Resolução do Parlamento Europeu, de 11 de maio de 2023, sobre a adequação da proteção conferida pelo quadro UE-EUA em matéria de proteção de dados ()
O Parlamento Europeu,
–Tendo em conta a Carta dos Direitos Fundamentais da União Europeia (a «Carta»), nomeadamente os artigos 7.º, 8.º, 16.º, 47.º e 52.º,
–Tendo em conta o acórdão do Tribunal de Justiça da União Europeia (TJUE), de 6 de outubro de 2015, no processo C‑362/14, Maximillian Schrems/Data Protection Commissioner («Schrems I»)(1),
–Tendo em conta o acórdão do TJUE, de 16 de julho de 2020, no processo C‑311/18, Data Protection Commissioner/Facebook Ireland Limited e Maximillian Schrems («Schrems II»)(2),
–Tendo em conta a investigação que realizou sobre as revelações de Edward Snowden relativas à vigilância eletrónica em grande escala de cidadãos da UE, incluindo as conclusões na sua resolução, de 12 de março de 2014, sobre o programa de vigilância da Agência Nacional de Segurança dos EUA (NSA), os organismos de vigilância em diversos Estados‑Membros e o seu impacto nos direitos fundamentais dos cidadãos da UE e na cooperação transatlântica no domínio da justiça e dos assuntosinternos(3);
–Tendo em conta a sua resolução, de 26 de maio de 2016, sobre a transferência transatlântica de dados(4),
–Tendo em conta a sua resolução, de 6 de abril de 2017, sobre o nível de proteção adequado assegurado pelo Escudo de Proteção da Privacidade UE‑EUA(5),
–Tendo em conta a sua resolução, de 5 de julho de 2018, sobre o nível de proteção adequado assegurado pelo escudo de proteção da privacidadeUE‑EUA(6),
–Tendo em conta a sua resolução, de 20 de maio de 2021, sobre o acórdão do TJUE de 16 de julho de 2020 – Data Protection Commissioner contra Facebook Ireland Limited, Maximillian Schrems («Schrems II») – Processo C‑311/18(7),
–Tendo em conta o projeto de Decisão de Execução da Comissão, nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, relativa ao nível adequado de proteção dos dados pessoais ao abrigo do quadro UE‑EUA em matéria de proteção de dados,
–Tendo em conta o Decreto Presidencial 14086 do Presidente dos Estados Unidos, de 7de outubro de 2022, sobre o reforço das salvaguardas para as atividades de recolha de informações de origem eletromagnética dos Estados Unidos,
–Tendo em conta o Decreto Presidencial 12333 do Presidente dos Estados Unidos, de 4de dezembro de 1981, sobre as atividades de recolha de informações dos Estados Unidos,
–Tendo em conta o Regulamento relativo ao Tribunal de Recurso em matéria de proteção de dados emitido pelo Procurador‑Geral dos EUA («Regulamento PG»),
–Tendo em conta o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados)(8), nomeadamente o capítuloV,
–Tendo em conta a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas(9),
–Tendo em conta o referencial de adequação do Grupo de Trabalho do Artigo 29.º (WP254 rev.01) como aprovado pelo Comité Europeu para a Proteção de Dados (CEPD), tendo em conta as Recomendações 01/2020 do CEPD relativas às medidas complementares aos instrumentos de transferência para assegurar o cumprimento do nível de proteção dos dados pessoais da UE, e as Recomendações 02/2020 do CEPD sobre as garantias essenciais europeias relativas às medidas de vigilância,
–Tendo em conta o Parecer 5/2023 do Comité Europeu para a Proteção de Dados, de 28 de fevereiro de 2023, sobre o projeto de Decisão de Execução da Comissão Europeia sobre a proteção adequada dos dados pessoais no âmbito do quadro de proteção de dados UE‑EUA,
–Tendo em conta o artigo132.º, n.º2, do seu Regimento,
A.Considerando que, no acórdão «Schrems I», o TJUE anulou a Decisão da Comissão, de 26 de julho de 2000, nos termos da Diretiva 95/46/CE relativa ao nível de proteção assegurado pelos princípios de «porto seguro» e pelas respetivas questões mais frequentes (FAQ) emitidos pelo «Department of Commerce dos Estados Unidos da América»(10), e salientou que o acesso indiscriminado das autoridades responsáveis pela recolha de informações ao conteúdo das comunicações eletrónicas viola a essência do direito fundamental à confidencialidade das comunicações previsto no artigo7.º da Carta; considerando que o Tribunal indicou que, para efeitos de uma decisão de adequação, não é exigido a um país terceiro que assegure um nível idêntico, mas sim um nível de proteção «essencialmente equivalente» ao garantido pelo direito da União, o que pode ser assegurado por diversos meios;
B.Considerando que, no acórdão «Schrems II», o TJUE anulou a Decisão de Execução (UE) 2016/1250 da Comissão, de 12 de julho de 2016, relativa ao nível de proteção assegurado pelo Escudo de Proteção da Privacidade UE‑EUA, com fundamento na Diretiva 95/46/CE(11), e concluiu que a decisão em causa não previa vias de recurso suficientes contra a vigilância em larga escala para cidadãos não norte‑americanos, o que viola a essência do direito fundamental à ação perante um tribunal, tal como previsto no artigo47.º da Carta;
C.Considerando que, em 7 de outubro de 2022, o Presidente dos Estados Unidos da América assinou o Decreto Presidencial 14086 sobre o reforço das salvaguardas para as atividades de recolha de informações de origem eletromagnética dos Estados Unidos («DP 14086»),
D.Considerando que, em 13 de dezembro de 2022, a Comissão iniciou o processo de adoção de uma decisão de adequação no que se refere ao quadro UE‑EUA em matéria de proteção de dados;
E.Considerando que, ao examinar o nível de proteção conferido por um país terceiro, a Comissão é obrigada a avaliar o conteúdo das normas aplicáveis nesse país decorrentes do seu direito interno ou dos seus compromissos internacionais, bem como a prática destinada a assegurar o cumprimento dessas normas; considerando que, caso tal avaliação seja considerada insatisfatória em termos de adequação e equivalência, a Comissão deve abster‑se de adotar uma decisão de adequação, uma vez que tal depende da aplicação das garantias pertinentes; considerando que a Comissão é obrigada a suspender a adequação quando deixar de existir equivalência; considerando que o Regulamento Geral sobre a Proteção de Dados (RGPD) exige que a avaliação em causa seja um processo contínuo que tenha em conta as alterações das normas e práticas aplicáveis;
F.Considerando que a capacidade de transferir dados pessoais através das fronteiras pode ser um fator essencial de inovação, produtividade e competitividade económica, desde que sejam previstas as salvaguardas adequadas; considerando que estas transferências devem ser realizadas no pleno respeito do direito à proteção dos dados pessoais e do direito ao respeito pela vida privada; considerando que um dos objetivos da UE é a proteção dos direitos fundamentais, como consagrado na Carta;
G.Considerando que o RGPD se aplica a todas as empresas que tratam dados pessoais de titulares de dados que se encontrem na UE, sempre que as operações de tratamento estejam relacionadas com a oferta de bens ou serviços a esses titulares de dados na União ou com o controlo do seu comportamento, desde que este tenha lugar na União;
H.Considerando que a vigilância em larga escala, ou seja, a recolha indiscriminada de dados sem quaisquer salvaguardas para limitar as intrusões na privacidade das pessoas, por entidades estatais lesa a confiança dos cidadãos e das empresas europeias nos serviços digitais e, por extensão, na economia digital; considerando que, embora as agências dos EUA estejam proibidas de recolher os dados em larga escala dos cidadãos norte‑americanos que residem nos Estados Unidos, esta proibição não se aplica aos cidadãos da UE; considerando que a vigilância em larga escala por entidades estatais é ilegal e afeta negativamente a confiança dos cidadãos e das empresas da UE nos serviços digitais e, por extensão, na economia digital;
I.Considerando que os responsáveis pelo tratamento devem ser sempre responsabilizados pelo cumprimento das obrigações em matéria de proteção de dados, incluindo a demonstração da conformidade do tratamento de dados, independentemente da natureza, do âmbito, do contexto, das finalidades e dos riscos para os titulares dos dados;
J.Considerando que não existe legislação federal em matéria de respeito pela vida privada e proteção de dados nos Estados Unidos; considerando que o DP 14086 introduz definições de conceitos fundamentais de proteção de dados, como os princípios da necessidade e da proporcionalidade, o que constitui um passo em frente significativo em comparação com os anteriores mecanismos de transferência; considerando que a forma como estes princípios são interpretados exige um acompanhamento rigoroso; considerando que uma avaliação exaustiva da forma como estes princípios são aplicados na ordem jurídica dos EUA poderá não ser possível devido à falta de transparência dos procedimentos do Tribunal de Recurso em matéria de proteção de dados (DPRC);
1.Recorda que o respeito pela vida privada e familiar e a proteção de dados pessoais são direitos fundamentais juridicamente vinculativos, consagrados nos Tratados, na Carta e na Convenção Europeia dos Direitos Humanos, bem como em leis e na jurisprudência; salienta que as decisões de adequação ao abrigo do RGPD são decisões jurídicas, não escolhas políticas, e que os direitos ao respeito pela vida privada e à proteção de dados não podem ser ponderados à luz de interesses comerciais ou políticos, mas apenas à luz de outros direitos fundamentais;
2.Regista os esforços envidados no âmbito do DP 14086 para estabelecer limites às atividades de recolha de informações de origem eletromagnética dos EUA, ao tornar os princípios da proporcionalidade e da necessidade aplicáveis ao quadro jurídico dos EUA em matéria de recolha de informações de origem eletromagnética e prevendo uma lista de objetivos legítimos para essas atividades; observa que estes princípios serão vinculativos para toda a comunidade de serviços de informação dos EUA e poderão ser invocados pelos titulares dos dados no quadro do procedimento previsto no DP14086; salienta que este decreto presidencial prevê melhorias significativas destinadas a garantir que estes princípios sejam essencialmente equivalentes de acordo com o direito da UE; salienta, no entanto, que estes princípios são elementos fundamentais de longa data do regime de proteção de dados da UE e que as suas definições substantivas no DP14086 não estão em consonância com a respetiva definição ao abrigo do direito da UE e com a sua interpretação pelo TJUE; frisa, além disso, que, para efeitos do quadro UE‑EUA em matéria de proteção de dados, estes princípios seriam interpretados exclusivamente à luz do direito e das tradições jurídicas dos EUA e não à luz do direito e das tradições jurídicas da UE; observa que o DP 14086 enumera 12 objetivos legítimos que podem ser prosseguidos aquando da recolha de informações de origem eletromagnética e cinco objetivos para os quais esta recolha de informações é proibida; observa que a lista de objetivos legítimos de segurança nacional pode ser alterada e alargada pelo Presidente dos EUA sem qualquer obrigação de tornar públicas as atualizações pertinentes nem de informar a UE; salienta que o DP 14086 exige que a recolha de informações de origem eletromagnética seja realizada de forma necessária e proporcionada à «prioridade validada em matéria de informações», o que parece ser uma interpretação ampla destes conceitos; salienta que, para uma avaliação exaustiva dos princípios da proporcionalidade e da necessidade no contexto do DP 14086, estes princípios teriam de ser operacionalizados e aplicados nas políticas e procedimentos dos serviços de informações dos EUA; manifesta, contudo, preocupação pelo facto de não existir a obrigação de os analistas procederem a uma avaliação de proporcionalidade para cada decisão de vigilância;
3.Regista que o DP 14086 permite a recolha em larga escala de dados através de informações de origem eletromagnética em determinados casos, incluindo o conteúdo de comunicações; observa em simultâneo que o DP 14086 prevê que a recolha direcionada seja privilegiada relativamente à recolha em larga escala; recorda que, embora o DP 14086 contenha várias salvaguardas em caso de recolha em larga escala, não prevê uma autorização prévia independente para este tipo de recolha, que também não é contemplada no Decreto Presidencial 12333; recorda que no acórdão «SchremsII», o TJUE esclareceu que a vigilância dos EUA não está em conformidade com o direito da UE uma vez que não requer um «critério objetivo» «capaz de justificar» a interferência governamental na vida privada; sublinha que tal comprometeria o propósito dos objetivos enquanto salvaguarda que limita as atividades de recolha de informações dos EUA; recorda que após a diretiva presidencial n.º 28 (PPD‑28), que constitui a base da decisão de adequação «Escudo de Proteção da Privacidade», a Comissão de Controlo da Privacidade e das Liberdades Cívicas (CCPLC) emitiu um relatório de análise(12) e concluiu que a PPD‑28 tinha essencialmente mantido as práticas existentes da comunidade de serviços de informação; está convicto de que a PPD‑28 não porá termo à vigilância eletrónica em larga escala de cidadãos da UE por parte das autoridades dos EUA;
4.Partilha das preocupações do CEPD de que o DP 14086 não prevê salvaguardas suficientes em caso de recolha de dados em larga escala, nomeadamente a falta de uma autorização prévia independente, a falta de normas claras e rigorosas em matéria de conservação, a recolha em grande escala «temporária» e a falta de salvaguardas mais rigorosas no que se refere à difusão de dados recolhidos em larga escala; salienta em particular a preocupação específica de que, sem outras restrições relativas à transmissão de dados para as autoridades dos EUA, os serviços responsáveis pela aplicação da lei poderão aceder a dados que, de outro modo, não seriam autorizados a consultar; recorda que as transferências ulteriores multiplicam efetivamente os riscos para a proteção de dados; observa que o CEPD solicitou a inclusão de uma obrigação juridicamente vinculativa de analisar e determinar se um país terceiro oferece um nível mínimo aceitável de garantias;
5.Salienta que o DP 14086 não se aplica aos dados acedidos por autoridades públicas por outros meios, nomeadamente através da «Cloud Act» ou da «Patriot Act» dos EUA, da aquisição de dados comerciais ou de acordos voluntários de partilha de dados;
6.Sublinha que o problema subjacente é a vigilância de pessoas não norte‑americanas ao abrigo do direito dos EUA e o facto de os cidadãos europeus não disporem de um recurso judicial efetivo a este respeito; solicita que os cidadãos da UE disponham dos mesmos direitos e privilégios que os cidadãos norte‑americanos no que toca às atividades da comunidade dos serviços de informação dos EUA e ao acesso aos tribunais dos Estados Unidos;
7.Observa que, em conformidade com a interpretação dos EUA, «recolha de informações de origem eletromagnética» abrange todos os métodos de acesso aos dados previstos na «Foreign Intelligence Surveillance Act» (FISA), incluindo os relativos aos fornecedores de «serviços informáticos à distância», acrescentados com a lei de alteração da FISAS1881a, em 2008; insta a Comissão, em futuras negociações, a esclarecer a definição e o âmbito de aplicação de «recolha de informações de origem eletromagnética» no DP14086; relembra que, ao abrigo da secção 702 da FISA, o Governo dos EUA ainda se arroga o poder de visar qualquer cidadão que não seja dos EUA e que se encontre no estrangeiro para obter informações estrangeiras, definidas em termos muito gerais;
8.Salienta que foi criado um novo mecanismo de recurso que permite aos titulares de dados da UE apresentar uma reclamação; frisa, ao mesmo tempo, que as decisões do DPRC seriam classificadas e não seriam tornadas públicas ou disponibilizadas ao autor da reclamação, que apenas seria informado de que o exame não identificou nenhuma violação contemplada ou de que o DPRC tinha emitido uma decisão que exigia a adoção de medidas adequadas, comprometendo assim o seu direito de acesso aos seus dados ou de retificação destes; manifesta preocupação por tal significar que uma pessoa que apresente um caso não terá nenhuma hipótese de ser informada acerca dos resultados concretos do caso e que a decisão será definitiva; observa que o procedimento de recurso proposto não prevê uma via de recurso para um tribunal federal e, por conseguinte, entre outros aspetos, não prevê qualquer possibilidade de o queixoso exigir a reparação de danos; insta a Comissão a prosseguir as negociações com os Estados Unidos, a fim de lograr as alterações necessárias para dar resposta a estas preocupações;
9.Observa que o DP 14086 introduz várias garantias para assegurar a independência dos juízes do DPRC, como reconhecido pelo CEPD no seu parecer; salienta que o DPRC faz parte do poder executivo e não do poder judicial e que os seus juízes são nomeados para mandatos com um período fixo de quatro anos; frisa que o Presidente dos Estados Unidos pode anular as decisões do DPRC, até mesmo em sigilo; salienta que, embora não permita ao Procurador‑Geral dos EUA a destituição e supervisão dos juízes do DPRC, o novo mecanismo de recurso não afeta o exercício das competências em causa pelo Presidente dos Estados Unidos; salienta que, desde que o Presidente dos EUA possa destituir os juízes do DPRC durante o seu mandato, a independência destes juízes não está garantida; observa que, em caso de adoção, a Comissão terá de acompanhar de perto a aplicação das garantias para assegurar, na prática, a independência; salienta que um queixoso seria representado por um «advogado especial» designado pelo DPRC, em relação ao qual não existe nenhum requisito de independência; insta a Comissão a assegurar a introdução de um requisito de independência caso seja adotada uma decisão de adequação; conclui que, tal como está, o DPRC não cumpre as normas de independência e imparcialidade consagradas no artigo47.º da Carta; observa que, ainda que a CCPLC procedesse a uma revisão independente do funcionamento do novo processo de recurso, o âmbito desta revisão seria limitado;
10.Observa que os EUA previram um novo mecanismo de recurso para os problemas relacionados com o acesso das autoridades públicas aos dados, mas que subsistem algumas questões quanto à eficácia das vias de recurso disponíveis para assuntos comerciais, em relação às quais a decisão de adequação não introduz alterações; observa que os mecanismos que visam resolver estes problemas são, em grande medida, deixados ao critério das empresas, que podem escolher vias de recurso alternativas, como os mecanismos de resolução de litígios ou a utilização de programas de proteção da privacidade das empresas; exorta a Comissão, caso a decisão de adequação seja adotada, a analisar rigorosamente a eficácia destes mecanismos de recurso;
11.Observa que as empresas europeias necessitam de segurança jurídica e merecem tê‑la; salienta que os sucessivos mecanismos de transferência de dados, posteriormente revogados pelo TJUE, geraram custos adicionais para as empresas europeias; reconhece, por conseguinte, a necessidade de garantir segurança jurídica e evitar uma situação em que as empresas tenham de se adaptar constantemente a novas soluções jurídicas, o que poderia ser especialmente oneroso para as micro, pequenas e médias empresas; manifesta preocupação pelo facto de que a decisão de adequação, se for adotada, poderá (tal como as que a antecederam) ser invalidada pelo TJUE, o que teria como consequência a continuação da falta de segurança jurídica, custos adicionais e perturbações para os cidadãos e as empresas europeias;
12.Salienta que, ao contrário de todos os restantes países terceiros que receberam uma decisão de adequação ao abrigo do RGPD, os EUA continuam a não dispor de uma lei federal em matéria de proteção de dados; salienta que a aplicação do DP 14086 não é clara, precisa ou previsível, uma vez que pode ser alterado ou revogado a qualquer momento pelo Presidente dos EUA, o qual está igualmente habilitado a emitir decretos presidenciais secretos; observa que o reexame da verificação de adequação deveria ter lugar um ano após a data de notificação da decisão de adequação aos Estados‑Membros e posteriormente, pelo menos, de quatro em quatro anos; insta a Comissão, caso seja adotada uma futura decisão de adequação, a proceder a reexames subsequentes, pelo menos de três em três anos, tal como solicitado no parecer do CEPD; manifesta preocupação relativamente à ausência de uma cláusula de caducidade nos termos da qual a decisão caducaria automaticamente quatro anos após a sua entrada em vigor, após o que a Comissão teria de tomar uma nova decisão; manifesta preocupação com o facto de esta ausência de uma cláusula de caducidade nesta decisão de adequação representar uma abordagem mais tolerante em relação aos EUA, apesar de o quadro em matéria de proteção da vida privada dos EUA se basear num decreto presidencial que permite alterações em sigilo e que pode ser alterado sem a aprovação do Congresso nem informar os seus homólogos da UE; insta, por conseguinte, a Comissão a introduzir uma cláusula desse tipo;
13.Partilha das preocupações manifestadas pelo CEPD no que se refere aos direitos dos titulares dos dados, à ausência de definições‑chave e normas específicas relativas ao processo automatizado de tomada de decisões e definição de perfis, à falta de clareza quanto à aplicação dos princípios do quadro UE‑EUA em matéria de proteção de dados aos responsáveis pelo tratamento e à necessidade de evitar transferências subsequentes que ponham em causa o nível de proteção;
14.Salienta que as decisões de adequação devem incluir mecanismos claros e rigorosos de acompanhamento e reexame, a fim de garantir que as decisões estejam preparadas para o futuro ou sejam revogadas ou alteradas consoante necessário, e que o direito fundamental dos cidadãos da UE à proteção de dados seja garantido em todos os momentos; sublinha que qualquer decisão futura de adequação deve ser sujeita a um reexame contínuo, tendo em conta os desenvolvimentos jurídicos e práticos nos EUA;
DzԳܲõ
15.Recorda que, na sua resolução de 20 de maio de 2021, o Parlamento instou a Comissão a não aprovar uma nova decisão de adequação em relação aos EUA, a menos que fossem introduzidas reformas significativas, sobretudo para as finalidades de segurança nacional e de recolha de informações; considera que o DP 14086 não é suficientemente significativo; reitera que a Comissão não deve deixar a tarefa de proteger os direitos fundamentais dos cidadãos da UE para o Tribunal de Justiça da União Europeia na sequência de queixas apresentadas por cidadãos a título individual;
16.Relembra que a Comissão deve avaliar a adequação de um país terceiro com base na legislação e práticas vigentes, não apenas em substância mas também na prática, como estabelecido ao abrigo dos processos Schrems I, Schrems II e do RGPD (considerando104);
17.Observa que os princípios do quadro em matéria de proteção de dados emitidos pelo «Department of Commerce dos EUA» não foram suficientemente alterados, em comparação com os do Escudo de Proteção de Privacidade, para preverem uma proteção essencialmente equivalente à prevista ao abrigo do RGPD;
18.Observa que embora os EUA estejam a assumir um importante compromisso para melhorar o acesso a vias de recurso e as normas relativas ao tratamento de dados por parte das autoridades públicas, a comunidade de serviços de informação dos EUA tem até outubro de 2023 para atualizar as suas políticas e práticas, em consonância com o compromisso expresso no EO14086 e que o Procurador‑Geral dos EUA ainda não designou a UE e os seus Estados‑Membros como países elegíveis para o acesso às vias de recurso disponíveis no âmbito do DPRC; sublinha que tal significa que a Comissão não tinha condições para avaliar «na prática» a eficácia das vias de recurso e das medidas propostas em matéria de acesso aos dados; conclui, por conseguinte, que a Comissão apenas pode prosseguir com o próximo passo de uma decisão de adequação quando tais prazos e metas tenham sido cumpridos pelos EUA, de forma a assegurar que os compromissos foram respeitados na prática;
19.Conclui que o quadro UE‑EUA em matéria de proteção de dados não cria uma equivalência essencial no nível de proteção; insta a Comissão a prosseguir as negociações com os seus homólogos dos EUA com o objetivo de criar um mecanismo que assegure essa equivalência e que proporcione o nível adequado de proteção exigido pela legislação da União em matéria de proteção de dados e pela Carta de acordo com a interpretação do TJUE; insta a Comissão a não adotar a decisão de adequação até que todas as recomendações formuladas na presente resolução e no parecer do CEPD sejam plenamente aplicadas;
20.Insta a Comissão a agir no interesse das empresas e dos cidadãos da UE, assegurando que o quadro proposto preveja uma base jurídica sólida, suficiente e orientada para o futuro no que diz respeito às transferências de dados entre a UE e os EUA; prevê que qualquer decisão de adequação, se adotada, volte a ser contestada junto do TJUE; destaca que a responsabilidade por não proteger os direitos dos cidadãos da UE recairia na Comissão, caso o TJUE anulasse de novo a decisão de adequação;
o oo
21.Encarrega a sua Presidente de transmitir a presente resolução ao Conselho, à Comissão e ao Presidente e ao Congresso dos Estados Unidos da América.