O presente documento é disponibilizado pela Comissão Europeia unicamente para fins informativos. Não contém qualquer interpretação vinculativa do Regulamento (UE) 2018/1807 do Parlamento Europeu e do Conselho, de 14 de novembro de 2018, relativo a um regime para o livre fluxo de dados não pessoais na União Europeia e não constitui uma decisão ou posição da Comissão Europeia. Não afeta eventuais decisões ou posições da Comissão Europeia nem as competências do Tribunal de Justiça da União Europeia para interpretar o regulamento em conformidade com os Tratados da UE.



1 Introdução

Numa economia cada vez mais baseada em dados, os fluxos de dados estão no centro dos processos operacionais de empresas de todas as dimensões e em todos os setores. As novas tecnologias digitais geram oportunidades para o público em geral, para as empresas e para as administrações públicas na União Europeia (a seguir designada por «UE»).

Com vista a aumentar o intercâmbio transfronteiriço de dados e impulsionar a economia dos dados, o Parlamento Europeu e o Conselho adotaram, em novembro de 2018, o Regulamento (UE) 2018/1807, relativo a um regime para o livre fluxo de dados não pessoais na União Europeia (a seguir designado por «Regulamento Livre Fluxo de Dados Não Pessoais»), com base numa proposta da Comissão Europeia (a seguir designada por «Comissão»). O regulamento é aplicável a partir de 28 de maio de 2019. O princípio da livre circulação de dados pessoais já se encontra estabelecido no Regulamento (UE) 2016/679 relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (a seguir designado por «Regulamento Geral sobre a Proteção de Dados»). Consequentemente, existe agora um quadro abrangente para um espaço comum europeu de dados e a livre circulação de todos os dados na União Europeia.

O Regulamento Livre Fluxo de Dados Não Pessoais cria segurança jurídica para que as empresas possam escolher onde pretendem tratar os seus dados na UE, aumenta a confiança nos serviços de tratamento de dados e contraria as práticas de vinculação a um prestador de serviços. Tal aumentará as possibilidades de escolha dos clientes, melhorará a eficiência e incentivará a adoção de tecnologias de computação em nuvem, conduzindo a poupanças significativas para as empresas na UE. Um estudo mostra que as empresas da UE podem poupar entre 20 % e 50 % dos seus custos informáticos se optarem pela migração para a nuvem.

Graças aos dois regulamentos supramencionados, os dados podem circular livremente entre os Estados-Membros, permitindo aos utilizadores de serviços de tratamento de dados utilizar os dados recolhidos em diferentes mercados da UE para melhorar a sua produtividade e competitividade. Os utilizadores podem, assim, tirar pleno partido das economias de escala proporcionadas pelo grande mercado da UE, melhorando a sua competitividade a nível mundial e aumentando a interconectividade da economia europeia dos dados.

O Regulamento Livre Fluxo de Dados Não Pessoais apresenta três particularidades importantes:

·Proíbe, regra geral, os Estados-Membros de impor requisitos sobre a localização dos dados. As exceções a esta regra só podem ser justificadas por razões de segurança pública, em conformidade com o princípio da proporcionalidade.

·Estabelece um mecanismo de cooperação para garantir que as autoridades competentes continuam a poder exercer os seus eventuais direitos de acesso a dados que estão a ser tratados noutro Estado-Membro.

·Prevê incentivos para que a indústria, com o apoio da Comissão, elabore códigos de conduta de autorregulação sobre a mudança de prestador de serviços e a portabilidade de dados.

Objetivo do presente documento de orientação

O presente documento dá cumprimento ao disposto no artigo 8.º, n.º 3, do Regulamento Livre Fluxo de Dados Não Pessoais, que exige que a Comissão publique orientações sobre a interação entre este regulamento e o Regulamento Geral sobre a Proteção de Dados, «nomeadamente no que se refere aos conjuntos compostos por dados pessoais e não pessoais».

As presentes orientações visam ajudar os utilizadores — especialmente as pequenas e médias empresas — a compreender a interação entre o Regulamento Livre Fluxo de Dados Não Pessoais e o Regulamento Geral sobre a Proteção de Dados. Por conseguinte, o documento aborda, em especial: i) os conceitos de dados não pessoais e dados pessoais, ii) os princípios da livre circulação de dados e a proibição do estabelecimento de requisitos de localização de dados no âmbito dos dois regulamentos, iii) a noção de portabilidade de dados ao abrigo do Regulamento Livre Fluxo de Dados Não Pessoais. Trata igualmente dos requisitos de autorregulação estabelecidos nos dois regulamentos.

O Regulamento Livre Fluxo de Dados Não Pessoais abrange apenas «dados que não sejam dados pessoais», na aceção do Regulamento Geral sobre a Proteção de Dados. O Regulamento Geral sobre a Proteção de Dados rege o tratamento de dados pessoais, que constitui uma parte essencial do quadro de proteção de dados da UE. Este regulamento entrou em vigor nos Estados-Membros em 25 de maio de 2018 e estabelece regras harmonizadas para proteger as pessoas na UE/no EEE no que diz respeito ao tratamento dos seus dados pessoais e à livre circulação desses dados. O Regulamento Geral sobre a Proteção de Dados: i) especifica que informações constituem dados pessoais, ii) estabelece fundamentos jurídicos para o seu tratamento, iii) define os direitos e as obrigações a observar aquando do tratamento desses dados, entre outras disposições. No que se refere ao princípio da livre circulação de dados pessoais, o artigo 1.º, n.º 3, do Regulamento Geral sobre a Proteção de Dados estabelece que a «[a] livre circulação de dados pessoais no interior da União não é restringida nem proibida por motivos relacionados com a proteção das pessoas singulares no que respeita ao tratamento de dados pessoais».

Na maior parte das situações reais, é muito provável que um conjunto de dados seja composto por dados pessoais e não pessoais. Um conjunto de dados com estas características é frequentemente designado por «conjunto misto de dados». A secção 2.2 infra explica mais pormenorizadamente a interação entre o Regulamento Livre Fluxo de Dados Não Pessoais e o Regulamento Geral sobre a Proteção de Dados no que respeita aos conjuntos mistos de dados.

Por razões de clareza, sublinha-se que não existem obrigações contraditórias decorrentes do Regulamento Geral sobre a Proteção de Dados e da livre circulação de dados não pessoais.

2 Interação entre o Regulamento Livre Fluxo de Dados Não Pessoais e o Regulamento Geral sobre a Proteção de Dados — conjuntos mistos de dados.

2.1 O conceito de dados não pessoais no Regulamento Livre Fluxo de Dados Não Pessoais