(1)

A Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (2) prevê normas harmonizadas para a proteção e a livre circulação de dados pessoais tratados para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças contra a segurança pública. A referida diretiva exige que a Comissão reexamine outros atos pertinentes adotados pela União, a fim de avaliar a necessidade de harmonizá-los com a referida diretiva e apresente, se for caso disso, as propostas necessárias à sua alteração, assegurando uma abordagem coerente da proteção de dados pessoais no âmbito da diretiva.

(2)

A Decisão 2009/917/JAI do Conselho (3) cria o Sistema de Informação Aduaneiro (SIA), cujo propósito consiste em ajudar a prevenir, investigar e reprimir infrações graves à legislação nacional, tornando os dados mais rapidamente disponíveis e reforçando assim a eficácia das administrações aduaneiras dos Estados-Membros. O SIA consiste numa base de dados central que armazena dados pessoais, como apelidos e nomes próprios, endereços, números de documentos de identificação relacionados com mercadorias, meios de transporte, empresas ou pessoas, bem como artigos e numerário retidos, apreendidos ou confiscados. A base de dados central é gerida pela Comissão, que não tem acesso aos dados pessoais aí armazenados. As autoridades designadas pelos Estados-Membros têm direito de acesso à base de dados central e podem inserir e consultar as informações aí armazenadas. A Agência da União Europeia para a Cooperação Policial (Europol) e a Agência da União Europeia para a Cooperação Judiciária Penal (Eurojust) têm, no âmbito dos respetivos mandatos e para o cumprimento das suas funções, o direito de aceder aos dados inseridos na base de dados central pelas autoridades designadas pelos Estados-Membros e de consultar esses dados.

(3)

A fim de assegurar uma abordagem coerente à proteção dos dados pessoais na União, a Decisão 2009/917/JAI deverá ser alterada para que seja alinhada com a Diretiva (UE) 2016/680. Em especial, as regras de proteção de dados pessoais previstas nessa decisão deverão respeitar o princípio da limitação da finalidade, limitar-se a categorias específicas de titulares de dados e categorias de dados pessoais, respeitar os requisitos de segurança dos dados, incluir uma proteção adicional para categorias especiais de dados pessoais e respeitar as condições para o tratamento subsequente. Além disso, deverá ser prevista a supervisão coordenada do funcionamento do SIA pela Autoridade Europeia para a Proteção de Dados e pelas autoridades nacionais de controlo, em conformidade com o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (4).

(4)

A fim de assegurar uma abordagem clara e coerente para a proteção adequada dos dados pessoais, a expressão «infrações graves» utilizada na Decisão 2009/917/JAI deverá ser substituída por «infrações penais», conforme referido na Diretiva (UE) 2016/680, tendo em conta que o facto de um comportamento específico ser proibido pelo direito penal de um Estado-Membro implica, por si só, um certo grau de gravidade da infração. Além disso, a finalidade do SIA deverá continuar a limitar-se à prestação de assistência na prevenção, investigação, deteção ou repressão de infrações penais ao abrigo da legislação nacional, como definida na Decisão 2009/917/JAI, ou seja, das legislações nacionais em relação às quais as administrações aduaneiras dos Estados-Membros são competentes e, por conseguinte, especialmente relevantes no contexto aduaneiro. Assim, embora a qualificação como infração penal seja um requisito necessário, nem todas as infrações penais ao abrigo das legislações nacionais são abrangidas pela Decisão 2009/917/JAI. Por exemplo, as infrações penais relativas ao tráfico de droga, tráfico de armas e branqueamento de capitais são abrangidas pela Decisão 2009/917/JAI. Além disso, a substituição do termo «infrações graves» pelo termo «infrações penais» não deverá ser entendida como afetando os requisitos específicos previstos na Decisão 2009/917/JAI para a criação e o envio por parte de cada Estado-Membro de uma lista de infrações penais ao abrigo da respetiva legislação nacional que satisfazem determinadas condições para efeitos do ficheiro de identificação dos processos de inquérito aduaneiro.

(5)

No tratamento de dados pessoais no âmbito da Decisão 2009/917/JAI, sem prejuízo das regras específicas constantes dessa decisão, os Estados-Membros estão sujeitos às respetivas disposições nacionais adotadas ao abrigo da Diretiva (UE) 2016/680, a Comissão está sujeita às regras previstas no Regulamento (UE) 2018/1725, a Europol está sujeita às regras previstas no Regulamento (UE) 2016/794 do Parlamento Europeu e do Conselho (5) e a Eurojust está sujeita às regras previstas no Regulamento (UE) 2018/1727 do Parlamento Europeu e do Conselho (6). Estes atos regem, nomeadamente, as obrigações e as responsabilidades dos responsáveis e dos responsáveis conjuntos pelo tratamento dos dados, dos subcontratantes e da relação entre eles no que respeita à proteção dos dados pessoais. As autoridades nacionais de controlo responsáveis por acompanhar e garantir a aplicação da Diretiva (UE) 2016/680 em cada Estado-Membro deverão ser competentes para acompanhar e garantir a aplicação das disposições relativas à proteção de dados pessoais previstas na Decisão 2009/917/JAI pelas autoridades competentes de cada Estado-Membro. A Autoridade Europeia para a Proteção de Dados deverá ser responsável pelo acompanhamento e pela aplicação das disposições relativas à proteção de dados pessoais previstas na Decisão 2009/917/JAI por parte da Comissão, da Europol e da Eurojust.

(6)

A fim de assegurar a preservação ótima dos dados no SIA, reduzindo simultaneamente os encargos administrativos para as autoridades competentes, e em conformidade com o Regulamento (CE) n.o 515/97 do Conselho (7), o procedimento que rege a conservação de dados pessoais no SIA deverá ser simplificado, suprimindo a obrigação de rever anualmente a necessidade de conservação dos dados pessoais e fixando um período máximo de conservação de cinco anos, que pode ser prorrogado por um período adicional de dois anos desde que tal prorrogação seja justificada. Este período de conservação é necessário e proporcionado tendo em conta a duração típica dos processos penais e a necessidade dos dados para a condução das operações aduaneiras conjuntas e dos inquéritos.

(7)

O tratamento de dados pessoais nos termos da Decisão 2009/917/JAI envolve o tratamento, o intercâmbio e a subsequente utilização de informações pertinentes para os fins previstos no artigo 87.o do Tratado sobre o Funcionamento da União Europeia (TFUE). Por razões de coerência e da proteção efetiva de dados pessoais, o tratamento de dados pessoais ao abrigo da Decisão 2009/917/JAI deverá respeitar a legislação nacional e da União relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública.

(8)

Nos termos do artigo 6.o-A do Protocolo n.o 21 relativo à posição do Reino Unido e da Irlanda em relação ao espaço de liberdade, segurança e justiça, anexo ao Tratado da União Europeia (TUE) e ao TFUE, a Irlanda está vinculada pela Decisão 2009/917/JAI e, por conseguinte, participa na adoção do presente regulamento.

(9)

Nos termos dos artigos 1.o, 2.o e 2.o-A do Protocolo n.o 22 relativo à posição da Dinamarca, anexo ao TUE e ao TFUE, a Dinamarca está vinculada pela Decisão 2009/917/JAI e, por conseguinte, participa na adoção do presente regulamento.

(10)

A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 tendo emitido parecer em 4 de julho de 2023.

(11)

A Decisão 2009/917/JAI deverá, por conseguinte, ser alterada em conformidade,

1)

No artigo 1.o, o n.o 2 passa a ter a seguinte redação:

2)

O artigo 2.o é alterado do seguinte modo:

3)

No artigo 3.o, n.o 1, o proémio passa a ter a seguinte redação:

«O Sistema de Informação Aduaneiro é composto por uma base de dados central acessível através de terminais instalados em cada Estado-Membro. Contém exclusivamente os dados necessários ao cumprimento da finalidade prevista no artigo 1.o, n.o 2, incluindo dados pessoais, que digam respeito às seguintes categorias:»;

4)

O artigo 4.o é alterado do seguinte modo:

5)

No artigo 5.o, o n.o 2 passa a ter a seguinte redação:

6)

O artigo 7.o é alterado do seguinte modo:

7)

O artigo 8.o é alterado do seguinte modo:

8)

No artigo 13.o, o n.o 5 passa a ter a seguinte redação:

9)

O artigo 14.o passa a ter a seguinte redação:

10)

O artigo 15.o é alterado do seguinte modo:

11)

O artigo 20.o passa a ter a seguinte redação:

(*2)  Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39)."

(*3)  Regulamento (UE) 2016/794 do Parlamento Europeu e do Conselho, de 11 de maio de 2016, que cria a Agência da União Europeia para a Cooperação Policial (Europol) e que substitui e revoga as Decisões 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI e 2009/968/JAI do Conselho (JO L 135 de 24.5.2016, p. 53)."

(*4)  Regulamento (UE) 2018/1727 do Parlamento Europeu e do Conselho, de 14 de novembro de 2018, que cria a Agência da União Europeia para a Cooperação Judiciária Penal (Eurojust), e que substitui e revoga a Decisão 2002/187/JAI do Conselho (JO L 295 de 21.11.2018, p. 138).»;"

12)

São suprimidos os artigos 22.o, 23.o, 24.o e 25.o;

13)

O artigo 26.o passa a ter a seguinte redação:

14)

No artigo 27.o, n.o 2, a alínea a) passa a ter a seguinte redação:

15)

O artigo 28.o é alterado do seguinte modo:

16)

O artigo 29.o passa a ter a seguinte redação:

17)

No artigo 30.o, é suprimido o n.o 1.