COMISSÃO EUROPEIA
Bruxelas, 3.4.2023
COM(2023) 275 final
RELATÓRIO DA COMISSÃO AO PARLAMENTO EUROPEU E AO CONSELHO
sobre a primeira avaliação da aplicação da decisão de adequação relativa ao Japão
{SWD(2023) 75 final}
COMISSÃO EUROPEIA
Bruxelas, 3.4.2023
COM(2023) 275 final
RELATÓRIO DA COMISSÃO AO PARLAMENTO EUROPEU E AO CONSELHO
sobre a primeira avaliação da aplicação da decisão de adequação relativa ao Japão
{SWD(2023) 75 final}
RELATÓRIO DA COMISSÃO AO PARLAMENTO EUROPEU E AO CONSELHO
sobre a primeira avaliação da aplicação da decisão de adequação relativa ao Japão
1.PRIMEIRA AVALIAÇÃO — CONTEXTO, PREPARAÇÃO E PROCESSO
Em 23 de janeiro de 2019, a Comissão Europeia adotou uma decisão nos termos do artigo 45.º do Regulamento (UE) 2016/679 (RGPD) 1 , no âmbito da qual concluiu que o Japão assegura um nível adequado de proteção dos dados pessoais transferidos da União Europeia para empresas que gerem informações pessoais 2 no Japão 3 . Consequentemente, as transferências de dados da UE para operadores privados no Japão podem ser efetuadas sem exigências adicionais 4 .
A decisão de adequação da Comissão abrange a Lei japonesa relativa à proteção de informações pessoais (APPI), completada pelas normas complementares que foram adotadas para ultrapassar algumas divergências relevantes entre a APPI e o RGPD 5 . Estas garantias adicionais reforçam, por exemplo, a proteção de dados sensíveis (alargando as categorias de informações pessoais consideradas dados sensíveis), o exercício dos direitos individuais (clarificando que os direitos individuais também podem ser exercidos em relação aos dados pessoais conservados por um período inferior a seis meses, o que, na altura, não estava previsto na APPI) 6 e as condições em que os dados da UE podem ser transferidos subsequentemente do Japão para outro país terceiro 7 . As normas complementares são vinculativas para os operadores japoneses e passíveis de execução pela autoridade independente responsável pela proteção de dados – a Comissão de Proteção de Informações Pessoais (PPC) – ou, diretamente pelos cidadãos da UE, nos tribunais japoneses 8 .
Além disso, o Governo japonês apresentou à Comissão declarações, garantias e compromissos oficiais no que diz respeito às limitações e garantias relativas ao acesso e à utilização de dados pessoais pelas autoridades públicas japonesas para efeitos de aplicação do direito penal e de segurança nacional, esclarecendo que esse tratamento se limita ao que é necessário e proporcionado e está sujeito a uma supervisão independente e a mecanismos de recurso eficazes 9 . Os mecanismos de recurso neste domínio incluem um procedimento específico de resolução de litígios, administrado e supervisionado pela PPC, que foi criado para as pessoas singulares da UE cujos dados pessoais sejam transferidos com base na decisão de adequação 10 .
Aquando da adoção da decisão de adequação da Comissão, o Japão adotou uma decisão equivalente para as transferências de dados para a UE, mediante a qual criou o maior espaço de livre circulação de dados a nível mundial com base num elevado nível de proteção de dados 11 . Estas decisões de adequação mútua completam e ampliam os benefícios do Acordo de Parceria Económica (APE) UE-Japão, que entrou em vigor em fevereiro de 2019 12 , e do Acordo de Parceria Estratégica 13 negociado juntamente com o APE. As empresas de ambas as partes beneficiam da sinergia entre as decisões de adequação mútua e o APE, uma vez que a possibilidade de os dados circularem livremente entre a UE e o Japão facilita ainda mais as trocas comerciais e cria oportunidades de negócio consideráveis através de um acesso privilegiado aos respetivos mercados. Além disso, cria um precedente importante ao demonstrar claramente que, na era digital, a promoção de elevadas normas de proteção da privacidade e a facilitação do comércio internacional podem e devem ser indissociáveis.
Desde a adoção das decisões de adequação, a UE e o Japão, enquanto parceiros que partilham a mesma visão, intensificaram ainda mais a sua cooperação em questões digitais, em geral, e no domínio dos fluxos de dados, em especial. A nível bilateral, tal reflete-se, nomeadamente, no estabelecimento da Parceria Digital, em maio de 2022 14 , e no início de negociações, em outubro de 2022, para incluir disciplinas sobre os fluxos transfronteiriços de dados no APE 15 , o que reforçará ainda mais a sinergia com o acordo de adequação recíproca. A nível multilateral, a UE e o Japão uniram esforços para promover, reforçar e aplicar de forma concreta o conceito de «livre circulação de dados com confiança» — lançado pelo falecido primeiro-ministro Shinzo Abe — nomeadamente através de uma estreita colaboração no âmbito do G7, da Organização Mundial do Comércio (no contexto da iniciativa de declaração conjunta sobre o comércio eletrónico) e da Organização de Cooperação e de Desenvolvimento Económicos (OCDE). Ao nível da OCDE, a intensa cooperação nesta matéria entre a UE e o Japão foi, sobretudo, fundamental para a adoção, pela primeira vez a nível internacional, de princípios comuns sobre o acesso governamental aos dados pessoais detidos pelo setor privado 16 . Estes diferentes fluxos de trabalho basearam-se, em maior ou menor grau, nos valores e requisitos comuns subjacentes ao acordo de adequação recíproca entre a UE e o Japão.
A fim de verificar regularmente se as conclusões constantes da decisão de adequação continuam a justificar-se de facto e de direito, a Comissão deve proceder a uma avaliação periódica e apresentar um relatório sobre os resultados ao Parlamento Europeu e ao Conselho 17 . O presente relatório, que abrange todos os aspetos da aplicação da decisão, conclui a primeira avaliação periódica. No que respeita ao Japão, participaram na avaliação representantes da PPC, do Ministério dos Assuntos Internos e das Comunicações, do Ministério da Justiça, do Ministério da Defesa e da Agência Nacional de Polícia. A delegação da UE incluiu três representantes designados pelo Comité Europeu para a Proteção de Dados (CEPD), juntamente com membros da Comissão Europeia.
Em 26 de outubro de 2021, teve lugar uma reunião de avaliação entre as duas delegações, que foi precedida e seguida por inúmeros contactos. Em especial, a fim de preparar a avaliação, a Comissão recolheu informações junto das autoridades japonesas sobre a aplicação da decisão, nomeadamente no que se refere à aplicação das normas complementares. A Comissão procurou igualmente obter informações junto de fontes públicas e de peritos locais sobre a aplicação da decisão e alterações importantes da legislação e das práticas japonesas, tanto no que diz respeito às regras em matéria de proteção de dados aplicáveis aos operadores privados como no referente ao acesso governamental. Na sequência da reunião de avaliação, a Comissão e a PPC estabeleceram vários contactos destinados a dar seguimento aos pontos debatidos nessa reunião e, em especial, a dar resposta as questões suscitadas pela introdução na APPI de regras em matéria de informações pessoais pseudonimizadas.
2.PRINCIPAIS CONSTATAÇÕES
As conclusões pormenorizadas sobre a aplicação de todos os aspetos da decisão de adequação são apresentadas no documento de trabalho dos serviços da Comissão [SWD (2023) 75] que acompanha o presente relatório.
Em especial, a primeira avaliação demonstrou uma maior convergência dos quadros de proteção de dados da UE e do Japão desde a adoção das decisões de adequação recíproca. A APPI foi alterada duas vezes: em 5 de junho de 2020, através da Lei que altera a Lei relativa à proteção de informações pessoais de 2020 (alteração da APPI de 2020), que entrou em vigor em 1 de abril de 2022 18 ; e em 12 de maio de 2021, através da Lei relativa ao convénio de atos conexos para a criação de uma sociedade digital (alteração da APPI de 2021) 19 . As normas complementares foram adaptadas para refletir estas alterações, em consulta com a Comissão.
Estas alterações aproximaram ainda mais os sistemas da UE e do Japão, nomeadamente através do reforço das obrigações em matéria de segurança dos dados (através da introdução de um dever de notificação das violações de dados), dos direitos dos titulares dos dados (em especial o direito de acesso e o direito de oposição) e das proteções concedidas em caso de transferência de dados (sob a forma de informações adicionais e requisitos de controlo, incluindo informações sobre eventuais riscos relacionados com o acesso governamental no país de destino). Neste contexto, é particularmente digno de nota que algumas das garantias adicionais previstas nas normas complementares para os dados pessoais provenientes da UE, ou seja, no que diz respeito à conservação de dados e às condições aplicáveis ao consentimento esclarecido para as transferências transfronteiriças, tenham sido incorporadas na APPI, tornando-as, assim, geralmente aplicáveis a todos os dados pessoais, independentemente da sua origem ou ponto de recolha 20 .
Outro desenvolvimento fundamental que a Comissão saúda é a transformação da APPI num quadro abrangente de proteção de dados aplicável tanto ao setor privado como ao setor público, sujeito à supervisão exclusiva da PPC 21 . Este reforço do quadro japonês em matéria de proteção de dados e dos poderes da PPC poderá abrir o caminho para um alargamento da decisão de adequação para além das trocas comerciais, a fim de abranger as transferências atualmente excluídas do seu âmbito de aplicação, como acontece no domínio da investigação e da cooperação em matéria de regulamentação.
A primeira avaliação centrou-se igualmente em novas regras relativas à criação e utilização de «informações pessoais pseudonimizadas», que foram introduzidas pela alteração da APPI de 2020 22 . O objetivo destas novas regras é, acima de tudo, facilitar a utilização (interna) de informações pessoais por empresas que gerem essas informações essencialmente para fins estatísticos (por exemplo, para identificar tendências e padrões com vista a beneficiar outras atividades, incluindo a investigação). A reunião de avaliação e os contactos posteriores entre a Comissão e a PPC permitiram clarificar a interpretação e a aplicação destas novas disposições. Na sequência destas discussões, a fim de refletir de forma mais clara a aplicação prevista destas novas disposições e, assim, garantir a segurança jurídica e a transparência, as normas complementares foram alteradas em 15 de março de 2023 de duas formas 23 . Em primeiro lugar, as normas complementares estipulam que essas informações só podem ser utilizadas para fins estatísticos — definidos como o tratamento para inquéritos estatísticos ou a produção de resultados estatísticos — para produzir dados agregados, e que o resultado do tratamento não será utilizado em apoio de medidas ou decisões relativas a uma determinada pessoa. Em segundo lugar, deixam claro que as informações pessoais pseudonimizadas inicialmente recebidas da UE serão sempre consideradas «informações pessoais» ao abrigo da APPI, a fim de assegurar que a continuidade da proteção dos dados considerados dados pessoais ao abrigo do RGPD não seja posta em causa aquando da sua transferência com base na decisão de adequação 24 .
No que diz respeito à aplicação prática das salvaguardas em matéria de proteção de dados, a Comissão congratula-se com as diferentes medidas tomadas pela PPC, entre as quais a adoção de orientações atualizadas, nomeadamente sobre as transferências internacionais de dados. A Comissão observa que estas orientações poderiam ser clarificadas a fim de abordar também a questão dos requisitos específicos aplicáveis, ao abrigo das normas complementares, às transferências subsequentes de dados pessoais recebidos da União a partir do Japão, incluindo — tal como decorre da norma complementar 4 e explicado na decisão de adequação 25 — a exclusão de transferências subsequentes com base no sistema de certificação «Regras de Privacidade Transfronteiriças» (CBPR) da APEC. Além disso, embora a PPC tenha explicado que os PHIBO enquadram as suas transferências subsequentes de dados inicialmente recebidos da UE «celebrando um contrato que vincula o destinatário a medidas que asseguram a continuidade da proteção», a PPC não fornece atualmente orientações sobre o conteúdo recomendado (em termos de garantias) das «medidas equivalentes» utilizadas para as transferências internacionais de dados, seja sob a forma de orientações ou de modelos de contratos de proteção de dados. Estas clarificações adicionais, que poderiam basear-se, nomeadamente, na troca de informações e de boas práticas entre a PPC e a Comissão, poderiam revelar-se especialmente úteis, uma vez que dizem respeito a aspetos particularmente importantes para as empresas que operam em ambas as jurisdições.
No que diz respeito à supervisão e à execução, a Comissão observa que a PPC recorreu mais frequentemente aos seus poderes não coercivos de orientação e aconselhamento (artigo 147.º da APPI) do que aos seus poderes coercivos (por exemplo, para impor ordens vinculativas, artigo 148.º da APPI) no período subsequente à adoção da decisão de adequação. A PPC informou igualmente que, até à data, não foram recebidas queixas relativas ao cumprimento das normas complementares nem foram realizados inquéritos sobre essa questão por sua própria iniciativa. No entanto, durante a reunião de avaliação, a PPC anunciou que está a ponderar a realização, por sua própria iniciativa, de controlos aleatórios para garantir o cumprimento das normas complementares. A Comissão congratula-se com o anunciado, uma vez que considera que tais controlos aleatórios seriam muito importantes para garantir que (eventuais) violações das normas complementares sejam evitadas, detetadas e corrigidas, assegurando assim o seu cumprimento efetivo. Uma vez que as alterações da APPI de 2020 e 2021 reforçaram os poderes de supervisão da PPC, estes controlos aleatórios poderiam fazer parte de um esforço global para aumentar a utilização desses poderes.
Por último, a Comissão congratula-se vivamente com a criação de pontos de contacto específicos para os cidadãos da UE que tenham dúvidas ou preocupações sobre o tratamento dos seus dados pessoais no Japão, seja por operadores comerciais (Linha de Dúvidas) ou por autoridades públicas (Linha de Mediação de Queixas). No entanto, observa que a página Web da Linha de Dúvidas refere que esta está disponível «apenas em japonês», o que é suscetível de dissuadir os cidadãos da UE de utilizarem este serviço, apesar de a PPC ter explicado que, em princípio, está disponível assistência em língua inglesa. A Comissão crê que a PPC estudará formas de facilitar o acesso dos cidadãos europeus a esses pontos de contacto, nomeadamente clarificando esse ponto.
3.CONCLUSÃO
Com base nas conclusões gerais formuladas no âmbito desta primeira avaliação, a Comissão conclui que o Japão continua a assegurar um nível adequado de proteção dos dados pessoais transferidos da União Europeia para operadores comerciais responsáveis pela gestão de informações pessoais no Japão sujeitos à APPI, conforme completada pelas normas complementares, juntamente com as declarações, garantias e compromissos oficiais constantes do anexo II da decisão. Neste contexto, os serviços da Comissão reconhecem e valorizam muito a excelente cooperação, no decurso desta avaliação, com as autoridades japonesas e, em especial, com a PPC.
À luz deste resultado da avaliação e em conformidade com o considerando 181 da decisão de adequação, a Comissão considera que não é necessário manter o ciclo de dois anos para futuras avaliações e, por conseguinte, considera oportuno passar para um ciclo de quatro anos nos termos do artigo 45.º, n.º 3, do RGPD. Nessa conformidade, consultará sobre essa matéria o comité instituído nos termos do artigo 93.º, n.º 1, do RGPD 26 .
Ao mesmo tempo, o reforço de certos aspetos do quadro japonês poderá contribuir para aumentar ainda mais as salvaguardas estabelecidas na APPI e nas normas complementares. Para o efeito, a Comissão formula as seguintes recomendações:
1.A Comissão saúda e incentiva os planos da PPC para realizar controlos aleatórios destinados a garantir o cumprimento das normas complementares, uma vez que considera que tais controlos aleatórios seriam muito importantes para garantir que (eventuais) violações das normas complementares sejam detetadas e corrigidas, assegurando assim o seu cumprimento efetivo;
2.A Comissão congratula-se com o facto de a PPC ter publicado orientações atualizadas sobre transferências internacionais, uma vez que estas aumentarão a acessibilidade das regras da APPI nesta matéria e facilitarão a sua aplicação na prática. Estas orientações (ou outro material de orientação) devem também, se for caso disso, explicar os requisitos específicos decorrentes das normas complementares, nomeadamente no que diz respeito à exclusão do sistema de certificação CBPR da APEC para transferências subsequentes de dados pessoais originalmente recebidos da UE;
3.Durante a avaliação, foram discutidas formas de melhorar o acesso dos estrangeiros à Linha de Dúvidas/Mediação da PPC para perguntas e queixas dos cidadãos. Neste contexto, seria importante clarificar no sítio Web específico que, em princípio, está disponível assistência em língua inglesa.
A avaliação permitiu ainda identificar domínios para uma eventual cooperação futura. Tal como indicado, a PPC não fornece atualmente orientações sobre o conteúdo recomendado (em termos de garantias) das «medidas equivalentes» utilizadas para as transferências internacionais de dados, seja sob a forma de orientações ou de modelos de contratos de proteção de dados. Dada a importância crescente das cláusulas-modelo e o seu potencial enquanto instrumento global para as transferências de dados, tal como reconhecido, por exemplo, pelo G7 27 e pela OCDE 28 , a Comissão manifestou o seu interesse numa futura cooperação com o Japão no desenvolvimento de tais cláusulas. O alargamento do âmbito da decisão de adequação para além das transferências entre operadores comerciais é outro domínio que a Comissão tenciona explorar com a PPC.
A Comissão continuará a acompanhar de perto o quadro de proteção de dados japonês e a sua aplicação na prática. A este respeito, aguarda com expectativa futuras discussões com as autoridades japonesas sobre desenvolvimentos relevantes para a decisão 29 , bem como o reforço da cooperação a nível internacional, numa altura em que existe uma procura crescente de normas a nível mundial em matéria de privacidade e fluxos de dados.
Entretanto, a alteração da APPI de 2020 reformulou a definição de «dados pessoais na posse do operador comercial», de modo a deixar de excluir os dados pessoais «destinados a ser apagados» num prazo de seis meses (artigo 16.º, n.º 4, da APPI, na sua versão alterada). Na versão da APPI aplicável à data da adoção da decisão de adequação, este conceito era designado por «dados pessoais conservados».
As normas complementares revistas foram adotadas pela PPC em 15 de março de 2023 e entraram em vigor em 1 de abril de 2023.
Ver considerando 79 da decisão.