Resumo do parecer da Autoridade Europeia para a Proteção de Dados sobre as duas propostas de decisões do Conselho que autorizam os Estados-Membros a assinar e ratificar, no interesse da União Europeia, o Segundo Protocolo Adicional à Convenção sobre o Cibercrime relativo ao reforço da cooperação e da divulgação de provas eletrónicas

(O texto integral do presente parecer encontra-se disponível em inglês, francês e alemão no sítio web da AEPD em www.edps.europa.eu)

(2022/C 182/04)

Em 25 de novembro de 2021, a Comissão adotou duas propostas de decisões do Conselho, ao abrigo dos artigos 16.o, 82.o, n.o 1, e 218.o, n.os 5 e 6, do Tratado sobre o Funcionamento da União Europeia, uma que autoriza os Estados-Membros a assinar e a outra a ratificar, no interesse da União Europeia, o Segundo Protocolo Adicional à Convenção de Budapeste sobre o Cibercrime. O anexo das propostas contém as diretivas do Conselho relativas às reservas, declarações e comunicações, aquando da assinatura e ratificação do Protocolo.

A investigação e a repressão da criminalidade constituem um objetivo legítimo, sendo que a cooperação internacional, designadamente o intercâmbio de informações, tornou-se mais importante do que nunca. Tal como há muito defendido pela AEPD, a UE necessita de acordos sustentáveis de partilha de dados pessoais com países terceiros para efeitos de aplicação da lei, que sejam plenamente compatíveis com os Tratados da UE e a Carta dos Direitos Fundamentais. Mesmo quando investigam casos nacionais, as autoridades responsáveis pela aplicação da lei encontram-se cada vez mais em «situações transfronteiriças», uma vez que as informações são armazenadas eletronicamente num país terceiro. O volume crescente de pedidos e a volatilidade da informação digital constituem um entrave aos modelos de cooperação existentes, como os tratados de auxílio judiciário mútuo (MLAT). A AEPD compreende que as autoridades enfrentam uma corrida contra o tempo para obter dados para as suas investigações e apoia os esforços desenvolvidos para conceber novos modelos de cooperação, nomeadamente no contexto da cooperação com países terceiros.

O Protocolo visa melhorar os canais de cooperação tradicionais e inclui disposições destinadas a reforçar a cooperação direta entre as autoridades responsáveis pela aplicação da lei e os prestadores de serviços num contexto transfronteiras. Em especial, o Protocolo reforçaria a cooperação em matéria de cibercriminalidade e de recolha de provas eletrónicas relativas a infrações penais para efeitos de investigações ou processos penais específicos.

Embora reconheça que não é possível reproduzir integralmente a terminologia e as definições da legislação da UE num acordo internacional multilateral, a AEPD sublinha que devem ser asseguradas salvaguardas adequadas para as pessoas, a fim de respeitar plenamente o direito da UE.

Os princípios de proteção de dados (nomeadamente a equidade, exatidão e relevância da informação), a supervisão independente e os direitos individuais das pessoas são tão relevantes para os organismos públicos como para as empresas privadas. Estes princípios fundamentais são ainda mais importantes tendo em conta a sensibilidade dos dados necessários para as investigações criminais.

O presente parecer visa fornecer uma análise objetiva e um aconselhamento construtivo às instituições da UE enquanto o Conselho analisa as propostas da Comissão para assinar e ratificar o Protocolo e antes de o Parlamento Europeu ser chamado a dar a sua aprovação à celebração do Protocolo.

A AEPD congratula-se com o facto de não ter sido incluída no texto final do Protocolo qualquer disposição relativa ao acesso direto aos dados por parte das autoridades responsáveis pela aplicação da lei. Congratula-se igualmente com o facto de o Protocolo conter um artigo específico sobre a proteção de dados pessoais. Além disso, a AEPD regista com agrado as várias salvaguardas que foram incluídas no Protocolo.

A AEPD compreende que se confirma que o Acordo-Quadro UE-EUA seria aplicável às transferências da UE para os Estados Unidos da América no âmbito das disposições estabelecidas no Protocolo relativas à cooperação entre autoridades. A AEPD lamenta este resultado.

Caso seja adotada uma decisão do Conselho que autorize os Estados-Membros a assinar e ratificar, respetivamente, no interesse da União, o Protocolo, a AEPD congratula-se com as propostas da Comissão para que os Estados-Membros apresentem, no interesse da União, a declaração, notificação e comunicação nos termos do artigo 7.o, n.o 2, alínea b), e n.o 5, alíneas a) e e), do Protocolo. As propostas em causa asseguram que a transferência de dados pessoais apenas pode ser solicitada aos prestadores de serviços da União com base em injunções emitidas, no país terceiro requerente Parte no Protocolo, por um procurador ou outra autoridade judicial, ou sob a sua supervisão, ou sob supervisão independente e sob o controlo de uma autoridade competente no Estado-Membro requerido.

A AEPD regista igualmente com agrado a proposta de os Estados-Membros formularem a declaração nos termos do artigo 8.o, n.o 4, do Protocolo (relativo à cooperação entre as autoridades competentes para dar execução às injunções de transmissão de dados relativos aos assinantes e dados de tráfego), a fim de garantir que são necessárias informações de apoio adicionais para dar cumprimento às injunções previstas na disposição em causa.

Além disso, a AEPD avança com as seguintes recomendações relativamente às futuras decisões do Conselho, caso o Protocolo seja assinado e ratificado pelos Estados-Membros, no interesse da União:

— Determinados dados incluídos na categoria de dados relativos aos assinantes, na aceção da Convenção sobre o Cibercrime, podem ser considerados, ao abrigo do direito da União, dados de tráfego que implicam uma interferência grave nos direitos fundamentais do titular dos dados, cujo acesso apenas pode ser justificado pela luta contra a criminalidade grave. Por conseguinte, a AEPD recomenda aos Estados-Membros que, contrariamente à proposta da Comissão, se reservem o direito de não aplicar o artigo 7.o do Protocolo respeitante à divulgação de dados relativos aos assinantes pelos prestadores de serviços diretamente às autoridades competentes de outro país em relação a determinados tipos de números de acesso, nos termos do artigo 7.o, n.o 9, alínea b);

— Os Estados-Membros devem designar, nos termos do artigo 7.o, n.o 5, alínea e), do Protocolo, uma autoridade judicial ou outra autoridade independente;

— A comunicação proposta pelos Estados-Membros às autoridades dos Estados Unidos, no momento da assinatura ou do depósito do seu instrumento de ratificação, aceitação ou aprovação, em relação ao Acordo-Quadro UE-EUA, deve ser clarificada;

— A consideração proposta no que respeita a outros acordos ou convénios ao abrigo do artigo 14.o, n.o 1, alínea c), do Protocolo que possam substituir a disposição relativa à proteção de dados do Protocolo (artigo 14.o) deve ser alterada.

1. INTRODUÇÃO E CONTEXTO

1. Em junho de 2017, o Comité da Convenção sobre o Cibercrime do Conselho da Europa aprovou o mandato para a preparação de um Segundo Protocolo Adicional à Convenção sobre o Cibercrime durante o período compreendido entre setembro de 2017 e dezembro de 2019 ( 1 )

2. o 185) Em 5 de fevereiro de 2019, a Comissão adotou uma recomendação ( 2 ) de decisão do Conselho que autoriza a participação da Comissão, em nome da União Europeia, nas negociações respeitantes a um Segundo Protocolo Adicional (a seguir designado «Protocolo») ( 3 ) à Convenção do Conselho da Europa sobre o reforço da cooperação internacional em matéria de cibercriminalidade e de provas eletrónicas (a seguir designada «Convenção sobre o Cibercrime») (STCE n.185) ( 4 )

3. A Autoridade Europeia para a Proteção de Dados (a seguir designada «AEPD») adotou um parecer sobre a recomendação em 2 de abril de 2019 ( 5 ) . Mediante a Decisão de 6 de junho de 2019, o Conselho da União Europeia autorizou a Comissão a participar, em nome da União Europeia, nas negociações tendo em conta o Protocolo ( 6 )

4. O Comité da Convenção sobre o Cibercrime prorrogou o mandato duas vezes, até dezembro de 2020 e, posteriormente, até maio de 2021. O Protocolo foi elaborado pelo Comité da Convenção sobre o Cibercrime (T-CY) entre setembro de 2017 e maio de 2021. Durante este período, realizaram-se mais de 90 sessões do Plenário de Redação do Protocolo T-CY, do Grupo de Redação e dos Subgrupos, bem como seis rondas de consultas das partes interessadas.

5. O Comité Europeu para a Proteção de Dados contribuiu para as consultas públicas sobre o projeto de Protocolo em 13 de novembro de 2019, 2 de fevereiro de 2021 e 4 de maio de 2021 ( 7 )

6. O Parlamento Europeu reconheceu a necessidade de concluir os trabalhos sobre o Protocolo na sua Resolução de 2021 sobre a Estratégia de Cibersegurança da UE para a década digital ( 8 )

7. Em 17 de novembro de 2021, o Comité de Ministros do Conselho da Europa adotou o Protocolo. Deverá estar aberto à assinatura em maio de 2022. Por conseguinte, os aditamentos ao mesmo apenas podem ser propostos por uma Parte no Protocolo e adotados pelo Comité de Ministros. O Protocolo exige a aceitação de todas as Partes para que os aditamentos entrem em vigor ( 9 )

8. A União Europeia não pode tornar-se Parte no Protocolo, uma vez que tanto o Protocolo como a Convenção sobre o Cibercrime estão abertos apenas aos Estados ( 10 )

9. o , 82. o , n. o 1, e 218. o , n. os 5 e 6, do Tratado sobre o Funcionamento da União Europeia (TFUE) Em 25 de novembro de 2021, a Comissão adotou duas propostas de decisões do Conselho, ao abrigo dos artigos 16., 82., n.1, e 218., n.5 e 6, do Tratado sobre o Funcionamento da União Europeia (TFUE) ( 11 )

10. o , n. o 2, do TFUE. A Comissão procura obter, com tais propostas, duas decisões do Conselho que autorizam os Estados-Membros a assinar e ratificar, respetivamente, no interesse da União Europeia, o Protocolo. Ambas as propostas são acompanhadas de um anexo (a seguir designado por «anexo») que fornece instruções aos Estados-Membros no que respeita às reservas, declarações, notificações ou comunicações e outras considerações a formular aquando da assinatura e ratificação, no interesse da União Europeia, do Protocolo. A proposta relativa à ratificação é igualmente acompanhada do texto do Protocolo em anexo. De acordo com as propostas em causa ( 12 ) , o Protocolo insere-se num domínio abrangido, em grande medida, por regras comuns na aceção do artigo 3., n.2, do TFUE. A Comissão procura obter, com tais propostas, duas decisões do Conselho que autorizam os Estados-Membros a assinar e ratificar, respetivamente, no interesse da União Europeia, o Protocolo. Ambas as propostas são acompanhadas de um anexo (a seguir designado por «anexo») que fornece instruções aos Estados-Membros no que respeita às reservas, declarações, notificações ou comunicações e outras considerações a formular aquando da assinatura e ratificação, no interesse da União Europeia, do Protocolo. A proposta relativa à ratificação é igualmente acompanhada do texto do Protocolo em anexo.

11. o , n. os 1 e 2, do Protocolo Para que o acordo possa ser celebrado, caso o Conselho decida autorizar a sua assinatura pelos Estados-Membros, no interesse da União, o Conselho deverá adotar uma decisão que autorize os Estados-Membros, no interesse da União, a ratificar o acordo, após aprovação do Parlamento Europeu. O Protocolo entra em vigor no primeiro dia do mês seguinte ao termo de um período de três meses a contar da data em que cinco Partes na Convenção sobre o Cibercrime tenham manifestado o seu consentimento em ficarem vinculadas pelo Protocolo em conformidade com o disposto no artigo 16., n.1 e 2, do Protocolo ( 13 )

12. o , n. o 1, do Regulamento (UE) 2018/1725 A AEPD foi consultada sobre ambas as propostas pela Comissão Europeia na sequência da sua adoção, nos termos do artigo 42., n.1, do Regulamento (UE) 2018/1725 ( 14 ) . É feita referência ao presente parecer nos considerandos 12 e 13 das propostas relativas à ratificação e assinatura do Protocolo, respetivamente. A AEPD gostaria de sublinhar que o presente parecer não prejudica quaisquer observações adicionais que possa vir a fazer com base em novas informações disponíveis.

7. CONCLUSÕES

129. Tendo em conta a proliferação da cibercriminalidade e a crescente importância das provas eletrónicas para as investigações criminais, tendo em vista a complexidade da obtenção de tais provas quando estas não são da competência dos Estados-Membros, a AEPD compreende a necessidade de as autoridades responsáveis pela aplicação da lei obterem provas eletrónicas de forma rápida e eficaz, a fim de garantir que possam combater eficazmente a criminalidade.

130. Por conseguinte, a AEPD é a favor de encontrar uma resposta internacional com salvaguardas adequadas para as questões existentes neste contexto.

131. O Protocolo tem por objetivo, por um lado, melhorar os canais de cooperação tradicionais e, por outro, prever uma cooperação direta transfronteiras entre as autoridades responsáveis pela aplicação da lei e os prestadores de serviços. Não contém disposições sobre o acesso direto aos dados por parte das autoridades responsáveis pela aplicação da lei, o que a AEPD saúda.

132. Embora reconheça que não é possível reproduzir integralmente a terminologia e as definições do direito da União num acordo internacional multilateral, a AEPD sublinha que devem ser asseguradas as salvaguardas adequadas em matéria de proteção de dados para as pessoas, a fim de respeitar plenamente o direito da União.

133. A AEPD congratula-se com o facto de o Protocolo conter um artigo específico sobre a proteção de dados pessoais. Regista igualmente com agrado as várias salvaguardas que foram incluídas no Protocolo.

134. A AEPD compreende que se confirma que o Acordo-Quadro seria aplicável às transferências da UE para os Estados Unidos da América no âmbito das disposições estabelecidas no Protocolo relativas à cooperação entre autoridades. A AEPD lamenta este resultado.

135. Caso seja adotada uma decisão do Conselho que autorize os Estados-Membros a assinar e ratificar, respetivamente, no interesse da União, o Protocolo, a AEPD congratula-se com as propostas da Comissão para que os Estados-Membros apresentem, no interesse da União, a declaração, notificação e comunicação nos termos do artigo 7. o , n. o 2, alínea b), e n. o 5, alíneas a) e e), do Protocolo. As propostas em causa asseguram que a transferência de dados pessoais apenas pode ser solicitada aos prestadores de serviços da União com base em injunções emitidas no país terceiro requerente Parte no Protocolo por um procurador ou outra autoridade judicial, ou sob a sua supervisão, ou sob supervisão independente e sob o controlo de uma autoridade competente no Estado-Membro requerido.

136. Regista igualmente com agrado a proposta de os Estados-Membros formularem a declaração nos termos do artigo 8. o , n. o 4, do Protocolo (relativo à cooperação entre as autoridades competentes para dar execução às injunções de transmissão de dados relativos aos assinantes e dados de tráfego), a fim de garantir que são necessárias informações de apoio adicionais para dar cumprimento às injunções previstas na disposição em causa.

137. A AEPD avança com as seguintes recomendações relativamente às futuras decisões do Conselho, caso o Protocolo seja assinado e ratificado pelos Estados-Membros, no interesse da União: — Determinados dados incluídos na categoria de dados relativos aos assinantes, na aceção da Convenção sobre o Cibercrime, podem ser considerados, ao abrigo do direito da União, dados de tráfego que implicam uma interferência grave nos direitos fundamentais do titular dos dados, cujo acesso apenas pode ser justificado pela luta contra a criminalidade grave. Por conseguinte, a AEPD recomenda aos Estados-Membros que, contrariamente às propostas da Comissão, se reservem o direito de não aplicar o artigo 7.o do Protocolo respeitante à divulgação de dados relativos aos assinantes pelos prestadores de serviços diretamente às autoridades competentes de outro país em relação a determinados tipos de números de acesso, nos termos do artigo 7.o, n.o 9, alínea b); — Os Estados-Membros devem designar, nos termos do artigo 7.o, n.o 5, alínea e), do Protocolo, uma autoridade judicial ou outra autoridade independente; — A comunicação proposta pelos Estados-Membros às autoridades dos Estados Unidos, no momento da assinatura ou do depósito do seu instrumento de ratificação, aceitação ou aprovação, em relação ao Acordo-Quadro UE-EUA, deve ser clarificada; — A consideração proposta no que respeita a outros acordos ou convénios ao abrigo do artigo 14.o, n.o 1, alínea c), do Protocolo que possam substituir a disposição relativa à proteção de dados do Protocolo (artigo 14.o) deve ser alterada.

138. Por último, a AEPD sublinha que um procurador de um Estado-Membro e, por conseguinte, também a Procuradoria Europeia deverão poder apresentar uma injunção ou transferir dados com base na injunção de outra Parte nos termos do artigo 8. o apenas se se verificar que tal injunção está sujeita a controlo por uma autoridade judicial ou por um órgão independente na aceção da jurisprudência do TJUE.

139. A AEPD continua à disposição da Comissão, do Conselho e do Parlamento Europeu para prestar mais aconselhamento durante o processo. O presente parecer não prejudica quaisquer observações adicionais que a AEPD possa vir a fazer com base em novas informações disponíveis.

Bruxelas, 20 de janeiro de 2022 Wojciech Rafał WIEWIÓROWSKI

(1) https://rm.coe.int/t-cy-terms-of-reference-protocol/1680a03690

(2) Recomendação de decisão do Conselho que autoriza a participação nas negociações respeitantes ao segundo protocolo adicional à Convenção do Conselho da Europa sobre o Cibercrime (STCE-185), COM(2019) 71 final.

(3) https://rm.coe.int/1680a49dab (versão provisória aprovada pelo Comité de Ministros).

(4) https://rm.coe.int/CoERMPublicCommonSearchServices/DisplayDCTMContent?documentId=0900001680081561

(5) Parecer 3/2019 da AEPD relativo à participação nas negociações tendo em vista um segundo protocolo adicional à Convenção de Budapeste sobre o Cibercrime, de 2 de abril de 2019.

(6) Decisão do Conselho, adotada em 6 de junho de 2019, que autoriza a Comissão Europeia a participar, em nome da União Europeia, nas negociações respeitantes a um Segundo Protocolo Adicional à Convenção do Conselho da Europa sobre o Cibercrime (STCE n.o 185).

(7) «EDPB contribution to the consultation on a draft second additional protocol to the Council of Europe Convention on Cybercrime (Budapest Convention) of 13 November 2019» [Contribuição do CEPD para a consulta sobre um projeto de segundo protocolo adicional à Convenção do Conselho da Europa sobre o Cibercrime (Convenção de Budapeste), de 13 de novembro de 2019]; «Declaração 2/2021 sobre o novo projeto de disposições do segundo protocolo adicional à Convenção do Conselho da Europa sobre o Cibercrime (Convenção de Budapeste), adotada em 2 de fevereiro de 2021»; «EDPB Contribution to the 6th round of consultations on the draft Second Additional Protocol to the Council of Europe Budapest Convention on Cybercrime of 4 May 2021» [Contribuição do CEPD para a sexta ronda de consultas sobre o projeto de Segundo Protocolo Adicional à Convenção de Budapeste do Conselho da Europa sobre o Cibercrime, de 4 de maio de 2021].

(8) Resolução do Parlamento Europeu, de 10 de junho de 2021, sobre a Estratégia de Cibersegurança da UE para a década digital.

(9) Artigo 21.o do Protocolo.

(10) Considerando 10 das propostas de decisão do Conselho que autoriza os Estados-Membros a assinar e ratificar, no interesse da União Europeia, o Segundo Protocolo Adicional à Convenção sobre o Cibercrime relativo ao reforço da cooperação e da divulgação de provas eletrónicas.

(11) Proposta de decisão do Conselho que autoriza os Estados-Membros a assinar, no interesse da União Europeia, o Segundo Protocolo Adicional à Convenção sobre o Cibercrime relativo ao reforço da cooperação e da divulgação de provas eletrónicas [COM(2021) 718 final].

Proposta de decisão do Conselho que autoriza os Estados-Membros a ratificar, no interesse da União Europeia, o Segundo Protocolo Adicional à Convenção sobre o Cibercrime relativo ao reforço da cooperação e da divulgação de provas eletrónicas [COM(2021) 719 final].

De acordo com os considerandos 14 e 15 da proposta relativa à assinatura e os considerandos 13 e 14 da proposta relativa à ratificação, a Irlanda tem a possibilidade de participar na adoção e aplicação da decisão e a Dinamarca não participa na adoção da presente decisão, não ficando por ela vinculada nem sujeita à sua aplicação.

(12) Considerando 3 das propostas.

(13) Artigo 16.o: «1. [...] [as Partes na Convenção] podem exprimir o seu consentimento em ficar vinculadas mediante:

a. Assinatura sem reservas quanto à ratificação, aceitação ou aprovação; ou

b. Assinatura sob reserva de ratificação, aceitação ou aprovação, seguida de ratificação, aceitação ou aprovação.

2. Os instrumentos de ratificação, aceitação ou aprovação são depositados junto do Secretário-Geral do Conselho da Europa.»

(14) JO L 295 de 21.11.2018, p. 39.