COMISSÃO EUROPEIA

Bruxelas, 25.11.2021

COM(2021) 718 final

2021/0382(NLE)

Proposta de

DECISÃO DO CONSELHO

que autoriza os Estados-Membros a assinar, no interesse da União Europeia, o Segundo Protocolo Adicional à Convenção sobre o Cibercrime relativo ao reforço da cooperação e da divulgação de provas eletrónicas

EXPOSIÇÃO DE MOTIVOS

1.OBJETO DA PROPOSTA

A presente proposta diz respeito à decisão que autoriza os Estados-Membros a assinar, no interesse da União Europeia, o Segundo Protocolo Adicional à Convenção de Budapeste do Conselho da Europa sobre o Cibercrime relativo ao reforço da cooperação e da divulgação de provas eletrónicas (a seguir designado por «Protocolo») 1 . O objetivo do Protocolo é estabelecer regras comuns a nível internacional para reforçar a cooperação em matéria de cibercriminalidade e a recolha de provas em formato eletrónico para as investigações e os processos penais.

A Comissão irá igualmente apresentar uma proposta de Decisão do Conselho da União Europeia (a seguir designado por «Conselho») que autoriza os Estados-Membros a ratificar o Protocolo no interesse da União Europeia.

A cibercriminalidade continua a representar um desafio considerável para a nossa sociedade. Não obstante os esforços das autoridades policiais e judiciais, os ciberataques, incluindo os ataques de programas sequestradores (ransomware), estão a aumentar e a tornar-se mais sofisticados 2 . Em especial, devido à natureza sem fronteiras da Internet, quase sempre as investigações em matéria de cibercriminalidade são investigações transnacionais, o que exige uma estreita cooperação entre as autoridades de diferentes países.

As provas eletrónicas assumem cada vez mais importância nas investigações criminais. A Comissão estima que, atualmente, as autoridades policiais e judiciais necessitam do acesso a provas eletrónicas em 85 % das investigações criminais, incluindo em matéria de cibercriminalidade 3 . As provas das infrações penais são conservadas com cada vez maior frequência em formato eletrónico por prestadores de serviços em jurisdições estrangeiras, e para que a justiça penal atue com eficácia são necessárias medidas adequadas para obter tais provas a fim de defender o Estado de direito.

Em todo o mundo se envidam esforços no sentido de melhorar o acesso transfronteiras às provas eletrónicas no âmbito de investigações criminais, a nível nacional, da União Europeia 4 e internacional, nomeadamente através do Protocolo. É importante assegurar a compatibilidade das normas a nível internacional para evitar conflitos de leis quando se solicita o acesso transfronteiras a provas eletrónicas.

2.CONTEXTO DA PROPOSTA

2.1.Contexto

A Comissão participou, em nome da União Europeia, nas negociações relativas ao Protocolo, em conformidade com a decisão do Conselho da União Europeia. Consultou sistematicamente o comité especial do Conselho para as negociações sobre a posição da União.

Em conformidade com o Acordo-Quadro sobre as relações entre o Parlamento Europeu e a Comissão Europeia 20 , a Comissão também manteve o Parlamento Europeu informado das negociações através de relatórios escritos e apresentações orais.

2.2.O Segundo Protocolo Adicional

2.2.1.Disposições comuns

2.2.2.Medidas de cooperação

2.2.3.Salvaguardas

2.2.4.Disposições finais

O capítulo IV do Protocolo estabelece as disposições finais. Entre outras coisas, o artigo 15.º, n.º 1.a, estabelece que as Partes podem definir as suas relações sobre as matérias enunciadas no Protocolo de outra forma, em conformidade com o artigo 39.º, n.º 2, da Convenção. O artigo 15.º, n.º 1.b, assegura que os Estados-Membros da UE que são Partes no Protocolo podem continuar a aplicar o direito da União nas suas relações mútuas. O artigo 15.º, n.º 2, determina igualmente que o artigo 39.º, n.º 3, da Convenção se aplica ao Protocolo.

O artigo 16.º, n.º 3, prevê que o Protocolo entrará em vigor logo que cinco Partes na Convenção tiverem manifestado o seu consentimento em ficar por ele vinculadas.

O artigo 19.º, n.º 1, prevê que as Partes possam formular reservas em relação ao artigo 7.º, n.os 9.a e 9.b, ao artigo 8.º, n.º 13, e ao artigo 17.º. O artigo 19.º, n.º 2, prevê que as Partes possam formular declarações em relação ao artigo 7.º, n.º 2.b, e n.º 8, ao artigo 8.º, n.º 11, ao artigo 9.º, n.º 1.b, e n.º 5, ao artigo 10.º, n.º 9, ao artigo 12.º, n.º 3, e ao artigo 18.º, n.º 2. O artigo 19.º, n.º 3, determina que uma Parte formula as declarações, notificações ou comunicações identificadas no artigo 7.º, n.os 5.a e 5.e, no artigo 8.º, n.º 4 e n.os 10.a e 10b, no artigo 14.º, n.º 7.c, e n.º 10.b, e no artigo 17.º, n.º 2.

O artigo 23.º, n.º 1, constitui uma base para as consultas entre as Partes, nomeadamente através do Comité da Convenção sobre o Cibercrime, em conformidade com o artigo 46.º da Convenção. O artigo 23.º, n.º 2, também estabelece uma base para a avaliação da utilização e da aplicação das disposições do Protocolo. O artigo 23.º, n.º 3, estabelece que a avaliação da utilização e da aplicação do artigo 14.º relativo à proteção de dados tem início logo que dez Partes tiverem manifestado o seu consentimento em ficar vinculadas pelo Protocolo.

2.3.Direito e política da União neste domínio

O domínio regido pelo Protocolo é, em grande medida, abrangido por normas comuns baseadas no artigo 82.º, n.º 1, e no artigo 16.º do TFUE. O atual quadro jurídico da União Europeia inclui, nomeadamente, instrumentos relativos à cooperação das autoridades policiais e judiciárias em matéria penal, tais como a Diretiva 2014/41/UE relativa à decisão europeia de investigação em matéria penal, a Convenção relativa ao auxílio judiciário mútuo em matéria penal entre os Estados-Membros da União Europeia e a Decisão-Quadro 2002/465/JAI do Conselho relativa às equipas de investigação conjuntas. A nível externo, a União Europeia celebrou uma série de acordos bilaterais entre a União e países terceiros, tais como os acordos sobre auxílio judiciário mútuo entre a União Europeia e os Estados Unidos da América, entre a União Europeia e o Japão e entre a União Europeia e a Noruega e a Islândia. O atual quadro jurídico da União Europeia inclui também o Regulamento (UE) 2017/1939 que dá execução a uma cooperação reforçada para a instituição da Procuradoria Europeia. Os Estados-Membros que participam na cooperação reforçada deverão assegurar que a Procuradoria Europeia, no exercício das suas competências, tal como previstas nos artigos 22.º, 23.º e 25.º do Regulamento (UE) 2017/1939, possa solicitar cooperação ao abrigo do Protocolo da mesma forma que os procuradores nacionais desses Estados-Membros. Estes instrumentos e acordos dizem respeito, nomeadamente, aos artigos 8.º, 9.º, 10.º, 11.º e 12.º do Protocolo.

Além disso, a União adotou várias diretivas que reforçam os direitos processuais dos suspeitos e arguidos 23 . Estes instrumentos dizem respeito, em especial, aos artigos 6.º, 7.º, 8.º, 9.º, 10.º, 11.º, 12.º e 13.º do Protocolo. Um conjunto específico de salvaguardas diz respeito à proteção dos dados pessoais, que é um direito fundamental consagrado nos Tratados da UE e na Carta dos Direitos Fundamentais da União Europeia. Os dados pessoais só podem ser tratados em conformidade com o Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados) e com a Diretiva (UE) 2016/680 (Diretiva sobre a Proteção de Dados na Aplicação da Lei). O direito fundamental de todas as pessoas ao respeito pela sua vida privada e familiar, pelo seu domicílio e pelas suas comunicações inclui o respeito pela privacidade das suas comunicações como elemento essencial. Os dados das comunicações eletrónicas só podem ser tratados em conformidade com a Diretiva 2002/58/CE (Diretiva Privacidade Eletrónica). Estes instrumentos dizem respeito, nomeadamente, ao artigo 14.º do Protocolo.

Há que ter em conta não só o direito da União no seu estado atual no domínio em causa, mas também a sua evolução futura, na medida em que tal seja previsível no momento da análise. O domínio abrangido pelo Protocolo é diretamente relevante para a evolução previsível do direito da União no futuro. A este respeito, importa referir as propostas da Comissão sobre o acesso transfronteiras a provas eletrónicas, de abril de 2018 27 . Estes instrumentos dizem respeito, nomeadamente, aos artigos 6.º e 7.º do Protocolo.

A Comissão, ao participar nas negociações em nome da União, velou por que o Protocolo seja plenamente compatível com o direito da União e com as obrigações que incumbem aos Estados-Membros por força do mesmo. Em especial, a Comissão garantiu que as disposições do Protocolo permitam aos Estados-Membros respeitar os direitos fundamentais, as liberdades e os princípios gerais do direito da União consagrados nos Tratados da UE e na Carta dos Direitos Fundamentais, incluindo a proporcionalidade, os direitos processuais, a presunção de inocência e os direitos de defesa das pessoas sujeitas a processos penais, bem como a privacidade e a proteção dos dados pessoais e dos dados de comunicações eletrónicas, quando esses dados são tratados, incluindo transferências para as autoridades responsáveis pela aplicação da lei de países situados fora da União Europeia, e quaisquer obrigações que incumbam às autoridades policiais e judiciais a este respeito. A Comissão teve igualmente em conta o parecer da Autoridade Europeia para a Proteção de Dados 28 e do Comité Europeu para a Proteção de Dados 29 .

Além disso, a Comissão assegurou que as disposições do Protocolo e as propostas da Comissão em matéria de provas eletrónicas fossem compatíveis, nomeadamente à medida que o projeto de legislação evoluiu nos debates com os colegisladores, e que o Protocolo não desse origem a conflitos de leis. Em especial, a Comissão assegurou que o Protocolo incluísse salvaguardas adequadas em matéria de proteção de dados e privacidade, que permitam aos prestadores de serviços da UE cumprir as suas obrigações ao abrigo da legislação da UE em matéria de proteção de dados e privacidade, na medida em que o Protocolo constitui um fundamento jurídico para as transferências de dados em resposta a injunções ou pedidos emitidos por uma autoridade de uma Parte no Protocolo não pertencente à UE que exijam que um responsável pelo tratamento ou um subcontratante da UE divulgue dados pessoais ou dados de comunicações eletrónicas.

2.4.Reservas, declarações, notificações, comunicações e outras considerações

O Protocolo constitui uma base para as Partes formularem determinadas reservas e para fazerem declarações, notificações ou comunicações em relação a determinados artigos. Os Estados-Membros devem adotar uma abordagem uniforme relativamente a certas reservas, declarações, notificações e comunicações, tal como estabelecido no anexo da presente decisão. A fim de assegurar a compatibilidade da aplicação do Protocolo com o direito da União, os Estados-Membros da UE devem tomar a posição a seguir exposta no que diz respeito a essas reservas e declarações. Sempre que o Protocolo constitua uma base para outras reservas, declarações, notificações ou comunicações, a presente proposta autoriza os Estados-Membros a examinar e formular as suas próprias reservas, declarações, notificações ou comunicações.

A fim de assegurar a compatibilidade entre as disposições do Protocolo e o direito e as políticas pertinentes da União, os Estados-Membros não devem formular reservas nos termos do artigo 7.º, n.os 9.a 30 e 9.b 31 . Além disso, os Estados-Membros devem fazer a declaração nos termos do artigo 7.º, n.º 2.b 32 , e a notificação nos termos do artigo 7.º, n.º 5.a 33 . A ausência dessas reservas, bem como a apresentação da declaração e da notificação, são importantes para assegurar a compatibilidade do Protocolo com as propostas legislativas da Comissão em matéria de provas eletrónicas, nomeadamente à medida que o projeto legislativo evolui nos debates com os colegisladores.

Além disso, a fim de assegurar uma aplicação uniforme do Protocolo pelos Estados‑Membros da UE no âmbito da sua cooperação com as Partes que não são Estados‑Membros da UE, os Estados-Membros são convidados a não formular uma reserva nos termos do artigo 8.º, n.º 13 34 , também porque tal reserva teria efeitos recíprocos 35 . Os Estados-Membros devem formular a declaração nos termos do artigo 8.º, n.º 4, a fim de garantir que as injunções possam ser executadas caso sejam necessárias informações adicionais de apoio, por exemplo, sobre as circunstâncias do caso em apreço, a fim de avaliar a proporcionalidade e a necessidade 36 .

Os Estados-Membros são igualmente incentivados a abster-se de fazer a declaração prevista no artigo 9.º, n.º 1.b 37 , a fim de assegurar uma aplicação eficaz do Protocolo.

Os Estados-Membros devem efetuar as comunicações nos termos do artigo 7.º, n.º 5.e 38 , do artigo 8.º, n.os 10.a e 10.b 39 , do artigo 14.º, n.º 7.c e n.º 10.b, a fim de assegurar uma aplicação globalmente eficaz do Protocolo 40 .

Por último, os Estados-Membros devem também tomar as medidas necessárias nos termos do artigo 14.º, n.º 11.c, para assegurar que a Parte recetora é informada, no momento da transferência, da obrigação, prevista no direito da União, de notificar a pessoa a quem os dados dizem respeito 41 , bem como de fornecer os dados de contacto adequados para permitir à Parte recetora informar a autoridade competente do Estado‑Membro da UE logo que deixem de se aplicar as restrições de confidencialidade e a notificação possa ser enviada.

2.5.Justificação da proposta

O Protocolo entrará em vigor logo que cinco Partes tiverem manifestado o seu consentimento em ficar vinculadas pelo Protocolo, em conformidade com o disposto no artigo 16.º, n.os 1 e 2. A cerimónia de assinatura do Protocolo está prevista para março de 2022.

Os Estados-Membros da UE devem tomar as medidas necessárias para assegurar a rápida entrada em vigor do Protocolo, o que é importante tendo em conta uma série de fatores.

Em primeiro lugar, o Protocolo permitirá melhorar os meios de que dispõem as autoridades policiais e judiciais para obter as provas eletrónicas necessárias para as investigações criminais. Tendo em conta a importância crescente das provas eletrónicas para as investigações criminais, é urgente que as autoridades policiais e judiciais disponham dos instrumentos adequados para obter acesso às provas eletrónicas de forma eficaz, a fim de garantir que possam combater eficazmente a criminalidade em linha.

Em segundo lugar, o Protocolo assegurará que essas medidas para obter acesso às provas eletrónicas sejam utilizadas de forma a permitir que os Estados-Membros respeitem os direitos fundamentais, incluindo os direitos processuais no âmbito de processos penais, o direito à privacidade e o direito à proteção dos dados pessoais. Na ausência de normas claras a nível internacional, as práticas existentes podem colocar desafios em termos de segurança jurídica, transparência, responsabilização e respeito pelos direitos fundamentais e pelas garantias processuais dos suspeitos nas investigações criminais.

Em terceiro lugar, o Protocolo permitirá resolver e prevenir conflitos de leis, que afetam tanto as autoridades como os prestadores de serviços do setor privado e outras entidades, estabelecendo normas compatíveis a nível internacional para o acesso transfronteiras a provas eletrónicas.

Em quarto lugar, o Protocolo demonstrará a importância que a Convenção continua a assumir enquanto principal quadro multilateral para a luta contra a cibercriminalidade. Este aspeto será fundamental no processo subsequente à Resolução 74/247 da Assembleia Geral das Nações Unidas (AGNU), de dezembro de 2019, relativa ao combate à utilização das tecnologias da informação e da comunicação para fins criminosos, que criou um comité intergovernamental ad hoc aberto composto por peritos encarregados de elaborar uma convenção internacional abrangente sobre o combate à utilização das tecnologias da informação e da comunicação para fins criminosos.

3.BASE JURÍDICA, SUBSIDIARIEDADE E PROPORCIONALIDADE

·Base jurídica

O Protocolo é, por conseguinte, da competência externa exclusiva da União. A assinatura do Protocolo pelos Estados-Membros, no interesse da União, pode, assim, ter lugar com base no artigo 16.º, no artigo 82.º, n.º 1, e no artigo 218.º, n.º 5, do TFUE.

·Subsidiariedade (no caso de competência não exclusiva)

Não aplicável.

·Proporcionalidade

Os objetivos da União no que respeita à presente proposta, enunciados na secção 2.5, só podem ser alcançados através da celebração de um acordo internacional vinculativo que preveja as medidas de cooperação necessárias, garantindo simultaneamente uma proteção adequada dos direitos fundamentais. O Protocolo atinge este objetivo. As disposições do Protocolo limitam-se ao necessário para atingir os seus principais objetivos. Uma ação unilateral não constitui uma alternativa, uma vez que não proporcionaria uma base suficiente para a cooperação com os países terceiros e não poderia assegurar a necessária proteção dos direitos fundamentais. Além disso, a adesão a um acordo multilateral como o Protocolo, que a União pôde negociar, é mais eficaz do que encetar negociações com vários países terceiros a nível bilateral. Partindo do pressuposto de que as 66 Partes, bem como as futuras novas Partes, ratificarão o Protocolo, este proporcionará um quadro jurídico comum para a cooperação dos Estados-Membros da UE com os seus parceiros internacionais mais importantes na luta contra a criminalidade.

·Escolha do instrumento

Não aplicável.

4.RESULTADOS DAS AVALIAÇÕES EX POST, DAS CONSULTAS DAS PARTES INTERESSADAS E DAS AVALIAÇÕES DE IMPACTO

·Avaliações ex post/balanços de qualidade da legislação existente

·Consultas das partes interessadas

A Comissão, na sua qualidade de negociadora em nome da União, também trocou pontos de vista com as autoridades responsáveis pela proteção de dados e organizou reuniões de consulta específicas ao longo de 2019 e 2021 com organizações da sociedade civil, prestadores de serviços e associações comerciais. A Comissão teve em conta os contributos recebidos no âmbito desta troca de pontos de vista.

·Recolha e utilização de conhecimentos especializados

·Avaliação de impacto

·Adequação da regulamentação e simplificação

·Direitos fundamentais

5.INCIDÊNCIA ORÇAMENTAL

6.OUTROS ELEMENTOS

·Planos de execução e acompanhamento, avaliação e prestação de informações

2021/0382 (NLE)

Proposta de

DECISÃO DO CONSELHO

que autoriza os Estados-Membros a assinar, no interesse da União Europeia, o Segundo Protocolo Adicional à Convenção sobre o Cibercrime relativo ao reforço da cooperação e da divulgação de provas eletrónicas

O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 16.º, o artigo 82.º, n.º 1, e o artigo 218.º, n.º 5,

Tendo em conta a proposta da Comissão Europeia,

Considerando o seguinte:

(1)Em 9 de junho de 2019, o Conselho autorizou a Comissão a participar, em nome da União, nas negociações relativas ao Segundo Protocolo Adicional à Convenção de Budapeste sobre o Cibercrime do Conselho da Europa.

(2)O texto do Segundo Protocolo Adicional à Convenção sobre o Cibercrime relativo ao reforço da cooperação e da divulgação de provas eletrónicas (a seguir designado por «Protocolo») foi adotado pelo Comité de Ministros do Conselho da Europa em 17 de novembro de 2021 e deverá estar aberto à assinatura em março de 2022.

(3)As disposições do Protocolo inserem-se num domínio abrangido, em grande medida, por regras comuns na aceção do artigo 3.º, n.º 2, do TFUE, incluindo instrumentos que facilitam a cooperação judiciária em matéria penal, garantindo normas mínimas em matéria de direitos processuais, bem como salvaguardas em matéria de proteção de dados e da privacidade.

(4)A Comissão apresentou igualmente propostas legislativas respeitantes a um regulamento relativo às ordens europeias de entrega ou de conservação de provas eletrónicas em matéria penal [COM(2018) 225 final] e a uma diretiva que estabelece regras harmonizadas aplicáveis à designação de representantes legais para efeitos de recolha de provas em processo penal, [COM(2018) 226 final], que introduzem a obrigatoriedade de as ordens europeias de entrega ou de conservação de provas transfronteiras serem dirigidas diretamente a um representante de um prestador de serviços noutro Estado-Membro.

(5)Graças à sua participação nas negociações, em nome da União, a Comissão assegurou a compatibilidade do Segundo Protocolo Adicional com as regras comuns pertinentes da União Europeia.

(6)Várias reservas, declarações, notificações e comunicações são relevantes para assegurar a compatibilidade do Protocolo com o direito e as políticas da União, a aplicação uniforme do Protocolo entre os Estados-Membros da UE nas suas relações com as Partes que não são membros da UE, bem como a aplicação efetiva do Protocolo.

(7)Uma vez que o Protocolo prevê procedimentos rápidos que melhoram o acesso transfronteiras a provas eletrónicas e um elevado nível de salvaguardas, a sua entrada em vigor contribuirá para a luta contra o cibercrime e outras formas de criminalidade a nível mundial, facilitando a cooperação entre as Partes que são Estados-Membros da UE e as que não o são, assegurará um elevado nível de proteção das pessoas e permitirá resolver os conflitos de leis.

(8)Dado que o Protocolo estabelece salvaguardas adequadas, em consonância com os requisitos aplicáveis às transferências internacionais de dados pessoais ao abrigo do Regulamento (UE) 2016/679 e da Diretiva (UE) 2016/680, a sua entrada em vigor contribuirá para promover as normas da União em matéria de proteção de dados a nível mundial, facilitará os fluxos de dados entre as Partes que são Estados-Membros da UE e as que não o são e assegurará o cumprimento, por parte dos Estados-Membros da UE, das obrigações que lhes incumbem por força das regras da União em matéria de proteção de dados.

(9)A rápida entrada em vigor confirmará, além disso, a importância da Convenção de Budapeste do Conselho da Europa enquanto principal quadro multilateral para a luta contra a cibercriminalidade.

(10)A União Europeia não pode tornar-se Parte no Protocolo, uma vez que tanto o Protocolo como a Convenção do Conselho da Europa sobre o Cibercrime estão abertos apenas aos Estados.

(11)Os Estados-Membros devem, pois, ser autorizados a assinar o Protocolo, agindo conjuntamente no interesse da União.

(12)Os Estados-Membros são instados a assinar o Protocolo, durante a cerimónia de assinatura, ou o mais rapidamente possível após essa data.

(13)A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do disposto no artigo 42.º, n.º 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho e emitiu parecer em … 

(14)[Nos termos dos artigos 1.º e 2.º do Protocolo n.º 21 relativo à posição do Reino Unido e da Irlanda em relação ao espaço de liberdade, segurança e justiça, anexo ao Tratado da União Europeia e ao Tratado sobre o Funcionamento da União Europeia, e sem prejuízo do artigo 4.º do Protocolo acima referido, a Irlanda não participa na adoção da presente decisão, não ficando por ela vinculada nem sujeita à sua aplicação.]

[OU]

[Nos termos dos artigos 1.º e 2.º do Protocolo n.º 21 relativo à posição do Reino Unido e da Irlanda em relação ao espaço de liberdade, segurança e justiça, anexo ao Tratado da União Europeia e ao Tratado sobre o Funcionamento da União Europeia, e sem prejuízo do artigo 4.º do Protocolo acima referido, a Irlanda notificou [por carta de ... ,] a sua intenção de participar na adoção e aplicação da presente decisão.]

(15)Nos termos dos artigos 1.º e 2.º do Protocolo n.º 22 relativo à posição da Dinamarca, anexo ao Tratado da União Europeia e ao Tratado sobre o Funcionamento da União Europeia, a Dinamarca não participa na adoção da presente decisão, não ficando por ela vinculada nem sujeita à sua aplicação,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.º

Os Estados-Membros são autorizados a assinar, no interesse da União Europeia, o Segundo Protocolo Adicional à Convenção sobre o Cibercrime, relativo ao reforço da cooperação e da divulgação de provas eletrónicas (a seguir designado «Protocolo»).

Artigo 2.º

Ao assinarem o Protocolo, os Estados-Membros formulam as reservas, declarações, notificações ou comunicações constantes do anexo.

Artigo 3.º

A presente decisão entra em vigor no dia da sua adoção.

Artigo 4.º

A presente decisão é publicada no Jornal Oficial da União Europeia.

Artigo 5.º

Os Estados-membros são os destinatários da presente decisão.

Feito em Bruxelas, em

(1)    O texto do Protocolo será anexado à proposta de Decisão do Conselho que autoriza os Estados-Membros a ratificar, no interesse da União, o Protocolo.

(2)    Avaliação 2021 da Ameaça da Criminalidade Grave e Organizada da União Europeia 2021 (SOCTA - (Serious and Organised Crime Threat Assessment) da UE 2021).

(3)    SWD(2018) 118 final.

(4)    COM(2018) 225 e 226 final.

(5)    Todos, exceto a Irlanda, que assinou mas não ratificou a Convenção, tendo-se comprometido, no entanto, a prosseguir o processo de adesão.

(6)    Regulamento interno do Comité da Convenção sobre o Cibercrime (T-CY (2013) 25 rev), disponível em www.coe.int/cybercrime.

(7)    Resolução 74/247 da Assembleia Geral das Nações Unidas (AGNU), de dezembro de 2019, relativa ao «combate à utilização das tecnologias da informação e da comunicação para fins criminosos».

(8)    JOIN(2020) 81 final.

(9)    Ver, por exemplo, a Ação Global Alargada sobre Cibercriminalidade (GLACY+), em https://www.coe.int/en/web/cybercrime/glacyplus.

(10)    Relatório final do Grupo «Provas na Nuvem» do Comité da Convenção sobre o Cibercrime: «Criminal justice access to electronic evidence in the cloud: Recommendations for consideration by the T-CY», (Acesso da justiça penal às provas eletrónicas na nuvem: recomendações a ter em conta pelo T-CY), de 16 de setembro de 2016.

(11)    https://rm.coe.int/t-cy-terms-of-reference-protocol/1680a03690

(12)    https://www.consilium.europa.eu/en/press/press-releases/2018/10/18/20181018-european-council-conslusions/

(13)    COM(2019) 71 final.

(14)    Parecer 3/2019 da AEPD sobre a participação nas negociações tendo em vista um Segundo Protocolo Adicional à Convenção de Budapeste sobre o Cibercrime, de 2 de abril de 2019.

(15)    Decisão do Conselho com a referência 9116/19.

(16)    COM(2020) 605 final.

(17)    JOIN(2020) 81 final.

(18)    COM(2021) 170 final.

(19)    Resolução do Parlamento Europeu, de 10 de junho de 2021, sobre a Estratégia de Cibersegurança da UE para a década digital.

(20)    Referência L 304/47.

(21)    https://rm.coe.int/0900001680a2aa42

(22)    Ver ponto 2 do relatório explicativo do Protocolo.

(23)    Diretiva 2010/64/UE do Parlamento Europeu e do Conselho, de 20 de outubro de 2010, relativa ao direito à interpretação e tradução em processo penal (JO L 280 de 26.10.2010, p. 1); Diretiva 2012/13/UE do Parlamento Europeu e do Conselho, de 22 de maio de 2012, relativa ao direito à informação em processo penal (JO L 142 de 1.6.2012, p. 1); Diretiva 2013/48/UE do Parlamento Europeu e do Conselho, de 22 de outubro de 2013, relativa ao direito de acesso a um advogado em processo penal e nos processos de execução de mandados de detenção europeus, e ao direito de informar um terceiro aquando da privação de liberdade e de comunicar, numa situação de privação de liberdade, com terceiros e com as autoridades consulares (JO L 294 de 6.11.2013, p. 1); Diretiva (UE) 2016/1919 do Parlamento Europeu e do Conselho, de 26 de outubro de 2016, relativa ao apoio judiciário para suspeitos e arguidos em processo penal e para as pessoas procuradas em processos de execução de mandados de detenção europeus (JO L 297 de 4.11.2016, p. 1); Diretiva (UE) 2016/800 do Parlamento Europeu e do Conselho, de 11 de maio de 2016, relativa a garantias processuais para os menores suspeitos ou arguidos em processo penal (JO L 132 de 21.5.2016, p. 1); Diretiva (UE) 2016/343 do Parlamento Europeu e do Conselho, de 9 de março de 2016, relativa ao reforço de certos aspetos da presunção de inocência e do direito de comparecer em julgamento em processo penal (JO L 65 de 11.3.2016, p. 1); Diretiva 2012/13/UE do Parlamento Europeu e do Conselho, de 22 de maio de 2012, relativa ao direito à informação em processo penal.

(24)    Ver Tribunal de Justiça (Grande Secção), Parecer 1/15, ECLI:EU:C:2017:592, n.º 220. Ver também o contributo do Comité Europeu para a Proteção de Dados para a consulta sobre um projeto de Segundo Protocolo Adicional à Convenção do Conselho da Europa sobre o Cibercrime (Convenção de Budapeste), 13 de novembro de 2019, p. 6 («As autoridades nacionais competentes às quais foi concedido acesso aos dados devem notificar as pessoas afetadas, nos termos dos procedimentos nacionais aplicáveis, logo que essa notificação deixar de ser suscetível de comprometer as investigações realizadas por essas autoridades. [...] A notificação é necessária para permitir que as pessoas afetadas exerçam, nomeadamente, o seu direito de recurso e os seus direitos em matéria de proteção de dados no que diz respeito ao tratamento dos seus dados»).

(25)    É por esta razão que a Decisão do Conselho, de 21 de maio de 2019, que autoriza a abertura de negociações tendo em vista a celebração de um acordo entre a União Europeia e os Estados Unidos da América sobre o acesso transfronteiras a provas eletrónicas para fins de cooperação judiciária em matéria penal (9114/19) contém, nas suas diretrizes de negociação, uma série de salvaguardas adicionais em matéria de proteção de dados. Em especial, as diretrizes de negociação estipulam que «[o] acordo deverá completar o Acordo-Quadro através de garantias adicionais que tenham em conta o nível de sensibilidade das categorias de dados em questão e os requisitos únicos da transferência de provas eletrónicas efetuada diretamente pelos prestadores de serviços e não entre autoridades e as transferências das autoridades competentes efetuadas diretamente para os prestadores de serviços».

(26)    Ver também o Relatório Explicativo do Protocolo que altera a Convenção para a Proteção das Pessoas relativamente ao Tratamento Automatizado de Dados de Caráter Pessoal, 10 de outubro de 2018, pontos 106-107.

(27)    COM(2018) 225 e 226 final.

(28)    Parecer 3/2019 da AEPD sobre a participação nas negociações tendo em vista um Segundo Protocolo Adicional à Convenção de Budapeste sobre o Cibercrime, de 2 de abril de 2019.

(29)    Incluindo o «Contributo do Comité Europeu para a Proteção de Dados para a consulta sobre um projeto de segundo protocolo adicional à Convenção do Conselho da Europa sobre o Cibercrime (Convenção de Budapeste), 13 de novembro de 2019»; a «Declaração 2/2021 sobre o novo projeto de disposições do Segundo Protocolo Adicional à Convenção do Conselho da Europa sobre o Cibercrime (Convenção de Budapeste), adotada em 2 de fevereiro de 2021»; o «Contributo do Comité Europeu para a Proteção de Dados para a 6.ª ronda de consultas sobre o projeto de Segundo Protocolo Adicional à Convenção de Budapeste do Conselho da Europa sobre o Cibercrime, de 4 de maio de 2021».

(30)    Que permite que as Partes se reservem o direito de não aplicar o artigo 7.º (divulgação de dados relativos aos assinantes).

(31)    Que permite que as Partes se reservem o direito de não aplicar o artigo 7.º (divulgação de dados relativos aos assinantes) a determinados tipos de números de acesso, se tal for incompatível com os princípios fundamentais da sua ordem jurídica interna.

(32)    Que permite que as Partes declarem que a injunção emitida ao abrigo do artigo 7.º, n.º 1 (divulgação de dados relativos aos assinantes), deve ser emitida por um procurador ou outra autoridade judicial, ou sob a sua supervisão, ou ser emitida sob supervisão independente.

(33)    Que permite que as Partes notifiquem o Secretário-Geral do Conselho da Europa de que, quando é emitida uma injunção nos termos do artigo 7.º, n.º 1, (divulgação de dados relativos aos assinantes) a um prestador de serviços no seu território, a Parte exige, em todos os casos ou em determinadas circunstâncias, a notificação simultânea da injunção, as informações suplementares e um resumo dos factos relacionados com a investigação ou o procedimento.

(34)    Que permite que as Partes se reservem o direito de não aplicar o artigo 8.º (execução das ordens emitidas por outra Parte) aos dados de tráfego.

(35)    Ver o n.º 147 do relatório explicativo do Protocolo, que determina que «[a] Parte que formula uma reserva ao presente artigo não está autorizada a transmitir ordens relativas aos dados de tráfego a outras Partes nos termos do [artigo 8.º,] n.º 1».

(36)    Que permite que as Partes declarem que são necessárias informações de apoio adicionais para dar cumprimento às ordens ao abrigo do artigo 8.º, n.º 1 (execução das ordens emitidas por outra Parte).

(37)    Que permite que as Partes declarem que não executarão os pedidos ao abrigo do artigo 9.º, n.º 1.a (divulgação expedita de dados informáticos em caso de emergência), que visem apenas a divulgação de dados relativos aos assinantes.

(38)    Que permite que as Partes comuniquem os dados de contacto das autoridades por elas designadas para receber notificações nos termos do artigo 7.º, n.º 5.a, e executar as ações descritas no artigo 7.º, n.os 5.b, 5.c e 5.d (divulgação de dados relativos aos assinantes).

(39)    Que permite que as Partes comuniquem os dados de contacto das autoridades designadas para apresentar e receber ordens ao abrigo do artigo 8.º (execução das junções emitidas por outra Parte). Em conformidade com os requisitos do Regulamento (UE) 2017/1939, os Estados-Membros que participam na cooperação reforçada para a instituição da Procuradoria Europeia devem incluir a Procuradoria Europeia na comunicação.

(40)    Que permite que as Partes comuniquem a autoridade ou autoridades que devem, respetivamente, ser notificadas em caso de incidente de segurança, ou ser contactadas para obter autorização prévia em caso de transferências ulteriores para outro Estado ou organização internacional.

(41)    Ver nota de rodapé 24.

(42)    https://www.coe.int/en/web/cybercrime/protocol-consultations

(43)    SWD(2018) 118 final.

(44)    Ver, por exemplo, a nota de orientação 10 do Comité da Convenção sobre o Cibercrime, de 1 de março de 2017, relativa às injunções de comunicação de dados relativos aos assinantes (artigo 18.º da Convenção de Budapeste).

(45)    Ver, por exemplo, a Resolução do Conselho de Administração da Sociedade Internet para os Nomes e Números Atribuídos (ICANN) de 15 de maio de 2019, relativa às recomendações sobre a especificação temporária para os dados de registo gTLD, disponível em www.icann.org.

COMISSÃO EUROPEIA

Bruxelas, 25.11.2021

COM(2021) 718 final

ANEXO

da

Proposta de Decisão do Conselho

que autoriza os Estados-Membros a assinar, no interesse da União Europeia, o Segundo Protocolo Adicional à Convenção sobre o Cibercrime relativo ao reforço da cooperação e da divulgação de provas eletrónicas

ANEXO

Ao assinarem o Protocolo, os Estados-Membros formulam, no interesse da União, as seguintes reservas, declarações, notificações ou comunicações, e têm em conta outras considerações.

1.Reservas

O Segundo Protocolo Adicional à Convenção de Budapeste sobre o Cibercrime do Conselho da Europa relativo ao reforço da cooperação e da divulgação de provas eletrónicas (a seguir designado por «Protocolo») permite que uma Parte declare, em conformidade com o artigo 19.º, n.º 1, que formula uma reserva em relação a uma série de artigos do Protocolo.

Os Estados-Membros abstêm-se de se reservar o direito de não aplicar o artigo 7.º (divulgação de dados relativos aos assinantes) nos termos do artigo 7.º, n.º 9.a.

Os Estados-Membros abstêm-se de se reservar o direito de não aplicar o artigo 7.º (divulgação de dados relativos aos assinantes) a determinados tipos de números de acesso nos termos do artigo 7.º, n.º 9.b.

Os Estados-Membros são encorajados a abster-se de se reservar o direito de não aplicar o artigo 8.º (execução de injunções de outra Parte) em relação aos dados de tráfego nos termos do artigo 8.º, n.º 13.

Nos casos em que o artigo 19.º, n.º 1, constitua uma base para outras reservas, os Estados‑Membros são autorizados a ponderar e a formular as suas próprias reservas.

2.Declarações

O Protocolo permite igualmente que uma Parte, em conformidade com o artigo 19.º, n.º 2, formule uma declaração em relação a uma série de artigos do Protocolo.

Os Estados-Membros formulam a declaração referida artigo 7.º, n.º 2.b, indicando que as injunções emitidas a prestadores de serviços no seu território devem ser emitidas por um procurador ou por outra autoridade judicial, ou ser emitidas sob supervisão independente. Assim, ao depositar o instrumento de ratificação, aceitação ou aprovação, os Estados‑Membros devem formular a seguinte declaração:

«A injunção emitida ao abrigo do artigo 7.º, n.º 1, deve ser emitida por um procurador ou outra autoridade judicial, ou sob a sua supervisão, ou ser emitida sob supervisão independente».

Os Estados-Membros são encorajados a abster-se de declarar, ao abrigo do artigo 9.º, n.º 1.b, que não executarão os pedidos apresentados ao abrigo do artigo 9.º, n.º 1.a (divulgação expedita de dados informáticos em caso de emergência), cuja finalidade seja apenas a divulgação de dados relativos aos assinantes.

Nos casos em que o artigo 19.º, n.º 2, constitua uma base para outras declarações, os Estados-Membros são autorizados a considerar e a formular as suas próprias declarações.

3.Declarações, notificações ou comunicações

O Protocolo exige igualmente que as Partes, em conformidade com o artigo 19.º, n.º 3, formulem declarações, notificações ou comunicações em relação a uma série de artigos do Protocolo.

Os Estados-Membros devem notificar que, em caso de emissão de uma injunção nos termos do artigo 7.º, n.º 1, a um prestador de serviços no seu território, é necessária uma notificação simultânea da injunção, das informações suplementares e de um resumo dos factos relacionados com a investigação ou procedimento, em conformidade com o artigo 7.º, n.º 5.a. Consequentemente, os Estados-Membros devem, no momento da assinatura ou do depósito do seu instrumento de ratificação, aceitação ou aprovação, efetuar a seguinte notificação ao Secretário-Geral do Conselho da Europa:

«Quando é emitida uma injunção nos termos do artigo 7.º, n.º 1, a um prestador de serviços no território de [Estado-Membro], é exigida em todos os casos a notificação simultânea da injunção, das informações suplementares e de um resumo dos factos relacionados com a investigação ou o procedimento».

Nos termos do artigo 7.º, n.º 5.e, os Estados-Membros designam uma autoridade única para receber uma notificação nos termos do artigo 7.º, n.º 5.a, e realizar as ações descritas nos n.os 5.b, 5.c e 5.d, e comunicam os dados de contacto dessa autoridade.

Os Estados-Membros declaram, nos termos do artigo 8.º, n.º 4, que são necessárias informações de apoio adicionais para dar cumprimento às injunções previstas no artigo 8.º, n.º 1. Consequentemente, os Estados-Membros devem, no momento da assinatura ou do depósito do seu instrumento de ratificação, aceitação ou aprovação, formular a seguinte declaração:

«São necessárias informações de apoio adicionais para dar cumprimento às injunções previstas no artigo 8.º, n.º 1. As informações de apoio adicionais exigidas dependerão das circunstâncias da injunção e da investigação ou do procedimento correspondente».

Os Estados-Membros comunicam e mantêm atualizados os dados de contacto das autoridades designadas nos termos do artigo 8.º, n.º 10.a, para emitir uma injunção ao abrigo do artigo 8.º, e os das autoridades designadas nos termos do artigo 8.º, n.º 10.b, para receber uma injunção nos termos do artigo 8.º. Os Estados-Membros que participam na cooperação reforçada instituída pelo Regulamento (UE) 2017/1939 que dá execução a uma cooperação reforçada para a instituição da Procuradoria Europeia incluem a Procuradoria Europeia, no exercício das suas competências previstas nos artigos 22.º, 23.º e 25.º do Regulamento (UE) 2017/1939, entre as autoridades cujos dados de contacto são comunicados nos termos do artigo 8.º, n.os 10.a e 10.b.

Os Estados-Membros comunicam a autoridade ou autoridades a notificar nos termos do artigo 14.º, n.º 7.c, em relação a um incidente de segurança.

Os Estados-Membros comunicam a autoridade ou autoridades competentes para conceder uma autorização para efeitos do artigo 14.º, n.º 10.b, em relação à transferência ulterior para outro Estado ou organização internacional de dados recebidos ao abrigo do Protocolo.

Nos casos em que o artigo 19.º, n.º 3, constitua uma base para outras declarações, notificações ou comunicações, os Estados-Membros são autorizados a considerar e a formular as suas próprias declarações, notificações e comunicações.

4.Outras considerações

Os Estados-Membros que participam na cooperação reforçada instituída pelo Regulamento (UE) 2017/1939 que dá execução a uma cooperação reforçada para a instituição da Procuradoria Europeia asseguram que a Procuradoria Europeia, no exercício das suas competências, tal como previstas nos artigos 22.º, 23.º e 25.º do Regulamento (UE) 2017/1939, possa solicitar cooperação ao abrigo do Protocolo da mesma forma que os procuradores nacionais desses Estados-Membros.

Os Estados-Membros asseguram que, quando transferem dados para efeitos do Protocolo, a Parte recetora é informada de que o quadro jurídico interno destes exige que a pessoa cujos dados são fornecidos seja informada pessoalmente dessa transferência, em conformidade com o artigo 14.º, n.º 11.c, do Protocolo.

No que diz respeito às transferências internacionais com base no Acordo-Quadro UE‑EUA, os Estados-Membros comunicam às autoridades competentes dos Estados Unidos, para efeitos do artigo 14.º, n.º 1.b, do Protocolo, que o Acordo se aplica às transferências recíprocas de dados pessoais ao abrigo do Protocolo entre as autoridades competentes. No entanto, os Estados-Membros têm em conta que o Acordo deve ser complementado com salvaguardas adicionais que integrem os requisitos únicos da transferência de provas eletrónicas diretamente pelos prestadores de serviços e não entre autoridades, tal como previsto no Protocolo. Consequentemente, os Estados-Membros, no momento da assinatura ou do depósito do seu instrumento de ratificação, aceitação ou aprovação, transmitem a seguinte comunicação às autoridades competentes dos Estados‑Unidos:

«Para efeitos do artigo 14.º, n.º 1.b, do Segundo Protocolo Adicional à Convenção do Conselho da Europa sobre o Cibercrime, consideramos que o Acordo-Quadro UE‑EUA se aplica às transferências recíprocas de dados pessoais ao abrigo do Protocolo entre as autoridades competentes. No que respeita às transferências entre prestadores de serviços no nosso território e autoridades dos Estados Unidos realizadas ao abrigo do Protocolo, o Acordo só é aplicável em combinação com outro acordo de transferência específico que integre os requisitos específicos da transferência de provas eletrónicas diretamente pelos prestadores de serviços e não entre autoridades».

Os Estados-Membros asseguram que, para efeitos da aplicação do artigo 14.º, n.º 1.c, do Protocolo, só podem invocar outros acordos ou convénios se a Comissão Europeia tiver adotado uma decisão de adequação nos termos do artigo 45.º do Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados) ou do artigo 36.º da Diretiva (UE) 2016/680 (Diretiva sobre a Proteção de Dados na Aplicação da Lei) em relação ao país terceiro em causa que abranja as respetivas transferências de dados, ou se esse outro acordo ou convénio estabelecer salvaguardas adequadas em matéria de proteção de dados nos termos do artigo 46.º do Regulamento Geral sobre a Proteção de Dados ou do artigo 37.º, n.º 1, alínea a), da Diretiva sobre a Proteção de Dados na Aplicação da Lei.