               COMISSÃO EUROPEIA
            Bruxelas, 29.4.2016
            COM(2016) 238 final
            2016/0127(NLE)
            Proposta de
            DECISÃO DO CONSELHO
            relativa à assinatura, em nome da União Europeia, de um acordo entre os Estados Unidos da América e a União Europeia sobre a proteção dos dados pessoais no âmbito da prevenção, investigação, deteção e repressão de infrações penais

               EXPOSIÇÃO DE MOTIVOS

               1.CONTEXTO DA PROPOSTA

               •Fundamentação e objetivos da proposta

                  Em novembro de 2006, foi criado um Grupo de Contacto de Alto Nível (a seguir designado «HLCG»), composto por altos funcionários da Comissão, de representantes da Presidência do Conselho e dos Departamentos da Justiça, da Segurança Interna e dos Negócios Estrangeiros dos EUA, com vista a estudar meios que permitam à UE e aos EUA cooperar de forma mais estreita e eficaz no domínio do intercâmbio de informações em matéria de aplicação da lei, garantindo, ao mesmo tempo, a proteção dos dados pessoais e a privacidade. A conclusão apresentada em outubro de 2009 pelo HLCG no seu relatório final
                     1
                   foi de que a melhor opção seria a celebração de um acordo internacional vinculativo para a UE e para os EUA no sentido de se aplicarem princípios comuns em matéria de proteção de dados nas transferências transatlânticas de dados no domínio da aplicação da lei: um acordo deste tipo proporcionaria a vantagem de estabelecer os princípios fundamentais da proteção da privacidade e dos dados pessoais que regulariam o intercâmbio de informações em matéria de aplicação coerciva da lei e garantiria o nível mais elevado de segurança jurídica.

                  Em 3 de dezembro de 2010, o Conselho adotou uma decisão que autoriza a Comissão a encetar negociações relativas a um acordo entre a União Europeia e os Estados Unidos da América sobre a proteção dos dados pessoais transferidos e tratados para efeitos de prevenção, investigação, deteção e repressão de crimes, incluindo o terrorismo, no contexto da cooperação policial e judiciária em matéria penal (a seguir designado por «Acordo-Quadro»)
                     2
                  .

                  Em 28 de março de 2011, a Comissão encetou as negociações. Em 8 de setembro de 2015, as Partes rubricaram o texto.

                  O Acordo-Quadro estabelece (pela primeira vez) um acordo global de princípios e garantias em matéria de proteção de dados quando os dados pessoais
                     3
                   são transferidos para efeitos da aplicação do direito penal entre os EUA, por um lado, e a União Europeia e os seus Estados-Membros, por outro. O duplo objetivo é garantir um elevado nível de proteção de dados e, deste modo, reforçar a cooperação entre as Partes. Embora não constituindo a base jurídica para a transferência de dados pessoais para os EUA, o Acordo-Quadro completa, quando necessário, as garantias em matéria de proteção de dados previstas nos acordos em matéria de transferência de dados existentes ou futuros, ou as disposições nacionais que autorizam tais transferências.

                  Trata-se de uma melhoria significativa em relação à situação atual em que os dados pessoais são transferidos para o outro lado do Atlântico com base em instrumentos jurídicos (acordos internacionais ou legislações nacionais) cujas disposições em matéria de proteção de dados são geralmente limitadas, ou inexistentes.

                   •
                        Coerência com as disposições em vigor no mesmo domínio de intervenção

                  O Acordo-Quadro reforçará a proteção proporcionada a todos os dados pessoais dos cidadãos da UE quando se procede ao seu intercâmbio com os EUA para efeitos de aplicação da lei penal. Ao estabelecer um quadro global de garantias em matéria de proteção de dados, o acordo irá complementar os acordos existentes (tanto os acordos bilaterais entre os Estados-Membros e os EUA, como os acordos entre a UE e os EUA) com base nos quais os dados pessoais são transferidos para os EUA para efeitos de aplicação coerciva da lei quando, e na medida em que, os referidos acordos não ofereçam o nível exigido de proteção e de garantias.

                  Além disso, o Acordo criará uma «rede de segurança» para os futuros acordos UE/Estados-Membros-EUA, correspondente ao nível mínimo de proteção exigido. Trata-se de uma garantia importante para o futuro e uma mudança radical em relação à situação atual em que as garantias, as proteções e os direitos têm sempre de ser negociados para cada novo acordo individual.

                  Globalmente, o Acordo-Quadro irá criar um importante valor acrescentado em termos de elevar o nível de proteção dos titulares de dados da UE, em consonância com as exigências do direito primário e secundário da UE. Pela primeira vez, irá introduzir um instrumento de proteção de dados que abrange de forma global e coerente todas as transferências de dados de um determinado domínio (ou seja, o intercâmbio transatlântico de dados no domínio da cooperação policial e da cooperação judiciária em matéria penal). Além disso, o Acordo-Quadro irá materializar, no contexto transatlântico, os requisitos gerais relativos às transferências internacionais de dados estabelecidos na futura Diretiva relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou de execução de sanções penais, e à livre circulação desses dados (a seguir designada «Diretiva Cooperação Policial»)
                     4
                  , adotada em 14 de abril de 2016. Tendo em conta o que precede, o Acordo-Quadro estabelece igualmente um importante precedente para eventuais acordos similares com outros parceiros internacionais.

               •Coerência com outras políticas da União

                  O Acordo-Quadro deverá ter um impacto significativo em matéria de cooperação policial e judiciária com os Estados Unidos. Ao estabelecer um quadro comum e global de normas e garantias em matéria de proteção de dados, o acordo permitirá que a UE ou os seus Estados-Membros, por um lado, e as autoridades penais dos Estados Unidos, por outro, instaurem entre eles uma cooperação mais eficaz. Além disso, assegurará que os acordos existentes contenham todas as proteções necessárias. Deste modo, será possível prosseguir a cooperação em matéria de aplicação coerciva da lei, garantindo simultaneamente maior segurança jurídica às transferências de dados. O acordo irá também facilitar a celebração de futuros acordos de transferência de dados com os EUA em matéria de aplicação coerciva da lei penal, dado que terão sido acordadas garantias em matéria de proteção de dados, não devendo, por conseguinte, ser negociadas de novo. Por último, a adoção de normas comuns nesta área, crucial mas complexa, de cooperação é um resultado importante que pode contribuir de forma significativa para restaurar a confiança no fluxo transatlântico de dados.

               2.BASE JURÍDICA, SUBSIDIARIEDADE E PROPORCIONALIDADE

               •Base jurídica

                  A base jurídica da presente proposta é o artigo 16.º do TFUE, em conjugação com o artigo 218.º, n.º 5, do TFUE.

               •Subsidiariedade

                  O Acordo-Quadro é da competência exclusiva da UE, por força do artigo 3.º, n.º 2, do TFUE. Por conseguinte, o princípio da subsidiariedade não se aplica.

               •Proporcionalidade

                  O Acordo-Quadro estabelece as garantias de proteção de dados exigidas em virtude das diretrizes de negociação do Conselho. Tais garantias são consideradas elementos necessários para assegurar o nível de proteção exigido pela Carta dos Direitos Fundamentais e tendo em conta a evolução do acervo da UE, quando são transferidos dados pessoais para um país terceiro. Nem uma lista consideravelmente mais reduzida de tais garantias, nem um instrumento com menos força vinculativa podem ser considerados suficientes para assegurar o nível de proteção exigido. Por conseguinte, a proposta não vai além do necessário para alcançar o objetivo político de criar um quadro para a proteção de dados pessoais transferidos entre os Estados Unidos da América, por um lado, e a União Europeia ou os seus Estados-Membros, por outro, no contexto da aplicação coerciva da lei.

               •Escolha do instrumento

                  A criação de um quadro vinculativo para a proteção de dados pessoais que completará os acordos em vigor e constituirá uma base de referência para os futuros acordos só pode ser assegurada por meio de um acordo internacional celebrado entre a UE e os Estados Unidos.

                  Além disso, tal como salientado no relatório do HLCG de outubro de 2009, um acordo internacional proporciona o mais elevado nível de segurança jurídica.

               3.RESULTADOS DAS AVALIAÇÕES EX POST, DAS CONSULTAS DAS PARTES INTERESSADAS E DAS AVALIAÇÕES DE IMPACTO

               •Avaliações ex post/balanços de qualidade da legislação existente

                  Não aplicável.

               •Consulta das partes interessadas

                  A Comissão tem transmitido regularmente informações, tanto oralmente como por escrito, sobre o progresso das negociações, ao comité especial designado pelo Conselho. O Parlamento Europeu tem sido regularmente informado, por intermédio da Comissão das Liberdades Cívicas, da Justiça e dos Assuntos Internos (LIBE), tanto oralmente como por escrito.

               •Obtenção e utilização de competências especializadas

                  A iniciativa destina-se a aplicar as diretrizes de negociação do Conselho de 3 de dezembro de 2010.

               •Avaliação de impacto

                  Não foi necessária avaliação de impacto. O projeto de acordo está em conformidade com as diretrizes de negociação do Conselho.

               •Adequação e simplificação da legislação

                  Não aplicável.

               •Direitos fundamentais

                  As disposições do Acordo-Quadro têm por objetivo a proteção do direito fundamental à proteção dos dados pessoais e o direito a um recurso eficaz e a um julgamento equitativo, tal como consagrados, respetivamente, no artigo 8.º no artigo 47.º da Carta dos Direitos Fundamentais da União Europeia.

               4.INCIDÊNCIA ORÇAMENTAL

                  O acordo proposto não tem implicações orçamentais.

               5.OUTROS ELEMENTOS

               •Planos de execução e mecanismos de acompanhamento, de avaliação e de informação

                  A implementação pelos Estados-Membros será necessária, mas não se preveem grandes alterações nas disposições legislativas, na medida em que as disposições materiais do Acordo-Quadro refletem, em larga medida, as normas já aplicáveis à UE e às autoridades nacionais no âmbito do direito da UE e/ou do direito nacional.

               •Explicação pormenorizada das disposições específicas da proposta

                  Em conformidade com as diretrizes de negociação do Conselho, o Acordo-Quadro contém cinco categorias de disposições: i) Disposições horizontais; ii) Princípios e garantias em matéria de proteção de dados; iii) Direitos individuais; iv) Aspetos relacionados com a aplicação do acordo e com a sua supervisão; e v) Disposições finais.

                  i)
                        Disposições horizontais

                  i) Objeto do Acordo (artigo 1.º)

                  A fim de cumprir o objetivo do acordo (ou seja, assegurar um elevado nível de proteção dos dados pessoais e reforçar a cooperação no domínio da aplicação coerciva da lei), o Acordo-Quadro estabelece o enquadramento para a proteção dos dados pessoais transferidos entre os EUA, por um lado, e a UE ou os seus Estados-Membros, por outro, para efeitos de prevenção, investigação, deteção ou repressão de infrações penais, incluindo o terrorismo. A referência às noções de «prevenção, deteção, investigação e repressão de infrações penais» (a seguir designadas conjuntamente «aplicação coerciva da lei») assegura que o presente acordo será compatível com a arquitetura do atual e futuro acervo em matéria de proteção de dados da UE [em particular, a delimitação entre o Regulamento relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados («Regulamento geral sobre a proteção de dados»
                     5
                  ) e a «Diretiva Cooperação Policial», no que diz respeito ao respetivo âmbito de aplicação].

                  Ao especificar que o Acordo-Quadro não irá constituir, em si, a base jurídica para qualquer transferência de dados pessoais e que deve ser sempre exigida uma base jurídica (separada), o artigo 1.º também torna claro que o Acordo-Quadro constitui um verdadeiro acordo em matéria de direitos fundamentais que institui um conjunto de proteções e garantias aplicáveis a tais transferências.

                  ii) Definições (artigo 2.º)

                  Os principais conceitos do Acordo-Quadro são definidos no artigo 2.º. As definições de «dados pessoais», «tratamento de dados pessoais», «Partes», «Estado-Membro» e a «autoridade competente» são, no essencial, em consonância com a forma como estes conceitos são definidos noutros acordos UE-EUA e/ou no acervo da UE em matéria de proteção de dados.

                  iii) Âmbito de aplicação do Acordo (artigo 3.º)

                  O artigo 3.º do Acordo-Quadro define o seu âmbito de aplicação. Assegurará que as proteções e garantias previstas pelo Acordo-Quadro aplicar-se-ão a todos os intercâmbios de dados efetuados no contexto da cooperação transatlântica para efeitos de aplicação coerciva da legislação penal. Incluem-se neste âmbito as transferências com base na legislação nacional, em acordos UE-EUA (por exemplo, o Acordo de Assistência Judiciária Mútua UE-EUA), em acordos Estados-Membros-EUA (por exemplo, tratados de auxílio judiciário mútuo, acordos sobre o reforço da cooperação com vista a impedir e combater a criminalidade grave ou acordos ou convénios sobre os dados de deteção de terroristas), bem como acordos específicos que preveem a transferência de dados pessoais por entidades privadas para fins repressivos (por exemplo, a título do acordo UE-EUA relativo aos registos de identificação dos passageiros
                     6
                   («PNR») e o Acordo sobre o Programa de Deteção do Financiamento do Terrorismo
                     7
                   («TFTP»). O âmbito de aplicação é definido com base na transferência de dados, ou seja, abrange, em princípio, todas as transferências de dados para efeitos de aplicação coerciva da lei penal entre a UE e os EUA, independentemente da nacionalidade ou do local de residência do titular de dados em causa.

               O Acordo-Quadro não irá abranger as transferências de dados pessoais (ou outras formas de cooperação) entre os EUA e as autoridades dos Estados-Membros responsáveis pela garantia da segurança nacional.

                  iv) Não discriminação (artigo 4.º)

                  O artigo 4.º prevê que cada Parte implementará o Acordo-Quadro sem qualquer discriminação arbitrária ou injustificada entre os seus nacionais e os da outra Parte.

                  Este artigo completa e reforça outras disposições do acordo (nomeadamente, os artigos que fornecem garantias às pessoas singulares, tais como o acesso, a retificação e recurso administrativo, ver infra), e assegura que os cidadãos europeus beneficiarão, em princípio, de igualdade de tratamento em relação aos cidadãos dos EUA no que diz respeito à implementação prática das referidas disposições pelas autoridades dos EUA.

                   (v) Efeito do Acordo (artigo 5.º)

                  Relativamente aos acordos em vigor entre a UE/Estados-Membros e os EUA, o Acordo-Quadro complementá-los-á, na medida do necessário, ou seja, quando e na medida em que estes não forneçam as garantias necessárias em matéria de proteção de dados
                     8
                  .

                  A implementação efetiva do Acordo-Quadro (e em especial dos artigos sobre os direitos individuais) implica uma presunção de compatibilidade com as normas aplicáveis em matéria de transferências internacionais de dados. Essa presunção não é automática nem geral e, como todas as presunções, pode ser ilidida. Não se trata de uma presunção automática, uma vez que a sua aplicação depende expressamente da implementação efetiva do Acordo-Quadro pelos EUA e, mais especificamente, tal como o artigo 5., n.º 2, clarifica expressamente, da implementação efetiva dos artigos sobre os direitos das pessoas singulares (designadamente, acesso, retificação e recurso administrativo e judicial). Também não se trata de uma presunção geral: dado que o Acordo-Quadro não é um instrumento «autónomo» para a realização de transferências, tal presunção funciona necessariamente numa base casuística, ou seja, avaliando se a conjugação do Acordo-Quadro com a base jurídica específica para a transferência oferece um nível de proteção em conformidade com as normas de proteção de dados da UE. . Por outras palavaras, contrariamente a uma decisão de adequação, esta cláusula não prevê o reconhecimento «em bloco» do nível de proteção porporcionado aos Estados Unidos nem uma autorização geral das transferências.

                  ii)
                        Princípios e garantias em matéria de proteção de dados

                  Os artigos a seguir descritos enunciam princípios importantes que regem o tratamento de dados pessoais, bem como garantias e limitações fundamentais.

                  i) Limitação das finalidades e da utilização (artigo 6.º)

                  Em consonância com a Carta dos Direitos Fundamentais da UE e o acervo da UE, o artigo 6.º aplica o princípio da limitação da finalidade a todas as transferências de dados pessoais abrangidas pelo Acordo-Quadro, tanto no caso das transferências relacionadas com casos específicos, como aquando da celebração, entre os EUA e a UE ou os seus Estados -Membros de um acordo que autoriza a transferência indiscriminada de dados pessoais. O tratamento (que inclui a transferência) só pode ter lugar para finalidades explícitas e legítimas no âmbito do Acordo-Quadro, ou seja, a prevenção, investigação, deteção ou repressão de infrações penais, incluindo o terrorismo.

                  Além disso, o tratamento ulterior de dados pessoais por outras autoridades (autoridades com poderes coercivos, autoridades regulamentares ou administrativas) diferentes da primeira autoridade destinatária da Parte em causa é autorizado desde que seja compatível com a finalidade para a qual foram originalmente transferidos e que as referidas autoridades respeitem as outras disposições do Acordo-Quadro.

                  A autoridade competente que procede à transferência pode também impor condições adicionais (por exemplo, relativamente à utilização dos dados) em casos específicos.

                  Por último, os dados pessoais só podem ser tratados de uma forma que seja «diretamente relevante e não excessiva ou demasiado geral tendo em conta as finalidades do tratamento».

                  O artigo 6.º é uma disposição fundamental do acordo: assegura a aplicação das garantias no que diz respeito ao «ciclo de vida» completo de um determinado conjunto de dados, desde a sua transferência inicial da UE até ao seu tratamento por uma autoridade competente dos EUA e vice-versa, bem como à sua eventual partilha ou transformação por outra autoridade dos EUA ou, no caso de uma transferência de dados a partir dos Estados Unidos para uma autoridade competente da UE ou de um dos seus Estados-Membros, à sua eventual partilha ou transformação por outra autoridade da UE ou de um Estado-Membro.

                   ii) Transferência ulterior (artigo 7.º)

                  As limitações impostas à transferência ulterior enunciadas no artigo 7.º implicam que, caso uma autoridade norte-americana pretenda transferir por sua vez os dados que recebeu da UE ou de um dos seus Estados-Membros para um país terceiro ou organização internacional não vinculados pelo Acordo, deve obter previamente o acordo da autoridade com poderes coercivos da UE que tenha inicialmente transferido esses dados para os Estados Unidos. Esta regra aplica-se igualmente no caso de uma instituição da UE ou de um dos seus Estados-Membros pretender transferir os dados que recebeu dos Estados Unidos para um país terceiro ou uma organização internacional.

                  Ao decidir conceder a autorização, a autoridade que procedeu à transferência inicial deve ter devidamente em conta todos os fatores relevantes, nomeadamente a finalidade para a qual os dados foram inicialmente transferidos e o facto de o país terceiro ou organização internacional em causa oferecerem um nível adequado de proteção dos dados pessoais. Pode igualmente sujeitar essa transferência a condições específicas.

                  Além disso, tal como acontece para os artigos sobre a limitação das finalidades (artigo 6.º), sobre os períodos de conservação de registos (artigo 12.º) e sobre os dados sensíveis (artigo 13.º), o artigo 7.º tem expressamente em conta a sensibilidade especial da transferência indiscriminada de dados de pessoas não suspeitas (por exemplo, os dados PNR de todos os passageiros que efetuem um voo, independentemente de existirem suspeitas específicas), na medida em que exige que qualquer transferência subsequente de dados pessoais «diferentes dos dados relacionados com casos ... concretos» seja subordinada a condições específicas definidas no acordo que justificam devidamente a transferência ulterior.

                  A situação específica das transferências ulteriores para outro Estado da UE (por exemplo, quando a polícia francesa partilhe com a polícia alemã informações recebidas do FBI dos EUA) também é abordada no artigo 7.º (no n.º 4), que estabelece que, se por força das regras aplicáveis, tais transferências estão sujeitas a uma autorização prévia, a autoridade que transferiu inicialmente as informações (por exemplo, o FBI americano) não poderá recusar a autorização ou impor condições por motivos de proteção de dados (dado que todas as entidades envolvidas estão vinculadas pelo Acordo-Quadro).

                   iii) Manutenção da qualidade e da integridade dos dados (artigo 8.º)

                  As Partes tomarão as medidas razoáveis para assegurar que os dados pessoais transferidos são mantidos com a exatidão, pertinência, atualidade e exaustividade necessárias e adequadas para o seu tratamento lícito. Se a autoridade destinatária ou a autoridade que procedeu à transferência tiverem conhecimento da existência de dúvidas significativas quanto à pertinência, atualidade, exaustividade ou exatidão dos dados pessoais recebidos ou transferidos deve, sempre que possível, informar a autoridade que procedeu à transferência ou a autoridade destinatária em conformidade.

                  iv) Segurança dos dados (artigo 9.º) e notificação de incidentes relativos à segurança dos dados (artigo 10.º)

                  Estes artigos contribuem para assegurar um elevado nível de segurança dos dados pessoais intercambiados pelas Partes no Acordo-Quadro.

                  Em primeiro lugar, nos termos do artigo 9.º, as Partes adotarão medidas técnicas, de segurança e organizativas para proteger os dados pessoais contra o risco de destruição acidental ou ilícita, perda acidental e divulgação, alteração, acesso ou qualquer outro tipo de tratamento não autorizado. Essas medidas deverão prever igualmente que o acesso aos dados pessoais só seja concedido ao pessoal autorizado.

                  Em segundo lugar, nos termos do artigo 10.º, em caso de um incidente que envolva um risco significativo de danos, devem ser adotadas rapidamente medidas para os reduzir, incluindo a notificação do incidente à autoridade que procede à transferência e, sempre que as circunstâncias do incidente o justifiquem, à pessoa em causa. Esta disposição enumera de forma exaustiva as exceções à obrigação de notificação, as quais correspondem a limitações razoáveis (p. ex. a segurança nacional).

                  v) Conservação de registos (artigo 11.º)

                  As Partes devem estabelecer métodos eficazes (tais como registos cronológicos) para demonstrar a licitude do tratamento e da utilização dos dados pessoais.

                  Este requisito representa uma importante salvaguarda para as pessoas singulares, uma vez que coloca o ónus sobre as autoridades com poderes coercivos de demonstrar que uma determinada operação de tratamento de dados foi efetuada em conformidade com a lei. A obrigação de documentar as operações de tratamento de dados implica, em especial, que haverá um «rasto» em caso de tratamento ilegal. Tal rasto deverá facilitar o tratamento de queixas e a introdução de reclamações relativas à licitude das operações de tratamento de dados.

                  iv) Período de conservação de registos (artigo 12.º);

                  O tratamento de dados será objeto de períodos específicos de conservação de registos, a fim de assegurar que os dados não serão conservados por mais tempo do que o necessário e adequado. Para determinar a duração desses períodos de conservação de registos, deve ser tido em conta um certo número de elementos, em especial, a finalidade ou a utilização do tratamento, a natureza dos dados e o impacto sobre os direitos e interesses dos titulares de dados em causa.

                  É igualmente especificado que, quando as partes celebrem um acordo sobre a transferência de «dados indiscriminados», tal acordo deve prever uma disposição específica sobre o período de conservação aplicável. Com esta disposição, as Partes aceitam o princípio de que os acordos de transferência de dados indiscriminados devem prever um período específico de conservação de registos, que, por conseguinte, não tem de ser negociado de novo.

                  Os períodos de conservação de registos serão revistos periodicamente, a fim de determinar se a alteração de algumas circunstâncias exige a alteração do período de conservação de registos.

                  A fim de assegurar a transparência, os períodos de conservação dos dados devem ser publicados ou tornados públicos de outra forma.

                   vii)
                        Categorias especiais de dados (artigo 13.º)

                  O tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas e ou as convicções religiosas ou de outro tipo, a filiação sindical ou informações relativas à saúde ou à vida sexual, só pode ter lugar se forem estabelecidas garantias adequadas, em conformidade com a lei (por exemplo, ocultando a informação após a finalidade para a qual foram tratados ter sido alcançada ou subordinando o acesso a essa informação à autorização de uma autoridade de controlo).

                  Os acordos que permitem a «transferência indiscriminada» de dados pessoais devem especificar as normas e condições em que certas categorias de dados podem ser objeto de tratamento.

                  As disposições relativas a categorias especiais de dados devem respeitar a exigência de que o tratamento seja diretamente pertinente e não excessivo ao abrigo do artigo 6.º relativo à limitação das finalidades e da utilização.

                   viii) Decisões automatizadas (artigo 15.º)

                  O tratamento de dados que possa implicar decisões com consequências negativas para uma pessoa singular (por exemplo, no contexto da definição de perfis) não pode basear-se exclusivamente no tratamento automatizado dos dados pessoais, salvo se tal for autorizado pelo direito nacional, e desde que existam garantias adequadas, incluindo a possibilidade de obter uma intervenção humana.

                  ix) Transparência (artigo 20.º)

                  As pessoas têm o direito de receber informações (por meio de notificações gerais ou individuais e sujeitas a «restrições razoáveis») sobre a finalidade do tratamento e a eventual utilização posterior dos seus dados pessoais, a legislação ou as normas segundo as quais tal tratamento é efetuado, a identidade de terceiros a quem os seus dados pessoais podem ser comunicados, bem como o acesso, retificação e vias de recurso disponíveis.

                  O facto de aumentar a sensibilização das pessoas quanto à razão pela qual e por quem os seus dados são tratados contribui para que as pessoas singulares possam exercer os seus direitos de acesso, de retificação ou de recurso (ver artigos 16.º a 19.º).

                   iii)
                        Direitos individuais

                  Estes direitos são de particular relevância para a proteção dos titulares de dados que poderão, pela primeira vez, invocar direitos de aplicação geral para as transferências transatlânticas de dados pessoais no domínio da aplicação coerciva da lei penal.

                  i) Acesso e retificação (artigo 16.º e artigo 17.º)

                  O direito de acesso permite a qualquer pessoa pedir e obter acesso aos seus dados pessoais. Os motivos para limitar o acesso são enumerados taxativamente e correspondem a restrições razoáveis (por exemplo, proteção da segurança nacional, evitar prejudicar a investigação ou repressão de infrações penais, proteção dos direitos e liberdades de outras pessoas). O acesso de uma pessoa singular aos seus dados pessoais não deve implicar encargos excessivos.

                  O direito de retificação autoriza qualquer pessoa a pedir a correção ou a retificação dos seus dados pessoais, nos casos em que esses dados são inexatos ou foram indevidamente tratados. A referida correção ou retificação pode consistir no aditamento, supressão, bloqueio ou quaisquer outras medidas ou métodos destinados a remediar imprecisões ou um tratamento inadequado.

                  No caso de a autoridade competente do país destinatário concluir, na sequência de um pedido apresentado por um particular, de uma notificação pelo prestador da informação pessoal ou de uma investigação própria, que as informações são inexatas ou foram tratadas de forma inadequada, deve tomar medidas de aditamento, supressão, bloqueio ou outras medidas de correção ou retificação.

                  Se a legislação nacional o permitir, qualquer pessoa pode autorizar uma autoridade de supervisão (por exemplo, relativamente a um titular de dados da UE, uma autoridade nacional responsável pela proteção de dados) a solicitar em seu nome o acesso ou retificação. Esta possibilidade de exercício indireto de direitos, através de uma autoridade e dentro de um sistema jurídico que lhe é familiar deverá contribuir para facilitar o exercício dos respetivos direitos pelos titulares de dados.

                  Se a correção ou retificação for recusada ou limitada, a autoridade competente requerida deve comunicar à pessoa singular (ou ao seu representante devidamente autorizado) os motivos da recusa ou da limitação do acesso ou da retificação. A obrigação de fornecer ao interessado uma resposta fundamentada visa facilitar o exercício do seu direito de recurso administrativo ou judicial em caso de recusa ou restrição de acesso ou retificação por parte das autoridades com poderes coercivos.

                  ii) Recurso administrativo (artigo 18.º)

                  Se uma pessoa não concordar com o resultado do seu pedido de acesso ou retificação de dados pessoais, pode interpor recurso administrativo. Tal como previsto em matéria de acesso e retificação, para facilitar o exercício desse direito, o titular de dados pode mandatar uma autoridade de supervisão (por exemplo, relativamente a um titular de dados da UE, uma autoridade nacional responsável pela proteção de dados) ou outro representante, sempre que a legislação nacional o permita.

                  A autoridade competente junto da qual o recurso for interposto deve dar uma resposta por escrito, indicando, se aplicável, as eventuais medidas de melhoria ou correção adotadas.

                   iii) Recurso judicial (artigo 19.º)

                  Os cidadãos de cada uma das Partes devem poder recorrer aos tribunais em caso de i) recusa de acesso, ii) recusa de retificação, ou iii) divulgação ilegal pelas autoridades da outra Parte.

                  Do lado dos EUA, este direito ficou consagrado no Judicial Redress Act, assinado pelo Presidente Obama em 24 de fevereiro de 2016. Este ato irá alargar aos cidadãos de «países abrangidos»
                     9
                   estes três motivos de recurso judicial previstos pelo Privacy Act dos EUA de 1974, mas que atualmente estavam reservados aos cidadãos dos EUA e aos residentes permanentes. O quarto considerando do Preâmbulo do Acordo-Quadro esclarece que este alargamento abrangerá igualmente o intercâmbio de dados ao abrigo de acordos como o PNR e TFTP. Juntamente com a adoção do Judicial Redress Act, o artigo 19.º irá assim melhorar significativamente a proteção judicial dos cidadãos da UE.

                  Embora o Judicial Redress Act contenha uma série de limitações (em especial, só é aplicável aos dados de cidadãos de «países abrangidos» cujos dados tenham sido transferidos pelas autoridades com poderes coercivos da UE, em especial, mas não apenas os cidadãos da UE), o artigo 19.º do Acordo-Quadro responde a uma exigência de longa data da UE.

                  Esta disposição corresponde às orientações políticas formulada pelo Presidente Juncker, segundo as quais, «os EUA têm [...] de garantir que todos os cidadãos da UE, residentes ou não nos Estados Unidos, têm o direito de fazer valer os seus direitos à proteção de dados junto dos tribunais americanos. Eliminar esta discriminação será essencial para restabelecer a confiança nas relações transatlânticas». Responde igualmente à Resolução do Parlamento Europeu, de 12 de março de 2014, sobre o programa de vigilância da NSA dos EUA, na qual o Parlamento solicitou que fossem imediatamente reatadas as negociações com os EUA sobre o «Acordo-Quadro», a fim de «pôr os direitos dos cidadãos da UE em pé de igualdade com os direitos dos cidadãos dos Estados Unidos (...)» e de prever «vias de recurso (...) judicial eficazes e exequíveis para todos os cidadãos da UE nos Estados Unidos sem qualquer discriminação»
                     10
                  .

                  O artigo 19.º, n.º 3, esclarece que a extensão dos referidos três motivos de recurso judicial é aplicável sem prejuízo de qualquer outro recurso judicial previsto a outro título relativo ao tratamento de dados pessoais (por exemplo, ao abrigo do Administrative Procedure Act, do Electronics Communication Privacy Act ou do Freedom of Information Act). Estas outras bases jurídicas em matéria de recurso judicial estão à disposição de qualquer titular de dados afetado pela transferência de dados para efeitos de aplicação coerciva da lei, independentemente da sua nacionalidade ou local de residência.

                  iv)
                        Aspetos relacionados com a aplicação do Acordo-Quadro e com a sua supervisão

                  i) Responsabilização (artigo 14.º)

                  Deverão ser estabelecidas medidas para promover a responsabilização das autoridades de tratamento de dados pessoais abrangidos pelo Acordo-Quadro. Em especial, quando a autoridade destinatária transfere dados pessoais para outras autoridades, estas devem ser notificadas das garantias que são aplicáveis por força do Acordo-Quadro, bem como de eventuais condições adicionais (restritivas) ligadas à transferência nos termos do artigo 6.º, n.º 3, (sobre a limitação das finalidades e da utilização). As faltas graves devem ser objeto de sanções penais, civis ou administrativas adequadas e dissuasivas.

                  As medidas destinadas a promover a responsabilização incluem igualmente, se for caso disso, a interrupção das transferências de dados pessoais para entidades das Partes não abrangidas pelo Acordo-Quadro, se estas não assegurarem uma proteção efetiva dos dados pessoais, à luz da finalidade do acordo (e, em especial, as disposições relativas à limitação das finalidades e às transferências ulteriores). Esta disposição diz respeito à situação em que os dados pessoais são transmitidos por uma autoridade da União Europeia para uma autoridade federal dos EUA (ou seja, uma entidade abrangida pelo acordo) e, em seguida, novamente transferidos para uma autoridade com poderes coercivos a nível de um Estado federado. As regras constitucionais dos EUA limitam a capacidade do Estado federal de vincular os Estados federados a nível internacional
                     11
                  . Assim, a fim de assegurar a continuidade da proteção dos dados transferidos para as agências federais dos EUA e a seguir partilhados com autoridades com poderes coercivos dos Estados federados, o artigo 14.º: i) inclui, no seu âmbito de aplicação, «qualquer outra autoridade» das Partes (isto é, as autoridades não abrangidas pelo acordo, como as dos Estados federados dos Estados Unidos;  ii) precisa que as garantias previstas no Acordo-Quadro devem ser-lhes notificadas; e iii) prevê que, se for caso disso, as transferências para essas autoridades devem ser interrompidas se estas não protegerem de forma eficaz os dados pessoais, tendo em conta o objeto do Acordo-Quadro, nomeadamente as disposições relativas à limitação das finalidades e à transferência ulterior.

                  Com o objetivo de garantir que as autoridades com poderes coercivos competentes serão responsabilizadas pelo cumprimento do Acordo-Quadro, este artigo é um elemento importante para a eficácia do sistema de aplicação e de supervisão estabelecido no âmbito do acordo. Facilitará igualmente a introdução de reclamações em caso de execução inadequada (com a consequente responsabilização das autoridades públicas).

                  Por último, as autoridades da UE poderão manifestar as suas preocupações e receber informações por parte dos seus homólogos dos EUA sobre a forma como são cumpridas as suas obrigações por força do artigo 14.º (incluindo as medidas tomadas a este respeito). Além disso, no contexto dos reexames conjuntos (artigo 23.º), será prestada especial atenção à aplicação eficaz do disposto neste presente artigo.

                  (ii) Supervisão eficaz (artigo 21.º)

                  As Partes devem dispor de uma ou mais autoridades públicas que exercem funções e competências de supervisão de forma independente, nomeadamente em matéria de revisão, investigação e intervenção. Estas autoridades devem ser competentes para receber e intervir em caso de queixas apresentadas por pessoas singulares relativas às medidas de aplicação do Acordo-Quadro e para assinalar violações da legislação relacionada com o acordo para efeitos de ação penal ou disciplinar. Tendo em conta as particularidades do sistema americano, uma combinação de autoridades de supervisão [incluindo diretores gerais responsáveis pela proteção da vida privada (Chief Privacy Officers) Inspetores gerais (Inspectors Generals), o organismo de auditoria do Congresso (Government Accountability Office), etc] exercerão de forma cumulativa as funções de supervisão que as autoridades de proteção de dados realizam na UE.

                  Este artigo completa as garantias proporcionadas pelas disposições em matéria de acesso, retificação e recurso administrativo, permitindo, em especial, que as pessoas possam apresentar queixas junto de autoridades independentes sobre a forma como a outra Parte aplicou o Acordo-Quadro.

                  iii) Cooperação entre as autoridades de supervisão (artigo 22.º)

                  As autoridades de supervisão cooperarão com vista a assegurar a aplicação eficaz do acordo, nomeadamente no que se refere ao regime de exercício indireto de direitos individuais de acesso, retificação e recurso administrativo (ver artigos 16.º a 18.º).

                  Além disso, serão criados pontos de contacto nacionais para facilitar a identificação da autoridade de supervisão competente para resolver os casos concretos. Tendo em conta que existem diferentes autoridades de supervisão nos EUA, a criação de um «ponto de entrada» central para os pedidos de assistência e cooperação visa contribuir para o tratamento eficaz dos pedidos.

                   iv) Reexame conjunto (artigo 23.º)

                  As Partes procederão periodicamente a um reexame conjunto da implementação do Acordo-Quadro e da sua eficácia, prestando especial atenção à aplicação efetiva dos artigos relativos aos direitos individuais (acesso, retificação e recursos administrativo e judicial), bem como à questão das transferências de dados para entidades territoriais não abrangidas pelo acordo (ou seja, os Estados federados dos EUA). O primeiro reexame conjunto terá lugar no prazo de três anos após a data de entrada em vigor do acordo e, a partir de aí, a intervalos regulares.

                  A composição de cada delegação incluirá representantes das autoridades responsáveis pela proteção de dados e autoridades com poderes coercivos/judiciárias; as conclusões dos reexames conjuntos serão tornadas públicas.

                  v)
                        Disposições finais

                  O Acordo-Quadro contém uma série de cláusulas finais relativas:

               à notificação à outra Parte de quaisquer atos que afetem materialmente a execução do acordo. Os EUA notificarão designadamente à UE qualquer medida relacionada com a aplicação das disposições do Judicial Redress Act (artigo 24.º);

               à realização de consultas em caso de litígios sobre a forma como o acordo é interpretado ou aplicado (artigo 25.º);

               à possibilidade de suspender o acordo por uma Parte, no caso de violação substancial do acordo pela outra Parte (artigo 26.º);

               à aplicação territorial do acordo, a fim de ter em conta a situação específica do Reino Unido, da Irlanda e da Dinamarca (artigo 27.º);

               à duração ilimitada do acordo (que é justificada pela natureza do acordo, como um quadro que oferece proteção e garantias, e, por outro lado, pela possibilidade de suspender e denunciar o acordo (artigo 28.º);

               à possibilidade de cada Parte de denunciar o acordo, mediante notificação à outra Parte, sendo especificado que os dados pessoais transferidos antes do termo da sua vigência continuarão a ser tratados em conformidade com as disposições do Acordo-Quadro (artigo 29.º, n.os 2 e 3);

               à entrada em vigor do acordo no primeiro dia do mês seguinte à data em que as Partes tiverem trocado notificações em que indiquem ter cumprido as respetivas formalidades internas de aprovação (artigo 29.º, n. 1);

               à cláusula linguística (que precede imediatamente a linha de assinatura), que prevê: i) que o acordo será assinado em inglês e que a UE redigirá as versões nas outras 23 línguas oficiais da União; ii) a possibilidade, após a assinatura, de autenticar a versão do acordo em cada uma das outra línguas oficias da UE por meio de uma troca de notas diplomáticas com os Estados Unidos; iii) que em caso de divergência entre versões linguísticas que façam fé, o texto em língua inglesa prevalece sobre os textos noutras línguas.

               2016/0127 (NLE)

               Proposta de

               DECISÃO DO CONSELHO

               relativa à assinatura, em nome da União Europeia, de um acordo entre os Estados Unidos da América e a União Europeia sobre a proteção dos dados pessoais no âmbito da prevenção, investigação, deteção e repressão de infrações penais

               O CONSELHO DA UNIÃO EUROPEIA,

               Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente, o artigo 16.º, em conjugação com o artigo 218.º, n.º 5,

               Tendo em conta a proposta da Comissão Europeia,

               Considerando o seguinte:

               (1)Em 3 de dezembro de 2010, o Conselho autorizou a Comissão a encetar negociações com o Governo dos Estados Unidos da América relativas a um acordo sobre a proteção dos dados pessoais transferidos e tratados para efeitos de prevenção, investigação, deteção e repressão de crimes, incluindo o terrorismo.

               (2)As negociações com o Governo dos Estados Unidos da América foram concluídas e o texto do acordo rubricado em 8 de setembro de 2015.

               (3)O acordo tem por objetivo instituir um quadro global de princípios e garantias em matéria de proteção dos dados pessoais transferidos para efeitos da aplicação do direito penal entre os EUA, por um lado, e a União Europeia e os seus Estados-Membros, por outro. O objetivo é garantir um elevado nível de proteção desses dados e, deste modo, reforçar a cooperação entre as Partes. Embora não constituindo a base jurídica para a transferência de dados pessoais para os EUA, o acordo-quadro completa, quando necessário, as garantias em matéria de proteção de dados previstas nos acordos, existentes ou futuros, em matéria de transferência de dados ou nas disposições nacionais que autorizam tais transferências.

               (4)As competências da União abrangem todas as disposições do acordo. Em especial, a União adotou a Diretiva 2016/XXX/UE
                  12
                relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e de repressão de infrações penais ou de execução de sanções penais, e à livre circulação desses dados.

               (5)A União Europeia tem competência exclusiva na medida em que o acordo é suscetível de afetar as regras comuns da União ou de alterar o seu âmbito de aplicação.

               (6)Nos termos do artigo 6.º-A do Protocolo n.º 21 relativo à posição do Reino Unido e da Irlanda em relação ao espaço de liberdade, segurança e justiça, anexo ao TUE e ao TFUE, o Reino Unido e a Irlanda não ficam vinculados pelas normas estabelecidas no acordo, respeitantes ao tratamento de dados pessoais no exercício de atividades abrangidas pelo âmbito de aplicação do Capítulo 4 (Cooperação judiciária em matéria penal) e do Capítulo 5 (Cooperação policial) da Parte III, Título V do TFUE, sempre que estes países não estejam vinculados por normas que imponham o respeito do acordo.

               (7)Em conformidade com os artigos 1.º e 2.º do Protocolo n.º 22 relativo à posição da Dinamarca, anexo ao Tratado da União Europeia e ao Tratado sobre o Funcionamento da União Europeia, a Dinamarca não participa na adoção da presente decisão, não sendo vinculada pelo acordo nem sujeita à sua aplicação,

               (8)O acordo deve ser assinado, sob reserva da sua celebração em data ulterior,

               ADOTOU A PRESENTE DECISÃO:

               Artigo 1.º

               É autorizada, em nome da União, a assinatura do acordo entre os Estados Unidos da América e a União Europeia sobre a proteção dos dados pessoais no âmbito da prevenção, investigação, deteção e repressão de infrações penais, sob reserva da celebração do referido acordo.

               O texto do acordo a assinar acompanha a presente decisão.

               Artigo 2.º

               O Secretariado-Geral do Conselho estabelece o instrumento de plenos poderes para assinar o acordo, sob reserva da sua celebração, à pessoa indicada pela Comissão.

               Artigo 3.º

               A presente decisão entra em vigor no dia da sua adoção.

               Feito em Bruxelas, em

                        Pelo Conselho

                        O Presidente

                     (1)
                  Reports by the High Level Contact Group (HLCG) on information sharing and privacy and personal data protection (Relatórios do Grupo de Contacto de Alto Nível (HLCG) sobre o intercâmbio de informações e a proteção da privacidade e dos dados pessoais), Bruxelas, 23 de novembro de 2009, 15851/09, JAI 822 DATAPROTECT 74 USA 102.

                     (2)
                  Juntamente com a adoção da reforma em matéria de proteção de dados da UE e do novo «Escudo de Proteção da Privacidade UE-EUA» sobre a transferência de dados no domínio comercial, a celebração de um Acordo-Quadro mais significativo e abrangente constitui um elemento central da estratégia definida na Comunicação da Comissão intitulada «Restabelecer a confiança nos fluxos de dados entre a UE e os EUA» (COM(2013) 846), de 27 de novembro de 2013, disponível em

                     http://ec.europa.eu/justice/data-protection/files/com_2013_846_en.pdf

                  , tal como reiterado nas orientações políticas do Presidente Juncker, e na Comunicação da Comissão ao Parlamento Europeu e ao Conselho intitulada «Transferência transatlântica de dados: restaurar a confiança através de garantias sólidas», COM(2016) 117 final, de 29 de fevereiro de 2016, disponível em: http://ec.europa.eu/justice/data-protection/files/privacy-shield-adequacy-communication_en.pdf.

                     (3)
                  A expressão «informações pessoais», tal como utilizado no Acordo-Quadro é sinónimo do conceito utilizado na UE de «dados pessoais».

                     (4)
                  Proposta de Diretiva do Parlamento Europeu e do Conselho relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou de execução de sanções penais, e à livre circulação desses dados, COM/2012/010 final - 2012/0010 (COD), disponível em: http://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:52012PC0010&from=en

                     (5)
                  Proposta de Regulamento do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (Regulamento geral sobre a proteção de dados), [COM(2012)11 final 2012/0011(COD)], disponível em: http://ec.europa.eu/justice/data-protection/document/review2012/com_2012_11_en.pdf

                     (6)
                  Acordo entre os Estados Unidos da América e a União Europeia sobre a utilização e a transferência dos registos de identificação dos passageiros para o Departamento da Segurança Interna dos Estados Unidos, JO L 215, de 11.8.2012, p. 5.

                     (7)
                  Acordo entre a União Europeia e os Estados Unidos da América sobre o tratamento de dados de mensagens de pagamentos financeiros e a sua transferência da União Europeia para os Estados Unidos para efeitos do Programa de Deteção do Financiamento do Terrorismo, JO L 195, de 27.7.2010, p. 5.

                     (8)
                  O quarto considerando do Preâmbulo indica que o Acordo-Quadro não altera, condiciona ou, de outra forma, derroga acordos que estabelecem que oferecem um nível adequado de proteção de dados, com exceção do recurso judicial previsto no artigo 19.º, que também será aplicável a esses acordos. Tal diz respeito aos acordos PNR e TFTP.

                     (9)
                  Um «país abrangido», de acordo com o Judicial Redress Act dos EUA é um país i) que tenha celebrado com os Estados Unidos da América um acordo que prevê a proteção adequada da privacidade em matéria de partilha de informações para fins de aplicação coerciva da lei (ou que tenha efetivamente partilhado informações para efeitos de aplicação coerciva da lei e que se tenha dotado de medidas adequadas de proteção da privacidade para efeitos desse intercâmbio de informações); ii) que autorize a transferência de dados pessoais para fins comerciais através de um acordo celebrado com os EUA ou através de outro mecanismo; iii) cujas políticas em matéria de transferência de dados pessoais para fins comerciais não prejudiquem gravemente os interesses no domínio da segurança nacional dos Estados Unidos. A designação de um «país abrangido» é da competência do Ministro da Justiça (Attorney General) dos EUA

                     (10)
                  Ver ponto 57 e ponto BJ da Resolução, de 12 de março de 2014, sobre o programa de vigilância da Agência Nacional de Segurança dos EUA (NSA), os organismos de vigilância em diversos Estados-Membros e o seu impacto nos direitos fundamentais dos cidadãos da UE e na cooperação transatlântica no domínio da justiça e dos assuntos internos (2013/2188(INI)), disponível em: http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+TA+P7-TA-2014-0230+0+DOC+XML+V0//EN

                     (11)
                  Sendo uma república federal, existe uma partilha de competências entre o Governo Federal e o Governo de cada um dos Estados federados (ver igualmente o artigo 5.º, n.º 2, do Acordo-Quadro a este respeito).

                     (12)
                  Diretiva do Parlamento Europeu e do Conselho relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou de execução de sanções penais, e à livre circulação desses dados, que revoga a Decisão-Quadro 2008/977/JAI.

    ---documentbreak---

               COMISSÃO EUROPEIA
            Bruxelas, 29.4.2016
            COM(2016) 238 final
            ANEXO
            ACORDO ENTRE OS ESTADOS UNIDOS DA AMÉRICA E A UNIÃO EUROPEIA SOBRE A PROTEÇÃO DOS DADOS PESSOAIS NO ÂMBITO DA PREVENÇÃO, INVESTIGAÇÃO, DETEÇÃO E REPRESSÃO DE INFRAÇÕES PENAIS
            que acompanha a
            Proposta de Decisão do Conselho
            relativa à assinatura, em nome da União Europeia, de um acordo entre os Estados Unidos da América e a União Europeia sobre a proteção dos dados pessoais no âmbito da prevenção, investigação, deteção e repressão de infrações penais

               ACORDO ENTRE OS ESTADOS UNIDOS DA AMÉRICA E

               A UNIÃO EUROPEIA SOBRE A PROTEÇÃO DOS DADOS PESSOAIS NO ÂMBITO DA prevenção, investigação, deteção e repressão de infrações penais

               ÍNDICE

               Preâmbulo

                  Artigo 1.º:
                     Objeto

                  Artigo 2.º:
                     Definições

                  Artigo 3.º:
                     Âmbito de aplicação

                  Artigo 4.º:
                     Não discriminação

               Artigo 5.º:
                     Efeito do Acordo

                  Artigo 6.º:
                     Limitação das finalidades e da utilização

                  Artigo 7.º:
                     Transferência ulterior

               Artigo 8.º:
                     Manutenção da qualidade e da integridade dos dados

                  Artigo 9.º:
                     Segurança dos dados

               Artigo 10.º:
                     Notificação de incidentes relativos à segurança dos dados

               Artigo 11.º:
                     Conservação de registos

               Artigo 12.º:
                     Período de conservação de registos

                  Artigo 13.º:
                     Categorias especiais de dados pessoais

               Artigo 14.º:
                     Responsabilização

                  Artigo 15.º:
                     Decisões automatizadas

                  Artigo 16.º:
                     Acesso

               Artigo 17.º:
                     Retificação

               Artigo 18.º:
                     Recurso administrativo

               Artigo 19.º:
                     Recurso judicial

               Artigo 20.º:
                     Transparência

               Artigo 21.º:
                     Supervisão eficaz

               Artigo 22.º:
                     Cooperação entre as autoridades de supervisão

                  Artigo 23.º:
                     Reexame conjunto

               Artigo 24.º:
                     Notificação

               Artigo 25.º:
                     Consulta

               Artigo 26.º:
                     Suspensão

               Artigo 27.º:
                     Âmbito de aplicação territorial

               Artigo 28.º:
                     Duração

               Artigo 29.º:
                     Entrada em vigor e cessação da vigência

               Conscientes de que os Estados Unidos e a União Europeia estão empenhados em assegurar um elevado nível de proteção dos dados pessoais intercambiados no contexto da prevenção, investigação, deteção e repressão de infrações penais, incluindo o terrorismo;

               Pretendendo criar um quadro jurídico duradouro para facilitar o intercâmbio de dados, que é essencial para prevenir, investigar, detetar e reprimir as infrações penais, incluindo o terrorismo, a fim de proteger as suas sociedades democráticas e os seus valores comuns;

               Pretendendo, em especial, estabelecer normas de proteção para o intercâmbio de dados pessoais, com base nos acordos existentes ou futuros, entre os EUA e a UE e os seus Estados-Membros, no domínio da prevenção, investigação, deteção e repressão de infrações penais, incluindo o terrorismo;

               Reconhecendo que alguns acordos existentes entre as Partes relativos ao tratamento de dados pessoais estabelecem que esses acordos conferem um nível adequado de proteção dos dados no âmbito de aplicação de tais acordos, as Partes afirmam que o presente Acordo não deve ser interpretado no sentido de alterar, condicionar ou derrogar esses acordos; considerando, no entanto, que as obrigações estabelecidas no artigo 19.º do presente Acordo relativo ao recurso judicial serão aplicáveis a todas as transferências de dados abrangidas pelo presente Acordo, e que tal não prejudica uma eventual futura revisão ou alteração desses acordos em conformidade com as suas disposições;

               Reconhecendo a longa tradição de ambas as Partes de respeito pela vida privada, designadamente tal como refletida nos princípios sobre a proteção da privacidade e dos dados pessoais para efeitos de aplicação coerciva da lei enunciados pelo Grupo de Contacto de Alto Nível UE-EUA sobre o intercâmbio de informações e a proteção da vida privada e dos dados pessoais, na Carta dos Direitos Fundamentais da União Europeia e na legislação da UE aplicável, na constituição dos Estados Unidos e na legislação dos EUA aplicável, bem como nos princípios de práticas de informação justas da Organização de Cooperação e de Desenvolvimento Económicos; e

               Reconhecendo os princípios da proporcionalidade e da necessidade, e da relevância e razoabilidade, tal como estabelecidos pelas Partes nos respetivos quadros jurídicos;

               Os Estados Unidos da América e a União Europeia ACORDARAM NO SEGUINTE:

               Artigo 1.º: Objeto

               1. O objetivo do presente Acordo consiste em garantir um elevado nível de proteção dos dados pessoais e reforçar a cooperação entre os Estados Unidos e a União Europeia e os seus Estados-Membros em matéria de prevenção, investigação, deteção ou repressão de infrações penais, incluindo o terrorismo.

               2. Para esse efeito, o presente Acordo estabelece o quadro para a proteção de dados pessoais aquando da sua transferência os Estados Unidos da América, por um lado, e a União Europeia e os seus Estados-Membros, por outro.

               3. O presente Acordo não constitui, em si, a base jurídica de eventuais transferências de dados pessoais.  Será sempre necessária uma base jurídica para que tais transferências possam ser efetuadas.

               Artigo 2.º: Definições

               Para efeitos do presente Acordo, entende-se por:

               1.«Dados pessoais», qualquer informação relativa a uma pessoa singular identificada ou identificável.  É considerada identificável qualquer pessoa que possa ser identificada, direta ou indiretamente, nomeadamente por referência a um número de identificação ou a um ou mais elementos específicos da sua identidade física, fisiológica, psíquica, económica, cultural ou social.

               2.«Tratamento de dados pessoais», qualquer operação ou conjunto de operações que implique a recolha, conservação, utilização, alteração, organização ou estruturação, divulgação ou difusão, ou disponibilização desses dados.

               3.«Partes», a União Europeia e os Estados Unidos da América.

               4.«Estado-Membro», um Estado-Membro da União Europeia;

               5.«Autoridade competente», no caso dos Estados Unidos, uma autoridade nacional com poderes coercivos, responsável pela prevenção, investigação, deteção ou repressão de infrações penais, incluindo o terrorismo, e, no caso da União Europeia, uma autoridade da União Europeia, e uma autoridade de um Estado-Membro, responsáveis pela prevenção, investigação, deteção ou repressão de infrações penais, incluindo o terrorismo.

               Artigo 3.º: Âmbito de aplicação

               1. O presente Acordo é aplicável aos dados pessoais transferidos entre as autoridades competentes de uma das Partes e as autoridades competentes da outra Parte, ou transferidos de outro modo em conformidade com um acordo celebrado entre os Estados Unidos e a União Europeia ou os seus Estados-Membros, para efeitos de prevenção, deteção, investigação ou repressão de infrações penais, incluindo o terrorismo.

               2. O presente Acordo não afeta nem prejudica as transferências ou outras formas de cooperação entre as autoridades dos Estados-Membros e dos Estados Unidos, com exceção daquelas a que se refere o artigo 2.º, n.º 5, responsáveis pela garantia da segurança nacional.

               Artigo 4.º:  Não discriminação

               Cada Parte deve cumprir as obrigações que lhe incumbem por força do presente Acordo, para efeitos da proteção dos dados pessoais dos seus próprios cidadãos e dos cidadãos da outra Parte, independentemente da sua nacionalidade e sem qualquer discriminação arbitrária e injustificada.

               Artigo 5.º:  Efeito do Acordo

               1. O presente Acordo completa, quando tal se justifique, mas não substitui, as disposições em matéria de proteção de dados pessoais constantes dos acordos internacionais celebrados entre as Partes ou entre os Estados Unidos e os Estados-Membros que incidam sobre as matérias abrangidas pelo âmbito de aplicação do presente Acordo.

               2. As Partes devem tomar todas as medidas necessárias à aplicação do presente Acordo, incluindo, em especial, as relativas às respetivas obrigações nele estabelecidas em matéria de acesso, retificação e recurso administrativo e judicial a favor das pessoas singulares. As pessoas singulares e as pessoas coletivas beneficiam das medidas de proteção e das vias de recurso contempladas no presente Acordo em conformidade com a legislação nacional aplicável de cada uma das Partes. Relativamente aos Estados Unidos, as medidas tomadas no cumprimento das suas obrigações são aplicáveis no respeito dos princípios fundamentais do federalismo dos Estados Unidos.

               3. Para efeitos da aplicação do disposto no n.º 2, considera-se que o tratamento de dados pessoais pelos Estados Unidos ou pela União Europeia e os seus Estados-Membros, nas matérias abrangidas pelo presente Acordo, é conforme com as respetivas legislações sobre a proteção de dados que limitam ou condicionam as transferências internacionais de dados pessoais, não sendo necessária qualquer outra autorização ao abrigo dessas legislações.

               Artigo 6.º: Limitação das finalidades e da utilização

               1. A transferência de dados pessoais deve ser efetuada para as finalidades específicas autorizadas pela base jurídica da transferência referida no artigo 1.º.

               2. O tratamento posterior desses dados pessoais por uma das Partes deve ser compatível com as finalidades para as quais foram transmitidos. Por tratamento compatível, entende-se um tratamento em conformidade com os acordos internacionais em vigor e os enquadramentos internacionais consagrados por escrito em matéria de prevenção, deteção, investigação ou repressão de crimes graves. O referido tratamento de dados pessoais por outras autoridades nacionais com poderes coercivos, por autoridades regulamentares ou administrativas deve respeitar as restantes disposições do presente Acordo.

               3. O presente artigo não prejudica a capacidade de a autoridade competente que procede à transferência impor condições adicionais num caso específico, na medida em que o quadro jurídico aplicável à transferência o permita. Tais condições não podem consistir em condições genéricas de proteção de dados, isto é, condições sem qualquer relação com os factos em causa.  Se a transferência de dados for subordinada a determinadas condições, a autoridade competente destinatária dos dados deve respeitar essas condições. A autoridade competente que disponibiliza os dados pode também exigir ao destinatário que forneça informações sobre a utilização das informações transferidas.

               4. No caso de os Estados Unidos, por um lado, e a União Europeia ou um Estado-Membro, por outro, celebrarem um acordo sobre a transmissão de dados pessoais, diferentes dos dados relacionados com casos, investigações ou processos penais concretos, as finalidades específicas para as quais os dados são transferidos e tratados devem ser estabelecidas no referido acordo.

               5. As Partes devem assegurar, em aplicação das respetivas legislações, que os dados pessoais são tratados de uma forma que é diretamente relevante e não excessiva ou demasiado geral tendo em conta as finalidades do tratamento.

               Artigo 7.º:  Transferência ulterior

               1. No caso de uma autoridade competente de uma Parte ter transferido dados pessoais relativos a um caso específico a uma autoridade competente da outra Parte, essas informações só podem ser transferidas para um Estado ou para uma instituição internacional não vinculados pelo presente Acordo com o consentimento prévio da autoridade competente que procedeu à transferência inicial.

               2. Ao conceder o seu consentimento para uma transferência em conformidade com o disposto no n.º 1, a autoridade competente que procedeu à transferência inicial deve ter devidamente em conta todos os fatores relevantes, designadamente a gravidade da infração, a finalidade para a qual os dados foram inicialmente transferidos e se o Estado ou o organismo internacional não vinculados pelo presente Acordo asseguram um nível adequado de proteção dos dados pessoais. Pode igualmente sujeitar essa transferência a condições específicas.

               3. No caso de os Estados Unidos, por um lado, e a União Europeia ou um Estado-Membro, por outro, celebrarem um acordo sobre a transmissão de dados pessoais, diferentes dos dados relacionados com casos, investigações ou processos penais concretos, a transferência ulterior de dados pessoais fica subordinada ao respeito de condições específicas estabelecidas no acordo que justifiquem devidamente a referida transferência. O acordo deve prever igualmente mecanismos de informação adequados entre as autoridades competentes.

               4. Nenhuma disposição do presente artigo pode ser interpretada de uma forma que afete qualquer exigência, obrigação ou prática nos termos da qual o consentimento prévio da autoridade competente que procedeu à transferência inicial deve ser obtido antes da transferência ulterior para um Estado ou organismo vinculado pelo presente Acordo, desde que o nível de proteção dos dados nesse Estado ou organismo não justifique a oposição à referida transferência ou a sua subordinação ao respeito de condições específicas.

               Artigo 8.º: Manutenção da qualidade e da integridade dos dados

               As Partes devem tomar as medidas razoáveis para assegurar que os dados pessoais são mantidos com a exatidão, pertinência, atualidade e exaustividade necessárias e adequadas para o seu tratamento lícito.  Para esse efeito, as autoridades competentes devem estabelecer procedimentos destinados a garantir a qualidade e a integridade dos dados pessoais, nomeadamente:

                  a) As medidas referidas no artigo 17.º;

               b) No caso de a autoridade competente tomar conhecimento de dúvidas significativas sobre a pertinência, atualidade, exaustividade ou exatidão dos referidos dados pessoais ou de uma avaliação que transferiu, deve, sempre que possível, informar a autoridade competente destinatária;

               c) No caso de a autoridade competente destinatária dos dados tomar conhecimento de dúvidas significativas sobre a pertinência, atualidade, exaustividade ou exatidão dos dados pessoais recebidos de uma autoridade pública, ou de uma avaliação realizada pela autoridade competente que procede à transferência quanto à exatidão das informações ou da fiabilidade de uma fonte, deve, sempre que possível, informar a autoridade competente que efetua a transferência.

               Artigo 9.º: Segurança dos dados

               As Partes devem garantir que são adotadas medidas técnicas, de segurança e organizativas para proteger os dados pessoais contra os seguintes riscos:

                  a) Destruição acidental ou ilícita;

                  b) Perda acidental; e

                  c) Divulgação, alteração, acesso ou qualquer outro tipo de tratamento não autorizado.

               Essas medidas devem prever garantias adequadas no que se refere à autorização exigida para aceder a dados pessoais.

               Artigo 10.º: Notificação de incidentes relativos à segurança dos dados

               1. Na sequência da descoberta de um incidente que envolva a perda ou destruição acidental de dados pessoais, o acesso não autorizado a tais dados ou a sua divulgação ou alteração, que possa representar um risco significativo de causar danos, a autoridade competente destinatária deve avaliar imediatamente a probabilidade e a dimensão dos danos causados às pessoas e à integridade do programa de transferência de dados pessoais da autoridade competente que procedeu à transferência, adotando rapidamente medidas adequadas para reduzir esses danos.

               2. As medidas adotadas para reduzir os danos devem incluir a notificação do incidente à autoridade competente que procede à transferência.  No entanto, a notificação pode:

                  a) Prever restrições adequadas quanto à transmissão ulterior da notificação;

                  b) Ser adiada ou omitida quando seja suscetível de pôr em risco a segurança nacional;

                  c) Ser adiada quando seja suscetível de pôr em risco operações de segurança pública.

               3. As medidas destinadas a reduzir os danos devem também prever a notificação do incidente à pessoa em causa, sempre que as circunstâncias do incidente o justifiquem, a menos que a referida notificação seja suscetível de pôr em risco:

                  a) A ordem pública ou a segurança nacional;

                  b) Os inquéritos, investigações ou procedimentos oficiais;

                  c) A prevenção, deteção, investigação ou repressão de infrações penais;

                  d) Os direitos e liberdades de terceiros, nomeadamente a proteção das vítimas e das testemunhas.

               4. As autoridades competentes envolvidas na transferência de dados pessoais podem consultar-se sobre o incidente e sobre a resposta a adotar.

               Artigo 11.º: Conservação de registos

               1. As Partes devem estabelecer métodos eficazes para demonstrar a licitude do tratamento de dados pessoais, que podem incluir a utilização de registos cronológicos ou de outro tipo.

               2. As autoridades competentes podem utilizar tais registos cronológicos ou de outro tipo para assegurar o correto funcionamento das bases de dados ou dos ficheiros em causa, garantir a integridade e a segurança dos dados e, sempre que necessário, cumprir procedimentos de salvaguarda.

               Artigo 12.º: Período de conservação de registos

               1. As Partes devem prever nos respetivos quadros jurídicos períodos específicos de conservação dos registos que contenham informações pessoais, a fim de garantir que tais informações não são conservadas por mais tempo do que o necessário e adequado.  Os períodos de conservação devem ter em conta a finalidade do tratamento, a natureza dos dados e a autoridade responsável pelo tratamento, o impacto nos direitos e interesses das pessoas afetadas e outras considerações de ordem jurídica aplicáveis.

               2. No caso de os Estados Unidos, por um lado, e a União Europeia ou um Estado-Membro, por outro, celebrarem um acordo sobre a transmissão de dados pessoais, diferentes dos dados relacionados com casos, investigações ou processos penais concretos, tal acordo deve incluir uma disposição específica e mutuamente acordada sobre o período de conservação dos registos.

               3. As Partes devem prever procedimentos de revisão periódica do período de conservação de registos, a fim de determinar se a alteração de algumas circunstâncias exige uma alteração ulterior do prazo aplicável.

               4. As Partes devem publicar ou tornar público de outra forma os períodos de conservação.

               Artigo 13.º: Categorias especiais de dados pessoais

               1. O tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas e as convicções religiosas ou de outro tipo, a filiação sindical ou informações pessoais relativas à saúde ou à vida sexual só pode realizar-se com salvaguardas adequadas, em conformidade com a lei. Tais salvaguardas adequadas podem consistir em: limitar as finalidades para as quais os dados podem ser tratados, permitindo, por exemplo, o tratamento apenas numa base casuística; mascarar, suprimir ou bloquear a informação depois de a finalidade para a qual foram tratados ter sido alcançada; restringir o pessoal autorizado a aceder à informação; exigir uma formação especializada ao pessoal que tiver acesso à informação; subordinar o acesso a essa informação à autorização de uma autoridade de controlo; ou outras medidas de proteção. As referidas salvaguardas devem ter devidamente em conta a natureza da informação, o seu caráter particularmente sensível e a finalidade para a qual é tratada.

               2. No caso de os Estados Unidos, por um lado, e a União Europeia ou um Estado-Membro, por outro, celebrarem um acordo sobre a transmissão de dados pessoais, diferentes dos dados relacionados com casos, investigações ou processos penais concretos, tal acordo deve especificar as normas e condições em que tais dados podem ser tratados, tendo devidamente em conta a natureza e a finalidade a que se destina.

               Artigo 14.º: Responsabilização

               1. As Partes devem adotar medidas para promover a responsabilização no que respeita ao tratamento de dados pessoais no âmbito do presente Acordo pelas respetivas autoridades competentes e qualquer outra autoridade a quem tenham sido transferidos dados pessoais.  Essas medidas devem incluir a notificação das salvaguardas aplicáveis às transferências de dados pessoais ao abrigo do presente Acordo e das condições eventualmente impostas pela autoridade competente que procede à transferência, nos termos do artigo 6.º, n.º 3. As faltas graves devem ser objeto de sanções penais, civis ou administrativas adequadas e dissuasivas.

               2. As medidas enunciadas no n.º 1 devem incluir, se for caso disso, a interrupção da transferência de dados pessoais para as autoridades das entidades territoriais das Partes não abrangidas pelo presente Acordo que não tenham protegido de forma eficaz os dados pessoais, tendo em conta o objeto do presente Acordo e, em especial, as suas disposições relativas à limitação das finalidades e da utilização e à transferência ulterior.

               3. Caso seja alegada a execução inadequada do presente artigo, uma Parte pode solicitar à outra informações a este propósito, designadamente, se for caso disso, sobre as medidas tomadas ao abrigo do presente artigo.

               Artigo 15.º: Decisões automatizadas

               As decisões suscetíveis de produzir efeitos prejudiciais significativos contra interesses relevantes da pessoa envolvida não podem basear-se exclusivamente no tratamento automatizado dos dados pessoais sem qualquer intervenção humana, a menos que tal seja autorizado pelo direito nacional e sejam previstas garantias adequadas que contemplem a possibilidade de requerer uma intervenção humana.

               Artigo 16.º: Acesso

               1. As Partes devem assegurar que qualquer pessoa tenha o direito de solicitar o acesso aos seus dados pessoais e, sob reserva das restrições previstas no n.º 2, que o possa obter.  Esse acesso deve ser solicitado e obtido junto de uma autoridade competente, em conformidade com o quadro jurídico aplicável do Estado onde for requerido.

               2. A obtenção dessas informações num caso concreto pode estar sujeita a restrições razoáveis previstas no direito nacional, tendo em conta os interesses legítimos da pessoa singular em causa, de modo a:

                  a) Proteger os direitos e liberdades de terceiros, nomeadamente a sua privacidade;

                  b) Salvaguardar a ordem pública e a segurança nacional;

                  c) Proteger informações sensíveis na posse das autoridades com poderes coercivos;

                  d) Impedir que obstem a inquéritos, investigações, ou procedimentos oficiais ou judiciais;

               e) Evitar prejudicar a prevenção, deteção, investigação ou repressão de infrações penais ou a execução de sanções penais;

               f) Proteger de qualquer outra forma os interesses previstos na legislação em matéria de liberdade de informação e de acesso do público a documentos.

               3. O acesso de uma pessoa singular aos seus dados pessoais não deve implicar encargos excessivos.

               4. Qualquer pessoa singular tem o direito de autorizar, sempre que a legislação nacional o permita, uma autoridade de supervisão ou outro representante a solicitar o acesso em seu nome.

               5. Se o acesso for recusado ou restringido, a autoridade competente requerida deve, sem demora injustificada, comunicar à pessoa singular ou ao seu representante devidamente autorizado, nos termos do n.º 4, os motivos da recusa ou da restrição do acesso.

               Artigo 17.º: Retificação

               1. As Partes devem assegurar que qualquer pessoa singular possa solicitar a correção ou retificação dos seus dados pessoais que considere inexatos ou indevidamente tratados. A referida correção ou retificação podem consistir no aditamento, supressão, bloqueio ou quaisquer outras medidas ou métodos destinados a remediar imprecisões ou um tratamento inadequado, devendo ser solicitada e obtida junto de uma autoridade competente, em conformidade com o quadro jurídico aplicável no Estado onde for requerida.

               2. Sempre que a autoridade competente destinatária concluir, na sequência:

                  a) de um pedido ao abrigo do n.º 1;

                  b) de uma notificação da entidade que prestou as informações; ou

                  c) das suas próprias investigações ou inquéritos;

               que as informações que recebeu ao abrigo do presente Acordo são incorretas ou foram indevidamente tratadas, deve tomar as medidas de aditamento, supressão, bloqueio ou outros métodos de correção ou retificação, consoante o caso.

               3. Qualquer pessoa singular pode autorizar, sempre que a legislação nacional o permita, uma autoridade de supervisão ou outro representante a solicitar a correção ou a retificação em seu nome.

               4. Se a correção ou retificação for recusada ou limitada, a autoridade competente requerida deve, sem demora injustificada, comunicar à pessoa singular ou ao seu representante devidamente autorizado, nos termos do n.º 3, os motivos da recusa ou da limitação da correção ou retificação.

               Artigo 18.º: Recurso administrativo

               1. As Partes devem assegurar que qualquer pessoa singular pode interpor recurso administrativo quando considere que o seu pedido de acesso nos termos do artigo 16.º ou a retificação de informações inexatas ou objeto de tratamento inadequado nos termos do artigo 17.º foi indevidamente recusado. O recurso deve ser interposto junto de uma autoridade competente, em conformidade com o quadro jurídico aplicável do Estado onde for requerido.

               2. Qualquer pessoa singular pode autorizar, sempre que a legislação nacional o permita, uma autoridade de supervisão ou outro representante a interpor um recurso administrativo em seu nome.

               3. A autoridade competente junto da qual o recurso é interposto procede aos inquéritos e verificações adequados e deve, sem demora injustificada, comunicar por escrito, nomeadamente por via eletrónica, as suas conclusões, incluindo eventuais melhorias ou correções. A notificação das outras vias de recurso administrativo deve ser efetuada em conformidade com o disposto no artigo 20.º.

               Artigo 19.º: Recurso judicial

               1. As Partes devem prever nos respetivos quadros jurídicos que, sem prejuízo da obrigação de esgotar em primeiro lugar as vias de recurso administrativo, qualquer cidadão de uma das Partes pode interpor recurso judicial, em caso de:

               a) Recusa por parte de uma autoridade competente do acesso a registos que contenham dados pessoais da pessoa em causa;

               b) Recusa por parte de uma autoridade competente de alterar registos que contenham dados pessoais; e

               c) Divulgação ilícita desses dados, de forma deliberada ou intencional, caso em que pode ser exigida uma indemnização compensatória.

               2. O recurso judicial deve ser interposto em conformidade com o quadro jurídico aplicável do Estado onde a reparação for requerida.

               3. Os n.os 1 e 2 são aplicáveis sem prejuízo de qualquer outro recurso judicial relativo ao tratamento de dados pessoais previsto na legislação do Estado em que o recurso for interposto.

               4. Em caso de suspensão ou de cessação da vigência do Acordo, os artigos 26.º, n.º 2, e 29.º, n.º 3, não podem constituir a base para a interposição de um recurso judicial que deixou de estar disponível ao abrigo da legislação da Parte em causa.

               Artigo 20.º: Transparência

               1. As Partes devem notificar o titular dos dados, eventualmente através das autoridades competentes por meio da publicação de notificações gerais ou através de uma notificação individual, na forma e na data prevista pela lei aplicável à autoridade que efetua a notificação, os seguintes elementos:

                     a) Finalidades do tratamento de tais dados por essa autoridade;

                    b) Finalidades para as quais os dados podem ser partilhados com outras autoridades;

                    c) Disposições legislativas ou normas ao abrigo das quais o tratamento é efetuado;

                    d) Terceiros a quem tais dados são divulgados; e

                    e) Direitos da pessoa em causa em matéria de acesso, correção ou retificação, bem como as vias de recurso disponíveis.

               2. Esta obrigação de notificação está sujeita a restrições razoáveis ao abrigo do direito nacional, no que diz respeito aos domínios enunciados no artigo 16.º, n.º 2, alíneas a) a f).

               Artigo 21.º: Supervisão eficaz

               1. As Partes devem dispor de uma ou mais autoridades públicas de supervisão que:

               a) Exerçam funções e competências de supervisão de forma independente, nomeadamente em matéria de revisão, investigação e intervenção, se necessário, por sua própria iniciativa;

               b) Sejam competentes para receber e intervir em caso de queixas apresentadas por pessoas singulares relativas às medidas de execução do presente Acordo; e

               c) Tenham competência para assinalar violações da legislação relacionada com o presente Acordo para efeitos de ação penal ou disciplinar, se for caso disso.

               2. A União Europeia efetuar a supervisão nos termos do presente artigo, através das suas autoridades responsáveis pela proteção de dados e das autoridades dos Estados-Membros.

               3. Os Estados Unidos devem efetuar a supervisão nos termos do presente artigo de forma cumulativa, através de várias autoridades, que podem incluir, designadamente, os inspetores gerais (inspectors general), os diretores gerais responsáveis pela proteção da vida privada (chief privacy officers), o organismo de auditoria do Congresso (Government Accountability Office), a Comissão de Controlo da Privacidade e das Liberdades Cívicas (Privacy and Civil Liberties Oversight Board) e outros organismos executivos ou legislativos de supervisão do respeito da vida privada e das liberdades civis.

               Artigo 22.º: Cooperação entre as autoridades de supervisão

               1. Se for caso disso, serão realizadas consultas entre as autoridades de supervisão referidas no artigo 21.º quanto ao exercício das funções relacionadas com o presente Acordo, tendo em vista garantir a implementação eficaz do disposto nos artigos 16.º, 17.º e 18.º.

               2. As Partes devem criar pontos de contacto nacionais que ajudem a identificar a autoridade de supervisão competente num determinado caso.

               Artigo 23.º: Reexame conjunto

               1. As Partes devem proceder periodicamente a um reexame conjunto das políticas e procedimentos de implementação do presente Acordo e da sua eficácia.  Esse reexame deve prestar especial atenção à aplicação eficaz das garantias previstas no artigo 14.º (responsabilização), no artigo 16.º (acesso), no artigo 17.º (retificação), no artigo 18.º (recurso administrativo) e no artigo 19.º (recurso judicial).

               2. O primeiro reexame conjunto deve ter lugar no prazo de três anos após a data de entrada em vigor do presente Acordo e, a partir de aí, a intervalos regulares.  As Partes devem acordar previamente as modalidades e as condições desse reexame e comunicar entre si a composição das respetivas delegações, que devem incluir representantes das autoridades públicas de supervisão a que se refere o artigo 21.º sobre a supervisão eficaz, bem como das autoridades judiciais e policiais.  As conclusões do reexame conjunto devem ser tornadas públicas.

               3. Caso as Partes, ou os Estados Unidos e um Estado-Membro, tenham celebrado um acordo cujo objeto seja igualmente abrangido pelo âmbito do presente Acordo, que preveja a realização de um reexame conjunto, tal reexame conjunto não deve constituir uma duplicação e, na medida em que sejam pertinentes, as respetivas conclusões devem ser integradas nas conclusões do reexame conjunto efetuado no âmbito do presente Acordo.

               Artigo 24.º: Notificação

               1. Os Estados Unidos devem notificar à União Europeia qualquer designação efetuada pelas suas autoridades nos termos do artigo 19.º, bem como qualquer alteração nesta matéria.

               2. As Partes devem envidar esforços razoáveis no sentido de notificar mutuamente a adoção de disposições legislativas ou regulamentares suscetíveis de afetar substancialmente a execução do presente Acordo, se possível antes de estas entrarem em vigor.

               Artigo 25.º:   Consulta

               Qualquer litígio decorrente da interpretação ou da aplicação do presente Acordo deve ser objeto de consultas entre as Partes com vista a encontrar uma solução mutuamente aceitável.

               Artigo 26.º:  Suspensão

               1. Em caso de violação substancial do presente Acordo, qualquer das Partes pode suspendê-lo, total ou parcialmente, mediante notificação escrita à outra Parte por via diplomática.  Tal notificação escrita só deve ser efetuada após as Partes terem procedido a consultas durante um período de tempo razoável e não terem conseguido encontrar uma solução. A suspensão produz efeitos vinte dias após a data de receção da referida notificação. A suspensão pode ser levantada pela Parte notificante, mediante nova notificação por escrito à outra Parte. A suspensão é levantada imediatamente após a receção da nova notificação.

               2. Não obstante a eventual suspensão do Acordo, os dados pessoais abrangidos pelo seu âmbito de aplicação e transferidos antes da eventual suspensão continuarão a ser tratados em conformidade com o disposto no presente Acordo.

               Artigo 27.º:  Âmbito de aplicação territorial

                        1. O presente Acordo só se aplica à Dinamarca, ao Reino Unido ou à Irlanda se a Comissão Europeia notificar por escrito aos Estados Unidos que a Dinamarca, o Reino Unido ou a Irlanda decidiram que o presente Acordo é aplicável ao respetivo Estado.

                        2. Se, antes da entrada em vigor do presente Acordo, a Comissão Europeia notificar aos Estados Unidos que o mesmo se aplica à Dinamarca, ao Reino Unido ou à Irlanda, o Acordo aplica-se estes Estados a partir da data da sua entrada em vigor.

                        3. Se, depois da entrada em vigor do presente Acordo, a Comissão Europeia notificar aos Estados Unidos que o mesmo se aplica à Dinamarca, ao Reino Unido ou à Irlanda, o Acordo aplica-se a estes Estados a partir do primeiro dia do mês seguinte à receção da notificação pelos Estados Unidos.

               Artigo 28.º:  Vigência do acordo

               O presente Acordo é celebrado por tempo indeterminado.

               Artigo 29.º: Entrada em vigor e cessação da vigência

               1. O presente Acordo entra em vigor no primeiro dia do mês seguinte à data em que as Partes tiverem trocado notificações em que indiquem ter cumprido as respetivas formalidades internas para o efeito.

               2. Qualquer das Partes pode denunciar o presente Acordo mediante notificação escrita à outra Parte por via diplomática. A denúncia produz efeitos trinta dias a contar da data em que for recebida a notificação.

               3. Não obstante a eventual cessação da vigência do presente Acordo, os dados pessoais abrangidos pelo seu âmbito de aplicação e transferidos antes da eventual cessação da sua vigência continuarão a ser tratados em conformidade com o disposto no presente Acordo.

               EM FÉ DO QUE os plenipotenciários abaixo assinados apuseram as suas assinaturas no final do presente acordo.

               Feito em … , em … de … de 201, em dois exemplares, redigidos em língua inglesa. Em conformidade com a legislação da União Europeia, o presente Acordo é também redigido pela UE nas línguas alemã, búlgara, checa, croata, dinamarquesa, eslovaca, eslovena, espanhola, estónia, finlandesa, francesa, grega, húngara, irlandesa, italiana, letã, lituana, maltesa, neerlandesa, polaca, portuguesa, romena e sueca. Estas versões linguísticas adicionais podem ser autenticadas através de uma troca de notas diplomáticas entre os Estados Unidos e a União Europeia. Em caso de divergência entre versões linguísticas que façam fé, o texto em língua inglesa prevalece sobre os textos noutras línguas.