Os fluxos de dados são globais. A UE está vinculada pelos Tratados e pela Carta dos Direitos Fundamentais da União Europeia que protegem todas as pessoas na UE. A UE é obrigada a adotar todas as medidas necessárias para assegurar que os direitos à privacidade e à proteção dos dados pessoais são respeitados ao longo de todas as operações de tratamento, incluindo as transferências.

Desde as revelações, em 2013, das atividades de vigilância, a UE e o seu parceiro estratégico, os Estados Unidos, têm procurado definir um novo conjunto de normas, assentes num sistema de autocertificação, aplicável à transferência para fins comerciais para os EUA de dados pessoais enviados a partir da UE. Tal como as autoridades nacionais de proteção de dados na UE, a AEPD reconhece o valor, na era dos fluxos de dados imprevisíveis, instantâneos e globais, de um quadro jurídico sustentável para as transferências comerciais de dados entre a UE e os EUA, que representam a maior parceria comercial do mundo. Não obstante, este quadro deve refletir cabalmente os valores partilhados democráticos e baseados nos direitos das pessoas, que por parte da UE vêm expressos no Tratado de Lisboa e na Carta dos Direitos Fundamentais e, por parte dos EUA, na Constituição dos EUA.

O projeto de Escudo de Proteção da Privacidade poderá representar um passo na direção certa, mas na sua versão atual não inclui devidamente, no nosso entender, todas as garantias adequadas para proteger os direitos da UE das pessoas à privacidade e à proteção dos dados, bem como no atinente ao recurso judicial. Caso a Comissão Europeia pretenda adotar uma decisão de adequação, afiguram-se necessárias melhorias significativas. Concretamente, a UE deve obter garantias suplementares em termos de necessidade e proporcionalidade, em lugar de legitimar o acesso sistemático a dados transferidos por parte das autoridades norte-americanas assente em critérios que têm uma base jurídica no país destinatário, mas não na UE, conforme afirmado pelos Tratados, as decisões da UE e as tradições constitucionais comuns aos Estados-Membros.

Por outro lado, numa era de elevada hiperconectividade e redes distribuídas, a autorregulação feita pelas empresas privadas, bem como as declarações e os e compromissos por parte de funcionários públicos, podem desempenhar um papel a curto prazo, mas a longo prazo não serão suficientes para salvaguardar os direitos e interesses das pessoas e satisfazer plenamente as necessidades de um mundo digital globalizado onde muitos países dispõem agora de normas de proteção de dados.

Por conseguinte, seria bem-vinda uma solução a longo prazo no diálogo transatlântico, para também adotar na legislação federal vinculativa, no mínimo, os princípios mais importantes dos direitos a serem clara e concisamente identificados, tal como acontece com outros países terceiros que foram «rigorosamente avaliados» como oferecendo um nível adequado de proteção; aquilo que o TJUE no seu acórdão Schrems manifestou significar «essencialmente equivalente» às normas aplicáveis nos termos do direito da UE e que, segundo o Grupo de Trabalho do artigo 29.o, significa conter «a substância dos princípios fundamentais da proteção de dados».

Registamos positivamente a transparência crescente demonstrada pelas autoridades norte-americanas em relação à utilização da exceção aos princípios do Escudo de Proteção da Privacidade para efeitos de aplicação da lei, segurança nacional e interesse público.

Todavia, enquanto a Decisão «Porto Seguro», de 2000, tratava formalmente o acesso por motivos de segurança nacional como uma exceção, a atenção prestada no projeto de decisão do Escudo de Proteção da Privacidade ao acesso, filtragem e análise pelos serviços responsáveis pela aplicação da lei e pelos serviços de informações de dados pessoais transferidos para fins comerciais indica que a exceção se pode tornar a regra. Em particular, a AEPD constata com base no projeto de decisão e respetivos anexos que, não obstante as tendências recentes para passar da vigilância indiscriminada de forma geral para abordagens mais orientadas e selecionadas, a dimensão da informação de origem eletromagnética e o volume de dados transferidos a partir da UE, sujeitos à eventual recolha assim que transferidos e, nomeadamente, quando em trânsito, podem ainda assim ser elevados e, portanto, questionáveis.

Embora estas práticas possam também estar relacionadas com informações noutros países, e embora saudemos a transparência das autoridades norte-americanas relativamente esta nova realidade, o projeto de decisão atual poderá legitimar esta rotina. Por conseguinte, incentivamos a Comissão Europeia a dar um sinal mais categórico: atendendo às obrigações que competem à UE nos termos do Tratado de Lisboa, o acesso e a utilização por parte das autoridades públicas dos dados transferidos para fins comerciais, incluindo quando em trânsito, apenas devem ocorrer em circunstâncias excecionais e quando seja indispensável para fins de interesse público especificados.

Em relação às disposições aplicáveis às transferências para fins comerciais, não se deve esperar dos responsáveis pelo tratamento que alterem constantemente os modelos de conformidade. Não obstante o projeto de decisão ter sido previsto no quadro jurídico da UE em vigor, o qual substituirá o Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados), em maio de 2018, menos de um ano após a plena aplicação do Escudo de Proteção da Privacidade por parte dos responsáveis pelo tratamento. O Regulamento Geral sobre a Proteção de Dados cria e reforça as obrigações aplicáveis aos responsáveis pelo tratamento que transcendem os nove princípios desenvolvidos no Escudo de Proteção da Privacidade. Independentemente das alterações finais ao projeto, recomendamos que a Comissão Europeia avalie exaustivamente as perspetivas futuras desde o seu primeiro relatório, para identificar tempestivamente ações relevantes para que soluções a mais longo prazo substituam o Escudo de Proteção da Privacidade, se existentes, por quadros jurídicos mais robustos e estáveis para fomentar as relações transatlânticas.

A AEPD emite, por conseguinte, recomendações específicas sobre o Escudo de Proteção da Privacidade.