chegaram a um acordo político sobre o conjunto da reforma, cumprindo assim uma das principais ações enunciadas na Comunicação de 2013.

2.2 O que mudou? O regulamento atualiza e moderniza e, em alguns casos, reforça os princípios de proteção de dados enunciados na Diretiva Proteção de Dados de 1995 para garantir a proteção dos direitos à vida privada. Centra-se no reforço dos direitos individuais, na consolidação do mercado interno da UE, e assegura uma aplicação mais rigorosa das normas racionalizando as transferências internacionais de dados pessoais e definindo normas internacionais em matéria de proteção de dados. As normas destinam-se a garantir que os dados pessoais dos cidadãos europeus são protegidos, independentemente do local para onde são enviados, tratados ou armazenados, mesmo fora da UE, como sucede muitas vezes no mundo digital. É conveniente destacar alguns elementos da reforma particularmente importantes. Em primeiro lugar, o âmbito de aplicação territorial: o regulamento torna claro que também se aplica às empresas estabelecidas num país terceiro, se propuserem bens e serviços ou controlarem o comportamento de pessoas singulares na UE. As empresas estabelecidas fora da União deverão aplicar as mesmas normas do que as empresas estabelecidas na UE. Desta forma, fica assegurada a proteção completa dos direitos dos indivíduos na UE. Cria igualmente condições de concorrência mais equitativas entre as empresas da União e estrangeiras, evitando assim desequilíbrios concorrenciais entre essas empresas e as empresas estrangeiras que operam na UE ou estão direcionadas para os consumidores na UE. Em segundo lugar, uma aplicação mais estrita das normas de proteção de dados: o regulamento prevê um regime de sanções eficaz, harmonizando os poderes das autoridades nacionais de proteção de dados. Estas últimas ficarão habilitadas a aplicar coimas até 20 milhões de EUR ou até 4 % do volume de negócios anual total de uma empresa. Este poder para impor sanções dissuasivas em caso de inobservância das normas em matéria de proteção de dados, em conjugação com o âmbito de aplicação territorial acima referido, assegurará que as empresas que operam na União sejam incentivadas a respeitar a legislação da UE. As novas normas introduzem igualmente um regime de responsabilização mais claro e estrito para os responsáveis pelo tratamento de dados e os subcontratantes. Em terceiro lugar, normas harmonizadas para a cooperação sobre a aplicação coerciva da lei: a Diretiva Cooperação Policial aplicará os princípios gerais e as normas da proteção de dados ao tratamento de dados pessoais pelas autoridades policiais e judiciárias dos EstadosMembros responsáveis a nível da aplicação do direito penal. Tal inclui normas harmonizadas para as transferências internacionais de dados pessoais no contexto da cooperação em matéria de aplicação do direito penal. A nova diretiva reforçará o nível de proteção dos indivíduos, assegurando simultaneamente que os dados de vítimas, testemunhas e suspeitos de crimes são devidamente protegidos no âmbito das investigações penais ou da aplicação das medidas de execução que se impõem. O controlo é assegurado por autoridades nacionais de proteção de dados independentes e as pessoas devem dispor das adequadas vias de recurso judicial. Simultaneamente, legislações mais harmonizadas permitirão às autoridades policiais e judiciárias cooperarem com maior eficácia, entre os Estados-Membros e igualmente entre estes e os seus parceiros internacionais, no contexto da luta contra a criminalidade e o terrorismo. Trata-se de um aspeto crucial da Agenda Europeia para a Segurança. Em quarto lugar, normas estritas para transferências internacionais mais seguras: tanto o Regulamento como a Diretiva Cooperação Policial preveem normas transparentes, pormenorizadas e completas relativas às transferências de dados pessoais para países terceiros. Abarcam todas as formas de transferências internacionais, quer para efeitos comerciais ou penais, entre partes privadas ou autoridades públicas, ou entre entidades privadas e autoridades públicas. Embora a arquitetura das normas sobre as transferências internacionais continue a ser essencialmente idêntica à da atual Diretiva Proteção de Dados (ou seja, decisões de adequação, cláusulas contratuais-tipo, regras vinculativas para empresas, bem como certas exceções à proibição geral de transferência de dados pessoais para fora da UE), a reforma clarifica e simplifica essas normas de diferentes modos, reduzindo, simultaneamente, as formalidades administrativas. Introduz também uma série de novas ferramentas para as transferências internacionais. Além disso, o Regulamento reforça os poderes das autoridades de proteção de dados da UE, nomeadamente no que se refere às transferências internacionais. Em comparação com a atual Diretiva Proteção de Dados, as disposições sobre a independência, funções e poderes das autoridades de proteção de dados da UE são enunciadas com maior pormenor e substancialmente reforçadas. Nelas se inclui expressamente o poder de suspender o intercâmbio de dados com um destinatário num país terceiro ou com uma organização internacional. A Diretiva Cooperação Policial prevê disposições semelhantes no respeitante às transferências internacionais e aos poderes das autoridades de proteção de dados no setor da aplicação coerciva da lei. Mais especificamente, no que se refere às normas sobre as decisões de adequação da Comissão, o Regulamento prevê uma lista precisa e pormenorizada de elementos que a Comissão deve ter em conta quando avalia o nível de proteção de dados previsto na ordem jurídica de um país terceiro. Este processo consiste numa avaliação global a realizar pela Comissão e que deve abranger – um aspeto que está igualmente em consonância com o acórdão Schrems – as normas que regem o acesso pelas autoridades públicas de um país terceiro aos dados pessoais. Outra característica essencial desta avaliação é o facto de se conferir aos indivíduos direitos efetivos e oponíveis em matéria de proteção de dados e de exercício efetivo de recurso administrativo e judicial. Além disso, o Regulamento obriga expressamente a Comissão a rever periodicamente, pelo menos de quatro em quatro anos, todas as suas decisões de adequação, a fim de acompanhar a evolução da situação num país terceiro que possa ter um impacto direto, ou mesmo negativo, sobre o nível de proteção nessa ordem jurídica. Este acompanhamento permanente da adequação será um processo mais dinâmico, pois implicará igualmente um diálogo com as autoridades do país terceiro em causa. No que diz respeito às transferências para países terceiros em relação aos quais não tenha sido adotada uma decisão sobre a adequação do nível de proteção, o Regulamento prevê as condições que regulam a utilização de instrumentos alternativos para as transferências, designadamente as cláusulas contratuais-tipo ou as regras vinculativas para empresas. Prevê igualmente outros instrumentos para as transferências, como os códigos de conduta aprovados e mecanismos de certificação aprovados. Por último, clarifica a situação em que as derrogações podem ser utilizadas. 2.3 Rumo a seguir A reforma da proteção de dados é uma etapa essencial no sentido de reforçar os direitos fundamentais dos cidadãos na era digital e facilitar a atividade comercial, ao simplificar as normas para as empresas no mercado único digital. A confiança dos consumidores nos operadores da UE e de países terceiros impulsionará e, portanto, beneficiará a economia digital a nível europeu e mundial. Este aspeto terá um impacto positivo nas nossas relações comerciais com os Estados Unidos, o nosso principal parceiro comercial. Irá trazer maior clareza e um ambiente mais estável às empresas europeias e estrangeiras a operar na UE. Por seu lado, as empresas americanas beneficiarão da segurança jurídica que advém de manterem relações comerciais num espaço económico integrado que aplica um conjunto uniforme de normas sobre a proteção de dados. Normas comuns no setor da aplicação coerciva da lei assegurarão uma maior proteção dos dados pessoais e o direito efetivo a vias de recurso judicial. Facilitar a cooperação transnacional entre as autoridades policiais e judiciárias dos Estados-Membros aumentará a eficácia da aplicação do direito penal e, por conseguinte, criará condições para uma maior eficácia na prevenção da criminalidade na UE. Ao mesmo tempo, daí resultará uma cooperação mais fácil com as autoridades homólogas em países terceiros. A adoção formal do pacote da reforma da proteção de dados pelo Parlamento Europeu e pelo Conselho deverá ter lugar no primeiro semestre de 2016. O Regulamento será aplicável dois anos após a sua adoção, enquanto a Diretiva prevê um prazo de transposição de dois anos. O período de transição de dois anos deve ser utilizado por todas as partes interessadas, tanto no interior como no exterior da UE, para prepararem as novas normas. A Comissão dará o seu contributo a este respeito. Durante esse período de transição, a Comissão colaborará estreitamente com os Estados-Membros, as autoridades responsáveis pela proteção dos dados e outras partes interessadas, a fim de assegurar uma aplicação uniforme das normas e promover um ambiente aberto ao respeito dessas normas. 3. O escudo de proteção da privacidade UE-EUA: Um novo quadro transatlântico para os fluxos de dados pessoais 3.1 Contexto A fim de facilitar os fluxos de dados pessoais entre a UE e os Estados Unidos tendo em vista as trocas comerciais, garantindo ao mesmo tempo a proteção dos dados, a Comissão tinha reconhecido, em 2000, o sistema «porto seguro» como assegurando um nível de proteção adequado. Em resultado dessa situação, não obstante não existir uma lei geral de proteção de dados nos Estados Unidos, os dados pessoais podiam ser livremente transferidos dos EstadosMembros da UE para empresas nos Estados Unidos que tinham aderido aos princípios de privacidade subjacentes a esse quadro. Na sua Comunicação «porto seguro» de 2013, a Comissão chamava a atenção para um conjunto de deficiências no funcionamento do acordo ao longo do tempo, nomeadamente a falta de transparência das empresas sobre a sua adesão ao sistema e a inobservância por parte das autoridades americanas em fazerem aplicar com eficácia os princípios de proteção da privacidade por essas empresas. Além disso, as revelações relativas às atividades de vigilância do início do mesmo ano, suscitaram preocupações no que se refere à escala e ao âmbito de determinados programas de informações dos Estados Unidos e ao nível de acesso das autoridades públicas americanas aos dados pessoais dos europeus transferidos ao abrigo do sistema «porto seguro». Tendo em consideração estes e outros elementos, a Comissão concluiu que o sistema «porto seguro» devia ser revisto. Neste contexto, a Comissão formulou 13 recomendações para reforçar e atualizar as garantias de proteção de dados integrados nesse quadro. As referidas recomendações incidiam sobre: (i) o reforço dos princípios de fundo da proteção da vida privada e maior transparência das políticas de proteção da privacidade das empresas americanas autocertificadas que integraram esses princípios; (ii) uma supervisão, controlo e aplicação mais eficazes e efetivos pelas autoridades americanas relativamente ao respeito desses princípios pelas empresas em causa; (iii) a disponibilização de mecanismos de resolução de litígios acessíveis para as queixas individuais; e (iv) a necessidade de assegurar que a utilização da exceção da segurança nacional e da aplicação da Decisão «porto seguro» de 2000 se limitaria ao estritamente necessário e proporcional aos fins a atingir. Com base nessas 13 recomendações, a Comissão iniciou discussões com as autoridades americanas em janeiro de 2014. A subsequente anulação da Decisão «porto seguro», em 6 de outubro de 2015, pelo Tribunal de Justiça, confirmou a necessidade de adotar um quadro mais sólido e renovado para os fluxos transatlânticos de dados comerciais. Embora a decisão do Tribunal de Justiça incidisse sobre as recomendações da Comunicação de 2013 da Comissão, salienta, porém, a necessidade de prever limitações, garantias e mecanismos de controlo jurisdicional para assegurar a proteção dos dados pessoais dos cidadãos da UE, mesmo quando as autoridades públicas têm acesso aos dados e os utilizam para efeitos de segurança nacional, de interesse público ou de aplicação coerciva da lei.

Em 2 de fevereiro de 2016, após dois anos de intensos debates, a UE e os Estados Unidos chegaram a um acordo político sobre o novo quadro, ou seja, o Escudo de Proteção da Privacidade UE-EUA. Este novo acordo inclui importantes novas garantias e assegurará um elevado nível de proteção dos direitos fundamentais dos cidadãos da UE. Assegurará a necessária segurança jurídica para as empresas de ambos os lados do Atlântico que pretendam fazer negócios em conjunto e irá imprimir uma nova dinâmica à parceria transatlântica. Na sequência da conclusão das negociações com os Estados Unidos, a Comissão apresentará o novo acordo ao Grupo de Trabalho do artigo 29.º (incluindo às autoridades responsáveis pela proteção de dados da UE) para que se pronuncie, mediante parecer, sobre o nível de proteção previsto. Além disso, a correspondente decisão de adequação respeitará o procedimento de comitologia antes de poder ser adotada. A Autoridade Europeia para a Proteção de Dados (AEPD) será igualmente consultada. 3.2 O que mudou? O Escudo de Proteção da Privacidade UE-EUA fornece uma resposta a sólida e efetiva tanto às 13 recomendações da Comissão como ao acórdão Schrems. Prevê uma série de melhorias relevantes, em comparação com o anterior quadro, no que diz respeito aos compromissos que têm de ser assumidos pelas empresas americanas. Contém igualmente novos e importantes compromissos e explicações pormenorizadas sobre a regulamentação e as práticas das autoridades americanas. Ao contrário do quadro anterior, o Escudo de Proteção da Privacidade cobre não só compromissos no setor comercial, mas também de forma significativa e pela primeira vez nas relações UE-EUA, no domínio do acesso aos dados pessoais pelas autoridades públicas, incluindo para fins de segurança nacional. Trata-se de um elemento crucial e necessário à luz da jurisprudência do Tribunal de Justiça tendo em vista restaurar a confiança nas relações transatlânticas após as revelações relativas às atividades de vigilância. Os elementos mais importantes deste novo acordo podem ser agrupados em quatro categorias principais: Em primeiro lugar, a imposição de obrigações estritas às empresas e o controlo rigoroso da aplicação: o novo acordo será mais transparente e prevê mecanismos efetivos de supervisão para garantir que as empresas respeitam as normas que se comprometeram juridicamente a aplicar. As empresas americanas que tencionem importar dados pessoais desde a UE ao abrigo do Escudo de Proteção da Privacidade terão de aceitar obrigações estritas sobre a forma como os dados pessoais são tratados e os direitos individuais garantidos. Tal inclui condições mais rigorosas e disposições mais estritas de responsabilização das empresas aderentes a este sistema que transferem dados da UE, por exemplo tendo em vista atividades de tratamento ulterior, para terceiros não abrangidos por este quadro, tanto estabelecidos nos Estados Unidos como noutros países terceiros («transferências ulteriores»). No que diz respeito à supervisão, o Department of Commerce dos Estados Unidos comprometeu-se a exercer um controlo regular e rigoroso da forma como as empresas respeitam os seus compromissos e a afastar as empresas «parasitas», ou seja, aquelas que alegam indevidamente a sua adesão ao sistema. Os compromissos das empresas são juridicamente vinculativos e executório, por força do direito americano, pela Federal Trade Commission, e as empresas que os não respeitem serão confrontadas com sanções severas. Em segundo lugar, limites e garantias claros sobre o acesso pelo governo americano: pela primeira vez, o governo americano, através do Department of Justice (Ministério da Justiça) e do Office of the Director of National Intelligence (Gabinete do Diretor dos Serviços Nacionais de Informações), na qualidade de entidade encarregada de supervisionar o conjunto do setor das informações nos Estados Unidos, transmitiu à UE observações e garantias escritas indicando que o acesso pelas autoridades públicas para fins de aplicação coerciva da lei, de segurança nacional e outros fins de interesse público, ficará sujeito a limitações, garantias e mecanismos de supervisão claros. Os Estados Unidos criarão igualmente um novo mecanismo de recurso no domínio da segurança nacional para os titulares de dados da UE através de um provedor de justiça que será independente dos serviços nacionais de segurança. O provedor de justiça assegurará o seguimento das queixas e pedidos de informação apresentados por cidadãos europeus no que se refere ao acesso da segurança nacional, e comunicará ao interessado se a legislação aplicável foi ou não respeitada. Trata-se de uma evolução significativa que se aplicará não só às transferências no quadro do Escudo de Proteção da Privacidade, mas também a todos os dados pessoais transferidos para os Estados Unidos para fins comerciais, independentemente da base utilizada para transferir esses dados. Em terceiro lugar, a proteção eficaz dos direitos à privacidade dos cidadãos da UE graças a várias possibilidades de recurso: qualquer pessoa na Europa que considere que os seus dados foram utilizados de forma abusiva ao abrigo do novo acordo, beneficiará de várias vias acessíveis e pouco dispendiosas de requerer judicialmente a reparação individual, incluindo o acesso a organismos de resolução alternativa e gratuita de litígios. As empresas comprometem-se a responder às queixas dentro do prazo fixado. Além disso, todas as empresas que tratem dados relativos a recursos humanos provenientes da Europa têm de se comprometer a respeitar as decisões das autoridades europeias responsáveis pela proteção de dados, enquanto outras empresas podem voluntariamente assumir esse mesmo compromisso. As pessoas singulares podem igualmente apresentar uma queixa à autoridade nacional de proteção de dados da sua localização, a qual disporá de um procedimento oficial de reenvio das queixas ao Department of Commerce e à Federal Trade Commission, a fim de facilitar a investigação e a resolução da queixa em causa dentro de um prazo razoável. Se, porém, um caso não for resolvido por qualquer dessas vias, os interessados podem recorrer, em última instância, ao Comité do Escudo de Proteção da Privacidade, um mecanismo de resolução de litígios que pode emitir decisões vinculativas e executórias contra as empresas americanas aderentes ao Escudo de Proteção da Privacidade. Além disso, as autoridades nacionais de proteção de dados da UE estarão habilitadas a prestar assistência aos interessados na preparação do seu dossiê. Como acima referido, para as queixas sobre o eventual acesso dos serviços nacionais de informações, será criada a nova figura do provedor de justiça, que abre uma outra via de recurso. Em quarto e último lugar, o mecanismo de reapreciação conjunta anual: permitirá à Comissão controlar regularmente o funcionamento de todos os aspetos do Escudo de Proteção da Privacidade, incluindo as limitações e as garantias relacionadas com o acesso dos serviços de segurança nacional. A Comissão e o Department of Commerce dos Estados Unidos procederão a esta reapreciação, à qual associarão as autoridades da UE responsáveis pela proteção de dados, os serviços de segurança nacional americanos e o provedor de justiça. Desta forma, os Estados Unidos serão responsáveis pelos compromissos assumidos. Mas a Comissão não irá ficar por aqui: recorrerá também a todas as outras fontes de informação disponíveis, incluindo relatórios de transparência de caráter voluntário das empresas sobre o grau dos pedidos de acesso por parte do governo. A reapreciação anual vai além do previsto no novo regulamento, o qual exige que sejam efetuadas apenas de quatro em quatro anos, demonstrando assim a determinação da UE e dos Estados Unidos em respeitarem de forma rigorosa a plena conformidade com as normas na matéria. Essa reapreciação não será um exercício formal sem consequências. Nos casos em que as empresas americanas ou as autoridades públicas não estejam a cumprir os seus compromissos, a Comissão ativará o processo para suspender o Escudo de Proteção da Privacidade. Como o Tribunal de Justiça sublinhou no acórdão Schrems, uma decisão de adequação não deve ser letra morta; pelo contrário, as empresas e as autoridades americanas têm de contribuir positivamente para o novo quadro e apoiar continuamente o seu funcionamento mediante o respeito dos seus compromissos. Se o não fizerem, a vantagem específica para as transferências de dados decorrentes de uma decisão de adequação deixa de se justificar e será retirada. 3.3 Rumo a seguir Os compromissos assumidos pelos Estados Unidos ao abrigo do Escudo de Proteção da Privacidade servirão de base e também deverão refletir-se numa nova decisão de adequação da Comissão. As empresas são incentivadas a iniciar desde já os preparativos, de modo a estarem em condições de aderir ao novo quadro o mais rapidamente possível depois da sua criação, na sequência da adoção da decisão da Comissão. O governo americano, pelo seu lado, publicará as suas declarações no Registo Federal dos Estados Unidos, atestando assim publicamente que respeitará os compromissos assumidos. O Escudo de Proteção da Privacidade UE-EUA necessita da ação de numerosos intervenientes: As empresas americanas participantes, pois devem cumprir as suas obrigações por força do quadro, com pleno conhecimento de que este será aplicado de forma estrita e que serão sancionadas se o não respeitarem. A fim de reforçar a confiança dos consumidores, as empresas são igualmente encorajadas a optar pelas autoridades de proteção de dados da UE como via para a resolução de queixas ao abrigo do Escudo de Proteção da Privacidade, uma vez que os cidadãos europeus irão recorrer com maior probabilidade a estas autoridades. No mesmo sentido, o grau de preparação das empresas para utilizarem a possibilidade prevista pela legislação dos Estados Unidos de publicar relatórios de transparência sobre os pedidos de acesso para fins de segurança nacional e repressivos relativos a dados recebidos da UE, contribuirá para manter a confiança sobre o carácter limitado desse acesso ao que é considerado necessário e proporcional; As diferentes autoridades americanas encarregadas da supervisão e execução do acordo, respeitando as limitações e garantias no que respeita ao acesso aos dados para efeitos repressivos e de segurança nacional, e as autoridades encarregadas de responder em tempo útil e de forma adequada às queixas dos cidadãos da UE quanto à possível utilização abusiva dos seus dados pessoais; As autoridades de proteção de dados da UE têm um papel importante a desempenhar para garantir que os cidadãos podem efetivamente exercer os seus direitos ao abrigo do Escudo de Proteção da Privacidade, nomeadamente canalizando as suas queixas para as autoridades americanas e cooperando com estas últimas, com a ajuda do provedor de justiça, prestando assistência aos queixosos na apresentação do seu caso ao Comité de Proteção da Privacidade, bem como exercendo o seu controlo sobre as transferências de dados relativos a recursos humanos; e A Comissão, que é responsável pela decisão de adequação e sua reapreciação regular: estas reapreciações periódicas marcam uma alteração significativa em relação à situação estática anterior, ao transformar a decisão de adequação sobre o Escudo de Proteção da Privacidade num quadro rigorosamente controlado e dinâmico.

A reapreciação conjunta anual e o subsequente relatório da Comissão — bem como a perspetiva de suspender o acordo em caso de incumprimento — deverá, por conseguinte, desempenhar um papel central ao garantir que o Escudo de Proteção da Privacidade tem condições para resistir à prova do tempo. A nossa ambição transatlântica comum deve consistir em desenvolver conjuntamente uma forte cultura de respeito da privacidade e proteção dos direitos individuais, a fim de restaurar e manter a confiança. 4. O Acordo-Quadro: Reforçar as garantias da proteção de dados no quadro da cooperação sobre a aplicação coerciva da lei 4.1 Contexto Uma dimensão importante da nossa relação transatlântica é a capacidade da UE, dos EstadosMembros e dos Estados Unidos de responderem com eficácia às ameaças de segurança comuns e fazerem face aos desafios de forma colaborante e coordenada. Esta resposta coletiva depende enormemente da nossa capacidade para proceder ao intercâmbio de dados pessoais no âmbito da cooperação policial e judiciária em matéria penal. Numerosos acordos bilaterais entre os Estados-Membros e os Estados Unidos, bem como entre a UE e os Estados Unidos, foram celebrados ao longo do tempo para alcançar tal objetivo. Simultaneamente, também é importante que estes acordos sobre a aplicação coerciva da lei estabeleçam garantias efetivas de proteção dos dados. O duplo objetivo de trabalhar positivamente com os nossos parceiros americanos para fins de luta contra a criminalidade grave e o terrorismo, reforçando simultaneamente o nível de proteção dos cidadãos europeus em conformidade com os seus direitos fundamentais e as normas de proteção de dados da UE quando forem efetuadas transferências para esses efeitos, desencadeou as negociações, iniciadas em março de 2011, sobre um acordo internacional de proteção de dados no domínio da aplicação coerciva da lei, ou seja, o Acordo-Quadro sobre a proteção de dados UE-EUA . A UE e os Estados Unidos concluíram as negociações no verão de 2015. As duas partes rubricaram o Acordo-Quadro em 8 de setembro de 2015 no Luxemburgo, o qual aguarda agora a ratificação em ambos os lados do Atlântico. A assinatura do Acordo-Quadro dependia, no entanto, da adoção da Judicial Redress Act de 2015 pelo Congresso americano, a fim de prever, pela primeira vez, a igualdade de tratamento entre os cidadãos da UE e os nacionais americanos por força da Privacy Act de 1974. O projeto de lei foi aprovado pelo Congresso em 10 de fevereiro de 2016, tendo sido promulgado em 24 de fevereiro de 2016. 4.2 O que mudou? O Acordo-Quadro compreenderá, pela primeira vez, um conjunto harmonizado e completo de medidas de proteção de dados que se aplicarão a todas as trocas transatlânticas entre as autoridades competentes no domínio da aplicação do direito penal. Trata-se, com efeito, de um acordo de direitos fundamentais que estabelece uma norma de proteção de nível elevado em relação à qual devem ser avaliados todos os intercâmbios de dados nos acordos em vigor e futuros. Em primeiro lugar, as proteções e garantias previstas pelo Acordo-Quadro aplicar-se-ão horizontalmente a todos os intercâmbios de dados efetuados no contexto da cooperação transatlântica para efeitos de aplicação da legislação penal. Incluem-se neste âmbito as transferências com base na legislação nacional, acordos UE-EUA, em acordos EstadosMembros-EUA (por exemplo, tratados de auxílio judiciário mútuo), bem como acordos específicos que preveem a transferência de dados pessoais por entidades privadas para fins repressivos. As disposições acordadas aumentarão imediatamente o nível de proteção garantido aos titulares de dados da UE quando tais dados são transferidos para os Estados Unidos. Reforçarão igualmente a segurança jurídica da cooperação policial transatlântica, assegurando que os acordos em vigor contemplam todas as proteções necessárias e podem, portanto, resistir a eventuais problemas jurídicos. Em segundo lugar, as disposições abrangem todas as principais normas de proteção de dados europeias no respeitante a normas de tratamento de dados (por exemplo, qualidade e integridade dos dados, segurança dos dados, responsabilização e supervisão), a garantias e limitações (por exemplo, finalidades e restrições de utilização, conservação de dados, transferências ulteriores, tratamento de dados sensíveis), bem como aos direitos individuais (direitos de acesso, de retificação, de recurso administrativo e judicial). Em terceiro lugar, o acordo assegurará direitos de recurso judicial por motivo de recusa de acesso e de recusa de retificação e por divulgação ilícita. Trata-se de um progresso significativo e contribuirá enormemente para restaurar a confiança no intercâmbio transatlântico de dados. Esta importante exigência europeia, reclamada desde há muito, ficou sem resposta durante a numerosos anos, mas já foi tida em conta na Judicial Redress Act apresentada ao Congresso americano em março de 2015 e adotada em 10 de fevereiro de 2016. Esta lei será extensiva aos cidadãos da UE, colocando a sua disposição três principais vias de recurso judicial por força da Privacy Act de 1974, que são, por enquanto, reservadas unicamente aos cidadãos americanos e aos residentes permanentes. Assim, pela primeira vez, os cidadãos da UE ficarão em condições de invocar os seus direitos de aplicação geral para as transferências transatlânticas de dados no domínio da aplicação do direito penal. Desta forma se põe termo a uma importante divergência de tratamento entre cidadãos europeus e americanos. Em quarto lugar, o Acordo-Quadro generaliza e alarga a todo o domínio da aplicação da lei o princípio da supervisão independente como um requisito central da proteção de dados e que não está presente em muitos dos acordos bilaterais em vigor. Tal abarca poderes efetivos para investigar e decidir queixas individuais sobre o respeito do referido acordo. Em quinto lugar, a aplicação efetiva do Acordo-Quadro será objeto de revisões periódicas conjuntas. Uma atenção especial será conferida nestas revisões às disposições relativas aos direitos dos interessados (acesso, retificação, recurso administrativo e judicial). O Acordo-Quadro não autoriza, por si só, as transferências de dados nem constitui uma decisão de adequação. 4.3 Rumo a seguir A entrada em vigor da Judicial Redress Act preparará o caminho para a assinatura do Acordo-Quadro. A Comissão apresentará brevemente ao Conselho uma proposta de decisão que autoriza a assinatura do referido acordo. Após a assinatura, a decisão de celebração do acordo terá de ser adotada pelo Conselho, após aprovação do Parlamento Europeu. O AcordoQuadro melhorará significativamente a situação atual, que se caracteriza por normas de proteção de dados fragmentadas, não harmonizadas e frequentemente frágeis num contexto de múltiplos instrumentos multilaterais, bilaterais, nacionais e sectoriais. O referido acordo tem uma função retrospetiva, pois completará as garantias de proteção de dados dos acordos em vigor, quando e na medida em que estes não atinjam o nível de garantias exigido. A este respeito, contribuirá com um valor acrescentado significativo, principalmente ao «colmatar as lacunas» dos acordos em vigor que preveem normas de proteção de dados mais frágeis do que as previstas no Acordo-Quadro. Deste modo, será possível prosseguir a cooperação em matéria de aplicação coerciva da lei, garantindo simultaneamente maior segurança jurídica quando são efetuadas transferências de dados. No que diz respeito a futuros acordos, o Acordo-Quadro representará uma rede de segurança, abaixo da qual o nível de proteção não pode descer. Trata-se de uma garantia importante para o futuro e uma mudança radical em relação à situação atual em que as garantias, as proteções e os direitos têm sempre de ser negociados para cada novo acordo individual. O Acordo-Quadro constitui, assim, um modelo que prevê garantias-padrão que não podem ser negociadas com um nível inferior. Trata-se de um importante precedente, não só para as relações UE-EUA mas, mais em geral, para qualquer futuro acordo de proteção ou intercâmbio de dados a nível internacional. Negociado em paralelo com a reforma, o Acordo-Quadro está alinhado com o acervo da UE em matéria de proteção de dados. A interação entre o Acordo-Quadro e a Diretiva Cooperação Policial é particularmente pertinente, tendo em conta a importância de se dispor de um nível de proteção de dados elevado e comum, independentemente de o tratamento de dados pessoais ser efetuado a nível nacional ou ser objeto de intercâmbio transfronteiras no interior da UE ou com países terceiros. A este respeito, o Acordo-Quadro contribuirá para fundamentar os requisitos gerais da reforma no contexto transatlântico. A conclusão das negociações sobre o Acordo-Quadro, que estabelece normas comuns no domínio complexo do direito e das políticas, é uma realização importante. O futuro AcordoQuadro restaurará e reforçará a confiança, fornecerá garantias sobre a legalidade das transferências de dados e facilitará a cooperação UE-EUA neste domínio. Para ir mais além, é necessário enfrentar conjuntamente os desafios comuns no domínio da cooperação policial e judiciária. Uma importante questão pendente é a do acesso direto das autoridades com funções coercivas aos dados pessoais na posse de empresas privadas no estrangeiro. Esse acesso deve, em princípio, intervir no quadro dos canais formais de cooperação, tais como os acordos de auxílio judiciário mútuo ou outros acordos setoriais. As empresas privadas correm o risco de atualmente se confrontarem com a incerteza jurídica suscetível de ter incidência sobre a sua capacidade para atuar em diferentes jurisdições quando lhes solicitam o acesso a provas eletrónicas, por força da legislação de um país, sobre dados pessoais sujeitos à legislação de outro país. Paralelamente à reapreciação do Acordo de auxílio judiciário mútuo entre a UE e os Estados Unidos da América, a União acolheria com agrado intercâmbios mais amplos com os Estados Unidos sobre esta questão, designadamente em matéria de elaboração de normas comuns e mais eficazes para recolher provas eletrónicas. 5. CONCLUSÃO