COMMUNICATION DE LA COMMISSION AU PARLEMENT EUROPÉEN, AU CONSEIL, AU COMITÉ ÉCONOMIQUE ET SOCIAL EUROPÉEN ET AU COMITÉ DES RÉGIONS

COMUNICAÇÃO DA COMISSÃO AO PARLAMENTO EUROPEU, AO CONSELHO, AO COMITÉ ECONÓMICO E SOCIAL EUROPEU E AO COMITÉ DAS REGIÕES

Protection de la vie privée dans un monde en réseau Un cadre européen relatif à la protection des données, adapté aux défis du 21e siècle

Proteção da privacidade num mundo interligado Um quadro europeu de proteção de dados para o século XXI

(Texte présentant de l’intérêt pour l’EEE)

(Texto relevante para efeitos do EEE)

1. LES DÉFIS ACTUELS EN MATIÈRE DE PROTECTION DES DONNÉES

1. DESAFIOS ATUAis em matéria de PROTEÇÃO DE DADOS

La rapidité des évolutions technologiques et la mondialisation modifient en profondeur la façon dont un volume sans cesse croissant de données à caractère personnel est collecté, consulté, utilisé et transféré. De nouveaux modes de partage de l’information via les réseaux sociaux et de stockage à distance de grandes quantités de données sont entrés dans les habitudes de nombre des 250 millions d’internautes en Europe. Parallèlement, les données à caractère personnel sont devenues un atout pour de nombreuses entreprises. La collecte, la globalisation et l’analyse de données concernant des clients potentiels représentent souvent une part importante de leurs activités économiques[1].

A rapidez da evolução tecnológica e da globalização transformou profundamente a forma como o volume crescente de dados pessoais são recolhidos, acedidos, utilizados e transferidos. Novas formas de partilha de informações através das redes sociais e da conservação distante de grandes quantidades de dados fazem agora parte da vida de muitos dos 250 milhões de internautas na Europa. Paralelamente, os dados pessoais tornaram-se um bem valioso para muitas empresas. A recolha, a compilação e a análise dos dados de potenciais clientes representam frequentemente um aspeto importante das suas atividades económicas[1].

Dans ce nouvel environnement numérique, les personnes physiques ont le droit d’exercer une maîtrise effective sur leurs données. En Europe, la protection des données est un droit fondamental qui est consacré à l’article 8 de la charte des droits fondamentaux de l’Union européenne ainsi qu’à l’article 16, paragraphe 1, du traité sur le fonctionnement de l’Union européenne (TFUE), et qui doit être protégé en conséquence.

Neste novo contexto digital, as pessoas singulares têm o direito de exercer um controlo efetivo sobre os seus dados pessoais. Na Europa, a proteção de dados é um direito fundamental consagrado no artigo 8.º da Carta dos Direitos Fundamentais da União Europeia, bem como no artigo 16.º, n.º 1, do Tratado sobre o Funcionamento da União Europeia (TFUE), e que deve ser protegido em conformidade.

S'ils n'ont pas confiance, les consommateurs hésiteront à effectuer des achats en ligne et à recourir à de nouveaux services. Dès lors, il est également impératif de garantir un niveau élevé de protection des données pour accroître la confiance des consommateurs dans les services en ligne et réaliser le potentiel de l’économie numérique, ce qui stimulera la croissance économique et la compétitivité des entreprises de l’Union.

A falta de confiança faz com que os consumidores hesitem em fazer compras em linha ou aceitem novos serviços. Por conseguinte, é essencial assegurar igualmente um elevado nível de proteção dos dados para reforçar a confiança nos serviços em linha e concretizar todo o potencial da economia digital, incentivando desta forma o crescimento económico e a competitividade das empresas da UE.

Des règles cohérentes et modernes applicables dans l’ensemble de l’UE s’imposent pour permettre la libre circulation des flux de données d’un État membre à l’autre. Les entreprises ont besoin de règles claires et uniformes qui garantissent la sécurité juridique et allègent le plus possible leurs charges administratives. Une telle évolution est essentielle pour que le marché unique fonctionne sans heurts, stimule la croissance économique, crée de nouveaux emplois et encourage l’innovation[2]. Une modernisation des règles de l’UE relatives à la protection des données, qui renforce la dimension «marché intérieur» de ces dispositions, garantit aux personnes physiques un niveau élevé de protection des données et crée des conditions propices à la sécurité juridique, à la clarté et à la cohérence; elle joue par conséquent un rôle crucial dans le plan d’action de la Commission européenne mettant en œuvre le programme de Stockholm[3] et dans la stratégie numérique pour l’Europe[4]; plus largement, elle contribue à la stratégie de croissance de l’Union (stratégie Europe 2020)[5].

São necessárias regras modernas e coerentes, aplicáveis em toda a União, para permitir que os dados circulem livremente entre os Estados-Membros. As empresas necessitam de regras claras e uniformes que garantam segurança jurídica e minimizem os encargos administrativos. Isto é essencial para que o mercado único funcione eficazmente e para fomentar o crescimento económico, criar novos empregos e estimular a inovação[2]. A modernização das regras da UE em matéria de proteção de dados, que reforce a dimensão do seu mercado interno, permitirá assegurar um elevado nível de proteção de dados às pessoas singulares e promover a segurança jurídica, a clareza e a coerência, tendo, por conseguinte, um papel central no Plano de Ação da Comissão Europeia de aplicação do Programa de Estocolmo[3], na Agenda Digital para a Europa[4] e, em termos mais globais, contribuir para a estratégia de crescimento da União intitulada Europa 2020[5].

La directive[6] de l’Union de 1995, instrument législatif principal de la protection des données à caractère personnel en Europe, a posé un jalon dans l’histoire de la protection des données. Ses objectifs, qui consistent à assurer le fonctionnement du marché unique et la protection effective des libertés et droits fondamentaux des personnes physiques, demeurent d’actualité. Mais elle a été adoptée il y a 17 ans, à une époque où l’internet n’en était qu’à ses premiers balbutiements. Dans le nouvel environnement numérique qui s'est créé, avec ses défis, les règles en vigueur ne présentent ni le degré d’harmonisation requis ni l’efficacité nécessaire pour garantir le droit à la protection des données à caractère personnel. C’est pourquoi la Commission européenne propose de réformer fondamentalement le cadre de la protection des données dans l’Union.

A Diretiva da UE de 1995[6], o principal instrumento legislativo em matéria de proteção de dados pessoais na Europa, constituiu um marco na história da proteção de dados. Os seus objetivos, que consistem em assegurar o funcionamento do mercado único e a proteção efetiva dos direitos e das liberdades fundamentais das pessoas singulares, mantêm-se válidos. Todavia, essa diretiva foi adotada há 17 anos, quando a Internet estava apenas no seu início. Atualmente, neste novo contexto digital estimulante, as regras em vigor não asseguram o grau de harmonização que se exige nem a eficácia necessária para garantir o direito à proteção dos dados pessoais. Por esta razão, a Comissão Europeia propõe agora uma reforma de fundo do quadro legislativo da UE em matéria de proteção de dados.

Le traité de Lisbonne a en outre introduit, à l’article 16 du TFUE, une base juridique nouvelle en vue d’une approche modernisée et globale de la protection des données et de la libre circulation des données à caractère personnel, qui couvre également la coopération policière et judiciaire en matière pénale[7]. Cette approche s'est traduite dans les communications de la Commission européenne relatives au programme de Stockholm et au plan d'action le mettant en œuvre[8], qui insistent sur la nécessité pour l’Union de «se doter d’un régime complet de protection des données personnelles couvrant l’ensemble des compétences de l’Union» et de «veiller à ce que le droit fondamental à la protection des données soit appliqué systématiquement».

Além disso, o Tratado de Lisboa introduziu, no artigo 16.º do TFUE, uma nova base jurídica tendo em vista uma abordagem moderna e global sobre a proteção de dados e a livre circulação de dados pessoais, que cobre igualmente o domínio da cooperação policial e judiciária em matéria penal[7]. Esta abordagem encontra-se refletida nas Comunicações da Comissão Europeia relativas ao Programa de Estocolmo e ao Plano de Ação de aplicação do Programa de Estocolmo[8], que insistem na necessidade de a União «dotar-se de um regime completo de proteção dos dados pessoais que abranja o conjunto das competências da União» e «assegurar que o direito fundamental à proteção de dados é aplicado de forma sistemática».

Afin de préparer en toute transparence la réforme du cadre de l’Union relatif à la protection des données, la Commission a organisé, depuis 2009, des consultations publiques sur la question[9]; elle a également noué un dialogue étroit avec les parties prenantes[10]. Le 4 novembre 2010, la Commission a publié une communication relative à une approche globale de la protection des données à caractère personnel dans l’Union européenne[11] qui exposait les thèmes principaux de la réforme. Entre les mois de septembre et de décembre 2011, la Commission a, en outre, pris part à un dialogue renforcé avec les autorités nationales chargées de la protection des données en Europe, d’une part, et avec le contrôleur européen de la protection des données, d’autre part, afin d’étudier les possibilités d'assurer une application plus cohérente des règles de l’Union relatives à la protection des données dans l’ensemble des États membres[12].

Com vista à preparação da reforma do quadro legislativo de proteção de dados da UE de forma transparente, a Comissão organizou, desde 2009, consultas públicas sobre esta questão[9] e encetou diálogos intensivos com as partes interessadas[10]. Em 4 de novembro de 2010, a Comissão publicou uma Comunicação relativa a uma abordagem global da proteção de dados pessoais na União Europeia[11], que apresentava os principais temas da reforma. Entre setembro e dezembro de 2011, a Comissão participou num diálogo reforçado com as autoridades nacionais de proteção de dados da Europa, por um lado, e com a Autoridade Europeia para a Proteção de Dados, por outro, a fim de explorar as possibilidades de uma aplicação mais coerente das regras da UE relativas à proteção de dados no conjunto dos Estados‑Membros[12].

Ces échanges ont fait clairement apparaître que les citoyens comme les entreprises souhaitaient voir la Commission européenne procéder à une réforme globale des règles de l’Union sur la protection des données. Après avoir évalué les conséquences des différentes options politiques envisagées[13], la Commission européenne propose à présent un cadre législatif solide et cohérent qui transcende les politiques de l’Union, renforce les droits des personnes physiques, consolide la dimension «marché unique» de la protection des données et réduit les charges administratives pesant sur les entreprises[14]. Dans la proposition de la Commission, le nouveau cadre serait constitué par:

Estes debates deixaram claro ser do interesse tanto dos cidadãos como das empresas que a Comissão Europeia procedesse a uma reforma substancial das regras da UE em matéria de proteção de dados. Depois de avaliar os impactos de diferentes opções estratégicas[13], a Comissão Europeia propõe presentemente um quadro legislativo sólido e coerente, transversal a todas as políticas da União, que reforça os direitos das pessoas singulares, consolida a dimensão «mercado único» da proteção de dados e reduz a burocracia para as empresas[14]. Na proposta da Comissão, o novo quadro legislativo é constituído por:

– un règlement (qui remplace la directive 95/46/CE) instituant un cadre général de l’UE en matière de protection des données[15];

– um regulamento (que substitui a Diretiva 95/46/CE) que estabelece um quadro geral da UE em matéria de proteção de dados[15];

– et une directive (qui remplace la décision-cadre 2008/977/JAI[16]) énonçant des règles relatives à la protection des données à caractère personnel traitées à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière, ainsi que d’activités judiciaires connexes.

– e uma diretiva (que substitui a Decisão-Quadro 2008/977/JAI[16]) que enuncia as regras relativas à proteção de dados pessoais tratados para efeitos de prevenção, investigação, deteção ou repressão de infrações penais e atividades judiciárias conexas.

La présente communication expose les éléments principaux de la réforme du cadre de l’UE relatif à la protection des données.

A presente comunicação apresenta os elementos principais da reforma do quadro legislativo da UE relativo à proteção de dados.

2. PERMETTRE AUX PERSONNES PHYSIQUES DE MAÎTRISER LES DONNÉES LES CONCERNANT

2. PERMITIR ÀS PESSOAS SINGULARES O CONTROLO DOS SEUS dADOS pessoais

La directive 95/46/CE, principal acte législatif de l’UE en vigueur en matière de protection des données, n’harmonise pas suffisamment, dans les États membres, les modalités d’exercice, par les personnes physiques, du droit à la protection des données. Les pouvoirs conférés aux autorités nationales chargées de la protection des données ne sont pas non plus suffisamment harmonisés pour garantir l’application cohérente et effective des règles en la matière. Aussi, exercer ces droits est-il, dans la pratique, plus difficile dans certains États membres que dans d’autres, surtout dans l’environnement en ligne.

Ao abrigo da Diretiva 95/46/CE - atualmente o principal instrumento legislativo da União em matéria de proteção de dados - as modalidades segundo as quais as pessoas singulares podem exercer o seu direito à proteção dos dados não se encontram suficientemente harmonizadas entre os Estados-Membros. Do mesmo modo, as competências conferidas às autoridades nacionais responsáveis pela proteção de dados também não estão suficientemente harmonizadas para garantir a aplicação coerente e efetiva das regras na matéria. Isto significa que o exercício desses direitos é mais difícil em determinados Estados-Membros do que noutros, especialmente num ambiente em linha.

Ces difficultés sont également dues à l’importance du volume des données collectées chaque jour et au fait que souvent, les utilisateurs n'ont pas pleinement conscience que des données les concernant sont collectées. Bien que de nombreux Européens considèrent que la communication de données à caractère personnel est un phénomène de plus en plus fréquent aujourd'hui[17], 72 % des internautes en Europe sont encore préoccupés par le fait qu’il leur soit demandé de communiquer en ligne trop de données les concernant[18]. Ils ont le sentiment de ne pas avoir la maîtrise des données qui les concernent. Ils ne sont pas correctement informés du sort réservé à ce type de données, de l'identité du destinataire et de la finalité de leur transmission. Ils ignorent souvent les modalités d’exercice de leurs droits dans l’environnement en ligne.

As referidas dificuldades prendem-se também com o elevado volume de dados recolhido diariamente e o facto de os utilizadores não estarem plenamente cientes de que os seus dados são recolhidos. Embora muitos europeus considerem que a divulgação de dados pessoais faz cada vez mais parte da vida moderna[17], 72% dos internautas na Europa ainda ficam apreensivos quando lhes são solicitados demasiados dados pessoais em linha[18]. Sentem que deixam de controlar os seus próprios dados. Não são devidamente informados quanto ao tratamento que é feito das suas informações pessoais, bem como sobre a identidade do destinatário e a finalidade da transmissão. Frequentemente ignoram as modalidades de exercício dos seus direitos num ambiente em linha.

«Droit à l’oubli numérique»

«Direito a ser esquecido»

Un étudiant européen, membre d’un réseau social en ligne, décide de demander l’accès à toutes les données qui le concernent et que ce réseau détient. À cette occasion, il se rend compte que ce réseau social collecte beaucoup plus de données que ce qu’il imaginait, et que certaines données à caractère personnel dont il pensait qu’elles avaient été effacées étaient toujours conservées.

Um estudante europeu, membro de uma rede social em linha, decide solicitar o acesso a todos os dados pessoais que o referido serviço detém sobre si. Ao fazê-lo, apercebe-se que a rede social recolhe muitos mais dados do que pensava e que alguns dados pessoais que julgou terem sido apagados ainda estavam conservados.

La réforme des dispositions de l’UE sur la protection des données fera en sorte qu'un tel scénario ne soit plus possible, en introduisant:

A reforma das regras da UE em matéria de proteção de dados garantirá que esta situação não se volte a reproduzir no futuro, ao introduzir:

- une obligation explicite imposant aux réseaux sociaux en ligne (et à tous les autres responsables du traitement de données) de limiter au minimum le volume des données à caractère personnel qu’ils collectent et qu’ils traitent pour chaque utilisateur;

- uma condição explícita que obriga as redes sociais em linha (e todos os outros responsáveis pelo tratamento de dados) a limitarem ao mínimo o volume de dados pessoais dos utilizadores que recolhem e tratam;

- une obligation de configurer par défaut le système d'une façon qui garantit que les données ne sont pas rendues publiques;

- uma condição de configuração por defeito dos sistemas para assegurar que os dados não serão tornados públicos;

- une obligation expresse incombant aux responsables du traitement d’effacer les données concernant une personne physique si cette dernière en a explicitement demandé l’effacement et lorsqu’aucun autre motif légitime ne justifie de les conserver. Dans ce cas particulier, le fournisseur du réseau social serait ainsi tenu d'effacer immédiatement et complètement les données concernant cet étudiant.

- uma obrigação explícita de que os responsáveis pelo tratamento de dados apaguem os dados pessoais de uma pessoa quando esta o solicitar expressamente e se não existir qualquer outra razão legítima para os conservar.

Ainsi que la Commission l’a mis en évidence dans la stratégie numérique pour l’Europe, les préoccupations quant au respect de la vie privée figurent parmi les raisons les plus fréquentes pour lesquelles les consommateurs s'abstiennent d'acheter des produits et des services en ligne. Vu la contribution du secteur des technologies de l’information et des communications (TIC) à l’augmentation globale de la productivité en Europe, due pour 20 % directement au secteur des TIC et pour 30 % aux investissements réalisés dans les TIC[19], la confiance dans les services de cette nature est essentielle pour stimuler la croissance de l’économie dans l’Union européenne et la compétitivité de son industrie.

Neste caso específico, o fornecedor da rede social seria obrigado a apagar imediata e totalmente os dados do estudante.

Notification des violations de données

Tal como destacado na Agenda Digital para a Europa, as preocupações com a privacidade são uma das razões mais frequentes para as pessoas não comprarem bens e serviços em linha. Dada a contribuição do setor das tecnologias da informação e comunicações (TIC) para o aumento global da produtividade na Europa, 20% devido diretamente ao setor TIC e 30% aos investimentos realizados nas TIC[19], a confiança nestes serviços é fulcral para estimular o crescimento da economia da UE e a competitividade da sua indústria.

Des pirates informatiques ont pris pour cible un service de jeux qui s’adresse à des clients établis sur le territoire de l’UE. La violation a touché des bases de données contenant des informations à caractère personnel (dont les noms et adresses, voire les numéros de carte de crédit) de dizaines de millions de clients dans le monde entier. La société prestataire a attendu une semaine avant d’en avertir les clients concernés.

Notificação das violações de dados

Grâce à la réforme des dispositions de l’UE sur la protection des données, un tel incident ne pourra plus se produire: Les nouvelles dispositions obligeront les sociétés:

Piratas informáticos atacaram um serviço de jogos em linha direcionado para utilizadores da UE. Essa violação afetou as bases de dados que continham dados pessoais (incluindo nomes, moradas e, provavelmente, dados de cartões de crédito) de dezenas de milhões de utilizadores de todo o mundo. A empresa em causa esperou uma semana antes de notificar os utilizadores afetados.

- à renforcer leurs dispositifs de sécurité pour prévenir et éviter les violations de données;

A reforma das regras da UE em matéria de proteção de dados garantirá que esta situação não se volte a reproduzir no futuro. As novas regras irão obrigar as empresas:

- à notifier sans retard indu les violations de données tant à l’autorité nationale chargée de la protection des données – si possible, dans les 24 heures suivant la découverte de la violation – qu’aux personnes physiques concernées.

- a reforçar as suas medidas de segurança para prevenir e evitar as violações de dados;

Les nouvelles propositions législatives présentées par la Commission visent à renforcer les droits des personnes physiques, à les doter de moyens efficaces et opérationnels pour garantir qu’elles aient pleinement connaissance du sort réservé aux données les concernant, et à leur permettre d’exercer leurs droits de façon plus effective.

- a notificar rapidamente eventuais violações de dados tanto à autoridade nacional de proteção de dados ‑ se possível, no prazo de 24 horas a contar da deteção da violação - como às pessoas afetadas.

En vue de renforcer le droit des personnes physiques à la protection des données, la Commission propose de nouvelles règles qui:

O objetivo dos novos instrumentos legislativos propostos pela Comissão consiste em reforçar os direitos, proporcionar às pessoas singulares meios eficazes e práticos para assegurar que estão plenamente informadas quanto ao que sucede aos seus dados pessoais e permitir‑lhes o exercício dos seus direitos de forma mais efetiva.

permettront aux personnes physiques de mieux maîtriser les données les concernant:

De modo a reforçar o direito das pessoas singulares à proteção de dados, a Comissão propõe novas regras para:

-        en faisant en sorte que, lorsque leur consentement est exigé, celui-ci soit explicitement formulé, c’est-à-dire qu’il repose soit sur une déclaration, soit sur un acte non équivoque de l'intéressé, et qu’il soit donné librement;

Melhorar a capacidade de controlo das pessoas singulares sobre os seus dados, designadamente:

-        en dotant les internautes d’un droit effectif à l’oubli numérique dans l’environnement en ligne, c’est-à-dire le droit de faire effacer les données les concernant s’ils retirent leur consentement et si aucun autre motif légitime ne justifie la conservation de celles-ci;

-        assegurando que, quando o seu consentimento é exigido, este deve ser dado de forma expressa, ou seja, deve ter por base uma declaração ou um ato inequívoco da pessoa em causa, e que deve ser dado de forma livre;

-        en leur garantissant un accès aisé à leurs propres données et un droit à la portabilité de celles-ci: c’est-à-dire le droit d’obtenir du responsable du traitement une copie des données conservées et la liberté de les transférer d’un prestataire de services à un autre, sans entrave;

-        dotando os internautas de um direito efetivo a serem esquecidos no ambiente em linha: o direito de os seus dados serem apagados caso retirem o seu consentimento, se não existirem outros motivos legítimos de conservação dos dados;

-         en renforçant le droit à l’information, afin que chacun comprenne pleinement le mode de traitement des données les concernant, en particulier lorsque ces traitements concernent les enfants; amélioreront les moyens dont disposent les personnes physiques pour exercer leurs droits:

-         garantindo-lhes um acesso fácil aos seus próprios dados e o direito de portabilidade dos dados: o direito de obter do responsável pelo tratamento uma cópia dos dados conservados e a liberdade de os transferir de um prestador de serviços para outro sem entraves;

-        en renforçant l’indépendance et les pouvoirs des autorités nationales chargées de la protection des données, de manière à ce qu’elles soient à même de traiter les réclamations de manière effective en ayant le pouvoir de mener des enquêtes efficaces, de prendre des décisions contraignantes et d’imposer des sanctions effectives et dissuasives;

-         reforçando o direito à informação para que as pessoas entendam perfeitamente como são tratados os seus dados, em especial quando as atividades de tratamento digam respeito a crianças.

-        en améliorant les possibilités de former des recours administratifs et juridictionnels en cas de violation des droits relatifs à la protection des données. En particulier, les associations qui satisfont à certaines conditions pourront saisir les tribunaux au nom de la personne physique concernée;

Melhorar os meios ao dispor das pessoas para exercerem os seus direitos, designadamente:

renforceront la sécurité des données:

-        reforçando a independência e as competências das autoridades nacionais de proteção de dados a fim de que estejam suficientemente equipadas para tratar de queixas de forma eficaz, em especial o poder de realizar investigações efetivas, de adotar decisões vinculativas e de impor sanções eficazes e dissuasivas;

-        en encourageant l’utilisation de technologies renforçant la protection de la vie privée (c’est-à-dire de technologies qui protègent la confidentialité des informations en réduisant au minimum la conservation de données à caractère personnel), d’un paramétrage par défaut respectueux de la vie privée et de régimes de certification du respect de la vie privée;

-        melhorando as vias de recurso administrativo e judicial em caso de violação dos direitos relativos à proteção de dados. Em particular, as associações habilitadas terão capacidade para intentar ações em tribunal em nome do interessado.

-        en introduisant une obligation générale[20] imposant aux responsables du traitement de notifier sans retard indu les violations de données tant aux autorités chargées de la protection de celles-ci (si possible dans un délai de 24 heures) qu’aux personnes physiques concernées;

Reforçar a segurança dos dados, designadamente:

accroîtront la responsabilité des personnes traitant les données, notamment:

-        incentivando a utilização de tecnologias de reforço da proteção da privacidade (ou seja, tecnologias que protegem a confidencialidade das informações minimizando a conservação de dados pessoais), de configurações por defeito que respeitem a privacidade e regimes de certificação do respeito da privacidade;

-         en exigeant des responsables du traitement dans les sociétés employant plus de 250 salariés et dans celles qui interviennent dans les traitements à risques qui, du fait de leur nature, de leur portée ou de leur finalité, présentent des risques particuliers au regard des droits et libertés des personnes physiques («traitements à risques»), qu’ils désignent un délégué à la protection des données;

-        introduzindo uma obrigação geral[20] que impõe aos responsáveis pelo tratamento de dados notificarem sem atraso injustificado eventuais violações de dados tanto as autoridades de proteção de dados (se possível, no prazo de 24 horas) como os interessados.

-        en introduisant le principe de «protection des données dès la conception» pour faire en sorte que les garanties en matière de protection des données soient prises en considération dès la phase de planification des procédures et des systèmes de traitement;

Melhorar a responsabilização das pessoas que efetuam o tratamento de dados, designadamente:

-        en introduisant l’obligation, pour les organisations associées à des traitements à risques, d’effectuer des analyses d’impact relatives à la protection des données.

-         exigindo aos responsáveis pelo tratamento de dados que designem um delegado para a proteção de dados nas empresas com mais de 250 assalariados e nas empresas que participam em operações de tratamento de dados que, pela sua natureza, âmbito de aplicação e finalidades, apresentam um risco específico para os direitos e as liberdades das pessoas singulares (risky processing);

3. DES RÈGLES DE PROTECTION DES DONNÉES ADAPTÉES AU MARCHÉ UNIQUE NUMÉRIQUE

-        introduzindo o princípio da proteção da privacidade desde a conceção (privacy by design), de modo a assegurar que as garantias em matéria de proteção de dados são tomadas em consideração desde a fase de planeamento dos procedimentos e dos sistemas de tratamento;

Bien que la directive en vigueur vise à garantir un niveau équivalent de protection des données dans l’ensemble de l’UE, les règles adoptées par les États membres divergent encore considérablement. Il n’est dès lors pas exclu que les responsables du traitement doivent composer avec 27 législations nationales prévoyant des obligations différentes. Il s’ensuit une fragmentation de l'environnement juridique qui a engendré une insécurité juridique et une protection inégale des personnes physiques. Cette situation génère des coûts et des charges administratives inutiles qui pèsent sur les entreprises et constitue un frein pour celles qui sont présentes sur le marché unique et qui souhaiteraient étendre leurs activités à d'autres États membres.

-        introduzindo a obrigação para as organizações envolvidas em tratamentos de risco de realizarem avaliações de impacto sobre a proteção de dados.

Les ressources et les pouvoirs dont disposent les autorités nationales chargées de la protection des données varient sensiblement d’un État membre à l’autre[21]. Ceci se traduit dans certains cas par l’incapacité de ces autorités à exercer leur mission répressive de manière satisfaisante. La coopération entre ces autorités à l’échelle européenne, au sein du groupe consultatif existant (le «groupe de travail Article 29»)[22], n’aboutit pas toujours à une application cohérente des règles relatives à la protection des données et appelle par conséquent des améliorations.

3. REGRAS DE PROTEÇÃO DE DADOS ADAPTADAS AO MERCADO ÚNICO DIGITAL

Application cohérente, dans l’ensemble de l’Europe, des règles relatives à la protection des données

Não obstante o objetivo prosseguido pela diretiva em vigor de garantir um nível equivalente de proteção de dados no conjunto da UE, subsistem ainda divergências consideráveis entre as regras dos Estados-Membros. Consequentemente, os responsáveis pelo tratamento de dados podem ser obrigados a ter em conta 27 legislações e obrigações nacionais diferentes. Daqui resulta um quadro jurídico fragmentado que cria insegurança jurídica e uma proteção desigual das pessoas singulares. Este fator gera custos e encargos administrativos desnecessários para as empresas e constitui um desincentivo para as que operam no mercado único e pretendem expandir as suas atividades além-fronteiras.

Une entreprise multinationale détenant plusieurs établissements sur le territoire de l’Union a déployé dans toute l’Europe un système de cartographie en ligne qui collecte des images de tous les édifices privés et publics et peut, le cas échéant, photographier des personnes dans la rue. Dans un État membre, l’insertion de photos non floutées de personnes ignorant qu’elles étaient photographiées a été considérée comme illégale, tandis que dans d’autres, cette pratique ne constituait pas une infraction à la législation sur la protection des données. Cette situation n’a pas permis de dégager une position cohérente entre autorités nationales chargées de la protection des données pour remédier au problème.

Os recursos e as competências das autoridades nacionais de proteção de dados variam consideravelmente entre os Estados-Membros[21]. Em alguns casos, significa que são incapazes de desempenhar satisfatoriamente as suas funções de controlo da aplicação. A cooperação entre estas autoridades a nível europeu, através do grupo consultivo existente (conhecido por Grupo de Trabalho do artigo 29.º)[22], nem sempre conduz a uma aplicação coerente e, portanto, deve ser melhorada.

Grâce à la réforme des règles de l’UE sur la protection des données, ce cas de figure ne pourra plus se présenter à l'avenir, parce que:

Aplicação coerente das regras em matéria de proteção de dados no conjunto da Europa

- les exigences et garanties en matière de protection des données seront énoncées dans un règlement de l’Union directement applicable dans l’ensemble du territoire de celle-ci;

Uma empresa multinacional com vários estabelecimentos no território da UE desenvolveu um sistema de cartografia em linha na Europa que recolhe imagens de todos os edifícios, públicos e privados, e que também pode fotografar pessoas na via pública. Num Estado-Membro, a inclusão de fotografias não desfocadas de pessoas que ignoravam estar a ser fotografadas foi considerada ilícita, enquanto noutro, esta prática não representou qualquer infração à regulamentação em matéria de proteção de dados. Consequentemente, as autoridades nacionais de proteção de dados não tomaram medidas coerentes para remediar tal situação.

- seule l’autorité chargée de la protection des données dans l’État membre où la société a son établissement principal sera compétente pour se prononcer sur la légalité du comportement de celle-ci;

A reforma das regras da UE em matéria de proteção de dados irá assegurar que esta situação não se volte a reproduzir no futuro, uma vez que:

- la coordination rapide et efficace entre autorités nationales chargées de la protection des données, le service étant proposé à des personnes physiques dans plusieurs États membres, contribuera à garantir une application et un respect cohérents des nouvelles règles de l’UE relatives à la protection des données dans l’ensemble des États membres.

- os requisitos e as garantias em matéria de proteção de dados serão harmonizados entre os Estados-Membros através de um regulamento da UE diretamente aplicável no conjunto da União;

Il convient de mieux armer les autorités nationales et de renforcer leur coopération pour garantir la mise en œuvre cohérente et, en définitive, l’application uniforme des règles dans l’ensemble de l’UE.

- apenas a autoridade de proteção de dados do Estado‑Membro onde a empresa tem o seu estabelecimento principal será competente para decidir se a empresa está a agir no respeito da legislação;

Un cadre législatif solide, clair et uniforme au niveau de l’Union contribuera à libérer le potentiel du marché unique numérique et à promouvoir la croissance économique, l’innovation et la création d’emplois. L'adoption d'un règlement mettra fin à la fragmentation des régimes juridiques entre les 27 États membres et supprimera les obstacles à l’entrée sur le marché, élément qui revêt une importance particulière pour les micro‑entreprises ainsi que pour les petites et moyennes entreprises.

- uma coordenação rápida e eficaz entre as autoridades nacionais de proteção de dados, dado que o serviço está direcionado para as pessoas em vários Estados-Membros, ajudará a garantir que as novas regras de proteção de dados da UE serão aplicadas e executadas de forma coerente no conjunto dos Estados-Membros.

Grâce aux nouvelles dispositions, les sociétés établies dans l’Union bénéficieront en outre d’un avantage dans la concurrence mondiale. Le cadre réglementaire réformé leur permettra en effet de donner à leurs clients l’assurance qu’elles traiteront avec la diligence et le soin requis toute information importante à caractère personnel. La confiance dans un régime réglementaire cohérent institué par l’UE constituera un atout majeur pour les prestataires de services et une incitation pour les investisseurs qui sont à l’affût de conditions optimales lorsqu'ils choisissent un site pour implanter leurs services.

As autoridades nacionais devem ser reforçadas e é necessário fortalecer a cooperação para assegurar uma execução coerente e, portanto, uma aplicação uniforme das regras no conjunto da UE.

Afin d’accroître la dimension «marché intérieur» de la protection des données, la Commission propose:

Um quadro legislativo sólido, claro e uniforme a nível da UE contribuirá para desenvolver o potencial do mercado único digital e estimular o crescimento económico, a inovação e a criação de empregos. A adoção de um regulamento eliminará a fragmentação dos regimes jurídicos entre os 27 Estados-Membros, bem como os entraves à entrada no mercado, um fator especialmente importante para as micro, pequenas e médias empresas.

-        d’établir, au niveau de l’UE, des règles relatives à la protection des données au moyen d’un règlement directement applicable dans tous les États membres[23] qui mettra fin à l’application cumulative et simultanée de législations nationales différentes en la matière. Cela représentera pour les entreprises une économie annuelle nette d'environ 2,3 milliards d’euros uniquement en charges administratives;

Graças às novas regras, as empresas da UE estarão igualmente em vantagem num contexto de concorrência global. Por força do quadro regulamentar reformado, as empresas poderão oferecer aos seus clientes garantias de que informações pessoais valiosas serão tratadas com o necessário cuidado e zelo. A confiança num regime regulamentar coerente da UE constituirá um elemento essencial para os prestadores de serviços e um incentivo para os investidores que procurem as melhores condições para a colocação dos seus serviços.

-        de simplifier l’environnement réglementaire en réduisant considérablement les charges administratives et en supprimant des formalités telles que les obligations générales de notification (ce qui permettra de réaliser des économies annuelles nettes de 130 millions d’euros pour les charges administratives uniquement). Compte tenu de leur importance pour la compétitivité de l’économie européenne, une attention particulière est accordée aux besoins spécifiques des micro‑entreprises ainsi qu'à ceux des petites et moyennes entreprises;

A fim de reforçar a dimensão «mercado único» da proteção de dados, a Comissão propõe:

-        d’accroître davantage l’indépendance et les pouvoirs des autorités nationales chargées de la protection des données pour leur permettre de mener des enquêtes, d’arrêter des décisions contraignantes et d'infliger des sanctions effectives et dissuasives; la Commission propose également d’obliger les États membres à les doter de ressources suffisantes à cette fin;

-        estabelecer, a nível da UE, regras em matéria de proteção de dados através de um regulamento diretamente aplicável em todos os Estados-Membros[23] que irá acabar com a aplicação cumulativa e simultânea de diferentes legislações nacionais de proteção de dados. Tal representará uma poupança líquida para as empresas de cerca de 2,3 mil milhões de EUR por ano só em termos de encargos administrativos;

-        d’instituer un système de «guichet unique» pour la protection des données dans l’UE: les responsables du traitement dans l’UE n’auront plus qu’une seule autorité chargée de la protection des données comme interlocuteur, à savoir celle de l’État membre dans lequel est situé l’établissement principal de la société;

-        simplificar o quadro regulamentar, reduzindo consideravelmente a burocracia e eliminando as formalidades, designadamente as obrigações gerais de notificação (dando origem a uma poupança líquida de 130 milhões de EUR por ano só em termos de encargos administrativos). Dada a sua importância para a competitividade da economia europeia, é dada especial atenção às necessidades das micro, pequenas e médias empresas;

-        de créer les conditions propices à une coopération rapide et efficace entre autorités chargées de la protection des données, notamment en imposant à chacune l'obligation d’effectuer des enquêtes et des inspections à la demande d’une autre, et de reconnaître mutuellement leurs décisions;

-        continuar a reforçar a independência e as competências das autoridades nacionais de proteção de dados, a fim de lhes permitir conduzir investigações, adotar decisões vinculativas e impor sanções eficazes e dissuasivas, bem como obrigar os Estados-Membros a conceder-lhes os recursos necessários para esse efeito;

-        de mettre sur pied un mécanisme de contrôle de la cohérence au niveau de l’Union pour faire en sorte que les décisions des autorités chargées de la protection des données ayant une portée européenne plus large tiennent pleinement compte des avis émis par d’autres autorités concernées et soient entièrement conformes au droit de l’Union;

-        instituir um sistema de «balcão único» para a proteção de dados na UE: os responsáveis pelo tratamento de dados na UE terão apenas uma única autoridade de proteção de dados como interlocutor, ou seja, a autoridade do Estado-Membro onde está situado o estabelecimento principal da empresa;

-        d’accroître l’importance du groupe de travail «Article 29» en le transformant en un comité européen de la protection des données indépendant, afin de renforcer sa contribution à l’application cohérente de la législation relative à la protection des données et d’offrir une base de coopération solide entre autorités chargées de la protection des données, en y associant le contrôleur européen de la protection des données, et d'intensifier les synergies et l’efficacité en prévoyant que le secrétariat du Comité européen de la protection des données sera assuré par le Contrôleur européen de la protection des données.

-        criar condições para uma cooperação rápida e eficaz entre as autoridades de proteção de dados, incluindo a obrigação de cada autoridade conduzir investigações e inspeções a pedido de outra, e de reconhecer mutuamente as respetivas decisões;

Le nouveau règlement garantira une sauvegarde solide du droit fondamental à la protection des données dans l’ensemble de l’Union européenne et améliorera le fonctionnement du marché unique. Parallèlement - compte tenu du fait, souligné par la Cour de justice de l'Union européenne[24], que le droit à la protection des données à caractère personnel n’apparaît pas comme une prérogative absolue, mais doit être pris en considération par rapport à sa fonction dans la société[25] et qu'il doit être mis en balance avec d'autres droits fondamentaux conformément au principe de proportionnalité[26] -, le nouveau règlement comprendra des dispositions expresses qui garantiront le respect d’autres droits fondamentaux tels que la liberté d’expression et d’information, le droit de se défendre ainsi que le droit au secret professionnel (notamment pour les professions juridiques) sans porter atteinte au statut des églises tel qu'il est défini dans les législations nationales.

-        instituir um mecanismo de controlo da coerência a nível da UE para assegurar que as decisões de uma autoridade de proteção de dados com impacto mais amplo a nível europeu tenham plenamente em conta os pareceres emitidos pelas outras autoridades interessadas e sejam plenamente conformes com o direito da UE;

4. L’UTILISATION DE DONNÉES DANS LA COOPÉRATION EN MATIÈRE DE POLICE ET DE JUSTICE PÉNALE

-        conferir maior destaque ao Grupo de Trabalho do artigo 29.º, passando este a ser um comité europeu para a proteção de dados independente, a fim de melhorar o seu contributo para a aplicação coerente da legislação em matéria de proteção de dados e fornecer uma base sólida de cooperação entre as autoridades de proteção de dados, incluindo a Autoridade Europeia para a Proteção de Dados, bem como reforçar as sinergias e a eficácia, prevendo que o secretariado do referido comité europeu de proteção de dados seja assegurado pela Autoridade Europeia para a Proteção de Dados.

L’entrée en vigueur du traité de Lisbonne et, notamment, la l’introduction d’une nouvelle base juridique (l’article 16 du TFUE) permettent à l’Union d’instaurer un cadre global pour la protection des données qui garantit un niveau élevé de protection des données à caractère personnel tout en respectant les spécificités du domaine de la coopération policière et judiciaire en matière pénale. Le cadre révisé de l’UE relatif à la protection des données peut notamment s’appliquer aux traitements aussi bien transfrontières que nationaux de données à caractère personnel. Les différences existant entre les législations nationales pourraient ainsi être atténuées, au bénéfice probable de la protection des données à caractère personnel considérée dans son ensemble. Cette nouvelle donne pourrait également contribuer à faciliter l'échange d’informations entre les autorités policières et judiciaires nationales et, de ce fait, améliorer la coopération dans la lutte contre les formes graves de criminalité en Europe. À l’heure actuelle, le traitement de données par les autorités policières et judiciaires en matière pénale est essentiellement régi par la décision‑cadre 2008/977/JAI, antérieure à l’entrée en vigueur du traité de Lisbonne. La Commission n’a pas le pouvoir d'en faire respecter les dispositions, car il s’agit d’une décision-cadre, ce qui a contribué au caractère disparate de sa transposition. Le champ d’application de la décision-cadre est en outre limité aux traitements à caractère transfrontière[27]. En d’autres termes, le traitement de données à caractère personnel qui n’ont pas été échangées ne relève pas, à l'heure actuelle, des dispositions de l’UE qui régissent ce type de traitement et protègent le droit fondamental à la protection des données. Il en résulte aussi, dans certains cas, des difficultés pratiques pour la police et d’autres autorités, qui peuvent avoir du mal à déterminer le caractère purement national ou transfrontière d’un traitement de données, ou à deviner si des données «nationales» sont susceptibles de faire l’objet d’un échange transfrontière ultérieur[28].

O novo regulamento da UE garantirá uma proteção firme do direito fundamental à proteção de dados no conjunto da União Europeia e fortalecerá o funcionamento do mercado único. Paralelamente, tendo em conta o facto de que, como sublinhado pelo Tribunal de Justiça da UE[24], o direito à proteção dos dados pessoais não é absoluto, devendo ser considerado em relação à sua função na sociedade[25] e ser equilibrado com outros direitos fundamentais em conformidade com o princípio da proporcionalidade[26], o regulamento incluirá disposições expressas que garantirão o respeito de outros direitos fundamentais, como a liberdade de expressão e de informação, o direito de defesa, bem como o direito de sigilo profissional (por exemplo para as profissões jurídicas), sem prejudicar o estatuto das igrejas definido pela legislação dos Estados-Membros.

Le nouveau cadre réformé de l’UE relatif à la protection des données vise dès lors à garantir un niveau élevé et cohérent de protection des données afin de renforcer la confiance mutuelle entre les autorités policières et judiciaires d'États membres différents, facilitant ainsi la libre circulation des données, ainsi que l'efficacité de la coopération entre ces mêmes autorités.

4. A UTILIZAÇÃO DE DADOS NA COOPERAÇÃO POLICIAL E DE JUSTIÇA PENAL

Pour garantir un niveau élevé de protection des données à caractère personnel dans le domaine de la coopération policière et judiciaire en matière pénale et faciliter les échanges de ces données entre les autorités policières et judiciaires nationales, la Commission propose, parmi les mesures prévues dans le train de réformes, une directive qui:

A entrada em vigor do Tratado de Lisboa e, nomeadamente, a introdução de uma nova base jurídica (artigo 16.º do TFUE) permitem à União instaurar um quadro global em matéria de proteção de dados que garante um elevado nível de proteção dos dados das pessoas singulares, respeitando simultaneamente a natureza específica da cooperação policial e judiciária em matéria penal. Em especial, possibilita a adoção do quadro revisto da UE em matéria de proteção de dados para abranger tanto o tratamento transfronteiriço como nacional dos dados pessoais. Tal atenuaria as diferenças entre as legislações nacionais, muito provavelmente em benefício da proteção geral dos dados pessoais. Permitiria igualmente um intercâmbio de informações mais fácil entre as autoridades policiais e judiciárias dos Estados‑Membros, melhorando desta forma a cooperação a nível da luta contra a criminalidade grave na Europa. Atualmente, o tratamento de dados pelas autoridades policiais e judiciárias em matéria penal é regido principalmente pela Decisão‑Quadro 2008/977/JAI, que é anterior à entrada em vigor do Tratado de Lisboa. A Comissão não tem competência para fazer aplicar as suas disposições dado tratar-se de uma decisão-quadro, facto que tem contribuído para a sua execução irregular. Além disso, o âmbito de aplicação dessa decisão‑quadro restringe-se a atividades de tratamento com dimensão transfronteiriça[27]. Tal significa que o tratamento de dados pessoais que não tenham sido objeto de intercâmbio não está atualmente coberto pelas regras da UE que regulam este tipo de tratamento e que protegem o direito fundamental à proteção de dados. Este facto cria, em alguns casos, dificuldades práticas às autoridades policiais e outras autoridades, que nem sempre conseguem distinguir facilmente entre o tratamento de dados meramente nacional e o tratamento transfronteiriço, ou prever se dados «nacionais» podem ser objeto de um intercâmbio transfronteiriço ulterior[28].

-         appliquera les principes généraux en matière de protection des données à la coopération policière et à la coopération judiciaire en matière pénale, tout en respectant les spécificités de ces domaines[29];

O novo quadro reformado da UE relativo à proteção de dados visa, portanto, garantir um nível coerente e elevado de proteção, a fim de reforçar a confiança mútua entre as autoridades policiais e judiciárias dos diferentes Estados‑Membros, contribuindo assim para a livre circulação de dados e uma cooperação efetiva entre as referidas autoridades.

-        prévoira des conditions et critères harmonisés a minima relatifs à d'éventuelles limitations apportées aux règles générales. Il s'agit notamment du droit des personnes physiques d’être informées lorsque les autorités policières ou judiciaires traitent ou consultent des données les concernant. Ces limitations sont nécessaires pour garantir l’efficacité de la prévention et de la détection des infractions pénales, des enquêtes et des poursuites en la matière;

Para assegurar um elevado nível de proteção dos dados pessoais no domínio da cooperação policial e judiciária em matéria penal e para facilitar o intercâmbio de dados pessoais entre as autoridades policiais e judiciárias dos Estados-Membros, a Comissão propõe como parte do pacote de reformas da proteção de dados, uma diretiva, que irá:

-        instaurera un régime spécial pour prendre en considération la nature particulière des activités répressives, notamment une distinction entre diverses catégories de personnes concernées par les données (telles que les témoins et les suspects), dont les droits peuvent être différents.

-         aplicar os princípios gerais em matéria de proteção de dados à cooperação policial e judiciária em matéria penal, respeitando a natureza específica destes domínios[29];

5. LA PROTECTION DES DONNÉES DANS LE CONTEXTE DE LA MONDIALISATION

-        prever condições e critérios mínimos harmonizados relativos a eventuais limitações às regras gerais. Estas medidas dizem respeito, em especial, aos direitos das pessoas singulares a serem informadas quando as autoridades policiais e judiciárias tratem ou consultam os seus dados. Essas limitações são necessárias para garantir a eficácia da prevenção, investigação, deteção ou repressão de infrações penais;

Les droits des personnes physiques doivent continuer d'être garantis lorsque des données à caractère personnel sont transférées de l’Union européenne vers des pays tiers, et dès que des prestataires de services établis dans des pays tiers ciblent des personnes physiques dans les États membres et utilisent ou analysent les données qui les concernent. Par conséquent, les normes de l’UE en matière de protection des données doivent s’appliquer quelle que soit la localisation géographique d’une société ou de son service de traitement des données.

-        estabelecer regras específicas para ter em conta a natureza particular das atividades de aplicação da lei, incluindo uma distinção entre as diferentes categorias de titulares de dados cujos direitos podem ser diferentes (designadamente, as testemunhas e os suspeitos).

Dans le contexte de mondialisation actuel, les données à caractère personnel sont transférées par delà un nombre croissant de frontières virtuelles et géographiques et conservées sur des serveurs situés dans de nombreux pays. Les sociétés sont plus nombreuses à offrir des services d’informatique en nuage, qui permettent à leurs clients de consulter et de stocker des données sur des serveurs distants. Ces éléments plaident en faveur d’une amélioration des mécanismes actuels de transfert de données vers les pays tiers. Il peut s'agir notamment de décisions relatives au caractère adéquat de la protection - c’est‑à‑dire des décisions certifiant que les normes de protection des données en vigueur dans des pays tiers sont «adéquates» - et de garanties appropriées telles que des clauses contractuelles types ou des règles d’entreprise contraignantes[30], de manière à garantir un niveau élevé de protection des données dans les traitements internationaux et à faciliter les flux transfrontières de données.

5. A PROTEÇÃO DE DADOS NUM MUNDO GLOBALIZADO

Les règles d’entreprise contraignantes

Os direitos das pessoas singulares devem continuar a ser garantidos quando os dados pessoais são transferidos da UE para países terceiros, e sempre que esses dados digam respeito a pessoas que se encontram nos Estados-Membros, e tenham sido referenciadas, e os seus dados utilizados ou analisados por prestadores de serviços estabelecidos em países terceiros. Isto significa que as normas da UE em matéria de proteção de dados devem ser aplicadas independentemente da localização geográfica da empresa ou do seu serviço de tratamento de dados.

Un groupe de sociétés doit régulièrement transférer des données à caractère personnel de ses sociétés apparentées établies sur le territoire de l’UE à celles situées dans des pays tiers. Le groupe souhaiterait introduire un ensemble de règles d’entreprise contraignantes (REC) pour se conformer à la législation de l'Union tout en limitant les obligations administratives afférentes à chaque transfert. Dans la pratique, les REC garantissent l’application d’un corps unique de règles dans l'ensemble du groupe au lieu de devoir conclure un contrat interne pour chacun des transferts.

No contexto de globalização atual, os dados pessoais são transferidos através de um número cada vez maior de fronteiras, virtuais e geográficas, sendo conservados em servidores instalados em vários países. Cada vez mais empresas oferecem serviços de computação em nuvem que permite aos seus clientes consultar e conservar dados em servidores distantes. Estes fatores impõem uma melhoria dos mecanismos de transferência de dados para os países terceiros. Tal pode incluir decisões sobre o nível adequado da proteção, ou seja, decisões que certifiquem a existência de normas «adequadas» de proteção de dados em países terceiros, bem como garantias apropriadas, tais como cláusulas contratuais normalizadas ou regras vinculativas para empresas[30], com o objetivo de garantir um elevado nível de proteção de dados nas operações de tratamento internacionais e facilitar os fluxos transfronteiriços de dados.

Conformément aux pratiques en vigueur convenues au sein du groupe de travail «Article 29», la reconnaissance du caractère adéquat des garanties prévues par les REC d’une société exige un contrôle approfondi par trois autorités chargées de la protection des données (une autorité «chef de file» et deux autorités «examinatrices»); plusieurs autres autorités peuvent cependant elles aussi formuler des commentaires. Les législations de nombreux États membres subordonnent en outre les transferts régis par des REC à l’obtention d’autorisations nationales supplémentaires, ce qui rend le processus d’adoption de ces REC très lourd, onéreux, long et complexe.

Regras vinculativas para empresas

Après la réforme de la protection des données,

Um grupo empresarial necessita de transferir regularmente dados pessoais de empresas suas filiais estabelecidas no território da UE para outras filiais situadas em países terceiros. O grupo empresarial gostaria de introduzir um conjunto de regras vinculativas para empresas (RVE) de forma a respeitar a legislação da UE e limitar simultaneamente as exigências administrativas aplicáveis a cada transferência. Na prática, as RVE garantem a aplicação de um conjunto único de regras a todo o grupo, em vez de ter de se recorrer a um contrato interno para cada transferência.

- ce processus sera plus simple et davantage rationalisé;

Graças às práticas atuais acordadas a nível do Grupo de Trabalho do artigo 29.º, o reconhecimento do caráter adequado das garantias previstas pelas RVE de uma empresa exige um controlo exaustivo efetuado por três autoridades de proteção de dados (uma «principal» e duas «revisoras»), mas pode receber também o parecer de outras autoridades. Além disso, a legislação de vários Estados-Membros exige autorizações nacionais adicionais para as transferências regidas pelas RVE, o que torna o processo de adoção destas regras muito complicado, oneroso, longo e complexo.

- les REC ne seront plus validées que par une seule autorité chargée de la protection des données, tandis que des mécanismes prévoiront la participation rapide d’autres autorités concernées;

Na sequência da reforma da proteção de dados:

- une fois qu’une REC aura été approuvée par une autorité, elle sera valable dans toute l’UE sans devoir être, de surcroît, autorisée au niveau national.

- este processo será mais simples e racionalizado;

Pour relever les défis de la mondialisation, il est indispensable, notamment pour les entreprises actives à l’échelle mondiale, de créer des outils et des mécanismes souples permettant de garantir concomitamment la protection sans faille des données à caractère personnel. La Commission propose les mesures suivantes:

- as RVE serão validadas apenas por uma autoridade de proteção de dados, com mecanismos para garantir a participação rápida de outras autoridades de proteção de dados relevantes;

-         des règles claires qui définissent les cas dans lesquels le droit de l’Union est applicable aux responsables du traitement établis dans des pays tiers, notamment en précisant que, chaque fois que des produits et des services sont proposés à des personnes physiques dans l’UE ou que leur comportement est analysé, les règles européennes s’appliquent;

- quando uma RVE for aprovada por uma autoridade, será válida no conjunto da UE, sem necessitar de qualquer autorização adicional a nível nacional.

-        la Commission européenne adoptera toute décision relative au caractère adéquat du niveau de protection des données sur le fondement de critères clairs et explicites, y compris dans le domaine de la coopération policière et de la justice pénale;

Para fazer face aos desafios da globalização, são necessários instrumentos e mecanismos flexíveis, particularmente para as empresas ativas a nível mundial, que garantam uma proteção sem falhas dos dados pessoais. A Comissão propõe as seguintes medidas:

-        les flux licites de données vers des pays tiers seront facilités par le renforcement et la simplification des règles relatives aux transferts internationaux de données vers des pays non couverts par une décision relative au caractère adéquat du niveau de protection, notamment grâce à la rationalisation et à l'extension du recours à des outils tels que les règles d'entreprise contraignantes, de sorte que celles-ci puissent être appliquées à des responsables du traitement ainsi qu’à l’intérieur de groupes de sociétés, ce qui reflètera mieux le nombre croissant de sociétés effectuant des traitements de données, notamment dans le domaine de l’informatique en nuage;

-         regras claras que definam os casos em que o direito da União se aplica aos responsáveis pelo tratamento de dados estabelecidos em países terceiros, nomeadamente especificando que sempre que bens e serviços sejam propostos às pessoas singulares na UE, ou sempre que o seu comportamento seja controlado, são aplicáveis as regras da UE;

-        engager un dialogue et, le cas échéant, des négociations avec des pays tiers, en particulier les partenaires stratégiques de l’Union et les pays concernés par la politique européenne de voisinage, et les organisations internationales concernées (comme le Conseil de l’Europe, l’Organisation de coopération et de développement économiques, les Nations unies) afin d'œuvrer, à l’échelle mondiale, à l'adoption de normes de haut niveau et interopérables en matière de protection des données.

-        qualquer decisão sobre o nível adequado de proteção de dados adotada pela Comissão Europeia terá como base critérios explícitos e claros, incluindo no domínio da cooperação policial e da justiça penal;

6. CONCLUSION

-        os fluxos lícitos de dados para países terceiros serão facilitados através do reforço e da simplificação das regras relativas às transferências internacionais de dados para países não abrangidos por uma decisão sobre o nível adequado de proteção, nomeadamente racionalizando e alargando a utilização de instrumentos, como as regras vinculativas para empresas, para que estas possam ser utilizadas pelos responsáveis pelo tratamento de dados e a nível de grupos de empresas, desta forma refletindo melhor o número crescente de empresas envolvidas nas atividades de tratamento de dados, especialmente no domínio da computação em nuvem;

La réforme de la protection des données vise à mettre sur pied un cadre global, cohérent, solide et moderne relatif à la protection des données pour l’Union européenne. Le droit fondamental des personnes physiques à la protection des données en sera renforcé. D’autres droits, tels que la liberté d’expression et d’information, les droits de l’enfant, la liberté d’entreprise, le droit à un procès équitable et la garantie du secret professionnel (pour les professions juridiques, notamment) ainsi que le statut des églises tel qu'il est défini dans les législations nationales, seront respectés.

-        encetar um diálogo e, se for caso disso, negociações, com países terceiros, particularmente os parceiros estratégicos da UE e os países envolvidos na Política Europeia de Vizinhança, bem como organizações internacionais relevantes (por exemplo, o Conselho da Europa, a Organização de Cooperação e Desenvolvimento Económico, a Organização das Nações Unidas) para promover, a nível mundial, a adoção de normas de elevado nível e interoperáveis em matéria de proteção de dados.

La réforme profitera en premier lieu aux personnes physiques, en renforçant leurs droits à la protection des données et leur confiance dans l’environnement numérique. Elle simplifiera considérablement, en outre, l’environnement juridique dans lequel évoluent les entreprises et le secteur public. Le développement de l’économie numérique dans l’ensemble du marché unique de l’UE et au-delà devrait en être stimulé, conformément aux objectifs fixés dans la stratégie Europe 2020 et la stratégie numérique pour l’Europe. Enfin, la réforme accroîtra la confiance entre les autorités répressives afin de faciliter les échanges d’information entre elles ainsi que la coopération dans la lutte contre les formes graves de criminalité en Europe, tout en garantissant aux personnes physiques un niveau élevé de protection.

6. CONCLUSÃO

La Commission européenne collaborera étroitement avec le Parlement européen et le Conseil pour assurer la conclusion, d’ici fin 2012, d’un accord sur le nouveau cadre de l’UE relatif à la protection des données. Tout au long de ce processus d’adoption et au-delà, notamment dans le contexte de la transposition et de l'application des nouveaux instruments juridiques, la Commission poursuivra son dialogue étroit et transparent avec toutes les parties intéressées, dont des représentants des secteurs privé et public, parmi lesquels figureront des représentants de la police, de la justice, des autorités de réglementation des communications électroniques, d’organisations de la société civile, d’autorités chargées de la protection des données et du monde universitaire, ainsi que des représentants d’agences spécialisées de l’Union telles qu’Eurojust, Europol, l’Agence des droits fondamentaux et l’Agence européenne chargée de la sécurité des réseaux et de l’information.

A reforma da UE relativa à proteção de dados tem por objetivo estabelecer um quadro moderno, sólido, coerente e global em matéria de proteção de dados para a União Europeia. O direito fundamental das pessoas singulares à proteção de dados será reforçado. Serão respeitados outros direitos, como a liberdade de expressão e de informação, o direito das crianças, o direito de liberdade de empresa, o direito a um processo equitativo e ao sigilo profissional (por exemplo, para as profissões jurídicas), bem como o estatuto das igrejas tal como definido nas legislações dos Estados-Membros.

Dans un contexte d'évolution constante des technologies de l'information et des comportements sociaux, un tel dialogue est de la plus haute importance pour mettre à profit les contributions qui sont nécessaires pour garantir un niveau élevé de protection des données des personnes physiques, la croissance et la compétitivité des entreprises de l'Union, l'efficacité opérationnelle du secteur public (dont celle des services de police et de la justice) et un faible niveau de charges administratives.

A reforma irá acima de tudo beneficiar as pessoas singulares, reforçando os seus direitos à proteção de dados e a sua confiança no ambiente digital. Além disso, a reforma irá simplificar substancialmente o quadro jurídico em que evoluem as empresas e o setor público. Prevê-se que tal possa estimular o desenvolvimento da economia digital no conjunto do mercado único da UE e além-fronteiras, em consonância com os objetivos da Estratégia Europa 2020 e da Agenda Digital para a Europa. Por último, a reforma irá reforçar a confiança entre as autoridades de aplicação da lei, a fim de facilitar o intercâmbio de dados entre elas e a cooperação na luta contra a criminalidade grave, garantindo simultaneamente às pessoas singulares um elevado nível de proteção.

[1]               Le marché de l’analyse de grands ensembles de données enregistre une croissance mondiale annuelle de 40 %: http://www.mckinsey.com/mgi/publications/big_data/.

A Comissão Europeia irá trabalhar em estreita colaboração com o Parlamento Europeu e o Conselho para garantir a obtenção de um acordo relativo ao novo quadro de proteção de dados da UE até final de 2012. Ao longo deste processo de adoção e para além dele, especialmente no contexto da execução e aplicação dos novos instrumentos jurídicos, a Comissão manterá um diálogo estreito e transparente com todas as partes interessadas, envolvendo representantes dos setores privado e público. Entre as partes interessadas encontram-se representantes das autoridades policiais e judiciárias, dos reguladores de comunicações eletrónicas, das organizações da sociedade civil, das autoridades de proteção de dados e do setor académico, bem como de agências especializadas da UE, designadamente a Eurojust, a Europol, a Agência dos Direitos Fundamentais e a Agência Europeia para a Segurança das Redes de Informação.

[2]               Voir également les conclusions du Conseil européen du 23 octobre 2011 qui ont souligné le «rôle majeur» du marché unique «dans la croissance et l’emploi» et insisté sur la nécessité d’achever le marché unique numérique d’ici 2015.

Num contexto de evolução constante das tecnologias da informação e dos comportamentos sociais, esse diálogo é da maior importância para congregar os contributos necessários tendo em vista assegurar um elevado nível de proteção dos dados das pessoas singulares, bem como o crescimento e a competitividade das empresas da União, a eficácia operacional do setor público (incluindo os serviços policiais e judiciários) e um nível reduzido de encargos administrativos.

[3]               COM(2010) 171 final.

[1]               O mercado da análise de grandes conjuntos de dados está a ter um crescimento mundial anual de 40%: http://www.mckinsey.com/mgi/publications/big_data/.

[4]               COM(2010) 245 final.

[2]               Ver também as conclusões do Conselho Europeu, de 23 de outubro de 2011, que salientaram o «papel fundamental» do mercado único «no crescimento e no emprego», bem como a necessidade de concretizar o Mercado Único Digital até 2015.

[5]               COM(2010) 2020 final.

[3]               COM (2010) 171 final.

[6]               Directive 95/46/CE relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, JO L 281 du 23.11.1995, p. 31.

[4]               COM (2010) 245 final.

[7]               Des règles spéciales relatives aux traitements par les États membres dans le domaine de la politique étrangère et de sécurité commune sont fixées par une décision du Conseil fondée sur l’article 39 du TUE.

[5]               COM (2010) 2020 final.

[8]               Voir, respectivement, COM(2009) 262 et COM(2010) 171.

[6]               Diretiva 95/46/CE relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, JO L 281 de 23.11.1995, p. 31

[9]               La réforme de la protection des données a donné lieu à deux consultations publiques: la première a été organisée de juillet à décembre 2009 (http://ec.europa.eu/justice/news/consulting_public/news_consulting_0003_en.htm) et la seconde, de novembre 2010 à janvier 2011 (http://ec.europa.eu/justice/news/consulting_public/news_consulting_0006_en.htm).

[7]               As regras específicas relativas ao tratamento de dados pelos Estados-Membros no domínio da Política Externa e de Segurança Comum são estabelecidas por uma decisão do Conselho com base no artigo 39.º do TUE.

[10]             Des consultations ciblées ont été organisées en 2010 avec les États membres et des parties prenantes du secteur privé. Au mois de novembre 2010, la commissaire européenne chargée de la justice, Mme Viviane Reding, a organisé une table ronde sur la réforme de la protection des données. Durant toute l’année 2011 se sont également tenus des ateliers et des séminaires consacrés à des questions précises (telles que les notifications des violations de données).

[8]               Ver, respetivamente, COM (2009) 262 e COM (2010) 171.

[11]             COM(2010) 609.

[9]               Foram lançadas duas consultas públicas sobre a reforma da proteção de dados: a primeira, de julho a dezembro de 2009 (http://ec.europa.eu/justice/news/consulting_public/news_consulting_0003_en.htm) e, a segunda, de novembro de 2010 a janeiro de 2011 (http://ec.europa.eu/justice/news/consulting_public/news_consulting_0006_en.htm).

[12]             Voir la lettre de Mme Viviane Reding, commissaire européenne chargée de la justice, adressée le 19 septembre 2011 aux membres du groupe de travail «Article 29», publiée à l’adresse suivante: http://ec.europa.eu/justice/data-protection/article-29/documentation/other-document/index_en.htm.

[10]             Foram organizadas consultas específicas em 2010 com autoridades dos Estados-Membros e partes interessadas do setor privado. Em novembro de 2010, a Comissária da UE responsável pela Justiça, Viviane Reding, organizou uma mesa redonda subordinada à reforma da proteção de dados. Realizaram-se também sessões de trabalho e seminários adicionais sobre temas específicos (nomeadamente, notificações das violações de dados) no decurso de 2011.

[13]             Voir l'analyse d'impact SEC(2012) 72.

[11]             COM (2010) 609.

[14]             La réforme comportera ultérieurement des modifications destinées à harmoniser des instruments spéciaux et sectoriels tels que le règlement (CE) n° 45/2001, JO L 8 du 12.1.2011, p. 1.

[12]             Ver a carta da Comissária da UE responsável pela Justiça, Viviane Reding, de 19 de setembro de 2011, aos membros do Grupo de Trabalho do artigo 29.º, publicada em http://ec.europa.eu/justice/data-protection/article-29/documentation/other-document/index_en.htm.

[15]             Le règlement apporte également un petit nombre d’adaptations techniques à la directive «vie privée et communications électroniques» (directive 2002/58/CE, modifiée en dernier lieu par la directive 2009/136/CE, JO L 337 du 18.12.2009, p. 11) pour tenir compte de la transformation de la directive 95/46/CE en règlement. Les conséquences juridiques de fond que le nouveau règlement et la nouvelle directive entraîneront pour la directive «vie privée et communications électroniques» feront, le moment venu, l’objet d’un examen par la Commission qui tiendra compte de l’issue des négociations menées sur les propositions actuelles avec le Parlement européen et le Conseil.

[13]             Ver a avaliação de impacto SEC (2012) 72.

[16]             Décision‑cadre 2008/977/JAI du Conseil du 27 novembre 2008 relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale, JO L 350 du 30.12.2008, p. 60. Un rapport sur la transposition de la décision-cadre par les États membres [COM(2012) 12] figure dans le train de mesures réformant la protection des données.

[14]             A reforma incluirá, numa fase posterior, alterações tendo em vista a harmonização dos instrumentos específicos e setoriais, por exemplo o Regulamento (CE) n.° 45/2011, JO L 8 de 12.1.2001, p. 1.

[17]             Voir Eurobaromètre spécial 359 - Attitudes on Data Protection and Electronic Identity in the European Union, juin 2011, p. 23.

[15]             O regulamento citado prevê também um número limitado de adaptações técnicas à diretiva relativa à privacidade e às comunicações eletrónicas (Diretiva 2002/58/CE, com a última redação que lhe foi dada pela Diretiva 2009/136/CE, JO L 337 de 18.12.2009, p. 11), de modo a ter em conta a transformação da Diretiva 95/46/CE num regulamento. As consequências jurídicas substantivas que o novo regulamento e a nova diretiva implicarão para a diretiva relativa à privacidade serão revistas pela Comissão em data oportuna, tendo em conta o resultado das negociações sobre as atuais propostas com o Parlamento Europeu e o Conselho.

[18]             Ibidem, p. 54.

[16]             Decisão-Quadro 2008/977/JAI, de 27 de novembro de 2008, relativa à proteção dos dados pessoais tratados no âmbito da cooperação policial e judiciária em matéria penal, JO L 350 de 30.12.2008, p. 60. Este pacote de reforma legislativa sobre a proteção de dados inclui um relatório sobre a execução da decisão‑quadro pelos Estados-Membros.

[19]             Voir Une stratégie numérique pour l’Europe, précitée, p. 4.

[17]             Ver Eurobarómetro Especial 359 – Attitudes on Data Protection and Electronic Identity in the European Union, junho de 2011, p. 23.

[20]             Une telle obligation n'existe actuellement que dans le secteur des télécommunications en vertu de la directive «vie privée et communications électroniques».

[18]             Ibidem , p. 54.

[21]             Pour de plus amples informations à cet égard, voir l'analyse d’impact accompagnant les propositions législatives, SEC(2012) 72.

[19]             Ver a Agenda Digital para a Europa citada, p. 4.

[22]             Le groupe de travail «Article 29» a été institué en 1996 (par l’article 29 de la directive 95/46/CE); il a un caractère consultatif et se compose de représentants des autorités de contrôle de la protection des données, du Contrôleur européen de la protection des données (CEPD) et de la Commission. Pour de plus amples informations sur ses activités, voir http://ec.europa.eu/justice/policies/privacy/workinggroup/index_en.htm.

[20]             Atualmente tal obrigação só existe no setor das telecomunicações por força da diretiva relativa à privacidade e às comunicações eletrónicas.

[23]             La Commission présente également une proposition de directive pour définir les règles applicables au domaine de la coopération policière et de la coopération judiciaire en matière pénale (voir section 4 ci-après) qui offrira aux États membres une plus grande souplesse dans ce domaine particulier.

[21]             Para mais detalhes sobre este assunto, consultar a avaliação de impacto que acompanha as propostas legislativas, SEC (2012) 72.

[24]             Arrêt de la Cour de justice de l'Union européenne du 9 novembre 2010 dans les affaires jointes C‑92/09 et C‑93/09, Volker und Markus Schecke et Eifert, Recueil 2010, non encore publié au Recueil.

[22]             O Grupo de Trabalho do artigo 29.º foi criado em 1996 (por força do artigo 29.º da Diretiva 95/46/CE), tem natureza consultiva e é composto por representantes das autoridades nacionais de controlo em matéria de proteção de dados, da Autoridade Europeia para a Proteção de Dados (AEPD) e da Comissão. Para mais informações sobre as suas atividades, consultar http://ec.europa.eu/justice/policies/privacy/workinggroup/index_en.htm.

[25]             Conformément à l'article 52, paragraphe 1, de la charte des droits fondamentaux, des limitations peuvent être apportées à l'exercice du droit à la protection des données, à condition que lesdites limitations soient prévues par la loi, respectent le contenu essentiel du droit et des libertés en cause et, dans le respect du principe de proportionnalité, soient nécessaires et répondent effectivement à des objectifs d'intérêt général reconnus par l'Union européenne ou au besoin de protection des droits et libertés d'autrui.

[23]             É proposta uma diretiva para definir as regras aplicáveis no domínio da cooperação policial e judiciária em matéria penal (consultar o ponto 4 infra), o que irá permitir uma maior flexibilidade aos Estados‑Membros neste domínio específico.

[26]             Arrêts de la Cour de justice de l'Union européenne du 6 novembre 2003 dans l'affaire C‑101/01, Lindqvist, Recueil 2003, p. I‑12971, points 82 à 90, et du 16 décembre 2008 dans l'affaire C‑73/07, Satamedia, Recueil 2008, p. I‑9831, points 50 à 62.

[24]             Tribunal de Justiça da UE, acórdão de 9.11.2010 nos processos apensos C-92/09 e C-93/09, Volker e Markus Schecke e Eifert (Coletânea 2010), ainda não publicado oficialmente.

[27]             Plus précisément, la décision-cadre s’applique aux données à caractère personnel qui sont ou ont été transmises ou mises à disposition entre les États membres ou échangées entre des États membres et des institutions, organes et organismes de l’Union (voir article 1er, paragraphe 2).

[25]             Em consonância com o artigo 52.°, n.° 1, da Carta, podem ser impostas restrições ao exercício do direito à proteção de dados desde que sejam previstas por lei e respeitem o conteúdo essencial desse direito e liberdade; na observância do princípio da proporcionalidade, essas restrições só podem ser introduzidas se forem necessárias e corresponderem efetivamente a objetivos de interesse geral reconhecidos pela União, ou à necessidade de proteção dos direitos e liberdades de terceiros.

[28]             Certains États membres l'ont confirmé dans leurs réponses au questionnaire de la Commission relatif au rapport sur la transposition de la décision-cadre [COM(2012) 12].

[26]             Tribunal de Justiça da UE, acórdão de 6.11.2003 no processo C-101/01, Lindqvist (Coletânea 2003, p. I‑12971, n.os 82-90; acórdão de 16.12.2008 no processo C-73/07, Satamedia (Coletânea 2008, p. I‑9831, n.os 50-62).

[29]             Voir la Déclaration n° 21 sur la protection des données à caractère personnel dans le domaine de la coopération judiciaire en matière pénale et de la coopération policière, annexée à l’acte final de la conférence intergouvernementale qui a adopté le traité de Lisbonne.

[27]             Mais precisamente, a decisão-quadro aplica-se aos dados pessoais que são ou foram transmitidos ou disponibilizados entre Estados-Membros ou trocados entre Estados-Membros e instituições ou organismos da UE (ver artigo 1.º, n.º 2).

[30]             On entend par «règles d'entreprise contraignantes» des codes de bonne pratique fondés sur les normes européennes de protection des données et approuvés par au moins une autorité chargée de cette protection, que des entités établissent de leur plein gré et respectent pour garantir un niveau adéquat de protection à des catégories de transferts de données à caractère personnel entre les entreprises d’un même groupe liées par ces règles. Ces règles ne sont pas expressément prévues par la directive 95/46/CE mais se sont créées dans la pratique entre les autorités chargées de la protection des données, avec le soutien du groupe de travail «Article 29».

[28]             Tal foi confirmado por alguns Estados-Membros aquando da resposta ao questionário da Comissão em relação ao relatório sobre a execução da decisão-quadro [COM (2012) 12].

[29]             Ver a Declaração n.º 21 sobre a proteção de dados pessoais no domínio da cooperação judiciária em matéria penal e da cooperação policial, anexada à Ata Final da Conferência Intergovernamental que adotou o Tratado de Lisboa.

[30]             Entende-se por «regras vinculativas para empresas», os códigos de boas práticas baseados em normas europeias de proteção de dados e aprovadas, pelo menos, por uma autoridade de proteção de dados, que as entidades elaboram voluntariamente e respeitam para garantir uma proteção adequada a categorias de transferências de dados pessoais entre as empresas de um mesmo grupo ligadas por essas regras. Essas regras não se encontram explicitamente previstas na Diretiva 95/46/CE, mas foram desenvolvidas na prática pelas autoridades de proteção de dados, com o apoio do Grupo de Trabalho do artigo 29.º.