COMISSÃO EUROPEIA Bruxelas, 24.6.2020 SWD(2020) 115 final This document corrects document SWD(2020) 115 final of 24.06.2020

Concerns the EN language version.

Footnote 3 completed.

The text shall read as follows: DOCUMENTO DE TRABALHO DOS SERVIÇOS DA COMISSÃO […] que acompanha o documento COMUNICAÇÃO DA COMISSÃO AO PARLAMENTO EUROPEU E AO CONSELHO A proteção de dados enquanto pilar da capacitação dos cidadãos e a abordagem da UE para a transição digital - dois anos de aplicação do Regulamento Geral sobre a Proteção de Dados {COM(2020) 264 final}



Índice 1 Contexto 2 Aplicação do RGPD e funcionamento dos procedimentos de cooperação e de controlo da coerência 2.1 Exercício de poderes reforçados pelas autoridades de proteção de dados Questões específicas para o setor público Cooperação com outros reguladores 2.2 Procedimentos de cooperação e de controlo da coerência Balcão único Assistência mútua Procedimento de controlo da coerência Desafios a enfrentar 2.3 Aconselhamento e orientações Sensibilização e aconselhamento por parte das autoridades de proteção de dados Orientações do Comité Europeu para a Proteção de Dados 2.4 Recursos das autoridades de proteção de dados 3 Regras harmonizadas, mas persistindo ainda um certo grau de fragmentação e abordagens divergentes 3.1 Aplicação do RGPD pelos Estados-Membros Principais questões relacionadas com a aplicação nacional

Conciliação do direito à proteção de dados pessoais com a liberdade de expressão e de informação 3.2 Cláusulas de especificação facultativa e respetivos limites Fragmentação associada à utilização de cláusulas de especificação facultativa 4 Capacitar os cidadãos no sentido de controlarem os seus dados 5 Oportunidades e desafios para as organizações, em especial as pequenas e médias empresas Caixa de ferramentas para empresas 6 Aplicação do RGPD às novas tecnologias 7 Transferências internacionais e cooperação global 7.1 Privacidade: uma questão global 7.2 Conjunto de instrumentos de transferência previsto no RGPD Decisões de adequação Garantias adequadas Derrogações Decisões de tribunais ou autoridades estrangeiras: não constituem motivos para transferências 7.3 Cooperação internacional no domínio da proteção de dados A dimensão bilateral A dimensão multilateral Anexo I: Cláusulas de especificações facultativas da legislação nacional Anexo II: Panorâmica dos recursos das autoridades de proteção de dados





1Contexto O Regulamento Geral sobre a Proteção de Dados (a seguir designado por «RGPD») é o resultado de oito anos de preparação, redação e negociações interinstitucionais, tendo começado a ser aplicado em 25 de maio de 2018, após um período de transição de dois anos (maio de 2016 - maio de 2018). O artigo 97.º do RGPD exige que a Comissão apresente um relatório sobre a avaliação e revisão do regulamento, o primeiro após dois anos da sua aplicação e, subsequentemente, de quatro em quatro anos. A avaliação faz igualmente parte de uma abordagem multifacetada já seguida pela Comissão antes de o RGPD começar a ser aplicado e que a Comissão continuou a prosseguir ativamente desde então. Como parte desta abordagem, a Comissão participou nos diálogos bilaterais em curso com Estados-Membros sobre a conformidade da legislação nacional com o RGPD, contribuiu ativamente para o trabalho do Comité Europeu para a Proteção de Dados (a seguir designado por «Comité»), através da disponibilização da sua experiência e dos seus conhecimentos especializados, apoiou as autoridades de proteção de dados e manteve contactos estreitos com um vasto leque de partes interessadas sobre a aplicação prática do referido regulamento. A avaliação tem por base o exercício de balanço realizado pela Comissão no primeiro ano de aplicação do RGPD que foi resumido na comunicação emitida em julho de 2019. Dá igualmente seguimento à Comunicação sobre a aplicação do RGPD, emitida em janeiro de 2018. A Comissão adotou igualmente Orientações sobre a utilização de dados pessoais no contexto eleitoral, publicadas em setembro de 2018, e Orientações respeitantes a aplicações móveis de apoio à luta contra a pandemia de COVID-19, publicadas em abril de 2020. Embora se concentre nas duas questões salientadas no artigo 97.º, n.º 2, do RGPD, nomeadamente as transferências internacionais e os procedimentos de cooperação e de controlo da coerência, esta avaliação adota uma abordagem mais ampla a fim de examinar questões suscitadas por vários intervenientes durante os últimos dois anos. Para preparar a avaliação, a Comissão teve em conta os contributos: ·do Conselho; ·do Parlamento Europeu (Comissão das Liberdades Cívicas, da Justiça e dos Assuntos Internos); ·do Comité e das autoridades de proteção de dados individuais, com base num questionário enviado pela Comissão; ·dos membros do grupo multilateral de peritos sobre a aplicação do RGPD, também com base num questionário enviado pela Comissão; ·e das partes interessadas. 2Aplicação do RGPD e funcionamento dos procedimentos de cooperação e de controlo da coerência O RGPD criou um sistema de governação inovador e estabeleceu as bases de uma cultura de proteção de dados verdadeiramente europeia que visa assegurar não só uma interpretação harmonizada, mas também uma aplicação e execução harmonizadas das regras de proteção de dados. Os seus pilares são as autoridades nacionais de proteção de dados independentes e o recém-criado Comité. Atendendo a que as autoridades de proteção de dados são fundamentais para o funcionamento de todo o sistema de proteção de dados da UE, a Comissão está a acompanhar atentamente a sua independência efetiva, nomeadamente no que diz respeito aos recursos financeiros, humanos e técnicos adequados. Ainda é demasiado prematuro avaliar plenamente o funcionamento dos procedimentos de cooperação e de controlo da coerência, dada a curta experiência adquirida até à data. Além disso, as autoridades de proteção de dados ainda não utilizaram todo o leque de instrumentos previstos pelo RGPD para reforçar ainda mais a sua cooperação. 2.1Exercício de poderes reforçados pelas autoridades de proteção de dados O RGPD institui autoridades de proteção de dados independentes e confere-lhes poderes de execução reforçados e harmonizados. Desde a aplicação do RGPD, essas autoridades têm exercido um vasto leque de poderes de correção previstos no RGPD, como coimas (22 autoridades da UE/do EEE), advertências e repreensões (23), ordens para que os pedidos apresentados pelo titular dos dados sejam satisfeitos (26), ordens para que sejam tomadas medidas para que as operações de tratamento cumpram o RGPD (27) e ordens para retificar, apagar ou limitar o tratamento (17). Cerca de metade das autoridades de proteção de dados (13) impuseram limitações temporárias ou definitivas ao tratamento de dados, ou mesmo proibições. Tal demonstra uma utilização consciente de todas as medidas de correção previstas no RGPD; as autoridades de proteção de dados não se coibiram de impor coimas em complemento ou em substituição de outras medidas de correção, consoante as circunstâncias de cada caso. Coimas: Entre 25 de maio de 2018 e 30 de novembro de 2019, 22 autoridades de proteção de dados da UE/do EEE aplicaram aproximadamente 785 coimas. Apenas algumas autoridades ainda não impuseram quaisquer coimas, embora os processos atualmente em curso possam conduzir à aplicação de tais coimas. A maioria das coimas diz respeito a violações do(a): princípio da licitude; consentimento válido; proteção de dados sensíveis; obrigação de transparência, dos direitos dos titulares dos dados; e a violações de dados pessoais.

Entre os exemplos de coimas impostas pelas autoridades de proteção de dados incluem-se: – 200 000 EUR pelo não cumprimento do direito de oposição à comercialização direta na Grécia; – 220 000 EUR a uma empresa mediadora de dados na Polónia, por não informar as pessoas de que os respetivos dados estavam a ser tratados; – 250 000 EUR à liga espanhola de futebol, LaLiga, por falta de transparência na conceção da sua aplicação para telefones móveis; – 14,5 milhões de EUR por violação dos princípios de proteção de dados, em particular o armazenamento ilícito, por uma empresa imobiliária alemã; – 18 milhões de EUR pelo tratamento ilícito de categorias especiais de dados, em grande escala, pelos serviços postais austríacos; – 50 milhões de EUR à Google em França, devido às condições para obter o consentimento dos utilizadores. O êxito do RGPD não deve ser medido pelo número de coimas aplicadas, uma vez que o RGPD prevê um leque mais vasto de poderes de correção. Consoante as circunstâncias, por exemplo, o efeito dissuasor da proibição do tratamento ou da suspensão de fluxos de dados pode ser muito mais forte. Questões específicas para o setor público O RGPD permite aos Estados-Membros determinar se, e em que medida, as coimas podem ser aplicadas às autoridades e organismos públicos. Quando os Estados-Membros recorrem a esta possibilidade, tal não priva as autoridades de proteção de dados de exercerem todos os outros poderes de correção em relação às autoridades e organismos públicos. Outra questão específica é a supervisão dos tribunais: embora o RGPD também se aplique às atividades dos tribunais, estes estão isentos da supervisão pelas autoridades de proteção de dados no exercício da sua função jurisdicional. No entanto, a Carta e o TFUE obrigam os Estados-Membros a confiar o controlo de tais operações de tratamento a um organismo independente no âmbito dos seus sistemas judiciais. Cooperação com outros reguladores Tal como anunciado na sua comunicação de julho de 2019, a Comissão apoia a interação com outros reguladores, respeitando integralmente as respetivas competências. Entre as áreas de cooperação promissoras incluem-se a defesa dos consumidores e a concorrência. O Comité manifestou a sua vontade de colaborar com outros reguladores, em particular em relação à concentração dos mercados digitais. A Comissão reconheceu a importância da proteção da privacidade e dos dados enquanto parâmetro qualitativo para a concorrência. Os membros do Comité participaram em ateliês conjuntos com a Rede de Cooperação no domínio da Defesa do Consumidor sobre cooperação para uma melhor aplicação da legislação da UE em matéria de defesa dos consumidores e de proteção de dados. Esta abordagem será prosseguida para promover um entendimento comum e desenvolver formas práticas de abordar problemas concretos sentidos pelos consumidores, em particular na economia digital. A fim de assegurar uma abordagem coerente da privacidade e da proteção de dados, e enquanto se aguarda a adoção do Regulamento Privacidade Eletrónica, é indispensável uma estreita cooperação com as autoridades competentes para a aplicação da Diretiva Privacidade Eletrónica, a lex specialis no domínio das comunicações eletrónicas. Uma cooperação mais estreita com as autoridades competentes nos termos da Diretiva Segurança das Redes e da Informação (SRI) e com o Grupo de Cooperação SRI seria mutuamente benéfica para essas autoridades e para as autoridades de proteção de dados. 2.2Procedimentos de cooperação e de controlo da coerência O RGPD criou o procedimento de cooperação (sistema de balcão único para operadores, operações conjuntas e assistência mútua entre autoridades de proteção de dados) e o procedimento de controlo da coerência a fim de promover uma aplicação uniforme das regras de proteção de dados, através de uma interpretação coerente e da resolução de eventuais desacordos entre autoridades pelo Comité. O Comité, reunindo todas as autoridades de proteção de dados, foi criado enquanto organismo da UE dotado de personalidade jurídica e está plenamente operacional, sendo apoiado por um secretariado. É crucial para o funcionamento dos dois procedimentos supracitados. Até ao final de 2019, o Comité tinha adotado 67 documentos, incluindo dez novas orientações e 43 pareceres. O importante papel do Comité surgiu quando se mostrou necessário prever rapidamente uma interpretação coerente do RGPD e encontrar soluções imediatamente aplicáveis a nível da UE. Por exemplo, no contexto do surto de COVID-19, em março de 2020 o Comité adotou uma declaração sobre o tratamento de dados pessoais que aborda, entre outros aspetos, a licitude do tratamento e a utilização de dados de localização móvel nesse contexto, tendo, em abril de 2020, adotado Diretrizes sobre o tratamento de dados relativos à saúde para efeitos de investigação científica no contexto do surto de COVID-19 e Diretrizes sobre a utilização de dados de localização e meios de rastreio de contactos no contexto do surto de COVID-19. O Comité contribuiu igualmente significativamente para a conceção da abordagem da UE às aplicações de rastreio pela Comissão e pelos Estados-Membros. A cooperação diária entre autoridades de proteção de dados, quer atuem em seu próprio nome ou enquanto membros do Comité, baseia-se em intercâmbios de informações e notificações de processos instaurados pelas autoridades. A fim de facilitar a comunicação entre as autoridades, a Comissão prestou um apoio significativo, dotando-as de um sistema de intercâmbio de informações, que a maioria das autoridades considera adaptado às necessidades dos procedimentos de cooperação e de controlo da coerência, ainda que possa ser aperfeiçoado, por exemplo, tornando a sua utilização mais fácil.

Embora ainda seja cedo para tirar conclusões, já é possível identificar uma série de realizações e desafios, que são apresentados a seguir. Estes mostram que, até à data, as autoridades de proteção de dados têm utilizado eficazmente os instrumentos de cooperação, dando preferência a soluções mais flexíveis. Balcão único Regra geral, em casos transfronteiriços, a autoridade de proteção de dados de um Estado-Membro pode envolver-se (i) na qualidade de autoridade principal, quando o estabelecimento principal do operador se situe nesse Estado-Membro, ou (ii) na qualidade de autoridade interessada, quando o operador tenha um estabelecimento no território desse Estado-Membro, quando as pessoas desse Estado-Membro sejam substancialmente afetadas ou quando lhe tenha sido apresentada uma reclamação. Esta cooperação estreita converteu-se numa prática corrente: desde a data de aplicação do RGPD, as autoridades de proteção de dados em todos os Estados-Membros foram, em determinada altura, identificadas como autoridades principais ou como autoridades interessadas em casos transfronteiriços, embora em diferentes graus. De maio de 2018 até ao final de 2019, a autoridade de proteção de dados na Irlanda atuou enquanto autoridade principal no maior número de casos transfronteiriços (127), seguida da Alemanha (92), do Luxemburgo (87), da França (64) e dos Países Baixos (45). Esta classificação reflete, nomeadamente, a situação específica da Irlanda e do Luxemburgo, que acolhem várias grandes empresas multinacionais de tecnologia. A classificação é diferente no que diz respeito ao envolvimento enquanto autoridades de proteção de dados interessadas, estando as autoridades da Alemanha envolvidas no maior número de casos (435), seguidas da Espanha (337), da Dinamarca (327), da França (332) e da Itália (306). Entre 25 de maio de 2018 e 31 de dezembro de 2019, foram apresentados 141 projetos de decisão através do procedimento de balcão único, 79 dos quais resultaram em decisões finais. À data de publicação do presente relatório, encontram-se pendentes várias decisões importantes com uma dimensão transfronteiriça sujeitas ao procedimento de balcão único. Entre estas decisões, algumas envolvem grandes empresas multinacionais de tecnologia. Espera-se que tais decisões forneçam esclarecimentos e contribuam para uma maior harmonização na interpretação do RGPD. Assistência mútua As autoridades de proteção de dados recorreram de forma alargada ao instrumento de assistência mútua. No final de 2019, existiam 115 procedimentos de assistência mútua, em particular para a realização de investigações, a maioria dos quais iniciados pelas autoridades de proteção de dados de Espanha (26), da Alemanha (20), da Dinamarca (13), da Polónia (12) e da República Checa (10). Por outro lado, a Irlanda (19), a França (11), a Áustria (10), a Alemanha (10) e o Luxemburgo (9) tinham recebido o maior número de pedidos. A grande maioria das autoridades considera a assistência mútua um instrumento muito útil para a cooperação e não encontrou nenhum obstáculo específico à aplicação do procedimento de assistência mútua. O intercâmbio voluntário de assistência mútua, que não está sujeito a um prazo legal nem a um dever rigoroso de resposta, tem sido utilizado com maior frequência, em 2 427 procedimentos. A autoridade de proteção de dados da Irlanda enviou e recebeu o maior número de pedidos de assistência mútua (527 pedidos enviados e 359 pedidos recebidos), seguida das autoridades alemãs (260 pedidos enviados e 356 pedidos recebidos). Por outro lado, ainda não foram realizadas operações conjuntas, que permitiriam a participação das autoridades de proteção de dados de vários Estados-Membros já ao nível das investigações de casos transfronteiriços. Está em curso um processo de reflexão no seio do Comité sobre a aplicação prática deste instrumento e sobre a forma de promover a sua utilização. Procedimento de controlo da coerência Até à data, só foi utilizada a primeira parte do mecanismo de controlo da coerência, nomeadamente a adoção de pareceres do Comité. Por outro lado, ainda não foi desencadeado qualquer procedimento de resolução de litígios a nível do Comité ou procedimento de urgência. Entre 25 de maio de 2018 e 31 de dezembro de 2019, o Comité emitiu 36 pareceres no contexto da adoção de medidas por um dos seus membros. A maioria deles (31) dizia respeito à adoção de listas nacionais de operações de tratamento que exigem uma avaliação de impacto sobre a proteção de dados. Dois pareceres diziam respeito a regras vinculativas aplicáveis às empresas, outros dois diziam respeito a projetos de requisitos de acreditação para um organismo de supervisão do código de conduta e um dizia respeito a cláusulas contratuais-tipo. Além disso, o Comité adotou, a pedido, seis pareceres. Três destes pareceres diziam respeito a listas nacionais que identificavam tratamentos que não exigem uma avaliação de impacto sobre a proteção de dados. Os outros diziam respeito, respetivamente, a um acordo administrativo para a transferência de dados pessoais entre autoridades de supervisão financeira do EEE e de países não pertencentes ao EEE, à interação entre a Diretiva Privacidade Eletrónica e o RGPD e à competência de uma autoridade de controlo em caso de alteração das circunstâncias relacionadas com o estabelecimento principal ou único. Desafios a enfrentar Embora as autoridades de proteção de dados tenham trabalhado muito ativamente em conjunto no seio do Comité e já utilizem intensivamente o instrumento de cooperação de assistência mútua, a criação de uma cultura verdadeiramente comum de proteção de dados é um processo ainda em curso. Em particular, o tratamento de casos transfronteiriços exige uma abordagem mais eficiente e harmonizada e a utilização eficaz de todos os instrumentos de cooperação previstos no RGPD. Existe um consenso muito amplo sobre este ponto, uma vez que foi suscitado de diferentes formas pelo Parlamento Europeu, pelo Conselho, pela Autoridade Europeia para a Proteção de Dados, pelas partes interessadas (dentro e fora do grupo multilateral) e pelas autoridades de proteção de dados. As principais questões a abordar neste contexto incluem diferenças:

·nos procedimentos administrativos nacionais relativos, nomeadamente: aos procedimentos de tratamento de reclamações, aos critérios de admissibilidade de reclamações, à duração dos processos devido a prazos diferentes ou à ausência de quaisquer prazos, ao momento, no processo, em que é concedido o direito de ser ouvido, às informações e à participação dos autores das reclamações durante o processo; ·nas interpretações de conceitos relativos ao procedimento de cooperação, nomeadamente informações pertinentes, as noções de «sem demora» e de «reclamação», o documento definido como o «projeto de decisão» da autoridade de proteção de dados principal, o acordo amigável (em particular o procedimento conducente ao acordo amigável e a forma jurídica do acordo); e ·na abordagem sobre quando iniciar o procedimento de cooperação, envolver as autoridades de proteção de dados interessadas e facultar-lhes informações. Os autores das reclamações são igualmente afetados pela falta de clareza sobre a forma como os seus casos são tratados em situações transfronteiriças, conforme sublinhado por vários membros do grupo multilateral. Além disso, as empresas mencionam que, em determinadas situações, as autoridades nacionais de proteção de dados não remeteram os casos à autoridade de proteção de dados principal, tendo-os tratado como casos locais. A Comissão congratula-se com o anúncio do Comité de que iniciou um processo de reflexão sobre a forma de dar resposta a estas preocupações. Em particular, o Comité indicou que irá clarificar as etapas processuais envolvidas na cooperação entre a autoridade de proteção de dados principal e as autoridades de proteção de dados interessadas, analisar as leis processuais administrativas nacionais, trabalhar em prol de uma interpretação comum dos principais conceitos e reforçar a comunicação e a cooperação (incluindo as operações conjuntas). A reflexão e a análise do Comité deverão conduzir à definição de modalidades que funcionem com mais eficácia em casos transfronteiriços, nomeadamente com base nos conhecimentos especializados dos seus membros e através do reforço da participação do seu secretariado. Além disso, note-se que a responsabilidade do Comité de assegurar uma interpretação coerente do RGPD não pode ser cumprida encontrando simplesmente o denominador comum mais baixo. Por último, enquanto organismo da UE, o Comité deve igualmente aplicar o direito administrativo da UE e assegurar a transparência no processo de tomada de decisões. 2.3Aconselhamento e orientações Sensibilização e aconselhamento por parte das autoridades de proteção de dados Várias autoridades de proteção de dados criaram novas ferramentas, designadamente linhas de apoio para cidadãos e empresas, e conjuntos de ferramentas para empresas. Muitos operadores congratulam-se com o pragmatismo demonstrado por estas autoridades na prestação de assistência na aplicação do RGPD. Em particular, vários deles têm colaborado e comunicado ativamente e de perto com os encarregados da proteção de dados, nomeadamente através de associações de encarregados da proteção de dados. Muitas autoridades emitiram igualmente orientações que abrangem o papel e as obrigações dos encarregados da proteção de dados no sentido de apoiar os encarregados da proteção de dados durante as suas atividades diárias, tendo realizado seminários especificamente concebidos para os mesmos. No entanto, nem todas as autoridades de proteção de dados o fizeram. As reações recebidas das partes interessadas apontam igualmente para uma série de questões em matéria de orientações e aconselhamento: ·a ausência de uma abordagem e orientação coerentes entre as autoridades nacionais de proteção de dados sobre determinadas questões (por exemplo, sobre testemunhos de conexão («cookies»), a aplicação do conceito de interesse legítimo, as notificações de violações de dados ou as avaliações de impacto sobre a proteção de dados), ou mesmo entre as autoridades de proteção de dados de um mesmo Estado-Membro (por exemplo, na Alemanha, sobre as noções de responsável pelo tratamento e de subcontratante); ·a incoerência das orientações adotadas a nível nacional com as adotadas pelo Comité; ·a ausência de consultas públicas sobre determinadas orientações adotadas a nível nacional; ·diferentes níveis de envolvimento com as partes interessadas entre as autoridades de proteção de dados; ·atrasos no recebimento de respostas a pedidos de informação; ·dificuldades na obtenção de conselhos práticos e preciosos das autoridades de proteção de dados; ·a necessidade de aumentar o nível de conhecimentos especializados setoriais junto de algumas autoridades de proteção de dados (por exemplo, nos setores da saúde e farmacêutico). Várias destas questões estão igualmente associadas à falta de recursos de várias autoridades de proteção de dados (ver abaixo). Práticas divergentes no que diz respeito à notificação de violações de dados Embora o Conselho saliente o ónus decorrente de tais notificações, existem discrepâncias significativas no que se refere às notificações entre Estados-Membros: embora, entre maio de 2018 e o final de novembro de 2019, o número total de notificações de violações de dados na maioria dos Estados-Membros tenha sido inferior a 2 000 e, em sete Estados-Membros, esse número se tenha situado entre 2 000 e 10 000, as autoridades neerlandesas e alemãs de proteção de dados comunicaram, respetivamente, 37 400 e 45 600 notificações. Tal pode apontar para uma falta de interpretação e aplicação coerentes, apesar da existência de orientações a nível da UE sobre notificações de violações de dados.

Orientações do Comité Europeu para a Proteção de Dados Até à data, o Comité adotou mais de 20 orientações que abrangem aspetos fundamentais do RGPD. As orientações constituem um instrumento essencial para a aplicação coerente do RGPD, pelo que têm sido, em grande medida, acolhidas favoravelmente pelas partes interessadas. As partes interessadas apreciaram a consulta pública sistemática (seis a oito semanas). No entanto, solicitaram um maior diálogo com o Comité. Neste contexto, a prática de organizar ateliês sobre temas específicos antes da elaboração de orientações deve ser prosseguida e alargada para assegurar a transparência, a inclusão e a pertinência do trabalho do Comité. As partes interessadas solicitam igualmente que a interpretação das questões mais controversas seja abordada nas orientações, uma vez que estas estão sujeitas a consulta pública, e não no âmbito de pareceres nos termos do artigo 64.º, n.º 2, do RGPD. Algumas partes interessadas solicitam igualmente orientações mais práticas, que descrevam de forma pormenorizada a aplicação de conceitos e disposições do RGPD. Os membros do grupo multilateral sublinham a necessidade de exemplos mais concretos para reduzir ao máximo a margem para interpretações divergentes entre as autoridades de proteção de dados. Simultaneamente, os pedidos de esclarecimento sobre a forma de aplicar o RGPD e garantir segurança jurídica não devem conduzir a requisitos adicionais ou diminuir as vantagens da abordagem baseada nos riscos e do princípio de responsabilização. Entre os temas sobre os quais as partes interessadas gostariam de obter orientações adicionais do Comité incluem-se: o âmbito de aplicação dos direitos dos titulares dos dados (nomeadamente no contexto laboral); atualizações do parecer sobre o tratamento com base em interesses legítimos; as noções de responsável pelo tratamento, responsável conjunto pelo tratamento e subcontratante e os acordos necessários entre as partes; a aplicação do RGPD a novas tecnologias (como a cadeia de blocos e a inteligência artificial); o tratamento no contexto da investigação científica (nomeadamente em relação à colaboração internacional); o tratamento de dados relativos a crianças; a pseudonimização e a anonimização; e o tratamento de dados relativos à saúde. O Comité já indicou que irá emitir orientações sobre muitos destes temas, tendo já iniciado os trabalhos sobre vários deles (por exemplo, sobre a aplicação do interesse legítimo enquanto fundamento jurídico para o tratamento). As partes interessadas solicitam ao Comité que atualize e reveja as orientações existentes, sempre que tal se revele adequado, tendo em conta a experiência adquirida desde a sua publicação e aproveitando a oportunidade para abordar os temas de forma mais aprofundada, quando necessário. 2.4Recursos das autoridades de proteção de dados Dotar cada autoridade de proteção de dados dos recursos humanos, técnicos e financeiros, bem das instalações e infraestruturas, necessários constitui um requisito prévio para a prossecução eficaz das suas atribuições e o exercício dos seus poderes e, por conseguinte, uma condição essencial para a sua independência. A maioria das autoridades de proteção de dados beneficiou de um aumento do pessoal e dos recursos desde a entrada em vigor do RGPD em 2016. No entanto, muitas delas continuam a afirmar não dispor de recursos suficientes. Número de funcionários que trabalham para as autoridades nacionais de proteção de dados O número total de funcionários que trabalham para as autoridades de proteção de dados do EEE consideradas em conjunto aumentou 42 % entre 2016 e 2019 (62 % se se considerar a previsão para 2020). Durante este período, a maioria das autoridades registou um aumento do número de funcionários, tendo o aumento mais significativo (em percentagem) sido registado pelas autoridades da Irlanda (+169 %), dos Países Baixos (+145 %), da Islândia (+143 %), do Luxemburgo (+126 %) e da Finlândia (+114 %). Por outro lado, várias autoridades de proteção de dados registaram uma diminuição do número de funcionários, tendo as diminuições mais acentuadas sido observadas na Grécia (-15 %), na Bulgária (-14 %), na Estónia (-11 %), na Letónia (-10 %) e na Lituânia (-8 %). Em algumas autoridades, a diminuição do pessoal deve-se igualmente à partida de peritos em matéria de proteção de dados para o setor privado, que oferece condições mais atrativas. Em geral, a previsão para 2020 prevê um aumento do pessoal em comparação com 2019, com exceção das autoridades da Áustria, da Bulgária, da Itália, da Suécia e da Islândia (onde se espera que o número de funcionários se mantenha estável), de Chipre e da Dinamarca (onde se espera que o número de funcionários diminua). No seu conjunto, as autoridades alemãs de proteção de dados possuem o maior número de funcionários (888 em 2019/1002 na previsão para 2020), seguidas das autoridades de proteção de dados da Polónia (238/260), da França (215/225), de Espanha (170/220), dos Países Baixos (179/188), da Itália (170/170) e da Irlanda (140/176). As autoridades de proteção de dados que possuem o menor número de funcionários são as de Chipre (24/22), da Letónia (19/31), da Islândia (17/17), da Estónia (16/18) e de Malta (13/15). Orçamento das autoridades nacionais de proteção de dados O orçamento total das autoridades de proteção de dados do EEE consideradas em conjunto aumentou 49% entre 2016 e 2019 (64 % se se considerar a previsão para 2020). Durante este período, a maioria das autoridades registou um aumento do orçamento, tendo o aumento mais significativo (em percentagem) sido registado pelas autoridades da Irlanda (+223 %), da Islândia (+167 %), do Luxemburgo (+165 %), dos Países Baixos (+130 %) e de Chipre (+114 %). Por outro lado, algumas autoridades registaram apenas um pequeno aumento do orçamento, tendo os menores aumentos sido registados pelas autoridades de proteção de dados da Estónia (7 %), da Letónia (4 %), da Roménia (3 %) e da Bélgica (1 %), enquanto a autoridade da França registou uma diminuição (-2 %). Em geral, a previsão para 2020 prevê um aumento do orçamento em comparação com 2019, exceto para as autoridades da Áustria, da Bulgária, da Estónia e dos Países Baixos (cujos orçamentos se prevê que permaneçam estáveis). As autoridades de proteção de dados com o orçamento mais elevado são as da Alemanha (76,6 milhões de EUR em 2019/85,8 milhões de EUR na previsão para 2020), da Itália (29,1/30,1), dos Países Baixos (18,6/18,6), da França (18,5/20,1) e da Irlanda (15,2/16,9).

As autoridades com o orçamento mais baixo são as da Croácia (1,2 milhões de EUR em 2019/1,4 milhões de EUR na previsão para 2020), da Roménia (1,1/1,3), da Letónia (0,6/1,2), de Chipre (0,5/0,5) e de Malta (0,5/0,6). O quadro constante do anexo II fornece uma visão geral dos recursos humanos e orçamentais das autoridades nacionais de proteção de dados. Para além de afetar a sua capacidade de aplicar regras a nível nacional, a falta de recursos limita igualmente a capacidade das autoridades de proteção de dados para participar e contribuir para os procedimentos de cooperação e de controlo da coerência, bem como para o trabalho realizado no âmbito do Comité. Tal como salientado pelo Comité, o êxito do mecanismo de balcão único depende do tempo e do esforço que as autoridades de proteção de dados possam dedicar ao tratamento de casos individuais transfronteiriços e à cooperação no âmbito dos mesmos. A questão dos recursos é agravada pelo papel acrescido das autoridades na supervisão de sistemas informáticos de grande escala que estão atualmente a ser desenvolvidos. Além disso, as autoridades de proteção de dados da Irlanda e do Luxemburgo têm necessidades específicas de recursos, atendendo ao seu papel de autoridades principais para efeitos de aplicação do RGPD em relação às grandes empresas de tecnologia, que se situam sobretudo nestes Estados-Membros. Embora o Conselho chame a tenção para o impacto do procedimento de cooperação e dos seus prazos no trabalho das autoridades de proteção de dados, o RGPD obriga os Estados-Membros a dotar as respetivas autoridades nacionais de proteção de dados de recursos humanos, financeiros e técnicos adequados. O secretariado do Comité, que é disponibilizado pela Autoridade Europeia para a Proteção de Dados, é atualmente composto por 20 pessoas, incluindo peritos jurídicos, informáticos e em matéria de comunicação. É necessário avaliar se este número deve evoluir no futuro, à luz do cumprimento efetivo da sua função de apoio analítico, administrativo e logístico ao Comité e aos seus subgrupos, nomeadamente através da gestão do sistema de intercâmbio de informações. 3Regras harmonizadas, mas persistindo ainda um certo grau de fragmentação e abordagens divergentes O RGPD prevê uma abordagem coerente das regras de proteção de dados em toda a UE, substituindo os diferentes regimes nacionais existentes ao abrigo da Diretiva Proteção de Dados de 1995. 3.1Aplicação do RGPD pelos Estados-Membros O RGPD é diretamente aplicável em todos os Estados-Membros desde 25 de maio de 2018. Obrigou os Estados-Membros a legislar, nomeadamente a criar autoridades nacionais de proteção de dados e a especificar as condições gerais aplicáveis aos seus membros, a fim de assegurar que cada autoridade aja com total independência na prossecução das suas atribuições e no exercício dos poderes que lhe são atribuídos nos termos do RGPD. As obrigações legais e as funções públicas só podem constituir fundamento jurídico para o tratamento de dados pessoais se estiverem previstas no direito nacional (ou da União). Além disso, os Estados-Membros devem estabelecer regras em matéria de sanções, nomeadamente para as violações não sujeitas a coimas, devendo conciliar o direito à proteção de dados pessoais com o direito à liberdade de expressão e de informação. O direito nacional pode igualmente prever uma base jurídica para a isenção da proibição geral de tratamento de categorias especiais de dados pessoais, por exemplo, por motivos de interesse público importante no domínio da saúde pública, incluindo a proteção contra ameaças transfronteiriças graves para a saúde. Além disso, os Estados-Membros devem assegurar a acreditação dos organismos de certificação. A Comissão está a acompanhar a transposição do RGPD para o direito nacional. No momento da redação do presente relatório, todos os Estados-membros, com exceção da Eslovénia, adotaram nova legislação em matéria de proteção de dados ou adaptaram a sua legislação neste domínio. Por conseguinte, a Comissão solicitou à Eslovénia que prestasse esclarecimentos sobre os progressos realizados até à data e instou-a a concluir esse processo. Além disso, a conformidade da legislação nacional com as regras de proteção de dados no que diz respeito ao acervo de Schengen é igualmente avaliada no contexto do mecanismo de avaliação Schengen coordenado pela Comissão. A Comissão e os Estados-Membros avaliam conjuntamente a forma como os países implementam e aplicam o acervo de Schengen numa série de domínios; no que se refere à proteção de dados, diz respeito a sistemas informáticos de grande escala como o Sistema de Informação Schengen e o Sistema de Informação Veterinária e inclui o papel das autoridades de proteção de dados no controlo do tratamento de dados pessoais no âmbito destes sistemas. Os trabalhos de adaptação das leis setoriais estão ainda em curso a nível nacional. Após a incorporação do RGPD no Acordo sobre o Espaço Económico Europeu, a sua aplicação estendeu-se à Noruega, à Islândia e ao Listenstaine. Estes países também adotaram as respetivas legislações nacionais de proteção de dados. A Comissão utilizará todos os instrumentos à sua disposição, incluindo processos por infração, a fim de garantir que os Estados-Membros respeitam o RGPD. Principais questões relacionadas com a aplicação nacional Entre as principais questões identificadas, até à data, no âmbito da avaliação em curso da legislação nacional e dos intercâmbios bilaterais com os Estados-Membros incluem-se: ·Restrições à aplicação do RGPD: alguns Estados-Membros, por exemplo, excluem completamente as atividades do parlamento nacional; ·Diferenças na aplicabilidade das leis nacionais que visem a especificação. Alguns Estados-Membros associam a aplicabilidade da respetiva legislação nacional ao local onde os bens ou serviços são oferecidos, outros ao local de estabelecimento do responsável pelo tratamento ou do subcontratante. Tal é contrário ao objetivo de harmonização prosseguido pelo RGPD; ·Leis nacionais que suscitam questões sobre a proporcionalidade da interferência com o direito à proteção de dados. Por exemplo, a Comissão instaurou um processo por infração contra um Estado-Membro que tinha promulgado legislação que exigia aos juízes a divulgação de informações específicas sobre as suas atividades não profissionais, o que é incompatível com o direito ao respeito da vida privada e com o direito à proteção de dados pessoais; ·A ausência de um organismo independente para efeitos do controlo do tratamento de dados pelos tribunais no exercício da sua função jurisdicional.

·Legislação em domínios completamente regulamentados pelo RGPD para além da margem para especificações ou restrições. É o que acontece, nomeadamente, quando as disposições nacionais determinam as condições de tratamento com base no interesse legítimo, prevendo o equilíbrio dos respetivos interesses do responsável pelo tratamento e das pessoas interessadas, embora o RGPD obrigue todos os responsáveis pelo tratamento a procurar tal equilíbrio individualmente e a recorrer a esse fundamento jurídico. ·Especificações e requisitos adicionais para além do tratamento para o cumprimento de uma obrigação legal ou para o exercício de funções de interesse público (por exemplo, para efeitos de videovigilância no setor privado ou de comercialização direta); e para conceitos utilizados no RGPD (por exemplo, «grande escala» ou «apagamento»). Algumas destas questões podem ser esclarecidas pelo Tribunal de Justiça em processos que ainda se encontram pendentes. Conciliação do direito à proteção de dados pessoais com a liberdade de expressão e de informação Uma questão específica diz respeito à execução da obrigação que incumbe aos Estados-Membros de conciliar, por lei, o direito à proteção de dados pessoais com a liberdade de expressão e de informação. Esta questão é muito complexa, uma vez que uma avaliação do equilíbrio entre estes direitos fundamentais deve igualmente ter em conta as disposições e garantias previstas nas leis relativas à imprensa e aos meios de comunicação social. A avaliação da legislação dos Estados-Membros mostra diferentes abordagens em relação à conciliação do direito à proteção de dados pessoais com a liberdade de expressão e de informação: ·Alguns Estados-Membros estabelecem o princípio da precedência da liberdade de expressão ou isentam, em princípio, a aplicação de capítulos inteiros mencionados no artigo 85.º, n.º 2, do RGPD caso esteja em causa o tratamento para fins jornalísticos e para fins de expressão académica, artística ou literária. Em certa medida, as leis relativas aos meios de comunicação social preveem algumas garantias no que diz respeito aos direitos dos titulares dos dados. ·Alguns Estados-Membros estabelecem o princípio do primado da proteção de dados pessoais e isentam a aplicação das regras de proteção de dados apenas em situações específicas, como no caso de pessoas com estatuto público. ·Outros Estados-Membros preveem um certo equilíbrio pelo legislador e/ou uma avaliação casuística no que respeita às derrogações de determinadas disposições do RGPD. A Comissão prosseguirá a sua avaliação da legislação nacional com base nos requisitos da Carta. A conciliação deve ser prevista por lei, respeitar o conteúdo essencial desses direitos fundamentais e ser proporcional e necessária (artigo 52.º, n.º 1, da Carta). As regras em matéria de proteção de dados não devem afetar o exercício da liberdade de expressão e de informação, especialmente criando um efeito dissuasor ou sendo interpretadas como uma forma de exercer pressão sobre os jornalistas para que divulguem as suas fontes.

3.2Cláusulas de especificação facultativa e respetivos limites O RGPD confere aos Estados-Membros a possibilidade de especificarem melhor a sua aplicação num número limitado de domínios. Esta margem para a legislação nacional deve ser distinguida da obrigação de aplicar determinadas disposições do RGPD, conforme mencionado acima. As cláusulas de especificações facultativas são enumeradas no anexo I. As margens para o direito dos Estados-Membros estão sujeitas às condições e aos limites estabelecidos no RGPD e não permitem um regime nacional de proteção de dados paralelo. Os Estados-Membros são obrigados a alterar ou revogar a respetiva legislação nacional em matéria de proteção de dados, incluindo a legislação setorial com aspetos relacionados com a proteção de dados. Além disso, a legislação conexa dos Estados-Membros não pode incluir disposições que possam criar confusão no que respeita à aplicação direta do RGPD. Por conseguinte, caso o RGPD preveja especificações ou restrições das suas regras pelo direito de um Estado-Membro, estes podem incorporar elementos do RGPD no respetivo direito nacional, na medida do necessário para assegurar a coerência e tornar as disposições nacionais compreensíveis para as pessoas a quem se aplicam. As partes interessadas consideram que os Estados-Membros devem reduzir ou abster-se de utilizar cláusulas de especificação facultativa, uma vez que estas não contribuem para a harmonização. As divergências nacionais, tanto na aplicação das leis como na sua interpretação pelas autoridades de proteção de dados, aumentam consideravelmente os custos da conformidade legal em toda a UE. Fragmentação associada à utilização de cláusulas de especificação facultativa ·Limite de idade para o consentimento de crianças para efeitos dos serviços da sociedade da informação Alguns Estados-Membros recorreram à possibilidade de prever uma idade inferior a 16 anos para o consentimento em relação aos serviços da sociedade da informação (artigo 8.º, n.º 1, do RGPD). Embora nove Estados-Membros apliquem o limite de idade de 16 anos, oito Estados-Membros optaram pelos 13 anos, seis pelos 14 anos e três pelos 15 anos. Consequentemente, uma empresa que preste serviços da sociedade da informação a menores em toda a UE tem de fazer uma distinção entre as idades dos potenciais utilizadores, consoante o Estado-Membro onde estes residam. Tal é contrário ao objetivo fundamental do RGPD de proporcionar um nível igual de proteção aos cidadãos e oportunidades de negócio em todos os Estados-Membros.

Tais diferenças conduzem a situações em que o Estado-Membro onde o responsável pelo tratamento está estabelecido prevê um limite de idade diferente do dos Estados-Membros onde residem os titulares dos dados.



·Saúde e investigação Ao aplicar derrogações da proibição geral de tratamento de categorias especiais de dados pessoais, a legislação dos Estados-Membros segue abordagens diferentes no que diz respeito ao nível de especificação e a garantias, incluindo para fins de saúde e de investigação. A maioria dos Estados-Membros impôs ou manteve novas condições no que respeita ao tratamento de dados genéticos, dados biométricos ou dados relativos à saúde. O mesmo se aplica às derrogações relacionadas com os direitos dos titulares dos dados para fins de investigação, tanto no que diz respeito ao alcance das derrogações como às respetivas garantias. As futuras orientações do Comité sobre a utilização de dados pessoais no domínio da investigação científica contribuirão para uma abordagem harmonizada neste domínio. A Comissão dará o seu contributo ao Comité, em especial no que se refere à investigação no domínio da saúde, nomeadamente sob a forma de questões concretas e análise de cenários específicos que tenha recebido da comunidade científica. Seria útil que estas orientações pudessem ser adotadas antes do lançamento do Programa-Quadro Horizonte Europa, com vista a harmonizar as práticas de proteção de dados e facilitar a partilha de dados para alcançar progressos no domínio da investigação. Poderiam igualmente ser úteis orientações do Comité sobre o tratamento de dados pessoais no domínio da saúde. O RGPD proporciona um quadro sólido para a legislação nacional no domínio da saúde pública e inclui explicitamente as ameaças transfronteiriças para a saúde e a monitorização de epidemias e da sua propagação, o que foi pertinente no contexto da luta contra a pandemia de COVID-19. A nível da UE, em 8 de abril de 2020, a Comissão adotou uma Recomendação relativa a um conjunto de instrumentos com vista à utilização de tecnologias e dados neste contexto, no respeitante às aplicações móveis e à utilização de dados de mobilidade anonimizados, e, em 16 de abril de 2020, Orientações respeitantes a aplicações móveis de apoio à luta contra a pandemia na perspetiva da proteção de dados. Em 19 de março de 2020, o Comité publicou uma declaração sobre o tratamento de dados neste contexto, à qual se seguiram, em 21 de abril de 2020, diretrizes sobre o tratamento de dados para efeitos de investigação e sobre a utilização de dados de localização e meios de rastreio de contactos neste contexto. Estas recomendações e diretrizes esclarecem a forma como os princípios e as regras em matéria de proteção de dados pessoais se aplicam no contexto da luta contra a pandemia. ·Amplas limitações dos direitos dos titulares dos dados A maioria das legislações nacionais em matéria de proteção de dados que limitam os direitos dos titulares dos dados não especificam os objetivos de interesse público geral salvaguardados por estas limitações e/ou não satisfazem suficientemente as condições e garantias exigidas pelo artigo 23º, n.º 2, do RGPD. Vários Estados-Membros não deixam margem para o critério da proporcionalidade ou alargam as limitações mesmo para além do âmbito de aplicação do artigo 23.º, n.º 1, do RGPD. Por exemplo, algumas legislações nacionais negam o direito de acesso, por razões de esforço desproporcionado por parte do responsável pelo tratamento, a dados pessoais armazenados com base numa obrigação de conservação ou relacionados com o desempenho de funções de interesse público, sem limitar tal restrição a objetivos de interesse público geral. ·Requisitos adicionais aplicáveis às empresas Embora o requisito de existência obrigatória de um encarregado da proteção de dados se baseie na abordagem baseada nos riscos, um Estado-Membro alargou-o a um critério quantitativo, obrigando as empresas em que 20 ou mais funcionários estejam permanentemente envolvidos no tratamento automatizado de dados pessoais a nomear um encarregado da proteção de dados, independentemente dos riscos associados às atividades de tratamento. Tal conduziu a encargos adicionais. 4Capacitar os cidadãos no sentido de controlarem os seus dados O RGPD torna efetivos os direitos fundamentais, nomeadamente o direito à proteção de dados pessoais, mas também os outros direitos fundamentais reconhecidos pela Carta, incluindo o respeito pela vida privada e familiar, a liberdade de expressão e de informação, a não discriminação, a liberdade de pensamento, de consciência e de religião, o direito à ação e a um tribunal imparcial. Estes direitos devem ser equilibrados entre si, em conformidade com o princípio da proporcionalidade. O RGPD confere aos cidadãos direitos oponíveis, como o direito de acesso, retificação, apagamento, oposição, portabilidade e maior transparência. Confere igualmente aos cidadãos o direito de apresentar uma reclamação junto de uma autoridade de proteção de dados, nomeadamente através de ações coletivas, e o direito a vias de recurso judicial. Os cidadãos estão cada vez mais conscientes dos seus direitos, como demonstram os resultados do Eurobarómetro de julho de 2019 e o inquérito realizado pela Agência dos Direitos Fundamentais. De acordo com o inquérito sobre os direitos fundamentais realizado pela Agência dos Direitos Fundamentais: ·69 % da população com idade superior a 16 anos na UE já ouviu falar do RGPD; ·71 % dos inquiridos na UE ouviram falar da sua autoridade nacional de proteção de dados; este valor varia entre os 90 % na República Checa e os 44 % na Bélgica; ·60 % dos inquiridos na UE têm conhecimento de uma lei que lhes permite aceder aos seus dados pessoais na posse da administração pública; no entanto, esta percentagem diminui para 51 % no que se refere às empresas privadas; ·mais de um em cada cinco inquiridos (23 %) na UE não quer partilhar dados pessoais (como o respetivo endereço, cidadania ou data de nascimento) com a administração pública, e 41 % dos inquiridos não querem partilhar esses dados com empresas privadas. Os cidadãos estão a recorrer cada vez mais ao seu direito de apresentar reclamações junto das autoridades de proteção de dados, quer individualmente quer através de ações coletivas. Apenas alguns Estados-Membros permitiram que organizações não governamentais lançassem ações sem um mandato, em consonância com a possibilidade prevista no RGPD. A proposta de Diretiva relativa a ações coletivas para proteger os interesses coletivos dos consumidores deverá, uma vez adotada, reforçar o quadro para as ações coletivas também no domínio da proteção de dados.

Reclamações O número total de reclamações entre maio de 2018 e o final de novembro de 2019, conforme comunicado pelo Comité, foi de cerca de 275 000. No entanto, este número deve ser considerado com muita cautela, uma vez que a definição de reclamação não é idêntica entre as autoridades. O número absoluto de reclamações recebidas pelas autoridades de proteção de dados é muito diferente entre os Estados-Membros. Os números mais elevados de reclamações foram registados na Alemanha (67 000), nos Países Baixos (37 000), em Espanha e na França (18 000 em cada um deles), na Itália (14 000), na Polónia e na Irlanda (12 000 em cada um deles). Dois terços das autoridades comunicaram um número de reclamações entre 8 000 e 600. Os números mais baixos de reclamações foram registados na Estónia e na Bélgica (cerca de 500 em cada um deles), em Malta e na Islândia (menos de 200 em cada um deles). O número de reclamações não está necessariamente correlacionado com a dimensão da população ou o PIB, tendo-se registado, por exemplo, quase o dobro de reclamações na Alemanha em comparação com os Países Baixos, e quatro vezes mais em comparação com Espanha e França. As reações do grupo multilateral revelam que as organizações adotaram uma série de medidas para facilitar o exercício dos direitos dos titulares dos dados, nomeadamente a implementação de processos que asseguram uma análise individual dos pedidos e uma resposta do responsável pelo tratamento, a utilização de vários canais (correio, endereço de correio eletrónico específico, sítio Web, etc.), políticas e procedimentos internos atualizados sobre o tratamento interno atempado dos pedidos e formação do pessoal. Algumas empresas criaram portais digitais acessíveis através do sítio Web da empresa (ou da intranet da empresa para os funcionários) para facilitar o exercício dos direitos dos titulares dos dados. No entanto, são necessários mais progressos no que se refere aos seguintes pontos: ·Nem todos os responsáveis pelo tratamento de dados cumprem a sua obrigação de facilitar o exercício dos direitos dos titulares dos dados. É necessário que os responsáveis pelo tratamento assegurem que os titulares dos dados tenham um ponto de contacto efetivo a quem possam explicar os seus problemas. Este pode ser o encarregado da proteção de dados, cujos contactos devem ser fornecidos de forma pró-ativa ao titular dos dados. As modalidades de contacto não podem limitar-se a endereços de correio eletrónico, tendo igualmente de permitir que o titular dos dados se dirija ao responsável pelo tratamento por outros meios. ·Os cidadãos continuam a enfrentar dificuldades ao solicitar o acesso aos seus dados, por exemplo, por parte de plataformas, mediadores de dados e empresas de publicidade através da tecnologia. ·O direito à portabilidade de dados não é exercido no seu pleno potencial. A Estratégia Europeia para os Dados (a seguir designada por «Estratégia para os Dados»), adotada pela Comissão em 19 de fevereiro de 2020, salientou a necessidade de facilitar todas as utilizações possíveis deste direito (por exemplo, através da imposição de interfaces técnicas e de formatos legíveis por máquina que permitam a portabilidade dos dados (quase) em tempo real). Os operadores observam que, por vezes, é difícil fornecer os dados num formato estruturado, de uso corrente e de leitura automática (devido à ausência de normas). Apenas organizações em setores específicos, como o da banca, das telecomunicações, dos contadores de água e de calor, afirmam ter implementado as interfaces necessárias. Foram desenvolvidas novas ferramentas tecnológicas para facilitar o exercício, pelos cidadãos, dos seus direitos ao abrigo do RGPD, não se limitando à portabilidade dos dados (por exemplo, espaços de dados pessoais e serviços de gestão de informações pessoais). ·Direitos das crianças: vários membros do grupo multilateral salientam a necessidade de fornecer informações às crianças e o facto de muitas organizações ignorarem que as crianças podem ser afetadas pelo tratamento dos seus dados. O Conselho sublinhou que poderia ser prestada especial atenção à proteção das crianças aquando da elaboração de códigos de conduta. As autoridades de proteção de dados têm igualmente centrado a sua atenção na proteção das crianças. ·Direito à informação: algumas empresas têm uma abordagem muito legalista, encarando os avisos sobre a proteção de dados como um exercício jurídico, sendo as informações bastante complexas, difíceis de compreender ou incompletas, embora o RGPD exija que as informações fornecidas sejam concisas e que se utilize uma linguagem clara e simples. Parece que algumas empresas não seguem as recomendações do Comité, por exemplo, no que diz respeito à enumeração dos nomes das entidades com quem partilham os dados. ·Vários Estados-Membros restringiram amplamente os direitos dos titulares dos dados através do direito nacional, e alguns mesmo para além das margens do artigo 23.º do RGPD. ·Por vezes, o exercício dos direitos dos cidadãos é dificultado pelas práticas de alguns dos principais operadores digitais que dificultam a escolha dos parâmetros que mais protegem a sua privacidade (em violação do requisito de proteção de dados desde a conceção e por defeito). As orientações do Comité sobre os direitos dos titulares dos dados são ansiosamente aguardadas pelas partes interessadas. 5Oportunidades e desafios para as organizações, em especial as pequenas e médias empresas Oportunidades para as organizações O RGPD promove a concorrência e a inovação. Juntamente com o Regulamento Livre Fluxo de Dados Não Pessoais, assegura o livre fluxo de dados na UE e cria condições de concorrência equitativas para as empresas estabelecidas fora da UE. Ao criar um quadro harmonizado para a proteção de dados pessoais, a RGPD assegura que todos os intervenientes no mercado interno estejam vinculados às mesmas regras e beneficiem das mesmas oportunidades, independentemente do seu local de estabelecimento e do local onde o tratamento tenha lugar. A neutralidade tecnológica do RGPD proporciona o quadro de proteção de dados para os novos desenvolvimentos tecnológicos. Os princípios da proteção de dados desde a conceção e por defeito incentivam soluções inovadoras, que incluem considerações em matéria de proteção de dados desde o início e podem reduzir os custos do cumprimento das regras de proteção de dados. Além disso, a privacidade torna-se um parâmetro concorrencial importante tido cada vez mais em consideração pelos cidadãos quando escolhem os seus serviços. Aqueles que estão mais informados e que são sensíveis a considerações relacionadas com a proteção de dados procuram produtos e serviços que assegurem uma proteção eficaz dos dados pessoais. A aplicação do direito à portabilidade dos dados tem o potencial de reduzir os obstáculos à entrada de empresas que prestam serviços inovadores e que favorecem a proteção de dados. Os efeitos de uma utilização potencialmente mais abrangente deste direito no mercado em diferentes setores devem ser acompanhados. O cumprimento das regras de proteção de dados e a sua aplicação transparente criarão confiança na utilização dos dados pessoais dos cidadãos e, por conseguinte, novas oportunidades para as empresas. Como toda a regulamentação, as regras de proteção de dados têm custos de conformidade inerentes para as empresas. No entanto, estes custos são compensados pelas oportunidades e vantagens de uma confiança reforçada na inovação digital e pelos benefícios sociais resultantes do respeito de um direito fundamental. Ao assegurar condições de concorrência equitativas e dotar as autoridades de proteção de dados do que necessitam para aplicar as regras de forma eficaz, o RGPD impede as empresas que não cumpram as regras de se aproveitarem da confiança criada por aquelas que cumprem as regras. Desafios específicos para as pequenas e médias empresas (PME) Existe uma perceção geral por parte das partes interessadas, mas também do Parlamento Europeu, do Conselho e das autoridades de proteção de dados, de que a aplicação do RGPD constitui um desafio especial para as micro, pequenas e médias empresas e para as organizações de pequena dimensão voluntárias e de caridade.

De acordo com a abordagem baseada nos riscos, não seria adequado prever derrogações com base na dimensão dos operadores, uma vez que a sua dimensão não é, por si só, uma indicação dos riscos que o tratamento de dados pessoais por si realizado pode criar para os cidadãos. A abordagem baseada nos riscos alia a flexibilidade à proteção eficaz. Tem em conta as necessidades das PME cuja atividade principal não é o tratamento de dados e calibra as suas obrigações, em particular com base na probabilidade e gravidade dos riscos relacionados com o tratamento específico por estas realizado. O tratamento em pequena escala e de baixo risco não deve ser tratado da mesma forma que o tratamento de alto risco e frequente – independentemente da dimensão da empresa que o realiza. Por conseguinte, tal como o Comité concluiu, em todo o caso, a abordagem baseada nos riscos promovida pelo legislador no texto deve ser mantida, uma vez que os riscos para os titulares dos dados não dependem da dimensão dos responsáveis pelo tratamento. As autoridades de proteção de dados devem ter plenamente em consideração este princípio aquando da aplicação do RGPD, de preferência no âmbito de uma abordagem europeia comum, a fim de não criar obstáculos ao mercado único. As autoridades de proteção de dados desenvolveram vários instrumentos e salientaram a sua intenção de os aperfeiçoar. Algumas autoridades lançaram campanhas de sensibilização e irão mesmo dar «aulas de RGPD», gratuitamente, destinadas às PME. Exemplos de orientações e instrumentos fornecidos pelas autoridades de proteção de dados especificamente às PME ·publicação de informações dirigidas às PME; ·seminários para os encarregados da proteção de dados e eventos para PME que não necessitem de nomear um encarregado da proteção de dados; ·guias interativos para ajudar as PME; ·linhas diretas para a realização de consultas; ·modelos para o tratamento de contratos e registos sobre atividades de tratamento. O documento sobre o contributo do Comité apresenta uma descrição das atividades realizadas pelas autoridades de proteção de dados. Várias das ações que apoiam especificamente as PME receberam financiamento da UE. A Comissão prestou apoio financeiro através de três vagas de subvenções, num total de 5 milhões de EUR, as duas mais recentes especificamente destinadas a apoiar as autoridades nacionais de proteção de dados nos seus esforços para chegar às pessoas e às PME. Consequentemente, em 2018, foram atribuídos 2 milhões de EUR a nove autoridades de proteção de dados para a realização de atividades em 2018-2019 (Bélgica, Bulgária, Dinamarca, Hungria, Lituânia, Letónia, Países Baixos, Eslovénia e Islândia) e, em 2019, foi atribuído 1 milhão de EUR a quatro autoridades de proteção de dados para a realização de atividades em 2020 (Bélgica, Malta, Eslovénia e Croácia, em parceria com a Irlanda) . Será atribuído 1 milhão de EUR adicional em 2020. Apesar destas iniciativas, as PME e as empresas em fase de arranque referem frequentemente ter dificuldades na aplicação do princípio de responsabilização estabelecido no RGPD. Afirmam, nomeadamente, que nem sempre recebem orientações e conselhos práticos suficientes das autoridades nacionais de proteção de dados, ou que o tempo necessário para obter orientações e aconselhamento é demasiado longo. Houve igualmente casos em que as autoridades se mostraram relutantes em abordar questões jurídicas. Quando confrontadas com tais situações, as PME recorrem frequentemente a advogados e consultores externos para lidar com a aplicação do princípio de responsabilização e da abordagem baseada nos riscos (incluindo requisitos de transparência, registos de tratamento e notificações de violações de dados). Tal pode igualmente criar custos adicionais para essas empresas. Uma questão específica diz respeito ao registo das atividades de tratamento, uma tarefa que é considerada pelas PME e pelas associações de pequena dimensão como um encargo administrativo complexo. A isenção dessa obrigação prevista no artigo 30.º, n.º 5, do RGPD é, de facto, muito restrita. No entanto, os esforços conexos envidados para efeitos do cumprimento dessa obrigação não devem ser sobrestimados. Quando a atividade principal das PME não envolve o tratamento de dados pessoais, tais registos podem ser simples e não onerosos. O mesmo se aplica às associações voluntárias e a outras associações. Tais registos simplificados seriam facilitados por modelos de registos, como já é prática de algumas autoridades de proteção de dados. Em todo o caso, todos os que realizem atividades de tratamento de dados pessoais devem ter uma visão geral do respetivo tratamento de dados como requisito básico do princípio de responsabilização. O desenvolvimento de instrumentos práticos a nível da UE pelo Comité, como formulários harmonizados para as violações de dados e registos simplificados das atividades de tratamento, pode ajudar as PME e as associações de pequena dimensão cujas atividades principais não se centram no tratamento de dados pessoais a cumprir as suas obrigações. Várias associações industriais têm envidado esforços para sensibilizar e informar os seus membros, por exemplo através de conferências e seminários, fornecendo às empresas informações sobre as orientações disponíveis, ou desenvolvendo um serviço de assistência no que se refere à privacidade para os seus membros. Tais associações referem igualmente a realização de um número crescente de seminários, reuniões e eventos organizados por grupos de reflexão e associações de PME sobre assuntos relacionados com o RGPD. A fim de reforçar a livre circulação de todos os dados na UE e estabelecer uma aplicação coerente do RGPD e do Regulamento Livre Fluxo de Dados Não Pessoais, a Comissão emitiu igualmente orientações práticas sobre as regras que regem o tratamento de conjuntos mistos de dados, constituídos por dados pessoais e não pessoais, visando especialmente as PME. Caixa de ferramentas para empresas O RGPD prevê instrumentos que ajudam a demonstrar o cumprimento, como códigos de conduta, procedimentos de certificação e cláusulas contratuais-tipo. ·Códigos de conduta

O Comité emitiu orientações para apoiar e ajudar os «titulares de códigos» na elaboração, alteração ou alargamento de códigos, bem como para fornecer orientações práticas e assistência na interpretação. Estas orientações esclarecem igualmente os procedimentos para a apresentação, aprovação e publicação de códigos, tanto a nível nacional como da UE, estabelecendo os critérios mínimos exigidos. As partes interessadas consideram os códigos de conduta instrumentos muito úteis. Embora muitos códigos sejam implementados a nível nacional, estão atualmente a ser elaborados vários códigos de conduta a nível da UE (por exemplo, sobre aplicações de saúde móvel, investigação no domínio da genómica, computação em nuvem, comercialização direta, seguros, tratamento por prevenção e serviços de aconselhamento para crianças). Os operadores acreditam que os códigos de conduta a nível da UE devem ser promovidos de forma mais proeminente, uma vez que promovem a aplicação coerente do RGPD em todos os Estados-Membros. No entanto, os códigos de conduta exigem igualmente tempo e investimento dos operadores, tanto para o seu desenvolvimento como para a criação dos organismos independentes de supervisão necessários. Os representantes das PME sublinham a importância e a utilidade de códigos de conduta adaptados à sua situação e que não impliquem custos desproporcionados. Consequentemente, as associações empresariais de vários setores implementaram outros tipos de instrumentos de autorregulação, como códigos de boas práticas ou orientações. Embora tais instrumentos possam fornecer informações úteis, não têm a aprovação das autoridades de proteção de dados e não podem servir como instrumentos para ajudar a demonstrar o cumprimento do RGPD. O Conselho salienta que os códigos de conduta têm de prestar especial atenção ao tratamento dos dados das crianças e dos dados relativos à saúde. A Comissão apoia o(s) código(s) de conduta que harmonize(m) a abordagem em matéria de saúde e investigação e facilite(m) o tratamento transfronteiriço de dados pessoais. O Comité está em vias de aprovar projetos de requisitos de acreditação de organismos de supervisão dos códigos de conduta apresentados por diversas autoridades de proteção de dados. Quando os códigos de conduta transnacionais ou da UE estiverem prontos para ser apresentados às autoridades de proteção de dados para aprovação, serão submetidos à consulta do Comité. A rápida elaboração de códigos de conduta transnacionais é especialmente importante em domínios que envolvem o tratamento de quantidades significativas de dados (por exemplo, computação em nuvem) ou de dados sensíveis (por exemplo, saúde/investigação). ·Certificação A certificação pode ser um instrumento útil para demonstrar o cumprimento dos requisitos específicos do RGPD. Pode aumentar a segurança jurídica para as empresas e promover o RGPD a nível mundial. Tal como salientado no estudo sobre certificação publicado em abril de 2019, o objetivo deve ser o de facilitar a adoção de regimes pertinentes. O desenvolvimento de regimes de certificação na UE será apoiado pelas orientações emitidas pelo Comité relativas a critérios de certificação e à acreditação dos organismos de certificação. A segurança e a proteção de dados desde a conceção são elementos fundamentais a ter em consideração nos regimes de certificação ao abrigo do RGPD que beneficiariam de uma abordagem comum e ambiciosa em toda a UE. A Comissão continuará a apoiar os atuais contactos entre a Agência da União Europeia para a Cibersegurança (ENISA), as autoridades de proteção de dados e o Comité. No que diz respeito à cibersegurança, na sequência da adoção do Regulamento Cibersegurança, a Comissão solicitou à ENISA que preparasse dois regimes de certificação, incluindo um regime para serviços de computação em nuvem. Estão a ser ponderados outros regimes que abordam a cibersegurança de serviços e produtos para os consumidores. Embora estes regimes de certificação estabelecidos ao abrigo do Regulamento Cibersegurança não abordem explicitamente a proteção de dados e a privacidade, contribuem para aumentar a confiança dos consumidores em serviços e produtos digitais. Tais regimes podem fornecer elementos de prova da adesão aos princípios de segurança desde a conceção, bem como da aplicação de medidas técnicas e organizacionais adequadas relacionadas com a segurança do tratamento de dados pessoais. ·Cláusulas contratuais-tipo A Comissão está a elaborar cláusulas contratuais-tipo entre responsáveis pelo tratamento e subcontratantes, também à luz da modernização das cláusulas contratuais-tipo para as transferências internacionais (ver ponto 7.2). Um ato da União, adotado pela Comissão, terá efeitos vinculativos a nível da UE, o que assegurará uma harmonização plena e segurança jurídica. 6Aplicação do RGPD às novas tecnologias Um quadro tecnologicamente neutro e aberto a novas tecnologias O RGPD é neutro do ponto de vista tecnológico, gerador de confiança e baseia-se em princípios. Estes princípios, nomeadamente o tratamento lícito e transparente, a limitação das finalidades e a minimização dos dados, proporcionam uma base sólida para a proteção de dados pessoais, independentemente das operações de tratamento e das técnicas aplicadas. Os membros do grupo multilateral afirmam que, em geral, o RGPD tem um impacto positivo no desenvolvimento de novas tecnologias e proporciona uma boa base para a inovação. O RGPD é considerado um instrumento essencial e flexível para assegurar o desenvolvimento de novas tecnologias em conformidade com os direitos fundamentais. A aplicação dos seus princípios fundamentais é particularmente crucial para o tratamento intensivo de dados. A abordagem baseada nos riscos e tecnologicamente neutra do RGPD proporciona um nível de proteção de dados adequado para fazer face aos riscos do tratamento, nomeadamente por tecnologias emergentes. Em particular, as partes interessadas mencionam que os princípios do RGPD de limitação das finalidades e de tratamento posterior compatível, minimização dos dados, limitação da conservação, transparência e responsabilização, bem como as condições em que os processos automatizados de tomada de decisões podem ser legalmente implantados, respondem, em grande medida, às preocupações relacionadas com o recurso à inteligência artificial. A abordagem orientada para o futuro e baseada nos riscos do RGPD será igualmente aplicada no eventual quadro futuro para a inteligência artificial e aquando da aplicação da Estratégia para os Dados. A Estratégia para os Dados visa promover a disponibilidade de dados e a criação de espaços comuns europeus de dados apoiados por serviços de infraestruturas federadas de computação em nuvem. No que diz respeito aos dados pessoais, o RGPD proporciona o principal quadro jurídico, no âmbito do qual podem ser concebidas soluções eficazes numa base casuística, dependendo da natureza e do conteúdo de cada espaço de dados. O RGPD aumentou a sensibilização para a proteção de dados pessoais dentro e fora da UE e levou as empresas a adaptarem as suas práticas para ter em conta os princípios de proteção de dados ao inovar. No entanto, as organizações da sociedade civil observam que, embora o impacto do RGPD no desenvolvimento de novas tecnologias pareça positivo, as práticas dos principais operadores digitais ainda não sofreram alterações profundas no sentido de um tratamento mais respeitador da privacidade. Uma aplicação rigorosa e eficaz do RGPD em relação às grandes plataformas digitais e às empresas integradas, nomeadamente em domínios como a publicidade em linha e o microdirecionamento, é um elemento essencial para a proteção dos cidadãos. A Comissão está a analisar as questões mais vastas relacionadas com os comportamentos de mercado dos grandes operadores digitais no contexto do pacote legislativo relativo aos serviços digitais. No que se refere à investigação no domínio das redes sociais, a Comissão recorda que o RGPD não pode ser utilizado como desculpa pelas plataformas de redes sociais para limitar o acesso dos investigadores e dos verificadores de factos a dados não pessoais, como estatísticas sobre que anúncios direcionados foram enviados para que categorias de pessoas, os critérios de conceção deste direcionamento, informações sobre contas falsas, etc.

A abordagem tecnologicamente neutra e orientada para o futuro do RGPD foi posta à prova durante a pandemia de COVID-19 e revelou-se bem sucedida. As suas regras baseadas em princípios apoiaram o desenvolvimento de instrumentos para combater e acompanhar a propagação do vírus. Desafios a enfrentar O desenvolvimento e a aplicação de novas tecnologias não põem em causa estes princípios. Os desafios consistem em esclarecer a forma de aplicar os princípios comprovados à utilização de tecnologias específicas, como a inteligência artificial, a cadeia de blocos, a Internet das Coisas, o reconhecimento facial ou a computação quântica. Neste contexto, o Parlamento Europeu e o Conselho salientaram a necessidade de um acompanhamento contínuo para esclarecer a forma como o RGPD se aplica às novas tecnologias e às grandes empresas de tecnologia. Além disso, as partes interessadas alertam para o facto de a avaliação da adequação do RGPD à sua finalidade exigir igualmente um acompanhamento constante. As partes interessadas da indústria salientam que a inovação exige que o RGPD seja aplicado com base em princípios, em consonância com a sua conceção, e não de forma rígida e formal. As referidas partes interessadas são da opinião de que as orientações do Comité sobre a forma de aplicar os princípios, conceitos e regras do RGPD às novas tecnologias, como a inteligência artificial, a cadeia de blocos ou a Internet das coisas, tendo em conta a abordagem baseada nos riscos, contribuiriam para fornecer esclarecimentos e maior segurança jurídica. Esses instrumentos não vinculativos adequam-se perfeitamente ao acompanhamento da aplicação do RGPD às novas tecnologias, uma vez que proporcionam maior segurança jurídica e podem ser revistos em consonância com a evolução tecnológica. Algumas partes interessadas sugerem igualmente que poderia ser útil dispor de orientações setoriais sobre a forma de aplicar o RGPD às novas tecnologias. O Comité declarou que irá continuar a ter em consideração o impacto das tecnologias emergentes na proteção de dados pessoais. As partes interessadas sublinham igualmente a importância, para os reguladores, de compreender integralmente a forma como a tecnologia está a ser utilizada e de encetar um diálogo com a indústria sobre o desenvolvimento de tecnologias emergentes. Consideram que uma abordagem de «ambiente de teste de regulamentação» – como forma de obter orientações sobre a aplicação das regras – poderia ser uma opção interessante para testar novas tecnologias e ajudar as empresas a aplicar o princípio da proteção de dados desde a conceção e por defeito às novas tecnologias. Em termos de medidas estratégicas adicionais, as partes interessadas recomendam que quaisquer propostas políticas futuras em matéria de inteligência artificial se baseiem nos quadros jurídicos existentes e estejam alinhadas com o RGPD. Eventuais questões específicas devem ser cuidadosamente avaliadas, com base em elementos de prova pertinentes, antes de serem propostas novas regras prescritivas. O Livro Branco da Comissão sobre a inteligência artificial apresenta uma série de opções estratégicas sobre as quais se procurou obter os pontos de vista das partes interessadas até 14 de junho de 2020. No que respeita ao reconhecimento facial, uma tecnologia que pode ter um impacto significativo nos direitos dos cidadãos, o Livro Branco recordou o atual quadro legislativo e lançou um debate público sobre as circunstâncias específicas, se as houver, que poderão justificar a utilização de inteligência artificial para efeitos de reconhecimento facial e para outros fins de identificação biométrica à distância em locais públicos, e sobre garantias comuns. 7Transferências internacionais e cooperação global 7.1Privacidade: uma questão global A exigência a nível de proteção dos dados pessoais não conhece fronteiras, uma vez que os cidadãos de todo o mundo prezam e valorizam cada vez mais a privacidade e a segurança dos seus dados. Simultaneamente, a importância dos fluxos de dados para os cidadãos, os governos, as empresas e, de um modo mais geral, a sociedade em geral é um facto incontornável no nosso mundo interligado. Tais fluxos constituem uma parte integrante do comércio, da cooperação entre as autoridades públicas e das interações sociais. Nesse sentido, a atual pandemia de COVID-19 salienta igualmente a forma como a transferência e o intercâmbio de dados pessoais são críticos para muitas atividades essenciais, nomeadamente para assegurar a continuidade das operações empresariais e governamentais – ao possibilitar o teletrabalho e outras soluções que dependem fortemente das tecnologias da informação e comunicação –, desenvolver a cooperação no domínio da investigação científica em matéria de diagnósticos, tratamentos e vacinas e combater novas formas de cibercriminalidade, como esquemas fraudulentos em linha que oferecem medicamentos contrafeitos que alegam prevenir ou curar a COVID-19. Neste contexto, e mais do que nunca, a proteção da privacidade e a facilitação dos fluxos de dados têm de andar lado a lado. A UE, com o seu regime de proteção de dados que combina a abertura às transferências internacionais com um elevado nível de proteção dos cidadãos, está muito bem posicionada para promover fluxos de dados seguros e fiáveis. O RGPD já surgiu como um ponto de referência a nível internacional e funcionou como catalisador para que muitos países em todo o mundo ponderassem a introdução de regras modernas em matéria de proteção da privacidade. Esta é uma tendência verdadeiramente global, para mencionar apenas alguns exemplos, do Chile à Coreia do Sul, do Brasil ao Japão, do Quénia à Índia, da Tunísia à Indonésia, e da Califórnia a Taiwan. Estes desenvolvimentos são notáveis não só de um ponto de vista quantitativo, mas também qualitativo: muita da legislação em matéria de privacidade recentemente adotada, ou em vias de adoção, baseia-se num conjunto essencial de garantias, direitos e mecanismos de aplicação comuns que são partilhados pela UE. Num mundo caracterizado, demasiadas vezes, por abordagens regulamentares diferentes, se não mesmo divergentes, esta tendência para a convergência global é uma evolução muito positiva que proporciona novas oportunidades para aumentar a proteção dos cidadãos na Europa, facilitando simultaneamente os fluxos de dados e reduzindo os custos de transação para os operadores comerciais. Para aproveitar estas oportunidades e aplicar a estratégia estabelecida na sua Comunicação de 2017 — Intercâmbio e proteção de dados pessoais num mundo globalizado, a Comissão intensificou significativamente os seus trabalhos sobre a dimensão internacional da privacidade, utilizando plenamente o «conjunto de instrumentos» de transferência disponível, conforme explicado abaixo. Este esforço incluiu um diálogo ativo com os principais parceiros, com vista a alcançar uma «decisão de adequação», e produziu resultados importantes, como a criação da maior área mundial de fluxos de dados livres e seguros entre a UE e o Japão. Para além do seu trabalho de adequação, a Comissão trabalhou em estreita colaboração com as autoridades de proteção de dados no seio do Comité, bem como com outras partes interessadas, para explorar todo o potencial das regras flexíveis do RGPD aplicáveis às transferências internacionais. Esses trabalhos disseram respeito à modernização de instrumentos como as cláusulas contratuais-tipo e o desenvolvimento de regimes de certificação, códigos de conduta ou acordos administrativos para o intercâmbio de dados entre autoridades públicas, bem como à clarificação de conceitos fundamentais relacionados, por exemplo, com o âmbito de aplicação territorial das regras de proteção de dados da UE ou com a utilização das denominadas «derrogações» da transferência de dados pessoais. Por último, a Comissão intensificou o seu diálogo em vários fóruns bilaterais, regionais e multilaterais para promover uma cultura global de respeito pela privacidade e desenvolver elementos de convergência entre os diferentes sistemas de privacidade. Nos seus esforços, a Comissão contou com o apoio ativo do Serviço Europeu para a Ação Externa e da rede de delegações da UE em países terceiros e missões junto de organizações internacionais. Tal assegurou igualmente a coerência e uma maior complementaridade entre os diferentes aspetos da dimensão externa das políticas da UE – do comércio à nova parceria UE-África. 7.2Conjunto de instrumentos de transferência previsto no RGPD

À medida que cada vez mais operadores públicos e privados dependem de fluxos de dados internacionais como parte das suas operações de rotina, há uma necessidade crescente de instrumentos flexíveis que possam ser adaptados a diferentes setores, modelos de negócio e situações de transferência. Refletindo estas necessidades, o RGPD proporciona um conjunto de instrumentos atualizados que facilita a transferência de dados pessoais da UE para países terceiros ou organizações internacionais, assegurando simultaneamente que os dados continuam a beneficiar de um elevado nível de proteção. Esta continuidade da proteção é importante, uma vez que, no mundo atual, os dados atravessam facilmente fronteiras e as proteções garantidas pelo RGPD estariam incompletas se se limitassem ao tratamento dentro da UE. Com o capítulo V do RGPD, o legislador confirmou a arquitetura das regras de transferência que já existiam ao abrigo da Diretiva 95/46/CE: Podem ser realizadas transferências de dados quando a Comissão tiver adotado uma decisão de adequação em relação a um país terceiro ou organização internacional ou, na sua ausência, quando o responsável pelo tratamento ou o subcontratante na UE («exportador de dados») tiver fornecido garantias adequadas, por exemplo, através de um contrato com o destinatário («importador de dados»). Além disso, continuam disponíveis fundamentos legais para as transferências (as denominadas derrogações) em situações específicas para as quais o legislador tenha decidido que o equilíbrio de interesses permite uma transferência de dados sob determinadas condições. Simultaneamente, a reforma clarificou e simplificou as regras existentes, por exemplo, estipulando pormenorizadamente as condições para uma decisão de adequação ou regras empresariais vinculativas, limitando os requisitos de autorização a muito poucos casos específicos e abolindo completamente os requisitos de notificação. Além disso, foram introduzidos novos instrumentos de transferência, como códigos de conduta ou regimes de certificação, tendo as possibilidades de utilização dos instrumentos existentes (por exemplo, cláusulas contratuais-tipo) sido alargadas. A economia digital atual permite aos operadores estrangeiros participar (remota mas) diretamente no mercado interno da UE e competir pelos clientes europeus e pelos seus dados pessoais. Quando visam especificamente os europeus através da oferta de bens ou serviços, ou da monitorização do seu comportamento, devem cumprir a legislação da UE da mesma forma que os operadores da UE. Tal reflete-se no artigo 3.º do RGPD, que alarga a aplicabilidade direta das regras de proteção de dados da UE a determinadas operações de tratamento de dados efetuadas por responsáveis pelo tratamento e por subcontratantes fora da UE. Tal assegura as garantias necessárias e, além disso, condições de concorrência equitativas para todas as empresas que operam no mercado da UE. O seu amplo alcance é uma das razões pelas quais os efeitos do RGPD também se fizeram sentir noutras partes do mundo. Por conseguinte, as orientações pormenorizadas emitidas pelo Comité sobre o âmbito territorial do RGPD, na sequência de uma consulta pública abrangente, são importantes para ajudar os operadores estrangeiros a determinar se as atividades de tratamento estão diretamente sujeitas às suas garantias e, em caso afirmativo, quais delas, nomeadamente através da apresentação de exemplos concretos. No entanto, o alargamento do âmbito de aplicação da legislação da UE em matéria de proteção de dados não é, por si só, suficiente para garantir o seu respeito na prática. Tal como sublinhado igualmente pelo Conselho, é crucial garantir o cumprimento e a aplicação efetiva face a operadores estrangeiros. A nomeação de um representante na UE (artigo 27.º, n.os 1 e 2, do RGPD), que pode ser contactado por cidadãos e autoridades de controlo em complemento ou em substituição da empresa responsável que exerce a sua atividade a partir do estrangeiro, deve desempenhar um papel fundamental neste contexto. Esta abordagem, que também é cada vez mais adotada noutros contextos, deve ser prosseguida com maior determinação para enviar uma mensagem clara de que a falta de um estabelecimento na UE não exime os operadores estrangeiros das suas responsabilidades ao abrigo do RGPD. Se estes operadores não cumprirem a sua obrigação de nomear um representante, as autoridades de controlo devem recorrer ao conjunto de instrumentos para efeitos da plena aplicação do artigo 58.º do RGPD (por exemplo, advertências públicas, proibições temporárias ou definitivas ao tratamento na UE, aplicação face a responsáveis conjuntos pelo tratamento estabelecidos na UE). Por último, é muito importante que o Comité conclua o seu trabalho no sentido de esclarecer melhor a relação entre o artigo 3.º sobre a aplicação direta do RGPD e as regras sobre transferências internacionais constantes do capítulo V. Decisões de adequação Os contributos recebidos das partes interessadas confirmam que as decisões de adequação continuam a ser um instrumento essencial para que os operadores da UE transfiram em segurança dados pessoais para países terceiros. Tais decisões proporcionam a solução mais abrangente, simples e eficaz em termos de custos para as transferências de dados, uma vez que são equiparadas a transmissões no seio da UE, assegurando assim um fluxo seguro e livre de dados pessoais sem condições adicionais ou necessidade de autorização. Por conseguinte, as decisões de adequação abrem os canais comerciais aos operadores da UE e facilitam a cooperação entre as autoridades públicas, concedendo simultaneamente um acesso privilegiado ao mercado único da UE. O RGPD, apoiando-se na experiência adquirida com a Diretiva de 1995, prevê explicitamente a avaliação da adequação da proteção num território específico de um país terceiro ou num setor ou indústria específicos de um país terceiro (a denominada adequação «parcial»). O RGPD apoia-se na experiência dos últimos anos e nos esclarecimentos prestados pelo Tribunal de Justiça, estabelecendo um catálogo pormenorizado de elementos que a Comissão deve ter em conta na sua avaliação. O padrão de adequação exige um nível de proteção comparável (ou «substancialmente equivalente») ao assegurado dentro da UE. Tal implica uma avaliação exaustiva do sistema do país terceiro no seu conjunto, incluindo a substância da proteção da privacidade, a sua aplicação e cumprimento efetivos, bem como as normas de acesso aos dados pessoais por parte das autoridades públicas, em especial para efeitos de aplicação coerciva da lei e de segurança nacional. Tal também se reflete nas orientações adotadas pelo antigo Grupo do Artigo 29.º (e aprovadas pelo Comité), em particular no denominado «documento de referência relativo à adequação», que esclarece melhor os elementos que a Comissão deve ter em conta ao proceder a uma avaliação da adequação, nomeadamente fornecendo uma visão geral das «garantias essenciais» no que se refere ao acesso aos dados pessoais por parte das autoridades públicas. Esta última baseia-se, em especial, na jurisprudência do Tribunal Europeu dos Direitos Humanos. Embora o padrão de «equivalência substancial» não envolva uma reprodução ponto a ponto («fotocópia») das normas da UE, dado que os meios para assegurar um nível de proteção comparável podem variar entre diferentes sistemas de proteção da privacidade, refletindo frequentemente diferentes tradições jurídicas, o mesmo exige, todavia, um elevado nível de proteção. Este padrão é justificado pelo facto de uma decisão de adequação alargar essencialmente a um país terceiro os benefícios do mercado único em termos de livre circulação de dados. No entanto, significa igualmente que, por vezes, haverá diferenças pertinentes entre o nível de proteção garantido no país terceiro em causa em comparação com o RGPD que é necessário reduzir, por exemplo, através da negociação de garantias adicionais. Tais garantias devem ser encaradas de forma positiva, uma vez que reforçam ainda mais as proteções disponíveis para os cidadãos na UE. Simultaneamente, a Comissão concorda com o Comité quanto à importância de acompanhar continuamente a sua aplicação na prática, incluindo a aplicação efetiva pela autoridade de proteção de dados do país terceiro. O RGPD esclarece que as decisões de adequação são «instrumentos vivos» que devem ser acompanhados de forma contínua e revistos periodicamente. Em consonância com estes requisitos, a Comissão mantém intercâmbios regulares com as autoridades competentes para acompanhar de forma proativa os novos desenvolvimentos. Por exemplo, desde a adoção da decisão relativa ao Escudo de Proteção da Privacidade UE-EUA, em 2016, a Comissão, juntamente com representantes do Comité, realizou três revisões anuais para avaliar todos os aspetos do funcionamento do quadro. Estas revisões basearam-se em informações obtidas através de intercâmbios com as autoridades dos EUA, bem como em contributos de outras partes interessadas, como autoridades de proteção de dados da UE, a sociedade civil e associações comerciais. Permitiram melhorar o funcionamento prático de vários elementos do quadro. Numa perspetiva mais ampla, as revisões anuais contribuíram para estabelecer um diálogo mais alargado com a administração dos EUA sobre a privacidade em geral e as limitações e garantias no que diz respeito à segurança nacional em particular. No âmbito da sua primeira avaliação do RGPD, a Comissão deve também rever as decisões de adequação adotadas ao abrigo da Diretiva de 1995. Os serviços da Comissão encetaram um intenso diálogo com cada um dos 11 países e territórios em causa, a fim de avaliar a forma como os seus sistemas de proteção de dados pessoais evoluíram desde a adoção da decisão de adequação e se cumprem a norma estabelecida pelo RGPD. A necessidade de assegurar a continuidade de tais decisões, uma vez que são um instrumento fundamental para o comércio e a cooperação internacional, é um dos fatores que levaram vários desses países e territórios a modernizar e a reforçar a sua legislação em matéria de privacidade. Estes desenvolvimentos são certamente bem-vindos. Estão a ser debatidas garantias adicionais com alguns destes países e territórios para colmatar as diferenças pertinentes em matéria de proteção. No entanto, dado que o Tribunal de Justiça, num acórdão a proferir em 16 de julho, pode prestar esclarecimentos que possam ser relevantes para determinados elementos do padrão de adequação, a Comissão apresentará um relatório separado sobre a avaliação das 11 decisões de adequação referidas depois de o Tribunal de Justiça ter proferido o seu acórdão nesse processo. A Comissão, na aplicação da estratégia estabelecida na sua Comunicação de 2017 — Intercâmbio e proteção de dados pessoais num mundo globalizado, encetou igualmente novos diálogos sobre adequação. Este trabalho já produziu resultados significativos, com a participação de parceiros fundamentais da UE. Em janeiro de 2019, a Comissão adotou a sua decisão de adequação em relação ao Japão, que se baseia num elevado grau de convergência, nomeadamente através de garantias específicas, como no domínio das transferências posteriores, e através da criação de um mecanismo para investigar e resolver as reclamações dos cidadãos relativas ao acesso dos governos aos dados pessoais para fins de aplicação da lei e de segurança nacional. Como primeira decisão de adequação adotada no âmbito do RGPD, o quadro acordado com o Japão constitui um precedente útil para decisões futuras. Tal inclui o facto de ter sido retribuído, pelo lado japonês, com uma decisão de «adequação» em relação à UE. Em conjunto, estas decisões de adequação mútua criam a maior área mundial de fluxos de dados livres e seguros, complementando assim o Acordo de Parceria Económica UE-Japão. De facto, o acordo apoia cerca de 124 mil milhões de EUR de comércio de mercadorias e 42,5 mil milhões de EUR de comércio de serviços por ano. O processo de adequação com a Coreia do Sul também está numa fase avançada. Um resultado importante é a recente reforma legislativa da Coreia do Sul, que conduziu à criação de uma autoridade independente de proteção de dados dotada de poderes de execução reforçados. Tal ilustra a forma como um diálogo sobre adequação pode contribuir para uma maior convergência entre as regras de proteção de dados da UE e as de um país estrangeiro. A Comissão concorda plenamente com o apelo das partes interessadas no sentido de intensificar o diálogo com países terceiros selecionados, tendo em vista eventuais novas decisões de adequação. Está a explorar ativamente esta possibilidade com outros parceiros importantes da Ásia, da América Latina e da Vizinhança Europeia, com base na atual tendência para a convergência global ascendente das normas de proteção de dados. Por exemplo, legislação abrangente em matéria de privacidade foi adotada ou encontra-se numa fase avançada do processo legislativo na América Latina (Brasil, Chile), e estão a ocorrer desenvolvimentos promissores na Ásia (por exemplo, na Índia, na Indonésia, na Malásia, no Sri Lanka, e em Taiwan e na Tailândia), em África (por exemplo, na Etiópia e no Quénia), bem como nos países vizinhos do Leste e do Sul da Europa (por exemplo, na Geórgia e na Tunísia). Sempre que possível, a Comissão trabalhará no sentido de alcançar decisões de adequação abrangentes que abranjam tanto o setor privado como o público. Além disso, o RGPD introduziu também a possibilidade de a Comissão adotar conclusões de adequação em relação a organizações internacionais. Numa altura em que algumas organizações internacionais estão a modernizar os seus regimes de proteção de dados através da adoção de regras abrangentes, bem como de mecanismos que proporcionam um recurso e controlo independentes, esta via poderia ser explorada pela primeira vez. A adequação desempenha igualmente um papel importante no contexto da relação com o Reino Unido na sequência do Brexit, desde que sejam cumpridas as condições aplicáveis. Trata-se de um fator dinamizador para o comércio, incluindo o comércio digital, e uma condição essencial para a promoção de uma cooperação estreita e ambiciosa no domínio da aplicação da lei e da segurança. Além disso, dada a importância dos fluxos de dados com o Reino Unido e a sua proximidade com o mercado da UE, um elevado grau de convergência entre as regras de proteção de dados de ambos os lados do Canal é um elemento importante para garantir condições de concorrência equitativas. Em consonância com a Declaração política que estabelece o quadro das futuras relações entre a UE e o Reino Unido, a Comissão está atualmente a proceder a uma avaliação da adequação, tanto ao abrigo do RGPD como da Diretiva sobre a proteção de dados na aplicação da lei. Tendo em consideração a natureza autónoma e unilateral de uma avaliação da adequação, estas conversações seguem uma via separada das negociações de um acordo sobre a futura relação entre a UE e o Reino Unido.

Por último, a Comissão congratula-se com o facto de outros países estarem a criar mecanismos de transferência de dados semelhantes a uma decisão de adequação. Ao fazê-lo, reconhecem frequentemente a UE e os países em relação aos quais a Comissão adotou uma decisão de adequação como destinos seguros para transferências. O número crescente de países que beneficiam das decisões de adequação da UE, por um lado, e esta forma de reconhecimento por outros países, por outro, têm o potencial de criar uma rede de países onde os dados podem circular livremente e em segurança. A Comissão considera que se trata de um desenvolvimento bem-vindo que aumentará ainda mais os benefícios de uma decisão de adequação para países terceiros e contribuirá para a convergência global. Este tipo de sinergias pode igualmente contribuir de forma útil para o desenvolvimento de quadros para o fluxo de dados seguro e livre, nomeadamente no contexto da iniciativa «Fluxo de dados livre baseado na confiança» (ver abaixo). Garantias adequadas O RGPD prevê uma série de outros instrumentos de transferência para além da solução abrangente de uma decisão de adequação. A flexibilidade deste «conjunto de instrumentos» é demonstrada pelo artigo 46.º do RGPD, que regula as transferências de dados com base em «garantias adequadas», incluindo direitos oponíveis dos titulares dos dados e medidas jurídicas corretivas eficazes. Para garantir garantias adequadas, estão disponíveis diferentes instrumentos para satisfazer as necessidades de transferência tanto de operadores comerciais como de organismos públicos. ·Cláusulas contratuais-tipo (CCT) O primeiro grupo destes instrumentos diz respeito aos instrumentos contratuais, que podem ser cláusulas de proteção de dados ad hoc personalizadas, acordadas entre um exportador de dados da UE e um importador de dados fora da UE autorizado pela autoridade competente em matéria de proteção de dados (artigo 46.º, n.º 3, alínea a), do RGPD) ou cláusulas-modelo pré-aprovadas pela Comissão (artigo 46.º, n.º 2, alíneas c) e d), do RGPD). Os mais importantes destes instrumentos são as denominadas cláusulas contratuais-tipo (CCT), isto é, cláusulas-modelo de proteção de dados que o exportador de dados e o importador de dados podem incorporar voluntariamente nos seus acordos contratuais (por exemplo, um contrato de serviços que exija a transferência de dados pessoais) e que estabelecem os requisitos relacionados com as garantias adequadas. As CCT representam, de longe, o mecanismo de transferência de dados mais amplamente utilizado. Milhares de empresas da UE dependem das CCT para prestar uma vasta gama de serviços aos seus clientes, fornecedores, parceiros e empregados, incluindo serviços essenciais para o funcionamento da economia. A sua ampla utilização indica que são muito úteis para as empresas nos seus esforços de cumprimento, sendo especialmente vantajosas para as empresas que não dispõem de recursos para negociar contratos individuais com cada um dos seus parceiros comerciais. Através da sua normalização e pré-aprovação, as CCT proporcionam às empresas um instrumento fácil de implementar para cumprir os requisitos de proteção de dados num contexto de transferência. Os conjuntos de CCT existentes foram adotados e aprovado