27.10.2007   

PT

Jornal Oficial da União Europeia

C 255/13

1.

Em conformidade com o n.o 2 do artigo 28.o do Regulamento (CE) n.o 45/2001, a Comissão enviou à AEPD, para parecer, a proposta de decisão do Conselho que cria o Serviço Europeu de Polícia (EUROPOL). Segundo a AEPD, o presente parecer deve ser mencionado no preâmbulo da Decisão-Quadro (3).

2.

A proposta não tem por objectivo introduzir alterações fundamentais no mandato ou nas actividades da Europol, destinando-se essencialmente a proporcionar à Europol uma nova base jurídica mais flexível. A Europol foi criada em 1995, com base numa convenção entre os Estados-Membros, nos termos do artigo K.6 do Tratado da União Europeia (actual artigo 34.o) (4). A desvantagem deste tipo de convenções, em termos de flexibilidade e eficácia, é a necessidade de serem ratificadas por todos os Estados-Membros, o que pode demorar anos, conforme demonstrado por experiências recentes. Tal como indicado na Exposição de Motivos da presente proposta, em finais de 2006 não tinham ainda entrado em vigor nenhum dos Protocolos de alteração da Convenção Europol, aprovados em 2000, 2002 e 2003 (5).

3.

No entanto, a proposta inclui também alterações de fundo com o objectivo de melhorar o funcionamento da Europol. Amplia o mandato da Europol e compreende diversas novas disposições destinadas a facilitar ainda mais o seu trabalho. Nesta perspectiva, o intercâmbio de dados pessoais entre a Europol e outras instâncias (como órgãos da Comunidade e da União Europeia, autoridades dos Estados-Membros e dos países terceiros) torna-se uma questão de primordial importância. A proposta estabelece que a Europol envidará os maiores esforços para assegurar que os seus sistemas de tratamento de dados são interoperáveis com os dos Estados-Membros e os dos organismos ligados à Comunidade e à União Europeia (n.o 5 do artigo 10.o da proposta). Prevê ainda que as unidades nacionais da Europol devem ter acesso directo a todo o sistema da Europol.

4.

Além disso, a posição da Europol como órgão no âmbito do Título VI do Tratado da União Europeia (terceiro pilar), tem implicações na legislação aplicável à protecção de dados, uma vez que o Regulamento (CE) n.o 45/2001 é aplicável apenas ao tratamento de dados efectuado no exercício de actividades abrangidas pelo âmbito de aplicação do direito comunitário e, por conseguinte, não se aplica, em princípio, às operações de tratamento de dados da Europol. O Capítulo V da proposta inclui regras específicas em matéria de protecção e segurança dos dados que podem ser consideradas lex specialis, prevendo regras suplementares em relação à lex generalis, o quadro jurídico geral da protecção de dados. Contudo, este quadro jurídico geral para o Terceiro Pilar ainda não foi aprovado (ver pontos 37 a 40).

5.

É ainda de referir que algumas outras alterações aproximarão a posição da Europol da de outros órgãos da União Europeia, em conformidade com o Tratado que institui a Comunidade Europeia. Embora isto não modifique significativamente a posição da Europol, pode ser encarado como uma primeira evolução positiva. A Europol será financiada pelo orçamento das Comunidades Europeias e o pessoal da Europol será abrangido pelo Estatuto dos Funcionários da Comunidade, o que reforçará o controlo do Parlamento Europeu (dada à sua posição nos procedimentos orçamentais) e do Tribunal de Justiça Europeu (nos litígios respeitantes ao orçamento e ao pessoal). A AEPD terá competência no que se refere ao tratamento de dados pessoais relacionado com os funcionários das Comunidades (ver ponto 47).

6.

O presente parecer abordará sucessivamente as alterações de fundo (na acepção do ponto 3), a legislação aplicável à protecção de dados (ponto 4) e as crescentes semelhanças entre a Europol e os órgãos comunitários (ponto 5).

7.

O parecer debruçar-se-á especificamente sobre a crescente importância do intercâmbio de dados entre a Europol e outros órgãos da União Europeia, os quais, na maior parte dos casos, estão sob o controlo da AEPD. Poder-se-ão referir especificamente a este propósito os artigos 22.o, 25.o e 48.o. A complexidade desta questão suscita preocupação, tanto no que se refere à limitação das finalidades como no que diz respeito à legislação aplicável à protecção de dados e ao controlo, nos casos em que diferentes autoridades de controlo têm competência para fiscalizar os diversos órgãos europeus, em função do pilar em que estão integrados. Outro aspecto que suscita igualmente preocupação é a interoperabilidade do sistema de informações da Europol com outros sistemas de informação.

8.

O quadro jurídico da presente proposta está a evoluir rapidamente.

9.

Em primeiro lugar, a proposta constitui uma de várias acções legislativas no domínio da cooperação policial e judiciária em matéria penal e tem como objectivo facilitar a conservação e o intercâmbio de dados pessoais para efeitos de aplicação da lei. Algumas destas propostas foram já adoptadas pelo Conselho — nomeadamente a Decisão-Quadro do Conselho, de 18 de Dezembro de 2006, relativa à simplificação do intercâmbio de dados e informações — (6) enquanto outras estão ainda em curso.

10.

O princípio orientador destas acções legislativas é o princípio da disponibilidade, que foi instituído como um importante princípio legislativo no Programa da Haia, em Novembro de 2004, e que implica que a informação necessária para a luta contra a criminalidade não deve atravessar as fronteiras internas da UE sem encontrar obstáculos.

11.

O princípio da disponibilidade, por si só, não é suficiente. São necessárias medidas legislativas suplementares para permitir que as autoridades policiais e judiciárias possam efectivamente trocar informações. Em certos casos, o instrumento escolhido para facilitar este intercâmbio passa pela criação ou aperfeiçoamento de um sistema de informação europeu; tal como o sistema de informações da Europol. A AEPD já abordou o essencial desses sistemas em relação ao Sistema de Informação de Schengen e abordará também algumas dessas questões a respeito da presente proposta, como por exemplo, as condições de acesso ao sistema, a interligação e a interoperabilidade, assim como as regras aplicáveis à protecção e ao controlo dos dados (7).

12.

Além disso, a proposta deve ser analisada à luz dos recentes acontecimentos, designadamente a iniciativa da Presidência Alemã da União Europeia relativa à integração do Tratado de Prüm na ordem jurídica da União.

13.

Em segundo lugar, o quadro jurídico da protecção de dados no âmbito do Terceiro Pilar — condição necessária para o intercâmbio de dados pessoais — não foi ainda adoptado, como já dissemos. Pelo contrário, as negociações no Conselho acerca da proposta de decisão-quadro relativa à protecção dos dados pessoais tratados no âmbito da cooperação policial e judiciária em matéria penal têm-se revelado bastante difíceis. A Presidência Alemã do Conselho anunciou que apresentará um novo texto (8) com uma abordagem sensivelmente diferente da da proposta da Comissão.

14.

Em terceiro lugar, a proposta está directamente relacionada com a evolução do Tratado que estabelece uma Constituição para a Europa. O artigo III-276.o do Tratado Constitucional seria ser uma etapa essencial de um processo em que, por um lado, o papel e as funções da Europol seriam progressivamente alargados e, por outro lado, a Europol seria gradualmente integrada no quadro institucional euopeu. Tal como explicado na Exposição de Motivos da presente proposta, este artigo reflecte a concepção que começou a ser delineada para o futuro da Europol. A presente decisão integra parcialmente essa concepção, tendo em conta a incerteza que paira sobre se e quando entrarão em vigor as disposições do Tratado Constitucional.

15.

Os artigos 4.o e 5.o e o Anexo I da proposta definem o mandato da Europol. O mandato foi alargado à criminalidade que não está estritamente relacionada com o crime organizado e que abrange as formas graves de criminalidade descritas na Decisão-Quadro relativa ao mandado de detenção europeu (9). O segundo alargamento do papel da Europol consiste no facto de que as suas bases de dados passarão a incluir dados e informações transmitidos por entidades públicas ou privadas.

16.

O primeiro alargamento constitui uma evolução lógica do desenvolvimento da cooperação policial e judiciária em matéria penal. A AEPD reconhece daqui resulta numa melhor harmonização dos instrumentos jurídicos destinados a facilitar a cooperação policial. A harmonização é útil, não só porque melhoras as condições de cooperação, mas também porque reforça a segurança jurídica do cidadão e permite um controlo mais eficiente da cooperação policial, visto que o âmbito de aplicação dos diversos instrumentos abrange o mesmo tipo de crimes. A AEPD parte do princípio que foi este alargamento do mandato foi proposto tendo em consideração o princípio da proporcionalidade.

17.

O segundo alargamento enquadra-se na recente tendência da cooperação policial, em que estão a adquirir cada vez maior importância os dados pessoais recolhidos por empresas privadas para efeitos da aplicação da lei. A AEPD reconhece que essa utilização poderá ser necessária, especialmente no âmbito da luta contra o terrorismo e outras formas graves de criminalidade, em que poderá ser útil que as autoridades de aplicação da lei tenham acesso a todas as informações relevantes, inclusive as detidas por particulares (10). A natureza dos dados e informações tratadas, provenientes de particulares exige, porém, salvaguardas adicionais, a fim de garantir nomeadamente a exactidão dessas informações, uma vez que se trata de dados pessoais recolhidos com fins comerciais num quadro comercial. Conviria igualmente garantir que estas informações sejam legalmente recolhidas e tratadas antes de serem enviadas à Europol, ao abrigo da legislação nacional de aplicação da Directiva 95/46/CE e que o acesso por parte da Europol só poderá ser efectuado em condições e com limitações bem definidas. O acesso deverá, pois, ser autorizado exclusivamente numa base caso a caso, com uma finalidade específica e sob o controlo judicial dos Estados-Membros (11). Por conseguinte, a AEPD sugere que se insiram essas condições e limitações no texto da decisão.

18.

O artigo 6.o da Convenção Europol é bastante restritivo no que se refere ao tratamento das informações recolhidas pela Europol. O tratamento está limitado a três componentes: o sistema de informações da Europol, os ficheiros de análise e um sistema de indexação. O n.o 1 do artigo 10.o da proposta substitui esta abordagem por uma disposição de carácter geral que autoriza a Europol a proceder ao tratamento de dados e de informações, sempre que seja necessário para alcançar os seus objectivos. O n.o 3 do artigo 10.o estipula, porém, que o tratamento de dados pessoais fora do sistema de informações da Europol e dos ficheiros de análise está sujeito às condições definidas numa decisão do Conselho, após consulta do Parlamento Europeu. No entender da AEDP, esta disposição está redigida de maneira suficientemente precisa para proteger os legítimos interesses das pessoas em causa. Antes de o Conselho adoptar essa decisão, dever-se-ia aditar, no n.o 3 do artigo 10.o, a consulta das autoridades de protecção de dados, sugerida no ponto 55.

19.

A possibilidade de a Europol «proceder ao tratamento de dados tendo em vista determinar se tais dados são relevantes para as suas funções», tal como referida no n.o 2 do artigo 10.o, parece ser contrária ao princípio da proporcionalidade. Esta redacção é muito pouco precisa e, na prática, acarreta o risco de se proceder ao tratamento de dados para todo o tipo de finalidades indefinidas.

20.

A AEPD compreende a necessidade de se proceder a esse tratamento numa fase em que ainda não está estabelecida a sua pertinência para efeitos da execução de uma das funções da Europol. Deve-se, porém, garantir que o tratamento de dados pessoais cuja pertinência não tenha ainda sido apreciada seja rigorosamente limitada a essa finalidade, que a apreciação seja efectuada num prazo razoável e que, caso essa pertinência não seja confirmada, os dados não sejam tratados para efeitos de aplicação da lei. Qualquer outra solução constituiria não só um abuso dos direitos das pessoas em causa, mas prejudicaria também a eficácia da aplicação da lei.

Por conseguinte, a fim de respeitar o princípio da proporcionalidade, a AEPD propõe que, no n.o 2 do artigo 10.o, se adite uma disposição que imponha a obrigação de conservar os dados numa base de dados separada, até ficar estabelecida a sua pertinência para efeitos da execução de uma função específica da Europol. Além disso, o prazo de tratamento desses dados deve ser rigorosamente limitado, não podendo nunca ser superior a seis meses (12).

21.

Nos termos do n.o 5 do artigo 10.o da proposta, devem ser envidados os maiores esforços para assegurar que os sistemas de tratamento de dados da Europol são interoperáveis com os dos Estados-Membros, em especial com os sistemas de tratamento de dados utilizados pelos organismos ligados à Comunidade e à União Europeia. Esta abordagem é oposta à do n.o 2 do artigo 6.o da Convenção Europol que proíbe a ligação a outros sistemas de tratamento informatizado de dados.

22.

No seu comentário à comunicação da Comissão sobre a interoperabilidade das bases de dados europeias (13), a AEPD opõe-se à noção de que a interoperabilidade é essencialmente um conceito técnico. Se as bases de dados se tornarem técnicamente interoperáveis — o que significa que será possível o acesso e o intercâmbio de dados –, surgirão pressões no sentido de efectivamente se recorrer a essa possibilidade. Esta situação implicaria riscos concretos no que se refere ao princípio de limitação das finalidades, uma vez que os dados poderiam ser utilizados para finalidades diferentes da simples recolha. A AEPD insiste em que se estabeleçam condições e garantias rigorosas quando se proceder concretamente à ligação com outra base de dados.

23.

Assim sendo, a AEPD recomenda que se adite à proposta uma disposição que preveja que só será permitida a interligação após a adopção de uma decisão que defina as condições e garantias desta ligação, especialmente no que diz respeito à necessidade da interligação e às finalidades com que serão utilizados os dados pessoais. A decisão deve ser adoptada após consulta da AEPD e da Instância Comum de Controlo. Esta disposição poderia ficar associada ao artigo 22.o da proposta, que se refere às relações da Europol com outros organismos e agências.

24.

A AEPD constata que, no n.o 1 do artigo 11.o, foi suprimida a actual limitação do acesso das unidades nacionais aos dados pessoais relativos a possíveis criminosos que não tenham (ainda) cometido crimes. Essa limitação passou a constar do n.o 1 do artigo 7.o da Convenção e restringe o acesso directo aos pormenores da identidade das pessoas em causa.

25.

A AEPD entende que não se justifica uma alteração tão substancial. Pelo contrário, estas salvaguardas específicas para esta categoria de pessoas estão em total consonância com a abordagem adoptada na proposta de decisão-quadro relativa à protecção dos dados pessoais tratados no âmbito da cooperação policial e judiciária em matéria penal. A AEPD recomenda que se prevejam mais salvaguardas relativas ao acesso aos dados das pessoas que não tenham (ainda) cometido crimes e que, de qualquer modo, não se diminua a protecção concedida pela Convenção Europol.

26.

Nos termos do texto alterado do n.o 3 do artigo 21.o da Convenção Europol (14), a necessidade de se prolongar a conservação de dados relativos às pessoas referidas no n.o 1 do artigo 10.o será verificada anualmente, e essa verificação será documentada. Contudo, o n.o 1 do artigo 20.o da proposta requer apenas que se proceda à verificação três anos depois da introdução dos dados. A AEPD não está persuadida da necessidade deste acréscimo de flexibilidade, pelo que recomenda que a proposta preveja a obrigação de se proceder a uma verificação anual. A alteração da proposta assume ainda maior importância pelo facto de esta impor a obrigação de verificar com regularidade os dados conservados, e não apenas uma vez ao fim de três anos.

27.

O artigo 21.o é uma disposição de carácter geral que confere à Europol direito de acesso informatizado a dados constantes de outros sistemas de informações nacionais ou internacionais e a possibilidade de os consultar. Este modo de acesso só deverá ser permitido caso a caso e em condições estritas. No entanto, o artigo 21.o permite um acesso demasiado alargado, que não é necessário para as funções a exercer pela Europol. Neste contexto, a AEPD remete para o parecer que emitiu, em 20 de Janeiro de 2006, sobre o acesso das autoridades responsáveis pela segurança interna ao VIS (15). A AEPD recomenda que se altere o texto da proposta neste sentido.

28.

Importa não esquecer, no que respeita ao acesso às bases de dados nacionais, que esta disposição tem um âmbito mais vasto que o da comunicação de informações entre a Europol e as unidades nacionais, a que se refere, nomeadamente, o n.o 4 do artigo 12.o da proposta. Para além de ficar sujeito às disposições da presente decisão do Conselho, o acesso será igualmente regulado pela legislação nacional em matéria de acesso aos dados e de utilização dos mesmos. A AEPD congratula-se com o princípio, estabelecido no artigo 21.o, segundo o qual a regra a aplicar será a mais estrita. Além disso, a importância da comunicação de dados pessoais entre a Europol e as bases de dados nacionais, incluindo o acesso da Europol a essas bases de dados, constitui mais uma razão para que se adopte uma decisão-quadro do Conselho sobre a protecção do dados pessoais tratados no quadro da cooperação policial e judiciária em matéria penal que garanta um nível de protecção adequado.

29.

O n.o 1 do artigo 24.o estabelece duas condições para a comunicação de dados às autoridades públicas de países terceiros e às organizações internacionais: a) os dados só podem ser comunicados se necessário, em casos concretos, para combater o crime; e b) caso tenha sido celebrado um acordo internacional que garanta que o organismo terceiro assegurará um nível de protecção dos dados adequado. O n.o 2 do artigo 24.o prevê derrogações em casos excepcionais, tendo em conta o nível de protecção dos dados conferido pelo organismo que os recebe. A AEPD compreende a necessidade destas derrogações e salienta que é imperativo aplicá-las caso a caso, com todo o rigor, em circunstâncias verdadeiramente excepcionais. O texto do n.o 2 do artigo 24.o reflecte estas condições de modo satisfatório.

30.

O artigo 29.o trata do direito de acesso aos dados pessoais, que constitui um dos direitos fundamentais da pessoa a quem dizem respeito, consagrado no n.o 2 do artigo 8.o da Carta dos Direitos Fundamentais da União Europeia, na Convenção 108 do Conselho da Europa, de 28 de Janeiro de 1981, e ainda na Recomendação N.o R(87) 15 do Comité de Ministros do Conselho da Europa, de 17 de Setembro de 1987. Este direito faz parte integrante do princípio do tratamento lícito e equitativo dos dados pessoais e destina-se a proteger os interesses essenciais do seu titular. Contudo, as condições estabelecidas pelo artigo 29.o. restringem este direito de uma forma inaceitável à luz das considerações acima tecidas.

31.

Em primeiro lugar, o n.o 3 do artigo 29.o estipula que o pedido de acesso — apresentado num Estado-Membro nos termos do seu n.o 2 — será examinado em conformidade com este mesmo artigo e com a legislação e os procedimentos do Estado-Membro em que foi apresentado. Por conseguinte, a legislação nacional pode limitar o âmbito e a substância do direito de acesso e impor restrições processuais, resultado que poderá ser insatisfatório. A título de exemplo, os pedidos de acesso aos dados pessoais podem também ser apresentados por pessoas cujos dados não sejam tratados pela Europol. É essencial que o direito de acesso contemple também estes pedidos. Haverá, pois, que assegurar a não aplicação de uma lei nacional que implique um direito de acesso mais restrito.

32.

Segundo a AEPD, a referência à legislação nacional feita no n.o 3 do artigo 29.o deverá ser suprimida e substituída pela inclusão de regras harmonizadas em matéria de âmbito de aplicação, substância e procedimento a seguir, de preferência na decisão-quadro do Conselho relativa à protecção dos dados pessoais ou, se necessário, na decisão do Conselho.

33.

Além disso, o n.o 4 do artigo 29.o enumera os motivos de recusa de acesso aos dados pessoais, caso a pessoa pretenda exercer o seu direito de acesso aos dados tratados pela Europol que lhe digam respeito. Nos termos do n.o 4 do artigo 29.o, o acesso será recusado se «for susceptível de comprometer» determinados interesses específicos. Esta formulação é muito mais abrangente do que a do n.o 3 do artigo 19.o da Convenção Europol, que prevê a recusa de acesso apenas «na medida em que isso seja necessário».

34.

A AEPD recomenda que se mantenha a formulação — mais estrita — do texto da Convenção Europol. Haverá também que garantir que o responsável pelos dados seja obrigado a declarar os motivos de recusa, por forma a que a aplicação desta derrogação possa ser efectivamente controlada. Este princípio encontra-se, aliás, expressamente consignado na Recomendação n.o R(87) 15 do Comité de Ministros do Conselho da Europa. O texto da proposta da Comissão não é aceitável, dado que não tem na devida conta a natureza fundamental do direito de acesso. Só podem ser aceites derrogações deste direito se tal for necessário para proteger outro interesse fundamental, ou seja, se o acesso aos dados for susceptível de lesar esse outro interesse.

35.

Por último, mas não menos importante, o direito de acesso é fortemente restringido pelo mecanismo de consulta previsto no n.o 5 do artigo 29.o. Tal mecanismo subordina o acesso à consulta de todas as autoridades competentes envolvidas e, no que respeita aos ficheiros de análise, também ao acordo da Europol e de todos os Estados-Membros que participam na análise ou que sejam directamente afectados. Este mecanismo subverte, de facto, a natureza fundamental do direito de acesso. A possibilidade de acesso deverá ser — por princípio — garantida, podendo ser restringida unicamente em circunstâncias específicas. Ao invés, segundo o texto da proposta, o acesso só será autorizado depois de efectuada a consulta e obtido acordo.

36.

A Europol será um organismo da União Europeia, mas não uma instituição ou órgão comunitário na acepção do artigo 3.o do Regulamento (CE) n.o 45/2001. Como tal, o regulamento não se aplica, em princípio, ao tratamento de dados pessoais pela Europol, salvo em algumas situações específicas. O Capítulo V da proposta introduz, pois, um regime de protecção de dados sui generis, que assenta também num quadro jurídico geral aplicável à protecção de dados.

37.

A proposta reconhece a necessidade de se estabelecer um quadro jurídico geral de protecção de dados. De acordo com o artigo 26.o da proposta, a Europol aplicará, enquanto lex generalis, os princípios da decisão-quadro do Conselho relativa à protecção de dados pessoais tratados no quadro da cooperação policial e judiciária em matéria penal. Esta referência à (proposta de) decisão-quadro do Conselho substitui a referência, feita no n.o 3 do artigo 14.o da Convenção Europol, à Convenção 108 do Conselho da Europa, de 28 de Janeiro de 1981, e à Recomendação n.o R(87) 15 do Comité de Ministros do Conselho da Europa, de 17 de Setembro de 1987.

38.

A AEPD congratula-se com o artigo 26.o da proposta, disposição crucial para que a protecção de dados seja eficaz e também coerente, uma vez que facilita o intercâmbio de dados pessoais e que tal favorece, por seu turno, a aplicação da lei. Contudo, embora a compatibilidade entre os dois instrumentos devesse ser garantida, tal não é evidente, tendo em conta que:

Consoante o resultado das negociações no Conselho sobre a decisão-quadro, provavelmente com base na proposta alemã, poderá ser necessário que a proposta em apreço preveja garantias adicionais. Esta questão deverá ser analisada numa fase posterior, quando o resultado das negociações sobre a decisão-quadro do Conselho for já mais claro.

39.

A AEPD salienta que a presente decisão do Conselho não deverá ser adoptada antes de o Conselho aprovar, nesta matéria, um quadro que garanta um nível de protecção de dados adequado, em conformidade com as conclusões da AEPD expressas nos seus dois pareceres sobre a proposta de decisão-quadro do Conselho apresentada pela Comissão (16).

40.

Neste contexto, a AEPD destaca dois elementos específicos da proposta de decisão-quadro do Conselho apresentada pela Comissão, que são particularmente propícios a uma maior protecção das pessoas cujos dados pessoais sejam tratados pela Europol. Em primeiro lugar, a proposta permite distinguir o tratamento de dados consoante o seu grau de exactidão e fiabilidade, diferenciando os dados baseados em opiniões e dos dados baseados em factos. Essa clara distinção entre «dados indicativos» e «dados firmes» constitui um método importante para que se possa respeitar o princípio da qualidade dos dados. Em segundo lugar, a proposta estabelece uma distinção entre dados respeitantes a categorias de pessoas, com base no seu possível envolvimento numa infracção penal.

41.

Esta questão conduz à da aplicabilidade do Regulamento (CE) n.o 45/2001 às actividades da Europol. O Regulamento (CE) n.o 45/2001 aplica-se, antes de mais, ao pessoal da Europol, questão que é tratada no ponto 47. Em segundo lugar — e é este o assunto versado na Parte IV do presente parecer –, o regulamento aplicar-se-á aos intercâmbios de dados com organismos da Comunidade, pelo menos na medida em que sejam enviados por esses mesmos organismos à Europol. Exemplos paradigmáticos de organismos comunitários são os mencionados no n.o 1 do artigo 22.o da proposta.

42.

Poder-se-á esperar que seja exigido a tais organismos o envio de dados pessoais à Europol com uma certa regularidade. Ao procederem ao envio, as instituições e organismos comunitários ficarão sujeitos a todas as obrigações estabelecidas no Regulamento (CE) n.o 45/2001, particularmente no que respeita à licitude do tratamento (artigo 5.o do regulamento), controlo prévio (artigo 27.o) e consulta à AEPD (artigo 28.o). Este aspecto suscita algumas questões quanto à aplicabilidade dos artigos 7.o, 8.o e 9.o do Regulamento (CE) n.o 45/2001. Sendo «distinta das instituições e dos órgãos comunitários» e não sendo abrangida pela Directiva 95/46/CE, a Europol pode perfeitamente enquadrar-se no âmbito de aplicação do artigo 9.o. Nesse caso, o carácter adequado da protecção assegurada pela Europol deveria ser avaliado nos termos do n.o 2 do artigo 9.o do Regulamento (CE) n.o 45/2001, tal como acontece com outras organizações internacionais ou países terceiros. Esta solução criaria incertezas, além do que não seria consentânea com a ideia de base contida na proposta: aproximar mais a posição da Europol da das instituições e organismos criados pelo Tratado CE. Seria preferível conferir à Europol um tratamento idêntico ao que é reservado aos órgãos comunitários, na medida em que trata dados oriundos desses órgãos. A AEPD sugere que se adite ao artigo 22.o uma disposição do seguinte teor: «Sempre que as instituições ou organismos comunitários procedam à transferência de dados pessoais, a Europol será considerada como um órgão comunitário, na acepção do artigo 7.o do Regulamento (CE) n.o 45/2001».

43.

Haverá que prestar uma atenção especial ao intercâmbio de dados pessoais com o Organismo Europeu de Luta Antifraude (OLAF). Actualmente, o intercâmbio de informações entre a Europol e o OLAF é feito com base num acordo administrativo entre os dois organismos, que prevê o intercâmbio de informações técnicas e estratégicas, mas exclui o intercâmbio de dados pessoais.

44.

A proposta de decisão do Conselho é de índole diferente. O n.o 3 do artigo 22.o prevê que o intercâmbio de informações, incluindo dados pessoais, se faça de modo idêntico ao previsto para o intercâmbio de dados entre o OLAF e as autoridades dos Estados-Membros (17). O objectivo deste intercâmbio limita-se à fraude, à corrupção activa e passiva e ao branqueamento de capitais. Tanto o OLAF como a Europol deverão ter em conta, em cada caso específico, as exigências do segredo de justiça e da protecção de dados. Para o OLAF tal significa, seja em que circunstâncias for, garantir o nível de protecção estabelecido no Regulamento(CE) n.o 45/2001.

45.

Além disso, o artigo 48.o da proposta estabelece que o Regulamento (CE) n.o 1073/1999 (18) é aplicável à Europol. O OLAF terá poderes para efectuar inquéritos administrativos no seio da Europol, tendo, para tal, direito de acesso, sem pré-aviso e sem demora, a qualquer informação na posse da Europol (19). No entender da AEPD, o âmbito de aplicação desta disposição não é claro, uma vez que:

46.

Contudo, esta disposição não abrange — nem deverá abranger — os inquéritos efectuados fora da Europol sobre irregularidades que os dados tratados pela Europol possam ajudar a esclarecer. As disposições relativas ao intercâmbio de informações, incluindo dados pessoais, previstas no n.o 3 do artigo 22.o seriam suficientes nestes casos. A AEPD recomenda, pois, que se clarifique o âmbito de aplicação do artigo 48.o da proposta.

47.

Ao pessoal da Europol aplicar-se-á o Estatuto dos Funcionários. No caso de se tratarem dados relativos ao pessoal da Europol, deverão aplicar-se, por razões de coerência e de não discriminação, as regras materiais e de controlo estabelecidas no Regulamento (CE) n.o 45/2001. O 12.o considerando da proposta menciona a aplicabilidade do regulamento ao tratamento de dados pessoais, nomeadamente no que se refere aos dados pessoais relativos aos funcionários da Europol. Segundo a AEPD, não basta clarificar esta noção nos considerandos. Os considerandos de um acto comunitário não têm carácter vinculativo nem deverão conter disposições normativas (20). A fim de garantir plenamente a aplicação do Regulamento (CE) n.o 45/2001, deverá ser aditada uma disposição no próprio texto da decisão — por exemplo no artigo 38.o — que refira que o Regulamento (CE) n.o 45/2001 é aplicável ao tratamento de dados pessoais respeitantes aos funcionários da Europol.

48.

A proposta não tem por objectivo uma alteração fundamental do sistema de controlo a efectuar sobre a Europol, conferindo um papel central à Instância Comum de Controlo. De acordo com o quadro jurídico proposto, a instância de controlo será criada em conformidade com o artigo 33.o da proposta. No entanto, algumas alterações introduzidas no estatuto e nas actividades da Europol levarão a que o envolvimento da AEPD seja limitado, para além das tarefas respeitantes ao pessoal da Europol que lhe incumbem. É essa a razão pela qual o n.o 6 do artigo 33.o da proposta estabelece que a Instância Comum de Controlo deverá cooperar com a AEPD, bem como com outras autoridades de controlo. Esta disposição reflecte a obrigação de a AEPD cooperar com a Instância Comum de Controlo por força da subalínea ii) da alínea f) do artigo 46.o do Regulamento (CE) n.o 45/2001. A AEPD congratula-se com esta disposição, instrumento útil para promover uma abordagem coerente do controlo de dados em toda a UE, independentemente do pilar em que se enquadre.

49.

Como já aqui ficou dito, a presente proposta não prevê nenhuma alteração fundamental do sistema de controlo. No entanto, o seu contexto mais alargado poderá requerer uma reflexão mais aprofundada sobre o futuro sistema de controlo da Europol. Poder-se-á aludir a dois desenvolvimentos específicos: em primeiro lugar, os artigos 44.o a 47.o do Regulamento (CE) n.o 1987/2006 (21) prevêem uma nova estrutura de supervisão do SIS II; em segundo lugar, no contexto da decisão-quadro do Conselho relativa à protecção de dados pessoais tratados no quadro da cooperação policial e judiciária em matéria penal, a Presidência Alemã anunciou que está a analisar a possibilidade de se criar uma nova estrutura de controlo dos sistemas de informação europeus, entre os quais a Europol, no âmbito do terceiro pilar.

50.

No entender da AEPD, o presente parecer não constitui a sede apropriada para debater mudanças de fundo do sistema de controlo. O sistema de supervisão do SIS II como sistema em rede assenta no Primeiro Pilar, não se adequando à Europol enquanto organismo do Terceiro Pilar, que restringe as competências das instituições comunitárias, especialmente as da Comissão e do Tribunal de Justiça. Na ausência das salvaguardas do Terceiro Pilar, será todavia necessário um sistema de controlo específico. Por exemplo, o artigo 31.o diz respeito à interposição de recurso pelos particulares. Além disso, estão ainda numa fase muito incipiente as ideias respeitantes a uma nova estrutura de controlo dos sistemas de informação europeus que foram anunciadas pela Presidência Alemã. E, por último, o sistema actual funciona bem.

51.

A AEPD centrará pois as suas observações no papel que lhe cabe relativamente ao intercâmbio de dados pessoais entre a Europol e outros organismos do âmbito da União Europeia. As disposições relativas a esse intercâmbio são um novo elemento importante da proposta. O n.o 1 do artigo 22.o menciona a Frontex, o Banco Central Europeu, o OEDT (22) e o OLAF. Todos estes organismos recaem na esfera de controlo da AEPD. O n.o 2 do artigo 22.o prevê a possibilidade de a Europol celebrar com os referidos organismos acordos de trabalho que podem incluir o intercâmbio de dados pessoais. No que respeita ao OLAF, este intercâmbio pode mesmo realizar-se sem acordos de trabalho (n.o 3 do artigo 22.o). Igualmente relevante neste aspecto é o artigo 48.o da proposta, debatido nos pontos 45 e 46.

52.

Importa garantir que a AEPD possa exercer as competências que lhe são conferidas pelo Regulamento (CE) n.o 45/2001, no que respeita a dados transmitidos por organismos da Comunidade. Isto revela-se mais importante ainda nos casos de transferência de dados pessoais em que a Europol seja equiparada a organismo comunitário na acepção do artigo 7.o do Regulamento (CE) n.o 45/2001, tal como proposto anteriormente. Assim, mais importante ainda se torna o desenvolvimento de uma estreita cooperação com a Instância Comum de Controlo criada pelo artigo 33.o.

53.

A AEPD deseja formular mais duas recomendações, respeitantes aos direitos que os titulares de dados têm sobre estes:

54.

Tendo em conta o exposto, a AEPD deverá manter uma estreita cooperação com a Instância Comum de Controlo, o mais tardar a partir do momento em que se encontrem estabelecidos os mecanismos de intercâmbio de dados com organismos comunitários. Este é um dos principais domínios em que as obrigações mútuas de cooperação serão levadas à prática.

55.

O n.o 3 do artigo 10.o prevê que o Conselho determine, por decisão, as condições de criação de certos sistemas de tratamento de dados pessoais pela Europol. A AEPD recomenda seja também prevista a obrigação de consulta à AEPD e à Instância Comum de Controlo antes da adopção de tal decisão.

56.

O artigo 22.o diz respeito às relações da Europol com outros organismos e agências da Comunidade e da União. As relações de cooperação mencionadas neste artigo podem ser desenvolvidas mediante acordos de trabalho e abranger o intercâmbio de dados pessoais. Daí que a AEPD e a Instância Comum de Controlo devam ser consultadas sobre a celebração dos acordos previstos no artigo 22.o, na medida em que estes sejam relevantes para a protecção dos dados pessoais tratados por instituições e organismos comunitários. A AEPD recomenda que o texto da proposta seja alterado neste sentido.

57.

O n.o 2 do artigo 25.o prevê que sejam estabelecidas regras de execução para os intercâmbios com outros organismos e agências da Comunidade e da União. A AEPD recomenda que além da Instância Comum de Controlo seja ela própria também consultada antes da adopção dessas regras, em consonância com a prática assente no direito comunitário segundo a qual os organismos comunitários consultam a AEPD nos termos do n.o 1 do artigo 28.o do Regulamento (CE) n.o 45/2001.

58.

A AEPD saúda o artigo 27.o, que contém uma disposição respeitante a um responsável pela protecção de dados (RPD) que terá designadamente por função assegurar, de forma independente, a legalidade e o respeito das disposições respeitantes ao tratamento dos dados pessoais. Esta função foi proveitosamente introduzida na esfera comunitária pelo Regulamento (CE) n.o 45/2001, no âmbito das instituições e organismos da Comunidade. A função de RPD tem também sido exercida no seio da Europol, mas, até à data, sem base jurídica adequada.

59.

Para que o RPD possa desempenhar as suas funções com eficácia, é essencial que a sua independência seja efectivamente garantida por lei. Por este motivo, o artigo 24.o do Regulamento (CE) n.o 45/2001 prevê diversas disposições nesse sentido. O RPD é designado para um período determinado e só pode ser demitido em circunstâncias muito excepcionais. Ser-lhe-ão facultados o pessoal e os fundos necessários. Não pode receber instruções no desempenho das suas funções.

60.

Infelizmente, estas disposições — com excepção da relativa à não aceitação de instruções — não constam da presente proposta. A AEPD recomenda pois vivamente que nela se incluam as garantias relativas à independência do RPD, tais como as salvaguardas especiais para a designação e a demissão do RPD, e à sua independência perante o Conselho de Administração. Estas disposições, além de serem necessárias para assegurar a independência do RPD, tornariam a posição do RPD da Europol mais consentânea com a dos RPD das instituições comunitárias. Por último, a AEPD salienta que o n.o 5 do artigo 27.o da proposta, que impõe ao Conselho de Administração a obrigação de adoptar regras de execução relativas a certos aspectos das funções do RPD, não constitui, por natureza, uma garantia adequada de independência do RPD. Importa ter presente a necessidade primordial de assegurar a independência perante a administração da Europol.

61.

Há ainda outro motivo para harmonizar a disposição relativa ao RPD da Decisão do Conselho com o artigo 24.o do Regulamento (CE) n.o 45/2001. Este regulamento é aplicável no tocante aos dados pessoais do pessoal da Europol (cf. ponto 47), significando isto que para estas matérias o RPD da Europol será abrangido pelo âmbito de aplicação do mesmo regulamento. De qualquer modo, o RPD deverá ser designado nos termos do regulamento.

62.

Além disso, a AEPD recomenda que seja aplicado à Europol o sistema de controlo prévio previsto no artigo 27.o do Regulamento (CE) n.o 45/2001 para os organismos comunitários. Está provado que o sistema de controlo prévio é um instrumento eficaz e desempenha um papel essencial no que respeita à protecção de dados nas instituições e organismos comunitários.

63.

Por último, convirá que o RPD da Europol participe na rede de RPD existente no Primeiro Pilar, nem que seja à parte das actividades do RPD relativas ao pessoal da Europol. Esta participação, além de contribuir para a adopção de uma metodologia sobre protecção de dados comum à dos organismos comunitários, será totalmente conforme com o objectivo formulado no considerando 16 da proposta, a saber, a cooperação com agências e organismos europeus que garantam um nível adequado de protecção de dados em conformidade com o Regulamento (CE) n.o 45/2001. A AEPD recomenda que, nos considerandos das propostas em que se defina o objectivo desta metodologia comum, seja aditado um período do seguinte teor: «No desempenho das suas funções, o responsável pela protecção de dados cooperará com os responsáveis pela protecção de dados designados nos termos da legislação comunitária.»

64.

A AEPD reconhece a necessidade de dotar a Europol de uma base jurídica nova e mais flexível, mas está especialmente atenta às mudanças de fundo, às leis aplicáveis em matéria de protecção de dados e às crescentes semelhanças entre a Europol e os organismos comunitários.

65.

Quanto às mudanças de fundo, a AEPD recomenda o seguinte:

66.

A presente decisão do Conselho não deverá ser aprovada antes de o Conselho adoptar um quadro para a protecção de dados que garanta um nível apropriado de protecção, em conformidade com as conclusões dos dois pareceres da AEPD sobre a proposta de decisão-quadro do Conselho apresentada pela Comissão. Há que distinguir os dados baseados em pareceres dos dados baseados em factos. De igual modo, deve estabelecer-se uma distinção entre os dados relativos a diferentes categorias de pessoas, em função do seu eventual envolvimento numa infracção penal.

67.

A AEPD sugere que seja aditado ao artigo 22.o um novo número com a seguinte redacção: «Em caso de transferência de dados pessoais por instituições ou organismos comunitários, a Europol é equiparada a órgão comunitário na acepção do artigo 7.o do Regulamento (CE) n.o 45/2001».

68.

O artigo 48.o da proposta, relativo aos inquéritos efectuados pelo OLAF, não deve abranger os inquéritos relativos a irregularidades fora da Europol sobre os quais os dados tratados pela Europol possam trazer esclarecimentos suplementares. A AEPD recomenda que se clarifique o âmbito de aplicação do artigo 48.o da proposta.

69.

A fim de assegurar a plena aplicação do Regulamento (CE) n.o 45/2001, deve ser aditado no texto da decisão um número segundo o qual o Regulamento (CE) n.o 45/2001 é aplicável ao tratamento dos dados pessoais relativos ao pessoal da Europol.

70.

O âmbito de aplicação das duas disposições relativas aos direitos dos titulares dos dados (n.o 2 do artigo 30.o e n.o 2 do artigo 32.o) deve ser alargado aos dados transmitidos por um organismo comunitário sujeito ao controlo da AEPD, por forma a garantir que a Europol e o organismo comunitário em causa reajam do mesmo modo.

71.

No n.o 3 do artigo 1.o, no artigo 22.o e no n.o 2 do artigo 25.o devem ser previstas disposições (mais precisas) sobre a consulta às autoridades de protecção de dados.

72.

A AEPD recomenda vivamente que se incluam no texto as garantias de independência do RPD, tais como as salvaguardas especiais para a designação e demissão do RPD, e para a sua independência perante o Conselho de Administração, em conformidade com o Regulamento (CE) n.o 45/2001.