RELATÓRIO DA COMISSÃO AO PARLAMENTO EUROPEU E AO CONSELHO

sobre a primeira reapreciação anual do funcionamento do Escudo de Proteção da Privacidade UE-EUA

1.PRIMEIRA REAPRECIAÇÃO ANUAL — FINALIDADE, PREPARAÇÃO E PROCESSO

Na sua decisão de 12 de julho de 2016 (a seguir designada «decisão de adequação»), a Comissão concluiu que o Escudo de Proteção da Privacidade UE-EUA (a seguir designado «Escudo de Proteção da Privacidade») assegura um nível adequado de proteção dos dados pessoais transferidos a partir da União Europeia para organizações nos Estados Unidos.

O Escudo de Proteção da Privacidade reflete os princípios e as exigências estabelecidos pelo Tribunal de Justiça Europeu no seu acórdão no processo Schrems, que invalidou o sistema anterior «porto seguro». Prevê um certo número de novos elementos em relação ao sistema «porto seguro», que reforçam a proteção dos dados pessoais aquando da sua transferência para os Estados Unidos. Entre estes novos elementos contam-se obrigações mais estritas para as empresas certificadas com o Escudo de Proteção da Privacidade, por exemplo, no que diz respeito às limitações quanto ao tempo durante o qual podem conservar dados pessoais (o chamado «princípio da conservação de dados») ou às condições em que estes podem ser partilhados com terceiros fora do quadro (o chamado «princípio de responsabilização pelas transferências ulteriores»). O novo quadro prevê igualmente um controlo mais regular e rigoroso pelo Department of Commerce (DC) (equivalente a Ministério do Comércio) e reforça significativamente a possibilidade dos cidadãos da UE obterem reparação. Além disso, o Escudo de Proteção da Privacidade assenta em declarações escritas específicas e em compromissos assumidos pelo Governo dos EUA, segundo os quais o acesso das autoridades públicas aos dados pessoais transferidos ao abrigo do Escudo de Proteção da Privacidade para efeitos de segurança nacional, exercício de funções coercivas e outros fins de interesse público está sujeito a limitações e salvaguardas claras. Para o efeito, cria igualmente um novo mecanismo de recurso, o Provedor de Justiça.

A Comissão comprometeu-se a avaliar a sua adequação numa base anual, e, para o efeito, procede a uma reapreciação anual do funcionamento do Escudo de Proteção da Privacidade. A primeira reapreciação anual do funcionamento do Escudo de Proteção da Privacidade fica concluída com o presente relatório. A reapreciação abrangeu todos os aspetos do Escudo de Proteção da Privacidade, ou seja, a implementação, gestão, supervisão e aplicação do quadro do Escudo de Proteção da Privacidade pelas autoridades e organismos competentes dos EUA, bem como questões relativas ao acesso por parte das autoridades públicas norte-americanas aos dados pessoais transferidos ao abrigo do Escudo de Proteção da Privacidade para fins de interesse público, em especial de segurança nacional. Incluiu igualmente um diálogo sobre o tema específico de tomada de decisões automatizadas e uma avaliação da evolução do sistema jurídico dos Estados Unidos durante o ano passado, que podia ter impacto sobre o funcionamento do Escudo de Proteção da Privacidade.

O quadro do Escudo de Proteção da Privacidade encontra-se operacional desde 1 de agosto de 2016. Tendo em conta que este foi o primeiro ano de funcionamento, a Comissão, na sua reapreciação anual, procurou verificar se todos os mecanismos e procedimentos previstos no quadro – muitos dos quais foram criados recentemente – tinham sido plenamente aplicados e estão a funcionar como previsto na decisão de adequação. Além disso, a Comissão procurou, em particular, verificar se, e de que modo, as várias autoridades norte-americanas envolvidas na aplicação do quadro tinham respeitado as suas declarações e os compromissos assumidos, tanto no que diz respeito à administração e supervisão dos aspetos comerciais do Escudo de Proteção da Privacidade como no que se refere ao acesso do Governo aos dados pessoais. As mudanças ocorridas na administração dos EUA em janeiro de 2017 deram a esta questão uma especial relevância.

No âmbito da preparação da reapreciação anual, a Comissão recolheu informações e observações sobre a aplicação e o funcionamento do quadro do Escudo de Proteção da Privacidade junto das partes interessadas relevantes, mais especificamente das empresas certificadas com o Escudo de Proteção da Privacidade através das respetivas associações comerciais, e das organizações não governamentais (ONG) ativas no domínio dos direitos fundamentais, em especial, dos direitos digitais e da privacidade. A Comissão procurou e obteve também informações escritas das autoridades norte-americanas envolvidas na aplicação do quadro, incluindo documentos e material relevantes.

A primeira reapreciação conjunta anual teve lugar em 18 e 19 de setembro de 2017, em Washington, DC. Foi aberta pela Comissária da UE responsável pela Justiça, Consumidores e Igualdade de Género, Věra Jourová, e pelo Secretary of Commerce (equivalente a Ministro do Comércio) dos EUA, Wilbur Ross. Do lado da UE, a reapreciação anual foi conduzida por representantes da Direção-Geral da Justiça e dos Consumidores da Comissão Europeia. A delegação da UE incluía igualmente oito representantes designados pelo grupo de trabalho do artigo 29.º, o órgão consultivo que reúne as autoridades nacionais de proteção de dados dos Estados-Membros (APD), bem como a Autoridade Europeia para a Proteção de Dados.

Do lado dos EUA, representantes do DC, da Federal Trade Commission (FTC), do Department of Transportation (Ministério dos Transportes), do Departamento de Estado, do Office of the Director of National Intelligence (Gabinete do Diretor dos Serviços Nacionais de Informações) e do Department of Justice (Ministério da Justiça) participaram na revisão, bem como o Provedor de Justiça em exercício, um membro da Comissão de Controlo da Privacidade e das Liberdades Cívicas (PCLOB) e o Gabinete do Inspetor-Geral do Setor das Informações. Além disso, os representantes das organizações que oferecem uma resolução de litígios independente ao abrigo do Escudo de Proteção da Privacidade, a Associação Americana de Arbitragem, na qualidade de administrador do Painel de Arbitragem do Escudo de Proteção da Privacidade, e algumas empresas certificadas com o Escudo de Proteção da Privacidade deram o seu contributo no decurso da reapreciação anual.

A reapreciação anual fundamentou-se ainda no material acessível ao público, como, por exemplo, decisões judiciais, regras e procedimentos de execução das autoridades norte‑americanas competentes, relatórios e estudos de ONG, relatórios de transparência emitidos por empresas certificadas com o Escudo de Proteção da Privacidade, artigos de imprensa e outras notícias divulgadas pelos órgãos de comunicação social.

2.VERIFICAÇÕES, CONCLUSÕES E RECOMENDAÇÕES

A reapreciação anual demonstrou que as autoridades norte-americanas estabeleceram as estruturas e procedimentos necessários para assegurar o correto funcionamento do Escudo de Proteção da Privacidade. O processo de certificação foi tratado de forma satisfatória tendo, até à data, sido certificadas mais de 2400 empresas. As autoridades norte-americanas instituíram mecanismos e procedimentos de tratamento e resolução de queixas a fim de salvaguardar os direitos individuais. Tal inclui também as novas vias de recurso para os cidadãos da UE, como o painel de arbitragem e o mecanismo do Provedor de Justiça. Em relação a este último ponto, foi designado um Provedor em exercício na sequência da mudança da administração em janeiro de 2017, na pendência da nomeação de um Provedor de Justiça permanente. A cooperação com as autoridades europeias de proteção de dados tem sido reforçada. No que diz respeito ao acesso a dados pessoais por parte das autoridades públicas para efeitos de segurança nacional, as salvaguardas relevantes do lado dos EUA permanecem inalteradas, nomeadamente as baseados na Presidential Policy Directive 28 (PPD-28), que estabelece limitações e garantias relativamente à utilização pelas autoridades nacionais de segurança dos dados pessoais, independentemente da nacionalidade da pessoa. Neste contexto, importa igualmente assinalar que a secção 702 da U.S. Foreign Intelligence Surveillance Act (lei relativa à vigilância dos serviços de informações externas) (FISA) expira em 31 de dezembro de 2017 e que as propostas de reforma estão a ser debatidas no Congresso dos Estados Unidos.

As verificações factuais pormenorizadas sobre o funcionamento de todos os aspetos do Escudo de Proteção da Privacidade após o seu primeiro ano de funcionamento são apresentadas no documento de trabalho dos serviços da Comissão sobre a reapreciação anual do funcionamento do Escudo de Proteção da Privacidade UE-EUA [SWD(2017) 344 final] que acompanha o presente relatório.