DOCUMENTO DE TRABALHO 4

PARLAMENTO EUROPEU 2009-2014 Comissão das Liberdades Cívicas, da Justiça e dos Assuntos Internos 12.12.2013 DOCUMENTO DE TRABALHO 4 sobre as atividades de vigilância dos EUA a respeito dos dados da UE e as suas possíveis implicações jurídicas nos acordos e na cooperação transatlânticos Comissão das Liberdades Cívicas, da Justiça e dos Assuntos Internos Relator: Claude Moraes Axel Voss (Coautor) DT\1011371.doc PE524.633v01-00 Unida na diversidade

Impacto dos programas de vigilância dos EUA em acordos transatlânticos Tendo em conta a escala da revelação sobre as atividades de vigilância dos EUA, os cidadãos da UE esperam que o Parlamento Europeu aja, enquanto única Instituição Europeia diretamente eleita. O Parlamento não deve apenas reagir a estas revelações, mas sim iniciar uma investigação escrupulosa baseada em princípios jurídicos sólidos e na averiguação de factos, a fim de analisar atentamente o quadro jurídico para a transferência de dados com os EUA. A transferência transatlântica de dados não é efetuada numa zona cinzenta fora do quadro jurídico; pelo contrário, aplicam-se vários acordos transatlânticos existentes. Como consequência das atividades de vigilância dos EUA, vários atores políticos solicitaram a suspensão de alguns acordos transatlânticos existentes. Ao retirar conclusões do inquérito da Comissão LIBE sobre a vigilância maciça eletrónica dos cidadãos da UE e a delegação da LIBE a Washington D.C. em outubro de 2013, é evidente que, por forma a restabelecer a confiança na relação transatlântica, é necessário reforçar a cooperação económica transatlântica e assegurar um equilíbrio adequado entre o direito fundamental dos cidadãos da UE à proteção de dados e a prossecução legal da aplicação da lei. Uma vez que o inquérito da Comissão LIBE sobre a vigilância maciça eletrónica dos cidadãos da UE se encontra em curso e apresentará o documento final no início de 2014, o presente documento de trabalho centra-se nos acordos transatlânticos existentes que divergem em termos de âmbito, conteúdo e aplicação jurídica. O TFTP, o PNR UE-EUA e o Porto Seguro são três acordos completamente diferentes que regulam os fluxos de dados com os EUA. Por um lado, o TFTP e o PNR UE-EUA são acordos em matéria de justiça e assuntos internos e ferramentas na luta contra o terrorismo globalizado e a criminalidade grave. Por outro lado, o Porto Seguro é um mecanismo para transferências de dados na esfera empresarial. Porto Seguro O Porto Seguro é um mecanismo criado pelas autoridades americanas (Ministério do Comércio, Comissão Federal de Comércio e Ministério dos Transportes) e a Comissão Europeia a fim de fornecer às empresas americanas que tratam dados pessoais de cidadãos europeus uma ferramenta que lhes permite transferir dados para os EUA, oferecendo simultaneamente um nível adequado de proteção. Este acordo foi estabelecido por forma a abordar o problema derivado da falta de adequação do quadro jurídico de privacidade dos EUA e permite que um responsável pelo tratamento de dados da UE transfira dados pessoais para uma organização dos EUA que tenha declarado a sua adesão ao Acordo e se comprometa a assegurar a conformidade com os princípios do mesmo. O Porto Seguro tem sido um assunto de controvérsia política desde o início. O Parlamento Europeu sublinhou várias preocupações baseadas na ausência de um direito individual a um recurso judicial, na falta de obrigação nas empresas de pagar compensação pelo tratamento de dados ilegal e os diferentes sistemas de proteção que existem nos EUA que dependem de o facto de os proprietários de dados serem ou não europeus. Em caso de violação da Decisão 2000/520/CE, tal implica um sistema duplo para a suspensão ou cessação do mecanismo. Segundo o artigo 3.º, as autoridades responsáveis pela proteção dos dados dos Estados-Membros podem exercer os seus poderes existentes para suspender os fluxos de dados para uma organização nos casos em que existam fortes probabilidades de PE524.633v01-00 2/7 DT\1011371.doc

violação dos princípios e em que o tratamento de dados pessoais ou a continuação da transferência criem um risco iminente de dano grave para as pessoas a quem se referem os dados. Os Estados-Membros devem informar a Comissão Europeia quando tal se verifique, que, por sua vez, deve avaliar a aplicação da decisão com base nas informações disponíveis e comunicar todos os resultados pertinentes ao comité estabelecido no artigo 31.º da Diretiva 95/46/CE. Por conseguinte, a Comissão pode declarar que a aplicação ou o funcionamento do Porto Seguro não se realizam e propor medidas a fim de, por exemplo, suspender ou revogar a decisão. O Porto Seguro é hoje considerado um possível obstáculo para a aplicação das normas de proteção de dados da UE. Além disso, suspeita-se que funciona como um elemento na cadeia de justificações jurídicas para o programa PRISM de vigilância maciça dos EUA. Só depois de os meios sociais terem divulgado as atividades de vigilância maciça da ANS e do facto de que indicou que grandes empresas de comunicação eletrónica dos EUA, todas elas autocertificadas no âmbito do Porto Seguro, estavam envolvidas nestas atividades, é que a Comissão Europeia anunciou publicamente uma avaliação do Porto Seguro dos EUA. Esta avaliação 1 subsequente reconhece com importância a necessidade de rever esse acordo tendo em conta o novo contexto das tecnologias com o exponencial aumento nos fluxos de dados, a crescente importância dos fluxos de dados nomeadamente para a economia transatlântica, o rápido crescimento do número de empresas nos EUA que aderem ao Porto Seguro e a informação publicada recentemente sobre os programas de vigilância dos EUA. A comunicação indica 13 recomendações-chave a serem aplicadas pelos EUA, a fim de abordar as deficiências fundamentais identificadas, que fornecerão as bases para uma revisão completa do funcionamento dos princípios do Porto Seguro. Contudo, apesar da reação da Comissão, surgiram preocupações relativas à adequação do Porto Seguro, tendo em conta a extensão da vigilância maciça do comportamento privado. Em termos de vigilância maciça eletrónica dos cidadãos da UE por parte da ANS, há um amplo acordo político de que a União Europeia deve ter como fim terminar a determinação de adequação do Porto Seguro e encontrar novas soluções jurídicas. O relatório do grupo de trabalho ad hoc UE-EUA sobre a proteção de dados, de 27 de novembro de 2013 2, afirma que a legislação americana não confere a pessoas não americanas qualquer via judicial ou administrativa a respeito do acesso, recurso e informação sobre o tratamento dos seus dados pessoais para efeitos de aplicação da lei ou segurança nacional. O Porto Seguro já não é «seguro». A suspensão ou cessação do Acordo Porto Seguro é também um debate político, mas provavelmente conduziria a consequências económicas. Os EUA e a UE são importantes parceiros económicos. Assim, é extremamente importante restabelecer a confiança mútua entre os parceiros transatlânticos, reforçar a confiança na economia e, mais especificamente, adotar normas de proteção de dados comuns ou adequadas em ambos os lados do Atlântico. A longo prazo, contribuiria igualmente para restaurar a relação transatlântica numa base mais sólida. No entanto, esperamos para ver o efeito das possíveis consequências económicas. 1 Comunicação da Comissão ao Parlamento Europeu e ao Conselho sobre o funcionamento do porto seguro da perspetiva dos cidadãos da UE e das empresas estabelecidas na UE, COM(2013) 847, de 27 de novembro de 2013. 2 Documento 16987/13 do Conselho, de 27 de novembro de 2013. Não existem oportunidades para que indivíduos obtenham acesso, retificação ou eliminação de dados, ou recurso judicial ou administrativo. DT\1011371.doc 3/7 PE524.633v01-00

Todas as principais empresas de Internet americanas poderiam sofrer graves efeitos se a UE decidir revogar a decisão do Porto Seguro de 26 de julho de 2000. Seria exigido que utilizassem outros instrumentos definidos na Diretiva 95/46/CE, por exemplo, normas empresariais contratuais ou vinculativas. Contudo, as autoridades nacionais em matéria de proteção de dados devem considerar se estes instrumentos fornecem proteções adequadas, tendo em conta a legislação americana no âmbito da informação e da segurança nacional e a participação destas empresas nas atividades de vigilância maciça das agências de informação dos EUA. Acordo TFTP O Acordo TFTP entre a União Europeia e os Estados Unidos da América sobre o tratamento de dados de mensagens de pagamentos financeiros e a sua transferência da UE para os EUA para efeitos do Programa de Deteção do Financiamento do Terrorismo (adiante designado «Acordo TFTP») foi concluído em 13 de julho de 2010 e entrou em vigor em 1 de agosto de 2010. A deteção do financiamento do terrorismo é uma ferramenta essencial na luta contra o financiamento do terrorismo e criminalidade grave, permitindo que os investigadores contra o terrorismo descubram ligações entre os alvos de investigação e outros potenciais suspeitos associados com amplas redes terroristas suspeitas de financiar terrorismo. Após um longo processo de negociação, o Parlamento Europeu concordou com o acordo TFTP com base em que o acordo providencia uma abordagem equilibrada para combater o terrorismo e, ao mesmo tempo, garantir a proteção das liberdades civis e dos direitos fundamentais, assegurando a privacidade e a proteção de dados. As alegações de que a ANS explorou a base de dados da SWIFT suscitaram sérias preocupações relativamente a se o acordo oferece garantias jurídicas reais e salvaguardas para os dados pessoais dos cidadãos da UE. Houve pedidos no espetro político para que a Comissão Europeia investigasse plenamente as alegações de graves violações do acordo TFTP UE-EUA a fim de restabelecer a confiança e a cooperação leal na relação transatlântica com os EUA. Numa resolução comum sobre o Acordo SWIFT, como resultado da vigilância da Agência Nacional de Segurança dos EUA 1, a maioria do Parlamento Europeu votou a favor de que a Comissão Europeia suspendesse o acordo em vigor. Segundo o artigo 21.º do Acordo TFTP, uma suspensão do acordo é juridicamente possível: «Qualquer das Partes pode suspender a aplicação do presente Acordo com efeitos imediatos, em caso de violação das obrigações da outra Parte ao abrigo do presente Acordo, mediante notificação por via diplomática. O termo da vigência produz efeitos seis meses a contar da data em que for recebida a respetiva notificação. As Partes consultam-se antes da eventual suspensão ou cessação da vigência do Acordo de forma a permitir chegar a uma solução mutuamente aceitável. Não obstante a eventual suspensão ou cessação da vigência do presente Acordo, todos os dados obtidos pelo Departamento do Tesouro dos EUA nos termos do presente Acordo continuarão a ser tratados em conformidade com as garantias do mesmo, 1 http://www.europarl.europa.eu/sides/getdoc.do?type=ta&reference=p7-ta-2013-0449&language=en&ring=p7-rc-2013-0468 PE524.633v01-00 4/7 DT\1011371.doc

incluindo as disposições em matéria de apagamento de dados.» 1 O Departamento do Tesouro dos Estados Unidos, em resposta à Comissária Cecilia Malmström e à delegação da LIBE a Washington D.C. (28-30 de outubro de 2013), declarou oficialmente que o governo dos Estados Unidos (a ANS é considerada neste sentido como parte do governo) não recolheu ou tratou dados do SWIFT de nenhuma outra forma além da reconhecida no Acordo. O Departamento do Tesouro dos Estados Unidos deu igualmente garantias em relação ao acesso às mensagens formatadas do SWIFT em conformidade com outras ferramentas jurídicas. A Comissária Malmström relatou aos membros da Comissão os recentes progressos no TFTP e TFTS, em 27 de novembro de 2013. No âmbito do procedimento de consulta dentro do Acordo TFTP, a Comissária Malmström teve várias vezes contacto com os EUA e essas consultas não revelaram quaisquer elementos que indiquem uma violação do Acordo TFTP por parte dos EUA. Além disso, levaram os EUA a fornecer uma garantia por escrito em como não foi efetuada nenhuma recolha de dados direta contrária às disposições do acordo TFTP. A Europol e os funcionários do SWIFT comunicaram ao inquérito da Comissão LIBE que não existem indicações de que a ANS violou o Acordo TFTP. Apesar destas garantias dos EUA e da Comissão, surgiram preocupações de certos grupos políticos acerca do esclarecimento fornecido, dada a ausência de qualquer investigação técnica e a confiança nas declarações emitidas pelos EUA. A confiança deve ser restabelecida a fim de permitir a cooperação de êxito futura entre os EUA e a UE. Acordo PNR entre a UE e os EUA O Acordo de Registo de Identificação de Passageiros entre a União Europeia e os Estados Unidos (a seguir designados por «PNR UE-EUA) foi concluído ao abrigo dos artigos 24.º e 38.º do anterior Tratado da União Europeia. O PNR refere-se a conjuntos de dados criados para todos os passageiros de voos por companhias aéreas num sistema informatizado de reserva. O PNR UE-EUA é um acordo da UE com um país terceiro e, portanto, sujeito à aprovação do Parlamento Europeu. O novo acordo foi concluído em novembro de 2011 e inclui um âmbito claro, tempo máximo de armazenamento de dados, a possibilidade dos funcionários da UE inspecionarem a aplicação do acordo nos EUA e uma cláusula de revisão. O Acordo PNR UE-EUA contém uma cláusula de suspensão e cessação. Por um lado, o artigo 24.º permite a suspensão do Acordo em caso de qualquer litígio derivado da aplicação do Acordo e muitos outros assuntos relacionados. Se as consultas não permitirem a resolução do litígio, qualquer das Partes pode suspender a aplicação do presente acordo mediante notificação escrita por via diplomática, produzindo a suspensão efeitos 90 dias após a data dessa notificação, salvo acordo em contrário das Partes sobre uma data diferente. Não obstante a eventual suspensão do Acordo PNR UE-EUA, todos os PNR obtidos pelo Departamento da Segurança Interna dos Estados Unidos nos termos do presente acordo antes 1 Acordo entre a União Europeia e os Estados Unidos da América sobre o tratamento de dados relativos a mensagens de pagamentos e sua transferência da União Europeia para os Estados Unidos para efeitos do Programa de Deteção do Financiamento do Terrorismo, Jornal Oficial da União Europeia L 215/7; 25.8.2000. DT\1011371.doc 5/7 PE524.633v01-00

da sua eventual suspensão continuarão a ser tratados e utilizados em conformidade com as garantias do mesmo. Contudo, deve realçar-se que uma violação do Acordo pode ser considerada um fator fulcral e pode conduzir à suspensão do mesmo. Por outro lado, o artigo 25.º do Acordo PNR UE-EUA contém a cláusula de cessação do acordo jurídico. Qualquer das Partes pode, a qualquer momento, denunciar o presente acordo mediante notificação escrita por via diplomática. A cessação produz efeitos 120 dias após a data de tal suspensão. 1 Tendo em conta as sérias preocupações na UE sobre os programas de vigilância dos EUA, a Comissão Europeia emitiu a revisão conjunta da aplicação do acordo entre a UE e os EUA sobre o tratamento e a transferência do PNR para o Departamento da Segurança Interna dos EUA para verificar como são aplicados estes acordos. No caso do Acordo PNR foi realizada uma revisão conjunta, com a participação de peritos na proteção de dados da UE e dos EUA, analisando como o acordo tem sido aplicado. De acordo com este relatório final 2, o Departamento da Segurança Interna dos Estados Unidos declarou que partilha PNR com a Comunidade de Informação dos EUA caso exista um caso confirmado com um claro nexo de terrorismo e sempre nos termos do acordo. Durante o período de revisão, o Departamento da Segurança Interna efetuou 23 divulgações de dados PNR à ANS numa base casuística como apoio aos casos de contra terrorismo, consistente com os termos específicos do Acordo. Segundo a revisão, a partilha de dados com países terceiros é interpretada de modo estrito e em linha com o acordo. Por conseguinte, de acordo com a revisão, não existem elementos que indiquem uma violação do Acordo PNR UE-EUA. Contudo, o relatório final não refere o facto de que, no caso do tratamento dos dados pessoais para efeitos de informação, ao abrigo da legislação americana os cidadãos não americanos não dispõem de qualquer via judicial ou administrativa para proteger os seus direitos. As proteções constitucionais só são atribuídas a pessoas dos EUA. 3 Programas de vigilância dos EUA e o seu impacto nos futuros acordos transatlânticos Como resultado das revelações da vigilância maciça dos EUA, existe a necessidade de restabelecer e reforçar a confiança nas relações transatlânticas UE-EUA. Em termos de futuros acordos transatlânticos, deve existir uma relação de confiança a fim de permitir que a cooperação entre ambos os lados ajude a chegar a acordo em questões importantes para os cidadãos da UE e dos EUA. É imperativo que os EUA reconheçam que o respeito dos direitos fundamentais e da privacidade dos dados é um elemento essencial do quadro jurídico da UE e dos Estados-Membros e uma grande preocupação para a UE. A falta de controlos satisfatórios para garantir a segurança dos dados dos cidadãos europeus e das empresas na Europa terá um impacto negativo nos futuros acordos transatlânticos. O acesso à informação tratada e 1 Acordo entre os Estados Unidos da América e a União Europeia sobre a utilização e a transferência dos registos de identificação dos passageiros (PNR) para o Departamento da Segurança Interna dos Estados Unidos; Jornal Oficial da União Europeia L 215/5; 11.8.2012. 2 Revisão conjunta da implementação do acordo entre a União Europeia e os Estados Unidos sobre o tratamento e a transferência de registos de identificação dos passageiros para o Departamento da Segurança Interna dos EUA, complementando o relatório da Comissão ao Parlamento Europeu e ao Conselho sobre a revisão conjunta da implementação do acordo entre a União Europeia e os Estados Unidos sobre o tratamento e a transferência de registos de identificação dos passageiros para o Departamento da Segurança Interna dos EUA, SEC(2013) 630 final, Bruxelas 27.11.2013 3 Relatório do grupo de trabalho UE-EUA sobre a proteção de dados. Documento do Conselho n.º 16987/13, de 27 de novembro de 2013. PE524.633v01-00 6/7 DT\1011371.doc

armazenada na UE, diretamente pela ANS ou outras agências de informação, ou sem usar os mecanismos de assistência jurídica mútua, corroeu gravemente a confiança transatlântica e teve um impacto negativo na confiança em organizações americanas que atuam na UE. Tal é ainda mais agravado pela falta de direitos a recurso judicial ou administrativo da legislação americana para os cidadãos da UE, particularmente em casos de atividades de vigilância para efeitos de informação. Ao considerar a sua importância nos acordos transatlânticos, o Parlamento Europeu deve reavaliar o seu papel a fim de assegurar que a responsabilidade não termina após dar apoio a um acordo. Como uma instituição eleita democraticamente, o Parlamento Europeu é obrigado a assegurar que os direitos fundamentais dos cidadãos da UE são respeitados e continuam a ser respeitados em qualquer acordo transatlântico. Recomendações As abordagens da UE e dos EUA à proteção de dados e à privacidade divergem substancialmente entre si. Enquanto a proteção de dados constitui um direito fundamental na UE, nos EUA é vista como um elemento da proteção dos consumidores e organizada de um modo setorial. Além disso, se na UE se envidam esforços constantes para equilibrar, por um lado, a proteção de dados e a privacidade e, por outro, a segurança e a aplicação da lei, nos EUA parece que se dá apenas prioridade à segurança e à aplicação da lei. As atividades de vigilância da ANS têm sobretudo impacto na privacidade dos cidadãos da UE, mas também nas relações entre os EUA e a UE. As atividades de vigilância dos EUA, a respeito dos dados da UE, podem ter implicações jurídicas nos acordos transatlânticos existentes e na futura cooperação transatlântica. A falta de confiança e as tensões entre os parceiros transatlânticos são uma consequência da violação dos acordos jurídicos entre os EUA e a UE. A suspensão (temporária) e as renegociações dos acordos transatlânticos económicos existentes podem ser uma implicação jurídica resultante das atividades de vigilância dos EUA. Como já mencionado, tal refere-se à proposta acima para cessar o Porto Seguro a fim de equilibrar a relação transatlântica. Neste contexto, a Comissão Europeia é expressamente instada a concluir as negociações em curso sobre um acordo de proteção de dados para efeitos de aplicação da lei (acordo global). Este acordo é de extrema importância e atuaria como base para facilitar a transferência de dados no contexto da cooperação policial e judicial e em matéria penal; além disso, concederia aos cidadãos da UE o direito a recurso judicial nos EUA sempre que os seus dados pessoais fossem tratados nos EUA para efeitos de aplicação da lei ou cooperação judicial. Este acordo deve aplicar os direitos de proteção de dados e de privacidade dos cidadãos europeus, restabelecendo simultaneamente a confiança na cooperação transatlântica no domínio da justiça e dos assuntos internos. DT\1011371.doc 7/7 PE524.633v01-00