É autorizada, em nome da União, a assinatura do acordo entre os Estados Unidos da América e a União Europeia sobre a proteção dos dados pessoais no âmbito da prevenção, investigação, deteção e repressão de infrações penais, sob reserva da celebração do referido acordo.

(7)Em conformidade com os artigos 1.º e 2.º do Protocolo n.º 22 relativo à posição da Dinamarca, anexo ao Tratado da União Europeia e ao Tratado sobre o Funcionamento da União Europeia, a Dinamarca não participa na adoção da presente decisão, não sendo vinculada pelo acordo nem sujeita à sua aplicação,

(6)Nos termos do artigo 6.º-A do Protocolo n.º 21 relativo à posição do Reino Unido e da Irlanda em relação ao espaço de liberdade, segurança e justiça, anexo ao TUE e ao TFUE, o Reino Unido e a Irlanda não ficam vinculados pelas normas estabelecidas no acordo, respeitantes ao tratamento de dados pessoais no exercício de atividades abrangidas pelo âmbito de aplicação do Capítulo 4 (Cooperação judiciária em matéria penal) e do Capítulo 5 (Cooperação policial) da Parte III, Título V do TFUE, sempre que estes países não estejam vinculados por normas que imponham o respeito do acordo.

(4)As competências da União abrangem todas as disposições do acordo. Em especial, a União adotou a Diretiva 2016/XXX/UE relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e de repressão de infrações penais ou de execução de sanções penais, e à livre circulação desses dados.

(3)O acordo tem por objetivo instituir um quadro global de princípios e garantias em matéria de proteção dos dados pessoais transferidos para efeitos da aplicação do direito penal entre os EUA, por um lado, e a União Europeia e os seus Estados-Membros, por outro. O objetivo é garantir um elevado nível de proteção desses dados e, deste modo, reforçar a cooperação entre as Partes. Embora não constituindo a base jurídica para a transferência de dados pessoais para os EUA, o acordo-quadro completa, quando necessário, as garantias em matéria de proteção de dados previstas nos acordos, existentes ou futuros, em matéria de transferência de dados ou nas disposições nacionais que autorizam tais transferências.

(2)As negociações com o Governo dos Estados Unidos da América foram concluídas e o texto do acordo rubricado em 8 de setembro de 2015.

à cláusula linguística (que precede imediatamente a linha de assinatura), que prevê: i) que o acordo será assinado em inglês e que a UE redigirá as versões nas outras 23 línguas oficiais da União; ii) a possibilidade, após a assinatura, de autenticar a versão do acordo em cada uma das outra línguas oficias da UE por meio de uma troca de notas diplomáticas com os Estados Unidos; iii) que em caso de divergência entre versões linguísticas que façam fé, o texto em língua inglesa prevalece sobre os textos noutras línguas.

à entrada em vigor do acordo no primeiro dia do mês seguinte à data em que as Partes tiverem trocado notificações em que indiquem ter cumprido as respetivas formalidades internas de aprovação (artigo 29.º, n. 1);

à possibilidade de cada Parte de denunciar o acordo, mediante notificação à outra Parte, sendo especificado que os dados pessoais transferidos antes do termo da sua vigência continuarão a ser tratados em conformidade com as disposições do Acordo-Quadro (artigo 29.º, n.os 2 e 3);

à duração ilimitada do acordo (que é justificada pela natureza do acordo, como um quadro que oferece proteção e garantias, e, por outro lado, pela possibilidade de suspender e denunciar o acordo (artigo 28.º);

à aplicação territorial do acordo, a fim de ter em conta a situação específica do Reino Unido, da Irlanda e da Dinamarca (artigo 27.º);

à possibilidade de suspender o acordo por uma Parte, no caso de violação substancial do acordo pela outra Parte (artigo 26.º);

à notificação à outra Parte de quaisquer atos que afetem materialmente a execução do acordo. Os EUA notificarão designadamente à UE qualquer medida relacionada com a aplicação das disposições do Judicial Redress Act (artigo 24.º);

A composição de cada delegação incluirá representantes das autoridades responsáveis pela proteção de dados e autoridades com poderes coercivos/judiciárias; as conclusões dos reexames conjuntos serão tornadas públicas.

As Partes procederão periodicamente a um reexame conjunto da implementação do Acordo-Quadro e da sua eficácia, prestando especial atenção à aplicação efetiva dos artigos relativos aos direitos individuais (acesso, retificação e recursos administrativo e judicial), bem como à questão das transferências de dados para entidades territoriais não abrangidas pelo acordo (ou seja, os Estados federados dos EUA). O primeiro reexame conjunto terá lugar no prazo de três anos após a data de entrada em vigor do acordo e, a partir de aí, a intervalos regulares.

As autoridades de supervisão cooperarão com vista a assegurar a aplicação eficaz do acordo, nomeadamente no que se refere ao regime de exercício indireto de direitos individuais de acesso, retificação e recurso administrativo (ver artigos 16.º a 18.º).

Este artigo completa as garantias proporcionadas pelas disposições em matéria de acesso, retificação e recurso administrativo, permitindo, em especial, que as pessoas possam apresentar queixas junto de autoridades independentes sobre a forma como a outra Parte aplicou o Acordo-Quadro.

As Partes devem dispor de uma ou mais autoridades públicas que exercem funções e competências de supervisão de forma independente, nomeadamente em matéria de revisão, investigação e intervenção. Estas autoridades devem ser competentes para receber e intervir em caso de queixas apresentadas por pessoas singulares relativas às medidas de aplicação do Acordo-Quadro e para assinalar violações da legislação relacionada com o acordo para efeitos de ação penal ou disciplinar. Tendo em conta as particularidades do sistema americano, uma combinação de autoridades de supervisão [incluindo diretores gerais responsáveis pela proteção da vida privada (Chief Privacy Officers) Inspetores gerais (Inspectors Generals), o organismo de auditoria do Congresso (Government Accountability Office), etc] exercerão de forma cumulativa as funções de supervisão que as autoridades de proteção de dados realizam na UE.

Por último, as autoridades da UE poderão manifestar as suas preocupações e receber informações por parte dos seus homólogos dos EUA sobre a forma como são cumpridas as suas obrigações por força do artigo 14.º (incluindo as medidas tomadas a este respeito). Além disso, no contexto dos reexames conjuntos (artigo 23.º), será prestada especial atenção à aplicação eficaz do disposto neste presente artigo.

Com o objetivo de garantir que as autoridades com poderes coercivos competentes serão responsabilizadas pelo cumprimento do Acordo-Quadro, este artigo é um elemento importante para a eficácia do sistema de aplicação e de supervisão estabelecido no âmbito do acordo. Facilitará igualmente a introdução de reclamações em caso de execução inadequada (com a consequente responsabilização das autoridades públicas).

As medidas destinadas a promover a responsabilização incluem igualmente, se for caso disso, a interrupção das transferências de dados pessoais para entidades das Partes não abrangidas pelo Acordo-Quadro, se estas não assegurarem uma proteção efetiva dos dados pessoais, à luz da finalidade do acordo (e, em especial, as disposições relativas à limitação das finalidades e às transferências ulteriores). Esta disposição diz respeito à situação em que os dados pessoais são transmitidos por uma autoridade da União Europeia para uma autoridade federal dos EUA (ou seja, uma entidade abrangida pelo acordo) e, em seguida, novamente transferidos para uma autoridade com poderes coercivos a nível de um Estado federado. As regras constitucionais dos EUA limitam a capacidade do Estado federal de vincular os Estados federados a nível internacional. Assim, a fim de assegurar a continuidade da proteção dos dados transferidos para as agências federais dos EUA e a seguir partilhados com autoridades com poderes coercivos dos Estados federados, o artigo 14.º: i) inclui, no seu âmbito de aplicação, «qualquer outra autoridade» das Partes (isto é, as autoridades não abrangidas pelo acordo, como as dos Estados federados dos Estados Unidos; ii) precisa que as garantias previstas no Acordo-Quadro devem ser-lhes notificadas; e iii) prevê que, se for caso disso, as transferências para essas autoridades devem ser interrompidas se estas não protegerem de forma eficaz os dados pessoais, tendo em conta o objeto do Acordo-Quadro, nomeadamente as disposições relativas à limitação das finalidades e à transferência ulterior.

Deverão ser estabelecidas medidas para promover a responsabilização das autoridades de tratamento de dados pessoais abrangidos pelo Acordo-Quadro. Em especial, quando a autoridade destinatária transfere dados pessoais para outras autoridades, estas devem ser notificadas das garantias que são aplicáveis por força do Acordo-Quadro, bem como de eventuais condições adicionais (restritivas) ligadas à transferência nos termos do artigo 6.º, n.º 3, (sobre a limitação das finalidades e da utilização). As faltas graves devem ser objeto de sanções penais, civis ou administrativas adequadas e dissuasivas.

iv) Aspetos relacionados com a aplicação do Acordo-Quadro e com a sua supervisão

O artigo 19.º, n.º 3, esclarece que a extensão dos referidos três motivos de recurso judicial é aplicável sem prejuízo de qualquer outro recurso judicial previsto a outro título relativo ao tratamento de dados pessoais (por exemplo, ao abrigo do Administrative Procedure Act, do Electronics Communication Privacy Act ou do Freedom of Information Act). Estas outras bases jurídicas em matéria de recurso judicial estão à disposição de qualquer titular de dados afetado pela transferência de dados para efeitos de aplicação coerciva da lei, independentemente da sua nacionalidade ou local de residência.

Esta disposição corresponde às orientações políticas formulada pelo Presidente Juncker, segundo as quais, «os EUA têm [...] de garantir que todos os cidadãos da UE, residentes ou não nos Estados Unidos, têm o direito de fazer valer os seus direitos à proteção de dados junto dos tribunais americanos. Eliminar esta discriminação será essencial para restabelecer a confiança nas relações transatlânticas». Responde igualmente à Resolução do Parlamento Europeu, de 12 de março de 2014, sobre o programa de vigilância da NSA dos EUA, na qual o Parlamento solicitou que fossem imediatamente reatadas as negociações com os EUA sobre o «Acordo-Quadro», a fim de «pôr os direitos dos cidadãos da UE em pé de igualdade com os direitos dos cidadãos dos Estados Unidos (...)» e de prever «vias de recurso (...) judicial eficazes e exequíveis para todos os cidadãos da UE nos Estados Unidos sem qualquer discriminação».

Embora o Judicial Redress Act contenha uma série de limitações (em especial, só é aplicável aos dados de cidadãos de «países abrangidos» cujos dados tenham sido transferidos pelas autoridades com poderes coercivos da UE, em especial, mas não apenas os cidadãos da UE), o artigo 19.º do Acordo-Quadro responde a uma exigência de longa data da UE.

Do lado dos EUA, este direito ficou consagrado no Judicial Redress Act, assinado pelo Presidente Obama em 24 de fevereiro de 2016. Este ato irá alargar aos cidadãos de «países abrangidos» estes três motivos de recurso judicial previstos pelo Privacy Act dos EUA de 1974, mas que atualmente estavam reservados aos cidadãos dos EUA e aos residentes permanentes. O quarto considerando do Preâmbulo do Acordo-Quadro esclarece que este alargamento abrangerá igualmente o intercâmbio de dados ao abrigo de acordos como o PNR e TFTP. Juntamente com a adoção do Judicial Redress Act, o artigo 19.º irá assim melhorar significativamente a proteção judicial dos cidadãos da UE.

A autoridade competente junto da qual o recurso for interposto deve dar uma resposta por escrito, indicando, se aplicável, as eventuais medidas de melhoria ou correção adotadas.

Se uma pessoa não concordar com o resultado do seu pedido de acesso ou retificação de dados pessoais, pode interpor recurso administrativo. Tal como previsto em matéria de acesso e retificação, para facilitar o exercício desse direito, o titular de dados pode mandatar uma autoridade de supervisão (por exemplo, relativamente a um titular de dados da UE, uma autoridade nacional responsável pela proteção de dados) ou outro representante, sempre que a legislação nacional o permita.

Se a correção ou retificação for recusada ou limitada, a autoridade competente requerida deve comunicar à pessoa singular (ou ao seu representante devidamente autorizado) os motivos da recusa ou da limitação do acesso ou da retificação. A obrigação de fornecer ao interessado uma resposta fundamentada visa facilitar o exercício do seu direito de recurso administrativo ou judicial em caso de recusa ou restrição de acesso ou retificação por parte das autoridades com poderes coercivos.

No caso de a autoridade competente do país destinatário concluir, na sequência de um pedido apresentado por um particular, de uma notificação pelo prestador da informação pessoal ou de uma investigação própria, que as informações são inexatas ou foram tratadas de forma inadequada, deve tomar medidas de aditamento, supressão, bloqueio ou outras medidas de correção ou retificação.

Estes direitos são de particular relevância para a proteção dos titulares de dados que poderão, pela primeira vez, invocar direitos de aplicação geral para as transferências transatlânticas de dados pessoais no domínio da aplicação coerciva da lei penal.

As pessoas têm o direito de receber informações (por meio de notificações gerais ou individuais e sujeitas a «restrições razoáveis») sobre a finalidade do tratamento e a eventual utilização posterior dos seus dados pessoais, a legislação ou as normas segundo as quais tal tratamento é efetuado, a identidade de terceiros a quem os seus dados pessoais podem ser comunicados, bem como o acesso, retificação e vias de recurso disponíveis.

O tratamento de dados que possa implicar decisões com consequências negativas para uma pessoa singular (por exemplo, no contexto da definição de perfis) não pode basear-se exclusivamente no tratamento automatizado dos dados pessoais, salvo se tal for autorizado pelo direito nacional, e desde que existam garantias adequadas, incluindo a possibilidade de obter uma intervenção humana.

As disposições relativas a categorias especiais de dados devem respeitar a exigência de que o tratamento seja diretamente pertinente e não excessivo ao abrigo do artigo 6.º relativo à limitação das finalidades e da utilização.

O tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas e ou as convicções religiosas ou de outro tipo, a filiação sindical ou informações relativas à saúde ou à vida sexual, só pode ter lugar se forem estabelecidas garantias adequadas, em conformidade com a lei (por exemplo, ocultando a informação após a finalidade para a qual foram tratados ter sido alcançada ou subordinando o acesso a essa informação à autorização de uma autoridade de controlo).

É igualmente especificado que, quando as partes celebrem um acordo sobre a transferência de «dados indiscriminados», tal acordo deve prever uma disposição específica sobre o período de conservação aplicável. Com esta disposição, as Partes aceitam o princípio de que os acordos de transferência de dados indiscriminados devem prever um período específico de conservação de registos, que, por conseguinte, não tem de ser negociado de novo.

O tratamento de dados será objeto de períodos específicos de conservação de registos, a fim de assegurar que os dados não serão conservados por mais tempo do que o necessário e adequado. Para determinar a duração desses períodos de conservação de registos, deve ser tido em conta um certo número de elementos, em especial, a finalidade ou a utilização do tratamento, a natureza dos dados e o impacto sobre os direitos e interesses dos titulares de dados em causa.

Este requisito representa uma importante salvaguarda para as pessoas singulares, uma vez que coloca o ónus sobre as autoridades com poderes coercivos de demonstrar que uma determinada operação de tratamento de dados foi efetuada em conformidade com a lei. A obrigação de documentar as operações de tratamento de dados implica, em especial, que haverá um «rasto» em caso de tratamento ilegal. Tal rasto deverá facilitar o tratamento de queixas e a introdução de reclamações relativas à licitude das operações de tratamento de dados.

As Partes devem estabelecer métodos eficazes (tais como registos cronológicos) para demonstrar a licitude do tratamento e da utilização dos dados pessoais.

Em segundo lugar, nos termos do artigo 10.º, em caso de um incidente que envolva um risco significativo de danos, devem ser adotadas rapidamente medidas para os reduzir, incluindo a notificação do incidente à autoridade que procede à transferência e, sempre que as circunstâncias do incidente o justifiquem, à pessoa em causa. Esta disposição enumera de forma exaustiva as exceções à obrigação de notificação, as quais correspondem a limitações razoáveis (p. ex. a segurança nacional).

Em primeiro lugar, nos termos do artigo 9.º, as Partes adotarão medidas técnicas, de segurança e organizativas para proteger os dados pessoais contra o risco de destruição acidental ou ilícita, perda acidental e divulgação, alteração, acesso ou qualquer outro tipo de tratamento não autorizado. Essas medidas deverão prever igualmente que o acesso aos dados pessoais só seja concedido ao pessoal autorizado.

As Partes tomarão as medidas razoáveis para assegurar que os dados pessoais transferidos são mantidos com a exatidão, pertinência, atualidade e exaustividade necessárias e adequadas para o seu tratamento lícito. Se a autoridade destinatária ou a autoridade que procedeu à transferência tiverem conhecimento da existência de dúvidas significativas quanto à pertinência, atualidade, exaustividade ou exatidão dos dados pessoais recebidos ou transferidos deve, sempre que possível, informar a autoridade que procedeu à transferência ou a autoridade destinatária em conformidade.

A situação específica das transferências ulteriores para outro Estado da UE (por exemplo, quando a polícia francesa partilhe com a polícia alemã informações recebidas do FBI dos EUA) também é abordada no artigo 7.º (no n.º 4), que estabelece que, se por força das regras aplicáveis, tais transferências estão sujeitas a uma autorização prévia, a autoridade que transferiu inicialmente as informações (por exemplo, o FBI americano) não poderá recusar a autorização ou impor condições por motivos de proteção de dados (dado que todas as entidades envolvidas estão vinculadas pelo Acordo-Quadro).

Além disso, tal como acontece para os artigos sobre a limitação das finalidades (artigo 6.º), sobre os períodos de conservação de registos (artigo 12.º) e sobre os dados sensíveis (artigo 13.º), o artigo 7.º tem expressamente em conta a sensibilidade especial da transferência indiscriminada de dados de pessoas não suspeitas (por exemplo, os dados PNR de todos os passageiros que efetuem um voo, independentemente de existirem suspeitas específicas), na medida em que exige que qualquer transferência subsequente de dados pessoais «diferentes dos dados relacionados com casos ... concretos» seja subordinada a condições específicas definidas no acordo que justificam devidamente a transferência ulterior.

As limitações impostas à transferência ulterior enunciadas no artigo 7.º implicam que, caso uma autoridade norte-americana pretenda transferir por sua vez os dados que recebeu da UE ou de um dos seus Estados-Membros para um país terceiro ou organização internacional não vinculados pelo Acordo, deve obter previamente o acordo da autoridade com poderes coercivos da UE que tenha inicialmente transferido esses dados para os Estados Unidos. Esta regra aplica-se igualmente no caso de uma instituição da UE ou de um dos seus Estados-Membros pretender transferir os dados que recebeu dos Estados Unidos para um país terceiro ou uma organização internacional.

O artigo 6.º é uma disposição fundamental do acordo: assegura a aplicação das garantias no que diz respeito ao «ciclo de vida» completo de um determinado conjunto de dados, desde a sua transferência inicial da UE até ao seu tratamento por uma autoridade competente dos EUA e vice-versa, bem como à sua eventual partilha ou transformação por outra autoridade dos EUA ou, no caso de uma transferência de dados a partir dos Estados Unidos para uma autoridade competente da UE ou de um dos seus Estados-Membros, à sua eventual partilha ou transformação por outra autoridade da UE ou de um Estado-Membro.

Por último, os dados pessoais só podem ser tratados de uma forma que seja «diretamente relevante e não excessiva ou demasiado geral tendo em conta as finalidades do tratamento».

Além disso, o tratamento ulterior de dados pessoais por outras autoridades (autoridades com poderes coercivos, autoridades regulamentares ou administrativas) diferentes da primeira autoridade destinatária da Parte em causa é autorizado desde que seja compatível com a finalidade para a qual foram originalmente transferidos e que as referidas autoridades respeitem as outras disposições do Acordo-Quadro.

Em consonância com a Carta dos Direitos Fundamentais da UE e o acervo da UE, o artigo 6.º aplica o princípio da limitação da finalidade a todas as transferências de dados pessoais abrangidas pelo Acordo-Quadro, tanto no caso das transferências relacionadas com casos específicos, como aquando da celebração, entre os EUA e a UE ou os seus Estados -Membros de um acordo que autoriza a transferência indiscriminada de dados pessoais. O tratamento (que inclui a transferência) só pode ter lugar para finalidades explícitas e legítimas no âmbito do Acordo-Quadro, ou seja, a prevenção, investigação, deteção ou repressão de infrações penais, incluindo o terrorismo.

A implementação efetiva do Acordo-Quadro (e em especial dos artigos sobre os direitos individuais) implica uma presunção de compatibilidade com as normas aplicáveis em matéria de transferências internacionais de dados. Essa presunção não é automática nem geral e, como todas as presunções, pode ser ilidida. Não se trata de uma presunção automática, uma vez que a sua aplicação depende expressamente da implementação efetiva do Acordo-Quadro pelos EUA e, mais especificamente, tal como o artigo 5., n.º 2, clarifica expressamente, da implementação efetiva dos artigos sobre os direitos das pessoas singulares (designadamente, acesso, retificação e recurso administrativo e judicial). Também não se trata de uma presunção geral: dado que o Acordo-Quadro não é um instrumento «autónomo» para a realização de transferências, tal presunção funciona necessariamente numa base casuística, ou seja, avaliando se a conjugação do Acordo-Quadro com a base jurídica específica para a transferência oferece um nível de proteção em conformidade com as normas de proteção de dados da UE. . Por outras palavaras, contrariamente a uma decisão de adequação, esta cláusula não prevê o reconhecimento «em bloco» do nível de proteção porporcionado aos Estados Unidos nem uma autorização geral das transferências.

Relativamente aos acordos em vigor entre a UE/Estados-Membros e os EUA, o Acordo-Quadro complementá-los-á, na medida do necessário, ou seja, quando e na medida em que estes não forneçam as garantias necessárias em matéria de proteção de dados.

Este artigo completa e reforça outras disposições do acordo (nomeadamente, os artigos que fornecem garantias às pessoas singulares, tais como o acesso, a retificação e recurso administrativo, ver infra), e assegura que os cidadãos europeus beneficiarão, em princípio, de igualdade de tratamento em relação aos cidadãos dos EUA no que diz respeito à implementação prática das referidas disposições pelas autoridades dos EUA.

O Acordo-Quadro não irá abranger as transferências de dados pessoais (ou outras formas de cooperação) entre os EUA e as autoridades dos Estados-Membros responsáveis pela garantia da segurança nacional.

O artigo 3.º do Acordo-Quadro define o seu âmbito de aplicação. Assegurará que as proteções e garantias previstas pelo Acordo-Quadro aplicar-se-ão a todos os intercâmbios de dados efetuados no contexto da cooperação transatlântica para efeitos de aplicação coerciva da legislação penal. Incluem-se neste âmbito as transferências com base na legislação nacional, em acordos UE-EUA (por exemplo, o Acordo de Assistência Judiciária Mútua UE-EUA), em acordos Estados-Membros-EUA (por exemplo, tratados de auxílio judiciário mútuo, acordos sobre o reforço da cooperação com vista a impedir e combater a criminalidade grave ou acordos ou convénios sobre os dados de deteção de terroristas), bem como acordos específicos que preveem a transferência de dados pessoais por entidades privadas para fins repressivos (por exemplo, a título do acordo UE-EUA relativo aos registos de identificação dos passageiros («PNR») e o Acordo sobre o Programa de Deteção do Financiamento do Terrorismo («TFTP»). O âmbito de aplicação é definido com base na transferência de dados, ou seja, abrange, em princípio, todas as transferências de dados para efeitos de aplicação coerciva da lei penal entre a UE e os EUA, independentemente da nacionalidade ou do local de residência do titular de dados em causa.

Os principais conceitos do Acordo-Quadro são definidos no artigo 2.º. As definições de «dados pessoais», «tratamento de dados pessoais», «Partes», «Estado-Membro» e a «autoridade competente» são, no essencial, em consonância com a forma como estes conceitos são definidos noutros acordos UE-EUA e/ou no acervo da UE em matéria de proteção de dados.

A fim de cumprir o objetivo do acordo (ou seja, assegurar um elevado nível de proteção dos dados pessoais e reforçar a cooperação no domínio da aplicação coerciva da lei), o Acordo-Quadro estabelece o enquadramento para a proteção dos dados pessoais transferidos entre os EUA, por um lado, e a UE ou os seus Estados-Membros, por outro, para efeitos de prevenção, investigação, deteção ou repressão de infrações penais, incluindo o terrorismo. A referência às noções de «prevenção, deteção, investigação e repressão de infrações penais» (a seguir designadas conjuntamente «aplicação coerciva da lei») assegura que o presente acordo será compatível com a arquitetura do atual e futuro acervo em matéria de proteção de dados da UE [em particular, a delimitação entre o Regulamento relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados («Regulamento geral sobre a proteção de dados») e a «Diretiva Cooperação Policial», no que diz respeito ao respetivo âmbito de aplicação].

Em conformidade com as diretrizes de negociação do Conselho, o Acordo-Quadro contém cinco categorias de disposições: i) Disposições horizontais; ii) Princípios e garantias em matéria de proteção de dados; iii) Direitos individuais; iv) Aspetos relacionados com a aplicação do acordo e com a sua supervisão; e v) Disposições finais.

A implementação pelos Estados-Membros será necessária, mas não se preveem grandes alterações nas disposições legislativas, na medida em que as disposições materiais do Acordo-Quadro refletem, em larga medida, as normas já aplicáveis à UE e às autoridades nacionais no âmbito do direito da UE e/ou do direito nacional.

As disposições do Acordo-Quadro têm por objetivo a proteção do direito fundamental à proteção dos dados pessoais e o direito a um recurso eficaz e a um julgamento equitativo, tal como consagrados, respetivamente, no artigo 8.º no artigo 47.º da Carta dos Direitos Fundamentais da União Europeia.

Não foi necessária avaliação de impacto. O projeto de acordo está em conformidade com as diretrizes de negociação do Conselho.

A iniciativa destina-se a aplicar as diretrizes de negociação do Conselho de 3 de dezembro de 2010.

Além disso, tal como salientado no relatório do HLCG de outubro de 2009, um acordo internacional proporciona o mais elevado nível de segurança jurídica.

O Acordo-Quadro estabelece as garantias de proteção de dados exigidas em virtude das diretrizes de negociação do Conselho. Tais garantias são consideradas elementos necessários para assegurar o nível de proteção exigido pela Carta dos Direitos Fundamentais e tendo em conta a evolução do acervo da UE, quando são transferidos dados pessoais para um país terceiro. Nem uma lista consideravelmente mais reduzida de tais garantias, nem um instrumento com menos força vinculativa podem ser considerados suficientes para assegurar o nível de proteção exigido. Por conseguinte, a proposta não vai além do necessário para alcançar o objetivo político de criar um quadro para a proteção de dados pessoais transferidos entre os Estados Unidos da América, por um lado, e a União Europeia ou os seus Estados-Membros, por outro, no contexto da aplicação coerciva da lei.

O Acordo-Quadro é da competência exclusiva da UE, por força do artigo 3.º, n.º 2, do TFUE. Por conseguinte, o princípio da subsidiariedade não se aplica.

A base jurídica da presente proposta é o artigo 16.º do TFUE, em conjugação com o artigo 218.º, n.º 5, do TFUE.

O Acordo-Quadro deverá ter um impacto significativo em matéria de cooperação policial e judiciária com os Estados Unidos. Ao estabelecer um quadro comum e global de normas e garantias em matéria de proteção de dados, o acordo permitirá que a UE ou os seus Estados-Membros, por um lado, e as autoridades penais dos Estados Unidos, por outro, instaurem entre eles uma cooperação mais eficaz. Além disso, assegurará que os acordos existentes contenham todas as proteções necessárias. Deste modo, será possível prosseguir a cooperação em matéria de aplicação coerciva da lei, garantindo simultaneamente maior segurança jurídica às transferências de dados. O acordo irá também facilitar a celebração de futuros acordos de transferência de dados com os EUA em matéria de aplicação coerciva da lei penal, dado que terão sido acordadas garantias em matéria de proteção de dados, não devendo, por conseguinte, ser negociadas de novo. Por último, a adoção de normas comuns nesta área, crucial mas complexa, de cooperação é um resultado importante que pode contribuir de forma significativa para restaurar a confiança no fluxo transatlântico de dados.

Globalmente, o Acordo-Quadro irá criar um importante valor acrescentado em termos de elevar o nível de proteção dos titulares de dados da UE, em consonância com as exigências do direito primário e secundário da UE. Pela primeira vez, irá introduzir um instrumento de proteção de dados que abrange de forma global e coerente todas as transferências de dados de um determinado domínio (ou seja, o intercâmbio transatlântico de dados no domínio da cooperação policial e da cooperação judiciária em matéria penal). Além disso, o Acordo-Quadro irá materializar, no contexto transatlântico, os requisitos gerais relativos às transferências internacionais de dados estabelecidos na futura Diretiva relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou de execução de sanções penais, e à livre circulação desses dados (a seguir designada «Diretiva Cooperação Policial»), adotada em 14 de abril de 2016. Tendo em conta o que precede, o Acordo-Quadro estabelece igualmente um importante precedente para eventuais acordos similares com outros parceiros internacionais.

Além disso, o Acordo criará uma «rede de segurança» para os futuros acordos UE/Estados-Membros-EUA, correspondente ao nível mínimo de proteção exigido. Trata-se de uma garantia importante para o futuro e uma mudança radical em relação à situação atual em que as garantias, as proteções e os direitos têm sempre de ser negociados para cada novo acordo individual.

O Acordo-Quadro reforçará a proteção proporcionada a todos os dados pessoais dos cidadãos da UE quando se procede ao seu intercâmbio com os EUA para efeitos de aplicação da lei penal. Ao estabelecer um quadro global de garantias em matéria de proteção de dados, o acordo irá complementar os acordos existentes (tanto os acordos bilaterais entre os Estados-Membros e os EUA, como os acordos entre a UE e os EUA) com base nos quais os dados pessoais são transferidos para os EUA para efeitos de aplicação coerciva da lei quando, e na medida em que, os referidos acordos não ofereçam o nível exigido de proteção e de garantias.

• Coerência com as disposições em vigor no mesmo domínio de intervenção

Trata-se de uma melhoria significativa em relação à situação atual em que os dados pessoais são transferidos para o outro lado do Atlântico com base em instrumentos jurídicos (acordos internacionais ou legislações nacionais) cujas disposições em matéria de proteção de dados são geralmente limitadas, ou inexistentes.

O Acordo-Quadro estabelece (pela primeira vez) um acordo global de princípios e garantias em matéria de proteção de dados quando os dados pessoais são transferidos para efeitos da aplicação do direito penal entre os EUA, por um lado, e a União Europeia e os seus Estados-Membros, por outro. O duplo objetivo é garantir um elevado nível de proteção de dados e, deste modo, reforçar a cooperação entre as Partes. Embora não constituindo a base jurídica para a transferência de dados pessoais para os EUA, o Acordo-Quadro completa, quando necessário, as garantias em matéria de proteção de dados previstas nos acordos em matéria de transferência de dados existentes ou futuros, ou as disposições nacionais que autorizam tais transferências.

Em 28 de março de 2011, a Comissão encetou as negociações. Em 8 de setembro de 2015, as Partes rubricaram o texto.

Em novembro de 2006, foi criado um Grupo de Contacto de Alto Nível (a seguir designado «HLCG»), composto por altos funcionários da Comissão, de representantes da Presidência do Conselho e dos Departamentos da Justiça, da Segurança Interna e dos Negócios Estrangeiros dos EUA, com vista a estudar meios que permitam à UE e aos EUA cooperar de forma mais estreita e eficaz no domínio do intercâmbio de informações em matéria de aplicação da lei, garantindo, ao mesmo tempo, a proteção dos dados pessoais e a privacidade. A conclusão apresentada em outubro de 2009 pelo HLCG no seu relatório final foi de que a melhor opção seria a celebração de um acordo internacional vinculativo para a UE e para os EUA no sentido de se aplicarem princípios comuns em matéria de proteção de dados nas transferências transatlânticas de dados no domínio da aplicação da lei: um acordo deste tipo proporcionaria a vantagem de estabelecer os princípios fundamentais da proteção da privacidade e dos dados pessoais que regulariam o intercâmbio de informações em matéria de aplicação coerciva da lei e garantiria o nível mais elevado de segurança jurídica.

COMISSÃO EUROPEIA Bruxelas, 29.4.2016 COM(2016) 238 final ANEXO

ACORDO ENTRE OS ESTADOS UNIDOS DA AMÉRICA E

A UNIÃO EUROPEIA SOBRE A PROTEÇÃO DOS DADOS PESSOAIS NO ÂMBITO DA PREVENÇÃO, INVESTIGAÇÃO, DETEÇÃO E REPRESSÃO DE INFRAÇÕES PENAIS que acompanha a Proposta de Decisão do Conselho relativa à assinatura, em nome da União Europeia, de um acordo entre os Estados Unidos da América e a União Europeia sobre a proteção dos dados pessoais no âmbito da prevenção, investigação, deteção e repressão de infrações penais





ACORDO ENTRE OS ESTADOS UNIDOS DA AMÉRICA E A UNIÃO EUROPEIA SOBRE A PROTEÇÃO DOS DADOS PESSOAIS NO ÂMBITO DA prevenção, investigação, deteção e repressão de infrações penais ÍNDICE Preâmbulo Artigo 1.º: Objeto Artigo 2.º: Definições Artigo 3.º: Âmbito de aplicação Artigo 4.º: Não discriminação Artigo 5.º: Efeito do Acordo Artigo 6.º: Limitação das finalidades e da utilização Artigo 7.º: Transferência ulterior Artigo 8.º: Manutenção da qualidade e da integridade dos dados Artigo 9.º: Segurança dos dados Artigo 10.º: Notificação de incidentes relativos à segurança dos dados Artigo 11.º: Conservação de registos Artigo 12.º: Período de conservação de registos Artigo 13.º: Categorias especiais de dados pessoais Artigo 14.º: Responsabilização

Artigo 15.º: Decisões automatizadas Artigo 16.º: Acesso Artigo 17.º: Retificação Artigo 18.º: Recurso administrativo Artigo 19.º: Recurso judicial Artigo 20.º: Transparência Artigo 21.º: Supervisão eficaz Artigo 22.º: Cooperação entre as autoridades de supervisão Artigo 23.º: Reexame conjunto Artigo 24.º: Notificação Artigo 25.º: Consulta Artigo 26.º: Suspensão Artigo 27.º: Âmbito de aplicação territorial Artigo 28.º: Duração Artigo 29.º: Entrada em vigor e cessação da vigência

Conscientes de que os Estados Unidos e a União Europeia estão empenhados em assegurar um elevado nível de proteção dos dados pessoais intercambiados no contexto da prevenção, investigação, deteção e repressão de infrações penais, incluindo o terrorismo; Pretendendo criar um quadro jurídico duradouro para facilitar o intercâmbio de dados, que é essencial para prevenir, investigar, detetar e reprimir as infrações penais, incluindo o terrorismo, a fim de proteger as suas sociedades democráticas e os seus valores comuns;

Pretendendo, em especial, estabelecer normas de proteção para o intercâmbio de dados pessoais, com base nos acordos existentes ou futuros, entre os EUA e a UE e os seus Estados-Membros, no domínio da prevenção, investigação, deteção e repressão de infrações penais, incluindo o terrorismo; Reconhecendo que alguns acordos existentes entre as Partes relativos ao tratamento de dados pessoais estabelecem que esses acordos conferem um nível adequado de proteção dos dados no âmbito de aplicação de tais acordos, as Partes afirmam que o presente Acordo não deve ser interpretado no sentido de alterar, condicionar ou derrogar esses acordos; considerando, no entanto, que as obrigações estabelecidas no artigo 19.º do presente Acordo relativo ao recurso judicial serão aplicáveis a todas as transferências de dados abrangidas pelo presente Acordo, e que tal não prejudica uma eventual futura revisão ou alteração desses acordos em conformidade com as suas disposições; Reconhecendo a longa tradição de ambas as Partes de respeito pela vida privada, designadamente tal como refletida nos princípios sobre a proteção da privacidade e dos dados pessoais para efeitos de aplicação coerciva da lei enunciados pelo Grupo de Contacto de Alto Nível UE-EUA sobre o intercâmbio de informações e a proteção da vida privada e dos dados pessoais, na Carta dos Direitos Fundamentais da União Europeia e na legislação da UE aplicável, na constituição dos Estados Unidos e na legislação dos EUA aplicável, bem como nos princípios de práticas de informação justas da Organização de Cooperação e de Desenvolvimento Económicos; e Reconhecendo os princípios da proporcionalidade e da necessidade, e da relevância e razoabilidade, tal como estabelecidos pelas Partes nos respetivos quadros jurídicos; Os Estados Unidos da América e a União Europeia ACORDARAM NO SEGUINTE: Artigo 1.º: Objeto 1. O objetivo do presente Acordo consiste em garantir um elevado nível de proteção dos dados pessoais e reforçar a cooperação entre os Estados Unidos e a União Europeia e os seus Estados-Membros em matéria de prevenção, investigação, deteção ou repressão de infrações penais, incluindo o terrorismo. 2. Para esse efeito, o presente Acordo estabelece o quadro para a proteção de dados pessoais aquando da sua transferência os Estados Unidos da América, por um lado, e a União Europeia e os seus Estados-Membros, por outro. 3. O presente Acordo não constitui, em si, a base jurídica de eventuais transferências de dados pessoais. Será sempre necessária uma base jurídica para que tais transferências possam ser efetuadas. Artigo 2.º: Definições Para efeitos do presente Acordo, entende-se por: 1.«Dados pessoais», qualquer informação relativa a uma pessoa singular identificada ou identificável. É considerada identificável qualquer pessoa que possa ser identificada, direta ou indiretamente, nomeadamente por referência a um número de identificação ou a um ou mais elementos específicos da sua identidade física, fisiológica, psíquica, económica, cultural ou social.

2.«Tratamento de dados pessoais», qualquer operação ou conjunto de operações que implique a recolha, conservação, utilização, alteração, organização ou estruturação, divulgação ou difusão, ou disponibilização desses dados. 3.«Partes», a União Europeia e os Estados Unidos da América. 4.«Estado-Membro», um Estado-Membro da União Europeia; 5.«Autoridade competente», no caso dos Estados Unidos, uma autoridade nacional com poderes coercivos, responsável pela prevenção, investigação, deteção ou repressão de infrações penais, incluindo o terrorismo, e, no caso da União Europeia, uma autoridade da União Europeia, e uma autoridade de um Estado-Membro, responsáveis pela prevenção, investigação, deteção ou repressão de infrações penais, incluindo o terrorismo. Artigo 3.º: Âmbito de aplicação 1. O presente Acordo é aplicável aos dados pessoais transferidos entre as autoridades competentes de uma das Partes e as autoridades competentes da outra Parte, ou transferidos de outro modo em conformidade com um acordo celebrado entre os Estados Unidos e a União Europeia ou os seus Estados-Membros, para efeitos de prevenção, deteção, investigação ou repressão de infrações penais, incluindo o terrorismo. 2. O presente Acordo não afeta nem prejudica as transferências ou outras formas de cooperação entre as autoridades dos Estados-Membros e dos Estados Unidos, com exceção daquelas a que se refere o artigo 2.º, n.º 5, responsáveis pela garantia da segurança nacional. Artigo 4.º: Não discriminação Cada Parte deve cumprir as obrigações que lhe incumbem por força do presente Acordo, para efeitos da proteção dos dados pessoais dos seus próprios cidadãos e dos cidadãos da outra Parte, independentemente da sua nacionalidade e sem qualquer discriminação arbitrária e injustificada. Artigo 5.º: Efeito do Acordo 1. O presente Acordo completa, quando tal se justifique, mas não substitui, as disposições em matéria de proteção de dados pessoais constantes dos acordos internacionais celebrados entre as Partes ou entre os Estados Unidos e os Estados-Membros que incidam sobre as matérias abrangidas pelo âmbito de aplicação do presente Acordo. 2. As Partes devem tomar todas as medidas necessárias à aplicação do presente Acordo, incluindo, em especial, as relativas às respetivas obrigações nele estabelecidas em matéria de acesso, retificação e recurso administrativo e judicial a favor das pessoas singulares. As pessoas singulares e as pessoas coletivas beneficiam das medidas de proteção e das vias de recurso contempladas no presente Acordo em conformidade com a legislação nacional aplicável de cada uma das Partes. Relativamente aos Estados Unidos, as medidas tomadas no cumprimento das suas obrigações são aplicáveis no respeito dos princípios fundamentais do federalismo dos Estados Unidos.

3. Para efeitos da aplicação do disposto no n.º 2, considera-se que o tratamento de dados pessoais pelos Estados Unidos ou pela União Europeia e os seus Estados-Membros, nas matérias abrangidas pelo presente Acordo, é conforme com as respetivas legislações sobre a proteção de dados que limitam ou condicionam as transferências internacionais de dados pessoais, não sendo necessária qualquer outra autorização ao abrigo dessas legislações. Artigo 6.º: Limitação das finalidades e da utilização 1. A transferência de dados pessoais deve ser efetuada para as finalidades específicas autorizadas pela base jurídica da transferência referida no artigo 1.º. 2. O tratamento posterior desses dados pessoais por uma das Partes deve ser compatível com as finalidades para as quais foram transmitidos. Por tratamento compatível, entende-se um tratamento em conformidade com os acordos internacionais em vigor e os enquadramentos internacionais consagrados por escrito em matéria de prevenção, deteção, investigação ou repressão de crimes graves. O referido tratamento de dados pessoais por outras autoridades nacionais com poderes coercivos, por autoridades regulamentares ou administrativas deve respeitar as restantes disposições do presente Acordo. 3. O presente artigo não prejudica a capacidade de a autoridade competente que procede à transferência impor condições adicionais num caso específico, na medida em que o quadro jurídico aplicável à transferência o permita. Tais condições não podem consistir em condições genéricas de proteção de dados, isto é, condições sem qualquer relação com os factos em causa. Se a transferência de dados for subordinada a determinadas condições, a autoridade competente destinatária dos dados deve respeitar essas condições. A autoridade competente que disponibiliza os dados pode também exigir ao destinatário que forneça informações sobre a utilização das informações transferidas. 4. No caso de os Estados Unidos, por um lado, e a União Europeia ou um Estado-Membro, por outro, celebrarem um acordo sobre a transmissão de dados pessoais, diferentes dos dados relacionados com casos, investigações ou processos penais concretos, as finalidades específicas para as quais os dados são transferidos e tratados devem ser estabelecidas no referido acordo. 5. As Partes devem assegurar, em aplicação das respetivas legislações, que os dados pessoais são tratados de uma forma que é diretamente relevante e não excessiva ou demasiado geral tendo em conta as finalidades do tratamento. Artigo 7.º: Transferência ulterior 1. No caso de uma autoridade competente de uma Parte ter transferido dados pessoais relativos a um caso específico a uma autoridade competente da outra Parte, essas informações só podem ser transferidas para um Estado ou para uma instituição internacional não vinculados pelo presente Acordo com o consentimento prévio da autoridade competente que procedeu à transferência inicial. 2. Ao conceder o seu consentimento para uma transferência em conformidade com o disposto no n.º 1, a autoridade competente que procedeu à transferência inicial deve ter devidamente em conta todos os fatores relevantes, designadamente a gravidade da infração, a finalidade para a qual os dados foram inicialmente transferidos e se o Estado ou o organismo internacional não vinculados pelo presente Acordo asseguram um nível adequado de proteção dos dados pessoais. Pode igualmente sujeitar essa transferência a condições específicas. 3. No caso de os Estados Unidos, por um lado, e a União Europeia ou um Estado-Membro, por outro, celebrarem um acordo sobre a transmissão de dados pessoais, diferentes dos dados relacionados com casos, investigações ou processos penais concretos, a transferência ulterior de dados pessoais fica subordinada ao respeito de condições específicas estabelecidas no acordo que justifiquem devidamente a referida transferência. O acordo deve prever igualmente mecanismos de informação adequados entre as autoridades competentes. 4. Nenhuma disposição do presente artigo pode ser interpretada de uma forma que afete qualquer exigência, obrigação ou prática nos termos da qual o consentimento prévio da autoridade competente que procedeu à transferência inicial deve ser obtido antes da transferência ulterior para um Estado ou organismo vinculado pelo presente Acordo, desde que o nível de proteção dos dados nesse Estado ou organismo não justifique a oposição à referida transferência ou a sua subordinação ao respeito de condições específicas. Artigo 8.º: Manutenção da qualidade e da integridade dos dados As Partes devem tomar as medidas razoáveis para assegurar que os dados pessoais são mantidos com a exatidão, pertinência, atualidade e exaustividade necessárias e adequadas para o seu tratamento lícito. Para esse efeito, as autoridades competentes devem estabelecer procedimentos destinados a garantir a qualidade e a integridade dos dados pessoais, nomeadamente: a) As medidas referidas no artigo 17.º; b) No caso de a autoridade competente tomar conhecimento de dúvidas significativas sobre a pertinência, atualidade, exaustividade ou exatidão dos referidos dados pessoais ou de uma avaliação que transferiu, deve, sempre que possível, informar a autoridade competente destinatária;

c) No caso de a autoridade competente destinatária dos dados tomar conhecimento de dúvidas significativas sobre a pertinência, atualidade, exaustividade ou exatidão dos dados pessoais recebidos de uma autoridade pública, ou de uma avaliação realizada pela autoridade competente que procede à transferência quanto à exatidão das informações ou da fiabilidade de uma fonte, deve, sempre que possível, informar a autoridade competente que efetua a transferência. Artigo 9.º: Segurança dos dados As Partes devem garantir que são adotadas medidas técnicas, de segurança e organizativas para proteger os dados pessoais contra os seguintes riscos: a) Destruição acidental ou ilícita; b) Perda acidental; e c) Divulgação, alteração, acesso ou qualquer outro tipo de tratamento não autorizado. Essas medidas devem prever garantias adequadas no que se refere à autorização exigida para aceder a dados pessoais. Artigo 10.º: Notificação de incidentes relativos à segurança dos dados 1. Na sequência da descoberta de um incidente que envolva a perda ou destruição acidental de dados pessoais, o acesso não autorizado a tais dados ou a sua divulgação ou alteração, que possa representar um risco significativo de causar danos, a autoridade competente destinatária deve avaliar imediatamente a probabilidade e a dimensão dos danos causados às pessoas e à integridade do programa de transferência de dados pessoais da autoridade competente que procedeu à transferência, adotando rapidamente medidas adequadas para reduzir esses danos. 2. As medidas adotadas para reduzir os danos devem incluir a notificação do incidente à autoridade competente que procede à transferência. No entanto, a notificação pode: a) Prever restrições adequadas quanto à transmissão ulterior da notificação; b) Ser adiada ou omitida quando seja suscetível de pôr em risco a segurança nacional; c) Ser adiada quando seja suscetível de pôr em risco operações de segurança pública. 3. As medidas destinadas a reduzir os danos devem também prever a notificação do incidente à pessoa em causa, sempre que as circunstâncias do incidente o justifiquem, a menos que a referida notificação seja suscetível de pôr em risco: a) A ordem pública ou a segurança nacional; b) Os inquéritos, investigações ou procedimentos oficiais; c) A prevenção, deteção, investigação ou repressão de infrações penais; d) Os direitos e liberdades de terceiros, nomeadamente a proteção das vítimas e das testemunhas.

4. As autoridades competentes envolvidas na transferência de dados pessoais podem consultar-se sobre o incidente e sobre a resposta a adotar. Artigo 11.º: Conservação de registos 1. As Partes devem estabelecer métodos eficazes para demonstrar a licitude do tratamento de dados pessoais, que podem incluir a utilização de registos cronológicos ou de outro tipo. 2. As autoridades competentes podem utilizar tais registos cronológicos ou de outro tipo para assegurar o correto funcionamento das bases de dados ou dos ficheiros em causa, garantir a integridade e a segurança dos dados e, sempre que necessário, cumprir procedimentos de salvaguarda. Artigo 12.º: Período de conservação de registos 1. As Partes devem prever nos respetivos quadros jurídicos períodos específicos de conservação dos registos que contenham informações pessoais, a fim de garantir que tais informações não são conservadas por mais tempo do que o necessário e adequado. Os períodos de conservação devem ter em conta a finalidade do tratamento, a natureza dos dados e a autoridade responsável pelo tratamento, o impacto nos direitos e interesses das pessoas afetadas e outras considerações de ordem jurídica aplicáveis. 2. No caso de os Estados Unidos, por um lado, e a União Europeia ou um Estado-Membro, por outro, celebrarem um acordo sobre a transmissão de dados pessoais, diferentes dos dados relacionados com casos, investigações ou processos penais concretos, tal acordo deve incluir uma disposição específica e mutuamente acordada sobre o período de conservação dos registos. 3. As Partes devem prever procedimentos de revisão periódica do período de conservação de registos, a fim de determinar se a alteração de algumas circunstâncias exige uma alteração ulterior do prazo aplicável. 4. As Partes devem publicar ou tornar público de outra forma os períodos de conservação. Artigo 13.º: Categorias especiais de dados pessoais 1. O tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas e as convicções religiosas ou de outro tipo, a filiação sindical ou informações pessoais relativas à saúde ou à vida sexual só pode realizar-se com salvaguardas adequadas, em conformidade com a lei. Tais salvaguardas adequadas podem consistir em: limitar as finalidades para as quais os dados podem ser tratados, permitindo, por exemplo, o tratamento apenas numa base casuística; mascarar, suprimir ou bloquear a informação depois de a finalidade para a qual foram tratados ter sido alcançada; restringir o pessoal autorizado a aceder à informação; exigir uma formação especializada ao pessoal que tiver acesso à informação; subordinar o acesso a essa informação à autorização de uma autoridade de controlo; ou outras medidas de proteção. As referidas salvaguardas devem ter devidamente em conta a natureza da informação, o seu caráter particularmente sensível e a finalidade para a qual é tratada. 2. No caso de os Estados Unidos, por um lado, e a União Europeia ou um Estado-Membro, por outro, celebrarem um acordo sobre a transmissão de dados pessoais, diferentes dos dados relacionados com casos, investigações ou processos penais concretos, tal acordo deve especificar as normas e condições em que tais dados podem ser tratados, tendo devidamente em conta a natureza e a finalidade a que se destina. Artigo 14.º: Responsabilização 1. As Partes devem adotar medidas para promover a responsabilização no que respeita ao tratamento de dados pessoais no âmbito do presente Acordo pelas respetivas autoridades competentes e qualquer outra autoridade a quem tenham sido transferidos dados pessoais. Essas medidas devem incluir a notificação das salvaguardas aplicáveis às transferências de dados pessoais ao abrigo do presente Acordo e das condições eventualmente impostas pela autoridade competente que procede à transferência, nos termos do artigo 6.º, n.º 3. As faltas graves devem ser objeto de sanções penais, civis ou administrativas adequadas e dissuasivas. 2. As medidas enunciadas no n.º 1 devem incluir, se for caso disso, a interrupção da transferência de dados pessoais para as autoridades das entidades territoriais das Partes não abrangidas pelo presente Acordo que não tenham protegido de forma eficaz os dados pessoais, tendo em conta o objeto do presente Acordo e, em especial, as suas disposições relativas à limitação das finalidades e da utilização e à transferência ulterior. 3. Caso seja alegada a execução inadequada do presente artigo, uma Parte pode solicitar à outra informações a este propósito, designadamente, se for caso disso, sobre as medidas tomadas ao abrigo do presente artigo.

Artigo 15.º: Decisões automatizadas As decisões suscetíveis de produzir efeitos prejudiciais significativos contra interesses relevantes da pessoa envolvida não podem basear-se exclusivamente no tratamento automatizado dos dados pessoais sem qualquer intervenção humana, a menos que tal seja autorizado pelo direito nacional e sejam previstas garantias adequadas que contemplem a possibilidade de requerer uma intervenção humana. Artigo 16.º: Acesso 1. As Partes devem assegurar que qualquer pessoa tenha o direito de solicitar o acesso aos seus dados pessoais e, sob reserva das restrições previstas no n.º 2, que o possa obter. Esse acesso deve ser solicitado e obtido junto de uma autoridade competente, em conformidade com o quadro jurídico aplicável do Estado onde for requerido. 2. A obtenção dessas informações num caso concreto pode estar sujeita a restrições razoáveis previstas no direito nacional, tendo em conta os interesses legítimos da pessoa singular em causa, de modo a: a) Proteger os direitos e liberdades de terceiros, nomeadamente a sua privacidade; b) Salvaguardar a ordem pública e a segurança nacional; c) Proteger informações sensíveis na posse das autoridades com poderes coercivos; d) Impedir que obstem a inquéritos, investigações, ou procedimentos oficiais ou judiciais; e) Evitar prejudicar a prevenção, deteção, investigação ou repressão de infrações penais ou a execução de sanções penais; f) Proteger de qualquer outra forma os interesses previstos na legislação em matéria de liberdade de informação e de acesso do público a documentos. 3. O acesso de uma pessoa singular aos seus dados pessoais não deve implicar encargos excessivos. 4. Qualquer pessoa singular tem o direito de autorizar, sempre que a legislação nacional o permita, uma autoridade de supervisão ou outro representante a solicitar o acesso em seu nome. 5. Se o acesso for recusado ou restringido, a autoridade competente requerida deve, sem demora injustificada, comunicar à pessoa singular ou ao seu representante devidamente autorizado, nos termos do n.º 4, os motivos da recusa ou da restrição do acesso. Artigo 17.º: Retificação 1. As Partes devem assegurar que qualquer pessoa singular possa solicitar a correção ou retificação dos seus dados pessoais que considere inexatos ou indevidamente tratados. A referida correção ou retificação podem consistir no aditamento, supressão, bloqueio ou quaisquer outras medidas ou métodos destinados a remediar imprecisões ou um tratamento inadequado, devendo ser solicitada e obtida junto de uma autoridade competente, em conformidade com o quadro jurídico aplicável no Estado onde for requerida. 2. Sempre que a autoridade competente destinatária concluir, na sequência:

a) de um pedido ao abrigo do n.º 1; b) de uma notificação da entidade que prestou as informações; ou c) das suas próprias investigações ou inquéritos; que as informações que recebeu ao abrigo do presente Acordo são incorretas ou foram indevidamente tratadas, deve tomar as medidas de aditamento, supressão, bloqueio ou outros métodos de correção ou retificação, consoante o caso. 3. Qualquer pessoa singular pode autorizar, sempre que a legislação nacional o permita, uma autoridade de supervisão ou outro representante a solicitar a correção ou a retificação em seu nome. 4. Se a correção ou retificação for recusada ou limitada, a autoridade competente requerida deve, sem demora injustificada, comunicar à pessoa singular ou ao seu representante devidamente autorizado, nos termos do n.º 3, os motivos da recusa ou da limitação da correção ou retificação. Artigo 18.º: Recurso administrativo 1. As Partes devem assegurar que qualquer pessoa singular pode interpor recurso administrativo quando considere que o seu pedido de acesso nos termos do artigo 16.º ou a retificação de informações inexatas ou objeto de tratamento inadequado nos termos do artigo 17.º foi indevidamente recusado. O recurso deve ser interposto junto de uma autoridade competente, em conformidade com o quadro jurídico aplicável do Estado onde for requerido. 2. Qualquer pessoa singular pode autorizar, sempre que a legislação nacional o permita, uma autoridade de supervisão ou outro representante a interpor um recurso administrativo em seu nome. 3. A autoridade competente junto da qual o recurso é interposto procede aos inquéritos e verificações adequados e deve, sem demora injustificada, comunicar por escrito, nomeadamente por via eletrónica, as suas conclusões, incluindo eventuais melhorias ou correções. A notificação das outras vias de recurso administrativo deve ser efetuada em conformidade com o disposto no artigo 20.º. Artigo 19.º: Recurso judicial 1. As Partes devem prever nos respetivos quadros jurídicos que, sem prejuízo da obrigação de esgotar em primeiro lugar as vias de recurso administrativo, qualquer cidadão de uma das Partes pode interpor recurso judicial, em caso de: a) Recusa por parte de uma autoridade competente do acesso a registos que contenham dados pessoais da pessoa em causa; b) Recusa por parte de uma autoridade competente de alterar registos que contenham dados pessoais; e c) Divulgação ilícita desses dados, de forma deliberada ou intencional, caso em que pode ser exigida uma indemnização compensatória. 2. O recurso judicial deve ser interposto em conformidade com o quadro jurídico aplicável do Estado onde a reparação for requerida. 3. Os n.os 1 e 2 são aplicáveis sem prejuízo de qualquer outro recurso judicial relativo ao tratamento de dados pessoais previsto na legislação do Estado em que o recurso for interposto.

4. Em caso de suspensão ou de cessação da vigência do Acordo, os artigos 26.º, n.º 2, e 29.º, n.º 3, não podem constituir a base para a interposição de um recurso judicial que deixou de estar disponível ao abrigo da legislação da Parte em causa. Artigo 20.º: Transparência 1. As Partes devem notificar o titular dos dados, eventualmente através das autoridades competentes por meio da publicação de notificações gerais ou através de uma notificação individual, na forma e na data prevista pela lei aplicável à autoridade que efetua a notificação, os seguintes elementos: a) Finalidades do tratamento de tais dados por essa autoridade; b) Finalidades para as quais os dados podem ser partilhados com outras autoridades; c) Disposições legislativas ou normas ao abrigo das quais o tratamento é efetuado; d) Terceiros a quem tais dados são divulgados; e e) Direitos da pessoa em causa em matéria de acesso, correção ou retificação, bem como as vias de recurso disponíveis. 2. Esta obrigação de notificação está sujeita a restrições razoáveis ao abrigo do direito nacional, no que diz respeito aos domínios enunciados no artigo 16.º, n.º 2, alíneas a) a f). Artigo 21.º: Supervisão eficaz 1. As Partes devem dispor de uma ou mais autoridades públicas de supervisão que: a) Exerçam funções e competências de supervisão de forma independente, nomeadamente em matéria de revisão, investigação e intervenção, se necessário, por sua própria iniciativa; b) Sejam competentes para receber e intervir em caso de queixas apresentadas por pessoas singulares relativas às medidas de execução do presente Acordo; e c) Tenham competência para assinalar violações da legislação relacionada com o presente Acordo para efeitos de ação penal ou disciplinar, se for caso disso. 2. A União Europeia efetuar a supervisão nos termos do presente artigo, através das suas autoridades responsáveis pela proteção de dados e das autoridades dos Estados-Membros. 3. Os Estados Unidos devem efetuar a supervisão nos termos do presente artigo de forma cumulativa, através de várias autoridades, que podem incluir, designadamente, os inspetores gerais (inspectors general), os diretores gerais responsáveis pela proteção da vida privada (chief privacy officers), o organismo de auditoria do Congresso (Government Accountability Office), a Comissão de Controlo da Privacidade e das Liberdades Cívicas (Privacy and Civil Liberties Oversight Board) e outros organismos executivos ou legislativos de supervisão do respeito da vida privada e das liberdades civis. Artigo 22.º: Cooperação entre as autoridades de supervisão

1. Se for caso disso, serão realizadas consultas entre as autoridades de supervisão referidas no artigo 21.º quanto ao exercício das funções relacionadas com o presente Acordo, tendo em vista garantir a implementação eficaz do disposto nos artigos 16.º, 17.º e 18.º. 2. As Partes devem criar pontos de contacto nacionais que ajudem a identificar a autoridade de supervisão competente num determinado caso. Artigo 23.º: Reexame conjunto 1. As Partes devem proceder periodicamente a um reexame conjunto das políticas e procedimentos de implementação do presente Acordo e da sua eficácia. Esse reexame deve prestar especial atenção à aplicação eficaz das garantias previstas no artigo 14.º (responsabilização), no artigo 16.º (acesso), no artigo 17.º (retificação), no artigo 18.º (recurso administrativo) e no artigo 19.º (recurso judicial). 2. O primeiro reexame conjunto deve ter lugar no prazo de três anos após a data de entrada em vigor do presente Acordo e, a partir de aí, a intervalos regulares. As Partes devem acordar previamente as modalidades e as condições desse reexame e comunicar entre si a composição das respetivas delegações, que devem incluir representantes das autoridades públicas de supervisão a que se refere o artigo 21.º sobre a supervisão eficaz, bem como das autoridades judiciais e policiais. As conclusões do reexame conjunto devem ser tornadas públicas. 3. Caso as Partes, ou os Estados Unidos e um Estado-Membro, tenham celebrado um acordo cujo objeto seja igualmente abrangido pelo âmbito do presente Acordo, que preveja a realização de um reexame conjunto, tal reexame conjunto não deve constituir uma duplicação e, na medida em que sejam pertinentes, as respetivas conclusões devem ser integradas nas conclusões do reexame conjunto efetuado no âmbito do presente Acordo. Artigo 24.º: Notificação 1. Os Estados Unidos devem notificar à União Europeia qualquer designação efetuada pelas suas autoridades nos termos do artigo 19.º, bem como qualquer alteração nesta matéria. 2. As Partes devem envidar esforços razoáveis no sentido de notificar mutuamente a adoção de disposições legislativas ou regulamentares suscetíveis de afetar substancialmente a execução do presente Acordo, se possível antes de estas entrarem em vigor. Artigo 25.º: Consulta Qualquer litígio decorrente da interpretação ou da aplicação do presente Acordo deve ser objeto de consultas entre as Partes com vista a encontrar uma solução mutuamente aceitável. Artigo 26.º: Suspensão 1. Em caso de violação substancial do presente Acordo, qualquer das Partes pode suspendê-lo, total ou parcialmente, mediante notificação escrita à outra Parte por via diplomática. Tal notificação escrita só deve ser efetuada após as Partes terem procedido a consultas durante um período de tempo razoável e não terem conseguido encontrar uma solução. A suspensão produz efeitos vinte dias após a data de receção da referida notificação. A suspensão pode ser levantada pela Parte notificante, mediante nova notificação por escrito à outra Parte. A suspensão é levantada imediatamente após a receção da nova notificação. 2. Não obstante a eventual suspensão do Acordo, os dados pessoais abrangidos pelo seu âmbito de aplicação e transferidos antes da eventual suspensão continuarão a ser tratados em conformidade com o disposto no presente Acordo.