COMISSÃO EUROPEIA Estrasburgo,17.4.2018 COM(2018) 225 final 2018/0108(COD) Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO relativo às ordens europeias de entrega ou de conservação de provas eletrónicas em matéria penal {SWD(2018) 118 final}



{SWD(2018) 119 final}



EXPOSIÇÃO DE MOTIVOS 1.CONTEXTO DA PROPOSTA •Justificação e objetivos da proposta Hoje em dia, a utilização das redes sociais, do correio eletrónico, dos serviços de mensagens e de aplicações («apps») para comunicar, trabalhar, socializar ou obter informações tornou-se um lugar-comum em muitas partes do mundo. Estes serviços ligam centenas de milhões de utilizadores e proporcionam benefícios consideráveis para o seu bem-estar económico e social, tanto na União como no resto do mundo. Contudo, também podem ser utilizados para praticar ou viabilizar a prática de crimes, nomeadamente crimes graves como ataques terroristas. Quando tal sucede, estes serviços e aplicações são, muitas vezes, os únicos locais onde os investigadores podem encontrar indícios que ajudem a identificar os autores dos crimes e obter provas que possam ser usadas em tribunal. Dada a natureza transnacional da Internet, estes serviços podem ser prestados em qualquer parte do mundo, não exigindo necessariamente infraestruturas físicas, presença empresarial ou efetivos nos Estados-Membros em que são prestados ou no conjunto do mercado interno. Também não precisam de um local específico para armazenar os dados, o qual é frequentemente escolhido pelo prestador de serviços com base em considerações legítimas como a segurança dos dados, as economias de escala e a rapidez de acesso. Neste contexto, as autoridades dos Estados-Membros precisam, num número cada vez maior de processos penais que envolvem todos os tipos de criminalidade, de aceder a dados que possam servir de prova e que estão armazenados fora do seu país e/ou armazenados por prestadores de serviços estabelecidos noutros Estados-Membros ou em países terceiros. Há várias décadas que têm vindo a ser desenvolvidos mecanismos de cooperação entre os países para as situações em que as provas ou o prestador de serviços se encontram noutro local. Embora sejam periodicamente revistos, esses mecanismos estão sujeitos a uma pressão cada vez maior para responder à crescente necessidade de acesso transnacional em tempo útil a provas eletrónicas. Para colmatar essa necessidade, vários Estados-Membros e países terceiros recorreram à expansão dos respetivos instrumentos nacionais. A fragmentação daí resultante gera insegurança jurídica e obrigações contraditórias, suscitando questões quanto à proteção dos direitos fundamentais e das garantias processuais das pessoas afetadas por esses pedidos de dados e informações. Em 2016, o Conselho apelou à adoção de medidas concretas baseadas numa abordagem comum da UE, a fim de tornar o auxílio judiciário mútuo mais eficaz, melhorar a cooperação entre as autoridades dos Estados-Membros e os prestadores de serviços estabelecidos em países terceiros e propor soluções para os problemas da determinação e do exercício da competência coerciva no ciberespaço. O Parlamento Europeu destacou igualmente os problemas que a fragmentação do atual quadro jurídico pode criar aos prestadores de serviços que procuram cumprir as exigências das autoridades policiais, tendo preconizado a definição de um quadro jurídico europeu que preveja a salvaguarda dos direitos e liberdades de todos os interessados. A presente proposta visa resolver o problema específico criado pela natureza volátil da prova eletrónica e a sua dimensão internacional. Procura adaptar os mecanismos de cooperação à era digital, dotando o sistema judiciário e as autoridades policiais de instrumentos que permitam contemplar os novos meios de comunicação que os criminosos utilizam e combater as formas modernas de criminalidade. Estes instrumentos estão sujeitos a mecanismos de proteção rigorosos no que respeita aos direitos fundamentais. A presente proposta tem por objetivo melhorar a segurança jurídica para as autoridades, os prestadores de serviços e as pessoas afetadas, assegurando normas exigentes quanto aos pedidos formulados pelas autoridades policiais e garantindo, assim, a proteção dos direitos fundamentais, a transparência e a responsabilização. Visa igualmente agilizar o processo de obtenção de provas eletrónicas armazenadas e/ou conservadas por prestadores de serviços estabelecidos noutra jurisdição. Este instrumento irá coexistir com os instrumentos de cooperação judiciária que se encontrem em vigor e que sejam passíveis de ser utilizados pelas autoridades competentes. Paralelamente, a Comissão está a trabalhar no sentido de reforçar os mecanismos de cooperação judiciária existentes, através de medidas como a criação de uma plataforma segura para o rápido intercâmbio de pedidos de dados entre as autoridades judiciais da UE, tendo investido um milhão de euros na formação de profissionais de todos os Estados-Membros da UE nos domínios da cooperação judiciária e do auxílio judiciário mútuo, com ênfase nos Estados Unidos enquanto país terceiro que recebe o maior número de pedidos da UE. No que respeita à notificação e à execução das ordens emitidas no âmbito deste instrumento, as autoridades devem recorrer ao representante legal nomeado pelos prestadores de serviços. A Comissão apresenta hoje uma proposta para garantir que esses representantes legais sejam efetivamente designados, a qual prevê uma solução comum ao nível da UE para a notificação de ordens jurídicas a prestadores de serviços através de um representante legal. •Coerência com o quadro jurídico da UE no domínio em causa e com a Convenção de Budapeste do Conselho da Europa O atual quadro jurídico da UE é constituído por instrumentos de cooperação em matéria penal, como a Diretiva 2014/41/UE, relativa à decisão europeia de investigação em matéria penal (Diretiva relativa à DEI), a Convenção relativa ao auxílio judiciário mútuo em matéria penal entre os Estados-Membros da União Europeia, a Decisão 2002/187/JAI do Conselho, relativa à criação da Eurojust, o Regulamento (UE) 2016/794, relativo à Europol, a Decisão-Quadro 2002/465/JAI do Conselho, relativa às equipas de investigação conjuntas, bem como acordos bilaterais entre a União e países terceiros, como o Acordo sobre auxílio judiciário mútuo entre a UE e os EUA e o Acordo sobre auxílio judiciário mútuo entre a UE e o Japão. A presente proposta visa, mediante a introdução das ordens europeias de entrega ou de conservação de provas, facilitar a obtenção e a recolha de provas eletrónicas em processo penal que se encontrem armazenadas ou sejam detidas por prestadores de serviços estabelecidos noutra jurisdição. A Diretiva relativa à DEI, que substituiu em larga medida a Convenção relativa ao auxílio judiciário mútuo em matéria penal, abrange todas as medidas de investigação, incluindo o acesso a provas eletrónicas, mas não contém disposições específicas para este tipo de provas. O novo instrumento não substituirá a decisão europeia de investigação (DEI) quanto à obtenção de provas eletrónicas, mas prevê um mecanismo suplementar para as autoridades. Poderão existir situações (por exemplo, quando seja necessário aplicar várias medidas de investigação no Estado-Membro de execução) em que a decisão europeia de investigação poderá ser o instrumento preferido das autoridades públicas. A criação de um novo instrumento para as provas eletrónicas é uma alternativa melhor do que a alteração da Diretiva relativa à DEI, uma vez que os desafios específicos inerentes à obtenção deste tipo de provas não afetam as outras medidas de investigação abrangidas por essa diretiva. Por forma a facilitar a recolha transnacional de provas eletrónicas, o novo instrumento basearse-á nos princípios de reconhecimento mútuo. Para a notificação e execução da ordem não será necessário envolver diretamente a autoridade do país no qual o destinatário se encontre, salvo em caso de incumprimento, situação que implicaria a execução coerciva e a intervenção da autoridade competente do país onde o representante está localizado. Por conseguinte, este instrumento requer a adoção de um conjunto de disposições e salvaguardas sólidas como, por exemplo, a validação das ordens por uma autoridade judicial em cada caso concreto. A título de exemplo, as ordens europeias de entrega de dados transacionais ou de conteúdos (em oposição a dados de assinantes e de acesso) só podem ser emitidas no caso de infrações penais puníveis no Estado de emissão com uma pena privativa de liberdade de duração máxima não inferior a três anos ou no caso de crimes específicos nos domínios da cibercriminalidade e da criminalidade possibilitada pelo ciberespaço ou relacionados com o terrorismo, conforme referido na proposta. Os dados pessoais abrangidos pela presente proposta estão protegidos e só podem ser tratados de acordo com o Regulamento geral sobre a proteção de dados e com a Diretiva relativa à proteção dos dados destinados às autoridades policiais e judiciais (Diretiva sobre a proteção de dados na aplicação da lei). O Regulamento geral sobre a proteção de dados entra em vigor em 25 de maio de 2018 enquanto a Diretiva sobre a proteção de dados na aplicação da lei deveria ser transposta pelos Estados-Membros até 6 de maio de 2018. A Convenção de Budapeste do Conselho da Europa sobre a Cibercriminalidade (CETS n.º 185), ratificada pela maioria dos Estados-Membros da UE, estabelece mecanismos internacionais de cooperação contra a cibercriminalidade. A Convenção aborda os crimes cometidos através da Internet e de outras redes informáticas e insta as Partes a instituir poderes e procedimentos para obter provas eletrónicas e prestar auxílio judiciário mútuo, no que respeita à cibercriminalidade e não só. Em particular, exige que as Partes criem a figura da ordem de entrega de provas a fim de obter dados informáticos dos prestadores de serviços estabelecidos no seu território e dados de assinantes de prestadores de serviços que operam no seu território. Além disso, prevê a emissão de ordens de conservação de provas quando existam motivos para crer que os dados informáticos são particularmente vulneráveis a perdas ou alterações. A notificação e a execução coerciva das ordens nacionais de entrega de provas dirigidas a prestadores estabelecidos fora do território de uma Parte na Convenção suscitam questões adicionais. A este respeito, estão atualmente em estudo novas medidas para melhorar o acesso transnacional a provas eletrónicas. •Resumo da proposta de regulamento A proposta de regulamento introduz a ordem europeia de entrega de provas e a ordem europeia de conservação de provas, que são ambas vinculativas e devem ser emitidas ou validadas por uma autoridade judicial de um Estado-Membro. As referidas ordens podem ser emitidas com a finalidade de obter ou conservar dados armazenados por um prestador de serviços estabelecido noutra jurisdição, para serem utilizados como prova em investigações ou processos penais. Contudo, só podem ser emitidas se existir uma medida semelhante para a mesma infração penal numa situação nacional comparável no Estado de emissão. Ambas as ordens podem ser notificadas aos prestadores de serviços de comunicações eletrónicas, de redes sociais e de mercados em linha, a outros prestadores de serviços de alojamento e aos prestadores de serviços de Internet, como registos de endereço IP e nomes de domínio, ou aos seus representantes legais, quando existam. A ordem europeia de entrega de provas, tal como a ordem europeia de conservação de provas, é dirigida ao representante legal estabelecido fora da jurisdição do Estado-Membro de emissão e tem por objetivo conservar os dados tendo em vista um pedido subsequente de entrega de provas, por exemplo através de canais de auxílio judiciário mútuo, no caso de países terceiros, ou através de uma decisão europeia de investigação entre os Estados-Membros participantes. Ao contrário das medidas de vigilância ou das obrigações de retenção de dados estabelecidas por lei, que não estão previstas no regulamento, uma ordem europeia de conservação de provas é uma ordem emitida ou validada por uma autoridade judicial no âmbito de um processo penal, após uma avaliação individual da proporcionalidade e da necessidade em cada caso concreto. Tal como a ordem europeia de entrega de provas, diz respeito ao autor concreto, conhecido ou desconhecido, de uma infração penal já cometida. A ordem europeia de conservação de dados só permite conservar dados que já se encontrem armazenados à data da sua receção, não permitindo o acesso aos dados numa data posterior à receção da mesma. Ambas as ordens europeias só podem ser utilizadas em processo penal, desde a fase de investigações preliminares e a fase de instrução até ao encerramento do processo por sentença ou outra decisão. As ordens de entrega de dados de assinantes e de acesso podem ser emitidas para qualquer infração penal, enquanto as ordens de entrega de dados transacionais ou de conteúdo só podem ser emitidas no caso de infrações penais puníveis no Estado de emissão com uma pena privativa de liberdade de duração máxima não inferior a três anos ou no caso de crimes específicos (referidos na proposta) e de crimes com ligação específica a ferramentas eletrónicas ou infrações abrangidas pela Diretiva 2017/541/UE relativa à luta contra o terrorismo.

Tendo em conta os diferentes níveis de ingerência das medidas impostas quanto aos dados solicitados, a proposta de regulamento estabelece uma série de condições e salvaguardas, que incluem a obrigação de validação prévia das ordens por uma autoridade judicial. A proposta aplica-se exclusivamente aos dados já armazenados. A interceção de telecomunicações em tempo real não é abrangida pelo seu âmbito de aplicação. A medida é limitada ao que é necessário e proporcional no âmbito do processo penal. Permite igualmente que os prestadores de serviços solicitem esclarecimentos às autoridades que emitiram a ordem, sempre que necessário. Se não for possível obter os esclarecimentos solicitados e a autoridade emissora decidir executar coercivamente a ordem, os prestadores de serviços poderão utilizar os mesmos fundamentos para se oporem à execução da ordem pelas respetivas autoridades. Além disso, o regulamento estabelece um procedimento específico para as situações em que a obrigação de fornecer dados entre em conflito com uma obrigação concorrente por força do direito de um país terceiro. A legislação da UE protege os direitos dos suspeitos e dos arguidos em processo penal, prevendo normas de proteção dos dados pessoais. No entanto, para as pessoas cujos dados são solicitados, as salvaguardas suplementares que constam da proposta de regulamento conferem-lhes direitos processuais no âmbito do processo penal ou fora dele. Esses direitos incluem a possibilidade de contestar a legalidade, a necessidade ou a proporcionalidade da ordem, sem restringir os fundamentos da contestação de acordo com o direito nacional. Os direitos decorrentes do direito do Estado de execução são plenamente respeitados, garantindo que as imunidades e os privilégios que protegem os dados solicitados no Estado-Membro do prestador de serviços sejam tidos em conta no Estado de emissão, sobretudo quando esses direitos preveem uma proteção mais elevada do que a conferida pelo direito do Estado de emissão. As ordens emitidas ao abrigo do regulamento proposto serão executáveis da mesma forma que as ordens nacionais equivalentes na jurisdição onde o prestador de serviços for notificado da ordem. O regulamento prevê que os Estados-Membros apliquem sanções eficazes e proporcionadas. 2.BASE JURÍDICA, SUBSIDIARIEDADE E PROPORCIONALIDADE •Base jurídica A base jurídica da intervenção neste domínio é o artigo 82.º, n.º 1, do Tratado sobre o Funcionamento da União Europeia, que estabelece que podem ser adotadas medidas de acordo com o processo legislativo ordinário, destinadas a definir regras e procedimentos para assegurar o reconhecimento em toda a União de todas as formas de sentenças e decisões judiciais. Prevê ainda a adoção de medidas destinadas a facilitar a cooperação entre as autoridades judiciais ou outras equivalentes dos Estados-Membros, no âmbito da investigação e do exercício da ação penal, assim como da execução de decisões. Esta base jurídica aplica-se aos mecanismos abrangidos pelo regulamento. O artigo 82.º, n.º 1, assegura o reconhecimento mútuo de decisões judiciais, através das quais uma autoridade judicial do Estado de emissão notifica uma pessoa coletiva noutro Estado-Membro e inclusive lhe impõe obrigações, sem a intervenção prévia de uma autoridade judicial nesse outro Estado-Membro. Uma ordem europeia de entrega ou de conservação de provas pode implicar a intervenção de uma autoridade judicial do Estado de execução, se tal for necessário para a sua execução coerciva. •Escolha do instrumento O artigo 82.º, n.º 1, do TFUE confere ao legislador da União a possibilidade de adotar regulamentos e diretivas. Uma vez que a proposta diz respeito a procedimentos transnacionais, que requerem normas uniformes, não é necessário deixar margem de manobra aos Estados-Membros para a transposição das mesmas. Um regulamento é diretamente aplicável, proporciona clareza e maior segurança jurídica, evitando interpretações divergentes nos Estados-Membros, bem como outros problemas de transposição que afetaram anteriormente as decisões-quadro sobre o reconhecimento mútuo de sentenças e decisões judiciais. Além disso, um regulamento permite que uma mesma obrigação seja imposta uniformemente em toda a União. Por estas razões, considera-se que o regulamento é a forma mais adequada para este instrumento de reconhecimento mútuo. •Subsidiariedade Tendo em conta a dimensão transnacional dos problemas encontrados, as medidas incluídas na proposta devem ser adotadas a nível da União, com vista à consecução dos objetivos. Os crimes para os quais existem provas eletrónicas envolvem frequentemente situações em que a infraestrutura na qual essas provas são armazenadas e o prestador de serviços que a gere são abrangidos por um quadro jurídico nacional diferente, dentro ou fora da União, do quadro jurídico nacional aplicável à vítima e ao autor da infração. Por conseguinte, sem normas mínimas comuns, poderá ser demasiado moroso e difícil para o país competente dispor de acesso transnacional eficaz a essas provas eletrónicas. Mas concretamente, os EstadosMembros agindo isoladamente teriam dificuldade em abordar as seguintes questões: ·Fragmentação dos quadros jurídicos nos Estados-Membros, já identificada como um sério problema pelos prestadores de serviços que procuram satisfazer os pedidos apresentados com base em diferentes legislações nacionais; ·Melhor oportunidade de cooperação judiciária com base na legislação da União em vigor, nomeadamente através da DEI. Tendo em conta a diversidade das abordagens jurídicas, o número de domínios de intervenção em causa (segurança, direitos fundamentais e direitos processuais, proteção de dados pessoais, questões económicas) e o vasto leque de partes interessadas, a legislação à escala da União é o meio mais adequado para resolver os problemas identificados. •Proporcionalidade A proposta estabelece as normas segundo as quais uma autoridade competente de um EstadoMembro da União pode ordenar a um prestador de serviços que opere na União e não esteja estabelecido nesse mesmo Estado-Membro que entregue ou conserve em seu poder provas eletrónicas. As suas principais características, designadamente o âmbito material da ordem europeia de entrega de provas, as condições que garantem o princípio da cortesia internacional, o mecanismo sancionatório e o sistema de salvaguardas e vias de recurso, limitam a proposta ao necessário para atingir os seus principais objetivos. Concretamente, a proposta cinge-se aos pedidos relativos a dados armazenados (os dados relativos à interceção das telecomunicações em tempo real não são abrangidos) e às decisões proferidas em processo penal para infrações penais específicas sob investigação. Não abrange, por conseguinte, a prevenção da criminalidade ou outros tipos de processos ou infrações (como processos administrativos por infração à lei) e não exige que os fornecedores dos dados recolham ou armazenem sistematicamente mais dados do que aqueles que recolhem ou armazenam por razões profissionais ou para cumprimento de outros requisitos legais. Além disso, enquanto as ordens de entrega de dados de assinantes e de acesso podem ser emitidas para qualquer infração penal, as ordens de entrega de dados transacionais ou de conteúdo só podem ser emitidas no caso de infrações penais puníveis no Estado de emissão com uma pena privativa de liberdade de duração máxima não inferior a três anos, ou no caso de infrações específicas nos domínios da cibercriminalidade e da criminalidade possibilitada pelo ciberespaço (definidas na proposta) e de crimes relacionados com o terrorismo. Por último, a proposta clarifica as normas processuais e as salvaguardas aplicáveis ao acesso transnacional a provas eletrónicas, mas não visa harmonizar as medidas nacionais. Limita-se ao que é necessário e proporcional para atender às necessidades das autoridades policiais e judiciais na era digital. 3.RESULTADOS DAS AVALIAÇÕES EX POST, DA CONSULTA DAS PARTES INTERESSADAS E DAS AVALIAÇÕES DE IMPACTO •Consulta das partes interessadas Durante um ano e meio, a Comissão consultou todas as partes interessadas relevantes para identificar os problemas e as possíveis vias a seguir nesta matéria. Essa consulta foi levada a cabo através de inquéritos, nomeadamente uma consulta pública e inquéritos específicos às autoridades públicas pertinentes. Foram ainda organizadas reuniões do grupo de peritos e reuniões bilaterais para analisar os possíveis efeitos da legislação da UE, assim como conferências para debater o acesso transnacional a provas eletrónicas, que serviram para sondar as opiniões sobre esta iniciativa.

De um modo geral, os inquiridos consideraram que o aumento da utilização dos serviços de informação representa um desafio para as autoridades policiais, já que muitas vezes estas estão insuficientemente equipadas para tratar provas eletrónicas. A morosidade do processo de obtenção de provas é considerada um dos principais obstáculos. Outras questões importantes identificadas pelas autoridades públicas incluem a falta de cooperação fiável com os prestadores de serviços, a falta de transparência e, no que respeita às medidas de investigação, a incerteza jurídica quanto à competência jurisdicional. Foi igualmente reconhecido que a cooperação transnacional direta entre as autoridades policiais e os prestadores de serviços digitais acrescenta valor às investigações penais. Os prestadores de serviços e algumas organizações da sociedade civil referiram a necessidade de garantir a segurança jurídica no âmbito da cooperação com as autoridades públicas e de prevenir conflitos de leis. No que se refere às preocupações sobre a forma como a nova legislação da UE poderá afetar os direitos das pessoas em causa, as partes interessadas consideraram que deveriam ser garantidas salvaguardas específicas como condição necessária para se adotar qualquer instrumento de caráter transnacional. As observações recolhidas na avaliação de impacto inicial mostraram que as partes interessadas consideram que a resolução das deficiências do atual sistema de auxílio judiciário mútuo o tornaria mais eficaz e aumentaria a segurança jurídica. Algumas organizações da sociedade civil não concordam que seja adotada legislação a nível da UE sobre cooperação direta, preferindo limitar a intervenção da UE à melhoria dos procedimentos em matéria de auxílio jurídico mútuo. Esta ideia será desenvolvida no âmbito das medidas práticas aprovadas pelo Conselho em junho de 2016. Um inquérito específico efetuado junto das autoridades dos Estados-Membros revelou igualmente que não existe uma abordagem comum para obter acesso transnacional a provas eletrónicas, pois cada Estado-Membro tem a sua própria prática nacional. Os prestadores de serviços também reagem de forma diferente aos pedidos apresentados por autoridades policiais estrangeiras, variando os prazos de resposta consoante o Estado-Membro requerente. Esta situação cria insegurança jurídica para todas as partes interessadas. Em termos gerais, a consulta das partes interessadas revelou que o enquadramento jurídico em vigor é fragmentado e complexo, podendo originar atrasos durante a fase de execução e tornar as investigações e ações penais pouco eficazes no caso de crimes que requeiram o acesso transnacional a provas eletrónicas. •Avaliação de impacto O Comité de Controlo da Regulamentação emitiu um parecer positivo sobre a avaliação de impacto subjacente a esta proposta, tendo apresentado várias sugestões de melhoria. Na sequência desse parecer, a avaliação de impacto foi alterada de modo a analisar mais aprofundadamente as questões dos direitos fundamentais associadas à partilha transnacional de dados, em especial as ligações entre as várias medidas que fazem parte da opção preferida. A avaliação foi ainda alterada a fim de refletir de forma mais precisa as opiniões das partes interessadas e dos Estados-Membros, assim como a forma como foram tidas em conta. Além disso, o contexto estratégico foi revisto de modo a incluir referências adicionais a vários aspetos como, por exemplo, as análises dos grupos de peritos que ajudaram a configurar a iniciativa. A complementaridade entre as diferentes medidas (nomeadamente, a Diretiva relativa à DEI, as negociações de um protocolo adicional da Convenção de Budapeste e a revisão conjunta do acordo de auxílio jurídico mútuo UE-EUA) foi clarificada em termos de âmbito de aplicação, calendário e profundidade, tendo o cenário de base sido revisto a fim de refletir melhor os desenvolvimentos suscetíveis de ocorrerem, independentemente da adoção das medidas propostas. Por último, foram adicionados fluxogramas que permitem descrever de forma mais exata os fluxos de trabalho quanto à partilha de dados. Além do cenário de base (opção O), foram analisadas outras quatro opções estratégicas: um conjunto de medidas práticas destinadas a melhorar os procedimentos de cooperação judiciária e a cooperação direta entre as autoridades e os prestadores de serviços (opção A: não-legislativa); uma opção combinando as medidas práticas da opção A com soluções internacionais a nível bilateral ou multilateral (opção B: legislativa); uma opção combinando as medidas da opção B com uma ordem europeia de entrega de provas e uma medida para melhorar o acesso a bases de dados que fornecem informações sobre assinantes, como a informação Whois do Nome de Domínio (opção C: legislativa); e uma opção que combina todas as medidas da opção C com a legislação relativa ao acesso direto a dados armazenados remotamente (opção D: legislativa). Se não forem adotadas quaisquer medidas (opção O), a situação agravar-se-á em virtude do aumento do número de pedidos apresentados. Todas as outras opções contribuem para a consecução dos objetivos da iniciativa, mas em diferentes graus. A opção A melhoraria a eficiência dos processos atuais, por exemplo, melhorando a qualidade dos pedidos, mas a margem de melhoria seria limitada pelas deficiências estruturais do sistema atual. A opção B permitiria mais melhorias, proporcionando soluções internacionalmente aceites, mas o resultado destas soluções internacionais dependeria, em larga medida, de países terceiros. Estas soluções implicam, portanto, alguma incerteza e poderão não ser tão eficazes nem oferecer tantas salvaguardas como uma solução a nível da União. A opção C traria claramente valor acrescentado em comparação com as opções anteriores, prevendo ainda um instrumento da UE de cooperação direta com os prestadores de serviços, o qual poderia resolver a maioria das questões identificadas nos casos em que os prestadores de serviços dispõem dos dados requeridos. A opção D contém o pacote de soluções mais abrangente. Além das medidas anteriores, prevê uma medida legislativa sobre o acesso direto nas situações em que não seja necessário envolver o prestador de serviços. A presente iniciativa legislativa da Comissão baseia-se nas conclusões da avaliação de impacto e será complementada com as medidas práticas descritas na avaliação de impacto e com o trabalho em curso com vista à elaboração de um protocolo adicional da Convenção de Budapeste. Com base na sua proposta legislativa, a Comissão irá debater igualmente com os EUA e com outros países terceiros a possibilidade de celebrar futuros acordos bilaterais ou multilaterais sobre o acesso transnacional a provas eletrónicas e respetivas salvaguardas. No que se refere às medidas relativas ao acesso direto e ao acesso a bases de dados, que fazem parte da opção D, a Comissão não propõe, de momento, qualquer tipo de legislação, mas pretende refletir sobre o melhor caminho a seguir quanto a estas duas questões. Espera-se que a iniciativa permita tornar mais eficaz e eficiente a investigação e a ação penal, melhorar a transparência e a responsabilização, assegurando o respeito dos direitos fundamentais. Deve ainda fomentar a confiança no mercado único digital, reforçar a segurança e reduzir a perceção de impunidade para os crimes cometidos através de dispositivos em rede. No que respeita às autoridades públicas, prevê-se que a iniciativa implique custos iniciais de execução, que, a longo prazo, seriam compensados por economias nos custos recorrentes. As autoridades nacionais teriam de adaptar-se aos novos procedimentos e de receber formação. Contudo, após essa fase, beneficiariam da simplificação e centralização e de um quadro jurídico claro para regulamentar os pedidos de acesso a dados, com os consequentes ganhos de eficiência. De modo idêntico, uma vez que a opção preferida aliviaria a pressão sobre os canais de cooperação judiciária, os países que recebem pedidos deveriam beneficiar de um redução no número de pedidos que devem tratar. Os prestadores de serviços teriam de adaptar-se ao novo enquadramento legislativo, mediante (novos) procedimentos e formação do seu pessoal. Por outro lado, um quadro harmonizado poderia reduzir os encargos para os prestadores que atualmente devem satisfazer pedidos relativos a dados não relacionados com conteúdos e que devem avaliá-los à luz dos diferentes direitos nacionais dos Estados-Membros. A segurança jurídica e a normalização dos procedimentos teriam igualmente impacto positivo nas pequenas e médias empresas, uma vez que reduziriam os encargos administrativos, favorecendo a competitividade. De um modo geral, a iniciativa também deverá gerar economias de custos para essas empresas. •Direitos fundamentais A proposta pode afetar vários direitos fundamentais: ·os direitos da pessoa singular cujos dados são acedidos: o direito à proteção dos dados pessoais; o direito ao respeito pela vida privada e familiar; o direito à liberdade de expressão; os direitos de defesa; o direito à ação e a um tribunal imparcial; ·os direitos do prestador de serviços: o direito à liberdade de empresa; o direito à ação perante um tribunal; ·os direitos dos cidadãos da UE: o direito à liberdade e à segurança.

Tendo em conta o acervo pertinente em matéria de proteção de dados, a proposta de regulamento prevê salvaguardas suficientes e importantes a fim de assegurar a proteção dos direitos dessas pessoas. Uma vez que este tipo de ordens só pode ser emitido em processos penais e se existirem situações nacionais comparáveis, tanto durante a fase de instrução como durante a fase de julgamento, são aplicáveis todas as salvaguardas processuais previstas no direito penal. Isto inclui, nomeadamente, o direito a um tribunal imparcial consagrado no artigo 6.º da CEDH e nos artigos 47.º e 48.º da Carta dos Direitos Fundamentais, bem como a legislação aplicável ao nível da UE em matéria de direitos processuais em processo penal, nomeadamente: a Diretiva 2010/64/UE relativa ao direito à interpretação e tradução em processo penal, a Diretiva 2012/13/UE relativa ao direito à informação em processo penal, a Diretiva 2013/48/UE relativa ao direito de acesso a um advogado em processo penal e nos processos de execução de mandados de detenção europeus, a Diretiva (UE) 2016/343 relativa ao reforço de certos aspetos da presunção de inocência e do direito de comparecer em julgamento em processo penal, a Diretiva (UE) 2016/800 relativa a garantias processuais para os menores suspeitos ou arguidos em processo penal e a Diretiva (UE) 2016/1919 relativa ao apoio judiciário para suspeitos e arguidos em processo penal e para as pessoas procuradas em processos de execução de mandados de detenção europeus. Mais especificamente, a intervenção prévia de uma autoridade judicial no momento da emissão de uma ordem assegura que foram verificadas a legalidade da medida e a sua necessidade e proporcionalidade ao processo em causa. Esta intervenção assegura igualmente que o pedido não prejudica indevidamente os direitos fundamentais, nomeadamente o respeito pelos princípios de direito, como o sigilo profissional advogado-cliente. A autoridade emissora é obrigada a assegurar, no caso concreto, que a medida é necessária e proporcionada, nomeadamente, tendo em conta a gravidade da infração sob investigação. A proposta também inclui limiares para os dados transacionais e de conteúdo, garantindo que a ordem europeia de entrega de provas só poderá ser usada para formas mais graves de criminalidade, no que respeita a esses dados. O direito a vias de recurso efetivo por parte das pessoas cujos dados são solicitados também está explicitamente previsto. As imunidades e os privilégios de certos profissionais, como os advogados, assim como os interesses fundamentais de segurança ou de defesa nacional no Estado do destinatário, devem igualmente ser tidos em consideração durante o julgamento no Estado de emissão. O reexame por uma autoridade judicial funciona como uma salvaguarda adicional nesta matéria. Uma vez que a ordem é uma medida vinculativa, afeta igualmente os direitos dos prestadores de serviços, nomeadamente a liberdade de empresa. A proposta reconhece aos prestadores de serviços o direito de formularem certas reivindicações junto do Estado-Membro de emissão, por exemplo, quando a ordem não tenha sido emitida ou validada por uma autoridade judicial. Se a ordem for transmitida para execução coerciva pelo Estado de execução, a autoridade responsável pela execução poderá decidir, após consulta da autoridade emissora, não reconhecer ou executar a mesma se, após a sua receção, considerar que se aplica um dos fundamentos limitados de oposição. Além disso, caso seja iniciado o procedimento de execução coerciva, o próprio destinatário poderá opor-se à ordem perante a autoridade de execução, com base em qualquer desses fundamentos limitados. Tal inclui, por exemplo, os casos em que seja notório que a ordem não foi emitida ou validada por uma autoridade competente ou nos quais o cumprimento violaria manifestamente a Carta ou seria manifestamente abusivo. Contudo, esta disposição não exclui o direito do destinatário à ação judicial contra uma decisão que lhe imponha uma sanção. Uma eventual questão relacionada com as medidas da União neste domínio é a possibilidade de estas medidas poderem contribuir para a introdução, por países terceiros, de obrigações recíprocas para os prestadores de serviços europeus que sejam incompatíveis com os direitos fundamentais da União, nomeadamente o elevado nível de proteção de dados assegurado pelo acervo da UE. A proposta aborda esta situação de duas formas: em primeiro lugar, prevê uma medida que contempla garantias sólidas e referências explícitas às condições e salvaguardas já inerentes ao acervo da UE, servindo assim de modelo para a legislação estrangeira; em segundo lugar, prevê uma cláusula específica relativa a «conflitos de obrigações» permitindo aos prestadores de serviços identificar obrigações que sejam contraditórias, originando assim um reexame jurisdicional. Esta cláusula destina-se a assegurar quer a observância das disposições gerais de bloqueio como, por exemplo, a Lei dos EUA relativa à privacidade das comunicações eletrónicas (Electronic Communications Privacy Act – ECPA), que proíbe a divulgação de dados de conteúdo dentro do seu âmbito de aplicação geográfico, exceto em circunstâncias limitadas, quer a observância de legislações que normalmente não proíbem a divulgação, mas podem fazê-lo em casos específicos. Atualmente, nos casos relativos à ECPA, o acesso a dados de conteúdo poderá ser impedido em determinadas situações, pelo que o auxílio judiciário mútuo deverá continuar a ser o principal instrumento de acesso a esses dados. No entanto, com as alterações introduzidas com a adoção da Lei CLOUD dos EUA, a disposição de bloqueio pode ser revogada se a UE celebrar um acordo com este país. Outros acordos internacionais com outros parceiros essenciais podem reduzir ainda mais as situações de conflito de leis. Tendo em conta o acima exposto, as medidas constantes da presente proposta respeitam os direitos fundamentais. 4.INCIDÊNCIA ORÇAMENTAL A proposta legislativa não tem incidência no orçamento da União. 5.OUTROS ELEMENTOS •Planos de execução e mecanismos de acompanhamento, de avaliação e de informação O regulamento é diretamente aplicável pelos profissionais na União, sem que seja necessário alterar os sistemas jurídicos nacionais. O regulamento será avaliado e a Comissão apresentará um relatório ao Parlamento Europeu e ao Conselho, o mais tardar, cinco anos após a sua entrada em vigor. Com base nas conclusões desse relatório, nomeadamente se o regulamento não preencher lacunas que sejam importantes na prática, e tendo em conta a evolução tecnológica, a Comissão avaliará a necessidade de alargar o seu âmbito de aplicação e, se for caso disso, apresentará propostas para a sua adaptação. Os Estados-Membros transmitirão à Comissão todas as informações necessárias para a elaboração do relatório e recolherão os dados necessários para o acompanhamento anual da aplicação do regulamento. Se necessário, a Comissão emitirá orientações para os prestadores de serviços cumprirem as obrigações decorrentes do regulamento. •Explicação pormenorizada das disposições específicas da proposta REGULAMENTO Artigo Considerando I. Objeto, definições e âmbito de aplicação 1. Objeto 1-15 2. Definições 16-23 3. Âmbito de aplicação 24-27 II. Ordem europeia de entrega de provas, ordem europeia de conservação de provas e respetivos certificados, representante legal 4. Autoridade emissora 30 5. Condições de emissão de uma ordem europeia de entrega de provas 28-29, 31-35 6. Condições de emissão de uma ordem europeia de conservação de provas 36 7. Destinatário da ordem europeia de entrega de provas ou da ordem europeia de conservação de provas 37 8. Certificado de ordem europeia de entrega de provas e certificado de ordem europeia de conservação de provas 38-39 9. Execução do certificado de ordem europeia de entrega de provas 40-41 10. Execução do certificado de ordem europeia de conservação de provas (COECP) 42 11. Confidencialidade e informação do utilizador 43 12. Reembolso dos custos incorridos Não aplicável III. Sanções e execução coerciva 13. Sanções Não aplicável 14. Procedimento de execução coerciva 44-45, 55 IV. Vias de recurso 15.º e 16.º Procedimento de reexame em caso de obrigações contraditórias decorrentes do direito de um país terceiro 47-53 17. Vias de recurso efetivo 54 18. Garantia dos privilégios e imunidades reconhecidos pelo Estado de execução 35 V. Disposições finais 19. Acompanhamento e divulgação de informações sobre a aplicação 58 20. Alterações aos certificados e aos formulários 59-60 21. Exercício da delegação 60 22. Notificações Não aplicável 23. Relação com as decisões europeias de investigação 61 24. Avaliação 62 25. Entrada em vigor Não aplicável

Este artigo define o âmbito de aplicação geral e o objetivo da proposta, que consiste em estabelecer as normas segundo as quais uma autoridade judicial competente na União Europeia pode, através de uma ordem europeia de entrega de provas ou de uma ordem europeia de conservação de provas, ordenar a um prestador de serviços que opere na União que entregue ou conserve provas eletrónicas. Estes instrumentos só podem ser utilizados em situações transnacionais, ou seja, em situações em que o prestador de serviços esteja estabelecido ou representado noutro Estado-Membro. O regulamento deve prever instrumentos adicionais para que as autoridades responsáveis pelas investigações obtenham provas eletrónicas, sem limitar as competências já previstas pelo direito nacional para obrigar os prestadores de serviços estabelecidos ou representados no seu território a cumprirem as disposições aplicáveis. Se o prestador de serviços estiver estabelecido ou representado no mesmo Estado-Membro, as autoridades desse EstadoMembro devem, por conseguinte, recorrer a medidas nacionais para o obrigar a cumprir as disposições aplicáveis. Os dados solicitados através de uma ordem europeia de entrega de provas devem ser fornecidos diretamente às autoridades, sem envolver as autoridades do Estado-Membro no qual o prestador de serviços estiver estabelecido ou representado. O regulamento também não considera a localização dos dados como um fator de ligação determinante, já que o armazenamento de dados, normalmente, não implica qualquer controlo pelo Estado em cujo território estes são armazenados. Na maioria dos casos, esse armazenamento é decidido exclusivamente pelo prestador de serviços, com base em considerações de natureza comercial. Além disso, o regulamento também se aplica se os prestadores de serviços não estiverem estabelecidos ou representados na União, mas prestarem serviços na União. Esta disposição encontra-se refletida no artigo 3.º, n.º 1. Quando a proposta se refere a um prestador de serviços estabelecido ou representado num Estado-Membro através de um representante legal nomeado, a simples designação desse representante não cria um estabelecimento do prestador de serviços para efeitos do regulamento. O disposto no artigo 1.º, n.º 2, do regulamento não tem por efeito alterar a obrigação de respeitar os direitos fundamentais e os princípios jurídicos consagrados no artigo 6.º do TUE. Artigo 2.º: Definições Este artigo contém as definições aplicáveis no âmbito do regulamento. Os seguintes tipos de prestadores de serviços são abrangidos pelo âmbito de aplicação do regulamento: prestadores de serviços de comunicações eletrónicas, prestadores de serviços da sociedade da informação para os quais o armazenamento de dados seja uma componente determinante do serviço prestado ao utilizador, incluindo as redes sociais (na medida em que não sejam consideradas serviços de comunicações eletrónicas), mercados em linha que facilitam transações entre os seus utilizadores (consumidores ou empresas) e outros prestadores de serviços de alojamento, e os prestadores de serviços de Internet como nomes de domínio e recursos de numeração. O regulamento abrange os prestadores de serviços de comunicações eletrónicas, tais como definidos [na Diretiva que estabelece o Código Europeu das Comunicações Eletrónicas]. Os consumidores e as empresas dependem cada vez mais de novos serviços baseados na Internet que permitem comunicações interpessoais, tais como voz sobre IP, mensagens instantâneas e serviços de correio eletrónico, em detrimento dos serviços de comunicações tradicionais. Esses serviços, juntamente com redes sociais como o Twitter e o Facebook (que permitem a partilha de conteúdos entre os utilizadores), devem, portanto, ser abrangidos pela presente proposta. Em muitos casos, os dados já não são armazenados num dispositivo do utilizador, mas sim disponibilizados numa infraestrutura localizada na nuvem, permitindo, em princípio, o acesso aos mesmos a partir de qualquer lugar. Os prestadores de serviços não precisam de estar estabelecidos ou de ter servidores nas diferentes jurisdições, recorrendo a uma administração centralizada e a sistemas descentralizados para armazenar os dados e prestar os serviços. Esta solução permite-lhes otimizar o equilíbrio da carga e reduzir os atrasos na resposta aos pedidos de dados enviados pelos utilizadores. Geralmente, são implantadas redes de distribuição de conteúdos para agilizar a distribuição dos mesmos, copiando-os para vários servidores em todo o mundo. Esta abordagem permite que as empresas exibam conteúdos a partir do servidor que estiver mais próximo do utilizador ou que possam encaminhar a comunicação através de uma rede menos congestionada. Por forma a ter em conta esse desenvolvimento, a definição abrange os serviços de alojamento na nuvem e outros serviços que fornecem uma variedade de recursos informáticos, como redes, servidores ou outras infraestruturas, armazenamento, aplicações e serviços que possibilitam o armazenamento de dados para diferentes finalidades. O instrumento também se aplica aos mercados digitais que permitem que os consumidores e/ou as empresas executem transações através de contratos de serviços ou vendas em linha. Tais transações são realizadas no sítio Web do mercado em linha ou de um comerciante que utilize serviços informáticos fornecidos pelo mercado em linha. Por conseguinte, é o mercado em linha que está na posse de provas eletrónicas que poderão ser necessárias no decurso de um processo penal. Os serviços para os quais o armazenamento de dados não é uma componente determinante não são abrangidos pela proposta. Embora a maioria dos serviços prestados pelos prestadores envolva algum tipo de armazenamento de dados, nomeadamente quando são serviços em linha prestados à distância, é possível identificar vários serviços em que o armazenamento de dados não constitui a característica principal, assumindo apenas uma natureza auxiliar, nomeadamente serviços jurídicos, de arquitetura, de engenharia e de contabilidade prestados em linha, à distância. Os dados na posse dos prestadores de serviços de infraestruturas da Internet, como agentes de registo e registos de nomes de domínio e prestadores de serviços de privacidade e de proxy, ou registos regionais da Internet para endereços de protocolo Internet («IP»), podem ser relevantes em matéria penal, pois podem fornecer indícios que permitam identificar uma pessoa singular ou uma entidade envolvida em atividades criminosas. As categorias de dados que podem ser obtidos com uma ordem europeia de entrega de provas emitida pelas autoridades competentes incluem dados de assinantes, dados de acesso, dados transacionais (as três categorias normalmente designadas conjuntamente por «dados não relacionados com conteúdos») e dados de conteúdo armazenados. Esta distinção, com exceção dos dados de acesso, existe nas ordens jurídicas de muitos Estados-Membros e mesmo em enquadramentos jurídicos fora da UE. Todas as categorias contêm dados pessoais, sendo, por conseguinte, abrangidas pelas salvaguardas previstas no acervo da UE em matéria de proteção de dados. O impacto em termos de direitos fundamentais varia consoante as categorias, em especial, entre os dados de assinantes, por um lado, e os dados transacionais e de conteúdo, por outro. É essencial que todas estas categorias sejam abrangidas pelo instrumento: os dados de acesso e de assinantes são frequentemente o ponto de partida para encontrar indícios numa investigação sobre a identidade de um suspeito, embora os dados transacionais e de conteúdo possam ser os mais relevantes como material probatório. Dados os diferentes níveis de interferência nos direitos fundamentais, justifica-se a inclusão de condições diferentes quanto aos dados de assinantes, por um lado, e quanto aos dados transacionais e de conteúdo, por outro, como sucede em várias disposições do regulamento. Importa destacar os dados de acesso como uma categoria de dados específica utilizada no regulamento. Os dados de acesso, conforme definidos no regulamento, são solicitados para o mesmo objetivo que os dados de assinantes, ou seja, para identificar o utilizador, sendo o seu nível de interferência com os direitos fundamentais semelhante. Por conseguinte, devem ser sujeitos às mesmas condições que os dados de assinantes. A proposta introduz assim uma nova categoria de dados, que deve ser tratada como dados de assinantes, caso seja prosseguido o mesmo objetivo. O artigo 2.º define os Estados-Membros e as autoridades que podem participar no processo. O artigo 4.º contém a definição de autoridade emissora. Os casos urgentes são situações excecionais que exigem normalmente uma reação em tempo útil da parte dos prestadores de serviços e em relação aos quais se aplicam condições especiais. Por conseguinte, serão definidos separadamente neste artigo. Artigo 3.º: Âmbito de aplicação Este artigo estabelece o âmbito de aplicação da proposta. O regulamento aplica-se a todos os prestadores de serviços que operam na União, incluindo aqueles que não estejam estabelecidos na União. A oferta ativa de serviços na União, com todas as vantagens daí decorrentes, justifica que estes prestadores de serviços sejam igualmente sujeitos ao regulamento, criando condições equitativas entre os participantes nos mesmos mercados. Além disso, a não inclusão desses prestadores de serviços criaria uma lacuna e tornaria mais fácil aos criminosos contornar o âmbito de aplicação do regulamento.

Por forma a verificar se são ou não prestados serviços, as autoridades devem verificar se o prestador permite que pessoas singulares ou coletivas de um ou vários Estados-Membros utilizem os seus serviços. No entanto, a mera acessibilidade do serviço (que também pode resultar da acessibilidade do sítio Web do prestador de serviços, de um intermediário, de um endereço de correio eletrónico e de outras informações de contacto) não deve ser considerada condição suficiente para a aplicação do regulamento. Por conseguinte, é necessária uma ligação significativa a esses Estados-Membros para confirmar que existe uma conexão suficientemente forte entre o prestador e o território onde presta os serviços. Essa ligação significativa existe sempre que um prestador de serviços tenha um estabelecimento num ou vários Estados-Membros. Caso o prestador de serviços não tenha qualquer estabelecimento na União, o critério de ligação significativa à União deve ser avaliado em função da existência de um número significativo de utilizadores num ou vários Estados-Membros ou na orientação das suas atividades para um ou vários Estados-Membros. Esta orientação pode ser determinada com base em todas as circunstâncias relevantes, incluindo fatores como a utilização de uma língua ou de uma moeda geralmente utilizada num Estado-Membro. A orientação das atividades para um determinado Estado-Membro também pode resultar da disponibilização de uma aplicação na loja de aplicações nacional pertinente, da divulgação de publicidade local ou na língua utilizada nesse Estado-Membro, da utilização de todas as informações provenientes de pessoas localizadas em Estados-Membros no decurso das suas atividades, ou da gestão das relações com os clientes, por exemplo, através da prestação de serviços aos clientes na língua geralmente utilizada no Estado-Membro. Deve considerar-se igualmente que existe uma ligação significativa quando um prestador de serviços dirige as suas atividades para um ou vários Estados-Membros, conforme estabelecido no artigo 17.º, n.º 1, alínea c), do Regulamento 1215/2012 relativo à competência judiciária, ao reconhecimento e à execução de decisões em matéria civil e comercial. A ordem europeia de entrega de provas e a ordem europeia de conservação de provas são medidas de investigação que só podem ser emitidas em investigações ou processos penais relativos a infrações penais específicas. A ligação a uma investigação específica distingue essas ordens das medidas preventivas ou das obrigações de retenção de dados estabelecidas por lei, assegurando a aplicação dos direitos processuais aplicáveis aos processos penais. A competência para iniciar uma investigação quanto a uma infração específica constitui, portanto, um pré-requisito para a aplicação do regulamento. Como requisito adicional, os dados solicitados devem estar relacionados com os serviços prestados pelo prestador de serviços na União. Capítulo 2: Ordem europeia de entrega de provas, ordem europeia de conservação de provas e respetivos certificados Artigo 4.º: Autoridade emissora Quando é emitida uma ordem europeia de entrega ou de conservação de provas, deve ser sempre envolvida no processo uma autoridade judicial, na qualidade de autoridade emissora ou de validação. No caso de ordens de entrega de dados transacionais e de conteúdo, é necessária a intervenção de um juiz ou de um tribunal. A entrega de dados de assinantes ou de acesso poderá ser levada acabo igualmente por magistrados do Ministério Público. Artigo 5.º: Condições de emissão de uma ordem europeia de entrega de provas O artigo 5.º estabelece as condições de emissão de uma ordem europeia de entrega de provas, as quais devem ser avaliadas pela autoridade judicial emissora. A ordem europeia de entrega de provas só pode ser emitida se for necessária e proporcionada ao processo em apreço. Além disso, só pode ser emitida se existir uma medida semelhante para a mesma infração penal numa situação nacional comparável no Estado de emissão. As ordens de entrega de dados de assinantes e de dados de acesso podem ser emitidas para qualquer infração penal. Os dados transacionais e de conteúdo devem ser sujeitos a requisitos mais rigorosos, de modo a refletir a sua natureza mais sensível e, consequentemente, o grau de intrusão mais elevado das ordens relativas a esses dados, comparativamente com os dados de assinantes e de acesso. Por conseguinte, as ordens só podem ser emitidas no caso de infrações puníveis com uma pena privativa de liberdade de duração máxima não inferior a três anos. A fixação de um limiar baseado numa pena privativa de liberdade de duração máxima permite uma abordagem mais proporcionada, juntamente com várias outras condições ex ante e ex post e salvaguardas, a fim de garantir o respeito da proporcionalidade e dos direitos das pessoas afetadas. Ao mesmo tempo, esse limiar não deve comprometer a eficácia do instrumento e a sua utilização pelos profissionais da justiça. Os Estados-Membros aplicam penas de duração máxima de acordo com os respetivos sistemas nacionais. Os códigos penais nacionais variam de país para país, não havendo qualquer harmonização. É o que sucede com as infrações penais e das sanções que lhes são aplicáveis. Os códigos processuais nacionais também diferem em relação aos limiares para a obtenção de dados transacionais ou de conteúdo: alguns Estados-Membros não estabelecem qualquer limiar específico; outros preveem uma lista de infrações. Um limiar de três anos limita o âmbito de aplicação do instrumento aos crimes mais graves, sem limitar excessivamente as possibilidades da sua utilização pelos profissionais da justiça. Este limiar exclui do âmbito de aplicação do regulamento uma vasta gama de crimes, consoante o disposto no código penal do Estado-Membro (por exemplo, em alguns Estados-Membros, a participação em atividades de um grupo criminoso organizado ou num rapto, mas também infrações como pequenos furtos, fraudes e assaltos, para os quais pode ser considerada desproporcionado recorrer a uma ordem de entrega de provas transnacional para obter dados mais sensíveis). Por outro lado, o limiar de três anos abrange crimes que exigem uma abordagem mais eficaz, como a participação numa organização criminosa, o financiamento de grupos terroristas, o apoio ou a publicidade a uma organização criminosa, a formação para a prática de crimes terroristas, certas infrações cometidas com intenção terrorista e a preparação de uma infração com intenção terrorista ou a preparação de tomada de reféns, que de outra forma seriam excluídos se fosse aplicado um limiar mais alto, consoante a legislação do Estado-Membro. Este limiar foi escolhido para garantir um equilíbrio entre a eficiência das investigações penais e a proteção dos direitos e da proporcionalidade em todos os Estados-Membros. Tem também a vantagem de ser facilmente aplicável na prática. Além disso, também podem ser emitidas ordens de entrega de dados transacionais ou de conteúdo quanto a infrações específicas harmonizadas enumeradas na disposição em relação às quais as provas normalmente estejam disponíveis, na sua maioria, apenas em formato eletrónico. Tal justifica a aplicação do regulamento também nos casos em que as infrações sejam puníveis com uma pena privativa de liberdade de duração máxima inferior ao limiar acima indicado; caso contrário, essas infrações não poderiam ser investigadas adequadamente, o que poderia levar à impunidade. As infrações são objeto das disposições específicas seguintes: i) Decisão-quadro do Conselho 2001/413/JAI, relativa ao combate à fraude e à contrafação de meios de pagamento que não em numerário, ii) Diretiva 2011/92/UE relativa à luta contra o abuso sexual e a exploração sexual de crianças e a pornografia infantil, e que substitui a Decisão-Quadro 2004/68/JAI do Conselho, e iii) Diretiva 2013/40/UE relativa a ataques contra os sistemas de informação e que substitui a Decisão-Quadro 2005/222/JAI do Conselho. Podem também ser emitidas ordens para as infrações enumeradas na Diretiva 2017/541/UE relativa à luta contra o terrorismo e que substitui a Decisão-Quadro 2002/475/JAI do Conselho e altera a Decisão 2005/671/JAI do Conselho. Algumas destas infrações têm limiares máximos de, no mínimo, um ano, outras de dois anos, mas nenhuma delas tem limiares máximos inferiores a um ano. O artigo estabelece igualmente as informações obrigatórias que devem constar da ordem europeia de entrega de provas, a fim de permitir ao prestador de serviços identificar e facultar os dados solicitados. A fundamentação da necessidade e da proporcionalidade desta medida deve integrar igualmente a ordem europeia de entrega de provas. A ordem europeia de entrega de provas é executada mediante a emissão de um certificado de ordem europeia de entrega de provas (COEEP) (ver artigo 8.º), que deve ser traduzido e enviado ao prestador de serviços. O certificado deve conter as mesmas informações obrigatórias que constam da ordem, salvo a fundamentação da necessidade e da proporcionalidade da medida e outros pormenores do processo. Quando os dados solicitados sejam armazenados ou tratados como parte de uma infraestrutura fornecida por um prestador de serviços a uma empresa, normalmente no caso de serviços de alojamento ou de software, a própria empresa deve ser a principal destinatária do pedido das autoridades de investigação. Caso a empresa não seja um prestador de serviços abrangido pelo âmbito de aplicação do regulamento, poderá ser necessário recorrer a uma decisão europeia de investigação ou a um pedido de auxílio judiciário mútuo. O prestador de serviços só poderá ser notificado da ordem europeia de entrega de provas se não for conveniente notificar o pedido à empresa, sobretudo quando a notificação possa comprometer a investigação, por exemplo, quando a própria empresa está sob investigação. Antes de emitir uma ordem europeia de entrega de provas, a autoridade emissora deve ter igualmente em conta as imunidades e os privilégios que possam estar previstos no direito do Estado-Membro do prestador de serviços ou qualquer impacto nos interesses fundamentais desse Estado-Membro, como a sua segurança e a defesa nacional. Esta disposição tem por objetivo garantir que as imunidades e os privilégios que protegem os dados solicitados no Estado-Membro do prestador de serviços sejam tidos em conta no Estado de emissão, nomeadamente quando preveem uma proteção mais elevada do que o direito do Estado de emissão. Artigo 6.º: Condições de emissão de uma ordem europeia de conservação de provas A ordem europeia de conservação de provas está sujeita a condições semelhantes à ordem europeia de entrega de provas, podendo ser emitida para qualquer infração em conformidade com as restantes condições fixadas no artigo 6.º. O seu objetivo é impedir a remoção, eliminação ou alteração de dados pertinentes em situações em que a obtenção desses dados possa ser mais morosa, por exemplo, quando são utilizados canais de cooperação judiciária. Tendo em conta que uma DEI pode normalmente ser emitida para qualquer infração sem que seja imposto qualquer limiar, a ordem europeia de conservação de provas também não será objeto de qualquer limitação. Caso contrário, este instrumento não seria eficaz. A fim de permitir às autoridades de investigação intervir rapidamente e dado que o pedido relevante para obter os dados será o pedido subsequente, em que todas as condições serão novamente analisadas, as ordens europeias de conservação de provas também podem ser emitidas ou validadas por um magistrado do Ministério Público. Artigo 7.º: Destinatário da ordem europeia de entrega de provas ou da ordem europeia de conservação de provas As ordens europeias de entrega de provas e as ordens europeias de conservação de provas devem ser notificadas ao representante legal nomeado pelo prestador de serviços para fins de recolha de provas em processos penais, em conformidade com a Diretiva que estabelece normas harmonizadas relativas à designação de representantes legais para efeitos de recolha de provas em processo penal. A transmissão deve ser efetuada sob a forma de um certificado de ordem europeia de entrega de provas (COEEP) ou de um certificado de ordem europeia de conservação de provas (COECP), como previsto no artigo 8.º. O representante legal será responsável pela sua receção e execução completa em tempo útil, o que permite aos prestadores de serviços escolherem o modo como se organizam para facultar os dados solicitados pelas autoridades dos Estados-Membros.

Caso não tenha sido nomeado um representante legal, as ordens podem ser notificadas a qualquer estabelecimento do prestador de serviços na União. Esta solução de recurso serve para garantir a eficácia do sistema, caso o prestador de serviços (ainda) não tenha nomeado um representante específico, por exemplo, quando não exista a obrigação de nomear um representante legal em conformidade com a diretiva, porque os prestadores de serviços estão estabelecidos e atuam apenas num Estado-Membro, ou nos casos em que ainda não esteja em vigor a obrigação de nomear um representante legal, antes de terminar o prazo de transposição da diretiva. Em caso de incumprimento pelo representante legal, existem duas situações em que a autoridade emissora se pode dirigir a qualquer estabelecimento do prestador de serviços na União: nas situações de urgência, tal como definidas no artigo 9.º, n.º 2, e nos casos em que o representante legal não cumpra as obrigações que lhe incumbem por força dos artigos 9.º e 10.º e em que a autoridade emissora considere existirem riscos claros de perda de dados. Artigo 8.º: Certificados de ordem europeia de entrega de provas ou de conservação de provas O COEEP e o COECP destinam-se a transmitir as ordens ao destinatário referido no artigo 7º. Os modelos de ambos os certificados constam dos anexos I e II do regulamento, devendo ser traduzidos para uma das línguas oficiais do Estado-Membro em que o destinatário esteja estabelecido. O prestador de serviços pode declarar que aceita igualmente as ordens redigidas noutras línguas oficiais da União. Os certificados têm por objetivo fornecer todas as informações necessárias a transmitir ao destinatário num formato normalizado, por forma a minimizar eventuais erros, permitir uma fácil identificação dos dados e evitar, tanto quanto possível, o texto livre e, consequentemente, reduzir os custos de tradução. A fundamentação completa quanto à necessidade e à proporcionalidade ou outras informações sobre o processo não devem ser incluídas no certificado, a fim de não comprometer as investigações. Estas informações só devem ser incluídas na ordem, de modo a que, posteriormente, o suspeito as possa contestar no âmbito do processo penal. Alguns prestadores de serviços já criaram plataformas para a transmissão de pedidos por parte das autoridades policiais. O regulamento não deve impedir a utilização dessas plataformas, uma vez que apresentam muitas vantagens, incluindo a possibilidade de transmissão segura dos dados e de autenticação fácil. No entanto, estas plataformas devem permitir a apresentação do COEEP e do COECP no formato previsto nos anexos I e II, sem solicitar quaisquer dados adicionais quanto à ordem. As plataformas criadas pelos Estados-Membros ou pelos organismos da União podem igualmente proporcionar meios seguros de transmissão e facilitar a autenticação das ordens e a recolha de dados estatísticos. Deverá ser ponderada a eventual expansão das plataformas eCodex e SIRIUS por forma a incluir uma ligação segura aos prestadores de serviços para efeitos de notificação do COEEP e do COECP e, quando apropriado, para a transmissão das respostas dos prestadores de serviços. Artigo 9.º: Execução do certificado de ordem europeia de entrega de provas O artigo 9.º obriga os destinatários a responder aos COEEP e introduz prazos obrigatórios. O prazo normal é de dez dias, embora as autoridades possam fixar um prazo mais curto, quando justificado. Além disso, em situações de urgência, definidas como as situações em que exista uma ameaça iminente à vida ou à integridade física de uma pessoa ou de uma infraestrutura crítica, o prazo é de seis horas. Esta disposição assegura igualmente a possibilidade de diálogo entre o destinatário e a autoridade emissora. Se o COEEP estiver incompleto, manifestamente incorreto ou não contiver informação suficiente para permitir a sua execução pelo prestador de serviços, o destinatário deve contactar a autoridade emissora e solicitar esclarecimentos, utilizando o formulário constante do anexo III. Deve ainda informar a autoridade emissora quando não possa fornecer os dados por motivos de força maior ou devido a uma impossibilidade de facto, por exemplo, se a pessoa cujos dados são solicitados não for cliente do serviço ou se (por exemplo, devido a outras obrigações de privacidade) os dados tiverem sido legitimamente eliminados pelo prestador de serviços antes de este (ou o seu representante legal) ter recebido a ordem. A autoridade emissora deverá ter conhecimento dessas circunstâncias para poder reagir rapidamente e tentar obter as provas eletrónicas junto de outro prestador de serviços, evitando assim iniciar um procedimento de execução coerciva quando tal não faria sentido. Se o destinatário não fornecer a informação, ou não a fornecer de forma exaustiva ou em tempo útil por motivos diferentes dos acima mencionados, deve comunicar esse motivos à autoridade emissora através do formulário constante do anexo III. Os destinatários podem, pois, suscitar qualquer questão relacionada com a execução do COEEP junto da autoridade emissora, permitindo que esta corrija ou reconsidere o COEEP numa fase inicial, antes da fase de execução coerciva. Se os dados não forem imediatamente transmitidos, nomeadamente quando se encete um diálogo entre o destinatário e a autoridade emissora (o que significa que os prazos do artigo 9.º, n.º 1, já não serão cumpridos), o prestador de serviços deve, após receber o COEEP, conservar os dados a fim de evitar a sua perda, desde que os mesmos possam ser identificados. Os dados devem ser conservados tendo em vista a sua eventual transmissão em virtude do COEEP corrigido ou de um pedido subsequente no âmbito de uma decisão europeia de investigação ou de um procedimento de auxílio judiciário mútuo que possam ser enviados em substituição do certificado inicial. Artigo 10.º: Execução do certificado de ordem europeia de conservação de provas (COECP) A execução de um COECP obriga a conservar os dados disponíveis aquando da receção da ordem. Os prestadores de serviços devem conservar os dados durante o período de tempo necessário para serem facultados, mediante pedido, desde que a autoridade emissora confirme, no prazo de 60 dias após a emissão da ordem, que emitiu o pedido de entrega de dados subsequente. Este processo exige que sejam adotadas, pelo menos, algumas medidas formais, como o envio de um pedido de auxílio judiciário mútuo para efeitos de tradução. Por outro lado, os pedidos de conservação de dados só devem ser apresentados ou mantidos durante o período de tempo necessário para permitir o envio de um pedido subsequente de entrega desses dados. Para evitar que os dados sejam conservados desnecessariamente ou por períodos de tempo excessivamente longos, a autoridade que emitiu a ordem europeia de conservação de provas deve informar o destinatário logo que seja tomada a decisão de não emitir ou de retirar uma ordem de entrega de provas ou um pedido de cooperação judiciária. Esta disposição assegura igualmente a possibilidade de diálogo entre o destinatário e a autoridade emissora, em condições idênticas às definidas no artigo 9.º. Se o COECP estiver incompleto, manifestamente incorreto ou não contiver informação suficiente para permitir a sua execução pelo prestador de serviços, o destinatário deve contactar a autoridade emissora e solicitar esclarecimentos, utilizando o formulário constante do anexo III. Deve ainda informar a autoridade emissora quando não possa fornecer os dados por motivos de força maior ou devido a uma impossibilidade de facto. Artigo 11.º: Confidencialidade e informação do utilizador Deve ser protegida a confidencialidade das investigações em curso, incluindo o facto de ter sido emitida uma ordem de entrega dos dados pertinentes. Este artigo inspira-se no artigo 19.º da Diretiva relativa à DEI. Prevê a obrigação de o destinatário e, se for caso disso, o prestador de serviços preservarem a confidencialidade do COEEP ou do COECP, nomeadamente abstendo-se de informar a pessoa cujos dados sejam solicitados, a pedido da autoridade emissora, a fim de salvaguardar a investigação de infrações penais, em conformidade com o artigo 23.º do Regulamento geral sobre a proteção de dados. Por outro lado, é importante, nomeadamente para o exercício de vias de recurso, que a pessoa cujos dados foram solicitados seja informada. Se tal não for feito pelo prestador de serviços, a pedido da autoridade emissora, esta deverá informar a pessoa nos termos do artigo 13.º da Diretiva sobre a proteção de dados na aplicação da lei, assim que deixar de existir o risco de comprometer a investigação, incluindo informação sobre as vias de recurso disponíveis. Devido à menor interferência com os direitos envolvidos, não é necessário informar o utilizador no caso de uma ordem europeia de conservação de provas mas apenas no caso de uma ordem europeia de entrega de provas. Artigo 12.º: Reembolso dos custos incorridos O prestador de serviços pode reclamar junto do Estado de emissão o reembolso dos custos em que tenha incorrido, desde que tal esteja previsto no direito nacional desse Estado relativamente a ordens nacionais emitidas em situações semelhantes, em conformidade com o direito nacional. Esta disposição garante a igualdade de tratamento entre os prestadores de serviços destinatários de uma ordem nacional e os destinatários de um COEEP do mesmo Estado-Membro, se este tiver decidido reembolsar determinados prestadores de serviços. Por outro lado, o regulamento proposto não harmoniza o reembolso dos custos, uma vez que os Estados-Membros fizeram escolhas divergentes a esse respeito.

Os custos podem ser reclamados diretamente pelo prestador de serviços ou pelo seu representante legal, só podendo ser reembolsados uma única vez. Capítulo 3: Sanções e execução coerciva Artigo 13º: Sanções Os Estados-Membros devem assegurar a aplicação de coimas efetivas, proporcionadas e dissuasoras, sempre que os prestadores de serviços não cumpram as obrigações que lhes incumbem por força dos artigos 9.º, 10.º ou 11.º. Esta disposição não prejudica as disposições do direito nacional que prevejam a imposição de sanções penais para tais situações. Artigo 14º: Procedimento de execução coerciva O artigo 14.º prevê um procedimento para a execução coerciva das ordens em caso de incumprimento, com a ajuda do Estado-Membro em que o destinatário do certificado transmitido estiver situado. Consoante o destinatário inicial, trata-se do Estado-Membro do prestador de serviços ou do Estado-Membro do representante legal. A autoridade emissora deve transferir a ordem completa, incluindo a fundamentação quanto à necessidade e proporcionalidade, juntamente com o certificado, para a autoridade competente do Estado de execução, que a executará coercivamente em conformidade com o direito nacional, aplicando, se for caso disso, as sanções previstas no artigo 13.º. Se a ordem for transmitida para ser executada coercivamente pelo Estado de execução, a autoridade de execução poderá decidir não a reconhecer ou executar caso, após a receção da mesma, considerar que se aplica um dos fundamentos limitados de oposição, após consulta da autoridade emissora. Além disso, se for iniciado o procedimento de execução coerciva, o próprio destinatário poderá opor-se à ordem perante a autoridade de execução, com base em qualquer desses fundamentos (com exceção das imunidades e dos privilégios), nomeadamente nos casos em que seja evidente que a ordem não foi emitida ou validada por uma autoridade competente ou nos quais o seu cumprimento violaria manifestamente a Carta dos Direitos Fundamentais da União Europeia, ou seria manifestamente abusivo. Por exemplo, uma ordem em que sejam solicitados dados de conteúdo pertencentes a uma classe indefinida de pessoas localizadas numa área geográfica ou sem ligação a procedimentos penais específicos ignoraria de forma manifesta as condições aplicáveis à emissão de uma ordem europeia de entrega de provas previstas no regulamento, o que já seria evidente a partir do teor do próprio certificado. Outros fundamentos só podem ser invocados pela pessoa cujos dados são solicitados, no âmbito das vias de recurso que lhe assistem no Estado de emissão (ver artigo 17.º infra). Além disso, os prestadores de serviços devem dispor de vias de recurso contra as decisões das autoridades de execução que lhes imponham sanções. O procedimento de execução coerciva prevê diferentes prazos para as autoridades de emissão e de execução, a fim de evitar atrasos durante o procedimento. Capítulo 4: Vias de recurso Artigos 15.º e 16.º: Procedimento de reexame em caso de obrigações contraditórias resultantes do direito de um país terceiro Os artigos 15.º e 16.º preveem um procedimento de reexame, caso os prestadores de serviços estabelecidos em países terceiros se deparem com obrigações contraditórias. Estas disposições são também essenciais para garantir a proteção dos direitos individuais e o respeito do princípio da cortesia internacional. Ao estabelecerem normas rigorosas, incentivam os países terceiros a proporcionarem níveis de proteção equivalentes. Na situação oposta, quando as autoridades de um país terceiro procuram obter dados de um cidadão da UE através de um prestador de serviços da UE, a legislação da União ou dos Estados-Membros que protege os direitos fundamentais, como o acervo em matéria de proteção de dados, pode impedir a sua divulgação. A União Europeia espera que os países terceiros respeitem as proibições previstas na presente proposta. O procedimento previsto no artigo 15.º pode ser desencadeado pelo destinatário, quando o cumprimento de uma ordem europeia de entrega de provas implique a violação do direito de um país terceiro que proíbe a divulgação dos dados em causa com o fundamento de que essa proibição é necessária para proteger os direitos fundamentais das pessoas em causa ou os interesses fundamentais desse país terceiro em matéria de segurança ou de defesa nacional. O destinatário é obrigado a notificar à autoridade emissora a sua oposição fundamentada, apresentando os motivos pelos quais considera existirem obrigações contraditórias. Esta oposição fundamentada não pode assentar no simples facto de não existirem disposições semelhantes no direito do país terceiro nem apenas na circunstância de os dados estarem armazenados num país terceiro. A oposição fundamentada deve ser apresentada nos termos do artigo 9.º, n.º 5, no que respeita à notificação da intenção de não dar cumprimento à ordem, através do formulário constante do anexo III. Com base na oposição fundamentada, a autoridade emissora reapreciará a ordem emitida. Se optar por revogá-la, o procedimento será encerrado. Contudo, se decidir confirmá-la, o processo será transferido para o tribunal competente do seu Estado-Membro, que avaliará, com base na oposição fundamentada e tendo em conta todos os factos relevantes do processo, se o direito do país terceiro se aplica ao processo específico em causa e, se for caso disso, se existe um conflito. Ao proceder a essa avaliação, o tribunal deve ter em conta se o direito do país terceiro em causa, em vez de ter por objetivo proteger os direitos fundamentais das pessoas em causa ou os interesses fundamentais desse país em matéria de segurança ou defesa nacional, visa antes manifestamente proteger outros interesses ou atividades ilícitas contra pedidos formulados por autoridades policiais no quadro de investigações penais. Se o tribunal determinar que existe, de facto, um conflito com as obrigações decorrentes da legislação que protege os direitos fundamentais das pessoas ou os interesses fundamentais do país terceiro em matéria de segurança ou defesa nacional, deve solicitar um parecer a esse país, através das respetivas autoridades centrais. Se esse parecer confirmar a existência do conflito e o país terceiro se opuser à execução da ordem, o tribunal deve revogá-la. Se for suscitado um conflito em virtude de legislação de um país terceiro que não se destine a proteger os direitos fundamentais das pessoas ou os interesses fundamentais do país em matéria de segurança ou defesa nacional, o tribunal tomará a sua decisão com base numa ponderação dos interesses a favor e contra a confirmação da ordem. As condições definidas no artigo 9.º, nomeadamente as obrigações de conservação de provas previstas no n.º 6, são igualmente aplicáveis nas situações em que existam obrigações contraditórias resultantes do direito de um país terceiro. Se o tribunal determinar que a ordem deve ser confirmada, a autoridade emissora e o prestador de serviços devem ser informados, a fim de procederem à sua execução. Nos casos em que a ordem seja revogada, pode ser emitida uma ordem europeia de conservação de provas distinta, a fim de garantir a disponibilidade dos dados, sempre que possam ser obtidos através de um pedido de auxílio judiciário mútuo. Tendo em conta que a ordem europeia de conservação de provas não implica a divulgação desses dados e, por conseguinte, não suscita preocupações semelhantes, o procedimento de reexame é limitado à ordem europeia de entrega de provas. Artigo 17.º: Vias de recurso efetivo Esta disposição garante que as pessoas afetadas por uma ordem europeia de entrega de provas dispõem de vias de recurso efetivo, que podem ser exercidas no Estado de emissão, em conformidade com o direito nacional. No que respeita às pessoas suspeitas e arguidas, as vias de recurso são normalmente exercidas no âmbito o processo penal. Não estão previstas vias de recurso específicas para a ordem europeia de conservação de provas, a qual, por si só, não permite a divulgação de quaisquer dados, exceto se for seguida de uma ordem europeia de entrega de provas ou de qualquer outro instrumento que possa levar à divulgação dos dados, o que daria então origem a vias de recurso específicas. As pessoas cujos dados sejam solicitados sem que sejam suspeitas ou arguidas em processo penal devem dispor igualmente de vias de recurso no Estado de emissão. Todos estes direitos são aplicáveis sem prejuízo de eventuais vias de recurso disponíveis ao abrigo da Diretiva sobre a proteção de dados na aplicação da lei e do Regulamento geral sobre a proteção de dados. Ao contrário das disposições aplicáveis aos prestadores de serviços, o regulamento não impõe qualquer limitação aos eventuais fundamentos que estas pessoas podem invocar para contestar a legalidade da ordem. Esses fundamentos incluem a necessidade e a proporcionalidade da ordem.

O exercício das vias de recurso no Estado de emissão não onera as pessoas afetadas de uma forma desproporcionada. Tal como sucede com as ordens executadas através de outras formas de cooperação judiciária, os tribunais do Estado de emissão estão em melhor posição para reapreciar a legalidade das ordens europeias de entrega de provas emitidas pelas suas próprias autoridades, assim como para avaliar a compatibilidade com o respetivo direito nacional. Além disso, durante a fase de execução coerciva, os destinatários podem opor-se, separadamente, à execução do COEEP ou do COECP no seu Estado-Membro de acolhimento, com base na lista de fundamentos enumerados no regulamento (ver artigo 14.º supra). Artigo 18.º: Garantia dos privilégios e imunidades reconhecidos pelo Estado de receção Esta disposição tem, à semelhança do artigo 5.º, n.º 7, o objetivo de garantir que as imunidades e os privilégios que protegem os dados solicitados no Estado-Membro do prestador de serviços são tidos em conta no Estado de emissão, nomeadamente quando existam diferenças entre esses Estados-Membros, bem como os interesses fundamentais desse Estado-Membro em matéria de segurança e defesa nacional. O artigo 18.º prevê que o tribunal do Estado de emissão tenha estes direitos e interesses em conta como se estivessem previstos no respetivo direito nacional. Dadas as diferenças existentes entre os Estados-Membros quando avaliam a pertinência e a admissibilidade das provas, esta disposição deixa alguma flexibilidade aos tribunais quanto à forma de proceder. Capítulo 5: Disposições finais Artigo 19.º: Acompanhamento e divulgação de informações sobre a aplicação Este artigo exige que os Estados-Membros comuniquem informações específicas relacionadas com a aplicação do regulamento, a fim de ajudar a Comissão a exercer as funções que lhe incumbem por força do artigo 24.º. A Comissão estabelecerá um programa pormenorizado para acompanhar as realizações, os resultados e o impacto do regulamento. Artigo 20.º: Alterações aos certificados e aos formulários Os certificados e os formulários que constam dos anexos I, II e III facilitam a execução dos COEEP e dos COECP. Por este motivo, é necessário que, no futuro, seja possível dar resposta à eventual necessidade de melhorar o conteúdo dos certificados e formulários o mais rapidamente possível. A alteração dos três anexos através do processo legislativo ordinário não se coaduna com esta exigência. Além disso, estes anexos não são elementos essenciais dos atos legislativos, os quais são definidos no artigo 8.º. O artigo 20.º prevê, por conseguinte, um procedimento de alteração mais rápido e flexível através de atos delegados. Artigo 21.º: Exercício da delegação Este artigo define as condições em que a Comissão pode adotar atos delegados a fim de introduzir as alterações necessárias nos certificados e formulários anexos à proposta. Estabelece ainda um procedimento uniforme para a adoção desses atos delegados. Artigo 22.º: Notificações Os Estados-Membros devem comunicar à Comissão as suas autoridades emissoras e de execução competentes e os tribunais competentes para responder a oposições fundamentadas apresentadas por prestadores de serviços em caso de conflito de leis. Artigo 23.º: Relação com as decisões europeias de investigação Esta disposição esclarece que o regulamento não impede as autoridades dos Estados-Membros de emitirem decisões europeias de investigação, em conformidade com a Diretiva 2014/41/UE, a fim de obterem provas eletrónicas. Artigo 24.º: Avaliação Esta disposição estabelece que a Comissão deve proceder à avaliação do regulamento em conformidade com as orientações «Legislar Melhor» da Comissão e o n.º 22 do Acordo Interinstitucional de 13 de abril de 2016. Cinco anos após a entrada em vigor do regulamento, a Comissão deve informar o Parlamento Europeu e o Conselho sobre as conclusões da avaliação, incluindo uma análise da necessidade de alargar o seu âmbito a serviços ainda não abrangidos mas que se possam mostrar pertinentes para as investigações. Artigo 25.º: Entrada em vigor O regulamento proposto entrará em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia. Será aplicável seis meses após a data de entrada em vigor. 2018/0108 (COD) Proposta de

REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO relativo às ordens europeias de entrega ou de conservação de provas eletrónicas em matéria penal O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA, Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 82.º, n.º 1, Tendo em conta a proposta da Comissão Europeia, Após transmissão do projeto de ato legislativo aos parlamentos nacionais, Tendo em conta o parecer do Comité Económico e Social Europeu, Deliberando de acordo com o processo legislativo ordinário, Considerando o seguinte: (1)A União estabeleceu como objetivo manter e desenvolver um espaço de liberdade, segurança e justiça. A fim de criar progressivamente esse espaço, a União deve adotar medidas no domínio da cooperação judiciária em matéria penal, com base no princípio do reconhecimento mútuo das sentenças e decisões judiciais, comummente designado como a pedra angular da cooperação judiciária em matéria penal na União desde o Conselho Europeu de Tampere, de 15 e 16 de outubro de 1999. (2)As medidas destinadas a obter e a conservar provas eletrónicas têm uma importância cada vez maior para as investigações e as ações penais na União. Para combater a criminalidade, é essencial que existam mecanismos eficazes para obter provas eletrónicas, juntamente com condições que garantam o pleno respeito dos princípios e direitos fundamentais consagrados nos Tratados e na Carta dos Direitos Fundamentais da União Europeia, nomeadamente, os princípios da necessidade e da proporcionalidade, o direito a um processo equitativo, o direito à proteção dos dados, o direito ao sigilo da correspondência e o direito à privacidade. (3)A Declaração Comum dos Ministros da Justiça e dos Assuntos Internos e dos representantes das instituições da União sobre os ataques terroristas perpetrados em Bruxelas em 22 de março de 2016 sublinhou a necessidade de encontrar, com caráter prioritário, formas de assegurar e obter provas eletrónicas com mais rapidez e eficácia e de identificar medidas concretas para resolver este problema. (4)As conclusões do Conselho de 9 de junho de 2016 salientaram a crescente importância das provas eletrónicas em processo penal, bem como da proteção do ciberespaço contra abusos e atividades criminosas, em benefício das economias e das sociedades, e, por conseguinte, a necessidade de as autoridades policiais e judiciais disporem de instrumentos eficazes para investigar e reprimir infrações penais relacionadas com o ciberespaço. (5)Na comunicação conjunta sobre resiliência, dissuasão e defesa, de 13 de setembro de 2017, a Comissão sublinhou que a eficácia da investigação e da ação penal contra a criminalidade possibilitada pelo ciberespaço era um importante elemento dissuasor de ciberataques e que o atual quadro processual deveria ser mais bem adaptado à era da Internet. Por vezes, os procedimentos atuais não conseguem acompanhar a rapidez dos ciberataques, o que cria necessidades específicas de rápida cooperação transnacional. (6)O Parlamento Europeu fez eco desses receios na sua resolução sobre a luta contra a cibercriminalidade, de 3 de outubro de 2017, destacando os problemas que a atual fragmentação do quadro jurídico pode criar aos prestadores de serviços que procuram satisfazer os pedidos das autoridades policiais e exortando a Comissão a apresentar um quadro jurídico da União em matéria de provas eletrónicas que contemple salvaguardas suficientes dos direitos e liberdades de todos os interessados. (7)Os serviços baseados em rede podem ser prestados a partir de qualquer lugar, não requerendo a presença de estruturas físicas, instalações ou pessoal no país em causa. Consequentemente, os elementos de prova pertinentes são muitas vezes armazenados fora do Estado que conduz a investigação ou por um prestador de serviços estabelecido fora desse Estado. Frequentemente, não existe outra ligação entre o processo em investigação no Estado em causa e o Estado do local de armazenamento dos dados ou do estabelecimento principal do prestador de serviços em causa. (8)Devido a esta falta de ligação, os pedidos de cooperação judiciária são frequentemente endereçados a Estados que acolhem um grande número de prestadores de serviços, mas que não têm qualquer relação específica com o processo em causa. Além disso, o número de pedidos multiplicou-se, devido à utilização cada vez maior de serviços em rede, que são transnacionais por natureza. Consequentemente, a obtenção de provas eletrónicas através dos canais de cooperação judiciária é muitas vezes morosa, levando mais tempo do que aquele durante o qual os indícios poderão estar disponíveis. Além disso, não existe um quadro claro para a cooperação com os prestadores de serviços, embora alguns prestadores de países terceiros aceitem pedidos diretos quanto aos dados não relacionados com conteúdos, na medida do permitido pelo respetivo direito nacional. Por conseguinte, todos os Estados-Membros dependem do canal de cooperação com os prestadores de serviços, quando exista, utilizando instrumentos, condições e procedimentos nacionais diferentes. Além disso, no que respeita aos dados de conteúdo, alguns Estados-Membros adotaram medidas unilaterais, enquanto outros continuam a recorrer à cooperação judiciária. (9)A fragmentação do quadro jurídico cria problemas aos prestadores de serviços que procuram satisfazer pedidos formulados por autoridades policiais. Importa, por conseguinte, criar um quadro jurídico europeu em matéria de provas eletrónicas, a fim de impor aos prestadores de serviços abrangidos pelo âmbito de aplicação do instrumento a obrigação de responderem diretamente às autoridades competentes sem o envolvimento de uma autoridade judicial no Estado-Membro do prestador de serviços. (10)As ordens previstas no regulamento devem ser notificadas aos representantes legais dos prestadores de serviços, nomeados para esse efeito. Se um prestador de serviços estabelecido na União não tiver nomeado um representante legal, as ordens poderão ser notificadas a qualquer estabelecimento desse prestador de serviços na União. Esta opção de recurso serve para garantir a eficácia do sistema, caso o prestador de serviços (ainda) não tenha nomeado um representante específico. (11)O mecanismo das ordens europeias de entrega ou de conservação de provas eletrónicas em matéria penal só poderá funcionar eficazmente se tiver por base um nível elevado de confiança mútua entre os Estados-Membros, que é uma pré-condição essencial para o seu correto funcionamento.

(12)O presente regulamento respeita os direitos fundamentais e observa os princípios reconhecidos, nomeadamente na Carta dos Direitos Fundamentais da União Europeia, incluindo o direito à liberdade e à segurança, o direito ao respeito pela vida privada e familiar, a proteção dos dados pessoais, a liberdade de empresa, o direito de propriedade, o direito à ação e a um tribunal imparcial, a presunção de inocência e o direito de defesa, os princípios da legalidade e da proporcionalidade dos delitos e das penas, bem como o direito a não ser julgado ou punido penalmente mais do que uma vez pelo mesmo delito. Caso o Estado-Membro de emissão tenha a indicação de que poderão estar em curso processos penais paralelos noutro Estado-Membro, deverá consultar as autoridades desse Estado-Membro, em conformidade com a Decisão-Quadro 2009/948/JAI do Conselho. (13)A fim de garantir o pleno respeito dos direitos fundamentais, o regulamento faz referência explícita às normas que devem ser imperativamente aplicadas à obtenção de quaisquer dados pessoais, ao tratamento desses dados, ao reexame jurisdicional do recurso às medidas de investigação previstas neste instrumento, assim como às vias de recurso disponíveis. (14)O regulamento deve ser aplicado sem prejuízo dos direitos processuais em processo penal previstos nas Diretivas 2010/64/UE, 2012/13/UE, 2013/48/UE, 2016/343, 2016/800 e 2016/1919 do Parlamento Europeu e do Conselho. (15)Este instrumento estabelece as normas segundo as quais uma autoridade judicial competente na União Europeia pode, através de uma ordem europeia de entrega de provas ou de uma ordem europeia de conservação de provas, ordenar a um prestador de serviços que opera na União que entregue ou conserve em seu poder provas eletrónicas. O regulamento é aplicável em todos os casos em que o prestador de serviços esteja estabelecido ou representado noutro Estado-Membro. No que respeita a situações nacionais em que a utilização dos instrumentos previstos no regulamento não seja possível, este não deverá limitar as competências das autoridades nacionais já estabelecidas pelo direito nacional para obrigar os prestadores de serviços estabelecidos ou representados no seu território a cumprirem as disposições aplicáveis. (16)Os prestadores de serviços mais importantes em matéria de processo penal são os prestadores de serviços de comunicações eletrónicas e os prestadores específicos de serviços da sociedade da informação que facilitam a interação entre os utilizadores. Por conseguinte, ambos os grupos devem ser abrangidos pelo regulamento. A definição de prestadores de serviços de comunicações eletrónicas é estabelecida na proposta de Diretiva que estabelece o Código Europeu das Comunicações Eletrónicas. Estes serviços incluem as comunicações interpessoais como, por exemplo, os serviços de comunicações de voz sobre IP, de mensagens instantâneas e de correio eletrónico. As categorias de serviços da sociedade da informação abrangidas pelo âmbito de aplicação do regulamento são aquelas para as quais o armazenamento de dados é uma componente determinante do serviço prestado ao utilizador e referem-se, em particular, às redes sociais (na medida em que não sejam consideradas serviços de comunicações eletrónicas), aos mercados em linha que facilitam transações entre os seus utilizadores (consumidores ou empresas) e outros prestadores de serviços de alojamento, incluindo os casos em que o serviço é prestado através de computação em nuvem. Os serviços da sociedade de informação para os quais o armazenamento de dados não constitui uma componente determinante do serviço prestado ao utilizador e tem uma natureza meramente auxiliar, tais como serviços jurídicos, de arquitetura, de engenharia e de contabilidade prestados em linha, à distância, devem ser excluídos do âmbito de aplicação do regulamento, mesmo que sejam abrangidos pela definição de serviços da sociedade da informação constante da Diretiva (UE) 2015/1535. (17)Em muitos casos, os dados já não são armazenados ou tratados num dispositivo do utilizador, mas sim disponibilizados numa infraestrutura baseada na nuvem para serem acedidos a partir de qualquer lugar. Para executar esses serviços, os prestadores de serviços não precisam de estar estabelecidos ou de ter servidores numa determinada jurisdição. Por conseguinte, a aplicação do presente regulamento não deverá depender da localização efetiva do estabelecimento do prestador ou da instalação de tratamento ou armazenamento dos dados em causa. (18)Os prestadores de serviços de infraestruturas da Internet relacionados com a atribuição de nomes e números, tais como agentes de registo e registos de nomes de domínio e prestadores de serviços de proxy, ou registos regionais da Internet para endereços de protocolo Internet («IP»), são particularmente úteis para identificar criminosos responsáveis por sítios Web mal-intencionados ou que tenham sido infiltrados por estes. Estes prestadores de serviços detêm dados de particular relevância em processo penal, já que podem permitir identificar pessoas ou entidades responsáveis por sítios Web que tenham sido utilizados em atividades criminosas, ou as vítimas da atividade criminosa no caso de sítios Web que tenham sido infiltrados por criminosos. (19)O regulamento incide apenas sobre a recolha de dados armazenados, ou seja, os dados detidos por um prestador de serviços no momento da receção do certificado de ordem europeia de entrega ou de conservação de provas. Não estabelece uma obrigação geral de retenção de dados nem autoriza a interceção de dados ou a obtenção de dados que tenham sido armazenados após a receção de um certificado de ordem europeia de entrega ou de conservação de provas. Os dados devem ser fornecidos, independentemente de estarem encriptados ou não. (20)As categorias de dados abrangidas pelo presente regulamento incluem dados de assinantes, dados de acesso, dados transacionais (estas três categorias são referidas como «dados não relacionados com conteúdos») e dados de conteúdo. Esta distinção, com exceção dos dados de acesso, existe nos direitos nacionais de muitos EstadosMembros e no atual quadro jurídico dos EUA, que autoriza os prestadores de serviços a partilharem voluntariamente dados não relacionados com conteúdos com autoridades policiais estrangeiras. (21)Importa destacar os dados de acesso como uma categoria de dados específica utilizada no regulamento. Os dados de acesso são solicitados para o mesmo objetivo que os dados de assinantes, ou seja, para identificar o utilizador, sendo o nível de interferência com os direitos fundamentais semelhante ao dos dados de assinantes. Os dados de acesso são tipicamente registados no âmbito de registos de eventos (por outras palavras, um registo de servidor) para indicar o início e o fim da sessão de acesso de um utilizador a um serviço. Normalmente, trata-se de um endereço IP individual (estático ou dinâmico) ou outro identificador que destaca a interface de rede utilizada durante a sessão de acesso. Se o utilizador for desconhecido, esses dados de acesso devem muitas vezes ser obtidos para que se possa solicitar ao prestador de serviços os dados de assinantes relacionados com esse identificador. (22)Os dados transacionais, por outro lado, são normalmente solicitados para obter informações sobre os contactos e o paradeiro do utilizador, podendo servir para definir o perfil da pessoa em causa. Assim sendo, os dados de acesso, por si só, não podem ser utilizados para uma finalidade semelhante, por exemplo, não revelam quaisquer informações sobre interlocutores relacionados com o utilizador. A presente proposta introduz assim uma nova categoria de dados, que deve ser tratada como os dados de assinantes, se o objetivo subjacente à obtenção desses dados for semelhante. (23)Todas as categorias de dados contêm dados pessoais e, portanto, são abrangidas pelas salvaguardas previstas no acervo da UE no domínio da proteção de dados, mas o seu impacto nos direitos fundamentais varia, em especial entre os dados de assinantes e de acesso, por um lado, e entre os dados transacionais e de conteúdo, por outro. Embora os dados de assinantes e de acesso sejam úteis para obter indícios iniciais numa investigação sobre a identidade de um suspeito, os dados transacionais e de conteúdo são os mais relevantes como material probatório. Sendo assim, é essencial que todas estas categorias de dados sejam abrangidas pelo instrumento. Devido ao diferente grau de interferência com os direitos fundamentais, são impostas condições diferentes para a obtenção de