1. Introdução

O aumento da circulação de dados pessoais, necessária ao desenvolvimento do comércio e da cooperação internacionais, cria novos desafios e novas preocupações em relação à proteção dos dados pessoais. Assim, o RGPD prevê, em caso de transferência de dados pessoais para destinatários em países terceiros à EU (ou para organizações internacionais), que o nível de proteção dos titulares de dados pessoais por si assegurado deve continuar a ser garantido.

O princípio geral das transferências de dados pessoais para países terceiros (ou organizações internacionais) impõe que estas só possam ser realizadas se as condições previstas no RGPD forem respeitadas pelo responsável pelo tratamento (e pelo subcontratante), de modo a assegurar que não é comprometido o nível de proteção dos titulares dos dados.

Estas transferências podem ser realizadas com base numa decisão de adequação adotada pela Comissão, na qual é decidido que determinado país (ou território, um ou mais setores específicos desse país terceiro, ou a organização internacional em causa) assegura um nível de proteção adequado (i.e. substancialmente equivalente ao conferido dentro da UE).

Caso não tenha sido tomada qualquer decisão de adequação, as transferências de dados pessoais só poderá ocorrer se o responsável pelo tratamento (ou subcontratante) apresentar garantias adequadas e na condição de os titulares dos dados pessoais gozarem de direitos oponíveis e de medidas jurídicas corretivas eficazes, ou seja, medidas necessárias para colmatar a insuficiência da proteção de dados no país terceiro, dando, para tal, garantias adequadas ao titular dos dados, as quais podem consistir, isolada ou conjugadamente, no recurso a instrumentos juridicamente vinculativos com força executiva entre as autoridades de controlo, regras vinculativas aplicáveis às empresas (BCR), cláusulas-tipo de proteção de dados, códigos de conduta ou procedimentos de certificação acompanhados de compromissos vinculativos e com força executiva. Estas medidas deverão assegurar o cumprimento dos requisitos relativos à proteção de dados e o respeito pelos direitos dos titulares dos dados pessoais.

2.     Decisão de Adequação

Cabe à Comissão avaliar e decidir se um país terceiro (ou uma organização internacional) assegura um nível de proteção adequado relativamente aos dados pessoais objeto de transferência, considerando elementos como:

i) O primado do Estado de direito, o respeito pelos direitos humanos e liberdades fundamentais, a legislação pertinente em vigor e respetiva aplicação e jurisprudência, bem como os direitos efetivos e oponíveis dos titulares dos dados, e vias de recurso administrativo e judicial para os titulares de dados objeto de transferência;

ii) A existência e o efetivo funcionamento de uma ou mais autoridades de controlo independentes no país terceiro ou às quais esteja sujeita a organização internacional em causa, dotadas de poderes coercitivos adequados para assistir e aconselhar os titulares dos dados no exercício dos seus direitos, e cooperar com as autoridades de controlo dos Estados-Membros;

iii) Os compromissos internacionais assumidos pelo país terceiro (ou pela organização internacional em causa), ou outras obrigações decorrentes de convenções ou instrumentos juridicamente vinculativos, bem como da sua participação em sistemas multilaterais ou regionais, em especial em relação à proteção de dados pessoais.

Com a entrada em vigor do RGPD, as decisões de adequação adotadas pela Comissão, ao abrigo do regime anterior, permanecem válidas até que sejam alteradas, substituídas ou revogadas por uma decisão da Comissão.

Importa, a este propósito, realçar a publicação, em 12 de julho de 2016, pela Comissão, da decisão de adequação denominada Privacy Shield (Escudo de Proteção da Privacidade UE-EUA), que permite a transferência de dados pessoais da UE para uma empresa nos EUA desde que esta proceda ao tratamento desses dados em conformidade com um conjunto de regras e garantias que garantam uma elevada proteção dos dados.

O Privacy Shield surge na sequência do acórdão do Tribunal de Justiça da União Europeia, de 6 de outubro de 2015, no processo C-362/14, Maximillian Schrems/Data Protection Commissioner, que declarou inválida a Decisão 2000/520/CE da Comissão (Safe Harbour) que, até àquela data, regulava as transferências de dados pessoais entre a UE e os EUA.

O Privacy Shield baseia-se num sistema de autocertificação através do qual as organizações dos EUA assumem o compromisso de estabelecer um conjunto de princípios de privacidade emitidos pelo Department of Commerce dos EUA e é aplicável simultaneamente aos responsáveis pelo tratamento e aos subcontratantes, com a especificidade de que estes últimos devem ser contratualmente obrigados a agir apenas mediante instruções do responsável europeu pelo tratamento e ajudá-lo na resposta aos pedidos das pessoas que exercem os seus direitos por força destes princípios. A certificação é obtida através da adesão voluntária aos princípios de proteção de dados e as organizações certificadas estão sujeitas à supervisão do Department of Commerce dos EUA e deverão, designadamente:

i) Prestar um leque alargado de informações ao titular dos dados;

ii) Limitar a utilização dos dados pessoais para finalidade diferentes da que determinou a recolha;

iii) Minimizar o tratamento de dados e conservá-los apenas durante o período de tempo necessário;

iv) Garantir a segurança dos dados;

v) Proteger os dados pessoais quando são transferidos para outra empresa;

vi) Permitir o acesso e a retificação dos dados;

vii) Proporcionar um mecanismo para apresentação e gestão de queixas;

viii) Reparação em caso de acesso aos dados por parte das autoridades públicas norte-americanas.

As organizações devem renovar anualmente a sua adesão ao Privacy Shield sob pena de não poderem continuar a receber e a utilizar dados pessoais provindos da UE que sejam transferidos ao abrigo deste mecanismo.

3.     Cláusulas-tipo de proteção de dados

Como vimos, é possível, na falta de uma decisão de adequação, a transferência de dados pessoais para um país terceiro (ou organização internacional) mediante a apresentação de garantias adequadas e a utilização de contratos como fundamento de legitimidade para a transferência internacional de dados revela-se um meio idóneo para assegurar essas mesmas garantias, por exemplo através da inclusão de cláusulas-tipo de proteção de dados adotadas pela Comissão ou de cláusulas-tipo de proteção de dados adotadas por uma autoridade de controlo e aprovadas pela Comissão.

4.     Binding Corporate Rules (BCR)

As BCR são um mecanismo de transferência de dados pessoais para países terceiros (ou organizações internacionais) alternativo ao recurso a cláusulas contratuais-tipo sempre que se pretenda proceder a transferências de dados pessoais para uma empresa em relação de grupo que esteja situada num país que não assegura um nível de proteção adequado.

Assim, os grupos empresariais (ou os grupos de empresas envolvidas numa atividade económica conjunta) poderão utilizar BCR para as suas transferências internacionais de dados pessoais, desde que essas regras incluam todos os princípios essenciais e direitos oponíveis que visem assegurar as garantias adequadas às transferências ou categorias de transferências de dados pessoais.

As BCR, que carecem de aprovação pela autoridade de controlo competente, devem ser juridicamente vinculativas e aplicáveis a todas as empresas do grupo (incluindo os funcionários, a quem compete assegurar o seu cumprimento) e conferir expressamente aos titulares dos dados direitos oponíveis relativamente ao tratamento dos seus dados pessoais. Devem especificar, ainda, aspetos como a estrutura e os contactos do grupo empresarial, as transferências ou conjunto de transferências de dados, o seu caráter juridicamente vinculativo, a aplicação dos princípios gerais de proteção de dados, os direitos dos titulares dos dados e as regras para o exercício desses direitos, a aceitação da responsabilidade por toda e qualquer violação das BCR, a forma como as informações sobre as BCR são comunicadas aos titulares dos dados, as funções do Encarregado de Proteção de Dados ou de qualquer outra pessoa ou entidade responsável pelo controlo ou cumprimento das BCR, os procedimentos de verificação do cumprimento das BCR, de reclamação, de cooperação e comunicação com a autoridade de controlo bem como ações de formação dirigidas a indivíduos que tenham acesso aos dados.

5.     Outros mecanismos

Além destes mecanismos, podem ainda ser prestadas garantias adequadas através de:

i) Um código de conduta aprovado, acompanhado de compromissos vinculativos e com força executiva, assumidos pelo responsável pelo tratamento (ou subcontratante) no país terceiro no sentido de aplicar as garantias adequadas no que respeita aos direitos dos titulares dos dados;

ii) Um procedimento de certificação devidamente aprovado, acompanhado de compromissos vinculativos e com força executiva, assumidos pelo responsável pelo tratamento (ou subcontratante) no país terceiro no sentido de aplicar as garantias adequadas no que respeita aos direitos dos titulares dos dados;

iii) Um instrumento juridicamente vinculativo e com força executiva entre autoridades ou organismos públicos.

6.     Derrogações para situações específicas

Na ausência de uma decisão de adequação ou de garantias adequadas, as transferências ou conjunto de transferências de dados pessoais para países terceiros (ou organizações internacionais) só são admitidas em caso de:

i) Consentimento explícito, esclarecido e informado por parte do titular dos dados objeto de transferência;

ii) Necessidade da transferência para efeitos de execução de contrato entre o titular dos dados e o responsável pelo tratamento;

iii) Necessidade da transferência para a celebração ou execução de contrato celebrado no interesse do titular dos dados;

iv) Necessidade da transferência por importantes razões de interesse público;

v) Necessidade da transferência para declaração, exercício ou defesa de um direito em processo judicial;

vi) Necessidade da transferência para proteção de interesses vitais do titular dos dados ou terceiros;

vii) Realização da transferência a partir de um registo que se destine a informar o público e se encontre aberto à consulta do público em geral ou de qualquer pessoa que possa provar nela ter um interesse legítimo.

Fora destes casos, a transferência de dados pessoais para países terceiros (ou uma organização internacional) só pode ter lugar se não for repetitiva, apenas disser respeito a um número limitado de titulares dos dados, for necessária para efeitos dos interesses legítimos visados pelo responsável pelo seu tratamento, desde que a tais interesses não se sobreponham os interesses ou os direitos e liberdades dos titulares dos dados, o responsável pelo tratamento tiver ponderado todas as circunstâncias relativas à transferência de dados e, com base nessa avaliação, tiver apresentado garantias adequadas no que respeita à proteção de dados pessoais.

7.     Conclusão

Quaisquer organizações que efetuem transferências de dados para países terceiros (ou organizações internacionais) em violação das disposições do RGPD, encontram-se sujeitas à aplicação de coimas que podem atingir os € 20.000.000,00 ou 4% do volume de negócios global, por referência o exercício financeiro anterior, conforme o montante que seja mais elevado.

De modo a evitar a aplicação de coimas, as organizações devem identificar os fluxos transfronteiriços de dados em curso, avaliá-los e, na falta de uma decisão de adequação, adotar as medidas necessárias para colmatar a insuficiência da proteção de dados no país terceiro dando para tal garantias adequadas aos titulares dos dados.