A Comissão propõe hoje uma nova lei para racionalizar a cooperação entre as autoridades competentes em matéria de proteção de dados (APD) quando aplicam o Regulamento Geral sobre a Proteção de Dados em casos transfronteiriços. O novo regulamento estabelecerá regras processuais concretas para as autoridades quando aplicam o RGPD em casos que afetem pessoas localizadas em mais do que um Estado-Membro. Por exemplo, introduzirá a obrigação de a APD principal enviar um «resumo dos aspetos mais importantes» às suas homólogas em causa, descrevendo os principais elementos da investigação e os seus pontos de vista sobre o caso, permitindo-lhes, assim, dar o seu contributo numa fase inicial. A proposta contribuirá para reduzir as divergências e facilitar o consenso entre as autoridades desde o início do processo.

Para as pessoas singulares, as novas regras esclarecerão quais os documentos que devem apresentar quando fazem uma reclamação e garantirão que são devidamente envolvidas no processo de investigação. Para as empresas, as novas regras esclarecerão os respetivos direitos processuais quando uma APD investiga uma potencial violação do RGPD. Por conseguinte, as regras facilitarão uma resolução mais rápida dos casos, o que significa vias de recurso mais rápidas para as pessoas singulares e uma maior segurança jurídica para as empresas. Para as autoridades competentes em matéria de proteção de dados, as novas regras facilitarão a cooperação e tornarão mais eficiente a aplicação da legislação.

Harmonização das regras processuais em casos transfronteiriços

O novo regulamento estabelece regras pormenorizadas para favorecer o bom funcionamento do mecanismo de cooperação e controlo da coerência estabelecido pelo RGPD, harmonizando as regras nos seguintes domínios:

• Direitos dos autores de reclamações: a proposta harmoniza os requisitos de admissibilidade de uma reclamação transfronteiriça, eliminando os atuais obstáculos colocados pelas APD devido a diferenças nas regras. Estabelece direitos comuns para os autores de reclamações serem ouvidos quando essas reclamações sejam total ou parcialmente rejeitadas. Nos casos em que uma reclamação seja investigada, a proposta especifica regras para que os seus autores sejam devidamente envolvidos na investigação.
• Direitos das partes objeto de investigação (responsáveis pelo tratamento e subcontratantes): a proposta confere às partes objeto de investigação o direito de serem ouvidas em fases cruciais do procedimento, nomeadamente durante a resolução de litígios pelo Comité Europeu para a Proteção de Dados (CEPD), e clarifica o conteúdo do processo administrativo e os direitos de acesso das partes.
• Racionalização da cooperação e da resolução de litígios: nos termos da proposta, as APD poderão apresentar os seus pontos de vista mais cedo no processo de investigação e utilizar todos os instrumentos de cooperação previstos no RGPD, como as investigações conjuntas e a assistência mútua. Estas disposições reforçarão a influência das APD em casos transfronteiriços, facilitarão a criação de consensos mais cedo no processo de investigação e diminuirão o número de divergências em fases posteriores. A proposta especifica regras pormenorizadas para facilitar a rápida conclusão do mecanismo de resolução de litígios do RGPD e prevê prazos comuns para a cooperação e a resolução de litígios transfronteiriços.

A harmonização destes aspetos processuais favorecerá a conclusão atempada das investigações e a disponibilização de vias de recurso rápidas para os particulares.

Contexto

Como já foi provado, o RGPD é eficaz. O regulamento da Comissão não afeta quaisquer elementos substanciais do RGPD, como os direitos dos titulares dos dados, as obrigações dos responsáveis pelo tratamento e dos subcontratantes, ou os fundamentos legais para o tratamento de dados pessoais, tal como estabelecidos no RGPD. Desde a entrada em vigor do RGPD, foram criados mais de 2 000 casos de «balcão único» no registo de casos do CEPD e foram tomadas 711 decisões finais. Em alguns casos, foram aplicadas coimas no valor de centenas de milhões de euros. O próximo relatório sobre a aplicação do RGPD está previsto para 2024.

O RGPD é aplicado por APD nacionais independentes, bem como pelos tribunais nacionais. Nos casos que envolvam um tratamento que ocorra ou afete substancialmente os titulares dos dados em mais do que um Estado-Membro, vigora o sistema de aplicação «balcão único» do RGPD. Significa isto que a APD em que a entidade objeto de investigação está sediada conduz a investigação em cooperação com as outras APD em causa. Nos termos do RGPD, as APD cooperam para chegar a um consenso sobre a aplicação do RGPD em casos transfronteiriços. Nos casos em que as APD não conseguem chegar a consenso, o RGPD prevê a resolução de litígios pelo Comité Europeu para a Proteção de Dados (CEPD).

Quando aplicam o RGPD, as APD aplicam regras processuais nacionais. No seu relatório de 2020 sobre a aplicação do RGPD, a Comissão observou que as diferenças processuais aplicadas pelas APD prejudicam o funcionamento harmonioso e eficaz dos mecanismos de cooperação e resolução de litígios do RGPD. Em outubro de 2022, o CEPD enviou à Comissão uma «lista» com sugestões para racionalizar e melhorar alguns aspetos processuais, no sentido de reforçar a cooperação e ajudar a encontrar soluções mais rápidas para os titulares dos dados.

A proposta hoje apresentada aborda preocupações suscitadas nos contributos de um vasto leque de partes interessadas, incluindo o CEPD, representantes da sociedade civil, empresas, universidades e profissionais da justiça, bem como dos Estados-Membros. De fevereiro a março de 2023, a Comissão publicou um convite à apreciação que recebeu reações de uma ampla variedade de partes interessadas, incluindo a sociedade civil e as associações industriais. A Comissão realizou igualmente, a pedido, reuniões bilaterais sobre a proposta com representantes da sociedade civil, autoridades nacionais e organizações setoriais representativas.

Para mais informações:

Regulamento Processual do RGPD

Regulamento Processual do RGPD: Perguntas e respostas

Proteção de dados na UE (europa.eu)

As regras da UE em matéria de proteção de dados capacitam os cidadãos (europa.eu)

«Lista» do CEPD que identifica os procedimentos de cooperação entre as autoridades competentes em matéria de proteção de dados que podem ser harmonizados a nível da UE

5.º aniversário do Regulamento Geral sobre a Proteção de Dados (europa.eu)

Especificar mais pormenorizadamente as regras processuais relativas à aplicação do Regulamento Geral sobre a Proteção de Dados (europa.eu)