PT Jornal Oficial da União Europeia C 160/1

Parecer da Autoridade Europeia para a Proteção de Dados sobre a proposta de decisão do Conselho relativa à posição da União no Comité Misto de Cooperação Aduaneira UE-EUA no que se refere ao reconhecimento mútuo do programa relativo aos operadores económicos autorizados na União Europeia e do programa de parceria alfândegas-comércio contra o terrorismo dos Estados Unidos da América

2012/C 160/01

A AUTORIDADE EUROPEIA PARA A PROTEÇÃO DE DADOS,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o seu artigo 16.o,

Tendo em conta a Carta dos Direitos Fundamentais da União Europeia, nomeadamente os seus artigos 7.o e 8.o,

Tendo em conta a Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1),

Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de dezembro de 2000, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados, nomeadamente o seu artigo 41.o (2),

ADOTOU O SEGUINTE PARECER:

I. INTRODUÇÃO

I.1. Consulta da AEPD e objetivo do parecer

1. Em 5 de janeiro de 2011, a Comissão adotou uma proposta de decisão do Conselho relativa à posição da União no Comité Misto de Cooperação Aduaneira UE-EUA no que se refere ao reconhecimento mútuo do programa relativo aos operadores económicos autorizados na União Europeia e do programa de parceria alfândegas-comércio contra o terrorismo dos Estados Unidos da América (3) (a seguir designada «a proposta»). A proposta foi enviada à AEPD no mesmo dia.

2. A AEPD foi consultada oficiosamente pela Comissão, a quem enviou um conjunto de observações informais. O objetivo do presente parecer é complementar essas observações tendo em conta a proposta acima referida e dar a conhecer ao público a opinião da Autoridade.

3. A AEPD reconhece que o tratamento de dados pessoais não é o elemento central da proposta. A maior parte das informações não irá conter dados pessoais na aceção das leis relativas à proteção de dados (4). Todavia, a legislação deve ser igualmente respeitada nessas circunstâncias, pelos motivos explicados mais adiante.

I.2. Contexto da proposta

4. O objetivo da proposta é estabelecer o reconhecimento mútuo dos programas de parceria comercial da UE e dos EUA — nomeadamente o operador económico autorizado (OEA) na União Europeia e o programa de parceria alfândegas-comércio contra o terrorismo (C-TPAT) dos Estados Unidos da América, a fim de facilitar o comércio aos operadores que investiram na segurança da cadeia de abastecimento e que receberam o estatuto de membros de um destes programas.

5. As relações UE-EUA no domínio aduaneiro assentam no Acordo de cooperação aduaneira e de assistência mútua em matéria aduaneira (CMAA) (5). Este acordo institui o Comité Misto de Cooperação Aduaneira (CMCA), composto por representantes das autoridades aduaneiras da UE e dos EUA. O reconhecimento mútuo deve ser estabelecido por uma decisão deste comité. Assim, a proposta é constituída por: — uma exposição de motivos; — uma proposta de decisão do Conselho que declara que a UE irá adotar no âmbito do CMCA a posição estabelecida no projeto de decisão relativo ao reconhecimento mútuo; — o projeto de decisão do CMCA que estabelece o reconhecimento mútuo do OEA da União Europeia e do C-TPAT dos Estados Unidos da América (a seguir designado «projeto de decisão») (6).

6. O projeto de decisão deve ser aplicado pelas autoridades aduaneiras, que estabeleceram um processo conjunto de validação (processo de candidatura para a obtenção do estatuto de operador, avaliação dos pedidos de estatuto, concessão e controlo do estatuto de membro).

7. O bom funcionamento do reconhecimento mútuo baseia-se, pois, no intercâmbio de informações relativas aos operadores que já são membros de um programa de parceria entre as autoridades aduaneiras dos EUA e da UE.

II. ANÁLISE DO PROJETO DE DECISÃO

II.1. Tratamento de dados relativos a pessoas singulares

8. Embora a questão central do projeto de decisão não seja o tratamento de dados pessoais, algumas das informações que serão objeto de intercâmbio dizem respeito a pessoas singulares, sobretudo se o operador for uma pessoa singular (7) ou se a denominação legal da pessoa coletiva que atua como operador identificar uma pessoa singular (8).

9. A importância da proteção de dados neste contexto foi salientada pelo Tribunal de Justiça na decisão proferida no processo Schecke. Segundo o Tribunal, as pessoas coletivas podem invocar a proteção do direito à privacidade e à proteção de dados reconhecidos na Carta dos Direitos Fundamentais da União Europeia desde que a denominação legal da pessoa coletiva identifique uma ou mais pessoas singulares (9). O presente parecer analisará, portanto, o modo como o intercâmbio de dados pessoais relativos aos operadores é regulamentado no projeto de decisão.

II.2. Aplicabilidade do quadro de proteção de dados da UE

10. O tratamento de dados será realizado pelas autoridades aduaneiras definidas no n.o 1, alínea b), do CMAA (10). Este conceito engloba, na UE, os «serviços competentes» da Comissão Europeia e as autoridades aduaneiras dos Estados-Membros da UE. De acordo com a legislação da UE em matéria da proteção de dados, o tratamento efetuado nos Estados-Membros está sujeito às disposições da Diretiva 95/46/CE (a seguir designada «a Diretiva relativa à proteção de dados») e das leis nacionais de aplicação da diretiva, enquanto o tratamento de dados pessoais pelas instituições e organismos da UE está abrangido pelo Regulamento (CE) n.o 45/2001 (a seguir designado «o regulamento»). Por conseguinte, neste caso, aplicam-se a Diretiva relativa à proteção de dados e o regulamento.

II.3. Nível de proteção

11. O intercâmbio de informações é realizado em formato eletrónico e em conformidade com o CMAA. O artigo 17.o, n.o 2, deste documento determina que só podem ser transferidos dados pessoais entre as partes de um acordo se a parte contratante que os receber assegurar um nível de proteção dos dados que seja pelo menos equivalente ao aplicável, nesse caso concreto, pelo país que os fornecer.

12. A AEPD saúda esta disposição, que deve ser interpretada como uma medida de cumprimento da legislação da UE em matéria de proteção de dados. De acordo com o artigo 25.o da Diretiva relativa à proteção de dados e com o artigo 9.o do regulamento, por norma, apenas podem ser transferidos dados da UE para países terceiros se estes assegurarem um nível «adequado» de proteção (11). Afigura-se, pois, que o artigo 17.o, n.o 2, do CMAA é mais rigoroso do que a Diretiva relativa à proteção de dados.

13. Por conseguinte, importa analisar, com base em todas as circunstâncias pertinentes, se as autoridades recetoras dos Estados Unidos asseguram, de facto, um nível equivalente de proteção (ou pelo menos um nível «adequado»). Essa apreciação deve ter em conta todas as circunstâncias que envolvam a operação de transferência ou o conjunto das operações de transferência de dados (12).

14. A Comissão Europeia não considera que, no seu conjunto, os EUA assegurem um nível de proteção adequado. Na ausência de uma decisão global a este respeito, os responsáveis pelo tratamento (13), sob a supervisão das autoridades de proteção de dados (14), podem decidir que a proteção assegurada num determinado caso é adequada. Os Estados-Membros da UE (ou a AEPD, se as transferências forem efetuadas por instituições ou organismos da UE) podem também autorizar uma operação de transferência ou um conjunto de operações de transferência de dados para um país terceiro em que o responsável pelo tratamento apresente garantias suficientes (15).

15. Estas decisões ad hoc podem aplicar-se, nesse caso, se as autoridades aduaneiras nacionais e os serviços da Comissão Europeia responsáveis pelas questões aduaneiras apresentarem provas suficientes que confirmem as alegações das autoridades aduaneiras dos EUA de adoção das salvaguardas adequadas no âmbito das transferências previstas no projeto de decisão (16).

16. Todavia, a AEPD não dispõe de provas suficientes de que as autoridades aduaneiras dos EUA asseguram um nível de proteção de dados «adequado» ou «pelo menos equivalente ao aplicável, nesse caso concreto, pela parte contratante suscetível de os fornecer», como exige o artigo 17.o, n.o 2, do CMAA.

17. Importa, pois, que a AEPD e as autoridades nacionais de proteção de dados disponham de provas de que as autoridades aduaneiras dos EUA asseguram um nível de proteção de dados «adequado» ou «pelo menos equivalente ao aplicável, nesse caso concreto, pela parte contratante suscetível de os fornecer», como determina o artigo 17.o, n.o 2, do CMAA. Este princípio deve ser consagrado numa disposição do projeto de decisão.

18. Finalmente, podem também ser permitidas transferências de dados pessoais da UE para países que não assegurem um nível de proteção «adequado» caso se aplique uma das exceções previstas no artigo 26.o, n.o 1, da Diretiva relativa à proteção de dados ou no artigo 9.o, n.o 6, do regulamento. Neste caso em particular, pode alegar-se que a transferência é «necessária ou legalmente exigida por motivos de interesse público» (17). Contudo, estas exceções devem ser interpretadas restritivamente e não podem servir de fundamento a transferências maciças ou sistemáticas de dados pessoais (18). No entender da AEPD, estas exceções não seriam úteis no documento em apreço.

II.4. Limitação da finalidade

19. A secção V, n.o 18, do projeto de decisão determina que os dados que serão objeto de intercâmbio apenas poderão ser tratados pelas autoridades aduaneiras recetoras para efeitos de aplicação do projeto de decisão, em conformidade com o artigo 17.o do CMAA.

20. Contudo, o tratamento de dados para outros fins também é permitido pela secção V, n.o 20, quarto travessão, do projeto e pelo artigo 17.o, n.o 3, do CMAA. Tendo em conta que os objetivos do projeto de decisão ultrapassam a cooperação aduaneira e incluem o combate ao terrorismo, a AEPD recomenda que todas as finalidades possíveis das transferências de dados pessoais sejam especificadas no texto da decisão. Além disso, os dados transferidos devem ser necessários e proporcionais ao cumprimento destas metas. Importa igualmente especificar que as pessoas em causa devem ser informadas de forma exaustiva sobre todas as finalidades e condições do tratamento dos seus dados pessoais.

II.5. Categorias dos dados que serão objeto de intercâmbio

21. Os dados que poderão ser objeto de intercâmbio entre as autoridades aduaneiras no que respeita aos membros dos programas de parceria comercial são os seguintes: o nome; o endereço; o estatuto de membro; a data de validação ou de autorização; as suspensões e revogações; o número único de autorização ou de identificação; e «as informações pormenorizadas que possam ser conjuntamente determinadas entre as autoridades aduaneiras, sob reserva, se for caso disso, das salvaguardas necessárias» (19). Uma vez que este último conjunto de informações é demasiado amplo, a AEPD recomenda que se especifiquem as categorias de dados que ele pode incluir.

22. A AEPD observa também que os dados que serão objeto de intercâmbio podem incluir informações relativas a infrações ou suspeitas de infração, por exemplo, no que se refere à suspensão e à revogação do estatuto de membro. A AEPD sublinha que a legislação da UE em matéria de proteção de dados coloca limites ao tratamento de dados pessoais referentes a infrações, condenações penais ou medidas de segurança (20). O tratamento destas categorias de dados pode ser sujeito a controlo prévio pela AEPD e pelas autoridades nacionais de proteção de dados dos países da UE (21).

II.6. Transferências ulteriores

23. A secção V, n.o 20, terceiro travessão, permite a transferência de dados para países terceiros ou organismos internacionais mediante o consentimento prévio da autoridade que os fornece e em conformidade com as condições por ela definidas. Não devem ser permitidas mais transferências sem uma justificação válida.

24. Por conseguinte, afigura-se que a secção V, n.o 3, deve incluir uma disposição semelhante ao artigo 17.o, n.o 2, do CMAA, que determina que apenas podem ser transferidos dados para um país terceiro se este assegurar um nível de proteção pelo menos equivalente ao que é exigido no projeto de decisão. Se assim não for, a proteção de dados pessoais prevista no projeto de decisão pode ser contornada através de transferências ulteriores.

25. Esta disposição deve, em qualquer caso, descrever as finalidades destas transferências e as situações específicas em que elas são permitidas. Deve também declarar explicitamente que a necessidade e a proporcionalidade das transferências ulteriores internacionais serão avaliadas caso a caso e que não serão permitidas transferências maciças ou sistemáticas. A obrigação de informar as pessoas em causa da possibilidade de transferências ulteriores internacionais deve igualmente ser incluída no texto.

II.7. Conservação dos dados

26. A AEPD saúda a secção V, n.o 19, que proíbe que as informações sejam tratadas e conservadas mais tempo do que o necessário para o fim a que a sua transferência se destina. Contudo, deve também ser fixado um período máximo de conservação.

II.8. Segurança e responsabilidade

27. A secção IV declara que o intercâmbio de informações será realizado em formato eletrónico. No entender da AEPD, esta secção deve incluir mais pormenores sobre o sistema de intercâmbio de informações a adotar. Em qualquer caso, o sistema selecionado deve integrar a proteção da privacidade e dos dados desde a fase de conceção («privacidade desde a conceção»).

28. A este respeito, a AEPD saúda as garantias de segurança previstas na secção V, n.o 20, primeiro e segundo travessões, que incluem controlos de acesso, proteção «contra acesso, divulgação, alteração, apagamento ou destruição não autorizados» e vigilância destinada a assegurar que os dados sejam utilizados apenas para os efeitos do projeto de decisão. A autoridade congratula-se também com os registos de acesso previstos na secção V, n.o 20, quinto travessão.

29. A AEPD recomenda ainda que estas disposições exijam a realização de uma avaliação de impacto sobre a proteção de dados (incluindo uma avaliação de riscos) antes do início dos intercâmbios de dados. A avaliação deve incluir uma avaliação dos riscos e as medidas previstas para os abordar (22). O texto deve especificar também que o nível de cumprimento e aplicação destas medidas deve ser periodicamente avaliado e comunicado. Este aspeto é particularmente pertinente porque existe a possibilidade de serem tratadas informações delicadas.

II.9. Qualidade dos dados e direitos das pessoas em causa

30. A AEPD saúda a obrigação imposta às autoridades aduaneiras de assegurar o rigor e a atualização regular das informações que serão objeto de intercâmbio (ver secção V, n.os 19 e 22). Congratula-se igualmente com a secção V, n.o 21, que confere aos operadores que integram os programas de parceria o direito de acesso e retificação dos seus dados pessoais.

31. Todavia, a AEPD faz notar que o exercício destes direitos depende da legislação nacional aplicável às autoridades aduaneiras. No que respeita aos dados fornecidos por autoridades aduaneiras da UE, e a fim de assegurar um nível de proteção «adequado» (ver secção II, n.o 3, do presente parecer), estes direitos apenas devem ser limitados se isso for necessário para salvaguardar um interesse económico ou financeiro importante.

32. A AEPD congratula-se também com o facto de as autoridades aduaneiras serem obrigadas a suprimir os dados recebidos se a sua recolha ou o seu posterior tratamento forem contrários ao disposto no projeto de decisão ou no CMAA (23). A AEPD recorda que, em conformidade com o artigo 17.o, n.o 2, do CMAA, esta disposição se aplica a qualquer tratamento que viole a legislação da UE em matéria de proteção de dados.

33. A AEPD saúda o dever imposto às autoridades aduaneiras de informar os membros do programa das opções de recurso (24). Contudo, devem clarificar-se as opções de recurso em caso de violação das garantias em matéria de proteção de dados previstas no projeto de decisão. Esta disposição deve ainda especificar a necessidade de informar outras pessoas interessadas (nomeadamente os operadores que apresentaram um pedido de estatuto de membro) sobre as opções de recurso.

II.10. Controlo

34. A AEPD acolhe favoravelmente a secção V, n.o 23, que faz depender toda a secção V de «supervisão e revisão independentes» pelo Chief Privacy Officer do Department of Homeland Security dos EUA, pela AEPD e pelas autoridades nacionais de proteção de dados.

35. Importa também especificar que a AEPD e as autoridades nacionais de proteção de dados devem verificar se o nível de proteção dos dados pessoais assegurado pela autoridade aduaneira recetora é «adequado» (ver secção III, n.o 1). A secção IV deve igualmente ser objeto de supervisão e revisão.

III. CONCLUSÃO

36. A AEPD saúda as garantias previstas no projeto de decisão, sobretudo no que respeita à segurança dos dados. Porém, a AEPD e as autoridades nacionais de proteção de dados devem dispor de provas de que as autoridades aduaneiras dos EUA asseguram um nível de proteção dos dados «adequado» ou «pelo menos equivalente ao aplicável, nesse caso concreto, pela parte contratante suscetível de os fornecer», como determina o artigo 17.o, n.o 2, do CMAA. Este princípio deve ser consagrado numa disposição do projeto de decisão.

37. Além disso, a AEPD considera que é importante: — especificar as finalidades dos intercâmbios de dados previstos no projeto de decisão, que devem ser necessárias e proporcionais; — indicar as categorias de dados incluídos na secção IV, n.o 16, alínea g); — especificar que, em caso de necessidade comprovada de transferências ulteriores internacionais, estas apenas devem ser permitidas, pontualmente, se forem utilizadas para fins adequados e se o país recetor assegurar um nível de proteção pelo menos equivalente ao que está previsto no projeto de decisão; — incluir a obrigação de informar todas as pessoas em causa sobre estas regras; — complementar as disposições relativas à segurança; — especificar períodos máximos de conservação dos dados; — não limitar os direitos das pessoas em causa na UE a não ser que essa medida seja necessária para salvaguardar um interesse económico ou financeiro importante; — assegurar o direito de recurso; — fazer depender a secção IV de supervisão e revisão independentes; — especificar que a AEPD, as autoridades nacionais de proteção de dados dos países da UE, e o Chief Privacy Officer do Department of Homeland Security dos EUA devem verificar se as garantias proporcionadas pela autoridade aduaneira recetora para assegurar um nível adequado de proteção dos dados pessoais são eficazes e conformes aos requisitos da UE.

38. A AEPD observa também que a proposta pode implicar o tratamento de dados pessoais relativos a infrações ou suspeitas de infração. Estes dados estão sujeitos a garantias mais rigorosas ao abrigo da legislação da UE e podem ser objeto de controlo prévio pela AEPD e pelas autoridades nacionais de proteção de dados dos países da UE.

Feito em Bruxelas, em 9 de fevereiro de 2012. Giovanni BUTTARELLI Autoridade Adjunta Europeia para a Proteção de Dados

(1) JO L 281 de 23.11.1995, p. 31.

(2) JO L 8 de 12.1.2001, p. 1.

(3) COM(2011) 937 final.

(4) Tal como se expõe nos n.os 8 e 9 do presente parecer.

(5) Acordo de cooperação aduaneira e de assistência mútua em matéria aduaneira entre a Comunidade Europeia e os Estados Unidos da América (JO L 222 de 12.8.1997, p. 17), disponível em http://ec.europa.eu/world/agreements/prepareCreateTreatiesWorkspace/treatiesGeneralData.do?step=0&redirect=true&treatyId=308 (resumo e texto completo).

(6) Proposta de decisão do Comité Misto de Cooperação Aduaneira UE-EUA no que se refere ao reconhecimento mútuo do programa de parceria alfândegas-comércio contra o terrorismo dos Estados Unidos da América e dos operadores económicos autorizados na União Europeia.

(7) Os dados pessoais são definidos, no artigo 2.o, alínea a), da Diretiva 95/46/CE, e no artigo 2.o, alínea a), do Regulamento (CE) n.o 45/2001, como «qualquer informação relativa a uma pessoa singular identificada ou identificável».

(8) Ver também o Parecer da AEPD sobre a proposta de decisão do Conselho relativa à posição da União no Comité Misto de Cooperação Aduaneira UE-Japão no que se refere ao reconhecimento mútuo dos programas relativos aos operadores económicos autorizados na União Europeia e no Japão, disponível em http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:C:2010:190:0002:0006:EN:PDF

(9) Tribunal de Justiça, 9 de novembro de 2010, Volker und Markus Schecke, C-92/09 e C-93/09, n.o 53 (disponível em http://curia.europa.eu/jurisp/cgi-bin/gettext.pl?where=&lang=en&num=79898890C19090092&doc=T&ouvert=T&seance=ARRET).

(10) Ver secção I, n.o 8, do projeto de decisão.

(11) O regulamento acrescenta que estas transferências podem ter lugar «exclusivamente para o desempenho de funções da competência do responsável pelo tratamento».

(12) Ver artigo 9.o, n.os 1 e 2, do regulamento, artigo 25, n.os 1 e 2, da Diretiva relativa à proteção de dados e as leis nacionais destinadas a aplicar os dois documentos. Ver também o já referido Parecer da AEPD sobre a Cooperação Aduaneira UE-Japão.

(13) Nestes casos, as autoridades aduaneiras da UE e dos seus Estados-Membros.

(14) Em alguns Estados-Membros, apenas as autoridades de proteção de dados podem autorizar a transferência.

(15) Artigo 26.o, n.o 2, da Diretiva relativa à proteção de dados e artigo 9.o, n.o 7, do regulamento.

(16) Ver também a carta da AEPD sobre as transferências de dados pessoais para países terceiros e «adequação» dos signatários da Convenção 108 do Conselho da Europa (processo 2009-0333), disponível em http://www.edps.europa.eu/EDPSWEB/webdav/shared/Documents/Supervision/Adminmeasures/2009/09-07-02_OLAF_transfer_third_countries_EN.pdf

(17) Ver artigo 9.o, n.o 6, alínea d), do regulamento, ou artigo 9.o, n.o 6, alínea d) da Diretiva relativa à proteção de dados. De acordo com o considerando 58 da diretiva, ambos os documentos contemplam as transferências entre as autoridades fiscais ou aduaneiras.

(18) Ver «Documento de trabalho sobre uma interpretação comum do n.o 1 do artigo 26.o da Diretiva 95/46/CE de 24 de outubro de 1995», publicado pelo Grupo de Trabalho do artigo 29.o em 25 de novembro de 2005 (WP114), páginas 7-9, disponível em http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2005/wp114_pt.pdf

(19) Ver secção IV, n.o 3, alíneas a) a g), do projeto de decisão.

(20) Ver artigo 8.o, n.o 5, da Diretiva 95/46/CE e artigo 10.o, n.o 5, do Regulamento (CE) n.o 45/2001.

(21) Ver artigo 27.o, alínea a), do Regulamento (CE) n.o 45/2001 e as leis nacionais dos países da UE em matéria de proteção de dados destinadas a aplicar o artigo 20.o da Diretiva 95/46/CE.

(22) Como já prevê o artigo 33.o da nova proposta de regulamento relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (regulamento geral sobre a proteção de dados) [COM(2012) 11/4].

(23) Ver secção V, n.o 22, do projeto de decisão.

(24) Ver secção V, n.o 21, última frase.