Reforma da proteção de dados na UE: Conselho confirma acordo com Parlamento Europeu

Em 18 de dezembro de 2015, o Comité de Representantes Permanentes (Coreper) confirmou os textos de compromisso acordados com o Parlamento Europeu sobre a reforma da proteção de dados. O acordo, alcançado entre o Conselho, o Parlamento e a Comissão em 15 de dezembro, está em consonância com o pedido do Conselho Europeu para que as negociações sobre a reforma da proteção de dados fossem concluídas até ao final de 2015.

Félix Braz, Ministro da Justiça do Luxemburgo e Presidente do Conselho, afirmou: "Trata-se de um acordo fundamental, com consequências importantes. Esta reforma não só reforça os direitos dos cidadãos, como também adapta à era digital as regras para as empresas, reduzindo simultaneamente os encargos administrativos. Os textos acordados são ambiciosos e virados para o futuro. Podemos ter plena confiança no resultado."  

A reforma da proteção de dados é um pacote legislativo proposto pela Comissão em 2012 para atualizar e modernizar as regras em matéria de proteção de dados.  Diz respeito a dois instrumentos legislativos: o regulamento geral sobre a proteção de dados (destinado a substituir a Diretiva 95/46/CE) e a diretiva sobre a proteção de dados no domínio policial (destinada a substituir a decisão-quadro de 2008 relativa à proteção de dados). 

A proteção das pessoas singulares no que se refere ao tratamento dos seus dados pessoais é um direito fundamental consagrado na Carta dos Direitos Fundamentais da União Europeia (artigo 8.°) e no Tratado sobre o Funcionamento da União Europeia (artigo 16.°).

Regulamento geral sobre a proteção de dados

O regulamento geral sobre a proteção de dados visa reforçar o nível de proteção dos dados das pessoas cujos dados pessoais são tratados e aumentar as oportunidades de negócio no mercado único digital, inclusive através da redução dos encargos administrativos. 

Reforço do nível de proteção de dados

Os princípios e as regras sobre o tratamento de dados pessoais devem respeitar os direitos e as liberdades fundamentais, nomeadamente o direito à proteção dos dados pessoais. Estes direitos reforçados em matéria de proteção de dados dão aos titulares dos dados (as pessoas cujos dados pessoais estão a ser tratados) um maior controlo sobre os seus dados pessoais: 

• regras mais específicas para o tratamento dos dados pessoais pelos responsáveis por esse tratamento; nomeadamente, exigência do consentimento das pessoas em causa.
• acesso mais fácil aos dados pessoais por parte dos seus titulares.
• melhor informação sobre o que acontece aos dados pessoais quando são partilhados. Tal inclui informar as pessoas sobre a política de privacidade em linguagem clara e simples, o que também pode ser efetuado através de ícones normalizados.
• direito de apagar dados pessoais e direito "a ser esquecido". Isto permite, por exemplo, aos titulares dos dados exigir a retirada, sem demora, de dados pessoais recolhidos ou publicados numa rede social quando a pessoa em causa ainda era uma criança.
• se um jovem com menos de 16 anos pretender utilizar serviços em linha, o prestador de serviços deve tentar verificar que foi dado o consentimento parental. Os Estados-Membros podem baixar este limite de idade sem descer abaixo de 13 anos.
• direito de portabilidade, que facilita a transmissão dos dados pessoais a partir de um prestador de serviços, por exemplo uma rede social, para outro. Isto não só aumentará os direitos de proteção de dados, como também reforçará a concorrência entre os prestadores de serviços.
• direito de oposição ao tratamento de dados pessoais por motivos de interesse público ou com base nos interesses legítimos do responsável pelo tratamento. Este direito abrange a utilização de dados pessoais para efeitos de definição de perfis ("profiling").
• salvaguardas comuns aplicáveis ao tratamento de dados pessoais para fins de arquivo, sempre que tal seja no interesse público e científico e para fins estatísticos ou de investigação histórica.

A fim de assegurar a proximidade dos recursos judiciais, os titulares dos dados têm o direito de pedir aos tribunais nacionais a revisão das decisões tomadas pelas autoridades nacionais de proteção de dados, independentemente do Estado-Membro em que o responsável pelo tratamento de dados esteja estabelecido. 

Maiores oportunidades de negócio no mercado único digital

O regulamento prevê um conjunto único de regras, válido em toda a UE e aplicável às empresas europeias e não europeias que oferecem serviços em linha na UE, o que evita que a existência de regras de proteção de dados nacionais contraditórias possa perturbar o intercâmbio transfronteiras de dados. O regulamento prevê também uma maior cooperação entre Estados-Membros para garantir uma aplicação coerente das regras de proteção de dados em toda a UE. Isto criará uma concorrência leal, além de encorajar as empresas, em especial as pequenas e médias empresas, a tirarem máximo partido do mercado único digital. 

Para reduzir os custos e proporcionar segurança jurídica, em casos transnacionais importantes que envolvam várias autoridades de controlo nacionais, é tomada uma única decisão de controlo. Este mecanismo de balcão único permite que uma empresa com atividade em vários Estados-Membros lide apenas com a autoridade de proteção de dados do Estado-Membro do seu estabelecimento principal. Este mecanismo prevê igualmente uma decisão única aplicável a todo o território da UE em caso de litígio. 

A fim de reduzir os custos administrativos, o regulamento segue uma abordagem baseada no risco: os responsáveis pelo tratamento podem aplicar medidas em função do risco envolvido nas operações de tratamento de dados que executam. Empresas diferentes têm atividades diferentes, e os riscos de tais atividades em termos de privacidade podem variar. O regulamento não prevê uma solução igual para todos: quanto maiores os riscos das atividades para os dados pessoais, mais restritivas são as obrigações impostas. 

Mais e melhores instrumentos para garantir o cumprimento das regras de proteção de dados

O regulamento prevê uma série de medidas com vista a aumentar a responsabilidade e a responsabilização dos responsáveis pelo tratamento de dados a fim de assegurar a plena conformidade com as novas regras em matéria de proteção de dados. Os responsáveis pelo tratamento dos dados devem aplicar um conjunto de medidas de segurança, incluindo a obrigação, em certos casos, de notificação das violações de dados pessoais. Para preparar o regulamento para o futuro, foram introduzidos os princípios da proteção de dados desde a conceção e por defeito. As autoridades públicas e as empresas que realizam certas operações arriscadas de tratamento de dados devem designar um delegado para a proteção de dados para assegurar o cumprimento das regras. 

Os titulares dos dados e, em determinadas condições, as organizações de proteção de dados podem apresentar reclamação à autoridade de controlo ou recorrer judicialmente quando as regras de proteção de dados não forem cumpridas. Os responsáveis pelo tratamento de dados podem incorrer em multas no valor máximo de 20 milhões de euros ou 4 % do seu volume total de negócios anual. 

Garantias na transferência de dados pessoais para fora da UE

O regulamento estabelece as regras para a transferência de dados pessoais para países terceiros e organizações internacionais. Essas transferências podem ser efetuadas desde que estejam reunidas várias condições e garantias, nomeadamente desde que a Comissão tenha determinado que existe um nível adequado de proteção. As novas decisões de adequação terão de ser revistas, pelo menos, de quatro em quatro anos. As decisões e autorizações de adequação existentes permanecem em vigor até serem alteradas, substituídas ou revogadas.   

Diretiva sobre a proteção de dados no domínio policial

Esta diretiva visa proteger os dados pessoais tratados para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e prevenção de ameaças à segurança pública. 

É crucial assegurar um nível elevado e coerente de proteção dos dados pessoais das pessoas singulares, facilitando ao mesmo tempo o intercâmbio de dados pessoais entre as autoridades policiais nos diferentes Estados-Membros. 

Âmbito de aplicação alargado

Além de abranger as atividades destinadas à prevenção, investigação, deteção e repressão de infrações penais, a nova diretiva foi alargada por forma a abranger a proteção e a prevenção de ameaças à segurança pública. 

A nova diretiva aplicar-se-á tanto ao tratamento transfronteiras de dados pessoais como ao tratamento de dados pessoais pela polícia e pelas autoridades judiciárias a nível estritamente nacional. A decisão-quadro, que será substituída, abrangia apenas o intercâmbio transfronteiras de dados. 

Direitos do titular dos dados

As regras estabelecem um equilíbrio entre o direito à privacidade e a necessidade de a polícia não revelar que os dados estão a ser tratados numa fase precoce do inquérito. No entanto, o texto enumera as informações que o titular dos dados tem sempre direito a receber a fim de proteger os seus direitos caso receie que tenha ocorrido uma violação dos seus dados. 

As novas regras abrangerão também a transferência de dados pessoais para países terceiros e organizações internacionais. 

Cumprimento

A nova diretiva prevê que seja nomeado um delegado para a proteção de dados a fim de ajudar as autoridades competentes a assegurar o cumprimento das regras de proteção de dados 

Outro instrumento para garantir o cumprimento é a avaliação de impacto. Sempre que um tipo de tratamento seja suscetível de resultar num elevado risco para os direitos e liberdades das pessoas, as autoridades competentes devem efetuar uma avaliação do impacto potencial de um determinado tratamento, nomeadamente através de novas tecnologias.   

Acompanhamento e indemnização

O texto da diretiva está alinhado pelo do regulamento, a fim de assegurar que, em termos globais, os mesmos princípios gerais são aplicáveis. Além disso, as regras sobre a autoridade de controlo são, em grande medida, semelhantes, porque a autoridade de controlo criada pelo regulamento geral sobre a proteção de dados também pode tratar de questões abrangidas pela diretiva. A nova diretiva dará também aos titulares dos dados o direito de receber uma indemnização caso tenham sofrido danos na sequência de um tratamento que não respeitou as regras.                        

PRÓXIMAS ETAPAS

Em 17 de dezembro, numa reunião extraordinária , a Comissão das Liberdades Cívicas, da Justiça e dos Assuntos Internos (LIBE) do Parlamento Europeu subscreveu os textos acordados nos trílogos. Este apoio permitiu que o Coreper hoje confirmasse os textos finais de compromisso sobre o regulamento e a diretiva. Após revisão jurídico-linguística dos textos, estes serão apresentados para adoção pelo Conselho e, posteriormente, pelo Parlamento. O regulamento e a diretiva entrarão provavelmente em vigor na primavera de 2018.