COMISSÃO EUROPEIA Bruxelas, 14.10.2022 COM(2022) 530 final COMUNICAÇÃO DA COMISSÃO AO PARLAMENTO EUROPEU E AO CONSELHO Primeiro relatório sobre a aplicação do Regulamento relativo à proteção de dados aplicável às instituições e aos órgãos da União Europeia (Regulamento (UE) 2018/1725)



Índice 1 Introdução 2 Regras de proteção de dados separadas para as instituições e os órgãos e organismos da UE alinhadas com a legislação da UE em matéria de proteção de dados 3 Aplicação do RPDUE nas instituições e nos órgãos e organismos da UE 3.1 Papel das instituições e dos órgãos e organismos da UE enquanto responsáveis pelo tratamento 3.2 Exercício dos direitos dos titulares dos dados 3.3 Limitar os direitos dos titulares dos dados através de regras internas 3.4 Encarregados da proteção de dados 3.5 Avaliações de impacto relativas à proteção de dados 3.6 Transferências internacionais de dados 4 Atividades da AEPD 4.1 A AEPD enquanto autoridade de controlo da proteção de dados das instituições e dos órgãos e organismos da UE 4.2 A AEPD na qualidade de consultora do legislador da UE 4.3 Cooperação entre a AEPD e as autoridades nacionais de proteção de dados 4.4 Recursos da AEPD 5 Utilização pela Comissão dos poderes para adotar atos delegados e atos de execução 6 Regras de proteção de dados aplicáveis aos órgãos e organismos que lidam com a cooperação policial e judiciária em matéria penal 6.1 Alargamento da aplicação do capítulo do RPDUE relativo à aplicação da lei

6.2 Clarificar a aplicabilidade de determinadas disposições do RPDUE ao tratamento de dados operacionais 6.3 Poderes da AEPD em matéria de supervisão dos órgãos e organismos da UE 7 Próximas etapas ANEXO

1Introdução O Regulamento relativo à proteção de dados aplicável às instituições e aos órgãos e organismos da União Europeia («RPDUE») é o principal quadro de proteção de dados para as instituições e os órgãos e organismos da UE quando procedem ao tratamento de dados pessoais na qualidade de responsáveis pelo tratamento ou subcontratantes. Este regulamento constitui um pilar da boa governação e da boa conduta administrativa a nível da UE. É aplicável desde 11 de dezembro de 2018, data em que revogou e substituiu o seu antecessor, o Regulamento (CE) n.º 45/2001. A presente comunicação apresenta o primeiro relatório sobre a aplicação do RPDUE, em conformidade com o artigo 97.º do regulamento. Contém igualmente o reexame dos atos normativos adotados com base nos Tratados que regulam o tratamento de dados pessoais operacionais pelos órgãos ou organismos da UE no exercício de atividades abrangidas pelo âmbito da cooperação policial e da cooperação judiciária em matéria penal, em conformidade com o artigo 98.º do RPDUE. A Comissão recolheu informações sobre a aplicação do RPDUE através de um inquérito lançado em outubro de 2021, no qual as instituições e os órgãos e organismos da UE foram convidados a partilhar a sua experiência na aplicação do RPDUE. No total, responderam 56 instituições, órgãos e organismos da UE, sendo que as estatísticas sobre as instituições e os órgãos e organismos da UE apresentadas no relatório se baseiam nessas respostas. Foi enviado um pedido de contributo separado à Autoridade Europeia para a Proteção de Dados (AEPD), na sua qualidade de autoridade de controlo. Por último, a Comissão também publicou um convite à apreciação, o que também permitiu ao público apresentar observações. As questões levantadas nos muito poucos contributos recebidos em resposta ao convite à apreciação são abordadas no presente relatório. O presente relatório situa o RPDUE no quadro da legislação da UE em matéria de proteção de dados, apresenta a sua aplicação pelas instituições e pelos órgãos e organismos da UE e as atividades da AEPD, além de analisar a aplicação do capítulo aplicável aos organismos e às agências da UE que exercem atividades no âmbito da cooperação policial e judiciária em matéria penal. O relatório termina delineando o caminho a seguir. 2Regras de proteção de dados separadas para as instituições e os órgãos e organismos da UE alinhadas com a legislação da UE em matéria de proteção de dados Os principais instrumentos de proteção de dados na UE são o Regulamento Geral sobre a Proteção de Dados («RGPD»), a Diretiva sobre a Proteção de Dados na Aplicação da Lei («Diretiva Proteção de Dados na Aplicação da Lei») e a Diretiva Privacidade Eletrónica. Contudo, não se aplicam ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da UE. Por conseguinte, são necessárias regras de proteção de dados separadas, ainda que alinhadas, para as instituições e os órgãos e organismos da UE. O RPDUE estabelece estas regras. A fim de assegurar uma abordagem coerente para proteger os dados pessoais e a sua livre circulação na UE, o RPDUE está alinhado, na medida do possível, com as regras de proteção de dados adotadas para o setor público, estabelecidas no RGPD e na Diretiva Proteção de Dados na Aplicação da Lei. Sempre que o RPDUE siga os mesmos princípios que o RGPD, deve ser interpretado da mesma forma, devendo ser entendido como equivalente ao RGPD. Deve presumir-se o mesmo em relação às regras alinhadas com a Diretiva Proteção de Dados na Aplicação da Lei. O RPDUE está adaptado ao contexto específico das instituições e dos órgãos e organismos da UE, conforme descrito nos pontos infra: ·uma vez que o seu âmbito de aplicação abrange exclusivamente as instituições e os órgãos e organismos da UE enquanto organismos públicos, foram omitidas várias disposições do RGPD que apenas são relevantes para o setor privado. Por exemplo, a possibilidade de proceder ao tratamento com base na base jurídica de «interesses legítimos» do responsável pelo tratamento não existe no RPDUE, ·a atribuição de vários poderes à Comissão para adotar atos de execução ou atos delegados não se repete enquanto tal; em vez disso, o RPDUE remete para o RGPD ou para a Diretiva Proteção de Dados na Aplicação da Lei. Por exemplo, o RPDUE não contém um mecanismo para a adoção de decisões de adequação para transferências internacionais, mas as decisões de adequação adotadas ao abrigo do RGPD ou da Diretiva Proteção de Dados na Aplicação da Lei também podem ser invocadas pelas instituições e pelos órgãos e organismos da UE, ·o RPDUE também cria diretamente a AEPD, definindo as suas atribuições, os seus poderes e os seus procedimentos de nomeação. Nos termos do RGPD e da Diretiva Proteção de Dados na Aplicação da Lei, as respetivas autoridades de controlo são estabelecidas ao abrigo do direito nacional, em conformidade com os requisitos destes dois atos, ·o capítulo do RPDUE aplicável aos órgãos e organismos da UE no domínio da aplicação do direito penal é funcionalmente equivalente ao da Diretiva Proteção de Dados na Aplicação da Lei para esses órgãos e organismos. Contudo, enquanto regulamento diretamente aplicável, é formulado de forma diferente. Prevê regras gerais que devem ser completadas por disposições específicas nos atos de criação dos órgãos e organismos que atuam neste domínio, sempre que necessário. Prevê um regime adaptado para o tratamento de dados pessoais operacionais, tendo em conta a natureza específica deste setor, por exemplo, as regras relativas à informação a transmitir aos titulares dos dados, que asseguram a proteção da investigação. 3Aplicação do RPDUE nas instituições e nos órgãos e organismos da UE

3.1Papel das instituições e dos órgãos e organismos da UE enquanto responsáveis pelo tratamento As reações gerais das instituições e dos órgãos e organismos da UE mostram que os primeiros anos de aplicação do RPDUE contribuíram com êxito para reforçar a sua cultura geral de proteção de dados. A este respeito, 94 % das instituições e dos órgãos e organismos da UE afirmaram que a entrada em vigor do RPDUE aumentou, um pouco ou muito, a sensibilização da sua organização para as regras em matéria de proteção de dados. De um modo geral, as instituições e os órgãos e organismos da UE indicaram que o RPDUE teve um impacto positivo nas suas políticas de proteção de dados, e que o seu pessoal está mais consciente da responsabilidade da respetiva organização enquanto responsável pelo tratamento dos dados e dos requisitos aplicáveis ao tratamento de dados pessoais. As instituições e os órgãos e organismos da UE mencionaram a realização de avaliações de impacto relativas à proteção de dados, a identificação e gestão de violações de dados e a análise da proteção de dados desde a conceção e por defeito como os principais impactos do RPDUE em comparação com o Regulamento (CE) n.º 45/2001 revogado. O RPDUE torna mais visível a possibilidade de existir responsabilidade conjunta pelo tratamento — várias organizações que definem em conjunto as finalidades e os meios de tratamento de dados pessoais — da mesma forma que o RGPD. A AEPD forneceu orientações sobre este tema e a Comissão elaborou modelos internos para acordos conjuntos de responsabilidade pelo tratamento. Embora os requisitos adicionais em matéria de responsabilidade necessários para demonstrar a conformidade com o RPDUE para as instituições e os órgãos e organismos da UE tenham sido, de um modo geral, bem recebidos, alguns desses órgãos e organismos observaram que as regras do RPDUE conduziram a um aumento da carga de trabalho. Salientaram igualmente que o RPDUE estabelece regras relativamente complexas, o que significa que as instituições e os órgãos e organismos da UE necessitam de pessoas com mais conhecimentos especializados, nomeadamente entre os seus encarregados da proteção de dados (EPD), bem como nas redes de coordenadores da proteção de dados (CPD) nas instituições e nos órgãos e organismos da UE que possuem essas redes. Todas as instituições e todos os órgãos e organismos da UE, com exceção de dois, conservam os seus registos das operações de tratamento num registo central. Embora não se trate de um requisito específico no âmbito do RPDUE, trata-se de uma boa prática também recomendada pela AEPD. Além disso, 72 % das instituições e dos órgãos e organismos da UE converteram em registos todas as suas notificações aos EPD ao abrigo do regulamento anterior. As instituições e os órgãos e organismos da UE que ainda não tenham concluído esta tarefa devem rever e atualizar a sua documentação relativa às operações de tratamento, a fim de garantir que está completa e atualizada. 3.2Exercício dos direitos dos titulares dos dados O RPDUE confere aos titulares dos dados um vasto conjunto de direitos sobre o tratamento dos seus dados pessoais, em conformidade com o RGPD. Enquanto responsáveis pelo tratamento dos dados, as instituições e os órgãos e organismos da UE têm uma obrigação específica de facilitar o exercício destes direitos. Consequentemente, 96 % das instituições e dos órgãos e organismos da UE indicaram ter realizado atividades de sensibilização, como a atualização de informações publicamente disponíveis sobre as suas operações de tratamento, o envio de mensagens informativas ou a elaboração de guias para os titulares dos dados. Várias instituições e vários órgãos e organismos da UE, como a Comissão, o Banco Central Europeu e o Serviço Europeu para a Ação Externa, comunicaram um aumento evidente dos pedidos recebidos de pessoas entre 2018 e 2021. Contudo, para outros, como o Tribunal de Justiça da União Europeia, o Comité Económico e Social Europeu e a Agência da União Europeia para o Asilo, os números mantiveram-se estáveis ou flutuaram sem uma tendência clara. Ainda não é possível identificar uma tendência clara no número de pedidos de titulares de dados na sequência da entrada em vigor do RPDUE, uma vez que a forma de registar os diferentes tipos de pedidos varia de um organismo para o outro. 3.3Limitar os direitos dos titulares dos dados através de regras internas À semelhança do RGPD, o RPDUE prevê a possibilidade de limitar determinados direitos dos titulares dos dados. Essa limitação pode ser feita através de atos legislativos e de regras internas. São aplicados critérios rigorosos a essas regras internas. Devem ser claras e precisas e a sua aplicação deve ser previsível para as pessoas a elas sujeitas. As regras devem ser publicadas no Jornal Oficial e cumprir os requisitos estabelecidos na Carta dos Direitos Fundamentais e na Convenção Europeia para a Proteção dos Direitos do Homem e das Liberdades Fundamentais. As limitações baseadas em regras internas só podem dizer respeito ao funcionamento das instituições e dos órgãos e organismos da UE. Devem respeitar os direitos fundamentais, constituir medidas necessárias e proporcionadas numa sociedade democrática e procurar salvaguardar um dos objetivos especificamente enumerados no RPDUE. Qualquer titular de dados cujos direitos tenham sido limitados tem o direito de apresentar uma reclamação à AEPD. Uma grande maioria (84 %) das instituições e dos órgãos e organismos da UE adotaram regras internas. Essas regras foram introduzidas, por exemplo, para permitir o adiamento da prestação de informações a uma pessoa em causa no âmbito de um inquérito administrativo interno. Noutros organismos, o objetivo dessas regras tem sido assegurar a continuação de uma cooperação eficaz com os Estados-Membros nos domínios em que as atividades das instituições e dos órgãos e organismos da UE se baseiam em informações recebidas das autoridades competentes dos Estados-Membros. Por exemplo, as regras internas adotadas pela Comissão para o tratamento de dados pessoais no âmbito das suas atividades de concorrência, antifraude e auditoria interna incluem a possibilidade de introduzir limitações aos direitos dos titulares dos dados quando os dados pessoais são obtidos junto das autoridades competentes dos Estados-Membros. Essas regras estabelecem a possibilidade de impor limitações semelhantes quando as autoridades nacionais impuseram limitações com base numa medida legislativa possível ao abrigo do RGPD ou da Diretiva Proteção de Dados na Aplicação da Lei. Nos casos em que as instituições e os órgãos e organismos da UE adotaram regras internas que permitem limitar os direitos dos titulares dos dados, estas são geralmente aplicadas caso a caso, conforme exigido pelas respetivas regras internas. Contudo, 69 % das instituições e dos órgãos e organismos da UE que têm em vigor regras do artigo 25.º referem que ainda não as utilizaram. Os que as utilizaram comunicaram menos de dez casos de limitações, com exceção do Parlamento Europeu e da Comissão. A necessidade de limitações surgiu mais frequentemente nas atividades do OLAF, nomeadamente no que diz respeito ao adiamento da comunicação de informações aos titulares dos dados sobre o tratamento dos seus dados pessoais quando uma investigação se encontra ainda numa fase inicial, de modo a não prejudicar a recolha de elementos de prova. O OLAF também aplicou várias limitações aos pedidos de acesso dos titulares dos dados aos seus próprios dados pessoais, que tinham sido rejeitados apenas para proteger os direitos e liberdades de terceiros, por exemplo, quando a divulgação dos dados colocasse um informador em risco de retaliação. As regras internas das instituições e dos órgãos e organismos da UE exigem normalmente que informem os seus EPD de quaisquer limitações aplicadas e que facultem aos EPD o acesso ao registo e a quaisquer documentos sobre essas limitações. 3.4Encarregados da proteção de dados A obrigação de ter um EPD em cada instituição, órgão e organismo da UE já estava prevista no regulamento anterior, o Regulamento (CE) n.º 45/2001. O RPDUE deu maior visibilidade a este papel através da introdução do princípio da responsabilidade. Significa isto que o responsável pelo tratamento é responsável pelo cumprimento das regras em matéria de proteção de dados e deve conseguir demonstrá-lo. Em 46 % das instituições e dos órgãos e organismos da UE, os EPD são apoiados por redes de CPD ou estruturas semelhantes. É mais frequente que sejam as instituições e os órgãos e organismos da UE de maior dimensão a dispor dessas redes [por exemplo, o Parlamento Europeu, o Secretariado-Geral do Conselho, a Comissão e o Serviço Europeu para a Ação Externa (SEAE)]. O SEAE também organiza e mantém uma rede de correspondentes em matéria de proteção de dados nas delegações da UE. Várias instituições e vários órgãos e organismos da UE assinalaram o aumento das responsabilidades e do volume de trabalho dos seus EPD (e, por extensão, dos CPD). Reconheceram a necessidade de dotar os EPD (e CPD) de mais recursos para garantir que possam aplicar eficazmente as suas políticas de proteção de dados. Foi igualmente mencionada a necessidade de assegurar a independência dos EPD. Neste contexto, verificam-se duas tendências: Por um lado, o RPDUE dá maior ênfase à responsabilidade do responsável pelo tratamento, por exemplo, suprimindo o procedimento de verificação prévia que existia ao abrigo do regulamento anterior, o Regulamento (CE) n.º 45/2001, reduzindo assim os encargos administrativos. Por outro lado, os responsáveis pelo tratamento solicitam mais orientações aos EPD/CPD sobre a melhor forma de cumprir o RPDUE. A este respeito, observou-se que a rede de EPD das instituições e dos órgãos e organismos da UE constituiu um fórum importante para debater e clarificar determinados aspetos jurídicos e técnicos específicos do tratamento de dados pelas instituições e pelos órgãos e organismos da UE. Esta rede proporciona uma plataforma de intercâmbio entre os EPD e a AEPD e entre os próprios EPD. Coopera de forma contínua e, normalmente, reúne-se duas vezes por ano. Mais de metade (54 %) das instituições e dos órgãos e organismos da UE disponibilizaram mais recursos aos seus EPD e, de um modo mais geral, para funções de proteção de dados. A maioria (84 %) das instituições e dos órgãos e organismos da UE adaptou os seus processos internos para garantir que o seu pessoal informa e consulta os EPD sobre novas operações de tratamento de dados pessoais. Tal é geralmente conseguido através da inclusão dos EPD, por exemplo, nos processos de gestão de alterações ou nos conselhos diretores de projetos.

3.5Avaliações de impacto relativas à proteção de dados O maior número de avaliações de impacto relativas à proteção de dados foram realizadas pelo Banco Central Europeu, pelo Banco Europeu de Investimento e pela Comissão. Em comparação com o anterior sistema de «controlo prévio» ao abrigo do Regulamento (CE) n.º 45/2001, o número de casos enviados à AEPD diminuiu significativamente. Previa-se que fosse esta a consequência desta alteração; ao mesmo tempo, reduziram-se as consultas da AEPD sobre operações administrativas de tratamento, como a avaliação do pessoal. O quadro 1 do anexo apresenta uma panorâmica das avaliações de impacto relativas à proteção de dados realizadas pelas instituições e pelos órgãos e organismos da UE entre 2019 e 2021. Das instituições e dos órgãos e organismos da UE, quase todos (94 %) concordaram que os critérios do RPDUE referentes ao momento em que têm de realizar as avaliações de impacto relativas à proteção de dados abrangem adequadamente as operações de tratamento de alto risco. Os que discordaram salientaram a necessidade de a AEPD ter em conta o desenvolvimento tecnológico na interpretação destes critérios». Por exemplo, a computação em nuvem já não é uma tecnologia «nova», o que importa ter em conta ao avaliar se têm de ser realizadas avaliações de impacto relativas à proteção de dados. As instituições e os órgãos e organismos da UE que levantaram esta questão consideram em geral que o próprio texto jurídico é suficientemente claro e que se trata de uma questão de interpretação por parte da AEPD. O RPDUE não contém qualquer obrigação específica de publicar os resultados das avaliações de impacto relativas à proteção de dados. Uma grande maioria (84 %) das instituições e dos órgãos e organismos da UE não publica as avaliações de impacto relativas à proteção de dados que executaram, ao passo que 14 % publicam-nas em parte ou em síntese, eliminando informações que poderiam comprometer as salvaguardas de segurança adotadas. Apenas um organismo indicou que publica na íntegra as suas avaliações de impacto relativas à proteção de dados. A publicação das avaliações de impacto relativas à proteção de dados, suprimindo, se necessário, informações que coloquem em risco a segurança das operações de tratamento, melhora a transparência no que respeita ao cumprimento das regras do RPDUE por parte das instituições e dos órgãos e organismos da UE e constitui uma boa prática recomendada pela AEPD. 3.6Transferências internacionais de dados Das instituições e dos órgãos e organismos da UE, quase todos (91 %) comunicaram que as suas atividades envolvem transferências internacionais de dados pessoais. Tal inclui as transferências de dados para países não pertencentes à UE/EEE, bem como para organizações internacionais. Contudo, várias instituições e vários órgãos e organismos da UE referiram que estas transferências são raras ou dizem apenas respeito a uma quantidade limitada de dados pessoais. No que diz respeito aos instrumentos de transferência utilizados, as instituições e os órgãos e organismos da UE fizeram sobretudo referência a decisões de adequação (adotadas ao abrigo do RGPD ou da Diretiva Proteção de Dados na Aplicação da Lei) e a instrumentos contratuais, por exemplo, para transferências de dados para empresas privadas. Para as transferências de dados para organismos públicos, também são utilizados outros instrumentos, como acordos juridicamente vinculativos e disposições administrativas. Além disso, 51 % das instituições e dos órgãos e organismos da UE mencionaram que efetuam transferências limitadas e ocasionais, por exemplo, para organizar ações de formação, com base nos fundamentos legais das transferências de dados (as «derrogações»). Na prática, as transferências de dados não são em geral efetuadas diretamente pelas instituições e pelos órgãos e organismos da UE, mas sim pelos seus subcontratantes (que não são instituições, órgãos e organismos da UE) agindo em seu nome. Por conseguinte, a Comissão abordou especificamente este cenário nas cláusulas contratuais-tipo adotadas ao abrigo do RGPD em junho de 2021 para ajudar os responsáveis pelo tratamento e os subcontratantes a cumprir os requisitos do RGPD e do RPDUE. Em especial, os subcontratantes do Espaço Económico Europeu (EEE) têm a possibilidade de incluir estas cláusulas contratuais-tipo para as transferências internacionais de dados nos contratos com os seus subcontratantes ulteriores em países terceiros. Tal garante o cumprimento das regras do RPDUE relativas à contratação de subcontratantes ulteriores em nome das instituições e dos órgãos e organismos da UE, desde que as obrigações em matéria de proteção de dados estejam alinhadas nos contratos entre: i) a instituição ou o órgão ou organismo da UE e o subcontratante; e ii) o subcontratante e o seu subcontratante ulterior. Em especial, as instituições e os órgãos e organismos da UE podem assegurar esse alinhamento utilizando as cláusulas contratuais-tipo adotadas pela Comissão para a relação entre os responsáveis pelo tratamento e os subcontratantes. Para fornecer instrumentos adicionais que proporcionem garantias adequadas às transferências diretas de dados das instituições e dos órgãos e organismos da UE para países terceiros (ou seja, sem a participação de um subcontratante da UE/EEE), a Comissão está atualmente a desenvolver cláusulas contratuais-tipo nos termos do artigo 48.º, n.º 2, alínea b), do RPDUE. Estas cláusulas serão alinhadas, tanto quanto possível, com as cláusulas em vigor adotadas ao abrigo do RGPD. Por último, tendo em conta as questões específicas que surgem quando os dados pessoais são transferidos para organizações internacionais (por exemplo, devido ao estatuto das organizações internacionais e aos privilégios e imunidades aplicáveis), a Comissão está a trabalhar em conjunto com as instituições e os órgãos e organismos da UE e com os EPD para desenvolver instrumentos específicos (por exemplo, disposições administrativas) adaptados a essas transferências. 4Atividades da AEPD 4.1A AEPD enquanto autoridade de controlo da proteção de dados das instituições e dos órgãos e organismos da UE A AEPD é a autoridade independente de controlo da proteção de dados das instituições e dos órgãos e organismos da UE, refletindo o papel das autoridades nacionais de controlo da proteção de dados estabelecidas nos Estados-Membros ao abrigo do RGPD e da Diretiva Proteção de Dados na Aplicação da Lei. O quadro 2 do anexo apresenta uma panorâmica das atividades de controlo da AEPD de 2018 a 2021. Desde que o RPDUE entrou em vigor, em 11 de dezembro de 2018, os valores para 2018 fornecem uma base de referência, que permite comparar a situação com a do regulamento anterior, o Regulamento (CE) n.º 45/2001. A AEPD observou uma mudança no sentido de a atividade principal das instituições e dos órgãos e organismos da UE constar dos temas das consultas por eles recebidas desde a entrada em vigor do RPDUE. Esta mudança significa que as questões passaram a incidir mais sobre o tratamento de dados pessoais para a realização de tarefas de interesse público atribuídas às instituições e aos órgãos e organismos da UE e menos em temas «administrativos», como a gestão do pessoal. O número de reclamações inadmissíveis recebidas pela AEPD aumentou entre 2019 e 2021. A maioria das reclamações consideradas inadmissíveis eram contra responsáveis pelo tratamento de dados nos Estados-Membros, que não são supervisionados pela AEPD, mas sim pelas respetivas autoridades nacionais de proteção de dados. Os números relativos a 2018 foram, muito provavelmente, mais elevados porque o RGPD passou a ser aplicável. Esta situação levou a uma maior sensibilização da população para as regras de proteção de dados, mas também a um aumento do número de reclamações inadmissíveis. A AEPD pode igualmente dar por concluídas as reclamações admissíveis sempre que tenha sido encontrada uma solução amigável. Em matéria de inspeções e auditorias, o ano de 2019 revelou um aumento em comparação com o cenário de referência de 2018, seguido de uma diminuição em 2020 e 2021. Tal pode ser explicado pelo facto de a pandemia de COVID-19 dificultar os controlos no local e de os substituir por auditorias à distância. A AEPD avalia os riscos para decidir quais as instituições e os órgãos e organismos da UE que serão inspecionados. Esta avaliação tem em conta, por exemplo, o número de consultas apresentadas, especialmente quando são tratadas categorias especiais de dados como parte da atividade principal da instituição ou do órgão ou organismo da UE. A AEPD pode igualmente decidir realizar investigações por sua própria iniciativa, por exemplo, sobre a utilização de prestadores de serviços de computação em nuvem pelas instituições e pelos órgãos e organismos da UE. No que diz respeito às violações de dados, a AEPD comunicou que, na maioria dos casos, o erro humano foi a causa subjacente, seguido de erros técnicos e ataques externos. A AEPD utilizou a maior parte dos seus poderes ao abrigo do RPDUE, incluindo, por exemplo, a imposição de proibições temporárias às operações de tratamento. Até à data, não utilizou o seu novo poder para aplicar coimas, o que constitui uma medida de último recurso no âmbito do RPDUE. A AEPD salientou igualmente, no seu contributo para o presente relatório, que investiu em atividades de sensibilização, como a formação, com um pico de mais de 4 600 participantes estimados em 2019, na sequência da entrada em vigor do RPDUE. Embora o número de participantes em 2020 e 2021 tenha diminuído em relação a esse pico, continua a ser significativamente superior à base de referência dos 1 000 participantes estimados em 2018.

As instituições e os órgãos e organismos da UE deram opiniões globalmente positivas sobre as interações com a AEPD e as orientações recebidas da AEPD, tendo 86 % indicado que as respostas eram sempre ou na sua maioria fáceis de compreender. As instituições e os órgãos e organismos da UE também apreciaram o aumento dos contactos da AEPD com a rede de EPD. Contudo, algumas instituições e alguns órgãos e organismos da UE observaram que, por vezes, o aconselhamento da AEPD chegou demasiado tarde. Sublinharam a importância de a AEPD continuar a prestar apoio e aconselhamento e apelaram à elaboração de orientações práticas e atempadas sobre determinadas questões relacionadas com a proteção de dados. Estas questões incluem a aplicação da abordagem baseada no risco para os responsáveis pelo tratamento, as transferências internacionais e a relação entre os responsáveis pelo tratamento (incluindo os responsáveis conjuntos pelo tratamento) e os seus subcontratantes. 4.2A AEPD na qualidade de consultora do legislador da UE A Comissão consulta formalmente a AEPD, em especial sobre propostas legislativas com impacto no tratamento de dados pessoais, na sequência da sua adoção pelo Colégio. A AEPD responde a estas consultas com pareceres ou comentários. A AEPD também emite pareceres de iniciativa, como o seu parecer preliminar sobre o Espaço Europeu de Dados de Saúde. Sempre que uma proposta se revista de especial importância para a proteção de dados, a Comissão pode igualmente consultar o Comité Europeu para a Proteção de Dados (CEPD). Nesse caso, a AEPD e o CEPD devem emitir um parecer conjunto para assegurar que o legislador da UE recebe aconselhamento coerente. A Comissão também consulta informalmente a AEPD antes de o Colégio adotar atos sujeitos a requisitos de consulta. Em resposta a essas consultas, a AEPD apresenta observações informais à Comissão. Esta possibilidade contribui para assegurar que os atos da Comissão estão em plena conformidade com as regras em matéria de proteção de dados antes da sua adoção. As consultas informais são sobretudo utilizadas para atos de caráter sensível ou com um impacto mais significativo na proteção de dados. A atividade da AEPD enquanto consultora do legislador da UE depende do número de novas propostas elaboradas pela Comissão. Na sequência de números mais baixos no último ano da Comissão cessante, o crescimento acentuado das observações formais em 2021 deve-se ao aumento do número de propostas legislativas e aos esforços da Comissão para assegurar uma aplicação coerente da obrigação de consultar a AEPD. Tal inclui atos de execução e atos delegados que envolvam o tratamento de dados pessoais. Na sequência da entrada em vigor do RPDUE, o Secretariado-Geral da Comissão elaborou procedimentos e sensibilizou os serviços para a obrigação de consultar a AEPD, o que resultou numa consulta mais sistemática, nomeadamente para os atos de execução e os atos delegados. Para efeitos de planeamento, a AEPD e os serviços da Comissão realizam reuniões anuais sobre o próximo programa de trabalho e propostas que exigirão consulta. 4.3Cooperação entre a AEPD e as autoridades nacionais de proteção de dados A AEPD é membro do CEPD e assegura o secretariado deste último. Coopera igualmente com as autoridades nacionais de controlo no exercício das respetivas funções de outras formas. Os exemplos incluem a apresentação de reclamações à autoridade de controlo competente em matéria de proteção de dados ou casos que envolvam prestadores de serviços externos que sejam utilizados tanto pelas instituições e pelos órgãos e organismos da UE como pelos responsáveis pelo tratamento sujeitos ao RGPD. A AEPD também contribui ativamente para o trabalho do CEPD, assumindo funções, por exemplo, como relator principal ou correlator para as orientações, ou contribuindo de outra forma para o seu trabalho. Vários sistemas informáticos de grande escala e agências criadas ao abrigo do direito da UE obrigam a AEPD e as autoridades nacionais de controlo, agindo cada uma no âmbito das respetivas responsabilidades, a cooperar ativamente para assegurar uma supervisão coordenada. No passado, os atos constitutivos de cada sistema ou agência continham disposições específicas para esse efeito. O RPDUE cria um sistema harmonizado para esta coordenação da supervisão, que pode ser referido noutros atos. É o que acontece no Sistema de Informação do Mercado Interno, no ECRIS-TCN, na Eurojust e, mais recentemente, na Europol. Outros sistemas ainda dispõem de grupos de coordenação da supervisão com regras pormenorizadas nos seus atos constitutivos, ou referências pormenorizadas a reuniões no âmbito do CEPD. A AEPD contribui igualmente para o mecanismo de avaliação de Schengen, criado ao abrigo do Regulamento (CE) n.º 1053/2013 do Conselho. Nos termos desse regulamento, a Comissão pode convidar a AEPD a designar um observador para participar numa visita no local relativamente a um domínio abrangido pelo seu mandato, ou seja, avaliações da proteção de dados. Tal corresponde à possibilidade de a Frontex e a Europol designarem observadores para as avaliações da gestão das fronteiras e da cooperação policial, respetivamente. Na opinião da Comissão, os conhecimentos especializados dos observadores da AEPD constituem um trunfo valioso para as avaliações da proteção de dados. 4.4Recursos da AEPD O número de efetivos da AEPD (incluindo o secretariado do CEPD) aumentou de forma constante ao longo do período de referência, refletindo a tendência global das autoridades nacionais de controlo da proteção de dados. As atividades do secretariado do CEPD aumentaram ao longo do tempo, com uma produção crescente de orientações, recomendações, pareceres e outros documentos do CEPD para os quais o secretariado contribui. É essencial disponibilizar recursos suficientes ao secretariado do CEPD, dado o papel mais relevante que deverá desempenhar na aplicação eficaz do RGPD. Tal diz respeito, em especial, ao objetivo do CEPD de desenvolver uma cooperação mais estreita em matéria de trabalho estratégico e de utilizar novos instrumentos de apoio à cooperação entre as autoridades de proteção de dados. Em especial, a existência de um secretariado forte e dotado de recursos suficientes para apoiar o trabalho do CEPD é fundamental para assegurar que o CEPD possa realizar o seu trabalho conforme necessário, nomeadamente no contexto do procedimento de controlo da coerência, cuja utilização deverá continuar a aumentar. No seu contributo para o presente relatório, a AEPD considerou, em especial, que, caso lhe fossem confiadas tarefas adicionais, por exemplo, enquanto autoridade de fiscalização do mercado ao abrigo da proposta legislativa relativa à inteligência artificial, a AEPD deveria dispor dos recursos adicionais correspondentes. 5Utilização pela Comissão dos poderes para adotar atos delegados e atos de execução O RPDUE contém várias disposições que habilitam a Comissão a adotar atos de execução e estabelecer cláusulas-tipo, bem como referências cruzadas à atribuição de competências ao abrigo do RGPD. O RPDUE contém disposições que habilitam a Comissão a estabelecer cláusulas contratuais-tipo de proteção de dados para os contratos relativos aos responsáveis pelo tratamento de dados/subcontratantes, correspondentes à atribuição de competências prevista no RGPD. Em junho de 2021, a Comissão utilizou esta habilitação e adotou cláusulas contratuais-tipo que abrangem as relações entre o responsável pelo tratamento e o subcontratante, abrangendo tanto o RGPD como o RPDUE. Estas cláusulas proporcionam instrumentos de fácil utilização para que os responsáveis pelo tratamento possam gerir eficazmente as relações com os seus subcontratantes. O RPDUE também habilita a Comissão a adotar cláusulas contratuais-tipo de proteção de dados, a fim de prever garantias adequadas para a transferência de dados pessoais para fora da UE/do EEE. A Comissão está atualmente a preparar essas cláusulas. 6Regras de proteção de dados aplicáveis aos órgãos e organismos que lidam com a cooperação policial e judiciária em matéria penal O capítulo IX do RPDUE contém regras para o tratamento de dados pessoais operacionais por parte das instituições e dos órgãos e organismos da UE no exercício de atividades abrangidas pelo âmbito da cooperação policial e judiciária em matéria penal («capítulo relativo à aplicação da lei»). O objetivo passa por reduzir a fragmentação: ·entre os regimes de proteção de dados aplicáveis ao tratamento de dados operacionais pelos organismos da UE neste domínio,

·com o regime de proteção de dados aplicável às atividades nacionais de aplicação do direito penal ao abrigo da Diretiva Proteção de Dados na Aplicação da Lei. Para o efeito, o capítulo relativo à aplicação da lei do RPDUE prevê um conjunto de regras horizontais baseadas na Diretiva Proteção de Dados na Aplicação da Lei. Estas regras podem ser completadas, se necessário, por regras específicas nos atos constitutivos das agências, em função dos respetivos mandatos e da natureza específica das suas atribuições e operações de tratamento de dados. O RPDUE prevê a necessidade de assegurar uma proteção uniforme e coerente das pessoas singulares no tratamento dos seus dados pessoais. Para o efeito, chama expressamente a atenção para o objetivo de alargar a aplicação do capítulo relativo à aplicação da lei do RPDUE aos organismos que dispunham de quadros separados em matéria de proteção de dados nos seus atos constitutivos aquando da adoção do RPDUE, nomeadamente a Europol e a Procuradoria Europeia. Refere igualmente a eventual alteração do capítulo relativo à aplicação da lei, se necessário. 6.1Alargamento da aplicação do capítulo do RPDUE relativo à aplicação da lei No momento da redação do presente documento, o capítulo relativo à aplicação da lei do RPDUE aplica-se ao tratamento de dados pessoais operacionais pela: ·Eurojust, complementado por regras específicas incluídas no Regulamento Eurojust, ·Europol, complementado por regras específicas incluídas no Regulamento Europol, que foi alterado desde a entrada em vigor do RPDUE, ·Frontex, relativamente à pequena parte das suas atividades que fazem parte da aplicação do direito penal. No entanto, o capítulo relativo à aplicação da lei do RPDUE ainda não se aplica à Procuradoria Europeia, uma vez que o regulamento que a institui foi adotado antes do RPDUE. O regulamento que institui a Procuradoria Europeia prevê um regime autónomo para o tratamento de dados operacionais. Daqui resultam duas consequências: Em primeiro lugar, algumas disposições do regulamento que institui a Procuradoria Europeia diferem, em substância, do capítulo relativo à aplicação da lei do RPDUE, como o tratamento de dados pessoais «limitados». Em segundo lugar, algumas disposições do regulamento que institui a Procuradoria Europeia, embora semelhantes em substância, estão redigidas de forma diferente do capítulo relativo à aplicação da lei do RPDUE, o que pode conduzir a interpretações díspares. Por razões de coerência e em consonância com o objetivo geral de minimizar a fragmentação das regras de proteção de dados, a Procuradoria Europeia deverá seguir uma abordagem semelhante à adotada para a Eurojust e a Europol. O objetivo é assegurar a aplicabilidade direta do capítulo relativo à aplicação da lei do RPDUE à Procuradoria Europeia, mantendo apenas as especificações necessárias no regulamento que institui a Procuradoria Europeia. Ao mesmo tempo, dado que a Procuradoria Europeia está operacional há apenas um ano, continua a ser necessário, a curto prazo, recolher mais informações sobre a aplicação prática do regime de proteção de dados da Procuradoria Europeia. Tal permitirá identificar com precisão essas especificações, tendo em conta a natureza da Procuradoria Europeia enquanto procuradoria independente da UE. 6.2Clarificar a aplicabilidade de determinadas disposições do RPDUE ao tratamento de dados operacionais O RPDUE estabelece que «[a]o tratamento de dados pessoais operacionais [...] só se aplicam o artigo 3.º [definições] e o capítulo IX [capítulo relativo à aplicação da lei] do presente regulamento». O capítulo relativo à aplicação da lei contém disposições substantivas que correspondem à maioria das disposições dos capítulos II a V do RPDUE (princípios gerais, direitos dos titulares dos dados, determinadas obrigações dos responsáveis pelo tratamento e dos subcontratantes, transferências internacionais de dados), com algumas diferenças para ter em conta a natureza específica da aplicação da lei (por exemplo, regras relativas à informação dos titulares dos dados e ao direito de acesso destes aos seus dados). É importante clarificar, através da alteração do RPDUE, que o capítulo relativo à aplicação da lei só estabelece regras específicas para as disposições correspondentes de outros capítulos do RPDUE que tenham um equivalente direto no capítulo relativo à aplicação da lei. Desta forma, se o legislador não incluir regras específicas no ato que institui um organismo, aplicam-se ao tratamento de dados operacionais as disposições de outros capítulos que não o capítulo relativo à aplicação da lei que não tenham equivalente direto neste último. Esta alteração melhoraria a segurança jurídica e proporcionaria um quadro completo (por exemplo, sobre a posição dos EPD, a cooperação com as autoridades nacionais de controlo da proteção de dados), nomeadamente para quaisquer futuros organismos neste domínio. A existência de um quadro tão completo também reduziria os riscos de fragmentação. 6.3Poderes da AEPD em matéria de supervisão dos órgãos e organismos da UE Atualmente, os regulamentos que instituem a Procuradoria Europeia, a Eurojust e a Europol contêm disposições específicas sobre as competências da AEPD. O Regulamento Europol atualizado confere à AEPD poderes que estão alinhados com os do artigo 58.º do RPDUE. É o caso, nomeadamente, do poder de impor coimas e do poder de ordenar ao responsável pelo tratamento ou ao subcontratante que assegurem a conformidade das operações de tratamento, se for caso disso, de uma forma específica e num prazo determinado. Contudo, no caso da Procuradoria Europeia, os poderes da AEPD são formulados de forma diferente da do RPDUE. A AEPD não dispõe dos dois poderes acima referidos. O Regulamento Frontex, para a pequena parte das atividades da Frontex abrangidas pelo capítulo relativo à aplicação da lei, não inclui quaisquer disposições específicas sobre os poderes da AEPD, o que conduz a incertezas quanto a esses poderes.

É possível atribuir à AEPD todos os poderes previstos no artigo 58.º do RPDUE seguindo as duas etapas indicadas a seguir: 1.Clarificar que o RPDUE, como opção por defeito, confia à AEPD a supervisão do capítulo relativo à aplicação da lei e os poderes que lhe são conferidos nos termos do artigo 58.º do RPDUE. Para tal, é necessário alterar o RPDUE, como proposto na secção anterior. Também permitiria colmatar a lacuna existente no Regulamento Frontex; 2.Ao suprimir as disposições sobre os poderes da AEPD dos atos fundadores dos órgãos e organismos, todos os poderes conferidos à AEPD ao abrigo do RPDUE alterado seriam diretamente aplicáveis à Eurojust e à Procuradoria Europeia. O objetivo é alinhá-los tanto quanto possível, a fim de reduzir a fragmentação das regras em matéria de proteção de dados. 7Próximas etapas De um modo geral, o RPDUE está a funcionar bem e é adequado à sua finalidade. Nesta fase, a Comissão não proporá alterações às partes que sejam equivalentes às regras correspondentes do RGPD, mantendo assim o maior alinhamento possível entre o RPDUE e o RGPD. As eventuais alterações consideradas no presente relatório dizem respeito a outras partes, designadamente a relação entre o capítulo relativo à aplicação da lei do RPDUE e as outras disposições do presente regulamento. Na primavera de 2022, a Comissão propôs regras para reforçar a segurança da informação nas instituições e nos órgãos e organismos da UE, o que terá um impacto positivo na segurança da informação, nomeadamente na proteção dos dados pessoais. Essa proposta visa continuar a melhorar a resiliência e a capacidade de resposta das instituições e dos órgãos e organismos da UE aos incidentes quando enfrentam ameaças de cibersegurança. A Comissão tomará igualmente as medidas descritas nos pontos seguintes: -ao atualizar os atos de criação de sistemas informáticos de grande escala que ainda incluem regras pormenorizadas sobre um modelo de coordenação da supervisão, assegurar a aplicação do modelo de coordenação da supervisão do RPDUE, a fim de simplificar os procedimentos, -considerar alterações ao RPDUE, a fim de: omelhorar a segurança jurídica e completar o quadro para o tratamento de dados operacionais, clarificando no artigo 2.º, n.º 2, que as disposições gerais do RPDUE também se aplicam ao tratamento de dados pessoais operacionais, a menos que o capítulo relativo à aplicação da lei contenha disposições específicas (por exemplo, sobre o direito de acesso). Tal proporcionaria também um quadro predefinido para quaisquer futuros organismos nos domínios da cooperação judiciária em matéria penal e da cooperação policial, oassegurar a participação da AEPD, na qualidade de observador, em todas as avaliações da proteção de dados no âmbito do mecanismo de avaliação de Schengen, -subsequentemente, ponderar a alteração dos regulamentos Procuradoria Europeia e Eurojust numa futura revisão para assegurar a plena aplicação das regras relativas ao tratamento de dados pessoais operacionais constantes do RPDUE alterado, tendo em conta a natureza específica desses organismos. Tal conduzirá igualmente à harmonização dos poderes da AEPD sobre estes organismos e agências com os poderes que detém sobre as outras instituições e os outros órgãos e organismos da UE, -propor cláusulas contratuais-tipo para as transferências internacionais de dados pessoais aplicáveis às instituições e aos órgãos e organismos da UE, -prosseguir a estreita cooperação com a AEPD (e, se for caso disso, o CEPD), a fim de assegurar uma consulta atempada e específica sobre as novas propostas, e continuar a consultar informalmente a AEPD sobre textos importantes antes da sua adoção.



Convida-se a AEPD a: -fornecer outras orientações práticas em tempo útil às instituições e aos órgãos e organismos da UE, nomeadamente em matéria de transferências internacionais de dados, -continuar a sensibilizar os responsáveis pelo tratamento e os subcontratantes para as suas obrigações ao abrigo do RPDUE, bem como a aconselhar os EPD,

-intensificar os esforços para aplicar eficazmente o RPDUE, a fim de assegurar a plena proteção dos titulares dos dados. As instituições e os órgãos e organismos da UE são convidados a: -prosseguir e, se necessário, intensificar os esforços de sensibilização para assegurar um nível suficiente de conhecimentos especializados internos sobre as regras do RPDUE, -ponderar a publicação das avaliações de impacto sobre a proteção de dados, excluindo as informações que possam comprometer as salvaguardas de segurança adotadas sempre que necessário, -assegurar que os EPD (bem como os CPD) dispõem de recursos suficientes e de uma posição no seio das instituições e dos órgãos e organismos da UE que lhes permita desempenhar as suas funções de forma eficiente e independente, -finalizar a conversão das restantes notificações ao abrigo do anterior Regulamento relativo à proteção de dados em registos de proteção de dados.



ANEXO Quadro 1 — Avaliações de impacto sobre a proteção de dados e consultas prévias realizadas pelas instituições e pelos órgãos e organismos da UE 2019 2020 2021 Risco residual aceite 30 50 77 Consulta prévia da AEPD 3 3 5 Projeto abandonado 2 2 0 Quadro 2 — Atividades de supervisão da AEPD 2018 2019 2020 2021 Consultas 50 75 59 52 Consultas prévias 0 0 1 4 Autorizações de transferência 0 1 0 4 Reclamações admissíveis recebidas 58 59 43 44 Decisões sobre reclamações admissíveis 23 48 35 22 Reclamações inadmissíveis recebidas 240 151 203 269 Inspeções/auditorias realizadas 5 9 4 4 Investigações formais realizadas 0 4 1 2 Notificações recebidas de violação de dados 7 95 121 82



Quadro 3 — Atividades de supervisão da AEPD 2018 2019 2020 2021 Observações 13 3 19 72 Pareceres 7 6 8 12 Pareceres de iniciativa 1 1 2 0 Pareceres conjuntos com o CEPD 0 1 0 5 Observações informais 33 16 13 25 Quadro 4 — Recursos da AEPD