PARLAMENTO EUROPEU 2014-2019 Comissão das Liberdades Cívicas, da Justiça e dos Assuntos Internos 8.7.2014 DOCUMENTO DE TRABALHO sobre o futuro acordo internacional União Europeia (UE) - Estados Unidos da América (EUA) relativo à proteção de dados pessoais transferidos e tratados para efeitos de prevenção, investigação, deteção e repressão de crimes, incluindo o terrorismo, no contexto da cooperação policial e judiciária em matéria penal Comissão das Liberdades Cívicas, da Justiça e dos Assuntos Internos Relator: Jan Philipp Albrecht DT\1031547.doc PE536.151v02-00 Unida na diversidade
I. Introdução Em 3 de dezembro de 2010, o Conselho adotou uma decisão que autorizava a abertura de negociações para um acordo entre a União Europeia e os Estados Unidos da América sobre a proteção de dados pessoais transferidos e tratados para efeitos de prevenção, investigação, deteção e repressão de crimes, incluindo o terrorismo, no contexto da cooperação policial e judiciária em matéria penal (adiante designado «acordo-quadro»). Em conformidade com o mandato atribuído à Comissão, o objetivo do acordo é garantir um nível elevado de proteção dos direitos e das liberdades fundamentais das pessoas singulares, em particular o direito à vida privada no que toca ao tratamento de dados pessoais transferidos e tratados pelas autoridades competentes da União Europeia, dos respetivos Estados-Membros e dos EUA para estes fins. O acordo pretende oferecer um elevado nível de proteção de dados, respeitando os direitos e os princípios previstos na Carta dos Direitos Fundamentais da União Europeia, na Convenção para a Proteção dos Direitos do Homem e das Liberdades Fundamentais e no Direito secundário da UE. Além disso, visa estabelecer direitos juridicamente vinculativos e com força executiva em matéria de proteção de dados para os titulares de dados e criar mecanismos que assegurem a efetiva aplicação dessas normas. O acordo deve conter, em particular, disposições específicas sobre: A limitação da finalidade dos dados pessoais transferidos e tratados. Os dados pessoais devem ser tratados para fins determinados, explícitos e legítimos no âmbito do acordo, não devendo ser posteriormente tratados de forma incompatível com estes fins; A qualidade e a integridade dos dados, ou seja, os dados pessoais devem ser adequados, relevantes e não excessivos relativamente aos fins para que são tratados, e o período de conservação; Garantias relativas ao tratamento de dados sensíveis; As regras sobre transferências ulteriores, tanto para autoridades nacionais da parte contratante como para autoridades de países terceiros; O direito dos titulares de dados a aceder aos respetivos dados pessoais, corrigi-los, eliminá-los e bloqueá-los, devendo qualquer restrição a esses dados ser necessária, proporcionada e justificada por motivos específicos; O direito dos titulares de dados à informação; O direito dos titulares de dados a mecanismos de recurso administrativo e judicial eficazes e vinculativos; bem como Uma efetiva supervisão por parte de autoridades públicas independentes que devem dispor de efetivas competências de investigação e intervenção. Segundo o artigo 8.º da Carta da UE, a conformidade com as disposições do acordo deve ser submetida ao controlo de uma autoridade pública independente. Importa sublinhar que o acordo em si não constitui a base jurídica para o tratamento e a transferência de dados num caso específico. A base jurídica encontra-se nos acordos da União ou nos acordos bilaterais com os EUA, por exemplo os relativos ao tratamento dos registos de identificação dos passageiros das companhias aéreas (Acordo PNR UE-EUA) ou às PE536.151v02-00 2/5 DT\1031547.doc
mensagens de pagamentos financeiros para fins judiciários (Acordo TFTP UE-EUA) que preveem a transferência de dados pessoais. O acordo definirá apenas o regime jurídico em matéria de proteção de dados aplicável ao intercâmbio transatlântico de dados pessoais, garantindo assim um nível elevado e harmonizado de proteção de dados. Em 28 de março de 2011, a Comissão encetou as negociações com os EUA. Desde então, tiveram lugar várias rondas de negociações. O dossiê tem estado regularmente na ordem do dia das reuniões ministeriais UE-EUA em matéria de Justiça e Assuntos Internos 1. Em 25 de junho de 2014, o Ministro da Justiça dos EUA, Eric Holder, anunciou que tomaria as devidas medidas legislativas por forma a prever os mecanismos de recurso judicial para os cidadãos europeus que não residem nos Estados Unidos, o que foi acolhido favoravelmente pela Comissão, tendo em conta que a legislação dos EUA poderia «permitir chegar a um entendimento sobre o acordo-quadro relativo à proteção de dados» 2. II. Situação atual Nos documentos de trabalho anteriores, de 10 de setembro de 2010 3, o relator apresentou uma descrição geral dos regimes jurídicos dos EUA e da UE em matéria de tratamento de dados para efeitos judiciários, mostrando as diferenças de abordagem à proteção de dados entre o Direito da União Europeia e o Direito dos Estados Unidos. O relator salientou uma série de questões relativamente às quais se deveria prestar uma atenção particular: a ausência de um regime uniforme em matéria de proteção de dados dos dois lados do Atlântico, a revisão atual do regime de proteção de dados da UE, incluindo a integração da legislação relativa à proteção de dados para o setor privado e o setor público, as diferenças de abordagem no que toca ao conceito de fiscalização independente, os princípios da proporcionalidade, da minimização de dados, dos períodos de conservação mínimos e da limitação da finalidade, incluindo os debates em curso sobre a criação de perfis e a exploração de dados, a definição do conceito de segurança nacional, a aplicação das normas de proteção de dados, nomeadamente o direito de todos os cidadãos a mecanismos de recurso judicial, independentemente da sua nacionalidade e do seu local de residência. Existem ainda questões em aberto relativamente, por exemplo, às condições de acesso das autoridades judiciais aos dados pessoais transferidos por empresas privadas do território da parte contratante B para uma empresa estabelecida no território da parte contratante A. 1 2 3 Ver, designadamente, a Declaração Conjunta à Imprensa após a Reunião Ministerial UE-EUA em matéria de Justiça e Assuntos Internos, de 18 de novembro de 2013, em Washington Reunião Ministerial UE-EUA, de 25 de junho de 2014, em Atenas: a Vice-Presidente da Comissão Europeia, Viviane Reding saúda a comunicação dos EUA relativa ao acordo-quadro sobre a proteção de dados, http://europa.eu/rapid/press-release_statement-14-208_en.htm. PE448.804v01-00 e PE448.805v01.00 DT\1031547.doc 3/5 PE536.151v02-00
As revelações sobre a vigilância eletrónica em larga escala dos cidadãos da União por parte dos serviços secretos dos EUA, que deram azo à Resolução do Parlamento Europeu de 12 de março de 2014 1, repercutiram-se nas negociações do acordo-quadro sobre a proteção de dados. Do inquérito conduzido pelo Parlamento resultaram «provas consistentes da existência de sistemas de longo alcance, complexos e altamente avançados em termos tecnológicos, concebidos pelos serviços de informação dos Estados Unidos e de alguns Estados-Membros, para recolher, armazenar e analisar dados de comunicação, incluindo conteúdos de dados, dados de localização e metadados de todos os cidadãos do mundo a uma escala sem precedentes e de forma indiscriminada e sem base em suspeitas» 2. Na sua resolução, o Parlamento enfatiza «convictamente, dada a importância da economia digital na relação e para efeitos de restabelecimento da confiança EU-EUA, que, na falta de uma solução prévia adequada relativamente aos direitos à privacidade dos dados dos cidadãos da UE, incluindo o recurso administrativo e judicial, a aprovação pelo Parlamento do Acordo TTIP final está comprometida enquanto não cessarem por completo as atividades de vigilância em larga escala, bem como a interceção de comunicações no seio das instituições e das representações diplomáticas da UE» 3. Solicita, em particular, que o acordo-quadro preveja «vias de recurso administrativo e judicial eficazes e exequíveis para todos os cidadãos da UE nos Estados Unidos sem qualquer discriminação» 4. Pede ainda à Comissão que não inicie «novos acordos setoriais ou mecanismos de transferência de dados pessoais para efeitos de aplicação da lei com os Estados Unidos, enquanto o acordo global não tiver entrado em vigor» 5. Por fim, para avaliar os resultados das negociações do acordo-quadro, é necessário ter em conta a jurisprudência do Tribunal de Justiça, nomeadamente o acórdão proferido nos processos apensos C-293/12 e C-594/12, Digital Rights Ireland, Seitlinger e outros, que declara inválida a Diretiva relativa à conservação de dados e interpreta os artigos 7.º e 8.º da Carta dos Direitos Fundamentais da União Europeia. III. Questões em aberto As revelações sobre a vigilância eletrónica em larga escala trouxeram um novo pano de fundo às negociações sobre o acordo-quadro UE-EUA. Para além das exigências de uma redação 1 2 3 4 5 P7_TA-PROV(2014)0230 justiça e dos assuntos internos, P7_TA-PROV(2014)0230, n.º 1. justiça e dos assuntos internos, P7_TA-PROV(2014)0230, n.º 74. justiça e dos assuntos internos, P7_TA-PROV(2014)0230, n.º 57. justiça e dos assuntos internos, P7_TA-PROV(2014)0230, n.º 58. PE536.151v02-00 4/5 DT\1031547.doc
inequívoca e da aplicação dos princípios de proteção de dados, no respeito pelas obrigações em matéria de direitos fundamentais da UE, surgiram novas preocupações relativas ao âmbito de aplicação do acordo, por forma a evitar o desvanecimento dos limites entre as atividades judiciárias e dos serviços de informação, bem como uma definição e utilização excessivas do conceito de segurança nacional. De acordo com as informações de que o relator dispõe, para além da necessidade de uma implementação prática e eficaz da comunicação dos Estados Unidos, segundo a qual estes disponibilizariam aos cidadãos da UE vias de recurso administrativo e judicial, a atual redação em apreciação nas negociações não se refere propriamente aos princípios essenciais da proteção de dados, designadamente no que toca à conservação de dados, à limitação da finalidade, às transferências ulteriores e a uma efetiva supervisão independente. As condições relativas à conservação de dados pessoais não foram concebidas com a devida precisão. Além disso, contrariamente ao princípio bem estabelecido no Direito da UE da limitação da finalidade, uma autoridade judiciária dos EUA que receba dados pessoais de uma autoridade competente da UE poderia voltar a utilizar esses dados pessoais para outros fins e partilhá-los com outras autoridades judiciárias. O acordo incluiria o princípio da não discriminação, segundo o qual uma das partes aplicaria as disposições do acordo sem qualquer discriminação entre os seus cidadãos e os da contraparte. Contudo, tal não garante que o tratamento oferecido aos cidadãos da UE cumpriria sempre os requisitos mínimos da Carta e da legislação da UE em matéria de proteção de dados. Com efeito, este princípio poderia ter o efeito inverso de anular as proteções do acordo com o fundamento de que a legislação de uma parte contratante não concede aos seus próprios cidadãos as proteções e garantias definidas no acordo. Tal implicaria que, embora os cidadãos da UE fossem tratados de forma igual, as proteções e os direitos em vigor na UE inerentes ao direito fundamental à proteção de dados desapareceriam por completo quando os dados fossem transferidos, devido à aplicação do princípio da não discriminação. A supervisão das operações de tratamento é um elemento essencial do sistema de proteção de dados.o artigo 8.º da Carta dos Direitos Fundamentais da União Europeia e o artigo 16.º TFUE determinam expressamente que o cumprimento das regras em matéria de proteção de dados fica sujeito ao controlo de autoridades independentes. A jurisprudência do Tribunal de Justiça acima mencionada clarificou este conceito. Contudo, não está claro de que modo este princípio dos direitos fundamentais é respeitado, uma vez que a entidade supervisora é atualmente a Administração dos EUA, que não goza de verdadeiros poderes executivos sobre a autoridade competente. IV Seguimento O relator está confiante de que a Comissão terá em conta as questões em aberto, na sua qualidade de guardiã dos Tratados. Quando um acordo for alcançado, o relator verificará pormenorizadamente a sua conformidade com as normas de proteção de dados da UE. Em caso de dúvida, o relator recomenda que o Parlamento consulte o Tribunal de Justiça. DT\1031547.doc 5/5 PE536.151v02-00