A Comissão participou, em nome da União Europeia, nas negociações relativas ao Protocolo, em conformidade com a decisão do Conselho da União Europeia. Consultou sistematicamente o comité especial do Conselho para as negociações sobre a posição da União.

Tal como expresso na Estratégia da UE para a União da Segurança de 2020, na Estratégia de Cibersegurança da UE para a década digital de 2020 e na Estratégia da UE para lutar contra a criminalidade organizada de 2021, a Comissão comprometeu-se a concluir rapidamente e com êxito as negociações do Protocolo. O Parlamento Europeu reconheceu igualmente a necessidade de concluir os trabalhos sobre o Protocolo na sua Resolução de 2021 sobre a Estratégia de Cibersegurança da UE para a década digital.

Na sequência do apelo do Conselho Europeu nas suas conclusões de 18 de outubro de 2018, a Comissão adotou, em 5 de fevereiro de 2019, uma recomendação de decisão do Conselho que autoriza a Comissão a participar, em nome da União Europeia, nas negociações relativas a um segundo Protocolo Adicional à Convenção do Conselho da Europa sobre o Cibercrime. A Autoridade Europeia para a Proteção de Dados adotou um parecer sobre a recomendação em 2 de abril de 2019. Por decisão de 6 de junho de 2019, o Conselho da União Europeia autorizou a Comissão a participar, em nome da União Europeia, nas negociações relativas ao Segundo Protocolo Adicional.

Na sequência de propostas do Grupo «Provas na Nuvem» (Cloud Evidence Group), o Comité da Convenção sobre o Cibercrime adotou várias recomendações para dar resposta, nomeadamente através da negociação de um Segundo Protocolo Adicional à Convenção sobre o Cibercrime relativo ao reforço da cooperação internacional, ao problema colocado pelo facto de as provas eletrónicas relacionadas com a cibercriminalidade e outras infrações serem cada vez mais detidas por prestadores de serviços em jurisdições estrangeiras, enquanto as competências das autoridades policiais continuam a ser limitadas pelas fronteiras territoriais. Em junho de 2017, o Comité da Convenção sobre o Cibercrime aprovou o mandato para a preparação do Segundo Protocolo Adicional durante o período compreendido entre setembro de 2017 e dezembro de 2019. Tendo em conta a necessidade de dispor de mais tempo para finalizar os debates, bem como as limitações impostas pela pandemia de COVID-19 em 2020 e 2021, o Comité da Convenção sobre o Cibercrime prorrogou o mandato por duas vezes, até dezembro de 2020, e posteriormente até maio de 2021.

A Convenção está aberta aos Estados membros do Conselho da Europa e, mediante convite, aos não membros. Atualmente, 66 países são Partes na Convenção, incluindo 26 Estados-Membros da União Europeia. A Convenção não prevê que a União Europeia possa aderir à Convenção. No entanto, a União Europeia é reconhecida como organização com estatuto de observador junto do Comité da Convenção sobre o Cibercrime (T-CY).

A Convenção de Budapeste do Conselho da Europa sobre o Cibercrime (STCE n.º 185) (a seguir designada por «Convenção») visa facilitar a luta contra as infrações penais cometidas através das redes informáticas. A Convenção tem por objeto, 1) a harmonização dos elementos relativos a infrações no contexto do direito substantivo de âmbito nacional e das disposições conexas na área da cibercriminalidade, 2) a definição, ao abrigo do código de processo penal interno, dos poderes necessários para investigar e intentar ações penais relativamente a tais infrações, assim como a outras infrações cometidas por meio de um sistema informático ou às provas com elas relacionadas e existentes sob a forma eletrónica, e 3) a implantação de um regime rápido e eficaz de cooperação internacional.

Em todo o mundo se envidam esforços no sentido de melhorar o acesso transfronteiras às provas eletrónicas no âmbito de investigações criminais, a nível nacional, da União Europeia e internacional, nomeadamente através do Protocolo. É importante assegurar a compatibilidade das normas a nível internacional para evitar conflitos de leis quando se solicita o acesso transfronteiras a provas eletrónicas.

As provas eletrónicas assumem cada vez mais importância nas investigações criminais. A Comissão estima que, atualmente, as autoridades policiais e judiciais necessitam do acesso a provas eletrónicas em 85 % das investigações criminais, incluindo em matéria de cibercriminalidade. As provas das infrações penais são conservadas com cada vez maior frequência em formato eletrónico por prestadores de serviços em jurisdições estrangeiras, e para que a justiça penal atue com eficácia são necessárias medidas adequadas para obter tais provas a fim de defender o Estado de direito.

A presente proposta diz respeito à decisão que autoriza os Estados-Membros a assinar, no interesse da União Europeia, o Segundo Protocolo Adicional à Convenção de Budapeste do Conselho da Europa sobre o Cibercrime relativo ao reforço da cooperação e da divulgação de provas eletrónicas (a seguir designado por «Protocolo»). O objetivo do Protocolo é estabelecer regras comuns a nível internacional para reforçar a cooperação em matéria de cibercriminalidade e a recolha de provas em formato eletrónico para as investigações e os processos penais.

Nessa base, o artigo 14.º, n.os 2 a 15, estabelece princípios fundamentais em matéria de proteção de dados, incluindo a limitação da finalidade, a base jurídica, a qualidade dos dados e as regras aplicáveis ao tratamento de categorias especiais de dados, as obrigações aplicáveis aos responsáveis pelo tratamento, nomeadamente em matéria de conservação, manutenção de registos, segurança e no que respeita a transferências ulteriores, direitos individuais oponíveis, incluindo em matéria de notificação, acesso, retificação e tomada de decisões automatizada, supervisão independente e eficaz por uma ou mais autoridades, bem como vias de recurso administrativo e judicial. As salvaguardas abrangem todas as formas de cooperação previstas no Protocolo, com adaptações sempre que necessário para ter em conta as características específicas da cooperação direta (por exemplo, no contexto da notificação de violações). O exercício de certos direitos individuais pode ser adiado, limitado ou recusado sempre que necessário e proporcionado para perseguir objetivos de interesse público importantes, em especial para prevenir riscos para as investigações policiais em curso, o que também está em conformidade com o direito da União.

O artigo 14.º do Protocolo prevê a proteção dos dados pessoais, tal como definida no artigo 3.º do Protocolo, em consonância com o Protocolo de Alteração da Convenção para a Proteção das Pessoas relativamente ao Tratamento de Dados de Caráter Pessoal (STCE 223) (Convenção 108+) e o direito da União.

O Protocolo segue uma abordagem baseada nos direitos, com condições e salvaguardas específicas, algumas das quais são incorporadas nas medidas de cooperação específicas, bem como no capítulo III do Protocolo. O artigo 13.º do Protocolo exige que as Partes assegurem que os poderes e procedimentos sejam sujeitos a um nível adequado de proteção dos direitos fundamentais que, em conformidade com o artigo 15.º da Convenção, garanta a aplicação do princípio da proporcionalidade.

O artigo 6.º estabelece uma base para a cooperação direta entre as autoridades competentes de uma Parte e as entidades que prestam serviços de registo de nomes de domínio noutra Parte, com vista à divulgação de dados de registo de nomes de domínio.

O capítulo II do Protocolo prevê medidas destinadas a reforçar a cooperação. Em primeiro lugar, o artigo 5.º, n.º 1, determina que as Partes devem cooperar, tanto quanto possível, com base no Protocolo. O artigo 5.º, n.os 2 a 5, determina a aplicação das medidas do Protocolo em relação aos tratados ou convénios de auxílio mútuo em vigor. O artigo 5.º, n.º 7, estabelece que as medidas previstas no capítulo II não restringem a cooperação entre as Partes, ou com prestadores de serviços ou outras entidades, através de outros acordos, convénios, práticas ou legislação nacional aplicáveis.

O artigo 4.º determina as línguas em que as Partes devem emitir injunções, pedidos ou notificações ao abrigo do Protocolo.

No artigo 3.º, são incluídas definições de «autoridades centrais», «autoridades competentes», «situações de emergência», «dados pessoais» e «Parte que procede à transferência». Estas definições aplicam-se ao Protocolo, juntamente com as definições incluídas na Convenção.

O capítulo I do Protocolo prevê disposições comuns. O artigo 2.º determina o âmbito de aplicação do Protocolo, em consonância com o âmbito de aplicação da Convenção: aplica-se a investigações ou processos penais específicos relativos a infrações penais relacionadas com sistemas e dados informáticos, bem como à recolha de provas de uma infração penal em formato eletrónico.

As disposições referidas nos parágrafos seguintes revestem-se de especial importância para o Protocolo. O Protocolo é acompanhado de um relatório explicativo pormenorizado. Embora o relatório explicativo não constitua um instrumento que forneça uma interpretação vinculativa do Protocolo, destina-se a «orientar e assistir as Partes» na aplicação do mesmo.

O Protocolo reconhece igualmente que uma cooperação transfronteiras eficaz para fins de justiça penal, incluindo entre as autoridades do setor público e as entidades do setor privado, exige condições efetivas e salvaguardas sólidas para a proteção dos direitos fundamentais. Para o efeito, o Protocolo segue uma abordagem baseada nos direitos e prevê condições e salvaguardas em consonância com os instrumentos internacionais em matéria de direitos humanos, incluindo a Convenção do Conselho da Europa para a Proteção dos Direitos do Homem e das Liberdades Fundamentais de 1950. Uma vez que as provas eletrónicas dizem frequentemente respeito a dados pessoais, o Protocolo inclui igualmente salvaguardas sólidas para a proteção da privacidade e dos dados pessoais.

O objetivo do Protocolo é reforçar a cooperação em matéria de cibercriminalidade e de recolha de provas eletrónicas de uma infração penal para efeitos de investigações ou processos penais específicos. O Protocolo reconhece a necessidade de uma cooperação reforçada e mais eficaz entre os Estados e com o setor privado, bem como de uma maior clareza e segurança jurídica para os prestadores de serviços e outras entidades no que diz respeito às circunstâncias em que podem responder aos pedidos de divulgação de provas eletrónicas das autoridades de justiça penal de outras Partes.

O artigo 14.º do Protocolo deve também ser lido em conjugação com o artigo 23.º do mesmo. O artigo 23.º reforça a eficácia das salvaguardas previstas no Protocolo, prevendo que o Comité da Convenção sobre o Cibercrime avalie a execução e a aplicação das medidas tomadas na legislação nacional para dar cumprimento às disposições do Protocolo. Em especial, o artigo 23.º, n.º 3, reconhece explicitamente que a aplicação do artigo 14.º pelas Partes será avaliada logo que dez Partes na Convenção tenham manifestado o seu consentimento em ficar vinculadas pelo Protocolo. Como salvaguarda adicional, nos termos do artigo 14.º, n.º 15, se uma Parte dispuser de provas substanciais de que outra Parte está a violar de forma sistemática ou grave as salvaguardas estabelecidas no Protocolo, pode suspender a transferência de dados pessoais para essa Parte após consulta (o que não é exigido em caso de urgência). Os dados pessoais transferidos antes da suspensão continuam a ser tratados em conformidade com o Protocolo. Por último, tendo em conta o caráter multilateral do Protocolo, o seu artigo 14.º, n.os 1.b e 1.c, permite às Partes, nas suas relações bilaterais, acordar, em determinadas condições, formas alternativas de assegurar a proteção dos dados pessoais transferidos ao abrigo do Protocolo. Embora as salvaguardas previstas no artigo 14.º, n.os 2 a 15, se apliquem por norma às Partes que recebem dados pessoais, com base no artigo 14.º, n.º 1.b, as Partes vinculadas mutuamente por um acordo internacional que estabeleça um quadro abrangente para a proteção de dados pessoais, em conformidade com os requisitos aplicáveis da legislação das Partes em causa, podem também basear-se nesse quadro. Trata-se, por exemplo, da Convenção 108+ (para as Partes que autorizam transferências de dados para outras Partes ao abrigo dessa convenção) ou do Acordo-Quadro UE-EUA (no seu âmbito de aplicação, ou seja, para a transferência de dados pessoais entre autoridades e, em combinação com um acordo de transferência específico entre os EUA e a UE, para a cooperação direta entre autoridades e prestadores de serviços). Além disso, com base no artigo 14.º, n.º 1.c, as Partes podem igualmente determinar de comum acordo que a transferência de dados pessoais tem lugar com base noutros acordos ou convénios entre as Partes em causa. Para os Estados-Membros da UE, um acordo ou convénio alternativo deste tipo só pode ser invocado para as transferências de dados ao abrigo do Protocolo se essas transferências cumprirem os requisitos da legislação da União em matéria de proteção de dados, nomeadamente o capítulo V da Diretiva (UE) 2016/680 (Diretiva sobre a Proteção de Dados na Aplicação da Lei) e, para a cooperação direta entre autoridades e prestadores de serviços nos termos dos artigos 6.º e 7.º do Protocolo, o capítulo V do Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados).

2.2.4.Disposições finais

O capítulo IV do Protocolo estabelece as disposições finais. Entre outras coisas, o artigo 15.º, n.º 1.a, estabelece que as Partes podem definir as suas relações sobre as matérias enunciadas no Protocolo de outra forma, em conformidade com o artigo 39.º, n.º 2, da Convenção. O artigo 15.º, n.º 1.b, assegura que os Estados-Membros da UE que são Partes no Protocolo podem continuar a aplicar o direito da União nas suas relações mútuas. O artigo 15.º, n.º 2, determina igualmente que o artigo 39.º, n.º 3, da Convenção se aplica ao Protocolo.

O artigo 16.º, n.º 3, prevê que o Protocolo entrará em vigor logo que cinco Partes na Convenção tiverem manifestado o seu consentimento em ficar por ele vinculadas.

O artigo 19.º, n.º 1, prevê que as Partes possam formular reservas em relação ao artigo 7.º, n.os 9.a e 9.b, ao artigo 8.º, n.º 13, e ao artigo 17.º. O artigo 19.º, n.º 2, prevê que as Partes possam formular declarações em relação ao artigo 7.º, n.º 2.b, e n.º 8, ao artigo 8.º, n.º 11, ao artigo 9.º, n.º 1.b, e n.º 5, ao artigo 10.º, n.º 9, ao artigo 12.º, n.º 3, e ao artigo 18.º, n.º 2. O artigo 19.º, n.º 3, determina que uma Parte formula as declarações, notificações ou comunicações identificadas no artigo 7.º, n.os 5.a e 5.e, no artigo 8.º, n.º 4 e n.os 10.a e 10b, no artigo 14.º, n.º 7.c, e n.º 10.b, e no artigo 17.º, n.º 2.

O artigo 23.º, n.º 1, constitui uma base para as consultas entre as Partes, nomeadamente através do Comité da Convenção sobre o Cibercrime, em conformidade com o artigo 46.º da Convenção. O artigo 23.º, n.º 2, também estabelece uma base para a avaliação da utilização e da aplicação das disposições do Protocolo. O artigo 23.º, n.º 3, estabelece que a avaliação da utilização e da aplicação do artigo 14.º relativo à proteção de dados tem início logo que dez Partes tiverem manifestado o seu consentimento em ficar vinculadas pelo Protocolo.

2.3.Direito e política da União neste domínio

O domínio regido pelo Protocolo é, em grande medida, abrangido por normas comuns baseadas no artigo 82.º, n.º 1, e no artigo 16.º do TFUE. O atual quadro jurídico da União Europeia inclui, nomeadamente, instrumentos relativos à cooperação das autoridades policiais e judiciárias em matéria penal, tais como a Diretiva 2014/41/UE relativa à decisão europeia de investigação em matéria penal, a Convenção relativa ao auxílio judiciário mútuo em matéria penal entre os Estados-Membros da União Europeia e a Decisão-Quadro 2002/465/JAI do Conselho relativa às equipas de investigação conjuntas. A nível externo, a União Europeia celebrou uma série de acordos bilaterais entre a União e países terceiros, tais como os acordos sobre auxílio judiciário mútuo entre a União Europeia e os Estados Unidos da América, entre a União Europeia e o Japão e entre a União Europeia e a Noruega e a Islândia. O atual quadro jurídico da União Europeia inclui também o Regulamento (UE) 2017/1939 que dá execução a uma cooperação reforçada para a instituição da Procuradoria Europeia. Os Estados-Membros que participam na cooperação reforçada deverão assegurar que a Procuradoria Europeia, no exercício das suas competências, tal como previstas nos artigos 22.º, 23.º e 25.º do Regulamento (UE) 2017/1939, possa solicitar cooperação ao abrigo do Protocolo da mesma forma que os procuradores nacionais desses Estados-Membros. Estes instrumentos e acordos dizem respeito, nomeadamente, aos artigos 8.º, 9.º, 10.º, 11.º e 12.º do Protocolo.

Além disso, a União adotou várias diretivas que reforçam os direitos processuais dos suspeitos e arguidos. Estes instrumentos dizem respeito, em especial, aos artigos 6.º, 7.º, 8.º, 9.º, 10.º, 11.º, 12.º e 13.º do Protocolo. Um conjunto específico de salvaguardas diz respeito à proteção dos dados pessoais, que é um direito fundamental consagrado nos Tratados da UE e na Carta dos Direitos Fundamentais da União Europeia. Os dados pessoais só podem ser tratados em conformidade com o Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados) com a Diretiva (UE) 2016/680 (Diretiva sobre a Proteção de Dados na Aplicação da Lei). O direito fundamental de todas as pessoas ao respeito pela sua vida privada e familiar, pelo seu domicílio e pelas suas comunicações inclui o respeito pela privacidade das suas comunicações como elemento essencial. Os dados das comunicações eletrónicas só podem ser tratados em conformidade com a Diretiva 2002/58/CE (Diretiva Privacidade Eletrónica). Estes instrumentos dizem respeito, nomeadamente, ao artigo 14.º do Protocolo.

O artigo 14.º, n.os 2 a 15, do Protocolo estabelece salvaguardas adequadas em matéria de proteção de dados na aceção das normas da União neste domínio, nomeadamente o artigo 46.º do Regulamento Geral sobre a Proteção de Dados e o artigo 37.º da Diretiva sobre a Proteção de Dados na Aplicação da Lei, bem como a jurisprudência pertinente do Tribunal de Justiça Europeu. Em conformidade com os requisitos do direito da União e a fim de garantir a eficácia das salvaguardas estabelecidas no artigo 14.º do Protocolo, os Estados-Membros devem assegurar a notificação das pessoas cujos dados tenham sido transferidos, sob reserva de determinadas restrições, por exemplo, para evitar comprometer as investigações em curso. O artigo 14.º, n.º 11.c, do Protocolo constitui uma base para que os Estados-Membros cumpram este requisito. A compatibilidade do artigo 14.º, n.º 1, do Protocolo com as normas da União em matéria de proteção de dados exige igualmente que os Estados-Membros considerem o seguinte no que respeita a possíveis formas alternativas de assegurar a proteção adequada dos dados pessoais transferidos ao abrigo do Protocolo. No que diz respeito a outros acordos internacionais que estabelecem um quadro abrangente para a proteção de dados pessoais em conformidade com os requisitos aplicáveis da legislação das Partes em causa, nos termos do artigo 14.º, n.º 1.b, os Estados-Membros devem ter em conta que, no que diz respeito à cooperação direta, o Acordo-Quadro UE-EUA necessita de ser complementado com salvaguardas adicionais - a prever num acordo de transferência específico entre os EUA e a UE/seus Estados-Membros - que tenham em conta os requisitos únicos da transferência de provas eletrónicas diretamente pelos prestadores de serviços e não entre as autoridades. Além disso, nos termos do artigo 14.º, n.º 1.b, do Protocolo, os Estados-Membros devem considerar que, para os Estados-Membros da UE que são Partes na Convenção 108+, essa Convenção, por si só, não constitui uma base adequada para as transferências transfronteiras de dados ao abrigo do Protocolo para outras Partes nessa Convenção. A este respeito, devem ter em conta a última frase do artigo 14.º, n.º 1, da Convenção 108+. Por último, no que respeita a outros acordos ou convénios ao abrigo do artigo 14.º, n.º 1.c, os Estados-Membros devem considerar que só podem invocar esses outros acordos ou convénios se a Comissão Europeia tiver adotado uma decisão de adequação nos termos do artigo 45.º do Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados) ou do artigo 36.º da Diretiva (UE) 2016/680 (Diretiva sobre a Proteção de Dados na Aplicação da Lei) para o país terceiro em causa, que abranja as respetivas transferências de dados, ou se esse outro acordo ou convénio estabelecer salvaguardas adequadas em matéria de proteção de dados nos termos do artigo 46.º do Regulamento Geral sobre a Proteção de Dados ou do artigo 37.º, n.º 1.a, da Diretiva sobre a Proteção de Dados na Aplicação da Lei.

Há que ter em conta não só o direito da União no seu estado atual no domínio em causa, mas também a sua evolução futura, na medida em que tal seja previsível no momento da análise. O domínio abrangido pelo Protocolo é diretamente relevante para a evolução previsível do direito da União no futuro. A este respeito, importa referir as propostas da Comissão sobre o acesso transfronteiras a provas eletrónicas, de abril de 2018.

A Comissão, ao participar nas negociações em nome da União, velou por que o Protocolo seja plenamente compatível com o direito da União e com as obrigações que incumbem aos Estados-Membros por força do mesmo. Em especial, a Comissão garantiu que as disposições do Protocolo permitam aos Estados-Membros respeitar os direitos fundamentais, as liberdades e os princípios gerais do direito da União consagrados nos Tratados da UE e na Carta dos Direitos Fundamentais, incluindo a proporcionalidade, os direitos processuais, a presunção de inocência e os direitos de defesa das pessoas sujeitas a processos penais, bem como a privacidade e a proteção dos dados pessoais e dos dados de comunicações eletrónicas, quando esses dados são tratados, incluindo transferências para as autoridades responsáveis pela aplicação da lei de países situados fora da União Europeia, e quaisquer obrigações que incumbam às autoridades policiais e judiciais a este respeito. A Comissão teve igualmente em conta o parecer da Autoridade Europeia para a Proteção de Dados e do Comité Europeu para a Proteção de Dados.

Além disso, a Comissão assegurou que as disposições do Protocolo e as propostas da Comissão em matéria de provas eletrónicas fossem compatíveis, nomeadamente à medida que o projeto de legislação evoluiu nos debates com os colegisladores, e que o Protocolo não desse origem a conflitos de leis. Em especial, a Comissão assegurou que o Protocolo incluísse salvaguardas adequadas em matéria de proteção de dados e privacidade, que permitam aos prestadores de serviços da UE cumprir as suas obrigações ao abrigo da legislação da UE em matéria de proteção de dados e privacidade, na medida em que o Protocolo constitui um fundamento jurídico para as transferências de dados em resposta a injunções ou pedidos emitidos por uma autoridade de uma Parte no Protocolo não pertencente à UE que exijam que um responsável pelo tratamento ou um subcontratante da UE divulgue dados pessoais ou dados de comunicações eletrónicas.

2.4.Reservas, declarações, notificações, comunicações e outras considerações

O Protocolo constitui uma base para as Partes formularem determinadas reservas e para fazerem declarações, notificações ou comunicações em relação a determinados artigos. Os Estados-Membros devem adotar uma abordagem uniforme relativamente a certas reservas, declarações, notificações e comunicações, tal como estabelecido no anexo da presente decisão. A fim de assegurar a compatibilidade da aplicação do Protocolo com o direito da União, os Estados-Membros da UE devem tomar a posição a seguir exposta no que diz respeito a essas reservas e declarações. Sempre que o Protocolo constitua uma base para outras reservas, declarações, notificações ou comunicações, a presente proposta autoriza os Estados-Membros a examinar e formular as suas próprias reservas, declarações, notificações ou comunicações.