COMISSÃO EUROPEIA
Bruxelas, 24.7.2019
COM(2019) 374 final
COMUNICAÇÃO DA COMISSÃO AO PARLAMENTO EUROPEU E AO CONSELHO
As regras de proteção de dados como instrumento gerador de confiança dentro e fora da UE – ponto da situação
COMISSÃO EUROPEIA
Bruxelas, 24.7.2019
COM(2019) 374 final
COMUNICAÇÃO DA COMISSÃO AO PARLAMENTO EUROPEU E AO CONSELHO
As regras de proteção de dados como instrumento gerador de confiança dentro e fora da UE – ponto da situação
Comunicação da Comissão ao Parlamento Europeu e ao Conselho
As regras de proteção de dados como instrumento gerador de confiança dentro e fora da UE – ponto da situação
I.Introdução
O Regulamento Geral sobre a Proteção de Dados 1 (a seguir designado «RGPD») aplica-se em toda a União Europeia há mais de um ano. Está no centro de um quadro da UE coerente e modernizado em matéria de proteção de dados que também inclui a Diretiva sobre a proteção de dados na aplicação da lei 2 e o Regulamento de proteção de dados pelas instituições, órgãos e organismos da UE 3 . Este quadro será completado pelo Regulamento sobre privacidade eletrónica, cujo processo legislativo se encontra atualmente em curso.
É essencial dispor de regras de proteção de dados sólidas para garantir o direito fundamental à proteção dos dados pessoais. São indispensáveis para uma sociedade democrática 4 e constituem um elemento importante de uma economia cada vez mais impulsionada por dados. A UE aspira a aproveitar as numerosas oportunidades proporcionadas pela transformação digital em termos de serviços, emprego e inovação, fazendo face simultaneamente aos desafios que colocam. A usurpação de identidade, a fuga de dados sensíveis, a discriminação das pessoas, os preconceitos sistemáticos, a partilha de conteúdos ilícitos e o desenvolvimento de ferramentas de vigilância intrusivas são apenas alguns exemplos dos problemas que são cada vez mais objeto de debate público, tornando claro que os cidadãos esperam que os seus dados sejam protegidos.
A proteção de dados converteu-se num fenómeno verdadeiramente global, com as pessoas de todo o mundo a prezarem e valorizarem cada vez mais a proteção e segurança dos seus dados. Muitos países adotaram ou estão em fase de adoção de normas de proteção de dados abrangentes, baseadas em princípios semelhantes aos contemplados no RGPD, tendo como resultado uma convergência mundial das normas de proteção de dados. Esta situação proporciona novas oportunidades para facilitar os fluxos de dados entre operadores comerciais ou autoridades públicas, melhorando simultaneamente o nível de proteção dos dados pessoais na UE e no mundo.
A proteção de dados é levada mais a sério do que nunca, o que tem um grande impacto sobre as diferentes partes interessadas e setores. A Comissão está decidida a conduzir a UE na aplicação adequada do novo regime de proteção de dados e a prestar a sua ajuda para que todos os seus aspetos se tornem plenamente operacionais. Com a presente comunicação, a Comissão faz o balanço dos resultados alcançados até ao momento no que se refere à aplicação coerente das regras de proteção de dados no conjunto da UE, ao funcionamento do novo sistema de governação, ao impacto para os cidadãos e as empresas, bem como aos esforços da UE para promover a convergência mundial dos regimes de proteção de dados. Dá seguimento à Comunicação da Comissão sobre a aplicação do RGPD, de janeiro de 2018 5 , e para a sua elaboração foi tido em conta o trabalho do grupo composto pelas várias partes interessadas 6 , em especial o seu contributo para o exercício de balanço do primeiro ano de aplicação deste regulamento, bem como os debates realizados durante o ato de balanço organizado pela Comissão em 13 de junho de 2019 7 . A presente comunicação constitui também um contributo para a análise que a Comissão tenciona realizar até maio de 2020 8 .
O quadro legislativo de proteção de dados da UE é um dos pilares da abordagem europeia para a inovação centrada no ser humano. Está a converter-se na base regulamentar de um conjunto crescente de políticas, designadamente nos domínios da saúde e investigação, inteligência artificial, transportes, energia, concorrência e aplicação da lei. A Comissão tem salientado repetidamente a importância da aplicação e do cumprimento adequados das novas regras de proteção de dados, conforme sublinhou na sua Comunicação sobre a aplicação do RGPD, publicada em janeiro de 2018, e nas suas orientações sobre a utilização de dados pessoais no contexto eleitoral, publicadas em setembro de 2018 9 . À data da presente comunicação, foram já realizados numerosos progressos para alcançar esse objetivo, embora seja necessário certamente continuar a trabalhar para que o RGPD fique totalmente operacional.
II.Um continente, uma única legislação: o quadro de proteção de dados está instaurado nos Estados-Membros
Um dos objetivos principais do RGPD consistia em acabar com um panorama fragmentado de 28 legislações nacionais diferentes que existiam ao abrigo da anterior Diretiva de proteção de dados 10 e garantir segurança jurídica aos cidadãos e às empresas em toda a UE. Esse objetivo foi em grande medida cumprido.
Harmonização do quadro jurídico
Embora o RGPD seja diretamente aplicável nos Estados-Membros, obrigou-os a adotar uma série de medidas jurídicas a nível nacional, nomeadamente para definir e atribuir poderes às autoridades nacionais de proteção de dados 11 , estabelecer regras sobre questões específicas, como a conciliação da proteção de dados pessoais com a liberdade de expressão e de informação, e alterar ou revogar legislação setorial com aspetos relacionados com a proteção de dados. À data da presente comunicação, todos os Estados-Membros tinham atualizado a sua legislação nacional de proteção de dados com exceção de três 12 . Os trabalhos de adaptação das leis setoriais estão ainda em curso a nível nacional. Após a sua incorporação no Acordo sobre o Espaço Económico Europeu, a aplicação do RGPD estendeu-se à Noruega, à Islândia e ao Listenstaine, que também adotaram as respetivas legislações nacionais de proteção de dados.
Contudo, as partes interessadas apelam a um nível de harmonização ainda mais elevado em alguns domínios 13 . Efetivamente, o RGPD permite aos Estados-Membros uma certa margem para aprofundar a sua aplicação em determinados domínios, designadamente a idade de consentimento para os menores acederem a serviços em linha 14 ou o tratamento de dados pessoais em domínios como a medicina e a saúde pública. Neste caso, a ação dos Estados-Membros é condicionada por dois aspetos:
I)Qualquer legislação nacional específica tem de cumprir os requisitos da Carta de Direitos Fundamentais 15 (e não deve ultrapassar os limites estabelecidos pelo RGPD que tem por base a Carta);
II)Não pode interferir com a livre circulação de dados pessoais na UE 16 .
Em alguns casos, os Estados-Membros introduziram requisitos nacionais adicionais ao RGPD, em especial através de muitas leis setoriais, o que se traduz numa fragmentação e na criação de ónus desnecessários. O exemplo de um requisito adicional introduzido por um Estado-Membro, que ultrapassa o alcance das disposições do RGPD, é a obrigação imposta pela legislação alemã de nomear um responsável pela proteção de dados em empresas com 20 ou mais funcionários, envolvido permanentemente no tratamento automatizado de dados pessoais.
Esforços permanentes para alcançar uma maior harmonização
A Comissão participa em diálogos bilaterais com as autoridades nacionais, prestando especial atenção às medidas nacionais relativas aos seguintes aspetos:
·A independência efetiva das autoridades de proteção de dados, graças a recursos adequados a nível financeiro, humano e técnico;
·A forma como as leis nacionais limitam os direitos dos titulares de dados;
·O facto de a legislação nacional não dever introduzir requisitos que excedam o disposto no RGPD, quando não houver margem para a especificação, por exemplo, condições adicionais para o tratamento;
·Cumprimento da obrigação de conciliar o direito de proteção de dados pessoais com a liberdade de expressão e de informação, tendo em conta que esta obrigação não deve ser utilizada abusivamente para criar um efeito inibidor no trabalho jornalístico.
Os trabalhos das autoridades de proteção de dados que cooperam a nível do Comité Europeu para a Proteção de Dados («Comité»), é um fator determinante para impulsionar a aplicação coerente das novas regras: as medidas de execução que interessam vários Estados-Membros passam pelo mecanismo de cooperação e coerência 17 a nível do Comité, enquanto as orientações adotadas por este órgão contribuem para uma compreensão harmonizada do RGPD. Não obstante, as partes interessadas esperam que as autoridades de proteção de dados aprofundem a sua ação nesse sentido.
O trabalho dos tribunais nacionais e do Tribunal de Justiça da União Europeia também está a ajudar a consolidar uma interpretação coerente das regras de proteção de dados. Os tribunais nacionais proferiram recentemente acórdãos que invalidam disposições das legislações nacionais que contrariam o RGPD 18 .
III.Todas as peças do novo sistema de governação começam a encaixar-se
O RGPD criou uma nova estrutura de governação, colocando no seu centro as autoridades nacionais de proteção de dados independentes como garantes do seu cumprimento e primeiro ponto de contacto para as partes interessadas. Embora a maioria das autoridades de proteção de dados tenha beneficiado no último ano do aumento de recursos, continuam a existir grandes diferenças entre os Estados-Membros 19 .
As autoridades de proteção de dados utilizam os seus novos poderes
O RGPD prevê poderes de execução reforçados para as autoridades de proteção de dados. Contrariamente aos receios manifestados por algumas partes interessadas antes de maio de 2018, as autoridades nacionais de proteção de dados adotaram uma abordagem equilibrada em relação aos poderes de execução. Centraram a sua atenção sobretudo no diálogo e não nas sanções, especialmente no caso dos operadores de menor dimensão cuja atividade principal não é o tratamento de dados pessoais. Ao mesmo tempo, não se coibiram de utilizar os seus novos poderes com eficácia sempre que necessário, incluindo a abertura de investigações no contexto das redes sociais 20 e a imposição de coimas, cujos valores oscilaram entre alguns milhares e vários milhões de euros, consoante a gravidade das infrações às regras de proteção de dados.
Exemplos de coimas impostas pelas autoridades de proteção de dados 21 :
·5 000 EUR a um café de apostas desportivas na Áustria, devido a videovigilância ilícita;
·220 000 EUR a uma empresa mediadora de dados na Polónia, por não informar as pessoas de que os respetivos dados estavam a ser tratados;
·250 000 EUR à liga espanhola de futebol, LaLiga, por falta de transparência na conceção da sua aplicação para telefones móveis;
·50 milhões de EUR à Google em França, devido às condições para obter o consentimento dos utilizadores.
Durante as investigações, é essencial que as autoridades de proteção de dados recolham elementos de prova suficientes, respeitem todos os trâmites processuais ao abrigo da legislação nacional e garantam um processo equitativo em casos que são frequentemente complexos. Tal requer tempo e implica um volume considerável de trabalho, o que explica a razão por que a maioria das investigações iniciadas depois da entrada em vigor do RGPD ainda não estão concluídas.
Não obstante, o sucesso do RGPD não deve medir-se em função do número de coimas impostas, mas sobretudo pelas alterações registadas na cultura e no comportamento de todos os intervenientes envolvidos. Neste contexto, as autoridades de proteção de dados dispõem de outras ferramentas, por exemplo, a imposição de uma limitação do tratamento, temporária ou definitiva, incluindo a sua proibição, ou a suspensão dos fluxos de dados para um destinatário situado num país terceiro 22 .
Algumas autoridades de proteção de dados criaram novas ferramentas, designadamente linhas de apoio e conjuntos de ferramentas para empresas, enquanto outras desenvolveram abordagens inovadoras, tais como ambientes de teste da regulamentação 23 para ajudar as empresas nos seus esforços de cumprimento das normas. No entanto, várias partes interessadas continuam a considerar que não receberam apoio e informações suficientes, nomeadamente as pequenas e médias empresas em alguns Estados-Membros 24 . Para ajudar a corrigir esta situação, a Comissão concede subvenções às autoridades de proteção de dados para lhes permitir realizar atividades de divulgação entre as partes interessadas, em especial as pequenas e médias empresas 25 .
O Comité Europeu para a Proteção de Dados está operacional
As autoridades de proteção de dados intensificaram os seus trabalhos no âmbito do Comité Europeu para a Proteção de Dados 26 . Em seu resultado, o Comité conseguiu adotar cerca de 20 orientações sobre aspetos essenciais do RGPD 27 . As futuras áreas de trabalho do Comité são apresentadas num programa de dois anos 28 , conforme exigido pelo RGPD.
Em casos transnacionais, cada autoridade de proteção de dados deixa de ser uma mera autoridade nacional, pois participa num processo de alcance verdadeiramente europeu em todas as etapas, desde a investigação até à decisão. Esta cooperação estreita converteu-se numa prática corrente: até ao final de junho de 2019, tinham sido geridos 516 casos transnacionais através do mecanismo de cooperação.
A Comissão contribui ativamente para os trabalhos do Comité 29 , a fim de promover a letra e o espírito do RGPD e chamar a atenção para os princípios gerais do direito da UE 30 .
Rumo à criação de uma cultura de proteção de dados na UE
O novo sistema de governação ainda necessita de concretizar todo o seu potencial. É importante que o Comité continue a simplificar o seu processo de tomada de decisões e desenvolva entre os seus membros uma cultura comum de proteção de dados. A eventual conjugação de esforços entre autoridades de proteção de dados 31 em matérias importantes para mais de um Estado-Membro, por exemplo, a realização de investigações e a adoção de medidas de execução conjuntas, pode contribuir para esse objetivo, reduzindo simultaneamente as limitações em termos de recursos.
Muitas partes interessadas pretendem ver reforçada a cooperação e adotada uma abordagem uniforme pelas autoridades de proteção de dados 32 . Também exigem mais coerência no aconselhamento prestado pelas autoridades de proteção de dados 33 , bem como o pleno alinhamento das orientações nacionais com as do Comité. Algumas partes interessadas também esperam uma maior clarificação sobre conceitos essenciais do RGPD, por exemplo, a abordagem baseada nos riscos, tendo especialmente em conta as preocupações, nomeadamente, das pequenas e médias empresas.
Neste contexto, é essencial permitir um melhor contributo das partes interessadas para os trabalhos do Comité. É por este motivo que a Comissão acolhe favoravelmente a consulta pública sistemática organizada pelo Comité sobre as orientações. Esta prática, juntamente com a organização de seminários com as partes interessadas sobre temas específicos numa fase inicial da reflexão, deveria prosseguir e ser amplificada para garantir a transparência, o caráter inclusivo e a relevância dos trabalhos do Comité.
IV.As pessoas exercem os seus direitos mas a sensibilização deve continuar
Outro objetivo fundamental do RGPD consistia em reforçar os direitos das pessoas. Este regulamento é amplamente reconhecido pelas associações de direitos civis e organizações de defesa dos consumidores como um contributo importante para uma sociedade digital justa assente na confiança mútua.
Um conhecimento mais profundo dos direitos em matéria de proteção de dados
Os cidadãos na UE têm um conhecimento cada vez maior das regras em matéria de proteção de dados e dos seus direitos: 67 % dos inquiridos num Eurobarómetro realizado em maio de 2019 34 conhecem o RGPD, 57 % desses inquiridos sabem que existe uma autoridade nacional de proteção de dados à qual podem recorrer para obter informações ou apresentar reclamações e 73 % ouviu falar de, pelo menos, um dos direitos conferidos por este regulamento. No entanto, um número considerável de pessoas na UE ainda não tomou medidas ativas para proteger os seus dados pessoais quando utiliza a Internet. Por exemplo, 44 % das pessoas não alteraram os seus parâmetros de privacidade predefinidos nas redes sociais.
As pessoas exercem cada vez mais os seus direitos
Este conhecimento crescente dos direitos levou as pessoas a exercê-los cada vez mais, quer através dos serviços de consulta para clientes, quer do recurso mais frequente às autoridades de proteção de dados para solicitar informações ou apresentar reclamações 35 . As empresas indicam igualmente que os pedidos de acesso aos dados pessoais aumentaram em vários setores, como a banca e as telecomunicações. Também aumentou a frequência com que as pessoas retiram o seu consentimento e exercem o direito de oposição à publicidade comercial 36 .
Não obstante, alguns operadores comunicaram a existência de mal-entendidos por parte dos particulares sobre as regras de proteção de dados, como a crença de que devem dar o seu consentimento a todo o tipo de tratamento, ou que o direito ao apagamento é absoluto (embora, por exemplo, os operadores sejam obrigados, por vezes, a conservar os dados pessoais por força de obrigações legais) 37 . Por seu lado, as organizações da sociedade civil queixam-se de que algumas empresas e autoridades de proteção de dados demoram muito a responder.
De realçar que foram iniciadas várias ações coletivas por parte de organizações não governamentais, após serem mandatadas para o efeito por particulares, fazendo uso da nova possibilidade ao abrigo do RGPD 38 . O recurso a ações coletivas teria sido mais fácil se um número maior de Estados-Membros tivesse utilizado a possibilidade prevista no RGPD de permitir às organizações não governamentais iniciarem ações sem um mandato 39 .
Necessidade de dar continuidade aos esforços de sensibilização
O diálogo e os esforços de sensibilização dirigidos ao público em geral devem, portanto, continuar a nível nacional e da UE. Para este efeito, em julho de 2019 40 , a Comissão iniciou uma nova campanha em linha para incentivar as pessoas a lerem as declarações de privacidade e a otimizarem as suas definições de privacidade.
V.As empresas estão a adaptar as suas práticas
O RGPD visa apoiar as empresas no quadro da economia digital, proporcionando soluções com garantia de futuro. Em geral, as empresas acolheram favoravelmente o princípio de responsabilização previsto no referido regulamento, que se afasta da anterior abordagem ex ante bastante complexa (supressão dos requisitos de notificação, obrigações moduláveis, flexibilidade do princípio de proteção de dados desde a conceção e por defeito, permitindo a concorrência com base em soluções respeitadoras da privacidade). Ao mesmo tempo, algumas empresas reclamam maior segurança jurídica e orientações adicionais ou mais claras por parte das autoridades de proteção de dados 41 .
Gestão correta dos dados
Embora as empresas tenham comunicado que a adaptação às novas regras 42 colocava uma série de problemas, muitas sublinham que tal constitui igualmente uma oportunidade para chamar a atenção dos conselhos de administração para a questão da proteção de dados, para efetuar uma reorganização quanto aos dados que estão na sua posse, melhorar a segurança e a preparação para incidentes, reduzir a exposição a riscos desnecessários e desenvolver relações de maior confiança com os seus clientes e parceiros comerciais. No que diz respeito à transparência, as empresas e as organizações da sociedade civil mencionam o equilíbrio delicado que é necessário atingir entre dar às pessoas todas as informações exigidas ao abrigo do RGPD e a utilização, em simultâneo, de uma linguagem clara e simples e de uma forma que as pessoas consigam compreender. Os operadores estão a desenvolver soluções inovadoras neste sentido.
Em geral, as empresas indicaram que tinham capacidade para aplicar os novos direitos dos titulares de dados, embora por vezes sentissem dificuldade em cumprir os prazos, devido ao aumento do número de pedidos e ao seu caráter mais abrangente 43 , ou em verificar a identidade do autor do pedido.
Impacto sobre a inovação
O RGPD não só permite como até incentiva o desenvolvimento de novas tecnologias, respeitando o direito fundamental à proteção dos dados pessoais. É este o caso em domínios como a inteligência artificial.
As empresas começaram a desenvolver a sua oferta de novos serviços mais respeitadores da privacidade. Por exemplo, os motores de busca que não efetuam o seguimento dos utilizadores ou utilizam publicidade baseada no comportamento estão a conquistar uma quota de mercado cada vez maior em alguns Estados-Membros. Outras empresas estão a desenvolver serviços baseados nos novos direitos concedidos às pessoas, por exemplo, a portabilidade dos seus dados pessoais. Um número crescente de empresas tem vindo a promover o respeito pelos dados pessoais como fator diferenciador em termos concorrenciais e um argumento de vendas. Estes desenvolvimentos não se limitam à UE, abrangendo também economias estrangeiras muito inovadoras 44 .
A situação específica das micro e pequenas empresas de «baixo risco»
Embora a situação varie consoante os Estados-Membros, as micro e pequenas empresas 45 que não tratam dados pessoais como atividade principal figuram entre as partes interessadas com mais dúvidas sobre a aplicação do RGPD. Embora esta situação aparentemente se deva, em parte, ao desconhecimento das regras de proteção de dados, por vezes a preocupação manifestada também é exacerbada por campanhas de consultoras que pretendem prestar aconselhamento pago, pela propagação de informações incorretas, por exemplo, sobre a necessidade de obter sistematicamente o consentimento das pessoas 46 , bem como por requisitos adicionais impostos a nível nacional.
Neste contexto, as micro e pequenas empresas reclamam orientações adaptadas à sua situação específica juntamente com informações sobretudo práticas. Algumas autoridades de proteção de dados já o fizeram a nível nacional 47 . Para completar as iniciativas nacionais, a Comissão publicou material informativo para ajudar essas empresas a cumprirem as novas regras através de várias etapas práticas 48 .
Utilização do conjunto de ferramentas previsto pelo RGPD
O RGPD prevê ferramentas para demonstrar o cumprimento, como as cláusulas contratuaistipo, códigos de conduta e os mecanismos de certificação recentemente introduzidos.
As cláusulas contratuais-tipo são cláusulas modelo que podem ser incluídas voluntariamente num contrato, por exemplo, entre um responsável pelo tratamento de dados e um subcontratante, e que estabelecem as obrigações das partes contratantes por força do RGPD. Este regulamento alarga as possibilidades de utilizar cláusulas contratuais-tipo tanto para as transferências internacionais como a nível da UE 49 . No âmbito das transferências internacionais, a sua ampla utilização indica 50 que são muito úteis para as empresas nos seus esforços de cumprimento, sendo especialmente vantajosas para as empresas que não dispõem de recursos para negociar contratos individuais com cada um dos seus encarregados do tratamento de dados.
Vários setores também veem a adoção de cláusulas contratuais-tipo como uma forma útil de fomentar a harmonização, especialmente quando é a Comissão a adotá-las. A Comissão trabalhará em conjunto com as partes interessadas para aproveitar as possibilidades previstas no RGPD e atualizar as cláusulas existentes.
A adesão a códigos de conduta é outra ferramenta operacional e prática ao dispor da indústria para facilitar a demonstração do cumprimento do RGPD 51 . Esses códigos devem ser elaborados por associações profissionais ou órgãos que representem categorias de responsáveis pelo tratamento e subcontratantes, e devem descrever de que modo as regras de proteção de dados podem ser aplicadas num setor específico. Ao alinhar as obrigações com os riscos 52 , também podem revelar-se uma forma muito útil e rentável de permitir às pequenas e médias empresas cumprirem as suas obrigações.
Por último, a certificação também pode ser um instrumento útil para demonstrar o cumprimento dos requisitos específicos do RGPD e pode aumentar a segurança jurídica para as empresas e promover este regulamento a nível mundial. As orientações sobre a certificação e a acreditação 53 , adotadas recentemente pelo Comité Europeu para a Proteção de Dados, permitirão o desenvolvimento de regimes de certificação na UE. A Comissão acompanhará o conjunto desses desenvolvimentos e, se for adequado, utilizará as competências que lhe confere o RGPD para enquadrar os requisitos respeitantes à certificação. A Comissão também poderá apresentar um pedido de normalização aos organismos de normalização da UE sobre os elementos relevantes para este regulamento.
VI.A convergência ascendente progride a nível internacional
A exigência em termos de proteção dos dados pessoais não se limita à UE. Conforme demonstra um inquérito recente de âmbito mundial sobre a segurança na Internet, o défice de confiança está a piorar em todo o mundo, levando as pessoas a mudar o seu comportamento em linha 54 . Um número crescente de empresas está a responder a estas preocupações ao alargar voluntariamente os direitos criados pelo RGPD aos seus clientes situados em países terceiros.
Além disso, à medida que os países de todo o mundo enfrentam com maior frequência desafios semelhantes, estão a dotar-se de novas regras de proteção de dados ou a modernizar as existentes. Essas disposições legislativas apresentam características comuns com o regime de proteção de dados da UE, por exemplo, uma legislação abrangente em vez de regras setoriais, direitos individuais oponíveis e uma autoridade de controlo independente. Esta tendência é verdadeiramente mundial e estende-se desde a Coreia do Sul ao Brasil, do Chile à Tailândia e da Índia à Indonésia. A adesão cada vez mais universal à «Convenção 108» do Conselho da Europa 55 – modernizada recentemente 56 com um contributo significativo da Comissão – é outro sinal claro desta tendência de convergência ascendente.
Promoção de fluxos de dados seguros e livres através de decisões de adequação e de outros meios
A convergência que se está a desenvolver possibilita novas oportunidades para facilitar os fluxos de dados e, por conseguinte, o comércio, bem como a cooperação entre autoridades públicas, melhorando simultaneamente o nível de proteção dos dados das pessoas na UE quando são transferidos para o estrangeiro.
A Comissão, na aplicação da estratégia estabelecida na sua Comunicação de 2017 intitulada «Intercâmbio e proteção de dados pessoais num mundo globalizado» 57 , intensificou a colaboração com países terceiros e outros parceiros internacionais, tendo por base os elementos de convergência entre sistemas de privacidade e aprofundando-os. Tal incluía examinar a possibilidade de adotar decisões de adequação com determinados países terceiros 58 . Este trabalho produziu resultados importantes, concretamente a entrada em vigor, em fevereiro de 2019, do acordo de adequação mútua entre a UE e o Japão que criou a maior área mundial de fluxos de dados livres e seguros. As negociações sobre a adequação com a Coreia do Sul estão numa fase avançada e decorrem trabalhos exploratórios com vista ao início de conversações sobre a adequação com vários países latino-americanos, como o Chile ou o Brasil, dependendo da conclusão dos processos legislativos em curso. Os desenvolvimentos também são promissores em certas regiões da Ásia, como a Índia, a Indonésia e Taiwan, bem como nos países vizinhos do Leste e do Sul da Europa, que podem levar à adoção futura de decisões de adequação.
Simultaneamente, a Comissão congratula-se com o facto de outros países que instauraram instrumentos de transferência semelhantes à decisão de adequação do RGPD tenham reconhecido que a UE, bem como os países que esta reconhece como «adequados», assegura o nível exigido de proteção 59 . Esta situação apresenta potencial para criar uma rede de países onde os dados podem circular livremente.
Em paralelo, estão em curso trabalhos intensos com países terceiros, como o Canadá, a Nova Zelândia, a Argentina e Israel, para garantir a continuidade, ao abrigo do RGPD, das decisões de adequação adotadas com base na Diretiva relativa à proteção de dados de 1995. Entretanto, o Escudo de Proteção da Privacidade UE-EUA também demonstrou ser uma ferramenta útil para garantir fluxos de dados transatlânticos baseados num nível elevado de proteção, com a participação de mais de 4 700 empresas 60 . A sua reapreciação anual garante a verificação regular do correto funcionamento do enquadramento e a resolução atempada de eventuais problemas.
Uma vez que não existe uma solução única para os fluxos de dados, a Comissão também está a trabalhar com as partes interessadas e o Comité a fim de tirar partido de todo o potencial das ferramentas do RGPD para as transferências internacionais. Esses trabalhos dizem respeito a instrumentos como as cláusulas contratuais-tipo, o desenvolvimento de regimes de certificação, códigos de conduta ou acordos administrativos para organismos públicos. Nesse sentido, a Comissão está interessada na troca de experiências e boas práticas com outros sistemas que podem ter desenvolvido um conhecimento técnico específico relativamente a algumas dessas ferramentas. A Comissão irá ponderar a utilização dos poderes que lhe confere o RGPD no que respeita a essas ferramentas de transferência, especialmente as cláusulas contratuais-tipo.
Para além das ferramentas puramente bilaterais, também pode ser interessante explorar se países com posições análogas poderiam estabelecer um quadro plurinacional neste domínio, num momento em que os fluxos de dados constituem um componente cada vez mais importante do comércio, das comunicações e das interações sociais. Um instrumento desta natureza permitiria a livre circulação de dados entre as partes contratantes, garantindo em simultâneo o nível de proteção exigido, com base em valores partilhados e sistemas convergentes. Poderia ser desenvolvido, por exemplo, a partir da Convenção 108 modernizada, ou inspirando-se na iniciativa «Fluxo de dados livre baseado na confiança» lançada pelo Japão no início deste ano.
Desenvolvimento de novas sinergias entre instrumentos comerciais e de proteção de dados
Ao mesmo tempo que promove a convergência das normas de proteção de dados a nível internacional, a Comissão também está decidida a tratar o protecionismo digital. Nesse sentido, elaborou disposições específicas sobre fluxos de dados e proteção de dados em acordos comerciais que apresenta sistematicamente nas suas negociações bilaterais e multilaterais, como é o caso das atuais conversações sobre comércio eletrónico no âmbito da OMC. Estas disposições horizontais excluem medidas puramente protecionistas, como os requisitos de localização forçada de dados, preservando em simultâneo a autonomia regulamentar das partes para proteger o direito fundamental à proteção de dados.
Embora os diálogos sobre a proteção de dados e as negociações comerciais devam continuar a seguir vias separadas, podem ser complementares: o acordo de adequação mútua UE-Japão constitui o melhor exemplo dessas sinergias, facilitando ainda mais as trocas comerciais e amplificando assim os benefícios do Acordo de Parceria Económica. Com efeito, este tipo de convergência, baseada em valores partilhados e normas rigorosas, apoiada por uma execução efetiva, proporciona uma base mais sólida para o intercâmbio de dados pessoais, aspeto que é cada vez mais reconhecido pelos nossos parceiros internacionais 61 . Uma vez que a atividade das empresas tem um caráter cada vez mais internacional e estas preferem que sejam aplicados conjuntos de normas similares às suas operações comerciais em todo o mundo, tal convergência ajuda a criar um ambiente propício ao investimento direto, facilitando o comércio e melhorando a confiança entre parceiros comerciais.
Facilitar o intercâmbio de informações para lutar contra a criminalidade e o terrorismo com base em garantias adequadas
Uma maior compatibilidade entre os regimes de proteção de dados também pode facilitar consideravelmente as imprescindíveis trocas de informação entre autoridades reguladoras, policiais e judiciais da UE e estrangeiras, contribuindo assim para uma cooperação policial e judiciária mais efetiva e rápida 62 . Nesse sentido, a Comissão pondera recorrer à possibilidade de adotar decisões de adequação ao abrigo da Diretiva sobre a proteção de dados na aplicação da lei para aprofundar a sua cooperação com parceiros importantes na luta contra a criminalidade e o terrorismo. Além disso, o Acordo-Quadro UE-EUA 63 , que entrou em vigor em fevereiro de 2017, pode servir de modelo para acordos semelhantes com outros parceiros importantes em matéria de segurança.
Outros exemplos que assinalam a importância de dispor de normas elevadas de proteção de dados como base para uma cooperação policial e judiciária estável com países terceiros são a transferência dos registos de identificação de passageiros 64 e o intercâmbio de informações operacionais entre a Europol e parceiros internacionais importantes. Neste sentido, estão atualmente em curso, ou prestes a iniciar-se, negociações sobre acordos internacionais com vários países da vizinhança meridional 65 .
Garantias sólidas em matéria de proteção de dados serão também um componente essencial de qualquer acordo futuro sobre o acesso transnacional a provas eletrónicas no âmbito de investigações penais a nível bilateral (acordo UE-EUA) ou multilateral (Segundo Protocolo Adicional à Convenção de Budapeste do Conselho da Europa sobre a Cibercriminalidade) 66 .
Promoção da cooperação entre os responsáveis pela aplicação da proteção de dados
Num momento em que os problemas de respeito da privacidade ou os incidentes de segurança podem afetar simultaneamente um grande número de pessoas em várias jurisdições, formas de cooperação mais estreitas entre as autoridades de controlo a nível internacional podem ajudar a garantir uma proteção mais eficaz dos direitos individuais e um ambiente mais estável para os operadores comerciais. Neste contexto, e mantendo o contacto permanente com o Comité, a Comissão examinará vias de facilitar a cooperação e a assistência mútua ao nível da aplicação entre a UE e as autoridades de controlo estrangeiras, recorrendo nomeadamente aos novos poderes previstos pelo RGPD neste domínio 67 . Tal poderia abranger diferentes formas de cooperação, desde o desenvolvimento de ferramentas interpretativas ou práticas comuns 68 até ao intercâmbio de informações sobre investigações em curso.
Por último, a Comissão também tenciona intensificar o seu diálogo com organizações e redes regionais, por exemplo, a Associação das Nações do Sudeste Asiático (ANASE), a União Africana, o Fórum das Autoridades de Privacidade da Ásia-Pacífico (APPA) ou a Rede Ibero-Americana de Proteção de Dados, cujo papel é cada vez mais importante na definição de normas comuns de proteção de dados, e promover o intercâmbio de boas práticas e a cooperação entre as entidades responsáveis pela aplicação. A Comissão trabalhará igualmente com a Organização para a Cooperação e o Desenvolvimento Económico e a Organização de Cooperação Económica da Ásia-Pacífico para promover a convergência no sentido de um nível elevado de proteção de dados.
VII.A legislação em matéria de proteção de dados como parte integrante de um vasto conjunto de políticas
A proteção de dados pessoais está garantida e integrada em várias políticas da União.
Telecomunicações e serviços de comunicações eletrónicas
Em janeiro de 2017, a Comissão adotou a sua proposta de regulamento relativo à privacidade e às comunicações eletrónicas 69 . A proposta tem como objetivo proteger não só a confidencialidade das comunicações, conforme previsto na Carta de Direitos Fundamentais, mas também os dados pessoais que possam fazer parte de uma comunicação, bem como os equipamentos terminais dos utilizadores finais.
A proposta de regulamento sobre a privacidade eletrónica especifica e complementa o RGPD, ao estabelecer normas específicas para os objetivos citados. Moderniza as atuais regras da UE em matéria de privacidade eletrónica 70 para refletir a evolução tecnológica e jurídica. Reforça a privacidade das pessoas ao alargar o âmbito de aplicação das novas regras a fim de abrangerem igualmente os fornecedores de serviços de comunicações OTT (over-the-top, ou seja, conteúdos audiovisuais em linha), criando assim igualdade de condições para todos os serviços de comunicações eletrónicas. O Parlamento Europeu já adotou um mandato para iniciar conversações tripartidas em outubro de 2017, mas o Conselho ainda não chegou a acordo sobre uma abordagem geral. A Comissão permanece totalmente empenhada no Regulamento sobre a privacidade eletrónica e apoiará os colegisladores nos seus esforços para promover uma rápida adoção da proposta de regulamento.
Saúde e investigação
Facilitar o intercâmbio de dados relativos à saúde entre os Estados-Membros, que são dados sensíveis ao abrigo do RGPD, reveste-se de importância crescente no domínio da saúde pública por razões de interesse geral. Tal inclui a prestação de cuidados de saúde ou tratamento, a proteção contra ameaças transnacionais graves para a saúde e garantir níveis elevados de qualidade e segurança nos cuidados de saúde, bem como nos medicamentos ou dispositivos médicos. O RGPD estabelece as normas que garantem que o tratamento e o intercâmbio de dados relativos à saúde são lícitos e fidedignos em toda a UE. Estas normas também se aplicam ao acesso por terceiros aos dados médicos dos doentes, incluindo os dados contidos no seu historial médico, receitas eletrónicas e, a longo prazo, nos registos de saúde eletrónicos completos, bem como a respetiva utilização para fins de investigação científica. No domínio específico dos ensaios clínicos, a Comissão também elaborou um documento de perguntas e respostas específicas sobre a interação entre o Regulamento sobre Ensaios Clínicos 71 e o Regulamento Geral sobre a Proteção de Dados 72 .
Inteligência artificial (IA)
À medida que a IA adquire importância estratégica, é essencial elaborar normas internacionais relativas ao seu desenvolvimento e utilização. Para promover o desenvolvimento e utilização da IA, a Comissão optou por uma abordagem centrada no ser humano, o que implica que as aplicações de IA têm de respeitar os direitos fundamentais 73 . Neste contexto, as normas estabelecidas no RGPD fornecem um quadro geral e incluem obrigações e direitos específicos de especial relevância para o tratamento de dados pessoais no contexto da IA. Por exemplo, o RGPD inclui o direito de não ser objeto de uma decisão baseada unicamente no tratamento automatizado, exceto em determinadas situações 74 . Também inclui requisitos de transparência específicos sobre o recurso à tomada de decisões automatizadas, nomeadamente, a obrigação de informar sobre a existência dessas decisões, de fornecer informações úteis e explicar a sua importância, bem como as consequências previstas do tratamento para a pessoa em causa 75 . Estes princípios fundamentais do RGPD foram reconhecidos pelo grupo de peritos de alto nível sobre a IA 76 , a Organização para a Cooperação e o Desenvolvimento Económico 77 e o G20 78 como sendo especialmente relevantes para enfrentar os desafios e oportunidades decorrentes da IA. O Comité Europeu para a Proteção de Dados identificou a IA como um dos temas possíveis no seu programa de trabalho para 2019-2020 79 .
Transportes
O desenvolvimento de automóveis conectados e cidades inteligentes depende cada vez mais do tratamento e intercâmbio de grande quantidade de dados pessoais entre várias partes, incluindo os automóveis, os seus fabricantes, os prestadores de serviços telemáticos e as autoridades públicas responsáveis pela infraestrutura rodoviária. Este ambiente com várias partes, implica uma certa complexidade na atribuição de funções e responsabilidades aos vários intervenientes envolvidos no tratamento de dados pessoais, bem como em relação ao modo como assegurar a licitude do tratamento por todos os intervenientes. O cumprimento do RGPD e da legislação sobre privacidade e comunicações eletrónicas é essencial para implantar satisfatoriamente sistemas de transporte inteligentes em todos os meios de transporte, bem como para disseminar as ferramentas e serviços digitais que possibilitem uma maior mobilidade de pessoas e mercadorias 80 .
Energia
O desenvolvimento de soluções digitais no setor da energia depende cada vez mais do tratamento de dados pessoais. A legislação adotada como parte do pacote «Energias limpas para todos os europeus» 81 inclui novas disposições que permitem a digitalização do setor da eletricidade e normas sobre o acesso aos dados, a gestão de dados e a interoperabilidade que permitem o tratamento de dados dos consumidores em tempo real para garantir poupanças e incentivar a autogeração e a participação no mercado da energia. Por conseguinte, o respeito das regras de proteção de dados reveste grande importância para a aplicação satisfatória das referidas disposições.
Concorrência
O tratamento de dados pessoais é um elemento que tem cada vez mais relevância na política de concorrência 82 . Tendo em conta que as autoridades de proteção de dados são as únicas incumbidas de avaliar uma violação das regras de proteção de dados, as autoridades da concorrência, de defesa dos consumidores e de proteção de dados cooperam e continuarão a fazê-lo, quando necessário, no âmbito do cruzamento das respetivas competências. A Comissão promoverá essa cooperação e acompanhará de perto a sua evolução.
Contexto eleitoral
A Comissão, nas suas orientações sobre a utilização de dados pessoais no contexto eleitoral 83 , publicadas em setembro de 2018, no âmbito do pacote de medidas eleitorais 84 , chamou a atenção sobre normas de especial importância para os intervenientes envolvidos em eleições, incluindo questões relativas ao micro-direcionamento de eleitores. O Comité Europeu para a Proteção de Dados já tomou em conta estas orientações no âmbito de uma declaração 85 e várias autoridades de proteções de dados publicaram orientações a nível nacional. O pacote eleitoral também incluiu um apelo a todos os Estados-Membros para que criassem uma rede eleitoral nacional, envolvendo as autoridades nacionais competentes em questões eleitorais e as entidades responsáveis pela supervisão e aplicação das regras, por exemplo, as autoridades de proteção de dados, nas atividades em linha com relevância para as eleições. Também foram adotadas novas medidas para introduzir sanções aplicáveis às infrações das regras de proteção de dados por parte de partidos políticos europeus e fundações políticas europeias. A Comissão recomendou aos Estados-Membros a adoção da mesma estratégia a nível nacional. A avaliação das eleições para o Parlamento Europeu de 2019, cuja publicação está prevista para outubro de 2019, também terá em conta aspetos relativos à proteção de dados.
Aplicação da lei
A realização de uma União da Segurança eficaz e genuína só pode concretizar-se respeitando plenamente os direitos fundamentais consagrados na Carta da UE e na legislação derivada da União Europeia, incluindo as garantias adequadas em matéria de proteção de dados a fim de permitir o intercâmbio seguro de dados pessoais para fins de aplicação da lei. Qualquer limitação do direito fundamental à privacidade e à proteção de dados está sujeita a critérios estritos em matéria de necessidade e proporcionalidade.
VIII.Conclusões
Com base nas informações disponíveis até à data e no diálogo com as partes interessadas, a Comissão considera na sua avaliação preliminar que o primeiro ano de aplicação do RGPD foi globalmente positivo. Não obstante, conforme decorre da presente comunicação, são necessários mais progressos em vários domínios.
Aplicar e completar do quadro jurídico:
·Os três Estados-Membros que ainda não atualizaram a sua legislação nacional em matéria de proteção de dados deverão fazê-lo com urgência. Todos os Estados-Membros devem concluir o alinhamento da sua legislação setorial com os requisitos do RGPD.
·A Comissão utilizará o conjunto dos instrumentos ao seu dispor, incluindo procedimentos de infração, para garantir que todos os Estados-Membros respeitam o RGPD e limitar qualquer fragmentação do quadro de proteção de dados.
Aproveitar todo o potencial do novo sistema de governação:
·Os Estados-Membros devem atribuir recursos suficientes a nível financeiro, humano e técnico às autoridades nacionais de proteção de dados.
·As autoridades de proteção de dados devem intensificar a sua cooperação, por exemplo, realizando investigações conjuntas. Os Estados-Membros devem facilitar a realização dessas investigações.
·O Comité deve continuar a desenvolver uma cultura de proteção de dados na UE e a utilizar plenamente as ferramentas previstas no RGPD para garantir uma aplicação harmonizada das normas. Deve continuar a trabalhar nas suas orientações, especialmente as dirigidas às pequenas e médias empresas.
·Os conhecimentos técnicos do secretariado do Comité devem ser reforçados para apoiar e liderar o seu trabalho mais eficazmente.
·A Comissão continuará a apoiar as autoridades de proteção de dados e o Comité, em especial participando ativamente nas atividades do Comité e chamando a sua atenção para os requisitos do direito da UE na aplicação do RGPD.
·A Comissão apoiará a interação entre as autoridades de proteção de dados e outras autoridades, designadamente no domínio da concorrência, respeitando integralmente as respetivas competências.
Apoiar e envolver as partes interessadas:
·O Comité deve melhorar a forma como envolve as partes interessadas nos seus trabalhos. A Comissão continuará a apoiar financeiramente as autoridades de proteção de dados para as ajudar a comunicar com as partes interessadas.
·A Comissão continuará a desenvolver as suas atividades de sensibilização e o seu trabalho com as partes interessadas.
Promover a convergência internacional:
·A Comissão intensificará o seu diálogo sobre a adequação com os principais parceiros que reúnam as condições para esse efeito, incluindo no domínio da aplicação da lei. Em especial, tenciona concluir as negociações em curso com a Coreia do Sul nos próximos meses. Em 2020 informará sobre as 11 decisões de adequação adotadas ao abrigo da Diretiva sobre a proteção de dados.
·A Comissão prosseguirá os seus trabalhos, incluindo através do intercâmbio de informações e boas práticas em matéria de assistência técnica com os países interessados em adotar legislação moderna sobre privacidade, e do fomento da cooperação com as autoridades de supervisão de países terceiros e as organizações regionais.
·A Comissão colaborará com organizações multilaterais e regionais para promover normas elevadas de proteção de dados como fatores facilitadores do comércio e da cooperação (por exemplo, ao abrigo da iniciativa «Fluxo de dados livre baseado na confiança» lançada pelo Japão no contexto do G20).
O RGDP 86 exige que a Comissão apresente um relatório sobre a sua aplicação em 2020. Esta será uma oportunidade para avaliar os progressos realizados e examinar igualmente se depois de dois anos de aplicação os vários componentes do novo regime de proteção de dados estão totalmente operacionais. Para este efeito, a Comissão manterá contactos com o Parlamento Europeu, o Conselho, os Estados-Membros, o Comité Europeu para a Proteção de Dados, as partes interessadas relevantes e os cidadãos.