Document ID: 32000D0520

Decisão da Comissão
de 26 de Julho de 2000
nos termos da Directiva 95/46/CE do Parlamento Europeu e do Conselho e relativa ao nível de protecção assegurado pelos princípios de "porto seguro" e pelas respectivas questões mais frequentes (FAQ) emitidos pelo Department of Commerce dos Estados Unidos da América
[notificada com o número C(2000) 2441]
(Texto relevante para efeitos do EEE)
(2000/520/CE)
A COMISSÃO DAS COMUNIDADES EUROPEIAS,
Tendo em conta o Tratado que institui a Comunidade Europeia,
Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados(1), e, nomeadametne, o n.o 6 do seu artigo 25.o,
Considerando o seguinte:
(1) Nos termos da Directiva 95/46/CE, os Estados-Membros devem prever que a transferência de dados pessoais para um país terceiro só pode realizar-se se o país terceiro em questão assegurar um nível de protecção adequado e a lei de execução dos Estados-Membros de outras disposições da directiva tiver sido respeitada antes de efectuada a transferência.
(2) A Comissão pode determinar se um país terceiro garante um nível de protecção adequado. Nesse caso podem ser transferidos dados pessoais a partir dos Estados-Membros sem que sejam necessárias garantias adicionais.
(3) Nos termos da directiva, a adequação do nível de protecção de dados deve ser apreciada em função de todas as circunstâncias que acompanham a operação de transferência de dados ou o conjunto de operações de transferência de dados, com relação a determinadas regras. O grupo de trabalho "Protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais", criado pela referida directiva(2) estabeleceu directrizes para efectuar tal apreciação(3).
(4) Dados os diferentes níveis de protecção nos países terceiros, o nível de adequação da protecção de dados deve ser apreciado e quaisquer decisões com base no n.o 6 do artigo 25.o devem ser aplicadas de forma que não se verifique uma discriminação arbitrária ou injustificada contra ou entre países terceiros, onde prevaleçam condições semelhantes, nem um obstáculo dissimulado ao comércio, tendo em conta os actuais compromissos internacionalmente assumidos pela Comunidade.
(5) O nível adequado de protecção da transferência de dados a partir da Comunidade Europeia para os Estados Unidos da América (EUA), nos termos da presente decisão, pode conseguir-se se as organizações derem cumprimento aos princípios da "privacidade em porto seguro" relativos à protecção de dados pessoais transferidos de um Estado-Membro para os EUA (a seguir denominados "os princípios") e às directrizes das questões mais frequentes (a seguir designadas "FAQ") que servem de guia no que respeita à aplicação dos princípios estabelecidos pelo Governo dos Estados Unidos em 21 de Julho de 2000. Por outro lado, as organizações devem dar a conhecer publicamente as suas políticas em matéria de protecção da vida privada e ficar abrangidas pelo âmbito da competência da Federal Trade Comission (FTC) que, nos termos do artigo 5.o da lei relativa ao comércio federal (Section 5 of the Federal Trade Commission Act), garante a proibição dos actos ou as práticas desleais ou enganosas relativas ao comércio, ou de outros organismos públicos que efectivamente assegurem o respeito dos princípios aplicados em conformidade com as FAQ.
(6) Os sectores e/ou tratamento de dados não incluídos no âmbito da competência dos órgãos administrativos dos Estados Unidos da América referidos no anexo VII da presente decisão não são por ela abrangidos.
(7) A fim de garantir a correcta aplicação da presente decisão, é necessário que as organizações que aderirem ao conjunto de princípios e às FAQ sejam reconhecidas pelos interessados directos, tais como pessoas cujos dados foram objecto de tratamento, exportadores de dados e entidades responsáveis pela protecção dos dados. Para o efeito o US Department of Commerce, ou um seu representante, assumirá a responsabilidade de manter actualizada uma lista pública das organizações que aderirem ao referido conjunto de princípios aplicados segundo as orientações das FAQ e que estejam abrangidos pelo âmbito de competência de, pelo menos, uma das entidades públicas referidas no anexo VII da presente decisão.
(8) Num interesse de transparência e para salvaguardar a capacidade de as autoridades competentes nos Estados-Membros assegurarem a protecção das pessoas no que diz respeito ao tratamento de dados pessoais, é necessário precisar na presente decisão as circunstâncias excepcionais em que a suspensão de fluxos concretos de dados se pode justificar, apesar de verificado um nível de protecção adequado.
(9) O "porto seguro" criado pelos princípios e pelas FAQ pode necessitar de revisão à luz da experiência dos desenvolvimentos relativos à protecção da vida privada em circunstâncias em que a tecnologia torna cada vez mais fáceis a transferência e o tratamento de dados pessoais e à luz de relatórios relativos à aplicação dada pelas entidades responsáveis.
(10) Os pareceres emitidos pelo grupo de trabalho "Protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais", criado pelo artigo 29.o da Directiva 95/46/CE, sobre o nível de protecção facultado pelos princípios de "porto seguro" nos EUA, foram tidos em conta na preparação da presente decisão(4).
(11) As medidas previstas pela presente decisão estão em conformidade com o parecer do comité estabelecido pelo artigo 31.o da Directiva 95/46/CE,
ADOPTOU A PRESENTE DECISÃO:
Artigo 1.o
1. Nos termos do n.o 2 do artigo 25.o da Directiva 95/46/CE, para efeitos de todas as actividades abrangidas pelo âmbito da directiva, considera-se que os "princípios da privacidade em porto seguro" (a seguir denominados "os princípios") que figuram no anexo I da presente decisão, aplicados em conformidade com a orientação que proporcionam as questões mais frequentes (a seguir designadas "FAQ"), publicadas pelo Department of Commerce dos EUA, em 21 de Julho de 2000 que figuram no anexo II da presente decisão, asseguram um nível adequado de protecção dos dados pessoais transferidos a partir da Comunidade Europeia para organizações estabelecidas nos Estados Unidos da América, tendo em conta os seguintes documentos emanados do Department of Commerce dos EUA:
a) O resumo global de aplicação dos princípios de porto seguro que figura no anexo III;
b) O memorando sobre danos por violação das regras de protecção da vida privada e autorizações explícitas previstas na lei dos EUA, que figura no anexo IV;
c) O ofício da Federal Trade Commission que figura no anexo V;
d) O ofício do Department of Transportation que figura no anexo VI.
2. No que respeita a cada transferência de dados:
a) A organização destinatária dos dados comprometer-se-á clara e publicamente a cumprir os princípios aplicados em conformidade com as FAQ; e
b) A referida organização fica sujeita aos poderes legais dos entes públicos administrativos norte-americanos referidos no anexo VII da presente decisão, com competência para investigar denúncias, tomar medidas contra práticas desleais e enganosas, assim como proceder à reparação de pessoas singulares, independentemente do seu país de residência ou da sua nacionalidade, sempre que se verificar incumprimento dos princípios segundo as orientações das FAQ.
3. Considera-se que a organização que declarar a sua adesão aos princípios aplicados em conformidade com as FAQ cumpre o disposto no n.o 2, a partir da data em que comunicar ao Department of Commerce dos EUA ou ao seu representante, a divulgação do compromisso referido na alínea a) do n.o 2, bem como a identidade da entidade pública a que se refere a alínea b) do n.o 2.
Artigo 2.o
A presente decisão diz respeito tão só ao nível adequado de protecção previsto nos Estados Unidos da América nos termos dos princípios aplicados nos termos da FAQ a fim de dar cumprimento ao disposto no n.o 1 do artigo 25.o da Directiva 95/46/CE e não prejudica a aplicação de outras disposições da referida directiva relativas ao tratamento de dados pessoais nos Estados-Membros e nomeadamente o seu artigo 4.o
Artigo 3.o
1. Sem prejuízo da competência para tomar medidas que garantam o cumprimento das disposições nacionais adoptadas por força de outras disposições além das previstas no artigo 25.o da Directiva 95/46/CE, as autoridades competentes dos Estados-Membros podem exercer as suas competências para suspender a transferência de dados para uma organização que tenha declarado a sua adesão aos princípios aplicados em conformidade com as FAQ, se isso se verificar necessário à protecção das pessoas no que diz respeito ao tratamento dos seus dados pessoais, nos casos seguintes:
a) A entidade pública administrativa norte-americana referida no anexo VII da presente decisão, ou um mecanismo de recurso independente, nos termos da alínea a) do princípio de aplicação que figura no anexo I da presente decisão, determinou que a organização violou os princípios em conformidade com as FAQ; ou
b) Existem fortes probabilidades para supor que os princípios não estão a ser respeitados. Há indícios de que o mecanismo de aplicação em causa não toma ou não tomará as medidas adequadas na altura necessária para resolver o caso em questão, que a continuação da transferência dos dados pode causar graves prejuízos às pessoas em causa e que as entidades competentes nos Estados-Membros envidaram esforços razoáveis, dadas as circunstâncias, para facultar à organização em causa a informação e oportunidade necessárias para responder.
A suspensão cessará assim que o respeito dos princípios aplicados em conformidade com as FAQ estiver assegurado e a autoridade competente em questão na Comunidade Europeia seja disso informada.
2. Os Estados-Membros devem informar imediatamente a Comissão da adopção de medidas nos termos do n.o 1.
3. Os Estados-Membros e a Comissão devem ainda manter-se mutuamente informados relativamente aos casos em que os organismos responsáveis pelo cumprimento dos princípios aplicados em conformidade com as FAQ nos Estados Unidos da América não garantam esse mesmo cumprimento.
4. Se a informação recolhida nos termos dos n.os 1 a 3 demonstrar que os organismos responsáveis pelo cumprimento dos princípios em conformidade com as FAQ nos Estados Unidos da América não desempenham eficazmente as suas funções, a Comissão deve informar o Department of Commerce norte-americano e, se necessário, apresentar um projecto de medidas, de acordo com o procedimento estabelecido no artigo 31.o da directiva, para revogar ou suspender a presente decisão ou limitar o seu âmbito.
Artigo 4.o
1. A presente decisão pode ser adaptada em qualquer altura, à luz da experiência proporcionada pela sua aplicação e/ou se o nível de protecção proporcionado pelos princípios e pelas FAQ for considerado insuficiente pela lei norte-americana.
Em qualquer caso, a Comissão deve apreciar a aplicação da presente decisão com base na informação disponível, três anos após a sua notificação aos Estados-Membros, e informar o comité estabelecido pelo artigo 31.o da Directiva 95/46/CE de todas as conclusões pertinentes e, nomeadamente, de todas as provas que possam afectar a apreciação da adequação do nível de protecção do disposto no artigo 1.o da presente decisão, nos termos do artigo 25.o da directiva, e de todas as provas de aplicação discriminatória da decisão.
2. A Comissão apresentará, se necessário, projectos de medidas de acordo com o previsto no artigo 31.o da diretiva.
Artigo 5.o
Os Estados-Membros tomarão todas as medidas necessárias para dar cumprimento à presente decisão, o mais tardar até 90 dias após a data da sua notificação aos Estados-Membros.
Artigo 6.o
Os Estados-Membros são os destinatários da presente decisão.
Feito em Bruxelas, em 26 de Julho de 2000.

Labels: 12
11
18