P8_TA(2017)0131

A adequação da proteção proporcionada pelo Escudo de Privacidade UE-EUA

Resolução do Parlamento Europeu, de 6 de abril de 2017, sobre o nível de proteção adequado assegurado pelo Escudo de Proteção da Privacidade UE-EUA (2016/3018(RSP))

(2018/C 298/11)

O Parlamento Europeu,

—	Tendo em conta o Tratado da União Europeia (TUE), o Tratado sobre o Funcionamento da União Europeia (TFUE) e os artigos 6.o, 7.o, 8.o, 11.o, 16.o, 47.o e 52.o da Carta dos Direitos Fundamentais da União Europeia,

—	Tendo em conta a Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1) (diretiva relativa à proteção de dados),

—	Tendo em conta a Decisão-Quadro 2008/977/JAI do Conselho, de 27 de novembro de 2008, relativa à proteção dos dados pessoais tratados no âmbito da cooperação policial e judiciária em matéria penal (2),

—

Tendo em conta o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (regulamento geral sobre a proteção de dados) (3), bem como a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou execução de sanções penais e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (4),

—	Tendo em conta o acórdão do Tribunal de Justiça da União Europeia, de 6 de outubro de 2015, no processo C-362/14, Maximillian Schrems/Data Protection Commissioner (5),

—

Tendo em conta a comunicação da Comissão ao Parlamento Europeu e ao Conselho, de 6 de novembro de 2015, sobre a transferência de dados pessoais da UE para os Estados Unidos da América ao abrigo da Diretiva 95/46/CE na sequência do acórdão proferido pelo Tribunal de Justiça no processo C-362/14 (Schrems) (COM(2015)0566),

—	Tendo em conta a comunicação da Comissão ao Parlamento Europeu e ao Conselho, de 10 de janeiro de 2017, sobre o intercâmbio e a proteção dos dados pessoais num mundo globalizado (COM(2017)0007),

—	Tendo em conta o acórdão do Tribunal de Justiça da União Europeia, de 21 de dezembro de 2016, nos processos C-203/15, Tele2 Sverige AB/Post- och telestyrelsen, e C-698/15, Secretary of State for the Home Department/Tom Watson e outros (6),

—	Tendo em conta a Decisão de Execução (UE) 2016/1250 da Comissão, de 12 de julho de 2016, relativa ao nível de proteção assegurado pelo Escudo de Proteção da Privacidade UE-EUA, com fundamento na Diretiva 95/46/CE do Parlamento Europeu e do Conselho (7),

—	Tendo em conta o parecer 4/2016 da Autoridade Europeia para a Proteção de Dados (AEPD) relativo ao projeto de decisão sobre o nível de proteção adequado do Escudo de Proteção da Privacidade UE-EUA (8),

—

Tendo em conta o parecer do grupo de trabalho sobre proteção de dados do artigo 29.o, de 13 de abril de 2016, sobre o projeto de decisão relativa ao nível de proteção adequado assegurado pelo Escudo de Proteção da Privacidade UE-EUA (9) e adeclaração do grupo de trabalho sobre proteção de dados do artigo 29.o, de 26 de julho de 2016 (10),

—	Tendo em conta a sua resolução, de 26 de maio de 2016, sobre a transferência transatlântica de dados (11),

—	Tendo em conta o artigo 123.o, n.o 2, do seu Regimento,

Considerando que, no seu acórdão de 6 de outubro de 2015, no processo C-362/14, Maximillian Schrems/ Data Protection Commissioner, o Tribunal de Justiça da União Europeia (TJUE) anulou a decisão «porto seguro» e esclareceu que um «nível de proteção adequado» num país terceiro deve ser entendido como um nível «substancialmente equivalente» ao garantido na União Europeia nos termos da Diretiva 95/46/CE, lida à luz da Carta dos Direitos Fundamentais da União Europeia (doravante designada por «Carta da UE»), tornando assim necessário negociar um novo acordo, para garantir a segurança jurídica sobre a forma como os dados pessoais devem ser transferidos da UE para os EUA;

Considerando que, ao apreciar o nível de proteção oferecido por um país terceiro, a Comissão é obrigada a avaliar o conteúdo das regras aplicáveis nesse país, decorrentes da sua legislação interna ou dos seus compromissos internacionais, bem como a prática destinada a assegurar o cumprimento dessas regras, uma vez que, nos termos do artigo 25.o, n.o 2, da Diretiva 95/46/CE, deve ter em conta todas as circunstâncias que rodeiam uma transferência de dados pessoais para um país terceiro; considerando que esta apreciação deve não só referir-se à legislação e às práticas relacionadas com a proteção de dados pessoais para fins comerciais e privados, mas também abranger todos os aspetos do quadro aplicável a esse país ou setor, em especial, mas não só, o exercício de funções coercivas, a segurança nacional e o respeito dos direitos fundamentais;

Considerando que as transferências de dados pessoais entre organizações comerciais da UE e dos EUA são um elemento importante para as relações transatlânticas, que estas transferências devem ser realizadas no pleno respeito pelo direito à proteção dos dados pessoais e pelo direito à vida privada; considerando que a proteção dos direitos fundamentais, como consagrada na Carta da UE, é um dos objetivos fundamentais da UE;

Considerando que, no seu parecer 4/2016, a AEPD suscita várias questões sobre o projeto de Escudo de Proteção da Privacidade; considerando que, no mesmo parecer, a AEPD se congratula com os esforços envidados por todas as partes para encontrar uma solução para as transferências de dados pessoais da UE para os EUA para fins comerciais ao abrigo de um sistema de autocertificação;

Considerando que, no seu parecer 01/2016 sobre o projeto de decisão relativa ao nível de proteção adequado assegurado pelo Escudo de Proteção da Privacidade UE-EUA, o grupo de trabalho do artigo 29.o se congratula com as melhorias significativas introduzidas pelo Escudo de Proteção da Privacidade em comparação com a decisão «porto seguro», suscitando também, simultaneamente, questões sérias sobre os aspetos comerciais e o acesso por parte das autoridades públicas aos dados transferidos ao abrigo do Escudo de Proteção da Privacidade;

Considerando que, em 12 de julho de 2016, após conversações suplementares com o Governo dos EUA, a Comissão adotou a Decisão de Execução (UE) 2016/1250, que declara que se verifica o nível de proteção adequado dos dados pessoais transferidos da União para organizações nos Estados Unidos, no âmbito do Escudo de Proteção da Privacidade UE-EUA;

Considerando que o Escudo de Proteção da Privacidade UE-EUA é acompanhado de uma série de cartas e declarações unilaterais do Governo dos EUA, que explicam, entre outros, os princípios da proteção de dados, o funcionamento da supervisão, da fiscalização e das vias de recurso e as proteções e garantias nos termos das quais as autoridades de segurança podem ter acesso e efetuar o tratamento dos dados pessoais;

Considerando que, na sua declaração de 26 de julho de 2016, o grupo de trabalho do artigo 29.o se congratula com as melhorias introduzidas pelo mecanismo «Escudo de Proteção da Privacidade UE-EUA» em relação ao regime «porto seguro» e louva a Comissão e as autoridades dos EUA por terem em conta as suas preocupações; considerando que o grupo de trabalho do artigo 29.o indica que, apesar disso, algumas das suas preocupações não são resolvidas, estando em causa quer os aspetos comerciais quer o acesso por parte das autoridades públicas dos EUA aos dados transferidos da UE, como a ausência de regras específicas em matéria de decisões automatizadas e a ausência de um direito geral de oposição, a necessidade de garantias mais rigorosas sobre a independência e os poderes do mecanismo de mediação e a ausência de garantias concretas sobre a não realização de uma recolha maciça e indiscriminada de dados pessoais (recolha em larga escala);

Congratula-se com os esforços desenvolvidos pela Comissão e pelo Governo dos EUA, com vista a ter em conta as questões suscitadas pelo TJUE, pelos Estados-Membros, pelo Parlamento Europeu, pelas autoridades responsáveis pela proteção dos dados (APD) e pelas partes interessadas, para permitir à Comissão adotar a decisão de execução que declara que o Escudo de Proteção da Privacidade UE-EUA garante o nível de proteção adequado;

Regista que o Escudo de Proteção da Privacidade UE-EUA contém melhorias significativas no que diz respeito à clareza das normas em comparação com o antigo regime «porto seguro UE-EUA» e que a autocertificação da sua conformidade com as disposições do Escudo de Proteção da Privacidade UE-EUA pelas organizações dos EUA obedece a normas de proteção de dados mais claras do que no quadro do regime «porto seguro»;

Toma nota de que, à data de 23 de março de 2017, 1 893 organizações dos EUA aderiram o Escudo de Proteção da Privacidade UE-EUA; lamenta que o Escudo de Proteção da Privacidade assente na autocertificação voluntária, razão pela qual é válido apenas para organizações dos EUA que tenham aderido de forma voluntária, o que significa que muitas empresas não ficam abrangidas pelo regime;

Regista que o Escudo de Proteção da Privacidade UE-EUA facilita as transferências de dados das PME e empresas da União para os EUA;

Observa que, em conformidade com o acórdão do TJUE no processo Schrems, os poderes das APD europeias não são afetados pela decisão relativa ao nível de proteção adequado, podendo estas, portanto, exercer os seus poderes, incluindo a suspensão ou a proibição das transferências de dados para uma organização registada no âmbito do Escudo de Proteção da Privacidade UE-EUA; congratula-se, a este respeito, com o papel de destaque atribuído pelo quadro do Escudo de Proteção da Privacidade às APD do Estado-Membro na análise e na investigação de reclamações relativas à proteção dos direitos à privacidade e à vida familiar consignados na Carta da UE e na suspensão das transferências de dados, bem como com a obrigação que incumbe ao Ministério do Comércio dos EUA de resolver essas queixas;

Regista que, no quadro do Escudo de Proteção da Privacidade, os titulares dos dados da UE dispõem de vários meios para interpor recursos nos EUA: em primeiro lugar, as queixas podem ser apresentadas quer diretamente junto da empresa quer através do Ministério do Comércio, na sequência de um pedido de uma APD, ou junto de uma entidade independente de resolução de litígios, em segundo lugar, no que diz respeito a violações dos direitos fundamentais por motivos de segurança nacional, pode ser intentada uma ação civil num órgão jurisdicional americano e queixas semelhantes podem ser também tratadas pelo recém-criado mediador independente e, finalmente, as queixas sobre violações dos direitos fundamentais por motivos policiais e de interesse público podem ser tratadas mediante a impugnação de citações; incentiva a Comissão e as APD a facultarem orientações suplementares para que essas vias de recurso sejam mais acessíveis e disponíveis;

Regista o compromisso claro de o Ministério do Comércio dos EUA acompanhar atentamente o cumprimento dos Princípios do Escudo de Proteção da Privacidade UE-EUA por parte das organizações dos EUA e a sua intenção de adotar medidas coercivas contra as entidades infratoras;

Reitera o seu apelo para que a Comissão esclareça o estatuto jurídico das «garantias escritas» prestadas pelos EUA e assegure que quaisquer compromissos ou acordos previstos ao abrigo do Escudo de Proteção da Privacidade sejam mantidos após a tomada de posse de uma nova administração nos Estados Unidos;

Considera que, apesar dos compromissos assumidos e das garantias prestadas pelo Governo dos EUA através das cartas anexas ao acordo relativo ao Escudo de Proteção da Privacidade, não são resolvidas questões importantes referentes a certos aspetos comerciais, à segurança nacional e à ação policial;

10.

Regista, especificamente, a diferença significativa entre a proteção assegurada pelo artigo 7.o da Diretiva 95/46/CE e o princípio de «aviso e escolha» do acordo do Escudo de Proteção da Privacidade, bem como as diferenças consideráveis entre o artigo 6.o da Diretiva 95/46/CE e o princípio de «integridade dos dados e limitação dos fins» do acordo do Escudo de Proteção da Privacidade; salienta que, em vez da necessidade de uma base jurídica (como uma autorização ou um contrato), que seja aplicável a todas as operações de tratamento, os direitos dos titulares de dados ao abrigo dos Princípios do Escudo de Proteção da Privacidade aplicam-se apenas a duas operações estritas de tratamento (divulgação e mudança de finalidade) e limitam-se ao direito de oposição ao tratamento («autoexclusão»);

11.

Considera que todas estas preocupações podem conduzir futuramente a uma nova contestação junto dos tribunais da decisão relativa à adequação da proteção; insiste nas suas consequências nefastas, tanto a nível do respeito pelos direitos fundamentais, como a nível da segurança jurídica necessária para as partes interessadas.

12.

Refere, entre outros aspetos, a ausência de regras específicas sobre decisões automatizadas e sobre um direito geral de oposição, e a ausência de princípios claros sobre a aplicação dos Princípios do Escudo de Proteção da Privacidade aos subcontratantes (agentes);

13.

Observa que, embora os titulares de dados tenham a possibilidade de se oporem a qualquer transferência dos seus dados pessoais para os EUA perante o responsável europeu pelo seu tratamento e à continuação do tratamento desses dados nos EUA, nos casos em que a empresa aderente ao Escudo de Proteção da Privacidade atue como subcontratante em nome do responsável europeu pelo tratamento, o Escudo de Proteção da Privacidade carece de regras específicas sobre um direito geral de oposição perante a empresa autocertificada dos EUA;

14.

Observa que apenas uma pequena parte das organizações dos EUA que aderiram ao Escudo de Proteção da Privacidade optou por utilizar uma APD da UE para o mecanismo de resolução de litígios; receia que este facto possa constituir uma desvantagem para os cidadãos da UE quando tentarem fazer valer os seus direitos;

15.

Observa a ausência de princípios explícitos sobre a forma como os princípios do Escudo de Proteção da Privacidade se aplicam aos subcontratantes (agentes), embora reconhecendo que todos os princípios se aplicam ao tratamento de dados pessoais por qualquer empresa autocertificada dos EUA, «[s]alvo indicação em contrário», e que a transferência para fins de tratamento exige sempre um contrato com o responsável europeu pelo tratamento, que determinará os objetivos e meios do tratamento, incluindo a autorização ou não do subcontratante para realizar transferências ulteriores (por exemplo, para subcontratação ulterior);

16.

Salienta que, no que diz respeito à segurança nacional e à vigilância, apesar dos esclarecimentos apresentados pelo Office of the Director of National Intelligence (ODNI) (direção do serviço nacional de informações) nas cartas anexas ao quadro do Escudo de Proteção da Privacidade, a «vigilância em larga escala», não obstante a terminologia diferente utilizada pelas autoridades dos EUA, continua a ser possível; lamenta que não exista uma definição única do conceito de vigilância em larga escala e que se tenha adotado a terminologia americana; por conseguinte, apela a uma definição única de vigilância em larga escala, associada à visão europeia, na qual a avaliação não é feita em função de uma seleção; sublinha que qualquer tipo de vigilância em larga escala constitui uma violação da Carta da UE;

17.

Recorda que o anexo VI (carta de Robert S. Litt, ODNI) clarifica que, de acordo com a Presidential Policy Directive 28 (PPD-28), a recolha em larga escala de comunicações e de dados pessoais de cidadãos não americanos continua a ser permitida em seis casos; salienta que essa recolha em larga escala apenas deve ser «tão orientada quanto possível» e «razoável», o que não satisfaz os critérios de necessidade e proporcionalidade estabelecidos na Carta da UE;

18.

Observa com grande preocupação que o Privacy and Civil Liberties Oversight Board (PCLOB) (órgão de fiscalização para a proteção da privacidade e das liberdades cívicas), a que se refere o anexo VI (carta de Robert S. Litt, ODNI), um organismo independente, criado por lei, encarregado de analisar e rever os programas e as políticas de luta contra o terrorismo, incluindo a utilização de informações de origem eletrónica, a fim de garantir que protejam a privacidade e as liberdades cívicas de modo adequado, perdeu o seu quórum em 7 de janeiro de 2017 e terá falta de quórum até os seus novos membros serem nomeados pelo Presidente dos EUA e confirmados pelo Senado dos EUA; salienta que, numa situação falta de quórum, o PCLOB tem uma capacidade mais limitada, não podendo empreender certas ações que requerem a aprovação do órgão de direção, como iniciar projetos de supervisão ou fazer recomendações de fiscalização, enfraquecendo assim seriamente as garantias de cumprimento e fiscalização dadas pelas autoridades dos EUA neste domínio;

19.

Lamenta que o Escudo de Proteção da Privacidade UE-EUA não proíba a recolha de dados em larga escala para fins policiais;

20.

Sublinha que, no seu acórdão de 21 de dezembro de 2016, o TJUE clarificou que a Carta da UE «deve ser interpretada no sentido em que se opõe à legislação nacional que, para efeitos de luta contra a criminalidade, preveja a retenção geral e indiscriminada de todos os dados de tráfego e de localização de todos os assinantes e utilizadores registados relativamente a todos os meios de comunicação eletrónicos»; salienta que, por conseguinte, a vigilância em larga escala nos EUA não proporciona um nível de proteção essencialmente equivalente dos dados pessoais e das comunicações;

21.

Está alarmado com as recentes revelações sobre as atividades de vigilância exercidas por um prestador de serviços de comunicações eletrónicas dos EUA sobre todas as mensagens de correio eletrónico chegadas aos seus servidores, a pedido da National Security Agency (NSA) e do FBI, ainda em 2015, ou seja, um ano após a adoção da Presidential Policy Directive 28 e durante a negociação do Escudo de Proteção da Privacidade UE-EUA; insiste em que a Comissão solicite esclarecimentos cabais às autoridades dos EUA e disponibilize as respostas fornecidas ao Conselho, ao Parlamento e às APD nacionais; vê este facto como uma razão para duvidar fortemente das garantias apresentadas pelo ODNI; está ciente de que o Escudo de Proteção da Privacidade UE-EUA assenta na PPD-28, que foi aprovada pelo Presidente e pode também ser revogada por qualquer futuro presidente sem o acordo do Congresso;

22.

Observa com preocupação que, em 23 e 28 de março de 2017, respetivamente, o Senado e a Câmara dos Representantes votaram a favor da rejeição da norma, apresentada pela Federal Communications Commission (comissão federal para as comunicações), «Proteção da privacidade dos clientes de banda larga e outros serviços de telecomunicações», o que, na prática, elimina normas para a proteção da privacidade da banda larga que obrigariam os prestadores de serviços de acesso à Internet a obter a autorização explícita dos consumidores, antes de venderem ou partilharem dados relativos à navegação na Internet e outras informações privadas com anunciantes e outras empresas; considera que isto constitui mais uma ameaça às salvaguardas em matéria de privacidade nos Estados Unidos;

23.

Manifesta a sua profunda preocupação com a publicação do documento «Procedures for the Availability or Dissemination of Raw Signals Intelligence Information by the National Security Agency under Section 2.3 of Executive Order 12333» [procedimentos para a disponibilização ou divulgação de informações em bruto sobre transmissões pela National Security Agency ao abrigo da secção 2.3 do Decreto Executivo n.o 12333], aprovado pelo Ministro da Justiça em 3 de janeiro de 2017, que autoriza a NSA a partilhar uma vasta quantidade de dados privados recolhidos sem mandado, ordem judicial ou autorização do Congresso com outras 16 agências, incluindo o FBI, a Drug Enforcement Agency e o Department of Homeland Security; insta a Comissão a avaliar de imediato a compatibilidade destas novas regras com os compromissos assumidos pelas autoridades dos EUA ao abrigo do Escudo de Proteção da Privacidade, bem como o seu impacto no nível de proteção dos dados pessoais nos Estados Unidos;

24.

Recorda que, embora as pessoas, incluindo os titulares de dados da UE, disponham de várias vias de recurso se tiverem sido objeto de vigilância (eletrónica) ilegal para efeitos de segurança nacional nos EUA, é igualmente evidente que pelo menos algumas bases jurídicas que os serviços de informações dos EUA podem utilizar (por exemplo, Decreto Presidencial 12333) não são abrangidas; sublinha, além disso, que, mesmo nos casos em que, em princípio, existem possibilidades de recurso judicial para cidadãos de países terceiros, como no que diz respeito à vigilância ao abrigo da FISA, as causas de ação disponíveis são limitadas e as ações apresentadas por pessoas singulares (incluindo cidadãos dos EUA) serão declaradas inadmissíveis se não conseguirem demonstrar «legitimidade», o que limita o acesso aos tribunais comuns;

25.

Insta a Comissão a avaliar o impacto do Decreto Presidencial «Reforçar a segurança pública no interior dos Estados Unidos», de 25 de janeiro de 2017, em particular da sua secção 14, sobre a exclusão de cidadãos estrangeiros das proteções previstas na lei em matéria de privacidade relativas às informações pessoais identificáveis, o que está em contradição com as garantias escritas sobre a existência de mecanismos de recurso judicial para as pessoas singulares, sempre que os dados sejam objeto de acesso pelas autoridades dos EUA; solicita à Comissão que comunique uma análise jurídica pormenorizada das consequências das medidas do Decreto Presidencial para as vias de recurso legais e o direito ao recurso judicial para os europeus nos EUA;

26.

Lamenta que nem os princípios do Escudo de Proteção da Privacidade nem as cartas do Governo dos EUA que contêm os seus esclarecimentos e garantias demonstrem a existência de direitos de recurso judicial por parte dos cidadãos da UE cujos dados pessoais são transferidos para uma organização dos EUA ao abrigo dos Princípios do Escudo de Proteção da Privacidade e objeto de acesso e tratamento pelas autoridades públicas dos EUA para fins policiais e de interesse público, os quais foram destacados pelo TJUE, no seu acórdão de 6 de outubro de 2015, como a essência do direito fundamental consagrado no artigo 47.o da Carta da UE;

27.

Recorda a sua resolução de 26 de maio de 2016, em que considera que o mecanismo de mediação criado pelo Departamento de Estado dos EUA não é suficientemente independente nem é dotado dos poderes suficientes para exercer as suas funções e garantir vias de recurso efetivas aos cidadãos da UE; salienta que, até à data, a nova Administração dos EUA ainda não nomeou um novo mediador no seguimento do termo do mandato do Subsecretário de Estado do Crescimento Económico, da Energia e do Ambiente, nomeado para este cargo em julho de 2016; considera que, na falta da nomeação de um mediador independente e investido de poderes suficientes, as garantias apresentadas pelos EUA no que diz respeito à disponibilização de vias de recurso efetivas aos cidadãos da EU, são nulas e sem efeito; manifesta preocupação pelo facto de uma pessoa afetada por uma violação das regras só poder solicitar informações e a supressão dos dados e/ou a cessação do tratamento ulterior dos mesmos, mas não ter direito ao ressarcimento dos danos;

28.

Observa com preocupação que, desde 30 de março de 2017, a Federal Trade Commission (FTC) (comissão federal do comércio), que assegura a aplicação do Escudo de Proteção da Privacidade, tem três dos seus cinco lugares vagos;

29.

Lamenta que o processo de adoção de uma decisão de adequação não preveja uma consulta formal dos atores relevantes, como as empresas e, em particular, as organizações representativas das PME;

30.

Lamenta que o procedimento com vista à adoção da decisão de execução da Comissão tenha sido seguido pela Comissão em termos práticos que, de facto, não permitiram ao Parlamento exercer o seu direito de controlo sobre o projeto de ato de execução de forma eficaz;

31.

Insta a Comissão a tomar todas as medidas necessárias para que o Escudo de Proteção da Privacidade cumpra plenamente o disposto no Regulamento (UE) 2016/679, aplicável a partir de 16 de maio de 2018, e na Carta da UE;

32.

Insta a Comissão a assegurar, em especial, que os dados pessoais transferidos para os EUA ao abrigo do Escudo de Proteção da Privacidade só possam ser transferidos para outro país terceiro se essa transferência for compatível com o fim que motivou a recolha inicial dos dados e se no país terceiro forem aplicáveis as mesmas regras de acesso específico e seletivo para fins policiais;

33.

Insta a Comissão a controlar se os dados pessoais que deixaram de ser necessários para os fins para os quais foram inicialmente recolhidos são eliminados, incluindo pelos serviços policiais;

34.

Insta a Comissão a controlar de perto se o Escudo de Proteção da Privacidade permite que as APD exerçam plenamente todos os seus poderes e, em caso negativo, identificar as disposições que resultam num obstáculo ao exercício de poderes pelas APD;

35.

Insta a Comissão a, por ocasião da primeira reapreciação conjunta anual, proceder a uma análise completa e aprofundada de todas as lacunas e deficiências referidas na presente resolução e na sua resolução de 26 de maio de 2016 sobre a transferência transatlântica de dados, e das lacunas e deficiências identificadas pelo grupo de trabalho do artigo 29.o, pela AEPD e pelos atores relevantes, e demonstrar de que forma as mesmas foram tidas em conta, de modo a garantir o cumprimento da Carta da UE e da legislação da União, e avaliar cuidadosamente se os mecanismos e salvaguardas indicados nas garantias e esclarecimentos apresentados pelo Governo dos EUA são eficazes e viáveis;

36.

Insta a Comissão a garantir que, aquando da reapreciação conjunta anual, todos os membros da equipa tenham acesso livre e total a todos os documentos e instalações necessários ao desempenho das suas funções, incluindo aos elementos que permitam uma avaliação adequada da necessidade e da proporcionalidade da recolha e do acesso aos dados transferidos por autoridades públicas, quer para fins policiais quer para fins de segurança nacional;

37.

Salienta a necessidade de garantir a independência de todos os membros da equipa responsável pela reapreciação conjunta no exercício das respetivas funções e o direito dos mesmos a emitir pareceres divergentes no relatório final da reapreciação conjunta, que serão públicos e anexados ao relatório conjunto;

38.

Insta as APD da União a acompanharem o funcionamento do Escudo de Proteção da Privacidade UE-EUA e exercerem os seus poderes, incluindo a suspensão ou a proibição definitiva das transferências de dados pessoais para uma organização integrada no Escudo de Proteção da Privacidade UE-EUA, se considerarem que os direitos fundamentais à privacidade e à proteção de dados pessoais dos titulares de dados da União não são garantidos;

39.

Salienta que o Parlamento deve ter pleno acesso a quaisquer documentos relevantes relacionados com a reapreciação conjunta anual;

40.

Encarrega o seu Presidente de transmitir a presente resolução à Comissão, ao Conselho, aos governos e parlamentos nacionais dos Estados-Membros e ao Governo e ao Congresso dos EUA.

(1) JO L 281 de 23.11.1995, p. 31.

(2) JO L 350 de 30.12.2008, p. 60.

(3) JO L 119 de 4.5.2016, p. 1.

(4) JO L 119 de 4.5.2016, p. 89.

(5) ECLI:EU:C:2015:650.

(6) ECLI:EU:C:2016:970.

(7) JO L 207 de 1.8.2016, p. 1.

(8) JO C 257 de 15.7.2016, p. 8.

(9) http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2016/wp238_en.pdf

(10) http://ec.europa.eu/justice/data-protection/article-29/press-material/press-release/art29_press_material/2016/20160726_wp29_wp_statement_eu_us_privacy_shield_en.pdf

(11) Textos Aprovados, P8_TA(2016)0233.