Síntese do Parecer da Autoridade Europeia para a Proteção de Dados sobre a proposta de alteração do Regulamento da Europol

(O texto integral do presente Parecer encontra-se disponível em inglês, francês e alemão no sítio Web da AEPD em www.edps.europa.eu)

(2021/C 143/05)

Em 9 de dezembro de 2020, a Comissão Europeia apresentou uma proposta de regulamento do Parlamento Europeu e do Conselho que altera o Regulamento (UE) 2016/794 no que se refere à cooperação da Europol com entidades privadas, ao tratamento de dados pessoais pela Europol em apoio das investigações criminais e ao papel da Europol na investigação e inovação. A proposta legislativa visa reforçar e, em certos casos, alargar o mandato da Europol, em resposta às mudanças no panorama da segurança e às ameaças crescentes e cada vez mais complexas.

A AEPD compreende a necessidade de as autoridades responsáveis pela aplicação da lei beneficiarem dos melhores instrumentos jurídicos e técnicos possíveis para cumprirem as suas tarefas, que consistem em detetar, investigar e prevenir crimes e outras ameaças à segurança pública. Além disso, está convicta de que não existe um conflito inerente e inconciliável entre segurança e direitos fundamentais, incluindo o direito à proteção de dados. Por conseguinte, o presente parecer pretende apresentar uma avaliação justa e objetiva da necessidade e da proporcionalidade das medidas propostas, acompanhada de uma série de recomendações específicas para assegurar o equilíbrio adequado entre os valores e interesses em jogo.

As investigações criminais e as operações de informação criminal incluem cada vez mais a recolha e o tratamento de conjuntos de dados complexos e de grande dimensão pelas autoridades responsáveis pela aplicação da lei. Embora a AEPD registe positivamente as salvaguardas que acompanham as derrogações propostas nesses casos, receia que as exceções às atuais regras em matéria de proteção de dados, aplicáveis à Europol, possam, na realidade, vir a ser a regra. Por conseguinte, recomenda que o Regulamento Europol defina melhor as situações e as condições em que a Europol pode recorrer às derrogações propostas. Além disso, mesmo nestes casos, o tratamento de dados pessoais pela Agência deverá respeitar plenamente os princípios e obrigações gerais estabelecidos no Capítulo IX do Regulamento (CE) n.o 2018/1725.

No que se refere às possibilidades jurídicas alargadas de cooperação entre a Europol e entidades privadas, em especial no caso de conjuntos de dados multijurisdicionais ou não imputáveis, a AEPD aprecia que sejam contrabalançados com salvaguardas específicas, como a proibição de transferências sistemáticas, massivas ou estruturais de dados. Ao mesmo tempo, a AEPD recomenda que esta importante restrição seja aplicada a todos os intercâmbios entre a Europol e entidades privadas, independentemente da sua localização - dentro ou fora da UE. A AEPD considera igualmente que o papel jurídico e as responsabilidades exatas da Europol, ao atuar na qualidade de prestador de serviços às autoridades nacionais e, por conseguinte, como responsável pelo tratamento de dados, devem ser clarificados num ato jurídico vinculativo. Além disso, considera necessário avaliar os eventuais riscos para a segurança criados pela abertura da infraestrutura de comunicação da Europol para utilização por entidades privadas.

A AEPD também presta especial atenção à utilização prevista de dados pessoais pela Europol, para fins de investigação e inovação. Ao mesmo tempo, está perfeitamente ciente de que a alternativa – a Europol e as autoridades nacionais responsáveis pela aplicação da lei basearem-se em ferramentas e produtos desenvolvidos por vendedores externos, muitas vezes situados fora da UE – representa claramente riscos muito mais elevados, no que se refere aos direitos fundamentais. Não obstante, a AEPD considera que a nova finalidade de tratamento é demasiado ampla e recomenda que o âmbito das atividades de investigação e inovação seja clarificado num documento vinculativo.

A AEPD congratula-se e apoia plenamente a proposta de reforço do quadro de proteção de dados da Europol e, em especial, a aplicação direta das regras horizontais do Capítulo IX do Regulamento (CE) n.o 2018/1725 ao tratamento de dados operacionais pela Agência. É também um passo importante no sentido de um alinhamento abrangente do quadro de proteção de dados para todas as instituições, órgãos e agências da UE, para o qual a AEPD tem apelado repetidamente.

Com um mandato mais forte da Europol, deverá sempre ser reforçada a supervisão. Por conseguinte, a AEPD apela a uma harmonização total dos seus poderes de supervisão em relação à Europol com os poderes gerais da AEPD previstos no Regulamento (UE) 2018/1725 e aplicáveis às outras instituições, agências e órgãos da UE, incluindo o Parlamento Europeu, o Conselho e a Comissão. Este alinhamento seria coerente com a vontade do legislador da UE e contribuiria para evitar um tratamento diferenciado dos organismos da União e colocá-los numa posição mais ou menos privilegiada.

1. INTRODUÇÃO E CONTEXTO

1. A Agência da União Europeia de Cooperação para a Aplicação da Lei (Europol) foi criada pelo Regulamento (UE) 2016/794 do Parlamento Europeu e do Conselho (Regulamento Europol) para apoiar e reforçar a ação das autoridades competentes dos Estados-Membros e a sua cooperação mútua em matéria de prevenção e luta contra a criminalidade transfronteiriça grave, o terrorismo e outras atividades criminosas que afetam os interesses comuns da União. O Regulamento Europol substituiu o anterior ato jurídico de base - a Decisão 2009/371/JAI ( 1 ) do Conselho - e atribuiu à AEPD a função de supervisionar a legalidade do tratamento de dados pessoais pela Europol a partir de 1 de maio de 2017.

2. Em 9 de dezembro de 2020, a Comissão Europeia adotou uma proposta de regulamento do Parlamento Europeu e do Conselho que altera o Regulamento (UE) 2016/794 no que se refere à cooperação da Europol com entidades privadas, ao tratamento de dados pessoais pela Europol em apoio das investigações criminais e ao papel da Europol na investigação e inovação ( 2 )

3. A proposta foi incluída no Programa de Trabalho da Comissão para 2020 como uma iniciativa legislativa destinada a «reforçar o mandato da Europol a fim de reforçar a cooperação policial operacional». É também uma das ações-chave da Estratégia de Segurança da União Europeia, apresentada em julho de 2020 ( 3 ) . Além disso, a proposta legislativa faz parte de um pacote de medidas, anunciado pela Comissão em 9 de dezembro de 2020, para reforçar a resposta da União à ameaça que o terrorismo representa ( 4 )

4. o do Tratado sobre o Funcionamento da União Europeia (TFUE). As três principais áreas abordadas na proposta são explicitamente mencionadas no título do projeto de regulamento, nomeadamente a cooperação com entidades privadas, o apoio operacional às investigações criminais e a investigação e inovação. No entanto, há uma série de alterações adicionais de outros aspetos importantes do trabalho da Europol, como o regime jurídico relativo à proteção de dados, as transferências de dados para países terceiros, a inserção de indicações no Sistema de Informação de Schengen, etc. Este último elemento está sujeito a uma proposta legislativa separada O objetivo da proposta consiste em reforçar e, se necessário, alargar o mandato da Europol no âmbito da missão e das funções da Agência, tal como previsto no artigo 88.do Tratado sobre o Funcionamento da União Europeia (TFUE). As três principais áreas abordadas na proposta são explicitamente mencionadas no título do projeto de regulamento, nomeadamente a cooperação com entidades privadas, o apoio operacional às investigações criminais e a investigação e inovação. No entanto, há uma série de alterações adicionais de outros aspetos importantes do trabalho da Europol, como o regime jurídico relativo à proteção de dados, as transferências de dados para países terceiros, a inserção de indicações no Sistema de Informação de Schengen, etc. Este último elemento está sujeito a uma proposta legislativa separada ( 5 ) , sobre a qual a AEPD foi igualmente consultada e que comentou num parecer separado.

5. De acordo com a exposição de motivos, a proposta legislativa é uma resposta às mudanças no panorama da segurança e às ameaças crescentes e cada vez mais complexas, incluindo a exploração por grupos criminosos da transformação digital, das novas tecnologias e da crise COVID-19. Neste contexto, a Comissão recorda várias declarações políticas recentes do Conselho e do Parlamento Europeu, que abordam especificamente a necessidade de um maior reforço do mandato e da capacidade da Europol ( 6 )

6. A AEPD foi consultada informalmente pela Comissão em várias ocasiões ao longo do processo de preparação da proposta legislativa, por último em 25 de novembro de 2020, e comunicou as suas observações informais. A AEPD congratula-se com o facto de a Comissão ter solicitado a sua opinião numa fase inicial do processo, e incentiva-a a manter esta boa prática. Além disso, em 9 de outubro de 2020, a AEPD organizou um webinar especializado, «A reforma da Europol: perspetiva da proteção de dados», com especial incidência no alinhamento das disposições em matéria de proteção de dados constantes do Regulamento Europol com as regras gerais relativas ao tratamento de dados pessoais operacionais.

7. A AEPD foi formalmente consultada pela Comissão em 7 de janeiro de 2021 sobre a proposta de regulamento do Parlamento Europeu e do Conselho que altera o Regulamento (UE) 2016/794 e adotou o presente parecer nos termos do artigo 42. o , n. o 3, do Regulamento (UE) 2018/1725.

2. CONCLUSÕES

49. Tendo em conta o supramencionado, a AEPD formula as seguintes recomendações:

Relativamente à cooperação com entidades privadas

— a proibição de transferências sistemáticas, massivas ou estruturais (último parágrafo do n.o 6 do artigo 26.o) deve aplicar-se a todos os intercâmbios com entidades privadas, incluindo na UE;

— as obrigações da Europol, ao atuar na qualidade de responsável pelo tratamento de dados/fornecedor de serviços, em especial os elementos obrigatórios previstos no artigo 87.o, n.o 3, do Regulamento (UE) 2018/1725, devem ser estipuladas num ato jurídico vinculativo ao abrigo do direito da União ou dos Estados-Membros;

— a Europol deverá proceder a uma avaliação dos eventuais riscos para a segurança decorrentes da abertura das suas infraestruturas para utilização por entidades privadas e, se necessário, aplicar medidas preventivas e atenuantes adequadas.

No que diz respeito ao tratamento de conjuntos de dados complexos e de grande dimensão, nomeadamente em apoio de investigações criminais específicas

— o Regulamento Europol deverá prever salvaguardas suficientes para garantir que as derrogações previstas no n.o 5-A do artigo 18.o e no artigo 18.o-A não venham, na realidade, a ser a regra;

— o Regulamento Europol deverá definir os casos em que a Europol poderá recorrer à derrogação prevista no n.o 5-A do artigo 18.o, respetivamente, quando a Agência possa solicitar a prorrogação do prazo máximo de um ano. Além disso, deve ser clarificada a interação entre os n.os 5-A e 6 do artigo 18.o;

— O artigo 18.o-A deve estabelecer condições e limiares adicionais para o tratamento de dados pela Europol fora das categorias de pessoas em causa enumeradas no Anexo II em apoio de uma investigação criminal específica, como a escala, a complexidade, o tipo ou a importância da investigação;

— O tratamento de dados pessoais ao abrigo das derrogações previstas no artigo 18.o, n.o 5-A, e no artigo 18.o-A deve, em todos os casos, respeitar os princípios e obrigações gerais estabelecidos no capítulo IX do Regulamento (UE) 2018/1725.

Relativamente à utilização de dados para investigação e inovação

— o âmbito das atividades de investigação e inovação deve ser mais bem definido no Regulamento Europol e clarificado num documento vinculativo, que poderá ser posteriormente atualizado.

No que diz respeito à cooperação da Europol com países terceiros

— o significado das «categorias de transferências» no n.o 5 do artigo 25.o, bem como a distinção entre «conjuntos de transferências» no n.o 6 do mesmo artigo, devem ser definidos e clarificados no Regulamento Europol.

Relativamente ao quadro de proteção de dados aplicável à Europol

— os poderes de supervisão da AEPD em relação à Europol devem ser plenamente alinhados com os poderes gerais da AEPD previstos no artigo 58.o do Regulamento (UE) 2018/1725;

— o novo objetivo proposto no artigo 37.o-A deve ser suprimido e, por conseguinte, a restrição do tratamento de dados pessoais pela Europol deve ser regulamentada diretamente pelo disposto no artigo 82.o do Regulamento (UE) 2018/1725.

Outros elementos da proposta

— as condições de transmissão de dados a outros organismos da União previstas no artigo 24.o do Regulamento Europol devem ser alinhadas com as regras gerais do artigo 71.o, n.o 2, do Regulamento (UE) 2018/1725, em especial com o requisito da proporcionalidade;

— a noção de «análise operacional conjunta», bem como as regras jurídicas aplicáveis ao tratamento de dados pessoais no seu âmbito, devem ser claramente definidas no Regulamento Europol.

Bruxelas, 8 de março de 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Decisão 2009/371/JAI do Conselho, de 6 de abril de 2009, que cria o Serviço Europeu de Polícia (Europol) (JO L 121 de 15.5.2009, p. 37).

(2) COM(2020) 796 final.

(3) COM(2020) 605 final de 24 de julho de 2020.

(4) https://ec.europa.eu/commission/presscorner/detail/pt/ip_20_2326

(5) Proposta de regulamento do Parlamento Europeu e do Conselho que altera o Regulamento (UE) 2018/1862 relativo ao estabelecimento, ao funcionamento e à utilização do Sistema de Informação de Schengen (SIS) no domínio da cooperação policial e da cooperação judiciária em matéria penal, no que diz respeito à inserção de indicações pela Europol, COM(2020) 791 final.

(6) Ver, em particular, a Resolução do Parlamento Europeu, de 10 de julho de 2020, sobre uma política global da União em matéria de prevenção do branqueamento de capitais e do financiamento do terrorismo (2020/2686(RSP), as conclusões do Conselho sobre a cooperação da Europol com entidades privadas, de 2 de dezembro de 2019, ou a Declaração dos Ministros dos Assuntos Internos da UE («Dez pontos sobre o futuro da Europol»), de 21 de outubro 2020.