10.12.2016 PT Jornal Oficial da União Europeia L 336/3 TRADUÇÃO ACORDO entre os Estados Unidos da América e a União Europeia sobre a proteção dos dados pessoais no âmbito da prevenção, investigação, deteção e repressão de infrações penais ÍNDICE Preâmbulo Artigo 1.o Objeto do Acordo Artigo 2.o Definições Artigo 3.o Âmbito de aplicação Artigo 4.o Não discriminação Artigo 5.o Efeitos do Acordo Artigo 6.o Limitação das finalidades e da utilização Artigo 7.o Transferência ulterior Artigo 8.o Manutenção da qualidade e da integridade dos dados
Artigo 13.o Categorias especiais de dados pessoais 1. O tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas e as convicções religiosas ou de outro tipo, a filiação sindical ou informações pessoais relativas à saúde ou à vida sexual só pode realizar-se com salvaguardas adequadas, em conformidade com a lei. Tais salvaguardas adequadas podem consistir em: limitar as finalidades para as quais os dados podem ser tratados, permitindo, por exemplo, o tratamento apenas numa base casuística; mascarar, suprimir ou bloquear a informação depois de a finalidade para a qual foram tratados ter sido alcançada; restringir o pessoal autorizado a aceder à informação; exigir uma formação especializada ao pessoal que tiver acesso à informação; subordinar o acesso a essa informação à autorização de uma autoridade de controlo; ou outras medidas de proteção. As referidas salvaguardas devem ter devidamente em conta a natureza da informação, o seu caráter particularmente sensível e a finalidade para a qual é tratada. 2. No caso de os Estados Unidos, por um lado, e a União Europeia ou um Estado-Membro, por outro, celebrarem um acordo sobre a transmissão de dados pessoais, diferentes dos dados relacionados com casos, investigações ou processos penais concretos, tal acordo deve especificar as normas e condições em que tais dados podem ser tratados, tendo devidamente em conta a natureza e a finalidade a que se destina. Artigo 14.o Responsabilização 1. As Partes devem adotar medidas para promover a responsabilização no que respeita ao tratamento de dados pessoais no âmbito do presente Acordo pelas respetivas autoridades competentes e qualquer outra autoridade a quem tenham sido transferidos dados pessoais. Essas medidas devem incluir a notificação das salvaguardas aplicáveis às transferências de dados pessoais ao abrigo do presente Acordo e das condições eventualmente impostas pela autoridade competente que procede à transferência, nos termos do artigo 6.o, n.o 3. As faltas graves devem ser objeto de sanções penais, civis ou administrativas adequadas e dissuasivas. 2. As medidas enunciadas no n.o 1 devem incluir, se for caso disso, a interrupção da transferência de dados pessoais para as autoridades das entidades territoriais das Partes não abrangidas pelo presente Acordo que não tenham protegido de forma eficaz os dados pessoais, tendo em conta o objeto do presente Acordo e, em especial, as suas disposições relativas à limitação das finalidades e da utilização e à transferência ulterior. 2. Esta obrigação de notificação está sujeita a restrições razoáveis ao abrigo do direito nacional, no que diz respeito aos domínios enunciados no artigo 16.o, n.o 2, alíneas a) a f). Artigo 21.o Supervisão eficaz 1. As Partes devem dispor de uma ou mais autoridades públicas de supervisão que: a) Exerçam funções e competências de supervisão de forma independente, nomeadamente em matéria de revisão, investigação e intervenção, se necessário, por sua própria iniciativa; b) Sejam competentes para receber e intervir em caso de queixas apresentadas por pessoas singulares relativas às medidas de execução do presente Acordo; e c) Tenham competência para assinalar violações da legislação relacionada com o presente Acordo para efeitos de ação penal ou disciplinar, se for caso disso. 2. A União Europeia efetua a supervisão nos termos do presente artigo, através das suas autoridades responsáveis pela proteção de dados e das autoridades dos Estados-Membros. 3. Os Estados Unidos devem efetuar a supervisão nos termos do presente artigo de forma cumulativa, através de várias autoridades, que podem incluir, designadamente, os inspetores gerais (inspectors general), os diretores gerais responsáveis pela proteção da vida privada (chief privacy officers), o organismo de auditoria do Congresso (Government Accountability Office), a Comissão de Controlo da Privacidade e das Liberdades Cívicas (Privacy and Civil Liberties Oversight Board) e outros organismos executivos ou legislativos de supervisão do respeito da vida privada e das liberdades civis. Artigo 22.o Cooperação entre as autoridades de supervisão 1. Se for caso disso, serão realizadas consultas entre as autoridades de supervisão referidas no artigo 21.o quanto ao exercício das funções relacionadas com o presente Acordo, tendo em vista garantir a execução eficaz do disposto nos artigos 16.o, 17.o e 18.o. 2. As Partes devem criar pontos de contacto nacionais que ajudem a identificar a autoridade de supervisão competente num determinado caso. Artigo 23.o Artigo 26.o Suspensão 1. Em caso de violação substancial do presente Acordo, qualquer das Partes pode suspendê-lo, total ou parcialmente, mediante notificação escrita à outra Parte por via diplomática. Tal notificação escrita só deve ser efetuada após as Partes terem procedido a consultas durante um período de tempo razoável e não terem conseguido encontrar uma solução. A suspensão produz efeitos vinte dias após a data de receção da referida notificação. A suspensão pode ser levantada pela Parte notificante, mediante nova notificação por escrito à outra Parte. A suspensão é levantada imediatamente após a receção da nova notificação. 2. Não obstante a eventual suspensão do presente Acordo, os dados pessoais abrangidos pelo seu âmbito de aplicação e transferidos antes da eventual suspensão continuarão a ser tratados em conformidade com o disposto no presente Acordo. Artigo 27.o Âmbito de aplicação territorial 1. O presente Acordo só se aplica à Dinamarca, ao Reino Unido ou à Irlanda se a Comissão Europeia notificar por escrito aos Estados Unidos que a Dinamarca, o Reino Unido ou a Irlanda decidiram que o presente Acordo lhes é aplicável. 2. Se, antes da entrada em vigor do presente Acordo, a Comissão Europeia notificar aos Estados Unidos que o mesmo se aplica à Dinamarca, ao Reino Unido ou à Irlanda, o presente Acordo aplica-se estes Estados a partir da data da sua entrada em vigor. 3. Se, depois da entrada em vigor do presente Acordo, a Comissão Europeia notificar aos Estados Unidos que o mesmo se aplica à Dinamarca, ao Reino Unido ou à Irlanda, o Acordo aplica-se a estes Estados a partir do primeiro dia do mês seguinte à receção da notificação pelos Estados Unidos. Artigo 28.o Vigência O presente Acordo é celebrado por tempo indeterminado. Artigo 29.o Entrada em vigor e cessação da vigência 1. O presente Acordo entra em vigor no primeiro dia do mês seguinte à data em que as Partes tiverem trocado notificações em que indiquem ter cumprido as respetivas formalidades internas para o efeito. 2. Qualquer das Partes pode denunciar o presente Acordo mediante notificação escrita à outra Parte por via diplomática. A denúncia produz efeitos trinta dias a contar da data em que for recebida a notificação. 3. Não obstante a eventual cessação da vigência do presente Acordo, os dados pessoais abrangidos pelo seu âmbito de aplicação e transferidos antes da eventual cessação da sua vigência continuarão a ser tratados em conformidade com o disposto no presente Acordo. Artigo 10.o Notificação de incidentes relativos à segurança dos dados 1. Na sequência da descoberta de um incidente que envolva a perda ou destruição acidental de dados pessoais, o acesso não autorizado a tais dados ou a sua divulgação ou alteração, que possa representar um risco significativo de causar danos, a autoridade competente destinatária deve avaliar imediatamente a probabilidade e a dimensão dos danos causados às pessoas e à integridade do programa de transferência de dados pessoais da autoridade competente que procedeu à transferência, adotando rapidamente medidas adequadas para reduzir esses danos. 2. As medidas adotadas para reduzir os danos devem incluir a notificação do incidente à autoridade competente que procede à transferência. No entanto, a notificação pode: a) Prever restrições adequadas quanto à transmissão ulterior da notificação; b) Ser adiada ou omitida quando seja suscetível de pôr em risco a segurança nacional; c) Ser adiada quando seja suscetível de pôr em risco operações de segurança pública. 3. As medidas destinadas a reduzir os danos devem também prever a notificação do incidente à pessoa em causa, sempre que as circunstâncias do incidente o justifiquem, a menos que a referida notificação seja suscetível de pôr em risco: a) A ordem pública ou a segurança nacional; b) Os inquéritos, investigações ou procedimentos oficiais; c) A prevenção, deteção, investigação ou repressão de infrações penais;