A Convenção do Conselho da Europa para a Proteção das Pessoas relativamente ao Tratamento Automatizado de Dados de Caráter Pessoal (a seguir designada «Convenção n.º 108») é o único acordo multilateral juridicamente vinculativo no domínio da proteção de dados pessoais. O seu objetivo é proteger o direito ao respeito da vida privada, reconhecido no artigo 8.º da Convenção Europeia para a Proteção dos Direitos do Homem e das Liberdades Fundamentais. O direito ao respeito pela vida privada e o direito à proteção dos dados estão igualmente consagrados nos artigos 7.º e 8.º da Carta dos Direitos Fundamentais da União Europeia e no artigo 16.º do TFUE.

A Convenção n.º 108 exige que as Partes integrem no seu direito nacional as medidas necessárias para garantir o respeito pelo direito humano que assiste a qualquer pessoa a uma proteção relativamente ao tratamento de dados pessoais. Esta Convenção foi uma das principais fontes de inspiração para o desenvolvimento do acervo da UE no domínio da proteção de dados. Segundo o considerando 11 da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, um dos seus objetivos era justamente precisar e ampliar os princípios contidos na Convenção n.º 108.

A Convenção n.º 108 já foi ratificada por 51 Estados, incluindo os 28 Estados-Membros da UE, os quatro Estados da EFTA, todos os países dos Balcãs Ocidentais, vários países da vizinhança (como a Arménia e a Geórgia), a Federação da Rússia, a Turquia e vários países africanos (como o Senegal e a Tunísia) e da América Latina (Uruguai). Estão pendentes vários pedidos de adesão (por exemplo, da Argentina, do México e de Marrocos), tendo vários países o estatuto de observador (por exemplo, Japão e Coreia do Sul).

A Convenção n.º 108 foi aberta para assinatura em 1981, muito antes da era da Internet e das comunicações eletrónicas. O desenvolvimento da tecnologia e a globalização da informação colocam novos desafios no domínio da proteção de dados pessoais. O objetivo do Protocolo de Alteração é modernizar a Convenção n.º 108, com vista a proporcionar soluções para estes desafios.

A Convenção modernizada (ou seja, a Convenção n.º 108 alterada pelo Protocolo de Alteração) terá um âmbito de aplicação uniforme para todas as Partes na mesma, não prevendo a possibilidade de excluir completamente certos setores ou atividades (por exemplo, no domínio da segurança nacional), como sucede com o texto da atual Convenção n.º 108. A Convenção modernizada abrangeria assim todos os tipos de tratamento de dados sob a jurisdição das Partes, tanto no setor público como no privado.

O Protocolo de Alteração aumenta significativamente o nível de proteção dos dados assegurado pela Convenção n.º 108. Mais concretamente, a Convenção modernizada especificará melhor o princípio de tratamento lícito (em particular no que diz respeito aos requisitos aplicáveis ao consentimento) e reforçará a proteção de categorias especiais de dados (alargando simultaneamente as categorias àquelas que são reconhecidas como categorias especiais de dados pessoais no direito da União). Além disso, prevê garantias suplementares para as pessoas cujos dados pessoais sejam objeto de tratamento (em especial a obrigação de examinar o impacto provável de uma operação de tratamento de dados prevista e de adotar as medidas técnicas e organizacionais necessárias; e a obrigação de comunicar violações graves de dados) e reforçará também os seus direitos (nomeadamente no que diz respeito à transparência e ao acesso aos dados). Foram igualmente introduzidos novos direitos para os titulares de dados, tais como o direito de não ficarem sujeitos a uma decisão que os afete significativamente tomada exclusivamente com base no tratamento automatizado de dados, o direito de se opor ao tratamento de dados, bem como o direito de dispor de uma via de recurso em caso de violação dos seus direitos.

A Convenção modernizada incluirá disposições revistas (que figuram atualmente num Protocolo Adicional assinado por apenas algumas Partes) que exigem que as Partes estabeleçam uma ou mais autoridades independentes encarregadas de velar pelo cumprimento das disposições da Convenção n.º 108. A posição dessas autoridades será reforçada exigindo às Partes que lhes confiram competências suplementares, por exemplo competência para tomar decisões relativas às violações da Convenção n.º 108 e para aplicar sanções administrativas.

O sistema de derrogações aos direitos e obrigações acima referidos, como formulado no Protocolo de Alteração, cumpre três condições essenciais: a preservação do âmbito de aplicação abrangente da Convenção n.º 108 (sem derrogações gerais), a flexibilidade (permitindo conciliar normas elevadas em matéria de proteção de dados com outros interesses públicos importantes, por exemplo razões de segurança nacional) e a coerência geral com a jurisprudência do Tribunal Europeu dos Direitos Humanos (em especial, a ausência de restrições que afetem a essência do direito fundamental à proteção de dados).

Globalmente, a Convenção modernizada asseguraria um nível de proteção elevado, deixando porém às Partes uma margem de flexibilidade no que se refere à transposição das suas disposições para o direito nacional, o que tornaria a adesão a esta Convenção atrativa para os países – incluindo fora da Europa – que estejam a estudar a possibilidade de criar ou reforçar os seus sistemas de proteção de dados. O seu impacto concreto deverá ser muito superior ao da atual Convenção n.º 108, tanto em termos de âmbito de aplicação como das obrigações nela previstas.

Quando entrar em vigor, o Protocolo de Alteração introduzirá a possibilidade de a União se tornar Parte na Convenção (modernizada). No que diz respeito aos direitos de voto no Comité da Convenção, o texto acordado garante o princípio segundo o qual a União poderá votar no seu domínio de competência, com um número de votos igual ao número dos seus Estados-Membros que são Partes na Convenção. A fim de dar resposta às preocupações relacionadas com o peso do voto da União, foi acordada uma solução de compromisso segundo a qual as decisões só podem ser tomadas por uma «hipermaioria» (quatro quintos) das Partes, sendo no entanto exigida uma «dupla maioria» (maioria qualificada, juntamente com uma maioria simples das Partes não membros da UE) para as decisões mais importantes relativas ao respeito da Convenção por uma Parte.

A Convenção modernizada reforçará também a eficácia da proteção de dados ao prever a possibilidade de o Comité da Convenção avaliar a eficácia das medidas adotadas no direito nacional para dar cumprimento às disposições da Convenção.

O texto do Protocolo de Alteração foi coordenado com os representantes dos Estados-Membros no grupo de trabalho competente do Conselho e respeita as diretrizes de negociação do Conselho. Está também em plena sintonia com o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (a seguir designado Regulamento Geral sobre a Proteção de Dados ou RGPD), e com a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados (a seguir designada Diretiva Cooperação Policial), excluindo assim a possibilidade de os Estados-Membros estarem sujeitos a obrigações diferentes, ou mesmo contraditórias, por força do direito da União e do direito do Conselho da Europa. A adoção de uma Convenção sólida, baseada na mesma abordagem e nos mesmos princípios que o (novo) acervo da União, reveste-se de especial importância para a estratégia internacional da União no domínio da proteção de dados. A Convenção n.º 108, que também está aberta aos Estados não europeus, ganhou muita força graças aos países que, em todo o mundo, estão a elaborar ou preveem adotar legislação em matéria de proteção de dados. Na sua Comunicação de janeiro de 2017 intitulada «Intercâmbio e proteção de dados pessoais num mundo globalizado» [(COM)2017 07 final], a Comissão referiu-se à Convenção n.º 108, reconhecendo que a Convenção modernizada refletiria os mesmos princípios consagrados nas normas da UE de proteção de dados, «contribuindo assim para a convergência rumo a um conjunto de normas estritas em matéria de proteção de dados» a nível mundial. Por conseguinte, comprometeu-se a promover «a rápida adoção» do Protocolo de Alteração.

O domínio regido pela Convenção alterada está agora amplamente coberto pelo quadro legislativo da União em matéria de proteção de dados. O RGPD, aplicável desde 25 de maio de 2018, e a Diretiva Cooperação Policial, cujo prazo de transposição terminou em 6 de maio de 2018, preveem um sistema abrangente de normas em matéria de proteção de dados e garantem um nível de proteção pelo menos equivalente e, em muitos casos, mais elevado. Em conformidade com o artigo 13.º da Convenção modernizada, as Partes podem conceder aos titulares de dados um grau de proteção mais elevado do que o previsto na Convenção, deixando-lhes assim a liberdade de adotar medidas que ofereçam um nível de proteção superior.

O Protocolo de Alteração entrará em vigor assim que todas as Partes tiverem depositado os seus instrumentos de ratificação, aceitação ou aprovação junto do Secretário-Geral do Conselho da Europa. Além disso, dado o grande número de Partes que devem ratificá-lo, o Protocolo de Alteração prevê uma «entrada em vigor parcial» para um grupo mais restrito de Partes, após cinco anos, quando pelo menos 38 Partes tiverem manifestado o seu consentimento em ficar vinculadas.

Os Estados-Membros da UE (atualmente Partes a título individual na Convenção n.º 108) devem tomar as medidas necessárias para assegurar a rápida entrada em vigor do Protocolo de Alteração:

Em primeiro lugar, dado que a Convenção modernizada deverá conter garantias muito semelhantes às previstas no RGPD e na Diretiva Cooperação Policial, a sua entrada em vigor (parcial) contribuirá para a promoção das normas da União em matéria de proteção de dados em todo o mundo. Com efeito, a Convenção n.º 108 desempenhou um papel crucial na difusão do «modelo europeu de proteção de dados» a nível mundial, porquanto é muitas vezes utilizada como fonte de inspiração pelos países que estão a ponderar adotar disposições em matéria de proteção da vida privada ou modernizar a sua legislação neste domínio. Este papel revela-se ainda mais importante atualmente, dado o número crescente de países que estão a adotar este tipo de legislação em muitas regiões do mundo. O reforço das normas de proteção aplicadas pelas Partes na Convenção também facilitaria os fluxos de dados entre as Partes que são membros da UE e as que não pertencem à UE. Para alguns países, a adesão à Convenção n.º 108 também se revelou uma preparação útil para a obtenção de uma decisão de adequação da Comissão Europeia. O RGPD reforça este aspeto prevendo expressamente que a adesão à Convenção n.º 108 constitui um fator importante que a Comissão Europeia deve ter em conta na sua avaliação da adequação. Mesmo na ausência de adequação, um nível de proteção mais elevado (em especial no que diz respeito à disponibilidade de recursos judiciais e extrajudiciais, bem como uma fiscalização eficaz pelas autoridades de supervisão) facilitaria o intercâmbio de dados com base em garantias adequadas (nomeadamente porque estas garantias seriam mais fáceis de aplicar nos sistemas jurídicos das Partes).

Em segundo lugar, é importante que a Convenção modernizada se mantenha plenamente conforme com as disposições do RGPD e da Diretiva Cooperação Policial, de modo a permitir aos Estados-Membros da UE manterem-se Partes na Convenção e respeitarem as suas disposições sem violarem o direito da União. Trata-se, nomeadamente, das disposições sobre a livre circulação de dados entre as Partes, uma vez que a Convenção modernizada (ao contrário do texto atual) prevê uma derrogação a esta regra para as Partes vinculadas por normas harmonizadas de proteção partilhadas por Estados pertencentes a uma organização internacional regional. Tal assegurará o respeito da Convenção pelos Estados-Membros da UE, apesar das condições impostas às transferências internacionais pela legislação da União em matéria de proteção de dados.

Em terceiro lugar, a atual Convenção n.º 108 não prevê a possibilidade de adesão de organizações internacionais. O Protocolo de Alteração muda esta regra, pelo que a sua entrada em vigor constitui uma condição indispensável para a futura adesão da UE à Convenção.

A proposta de decisão do Conselho baseia-se no artigo 218,º, n.º 6, do TFUE, em conjugação com o seu artigo 16.º.