PT Jornal Oficial da União Europeia C 158/46

Nota justificativa do Conselho: Posição (UE) n.o 5/2016 do Conselho em primeira leitura tendo em vista a adoção de uma Diretiva do Parlamento Europeu e do Conselho relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados e que revoga a Decisão-Quadro 2008/977/JAI do Conselho

(2016/C 158/02)

I. INTRODUÇÃO

Em 25 de janeiro de 2012, Comissão apresentou um pacote global relativo à proteção de dados constituído por:

— uma proposta de regulamento geral sobre a proteção de dados, destinado a substituir a diretiva relativa à proteção de dados de 1995 (antigo primeiro pilar) (a seguir designada por «projeto de regulamento»);

— a diretiva referida em epígrafe, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou de execução de sanções penais, e à livre circulação desses dados (1), que visa substituir a decisão-quadro sobre a proteção de dados, de 2008 (antigo terceiro pilar) (a seguir designada por «projeto de diretiva»).

O Parlamento Europeu emitiu parecer sobre o projeto de diretiva em março de 2014 (2).

Em 9 de outubro de 2015 (3), o Conselho chegou a acordo sobre uma orientação geral, conferindo desse modo à Presidência um mandato de negociação para encetar os trílogos com o Parlamento Europeu.

O Parlamento Europeu e o Conselho a nível, respetivamente, da Comissão das Liberdades Cívicas, da Justiça e dos Assuntos Internos e do Comité de Representantes Permanentes, confirmaram o acordo sobre o texto de compromisso resultante das negociações nos trílogos de 17 e 18 de dezembro de 2015, respetivamente.

Na reunião de 12 de fevereiro, o Conselho chegou a acordo político sobre o projeto de diretiva (4). Em 8 de abril de 2016, o Conselho adotou a sua posição em primeira leitura, que está em plena consonância com o texto de compromisso sobre a diretiva acordado nas negociações informais entre o Conselho e o Parlamento Europeu.

O Comité das Regiões apresentou um parecer sobre o Regulamento (JO C 391 de 18.12.2012, p. 127).

A Autoridade Europeia para a Proteção de Dados foi consultada e emitiu um primeiro parecer em 2012 (JO C 192 de 30.6.2012, p. 7) e um segundo parecer em 2015 (JO C 301 de 12.9.2015, p. 1-8).

O Comité das Regiões apresentou um parecer sobre o Regulamento (JO C 391 de 18.12.2012, p. 127). A Agência dos Direitos Fundamentais da União Europeia emitiu parecer em 1 de outubro de 2012.

II. OBJETIVO DA PROPOSTA

O projeto de diretiva tem por objetivo garantir a eficácia da cooperação judiciária em matéria penal e da cooperação policial e facilitar o intercâmbio de dados pessoais entre as autoridades competentes dos Estados-Membros, garantindo simultaneamente um nível elevado e coerente de proteção dos dados pessoais das pessoas singulares. Em comparação com a Decisão-Quadro 2008/977/JAI do Conselho, que será substituída pelo projeto de diretiva, este último abrange igualmente o tratamento de dados pessoais a nível nacional.

O artigo 16.o do Tratado sobre o Funcionamento da União Europeia introduz uma nova base jurídica específica para a adoção de regras em matéria de proteção de dados pessoais, que se aplica também ao tratamento de dados pessoais no domínio da cooperação judiciária em matéria penal e da cooperação policial.

III. ANÁLISE DA POSIÇÃO DO CONSELHO EM PRIMEIRA LEITURA

A. Observações genéricas

O projeto de diretiva faz parte do pacote «proteção de dados». A outra proposta do pacote é o regulamento geral sobre a proteção de dados acima referido.

Com base na proposta de diretiva apresentada pela Comissão, o Parlamento Europeu e o Conselho conduziram negociações informais tendo em vista chegarem a acordo na fase de adoção da posição do Conselho em primeira leitura. O texto da posição do Conselho em primeira leitura sobre o projeto de diretiva reflete integralmente o compromisso alcançado entre os dois colegisladores com a ajuda da Comissão Europeia. Neste contexto, as referências à posição do Conselho em primeira leitura devem ser entendidas como referências ao compromisso alcançado nos trílogos.

A proteção das pessoas singulares relativamente ao tratamento de dados pessoais é um direito fundamental. O artigo 8.o, n.o 1, da Carta dos Direitos Fundamentais da União Europeia e o artigo 16.o, n.o 1, do Tratado sobre o Funcionamento da União Europeia estabelecem que todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito. Nessa base, a posição do Conselho em primeira leitura estabelece os princípios e as regras em matéria de proteção das pessoas singulares no que diz respeito ao tratamento dos seus dados pessoais. Esses princípios e regras devem, independentemente da nacionalidade ou do local de residência das pessoas singulares, respeitar os seus direitos e liberdades fundamentais, nomeadamente o direito à proteção dos seus dados pessoais.

A posição do Conselho em primeira leitura mantém os objetivos da decisão-quadro (5) e da proposta da Comissão, designadamente o princípio da harmonização mínima previsto na decisão-quadro. O texto do projeto de diretiva contém disposições mais claras e mais específicas sobre a maior parte das disposições da decisão-quadro, desenvolvendo e alargando, nomeadamente, as disposições sobre transferências para países terceiros ou organizações internacionais.

O Conselho definiu uma orientação geral sobre o projeto de regulamento em junho de 2015 e uma orientação geral sobre o projeto de diretiva em outubro de 2015.

A nova base jurídica prevista no Tratado sobre o Funcionamento da União Europeia relativamente à proteção de dados pessoais é aplicável a todos os domínios de ação, sem prejuízo das regras específicas a estabelecer no domínio da política externa e de segurança comum. No entanto, na Declaração 21 anexa ao Tratado de Lisboa, reconhece-se que poderão ser necessárias disposições específicas nos domínios da cooperação judiciária em matéria penal e da cooperação policial. Por estas razões, e tendo em conta que o projeto de diretiva faz parte do pacote «proteção de dados», o Conselho procurou alinhar o texto do projeto de diretiva pelo texto do projeto de regulamento no que respeita a uma série de disposições do projeto de diretiva. É o que acontece, em especial, no que se refere às definições, aos princípios, ao capítulo relativo ao responsável pelo tratamento e ao subcontratante, às decisões relativas à adequação do nível de proteção dos dados e ainda ao capítulo sobre as autoridades de controlo independentes. Por conseguinte, estas partes do texto serão menos desenvolvidas na presente nota.

B. Questões políticas fundamentais

1. Âmbito de aplicação (material e pessoal)

A posição do Conselho em primeira leitura define no artigo 1.o, n.o 1, o âmbito de aplicação material do projeto de diretiva. Inclui o tratamento de dados pessoais efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e prevenção de ameaças à segurança pública. Isto significa que o projeto de diretiva, ao contrário da Decisão-Quadro 2008/977/JAI, se aplica também ao tratamento de dados pessoais a nível nacional.

A outra parte do pacote relativo à proteção de dados, o projeto de regulamento, exclui o âmbito de aplicação da diretiva do seu próprio âmbito de aplicação, pelo que se excluem mutuamente. O projeto de regulamento contém as regras gerais, ao passo que o projeto de diretiva é aplicável ao setor específico da cooperação judiciária em matéria penal e da cooperação policial.

O trabalho da polícia e de outras autoridades de aplicação da lei inclui também o exercício da autoridade através de medidas coercivas, como as atividades da polícia em manifestações, grandes eventos desportivos e distúrbios. A posição do Conselho em primeira leitura visa permitir que essas autoridades, sobretudo a polícia, tratem os dados de acordo com um único instrumento, a saber, a legislação do Estado-Membro que transpõe o projeto de diretiva. No entanto, sempre que a polícia trate dados pessoais para efeitos que estejam fora do âmbito de aplicação do projeto de diretiva, é aplicável o projeto de regulamento, como especificado no ponto 7 infra. A fim de atingir esse objetivo, a posição do Conselho em primeira leitura clarificou o âmbito de aplicação do projeto de diretiva mediante o aditamento da expressão «incluindo a salvaguarda e prevenção de ameaças à segurança pública».

No que respeita ao âmbito de aplicação pessoal, a posição do Conselho em primeira leitura alargou o âmbito para além das autoridades públicas competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou de execução de sanções penais aos organismos ou entidades designados pelo direito do Estado-Membro para atuarem no exercício da autoridade e dos poderes públicos para os fins acima mencionados. No entanto, só as autoridades públicas são autorizadas a transferir dados pessoais para destinatários, que não uma autoridade competente para efeitos do projeto de diretiva, estabelecidos em países terceiros.

2. Princípios relativos aos dados pessoais

a) Transparência

Ao contrário da posição do Conselho em primeira leitura sobre o projeto de regulamento, a posição do Conselho em primeira leitura sobre o projeto de diretiva não inclui a noção de «transparência» entre os princípios que regulam o tratamento de dados pessoais, uma vez que no domínio da aplicação da lei a transparência poderia prejudicar as investigações em curso. No entanto, a transparência foi inserida no considerando relativo aos princípios, deixando claro porém que poderão ser levadas a cabo atividades como as investigações encobertas ou a videovigilância.

b) Segurança do tratamento

A posição do Conselho em primeira leitura acrescenta que os dados pessoais deverão ser tratados de forma a garantir devidamente a sua segurança, o que inclui a proteção contra o seu tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidentais. A posição do Conselho em primeira leitura acrescenta também que, para esse efeito, deverão ser adotadas medidas técnicas ou organizativas adequadas. Esta posição está em consonância com o texto do projeto de regulamento.

3. Tratamento posterior

a) Compatibilidade

A questão do tratamento posterior e a questão de saber se este só poderá ser efetuado pelo mesmo responsável ou se poderá sê-lo também por outro, bem como a questão da compatibilidade dos fins, suscitaram dificuldades nos debates sobre o projeto de regulamento. De acordo com a posição do Conselho em primeira leitura sobre o projeto de diretiva, dever-se-ão considerar permitidas todas as operações de tratamento de dados efetuadas para qualquer dos fins estabelecidos no artigo 1.o, n.o 1, desde que o responsável pelo tratamento tenha sido autorizado a tratar os dados pessoais para esse fim em conformidade com o direito da União ou do Estado-Membro, e o tratamento seja necessário e proporcionado para o outro fim, em conformidade com o direito da União ou do Estado-Membro.

b) Tratamento para outros fins dentro do âmbito de aplicação do projeto de diretiva

A posição do Conselho em primeira leitura prevê que o tratamento pelo mesmo ou por outro responsável pelo tratamento para qualquer dos fins estabelecidos no artigo 1.o, n.o 1, que não aquele para o qual os dados pessoais foram recolhidos, só pode ser permitido se o responsável pelo tratamento estiver autorizado a tratar esses dados pessoais para o dito fim, em conformidade com o direito da União ou dos Estados-Membros, e se o tratamento for necessário e proporcionado para esse outro fim, também em conformidade com o direito da União ou dos Estados-Membros. Isto permite, por exemplo, que o Ministério Público possa tratar os mesmos dados pessoais para a repressão de um crime que os que foram tratados pela polícia para a deteção desse crime, uma vez que ambos os fins ilustrados estão abrangidos pelo artigo 1.o, n.o 1.

4. Prazos de conservação e avaliação

A posição do Conselho em primeira leitura prevê que sejam estabelecidos prazos adequados para o apagamento de dados pessoais ou para a avaliação periódica dos dados pessoais armazenados, a fim de verificar se é necessário que esses dados sejam conservados. Constava já da decisão-quadro uma disposição sobre os prazos, e a posição do Conselho em primeira leitura considera útil introduzir uma disposição desse tipo.

A presente disposição reforça o princípio estabelecido no artigo 4.o, segundo o qual os dados não devem ser conservados durante mais tempo do que o necessário para a prossecução das finalidades para que são tratados.

5. Diferentes categorias de titulares de dados

A posição do Conselho em primeira leitura prevê que os Estados-Membros assegurem que o responsável pelo tratamento estabeleça, «se aplicável, e na medida do possível», uma distinção clara entre os dados pessoais de diferentes categorias de titulares de dados. Contudo, a posição do Conselho em primeira leitura assegura que a aplicação do direito à presunção de inocência, tal como garantido pela Carta dos Direitos Fundamentais, não é impedida pela classificação dos titulares de dados em diferentes categorias, em particular numa categoria de pessoas relativamente às quais existam motivos fundados para crer que cometeram ou estão prestes a cometer uma infração penal.

6. Licitude do tratamento

A posição do Conselho em primeira leitura estabelece que o tratamento de dados pessoais só é lícito se e na medida em que for necessário para o exercício de uma atribuição pela autoridade competente para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e prevenção de ameaças à segurança pública, e tiver por base o direito da União ou de um Estado-Membro. Nos considerandos, explicita-se que estas atividades abrangem a proteção dos interesses vitais do titular dos dados.

A posição do Conselho em primeira leitura especifica os elementos que a legislação em matéria de proteção de dados dos Estados-Membros deve conter, como os objetivos e finalidades do tratamento.

7. Condições específicas do tratamento

A regra principal é a de que os dados pessoais que foram inicialmente recolhidos por uma autoridade competente para os efeitos estabelecidos no artigo 1.o, n.o 1, do projeto de diretiva só podem ser tratados para uma das finalidades estabelecidas no projeto de diretiva. No entanto, os dados pessoais inicialmente recolhidos por tais autoridades para os fins do projeto de diretiva podem ser tratados com base no projeto de regulamento se tal tratamento for autorizado pelo direito da União ou do Estado-Membro, a menos que o tratamento seja efetuado no âmbito de uma atividade não sujeita à aplicação do direito da União. A posição do Conselho em primeira leitura esclarece igualmente dois casos em que o projeto de regulamento se aplica: em primeiro lugar, caso o direito dos Estados-Membros confie às autoridades competentes o exercício de atribuições diferentes das estabelecidas no artigo 1.o, n.o 1; em segundo lugar, caso o tratamento seja efetuado para fins de arquivo por razões de interesse público, para fins de investigação científica ou histórica ou para fins estatísticos, a menos que o tratamento seja efetuado no âmbito de uma atividade não sujeita à aplicação do direito da União.

8. Categorias especiais de dados pessoais

Merecem proteção específica os dados pessoais que sejam, pela sua natureza, especialmente sensíveis do ponto de vista dos direitos e liberdades fundamentais, dado que o contexto do tratamento desses dados pode implicar riscos significativos para os direitos e liberdades fundamentais do titular dos dados. A posição do Conselho em primeira leitura permite o tratamento de tais dados, mas apenas se tal for estritamente necessário e na condição de serem apresentadas garantias adequadas para os direitos e liberdades do seu titular. Além disso, o referido tratamento só é permitido se for autorizado pelo direito da UE ou do Estado-Membro para proteger os interesses vitais do titular dos dados ou se estiver relacionado com dados que tenham sido manifestamente tornados públicos pelo seu titular.

Uma vez que o projeto de diretiva e o projeto de regulamento fazem parte de um mesmo pacote, a posição do Conselho em primeira leitura sobre o projeto de diretiva, tem em conta, no que diz respeito à lista das categorias, as categorias previstas no projeto de regulamento, nela incluindo os «dados biométricos» e a «orientação sexual».

9. Decisões individuais automatizadas, incluindo definição de perfis

Outro princípio consagrado no projeto de diretiva é o de que uma decisão baseada unicamente no tratamento automático, incluindo a definição de perfis, que produza efeitos adversos na esfera jurídica do titular dos dados ou que o afete de forma significativa deve ser proibida, a menos que seja autorizada pelo direito da União ou dos Estados-Membros e preveja garantias adequadas dos direitos e liberdades do titular dos dados. Tais garantias devem incluir pelo menos o direito de obter uma intervenção humana por parte do responsável pelo tratamento. Na posição do Conselho em primeira leitura afirma-se claramente que uma decisão tomada exclusivamente com base no tratamento automatizado não pode basear-se nas categorias especiais de dados a que se refere o artigo 10.o, a menos que os direitos e liberdades e os legítimos interesses do seu titular sejam devidamente salvaguardados. Estabelece-se também expressamente que a definição de perfis com base nas categorias especiais de dados a que se refere o artigo 10.o, suscetível de implicar uma discriminação, deve ser proibida.

10. Direitos dos titulares de dados

a) Comunicação ao titular dos dados

A posição do Conselho em primeira leitura estabelece disposições relativas aos direitos dos titulares de dados. Para que estes possam exercer os seus direitos, é necessário que sejam informados de que os seus dados pessoais estão a ser tratados. Tais informações devem ser comunicadas de um modo que seja fácil de compreender, de forma concisa, inteligível e facilmente acessível, e deverão ser formuladas por escrito numa linguagem clara e simples. Contrariamente ao texto do projeto de regulamento, a posição do Conselho em primeira leitura sobre o projeto de diretiva não exige que essas informações sejam dadas de forma transparente. No domínio abrangido pela diretiva, pode, por exemplo, prejudicar-se uma investigação se a informação relativa a medidas específicas de investigação for prestada ao titular dos dados numa fase precoce da investigação.

b) Informação do titular dos dados

A posição do Conselho em primeira leitura estabelece as informações que devem ser sempre facultadas ao titular dos dados, como a identidade e contactos do responsável pelo tratamento e a finalidade desse tratamento. Tal poderá ser efetuado no sítio web da autoridade competente. A posição do Conselho em primeira leitura também estabelece as informações adicionais que devem ser fornecidas em casos específicos. Estas incluem o fundamento jurídico do tratamento, o período de conservação dos dados e as categorias de destinatários. Em determinadas circunstâncias, é possível adiar, limitar ou não prestar as informações adicionais, por exemplo se uma limitação constituir uma medida necessária e proporcionada numa sociedade democrática, tendo devidamente em conta os direitos fundamentais e os interesses legítimos das pessoas singulares causa. Além disso, no que diz respeito às informações adicionais, os Estados-Membros deverão ter a possibilidade de prever, por via legislativa, que certas categorias de tratamento de dados pessoais possam ficar dispensadas das obrigações de informação.

c) Direito de acesso

A posição do Conselho em primeira leitura prevê o direito de acesso do titular dos dados aos seus dados pessoais e as limitações desse direito. Os Estados-Membros deverão ter a possibilidade de limitar o direito de acesso em condições idênticas àquelas em que as informações adicionais podem ser adiadas, limitadas ou não prestadas. Sempre que o direito de acesso tenha sido restringido, os Estados-Membros devem prever que o responsável pelo tratamento informa o titular dos dados dos motivos dessa limitação, a não ser que a finalidade dessa medida – como, por exemplo, uma investigação – fique comprometida se o titular dos dados for informado dos motivos da limitação.

d) Casos especiais de limitação do tratamento dos dados pessoais

Os Estados-Membros devem prever que o titular dos dados tem o direito de retificar, apagar ou limitar o tratamento dos seus dados pessoais. A posição do Conselho em primeira leitura acrescentou a possibilidade de o titular dos dados limitar o tratamento dos seus dados pessoais, em vez de os apagar, em dois casos específicos: primeiro, caso conteste a exatidão dos dados e não possa ser apurado se estes são ou não exatos; o segundo caso prende-se com as situações em que os dados pessoais tenham de ser conservados para efeitos de prova. O considerando correspondente especifica que os exemplos deste último caso podem incluir situações em que existem motivos razoáveis para crer que os interesses legítimos do titular dos dados possam ser afetados. Neste último caso, os dados só podem ser tratados para a finalidade que impediu o seu apagamento.

11. Exercício dos direitos dos titulares dos dados e verificação

Sempre que os direitos de informação, acesso, retificação apagamento ou limitação do tratamento dos titulares dos dados tenham sido limitados, os Estados-Membros devem adotar medidas que prevejam que os direitos dos titulares dos dados possam também ser exercidos através da autoridade de controlo competente.

12. Responsável pelo tratamento e subcontratante

O projeto de diretiva será aplicado pelas autoridades competentes a nível nacional ou aquando da transmissão de dados pessoais entre Estados-Membros da UE ou da transferência de dados pessoais para países terceiros ou organizações internacionais. As autoridades competentes são definidas como autoridades públicas ou qualquer organismo ou entidade designado pelo direito do Estado-Membro para atuar no exercício da autoridade pública e dos poderes públicos. As disposições do projeto de diretiva serão aplicadas pelas autoridades públicas e, em certas circunstâncias, por organismos privados. Quando as autoridades competentes, na aceção do projeto de diretiva, procederem ao tratamento de dados pessoais para efeitos que não os da diretiva, devem aplicar o projeto de regulamento. Por conseguinte, a posição do Conselho em primeira leitura, tal como já referido na introdução da presente nota justificativa, harmoniza, em certa medida, as disposições do projeto de diretiva com as do projeto de regulamento.

Em consonância com o projeto de regulamento, a posição do Conselho em primeira leitura prevê que o responsável pelo tratamento aplique medidas técnicas e organizativas adequadas para garantir e poder comprovar a conformidade do tratamento. A posição do Conselho em primeira leitura especifica expressamente as obrigações do subcontratante, a saber:

— só agir de acordo com instruções do responsável pelo tratamento;

— assegurar que as pessoas autorizadas a tratar os dados respeitam a obrigação de confidencialidade;

— facultar ao responsável pelo tratamento dos dados todas as informações que demonstrem o cumprimento das suas obrigações.

13. Registo das atividades de tratamento

A posição do Conselho em primeira leitura impõe ao subcontratante menos obrigações em termos de registo e, por conseguinte, enumera as obrigações do subcontratante e do responsável pelo tratamento em dois números separados. Estabelece que nem o responsável pelo tratamento nem o subcontratante têm de conservar um registo para cada atividade de tratamento, mas apenas para categorias de tratamento, e as restantes disposições do número obrigam o responsável pelo tratamento a prestar uma quantidade suficiente de informações para atingir a finalidade dos registos. O responsável pelo tratamento tem, por exemplo, a obrigação de incluir informações sobre as categorias de destinatários aos quais os dados pessoais foram ou serão comunicados, as categorias de transferências de dados pessoais para um país terceiro ou uma organização internacional ou, quando possível, os prazos previstos para o apagamento das diferentes categorias de dados pessoais. O responsável pelo tratamento deve ainda fornecer informações sobre a definição de perfis, o que não é o caso no projeto de regulamento. A posição do Conselho em primeira leitura prevê que o subcontratante só tem de manter um registo, por exemplo, das categorias de tratamentos efetuados em nome de cada responsável pelo tratamento e, quando possível, uma descrição geral das medidas de segurança técnicas e organizativas.

14. Registo cronológico

A conservação de registos cronológicos é importante na medida em que permite registar em sistemas de tratamento automatizado o motivo, a data e a hora de determinadas operações de tratamento, como a recolha, consulta, divulgação e transferência. Os registos cronológicos das operações de consulta e divulgação também permitem identificar a pessoa que consultou ou divulgou dados pessoais e o seu destinatário. Em consonância com a decisão-quadro, os registos cronológicos só podem ser utilizados para efeitos de verificação da licitude do tratamento, autocontrolo, garantia da integridade e segurança dos dados pessoais. Foi introduzida no projeto de diretiva a possibilidade de utilizar os registos cronológicos também no âmbito de ações penais. No entanto, garantir a conformidade dos sistemas de tratamento automatizado é um processo complexo, moroso e dispendioso. Por conseguinte, a posição do Conselho em primeira leitura autoriza excecionalmente o alargamento do período de transposição para assegurar a conformidade dos sistemas de tratamento automatizado criados antes da entrada em vigor do projeto de diretiva, caso tal implique um esforço desproporcionado. Em casos excecionais, está previsto um alargamento adicional para garantir a conformidade de determinados sistemas de tratamento automatizado instalados antes da entrada em vigor do projeto de diretiva se, caso contrário, advierem graves dificuldades para o funcionamento desses sistemas.

15. Avaliação de impacto

Embora a proposta inicial da Comissão não previsse qualquer avaliação de impacto em relação à proteção de dados, o texto do projeto de regulamento contém um artigo sobre a avaliação de impacto, tal como a posição do Conselho em primeira leitura sobre o projeto de diretiva. A posição do Conselho em primeira leitura estabelece a obrigação de o responsável pelo tratamento efetuar uma avaliação de impacto, que deverá ser feita antes de o responsável iniciar o tratamento, sempre que deste possa resultar um elevado risco para os direitos e liberdades das pessoas singulares.

As situações em que é obrigatória uma avaliação de impacto são estabelecidas no projeto de diretiva em termos idênticos aos do projeto de regulamento. O texto sobre os elementos que a avaliação de impacto deve conter é, contudo, menos pormenorizado do que o do projeto de regulamento. A avaliação deve incluir, pelo menos, uma descrição geral das operações de tratamento a realizar, uma avaliação dos riscos para os direitos e liberdades dos titulares de dados e as garantias, medidas de segurança e mecanismos para assegurar a proteção dos dados pessoais e demonstrar a conformidade com as disposições do projeto de diretiva.

16. Encarregado da proteção de dados

A posição do Conselho em primeira leitura estabelece que os Estados-Membros devem prever que os responsáveis pelo tratamento designem um encarregado da proteção de dados. No entanto, os Estados-Membros deverão poder isentar desta obrigação os tribunais e outras autoridades judiciais sempre que atuem no exercício da sua função jurisdicional. A designação de um encarregado da proteção de dados visa melhorar a conformidade com o projeto de diretiva.

17. Transferências

O intercâmbio de dados com países terceiros e organizações internacionais exige que existam regras em matéria de transferências. No que diz respeito aos princípios gerais das transferências de dados pessoais, a posição do Conselho em primeira leitura complementa as condições propostas pela Comissão, exigindo que a autoridade recetora seja competente para efeitos do artigo 1.o, n.o 1, e que, quando os dados sejam transmitidos ou disponibilizados por outro Estado-Membro, esse Estado-Membro tenha dado a sua autorização prévia. A posição do Conselho em primeira leitura também estabelece claramente que devem ser aplicadas todas as disposições do capítulo sobre transferências, a fim de assegurar que o nível de proteção das pessoas singulares assegurado pelo projeto de diretiva não seja posto em causa.

O artigo relativo aos princípios gerais estabelece as opções aplicáveis à transferência de dados pessoais pelo responsável pelo tratamento, por ordem decrescente de preferência, começando pelas decisões de adequação. Vêm depois as transferências sujeitas a garantias adequadas, seguidas das transferências a que são aplicáveis derrogações para situações específicas. O artigo sobre as decisões de adequação passou a referir-se apenas às decisões de adequação adotadas ao abrigo do próprio projeto de diretiva, e não às previstas no regulamento. Os elementos que a Comissão terá de ter em conta quando avaliar a adequação do nível de proteção previsto no projeto de diretiva são idênticos aos estabelecidos no projeto de regulamento.

A posição do Conselho em primeira leitura especifica, relativamente aos artigos sobre transferências mediante garantias adequadas e às derrogações aplicáveis a situações específicas, que é obrigatório documentar tais transferências e facultar à autoridade de controlo a documentação e os elementos que esta deve conter.

A posição do Conselho em primeira leitura introduz uma base para as transferências, nomeadamente a possibilidade de as autoridades competentes – mas apenas as que são autoridades públicas (e não os organismos ou entidades a quem tenha sido confiado pelo direito do Estado-Membro o exercício dos poderes públicos) – transferirem dados pessoais para destinatários estabelecidos em países terceiros. Esta possibilidade constitui uma derrogação do princípio geral de que os dados pessoais só são transferidos se o responsável pelo tratamento no país terceiro ou na organização internacional for uma autoridade competente para efeitos do artigo 1.o, n.o 1, do projeto de diretiva. Por conseguinte, a posição do Conselho em primeira leitura permite que, em determinados casos específicos e desde que sejam cumpridas as demais disposições da diretiva e esteja preenchida uma série de condições exaustivamente enumeradas, as referidas autoridades competentes transfiram dados pessoais diretamente para os destinatários, uma vez que os acordos internacionais nem sempre permitem dar a resposta rápida que poderá ser necessária. Tais condições incluem as seguintes: a transferência é estritamente necessária para o exercício de uma atribuição da autoridade competente que efetua a transferência, tal como previsto no direito da União ou do Estado-Membro para os efeitos estabelecidos no artigo 1.o, n.o 1, a autoridade competente que efetua a transferência considera que a transferência para uma autoridade que é competente para os efeitos referidos do artigo 1.o, n.o 1 no país terceiro é ineficaz ou inadequada, designadamente pelo facto de a transferência não poder ser efetuada atempadamente, e a autoridade que efetua a transferência informa o destinatário da finalidade ou finalidades específicas para as quais os dados pessoais devem ser tratados. Tal como para as transferências efetuadas mediante garantias e com base em derrogações aplicáveis a situações específicas, foi acrescentada uma obrigação de documentação das transferências. Essas transferências poderão ser particularmente úteis se houver necessidade urgente de transferir dados pessoais para salvar a vida de uma pessoa que corra o risco de ser vítima de uma infração penal ou para prevenir a prática iminente de um crime, incluindo o terrorismo.

18. Autoridades de controlo

A fim de garantir o cumprimento das regras estabelecidas no projeto de diretiva, caberá às autoridades de controlo fiscalizar a aplicação do projeto de diretiva e do projeto de regulamento. No projeto de diretiva, as regras sobre as autoridades de controlo são, em grande medida, retomadas do texto do projeto de regulamento. Os Estados-Membros são autorizados a prever que as autoridades de controlo instituídas no quadro do projeto de regulamento supervisionem também o projeto de diretiva. No entanto, o projeto de diretiva exclui a supervisão pelas autoridades de controlo, tal como definida no projeto de diretiva, de operações de tratamento efetuadas por tribunais que atuem no exercício da sua função jurisdicional. Os Estados-Membros deverão ter a possibilidade de excluir a supervisão pelas autoridades de controlo, definida no projeto de diretiva, de operações de tratamento efetuadas por outras autoridades judiciais independentes que atuem no exercício da sua função jurisdicional. Isto não significa, porém, que as operações de tratamento efetuadas por estes organismos estejam isentas de supervisão. Por conseguinte, acrescenta-se, no considerando correspondente, que as operações de tratamento efetuadas pelos tribunais e por outras autoridades judiciais independentes ficam, em conformidade com a Carta dos Direitos Fundamentais da União Europeia, sujeitas a um controlo independente.

19. Poderes das autoridades de controlo

A posição do Conselho em primeira leitura prevê que as autoridades de controlo deverão ter, em cada Estado-Membro, as mesmas funções e poderes efetivos que lhes permitam desempenhar as tarefas de fiscalização eficaz, fiável e coerente da conformidade com o projeto de diretiva e da sua aplicação em toda a União.

A posição do Conselho em primeira leitura classifica os poderes das autoridades de controlo, que têm de ser estabelecidas por lei, em três categorias distintas, a saber, poderes de investigação efetivos, poderes efetivos em matéria de medidas corretivas e poderes consultivos efetivos, bem como o poder de submeter as violações das disposições adotadas nos termos do projeto de diretiva à apreciação das autoridades judiciárias.

20. Relação com acordos internacionais celebrados anteriormente

A posição do Conselho em primeira leitura especifica, em consonância com a posição do Conselho em primeira leitura sobre o projeto de regulamento, que os acordos internacionais celebrados pelos Estados-Membros antes da data de entrada em vigor do projeto de diretiva e que sejam conformes com o direito da União aplicável antes da sua data de entrada em vigor continuam a vigorar até serem alterados, substituídos ou revogados. Tal como referido em relação ao projeto de regulamento, manter os acordos em vigor garante a segurança jurídica para os responsáveis pelo tratamento.

IV. CONCLUSÃO

A posição do Conselho em primeira leitura reflete o compromisso alcançado nas negociações realizadas entre o Conselho e o Parlamento Europeu e mediadas pela Comissão. Ao aprovar a posição do Conselho em primeira leitura sem alterações, o Parlamento Europeu estabelece, juntamente com o Conselho, elevadas normas de proteção de dados, tanto a nível nacional como transfronteiras, que permitem reforçar a cooperação entre as autoridades de aplicação da lei.

(1) 5833/12

(2) 7428/14

(3) 12555/15

(4) 5463/16

(5) Decisão-Quadro 2008/977/JAI do Conselho, de 27 de novembro de 2008, relativa à proteção dos dados pessoais tratados no âmbito da cooperação policial e judiciária em matéria penal (JO L 350 de 30.12.2008, p. 60).