1. Introdução

A proteção de dados pessoais faz parte dos fundamentos constitucionais comuns da União Europeia e está consagrada no artigo 8.º do Carta dos Direitos Fundamentais da UE. Ocupa um lugar central na legislação da UE há mais de 20 anos, desde a Diretiva Proteção de Dados em 1995 («Diretiva de 1995»), até à adoção do Regulamento Geral sobre a Proteção de Dados (RGPD) e da Diretiva Cooperação Policial em 2016.

Como salientou o Presidente Juncker no seu discurso sobre o estado da União, em 14 de setembro de 2016, «[s]er europeu significa ter o direito a que os nossos dados pessoais sejam protegidos por legislação europeia eficaz. [...] Porque, na Europa, as questões da privacidade são importantes. Trata-se de uma questão de dignidade humana.»

A exigência de proteção dos dados pessoais não se limita, porém, à Europa. Os consumidores de todo o mundo conferem uma importância cada vez maior ao respeito da sua privacidade. As empresas, por seu lado, reconhecem que uma sólida proteção da privacidade lhes confere vantagens competitivas à medida que a confiança nos seus serviços aumenta. São muitas as empresas, especialmente as de dimensão mundial, que estão a alinhar as suas políticas de privacidade com o Regulamento Geral sobre a Proteção de Dados, não só porque pretendem exercer as suas atividades na UE, mas também porque consideram o referido regulamento como um modelo a seguir.

No mesmo sentido, vários países e organizações regionais externos à UE, desde a nossa vizinhança mais próxima até à Ásia, América Latina e África, estão a adotar nova legislação ou a atualizar legislação existente em matéria de proteção de dados para aproveitar as oportunidades oferecidas pela economia digital global e responder à procura crescente de reforço da segurança dos dados e de proteção da privacidade. Embora existam diferenças entre os países no que toca à abordagem adotada e ao nível de desenvolvimento legislativo, existem sinais de uma maior convergência em relação a importantes princípios da proteção de dados, especialmente em determinadas regiões do mundo. Uma compatibilidade acrescida entre os diferentes sistemas de proteção de dados poderia facilitar os fluxos internacionais de dados pessoais, seja para fins comerciais ou de cooperação entre entidades públicas (por exemplo, autoridades com funções coercivas). A UE deve aproveitar esta oportunidade para promover os seus valores de proteção de dados e facilitar a circulação de dados, para tal incentivando a convergência dos sistemas jurídicos. Como foi anunciado no programa de trabalho da Comissão, a presente comunicação define, portanto, o quadro estratégico da Comissão em termos de «decisões de adequação», bem como outras ferramentas aplicáveis às transferências de dados e instrumentos internacionais de proteção de dados.

2. O pacote legislativo de reformas da UE em matéria de proteção de dados - Um quadro legislativo moderno que confere um elevado nível de proteção aos fluxos internacionais de dados

A reforma da legislação da UE em matéria de proteção de dados, adotada em abril de 2016, estabelece um sistema que assegura um elevado nível de proteção e simultaneamente está aberto às oportunidades proporcionadas pela sociedade da informação mundial. Ao permitir aos indivíduos exercerem um maior controlo sobre os seus dados pessoais, a reforma reforça a confiança dos consumidores na economia digital. Ao harmonizar e simplificar o enquadramento jurídico, torna o exercício das atividades das empresas na UE, nacionais e estrangeiras, mais fácil e menos complexo, inclusive através de intercâmbios internacionais de dados. Atualmente, a UE combina a abertura à circulação internacional de dados com o mais elevado nível de proteção para os indivíduos, tendo potencial para se tornar numa plataforma de serviços de dados que exige livre circulação e confiança.

2.1 Um quadro abrangente, unificado e simplificado em matéria de proteção de dados na UE

A reforma da UE estabelece um quadro abrangente que regula o tratamento de dados pessoais, tanto nos setores privado e público, como nos setores comercial e de aplicação da lei (o Regulamento Geral sobre a Proteção de Dados e a Diretiva Cooperação Policial, respetivamente).

Por força do Regulamento Geral sobre a Proteção de Dados, a partir de maio de 2018 haverá um único conjunto pan-europeu de normas, ao contrário das atuais 28 legislações nacionais. O mecanismo de balcão único recentemente criado assegura que uma autoridade de proteção de dados (APD) será responsável pelo controlo das operações transnacionais de tratamento de dados realizadas por uma empresa na UE. A coerência na interpretação das novas normas será, portanto, garantida. Em especial, nos casos transnacionais em que estão envolvidas várias autoridades de proteção de dados nacionais, será adotada uma única decisão para assegurar que problemas comuns tenham soluções comuns. Além disso, o Regulamento Geral sobre a Proteção de Dados estabelece a igualdade de condições entre as empresas da UE e as empresas estrangeiras no sentido em que as empresas estabelecidas fora da UE terão de aplicar as mesmas normas das empresas europeias se oferecerem bens e serviços ou se monitorizarem o comportamento de pessoas na UE. Um nível de confiança dos consumidores mais elevado beneficiará tanto os operadores comerciais da UE como os operadores comerciais de países terceiros.

A Diretiva Cooperação Policial prevê normas comuns para o tratamento de dados pessoais das pessoas envolvidas em ações penais, quer se trate de suspeitos, vítimas ou testemunhas, não deixando de ter em conta a natureza específica dos domínios policial e de justiça penal. A harmonização das normas de proteção de dados no domínio da aplicação coerciva da lei, incluindo normas sobre transferências internacionais, facilitará a cooperação transnacional entre as autoridades policiais e judiciais, tanto a nível da UE como com parceiros internacionais, criando desta forma condições para combater mais eficazmente a criminalidade. Trata-se de um importante contributo para a Agenda Europeia para a Segurança.

2.2 Um conjunto renovado e diversificado de instrumentos destinados às transferências internacionais

Desde a sua conceção que a legislação da UE em matéria de proteção de dados previu diversos mecanismos destinados a permitir as transferências internacionais de dados. O principal objetivo destas normas consiste em assegurar que, quando os dados pessoais de cidadãos europeus são transferidos para o estrangeiro, a proteção acompanha esses dados. Ao longo dos anos, estas normas serviram de referência à circulação internacional de dados em muitas jurisdições. Embora a arquitetura permaneça essencialmente a mesma que existia ao abrigo da Diretiva 1995, a reforma das normas relativas às transferências internacionais clarifica e simplifica a sua utilização e introduz novos instrumentos para as transferências.

Por força do direito da UE, um meio de transferir dados pessoais para o estrangeiro tem por base uma «decisão de adequação» da Comissão, na qual se estabelece que um país não pertencente à UE possui um nível de proteção de dados que é «substancialmente equivalente» ao garantido a nível da UE. O efeito de tal decisão consiste em permitir a livre circulação de dados pessoais para esse país terceiro sem haver necessidade de o exportador de dados apresentar outras garantias ou obter qualquer autorização. Os países ou as organizações internacionais interessados têm à disposição um catálogo rigoroso e pormenorizado de elementos que a Comissão deve ter em conta quando avalia a adequação da proteção de um sistema estrangeiro. A Comissão também pode agora adotar decisões de adequação no domínio da aplicação coerciva da lei. Além disso, a reforma, apoiando-se na experiência adquirida com a Diretiva de 1995, prevê explicitamente a avaliação da adequação da proteção num território específico de um país terceiro ou num setor ou indústria específicos de um país terceiro (a denominada adequação «parcial»).

Na falta de uma decisão de proteção adequada, as transferências internacionais podem efetuar-se com base em vários instrumentos de transferência alternativos que prevejam as garantias adequadas em matéria de proteção de dados. A reforma formaliza e alarga as possibilidades de utilização de instrumentos existentes, como as cláusulas contratuais-tipo e as regras vinculativas aplicáveis às empresas. Por exemplo, as cláusulas contratuais-tipo podem agora ser incluídas num contrato entre um subcontratante estabelecido na UE e subcontratantes estabelecidos num país terceiro (as denominadas cláusulas-tipo entre subcontratantes). No que diz respeito às regras vinculativas aplicáveis às empresas, que até à data se limitavam a acordos entre entidades do mesmo grupo empresarial, podem agora ser utilizadas por um grupo de empresas envolvidas numa atividade económica conjunta, mas que não façam necessariamente parte do mesmo grupo empresarial. A reforma também reduz a burocracia, eliminando os requisitos gerais de notificação prévia e de autorização das autoridades de proteção de dados relativamente a transferências para um país terceiro com base em cláusulas contratuais-tipo ou regras vinculativas aplicáveis às empresas. Trata-se de uma simplificação importante do sistema de transferências internacionais de dados da UE, uma vez que a existência desses requisitos, que atualmente variam de um Estado-Membro para outro, é frequentemente considerada um obstáculo significativo à circulação de dados, em especial para as pequenas empresas.

Além disso, a reforma introduz novos instrumentos para as transferências internacionais. Os responsáveis pelo tratamento e os subcontratantes poderão utilizar, em determinadas condições, códigos de conduta ou procedimentos de certificação aprovados (tais como selos ou marcas de proteção da privacidade) para estabelecer «garantias adequadas». Tal deve permitir o desenvolvimento de soluções mais adaptadas às transferências internacionais, refletindo, por exemplo, as características e as necessidades específicas de um dado setor ou indústria ou de circulação de dados particulares. A reforma também confere a possibilidade de prever garantias adequadas em relação às transferências de dados entre autoridades ou organismos públicos com base em acordos internacionais ou acordos administrativos. Por último, o Regulamento Geral sobre a Proteção de Dados clarifica a utilização das denominadas «derrogações» (por exemplo, o consentimento do interessado, o cumprimento de um contrato ou motivos importantes de interesse público) nas quais entidades, em situações específicas, possam basear as suas transferências de dados na falta de uma decisão de adequação e independentemente da utilização de um dos instrumentos referidos acima. Inclui especialmente uma derrogação nova, embora limitada, relativa às transferências que possam ocorrer em prol de interesses legítimos de uma empresa.

Por último, a reforma confere à Comissão os poderes para elaborar mecanismos internacionais de cooperação destinados a facilitar a aplicação da legislação em matéria de proteção de dados pessoais, inclusive através de acordos de assistência mútua. Trata-se, portanto, de um reconhecimento do contributo que formas de cooperação mais estreitas entre as autoridades de controlo a nível internacional podem dar para assegurar simultaneamente uma proteção mais eficaz dos direitos individuais e uma maior segurança jurídica para as empresas.

3. Transferências internacionais de dados no setor comercial: facilitar o comércio protegendo a vida privada

O respeito da vida privada constitui uma condição prévia de fluxos comerciais mundiais estáveis, seguros e competitivos. A vida privada não é um produto negociável. A Internet e a digitalização de bens e serviços transformaram a economia mundial e a transferência de dados transfronteiras, incluindo os dados pessoais, enquanto parte das operações diárias das empresas europeias de todas as dimensões e de todos os setores de atividade. Atendendo a que as trocas comerciais dependem cada vez mais da circulação de dados pessoais, a confidencialidade e a segurança desses dados tornaram-se essenciais à confiança dos consumidores. Por exemplo, dois terços dos europeus dizem estar preocupados com o facto de não terem qualquer tipo de controlo em relação às informações que facultam em linha, ao passo que metade dos inquiridos receiam vir a ser vítimas de fraude. Paralelamente, as empresas europeias que operam em alguns países terceiros são cada vez mais confrontadas com restrições protecionistas que não se podem justificar por considerações legítimas de proteção da vida privada.