OS ESTADOS UNIDOS DA AMÉRICA E A UNIÃO EUROPEIA ACORDARAM NO SEGUINTE: Artigo 1.o Objetivo 1. O presente Acordo tem como objetivo garantir um elevado nível de proteção dos dados pessoais e reforçar a cooperação entre os Estados Unidos e a União Europeia e os seus Estados-Membros em matéria de prevenção, investigação, deteção ou repressão de infrações penais, incluindo o terrorismo. 2. Para esse efeito, o presente Acordo estabelece o regime jurídico da proteção de dados pessoais aquando da sua transferência entre os Estados Unidos da América, por um lado, e a União Europeia e os seus Estados-Membros, por outro. 3. O presente Acordo não constitui, em si, a base legal de eventuais transferências de dados pessoais. Será sempre necessária uma base legal para que tais transferências possam ser efetuadas. Artigo 2.o Definições Para efeitos do presente Acordo, entende-se por: 1) «Dados pessoais», uma informação relativa a uma pessoa singular identificada ou identificável. É considerada identificável qualquer pessoa que possa ser identificada, direta ou indiretamente, nomeadamente por referência a um número de identificação ou a um ou mais elementos específicos da sua identidade física, fisiológica, psíquica, económica, cultural ou social; 2) «Tratamento de dados pessoais», uma operação ou conjunto de operações que implique a recolha, conservação, utilização, alteração, organização ou estruturação, divulgação ou difusão, ou disponibilização desses dados; 3) «Partes», a União Europeia e os Estados Unidos da América; 4) «Estado-Membro», um Estado-Membro da União Europeia; 5)
2. Esta obrigação de notificação está sujeita a restrições razoáveis ao abrigo do direito nacional, no que diz respeito aos domínios enunciados no artigo 16.o, n.o 2, alíneas a) a f). Artigo 21.o Supervisão eficaz 1. As Partes devem dispor de uma ou mais autoridades públicas de supervisão que: a) Exerçam funções e competências de supervisão de forma independente, nomeadamente em matéria de revisão, investigação e intervenção, se necessário, por sua própria iniciativa; b) Sejam competentes para receber e intervir em caso de queixas apresentadas por pessoas singulares relativas às medidas de execução do presente Acordo; e c) Tenham competência para assinalar violações da legislação relacionada com o presente Acordo para efeitos de ação penal ou disciplinar, se for caso disso. 2. A União Europeia efetua a supervisão nos termos do presente artigo, através das suas autoridades responsáveis pela proteção de dados e das autoridades dos Estados-Membros. 3. Os Estados Unidos devem efetuar a supervisão nos termos do presente artigo de forma cumulativa, através de várias autoridades, que podem incluir, designadamente, os inspetores gerais (inspectors general), os diretores gerais responsáveis pela proteção da vida privada (chief privacy officers), o organismo de auditoria do Congresso (Government Accountability Office), a Comissão de Controlo da Privacidade e das Liberdades Cívicas (Privacy and Civil Liberties Oversight Board) e outros organismos executivos ou legislativos de supervisão do respeito da vida privada e das liberdades civis. Artigo 22.o Cooperação entre as autoridades de supervisão 1. Se for caso disso, serão realizadas consultas entre as autoridades de supervisão referidas no artigo 21.o quanto ao exercício das funções relacionadas com o presente Acordo, tendo em vista garantir a execução eficaz do disposto nos artigos 16.o, 17.o e 18.o. 2. As Partes devem criar pontos de contacto nacionais que ajudem a identificar a autoridade de supervisão competente num determinado caso. Artigo 23.o Artigo 10.o Notificação de incidentes relativos à segurança dos dados 1. Na sequência da descoberta de um incidente que envolva a perda ou destruição acidental de dados pessoais, o acesso não autorizado a tais dados ou a sua divulgação ou alteração, que possa representar um risco significativo de causar danos, a autoridade competente destinatária deve avaliar imediatamente a probabilidade e a dimensão dos danos causados às pessoas e à integridade do programa de transferência de dados pessoais da autoridade competente que procedeu à transferência, adotando rapidamente medidas adequadas para reduzir esses danos. 2. As medidas adotadas para reduzir os danos devem incluir a notificação do incidente à autoridade competente que procede à transferência. No entanto, a notificação pode: a) Prever restrições adequadas quanto à transmissão ulterior da notificação; b) Ser adiada ou omitida quando seja suscetível de pôr em risco a segurança nacional; c) Ser adiada quando seja suscetível de pôr em risco operações de segurança pública. 3. As medidas destinadas a reduzir os danos devem também prever a notificação do incidente à pessoa em causa, sempre que as circunstâncias do incidente o justifiquem, a menos que a referida notificação seja suscetível de pôr em risco: a) A ordem pública ou a segurança nacional; b) Os inquéritos, investigações ou procedimentos oficiais; c) A prevenção, deteção, investigação ou repressão de infrações penais; f) Proteger de qualquer outra forma os interesses previstos na legislação em matéria de liberdade de informação e de acesso do público a documentos. 3. O acesso de uma pessoa singular aos seus dados pessoais não deve implicar encargos excessivos. 4. Qualquer pessoa singular tem o direito de autorizar, sempre que a legislação nacional o permita, uma autoridade de supervisão ou outro representante a solicitar o acesso em seu nome. 5. Se o acesso for recusado ou restringido, a autoridade competente requerida deve, sem demora injustificada, comunicar à pessoa singular ou ao seu representante devidamente autorizado, nos termos do n.o 4, os motivos da recusa ou da restrição do acesso. Artigo 17.o Retificação 1. As Partes devem assegurar que qualquer pessoa singular possa solicitar a correção ou retificação dos seus dados pessoais que considere inexatos ou indevidamente tratados. A referida correção ou retificação podem consistir no aditamento, supressão, bloqueio ou quaisquer outras medidas ou métodos destinados a remediar imprecisões ou um tratamento inadequado, devendo ser solicitada e obtida junto de uma autoridade competente, em conformidade com o regime jurídico aplicável no Estado onde for requerida. 2. Sempre que a autoridade competente destinatária concluir, na sequência: a) de um pedido ao abrigo do n.o 1; b) de uma notificação da entidade que prestou as informações; ou c) das suas próprias investigações ou inquéritos; que as informações que recebeu ao abrigo do presente Acordo são incorretas ou foram indevidamente tratadas, deve tomar as medidas de aditamento, supressão, bloqueio ou outros métodos de correção ou retificação, consoante o caso. Artigo 7.o Transferência ulterior 1. No caso de uma autoridade competente de uma Parte ter transferido dados pessoais relativos a um caso específico a uma autoridade competente da outra Parte, essas informações só podem ser transferidas para um Estado ou para uma instituição internacional não vinculados pelo presente Acordo com o consentimento prévio da autoridade competente que procedeu à transferência inicial. 2. Ao conceder o seu consentimento para uma transferência em conformidade com o disposto no n.o 1, a autoridade competente que procedeu à transferência inicial deve ter devidamente em conta todos os fatores relevantes, designadamente a gravidade da infração, a finalidade para a qual os dados foram inicialmente transferidos e se o Estado ou o organismo internacional não vinculados pelo presente Acordo asseguram um nível adequado de proteção dos dados pessoais. Pode igualmente sujeitar essa transferência a condições específicas. 3. No caso de os Estados Unidos, por um lado, e a União Europeia ou um Estado-Membro, por outro, celebrarem um acordo sobre a transmissão de dados pessoais, diferentes dos dados relacionados com casos, investigações ou processos penais concretos, a transferência ulterior de dados pessoais fica subordinada ao respeito de condições específicas estabelecidas no acordo que justifiquem devidamente a referida transferência. O acordo deve prever igualmente regras de informação adequadas entre as autoridades competentes. 4. Nenhuma disposição do presente artigo pode ser interpretada de uma forma que afete qualquer exigência, obrigação ou prática nos termos da qual o consentimento prévio da autoridade competente que procedeu à transferência inicial deve ser obtido antes da transferência ulterior para um Estado ou organismo vinculado pelo presente Acordo, desde que o nível de proteção dos dados nesse Estado ou organismo não justifique a oposição à referida transferência ou a sua subordinação ao respeito de condições específicas. Artigo 8.o Manutenção da qualidade e da integridade dos dados As Partes devem tomar as medidas razoáveis para assegurar que os dados pessoais são mantidos com a exatidão, pertinência, atualidade e exaustividade necessárias e adequadas para o seu tratamento lícito. Para esse efeito, as autoridades competentes devem estabelecer procedimentos destinados a garantir a qualidade e a integridade dos dados pessoais, nomeadamente: a) As medidas referidas no artigo 17.o; b)