COMISSÃO EUROPEIA
Bruxelas, 9.3.2023
COM(2023) 133 final
ANEXO
da
Recomendação de DECISÃO DO CONSELHO
que autoriza a abertura de negociações com vista à celebração de um acordo entre a União Europeia e a República do Peru sobre o intercâmbio de dados pessoais entre a Agência da União Europeia para a Cooperação Policial (Europol) e as autoridades peruanas competentes em matéria de luta contra a criminalidade grave e o terrorismo
ANEXO
Diretrizes de negociação de um acordo entre a União Europeia e a República do Peru sobre o intercâmbio de dados pessoais entre a Agência da União Europeia para a Cooperação Policial (Europol) e as autoridades peruanas competentes em matéria de luta contra a criminalidade grave e o terrorismo
No decurso das negociações, a Comissão deve procurar alcançar os objetivos a seguir enunciados em pormenor:
(1)O objetivo do Acordo é proporcionar a base jurídica para a transferência de dados pessoais entre a Europol e as autoridades peruanas competentes, a fim de apoiar e reforçar a ação destas autoridades e dos Estados-Membros, assim como a sua cooperação em matéria de prevenção e luta contra a criminalidade transnacional grave e o terrorismo, assegurando simultaneamente garantias adequadas em relação à proteção da privacidade, dos dados pessoais e dos direitos e liberdades fundamentais das pessoas.
(2)A fim de garantir a limitação da finalidade, a cooperação e o intercâmbio de dados ao abrigo do Acordo devem dizer unicamente respeito aos crimes e infrações penais conexas que sejam da competência da Europol, em conformidade com o artigo 3.º do Regulamento 2016/794 (a seguir designados, conjuntamente, por «infrações penais»). Mais concretamente, a cooperação deve ter por objetivo prevenir e combater o terrorismo, desmantelar a criminalidade organizada e lutar contra o tráfico de drogas e a cibercriminalidade. O Acordo deve especificar o seu âmbito de aplicação e as finalidades para as quais a Europol poderá transferir dados para as autoridades peruanas competentes.
(3)O Acordo deve especificar de forma clara e precisa as salvaguardas e os controlos necessários em matéria de proteção dos dados pessoais e dos direitos e liberdades fundamentais das pessoas singulares, independentemente da sua nacionalidade ou local de residência, no intercâmbio de dados pessoais entre a Europol e as autoridades peruanas competentes. Para além das garantias a seguir indicadas, deve ser exigido que a transferência de dados pessoais fique sujeita a obrigações de confidencialidade e que os dados pessoais não sejam utilizados para requerer, proferir ou executar uma pena de morte ou qualquer forma de tratamento cruel ou desumano, sem prejuízo de garantias adicionais que possam ser exigidas.
Mais concretamente:
(a)O Acordo deve incluir definições de termos essenciais conformes com o disposto no artigo 3.º, n.º 1, da Diretiva (UE) 2016/680.
(b)O Acordo deve respeitar o princípio da especificidade, que assegura que os dados não sejam tratados para finalidades diferentes daquelas para as quais foram transferidos. Para o efeito, as finalidades do tratamento de dados pessoais pelas Partes no âmbito do Acordo devem ser enunciadas de forma clara e rigorosa e não podem exceder o necessário, em casos concretos, para prevenir e combater o terrorismo e as infrações penais nele referidas.
(c)Os dados pessoais transferidos pela Europol em conformidade com o Acordo devem ser objeto de um tratamento leal, com um fundamento legítimo e destinar-se apenas às finalidades para as quais tiverem sido transferidos. O Acordo deve prever a obrigação de a Europol indicar, aquando da transferência dos dados, eventuais restrições de acesso ou de utilização, nomeadamente no que se refere à sua transferência, apagamento, destruição ou tratamento ulterior. O Acordo deve obrigar as autoridades peruanas competentes a respeitarem estas restrições e a especificarem a forma como tencionam dar-lhes execução na prática. Os dados pessoais devem ser adequados, pertinentes e limitados ao necessário para a finalidade em causa. Devem ser rigorosos e atualizados, não podendo ser conservados por mais tempo do que o necessário para os fins para que foram transferidos. O Acordo deve ser acompanhado de um anexo que contenha uma lista exaustiva das autoridades competentes da República do Peru para as quais a Europol pode transferir dados pessoais, bem como uma breve descrição das suas competências.
(d)A transferência pela Europol de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a filiação sindical, dados genéticos, dados biométricos destinados a identificar uma pessoa singular de forma inequívoca, dados relativos à saúde ou relativos à vida sexual ou à orientação sexual só pode ser permitida se for estritamente necessária, bem como razoável e proporcionada em casos concretos, para a prevenção e luta contra infrações penais e se esses dados, exceto os dados biométricos, completarem outros dados pessoais. O Acordo deve igualmente prever garantias específicas em relação à transferência dos dados pessoais das vítimas de infrações penais, das testemunhas ou de outras pessoas que possam fornecer informações sobre essas infrações, assim como dos menores.
(e)O Acordo deve reconhecer os direitos executórios das pessoas cujos dados pessoais são objeto de tratamento, estabelecendo normas sobre o direito de acesso, retificação e apagamento, incluindo os motivos específicos que permitem autorizar eventuais restrições necessárias e proporcionadas. Deve reconhecer igualmente direitos passíveis de recurso administrativo ou judicial a qualquer pessoa cujos dados sejam tratados ao abrigo do mesmo e garantir vias de recurso efetivas.
(f)O Acordo deve estabelecer normas em matéria de conservação, reexame, retificação e apagamento de dados pessoais, bem como de conservação de registos para efeitos de registo e documentação, e sobre as informações a disponibilizar aos particulares. Deve prever igualmente salvaguardas em relação ao tratamento automatizado dos dados pessoais.
(g)O Acordo deve especificar os critérios com base nos quais é indicada a fiabilidade da fonte e a exatidão dos dados.
(h)O Acordo deve consagrar a obrigação de garantir a segurança dos dados pessoais, mediante a aplicação das medidas técnicas e organizativas adequadas, nomeadamente permitindo que só as pessoas autorizadas possam ter acesso aos mesmos. Deve prever igualmente a obrigação de notificação em caso de violação de dados pessoais que afete dados transferidos ao abrigo do Acordo.
(i)As transferências ulteriores de informações das autoridades peruanas competentes para outras autoridades da República do Peru, incluindo para efeitos da sua utilização em processos judiciais, só podem ser autorizadas sob reserva de condições e garantias adequadas, incluindo a autorização prévia da Europol.
(j)Devem aplicar-se as mesmas condições que as previstas na alínea i) às transferências ulteriores de dados das autoridades peruanas competentes para as autoridades de um país terceiro, com a exigência suplementar de que essas transferências só podem ser autorizadas para países terceiros para os quais a Europol tenha o direito de transferir dados pessoais, com base no artigo 25.º, n.º 1, do Regulamento (UE) 2016/794.
(k)O Acordo deve assegurar um sistema de supervisão por uma ou mais autoridades públicas independentes responsáveis pela proteção de dados que tenham competências efetivas de investigação e intervenção para supervisionar as autoridades públicas peruanas que utilizam os dados pessoais/as informações trocadas, e para intervir em processos judiciais. Mais concretamente, essas autoridades independentes devem ter competência para receber queixas de particulares quanto à utilização dos seus dados pessoais. As autoridades públicas que utilizam dados pessoais devem ser responsabilizadas pelo cumprimento das normas em matéria de proteção de dados pessoais ao abrigo do Acordo.
(4)O Acordo deve prever um mecanismo eficaz de resolução de litígios no que se refere à sua interpretação e aplicação, que assegure que as Partes respeitam as normas acordadas entre si.
(5)O Acordo deve incluir disposições sobre o respetivo acompanhamento e avaliação periódica.
(6)O Acordo deve incluir uma disposição sobre a sua entrada em vigor e aplicação, bem como uma disposição segundo a qual qualquer das Partes pode denunciá-lo ou suspendê-lo, em especial se o país terceiro já não assegurar eficazmente o nível de proteção dos direitos e liberdades fundamentais exigido pelo Acordo. O Acordo deve também especificar se os dados pessoais abrangidos pelo seu âmbito de aplicação e transferidos antes da sua suspensão ou denúncia poderão continuar a ser tratados. Se for autorizada a continuação do tratamento de dados pessoais, este deve, em qualquer caso, respeitar as disposições do Acordo no momento da suspensão ou da denúncia.
(7)O Acordo, que deve fazer igualmente fé nas línguas alemã, búlgara, checa, croata, dinamarquesa, eslovaca, eslovena, espanhola, estónia, finlandesa, francesa, grega, húngara, inglesa, irlandesa, italiana, letã, lituana, maltesa, neerlandesa, polaca, portuguesa, romena e sueca, deve incluir uma cláusula linguística para esse efeito.