COMISSÃO EUROPEIA
Bruxelas, 11.12.2025
COM(2025) 752 final
RELATÓRIO DA COMISSÃO AO PARLAMENTO EUROPEU E AO CONSELHO
que avalia e analisa o impacto operacional do exercício das funções previstas no Regulamento (EU) 2022/991, em particular no artigo 4.º, n.º 1, alínea t), no artigo 18.º, n.º 2, alínea e), no artigo 18.º, n.º 6-A, e nos artigos 18.º-A, 26.º, 26.º-A e 26.º-B, tendo em conta os objetivos da Europol, bem como o impacto do exercício dessas funções nos direitos e liberdades fundamentais consagrados na Carta dos Direitos Fundamentais, nos termos do artigo 68.º, n.º 3, do Regulamento (UE) 2016/794
{SWD(2025) 404 final}
1.Âmbito da avaliação
Desde que iniciou a sua atividade, em 1999, a Agência da União Europeia para a Cooperação Policial (Europol) tem desempenhado um papel central na luta contra a criminalidade grave transnacional e o terrorismo, tornando-se um dos principais motores da cooperação policial na Europa. O panorama da segurança sofreu alterações drásticas nos últimos 30 anos, com uma mudança correspondente no ADN da criminalidade grave e organizada. Os Estados-Membros têm novas necessidades operacionais para combater eficazmente as ameaças emergentes e as suas expectativas quanto ao apoio da Europol também evoluíram. Por conseguinte, o mandato da Europol foi substituído ou alterado várias vezes, a fim de manter e reforçar a pertinência da Agência.
O mandato da Europol, conforme definido no Regulamento (UE) 2016/794
(«Regulamento Europol»), foi alterado pela última vez em 2022 pelo Regulamento (UE) 2022/991
para fazer face às novas ameaças à segurança. O Regulamento Europol deixou de ser adequado à sua finalidade numa nova realidade, em que os criminosos exploram as vantagens da transformação digital, das novas tecnologias, da globalização e da mobilidade.
Os objetivos específicos do Regulamento (UE) 2022/991
eram os seguintes:
-permitir uma cooperação eficaz entre os organismos privados e as autoridades policiais para combater a utilização abusiva de serviços transnacionais por parte dos criminosos,
-permitir às autoridades policiais analisar conjuntos de dados complexos e volumosos de modo a detetar ligações transnacionais, respeitando plenamente os direitos fundamentais,
-permitir que as autoridades policiais dos Estados-Membros utilizem novas tecnologias.
Além disso, o Regulamento (UE) 2022/991 alterou as regras de proteção de dados aplicáveis à Europol, a fim de manter um elevado nível de proteção de dados, estabelecendo um equilíbrio entre as novas competências da Agência para tratar dados pessoais e a proteção da privacidade e dos dados pessoais das pessoas. Alinhou, em grande medida, as regras de proteção de dados aplicáveis à Europol com as aplicáveis a outros órgãos e organismos da UE nos domínios da justiça e dos assuntos internos (JAI), nos termos do capítulo IX do Regulamento (UE) 2018/1725 («Regulamento da UE sobre a Proteção de Dados» ou «RPDUE»), bem como com as aplicáveis às autoridades policiais dos Estados-Membros («autoridades competentes») nos termos do seu direito nacional que transpõe a Diretiva (UE) 2016/680 («Diretiva Proteção de Dados na Aplicação da Lei» ou «PDAL»)
, a fim de facilitar o fluxo de informações.
O presente relatório foi adotado em conformidade com a obrigação que incumbe à Comissão, nos termos do artigo 68.º, n.º 3, do Regulamento Europol, de avaliar e analisar o impacto operacional do exercício das funções da Europol tal como estabelecidas no Regulamento (UE) 2022/991 três anos após a sua entrada em vigor. Tal como mandatado pelos colegisladores, a Comissão: em primeiro lugar, avaliou e analisou o impacto operacional de algumas das novas regras em matéria de tratamento de dados pessoais, em relação aos objetivos da Europol, nos termos do artigo 3.º do Regulamento Europol (a saber: apoiar e reforçar a ação das autoridades competentes dos Estados-Membros e a sua cooperação mútua em matéria de prevenção e luta contra infrações penais abrangidas pelo mandato da Europol); em segundo lugar, avaliou o impacto dessas regras nos direitos e liberdades fundamentais («direitos fundamentais») consagrados na Carta, e, em terceiro lugar, procedeu a uma análise custo-benefício das funções conexas em matéria de tratamento de dados.
Para preparar a avaliação, os serviços da Comissão recolheram informações e reações de várias fontes e realizaram consultas ad hoc com a Europol e os Estados-Membros. O documento de trabalho dos serviços da Comissão que acompanha o presente relatório apresenta uma descrição pormenorizada do contexto geral e da metodologia da avaliação, bem como uma descrição exaustiva das fontes de dados e das consultas que corroboram as principais constatações resumidas no presente relatório.
2.Contexto geral
De acordo com o artigo 68.º, n.º 3, do Regulamento Europol, o presente relatório da Comissão abrange determinadas disposições do Regulamento (UE) 2022/991, centrando-se em cinco aspetos fundamentais do trabalho da Europol.
(1)Dimensão externa: artigo 4.º, n.º 1, alínea t), do Regulamento Europol sobre a introdução de indicações de informação relativas a nacionais de países terceiros no Sistema de Informação Schengen (SIS), sob proposta da Europol
Dada a natureza global da criminalidade grave e do terrorismo, as informações detidas por países terceiros e organizações internacionais sobre os autores e as pessoas suspeitas de tais crimes são cada vez mais relevantes para a segurança interna da UE. Por conseguinte, a dimensão externa da cooperação policial da UE tornou-se crucial para os Estados-Membros, tal como o papel da Europol no apoio aos Estados-Membros nas suas parcerias com países terceiros ou entidades localizadas nesses países. No futuro, será essencial envidar mais esforços para reforçar a segurança global.
O Regulamento (UE) 2022/991 já introduziu alterações substanciais no Regulamento Europol, a fim de reforçar a dimensão externa das atividades da Europol, em especial, facilitando o intercâmbio de informações com países terceiros e exigindo que a Europol inclua uma estratégia para as relações com países terceiros e organizações internacionais no seu programa de trabalho plurianual e nos seus programas de trabalho anuais.
O artigo 4.º, n.º 1, alínea t), do Regulamento Europol atribuiu uma nova função à Europol: apoiar os Estados-Membros no tratamento de dados relativos a pessoas envolvidas em atividades terroristas ou na criminalidade grave fornecidos por países terceiros ou organizações internacionais. Tal inclui propor aos Estados-Membros a eventual introdução de indicações de informação relativas a nacionais de países terceiros no interesse da União no Sistema de Informação Schengen (SIS). Esta nova categoria de indicações de informação foi introduzida em 2022, na sequência de uma alteração do Regulamento (UE) 2018/1862 relativo à utilização do SIS no domínio da cooperação policial e da cooperação judiciária em matéria penal.
Certas informações, especialmente quando a pessoa em causa não é um cidadão da UE e não existe qualquer relação com um processo nacional, são partilhadas pelo país terceiro apenas com a Europol, que trata os dados e partilha os resultados da sua análise com todos os Estados-Membros. O objetivo das novas disposições era maximizar a exploração das informações recebidas pela Europol de países terceiros, tornando-as mais acessíveis do que se estivessem disponíveis apenas através do próprio sistema da Europol. Tal complementou outras medidas, como o portal europeu de pesquisa (ESP) e o quadro de interoperabilidade entre os sistemas de informação da UE para a segurança, gestão de fronteiras e migração, colmatando as deficiências estruturais relacionadas com esses sistemas que dificultam o trabalho das autoridades nacionais e, nomeadamente, dos guardas de fronteira.
O SIS é visto como um canal de divulgação adicional fundamental: constitui a lista de vigilância mais utilizada na Europa para efeitos de aplicação da lei, controlo das fronteiras e migração. Em 2024, foram efetuadas mais de 15 mil milhões de pesquisas no SIS, em comparação com cerca de 14 milhões de pesquisas no Sistema de Informações Europol (SIE) e menos de 3 mil milhões de pesquisas (a nível mundial) nas 19 bases de dados da INTERPOL, que são os outros dois principais sistemas de informação para as autoridades competentes.
(2)Inovação: artigo 18.º, n.º 2, alínea e), e artigo 33.º-A do Regulamento Europol sobre o tratamento de dados pessoais pela Europol para projetos de investigação e inovação
A evolução tecnológica apresenta simultaneamente enormes oportunidades e desafios consideráveis para a segurança interna da UE
, tendo tido um impacto tão profundo na criminalidade que alterou até a natureza intrínseca, o «ADN», das ameaças da criminalidade grave e organizada. Os criminosos integram rapidamente as novas tecnologias nas suas operações, criando novos modelos de negócios e aperfeiçoando as suas táticas. Ao mesmo tempo, estes avanços oferecem oportunidades sem precedentes para as autoridades policiais reforçarem as suas capacidades. Por conseguinte, a investigação e a inovação desempenham um papel crucial na segurança interna, criando soluções para combater as ameaças emergentes e para acompanhar a rápida evolução das formas e modus operandi das redes criminosas, incluindo as decorrentes da utilização abusiva da tecnologia. A União investiu, e continuará a investir, no desenvolvimento de ferramentas inovadoras através da investigação e inovação financiada pela UE no domínio da segurança, no âmbito da ProtectEU, a Estratégia Europeia de Segurança Interna.
Criado em finais de 2019, por mandato dos ministros JAI dos Estados-Membros da UE, o Laboratório de Inovação da Europol visa impulsionar o compromisso da Europol para com a inovação no domínio da aplicação da lei. O Regulamento (UE) 2022/991 introduziu alterações substanciais no Regulamento Europol para reforçar o mandato da Europol em matéria de inovação, a fim de apoiar o potencial do Laboratório de Inovação da Europol e promover sinergias com outras atividades de investigação e inovação a nível da UE, nomeadamente na Comissão, no âmbito do Polo da UE de Inovação para a Segurança Interna.
O artigo 18.º, n.º 2, do Regulamento Europol relativo às finalidades das atividades de tratamento de informações foi alterado para permitir à Europol tratar dados pessoais operacionais também para projetos de investigação e inovação. A disponibilidade de conjuntos de dados de elevada qualidade para permitir o ensaio empírico da validade de novas ferramentas é amplamente considerada uma condição prévia essencial para o desenvolvimento de tecnologias. Em contrapartida, a utilização de conjuntos de dados pouco fiáveis ou enviesados pode conduzir à produção de tecnologias de fraca qualidade
.
O artigo 18.º, n.º 3-A, o artigo 30.º, n.os 2 e 3, e o artigo 33.º-A do Regulamento Europol preveem garantias específicas em matéria de proteção de dados para esse tratamento. O artigo 33.º-A exige a criação de um ambiente de testagem controlado, estipulando que todos os dados pessoais tratados no contexto de um projeto têm de ser temporariamente copiados para um ambiente separado, isolado e protegido de tratamento de dados na Europol, a fim de serem utilizados exclusivamente para esse projeto.
(3)Investigações criminais: artigo 18.º, n.º 6-A, e artigo 18.º-A do Regulamento Europol sobre as condições para o tratamento de dados pessoais recebidos sem categorização dos titulares dos dados
No seu papel de plataforma de informações criminais da UE, a Europol não só facilita a recolha e o intercâmbio de informações, como também contribui para aumentar a eficácia das investigações através de análises de dados avançadas e da deteção de ligações entre infrações penais e redes criminosas transnacionais que não são visíveis a nível nacional. Estas capacidades apoiam os Estados-Membros, enriquecendo as informações disponíveis para as suas investigações criminais.
Com a utilização extensiva e intensiva da tecnologia, conjuntos de dados complexos e volumosos tornaram-se a nova normalidade em todos os aspetos da vida, incluindo a criminalidade
. As investigações sobre a criminalidade organizada ou o terrorismo começaram a enfrentar o desafio de analisar grandes volumes de dados armazenados eletronicamente, que ascendem muitas vezes a terabytes, incluindo dados áudio, vídeo e gerados por máquinas apreendidos durante as investigações. Por exemplo, na investigação conjunta para desmantelar a rede EncroChat
, os investigadores analisaram milhões de mensagens trocadas pelos criminosos para planear crimes graves. Neste contexto, a disponibilidade das ferramentas, dos conhecimentos especializados e dos recursos necessários no domínio das tecnologias da informação e comunicação (TIC) para analisar conjuntos de dados complexos e volumosos (conhecidos no jargão técnico como «megadados»
) é fundamental para as autoridades policiais e judiciárias.
Embora o Regulamento Europol adotado em 2016 não impusesse restrições, enquanto tal, à análise de megadados, carecia de disposições estruturadas que estabelecessem as condições para analisar esse tipo de dados. O ponto mais crítico era o requisito da categorização dos titulares dos dados, que se refere à necessidade de proceder à triagem dos conjuntos de dados para classificar os dados pessoais de acordo com diferentes categorias, enumeradas exaustivamente no anexo II, pontos A e B, do Regulamento Europol, antes de proceder ao tratamento efetivo dos dados para efeitos de investigação, nomeadamente antes de efetuar o controlo cruzado de dados para detetar ligações ou de realizar análises de natureza estratégica ou temática ou análises operacionais. As categorias pertinentes estão associadas a diferentes tipos de envolvimento em investigações criminais, incluindo i) suspeitos e potenciais futuros infratores; bem como ii) contactos, associados, vítimas, testemunhas e informadores associados a atividades criminosas. De um modo geral, a Europol não pode tratar, nem mesmo armazenar, os dados pessoais de pessoas que não se enquadrem em nenhuma destas categorias.
Geralmente, os fornecedores de dados, como os Estados-Membros ou os órgãos e organismos da UE, já realizam a categorização dos titulares dos dados antes de transferirem os dados pessoais para a Europol. Nos termos do direito da União, todos são obrigados a efetuar a categorização dos titulares dos dados para o seu próprio tratamento e investigações, independentemente da transferência de dados para a Europol, e com base em regras equivalentes mas não idênticas às da Europol. No entanto, para conjuntos de dados complexos e volumosos, o tratamento prévio manual é um exercício moroso e exigente em termos de recursos. A análise dos dados de um único telemóvel pode demorar, de forma semiautomatizada, até três dias, podendo ser apreendidas centenas de telemóveis durante uma investigação. A categorização dos titulares dos dados para megadados nem sempre é possível, dado o enorme volume dos conjuntos de dados, a forma como os dados estão (ou não) estruturados, a falta de recursos ou o esforço manual excessivo necessário. Na prática, a única possibilidade é analisar primeiro os dados de forma mais aprofundada de um ponto de vista operacional, ou detetar ligações, também de forma semiautomatizada, através do controlo cruzado dos dados disponíveis.
O Regulamento (UE) 2022/991 clarificou as condições para que a categorização dos titulares dos dados proporcione segurança jurídica no que diz respeito ao tratamento de conjuntos de dados complexos e volumosos. A Europol e a Autoridade Europeia para a Proteção de Dados (AEPD) tinham interpretações divergentes da letra e do espírito do Regulamento Europol no que diz respeito ao período de conservação de dados aplicável. Segundo a Europol, esse período deveria ser de três anos; de acordo com a AEPD, deveria ser de seis meses. Foram igualmente necessárias novas disposições para proporcionar uma maior flexibilidade, procurando um equilíbrio adequado entre a proteção de dados e os aspetos de segurança.
O artigo 18.º, n.º 5-A, do Regulamento Europol, em conjugação com o artigo 73.º do RPDUE, clarificou, em primeiro lugar, o princípio geral da categorização dos titulares dos dados nos termos do artigo 18.º, n.º 2, e do anexo II. A Europol é incumbida, se aplicável e na medida do possível, de atribuir claramente os dados pessoais a uma categoria específica de titulares de dados. Na prática, regra geral, antes de os dados pessoais poderem ser tratados, a Europol deve determinar o papel exato na atividade criminosa (por exemplo, se uma pessoa é suspeita, vítima ou apenas testemunha) para cada pessoa cujos dados pessoais serão tratados, e não a um nível agregado para todas as pessoas num ficheiro de dados a tratar, ou parte dele (por exemplo, estabelecendo simplesmente que todas as pessoas mencionadas estão envolvidas numa atividade criminosa abrangida pelo seu mandato com base numa análise das circunstâncias gerais que geraram o ficheiro de dados).
O artigo 18.º, n.º 6-A, do Regulamento Europol permite explicitamente o tratamento de dados pessoais recebidos sem categorização dos titulares dos dados por um período máximo de 18 meses, que pode ser prorrogado até 36 meses em casos justificados, exclusivamente para efeitos de conclusão da categorização dos titulares dos dados. O artigo 18.º, n.º 6-A, do Regulamento Europol não refere explicitamente conjuntos de dados complexos e volumosos, mas, de um modo mais geral, exige um teste de «estrita necessidade».
O artigo 18.º-A do Regulamento Europol prevê uma derrogação que permite à Europol tratar dados pessoais recebidos de uma autoridade competente, da Procuradoria Europeia (EPPO) ou da Eurojust, se necessário para apoiar uma investigação criminal em curso, sem a necessidade de realizar a categorização dos titulares dos dados, se tal ainda não tiver sido realizado, e para além das categorias de titulares de dados referidas no Regulamento Europol. A Europol pode tratar os dados por meio de uma análise operacional ou, em casos excecionais e devidamente justificados, por meio de um controlo cruzado para identificar ligações ou outras conexões relevantes. Esta derrogação foi concebida para resolver as diferenças entre as regras em matéria de categorização dos titulares dos dados aplicáveis à Europol e as aplicáveis às autoridades competentes, à EPPO e à Eurojust.
(4)Cooperação com terceiros: artigos 26.º, 26.º-A e 26.º-B do Regulamento Europol sobre o intercâmbio de dados pessoais entre a Europol e os organismos privados
Os criminosos abusam cada vez mais dos serviços (transnacionais) dos organismos privados, como serviços baseados na Internet, serviços financeiros e serviços de telecomunicações clássicos. Por conseguinte, os organismos privados detêm uma grande quantidade de dados pessoais relevantes para as investigações criminais. Em especial, a Internet criou um espaço público que se encontra, na prática, em mãos privadas, o que dificulta a aplicação em linha das regras para fins de aplicação da lei com a mesma eficácia que fora de linha
.
Neste contexto, a cooperação entre as autoridades policiais e os organismos privados tornou-se indispensável. Tal como estabelecido na ProtectEU, a Estratégia Europeia de Segurança Interna, será essencial fortalecer as parcerias com o setor privado para facilitar o intercâmbio de informações. Na sua declaração conjunta sobre o futuro da Europol, os chefes de polícia também apelaram a que a Europol funcione como um «ponto de acesso vital para obter informações junto dos organismos privados». A natureza desta colaboração vai desde a partilha de informações e o fornecimento de dados comerciais de fonte aberta até à participação em projetos de investigação e inovação e à prestação de serviços que apoiem o funcionamento das empresas
. Por exemplo, em 2025, a Europol desmantelou com êxito o Lumma Stealer, a maior ameaça de roubo de informação do mundo, através da cooperação com a Microsoft, que tinha identificado mais de 394 000 computadores com o sistema Windows infetados pelo programa malicioso Lumma em todo o mundo.
O Regulamento (UE) 2022/991 introduziu possibilidades adicionais para a Europol proceder ao intercâmbio de dados pessoais com os organismos privados. Anteriormente, a Europol só podia receber dados pessoais de organismos privados através de uma unidade nacional Europol (UNE) ou de pontos de contacto ou autoridades de países terceiros ou organizações internacionais previamente identificados. A finalidade do tratamento realizado pela Europol limitava-se a identificar a UNE pertinente, ou o ponto de contacto ou autoridade do país terceiro e da organização internacional que poderia assumir a responsabilidade pelo caso.
O artigo 26.º, alterado, do Regulamento Europol ampliou a função da Europol, permitindo-lhe tratar exaustivamente as informações provenientes de organismos privados (incluindo dados pessoais). A principal finalidade do tratamento continuou a ser identificar a unidade nacional Europol (ENU) em causa. No entanto, a Europol está também agora autorizada a complementar as informações com a sua própria análise, a fim de facilitar o tratamento posterior de um caso a nível nacional.
Para além das disposições horizontais do artigo 26.º do Regulamento Europol, o artigo 26.º-A introduziu regras para situações de crise em linha e o artigo 26.º-B abordou a difusão de material pedopornográfico em linha. Nesses casos, a Europol pode prestar assistência aos Estados-Membros através do tratamento de dados pessoais recebidos diretamente de organismos privados. Pode também transmitir dados pessoais a organismos privados caso a caso.
O Regulamento (UE) 2022/991 introduziu a possibilidade de utilizar a infraestrutura da Europol para o intercâmbio de informações entre as autoridades competentes e os organismos privados, bem como a possibilidade de a Europol solicitar aos Estados-Membros que obtenham, nos termos do seu direito nacional, dados pessoais de organismos privados.
Estas disposições foram adotadas em consonância com outras iniciativas, como o Regulamento Conteúdos Terroristas em Linha e o Regulamento dos Serviços Digitais (RSD). Estão previstas outras medidas destinadas a reforçar a participação dos organismos privados na luta contra a criminalidade e a facilitar o acesso lícito aos dados, a fim de concretizar «a ambição de uma mudança de cultura em matéria de segurança» (abordagem que envolve toda a sociedade) no âmbito da ProtectEU, a Estratégia Europeia de Segurança Interna.
(5)Supervisão interna e externa sobre o respeito dos direitos fundamentais pela Europol
O Regulamento (UE) 2022/991 salienta a obrigação de a Europol respeitar os direitos fundamentais nos termos das disposições que definem as suas funções e o reforço das garantias conexas, nomeadamente através do fortalecimento da supervisão interna e externa da Agência.
No domínio da proteção de dados, o alinhamento do Regulamento Europol com as garantias em matéria de proteção de dados previstas no RPDUE implicou a introdução de novas regras relativas à supervisão exercida pelo responsável pela proteção de dados (RPD) e pela Autoridade Europeia para a Proteção de Dados (AEPD). Por exemplo, a obrigação de apresentar uma avaliação de impacto sobre a proteção de dados (AIPD) e a consulta prévia da AEPD tornaram-se sistemáticas para qualquer novo tipo de tratamento. O Regulamento (UE) 2022/991 introduziu também uma nova competência da Europol em matéria de pedidos de direitos de acesso. Anteriormente, as autoridades nacionais competentes eram responsáveis pelo tratamento dos pedidos de direitos de acesso se os Estados-Membros fossem os fornecedores de dados.
O Regulamento (UE) 2022/991 criou também um novo cargo de provedor de direitos fundamentais na Europol, que, entre outras competências, deve informar o diretor executivo da Europol sobre possíveis violações dos direitos fundamentais no decurso das atividades da Agência.
Além disso, o controlo democrático e a responsabilização foram reforçados através do acompanhamento político das atividades da Europol pelo Parlamento Europeu e pelos parlamentos nacionais, conforme previsto no artigo 88.º, n.º 2, segundo parágrafo, do Tratado sobre o Funcionamento da União Europeia (TFUE). O Regulamento (UE) 2022/991 reforçou o acompanhamento do grupo de controlo parlamentar conjunto (GCPC). Por exemplo, previu a consulta obrigatória do GCPC sobre o projeto de programa de trabalho plurianual e de programa de trabalho anual da Europol, a possibilidade de o GCPC elaborar recomendações específicas não vinculativas dirigidas à Europol, e apresentá-las ao Parlamento Europeu e aos parlamentos nacionais, bem como a criação de um fórum consultivo para assistir o GCPC, mediante pedido, prestando-lhe aconselhamento, de forma independente, em questões relativas aos direitos fundamentais.
3.Principais constatações da avaliação
3.1.Ponto da situação da execução operacional das novas competências e funções da Europol em matéria de tratamento de dados pessoais
O Regulamento (UE) 2022/991 entrou em vigor em 28 de junho de 2022. No entanto, a sua execução operacional dependia de várias medidas de governação, técnicas e administrativas, bem como de requisitos operacionais, como a criação de novas estruturas TIC em alguns casos.
Três anos mais tarde, quase todas as disposições referidas no artigo 68.º, n.º 3, do Regulamento (UE) 2022/991 estão operacionais. As disposições relacionadas com a análise de conjuntos de dados complexos e volumosos (artigo 18.º, n.º 6-A, e artigo 18.º-A do Regulamento Europol) e a cooperação com os organismos privados (artigos 26.º, 26.º-A e 26.º-B do Regulamento Europol) começaram a aplicar-se a partir de 28 de junho de 2022, ou pouco depois. O tratamento de dados pessoais para projetos de investigação e inovação [artigo 18.º, n.º 2, alínea e), do Regulamento Europol] teve início em 2023, após a criação do ambiente de testagem controlado, denominado ODIN, para cumprir os requisitos específicos em matéria de proteção de dados previstos no artigo 33.º-A do referido regulamento. Até 29 de junho de 2025, a possibilidade de a Europol propor a introdução de indicações de informação no SIS aos Estados-Membros, nos termos do artigo 4.º, n.º 1, alínea t), do Regulamento Europol, ainda não estava operacional, uma vez que a execução técnica do novo tipo de indicação ainda está em curso. A entrada em funcionamento está prevista para 2026.
3.2.Avaliação do impacto operacional das novas competências e funções da Europol em matéria de tratamento de dados pessoais nos objetivos da Agência nos termos do artigo 3.º do Regulamento Europol
No que respeita ao impacto operacional das novas competências e funções da Europol em matéria de tratamento de dados pessoais, a consulta indicou que, de um modo geral, os Estados-Membros mantêm uma visão favorável da sua pertinência, eficácia e valor acrescentado, bem como do apoio da Europol às suas autoridades competentes nos domínios conexos.
As competências de investigação abrangidas pela presente avaliação não são utilizadas de forma contínua ou sistemática para tratar dados para efeitos de acompanhamento; algumas são mesmo de natureza excecional, enquanto outras são utilizadas com maior regularidade em investigações, consoante as necessidades. A utilização operacional das novas disposições durante o período de referência diferiu significativamente em termos quantitativos, em função das diferentes características técnicas e condições jurídicas que lhes estão associadas.
A Europol recebeu dos Estados-Membros um número não negligenciável de novas contribuições sem categorização dos titulares dos dados nos termos do artigo 18.º, n.º 6-A, do Regulamento Europol, totalizando 653 em 2023 e 597 em 2024. Não se verificou qualquer aumento a curto prazo das contribuições sem categorização dos titulares dos dados, e o número de casos em que o artigo 18.º, n.º 6-A, foi aplicado manteve-se estável quando comparado com os casos equivalentes no período anterior a 28 de junho de 2022. As novas disposições também não tiveram qualquer impacto negativo na participação dos Estados-Membros na realização da categorização dos titulares dos dados. Entre 2023 e 2024, a percentagem de contribuições sem categorização dos titulares dos dados representou menos de 1 % de todas as contribuições dos Estados-Membros aceites pela Europol (0,85 % em 2023 e 0,71 % em 2024). Desde junho de 2022, a Europol tem concluído sistematicamente a categorização dos titulares dos dados no prazo de 18 meses, sem utilizar o período alargado de 36 meses. A Europol e seis Estados-Membros salientaram que, apesar da melhoria da segurança jurídica, os encargos administrativos continuavam a ser significativos tanto para a Europol como para as autoridades competentes devido aos esforços necessários para assegurar a categorização dos dados pessoais em função do grau de envolvimento individual na infração penal. Este requisito é aplicado de forma muito rigorosa pela Europol.
A Europol comunicou que, em 2023, o intercâmbio de informações com os organismos privados ainda foi negligenciável, uma vez que se registaram apenas 26 casos de aplicação do artigo 26.º do Regulamento Europol (além dos casos abrangidos pelo Regulamento dos Serviços Digitais). No entanto, em 2024, as estatísticas revelaram um aumento acentuado para 284 casos envolvendo uma cooperação com organismos privados nos termos do artigo 26.º do Regulamento Europol (quase +1 000 %). Tal foi particularmente o caso dos dados de empresas privadas para investigar crimes financeiros e económicos. A Europol também recorreu de forma significativa ao artigo 26.º-B do Regulamento Europol na luta contra a exploração sexual de crianças, em que a cooperação com organismos os privados já era bastante substancial. Em ambos os casos, os dados também incluem uma cooperação que era possível ao abrigo do quadro jurídico anterior. Os dados disponíveis não revelam em que medida estes novos casos são abrangidos pelas novas disposições ou por uma maior utilização das possibilidades existentes.
Em 2025, a Europol adotou uma nova estratégia para reforçar a cooperação com os organismos privados. Além disso, foram tomadas medidas para melhorar a infraestrutura de TIC da Europol à disposição das autoridades competentes para o intercâmbio de informações com organismos privados. Em 2023, a Europol lançou a Plateforme Européenne de Retraits de Contenus Illégaux sur Internet (PERCI) para facilitar a aplicação do Regulamento Conteúdos Terroristas em Linha e, no futuro, possivelmente, também do artigo 18.º do RSD, bem como o serviço EU Child Abuse Referral Service (EU CARES). A plataforma PERCI não está incorporada no Sistema de Informações Europol (SIE).
Outras disposições não foram, de todo, utilizadas (artigo 26.º-A do Regulamento Europol), apesar de estarem operacionais, ou foram aplicadas apenas a título excecional [houve um caso em que o artigo 18.º-A do Regulamento Europol foi utilizado em 2024 e um projeto realizado com o tratamento de dados pessoais nos termos do artigo 18.º, n.º 1, alínea t), do referido regulamento em 2025, estando já em preparação três novos projetos].
Devido ao período limitado de execução operacional das disposições introduzidas pelo Regulamento (UE) 2022/991 e à natureza morosa das investigações criminais e dos processos judiciais, os Estados-Membros não puderam fornecer dados quantitativos sobre o impacto dessas disposições em termos operacionais. Em vez disso, apresentaram alguns exemplos de investigações bem-sucedidas que demonstram os benefícios concretos das novas possibilidades de investigação em situações da vida real relacionados com as disposições já em utilização, nomeadamente os casos da EncroChat, da Sky ECC, das redes criminosas sediadas nos Balcãs envolvidas no tráfico de cocaína ou do Lumma Stealer.
A Europol e oito Estados-Membros assinalaram também alguns domínios a melhorar, a fim de maximizar a utilização eficiente e coerente do novo quadro jurídico e reforçar o papel da Europol no futuro. Há receios, nomeadamente da parte da Europol, de que a excessiva complexidade, fragmentação e extensão das disposições jurídicas possam desencorajar os profissionais ou os organismos privados de utilizarem os novos instrumentos disponíveis. As observações dos Estados-Membros dizem sobretudo respeito à forma como a Europol aplica de forma restritiva as garantias em matéria de proteção de dados sob a supervisão da AEPD, o que pode comprometer a eficácia e o valor acrescentado de determinadas disposições.
3.3.Avaliação do impacto das novas competências e funções da Europol em matéria de tratamento de dados pessoais nos direitos fundamentais
A Comissão não encontrou quaisquer provas de impactos negativos nos direitos fundamentais resultantes da utilização operacional das novas competências em matéria de tratamento de dados pessoais com base na utilização limitada feita até à data dessas competências.
Além de aplicar os requisitos específicos em matéria de proteção de dados associados às novas competências de tratamento de dados pessoais, a Europol tomou progressivamente todas as medidas necessárias para implementar os novos mecanismos de supervisão horizontais relacionados com os direitos fundamentais.
Em 2024, o Conselho de Administração da Europol adotou as regras de execução revistas relativas ao RPD como um dos últimos atos de execução necessários relacionados com o novo regime de proteção de dados. Os dados recolhidos sugerem que a Europol e o seu Conselho de Administração também asseguraram, em cooperação com o RPD da Europol e a AEPD, uma aplicação rigorosa das novas garantias em matéria de proteção de dados introduzidas em 2022. Esta abordagem impediu, à primeira vista, qualquer impacto negativo ou interferência da utilização inicial das novas competências em matéria de tratamento de dados pessoais nos direitos das pessoas à privacidade e à proteção dos dados pessoais. De acordo com os Estados-Membros, a Europol dispõe atualmente de um quadro jurídico sólido em matéria de proteção de dados, com garantias suficientes para o potencial aumento da utilização das suas novas competências. Sete Estados-Membros também salientaram que este quadro facilita o fluxo de informações, aumentando a confiança, embora ainda haja margem para melhorias. Apenas um Estado-Membro manifestou uma opinião negativa.
Além dos desafios específicos relacionados com a categorização dos titulares dos dados, a Europol e quatro Estados-Membros referiram como domínios a melhorar os custos e o tempo associados à avaliação de impacto sobre a proteção de dados (AIPD) e à consulta prévia da AEPD, que, na prática, são realizadas por defeito. Outro desafio referido por seis Estados-Membros é o tratamento por parte da Europol dos pedidos de acesso dos titulares dos dados, para os quais é agora competente mesmo quando um Estado-Membro é o proprietário dos dados.
O primeiro provedor de direitos fundamentais foi nomeado em dezembro de 2022. Nos dois primeiros anos do seu mandato, não recebeu nem apresentou quaisquer queixas ao diretor executivo. O GCPC continuou a acompanhar de perto as atividades da Europol e não emitiu quaisquer recomendações desde que as novas disposições entraram em vigor. O Parlamento Europeu criou o Fórum Consultivo para os Direitos Fundamentais do GCPC em fevereiro de 2024.
3.4.Análise custo-benefício das novas competências e funções da Europol em matéria de tratamento de dados pessoais
Tendo em conta a fase inicial de aplicação das disposições introduzidas pelo Regulamento (UE) 2022/991, e a experiência limitada com as mesmas, é prematuro para a Comissão retirar conclusões significativas sobre as novas disposições a partir de uma análise custo-benefício.
Os serviços da Comissão recolheram informações da Europol sobre os custos suportados até à data no âmbito da execução operacional do Regulamento (UE) 2022/991 no que diz respeito às disposições em análise. Estes custos totalizaram aproximadamente 25 milhões de EUR (cerca de 5 % da dotação total atribuída à Europol) entre 2022 e 2025, consistindo principalmente em custos pontuais. Até à data, os Estados-Membros não incorreram em novos custos relevantes especificamente relacionados com o Regulamento (UE) 2022/991.
A maior parte dos custos (quase 17 milhões de EUR) correspondeu a investimentos significativos no desenvolvimento de novas estruturas TIC, na aplicação das disposições em matéria de investigação e inovação (o ambiente de testagem ODIN), e em sistemas de informação destinados ao intercâmbio de dados pessoais com os organismos privados (PERCI e EU CARES). Os custos em termos de recursos humanos (RH), relacionados com as TIC e com as operações, representaram aproximadamente um terço das despesas totais (cerca de 8 milhões de EUR). Os RH representarão os principais custos recorrentes a longo prazo.
Importa salientar que os 8 milhões de EUR acima referidos não incluem os custos de RH para a Unidade de Gestão da Informação (UGI) nem os recursos associados a medidas de supervisão (anteriores e novas) que têm um caráter horizontal, para os quais não é possível proceder a uma desagregação ao nível da aplicação de disposições específicas. Os custos desses recursos não são negligenciáveis. Por exemplo, em 2023, estimou-se que 60 equivalentes a tempo completo (ETC) (quase 5 % do pessoal da Europol) estavam envolvidos em atividades em organismos de garantia/supervisão e em entidades de supervisão/consultadoria. A Europol atribuiu 25 ETC aos esforços de resposta à supervisão da proteção de dados e às correspondentes medidas de garantia. Tal inclui o seguimento das recomendações da AEPD, bem como o trabalho realizado no contexto de consultas prévias para o tratamento de dados operacionais. Dezasseis desses 25 ETC estão especificamente envolvidos em atividades relacionadas com os requisitos da AEPD. Em junho de 2025, a Europol dispõe de uma equipa específica de oito membros do pessoal a tempo inteiro no domínio da proteção de dados, incluindo o EPD.
De acordo com a Europol e quinze Estados-Membros, espera-se que os benefícios das novas competências e funções em matéria de tratamento de dados pessoais, em especial a análise de conjuntos de dados complexos e volumosos, bem como a cooperação com os organismos privados, sejam significativos e superem os custos associados. Nenhum Estado-Membro manifestou uma opinião diferente. É razoável esperar alguns ganhos de eficiência a longo prazo, graças a economias de escala e à diminuição dos custos marginais. Um Estado-Membro salientou que «é importante que a Europol disponibilize os recursos TIC necessários para fornecer e continuar a desenvolver as ferramentas para a aplicação das novas possibilidades do Regulamento (UE) 2022/991», o que também foi respaldado por dois outros Estados-Membros e outras partes interessadas.
Na opinião da Europol e de cinco Estados-Membros, as eventuais ineficiências na execução também devem ser abordadas no âmbito do atual quadro de governação, administração e proteção de dados, a fim de evitar comprometer o impacto operacional das novas funções em matéria de tratamento de dados pessoais, atrasando ou restringindo a sua utilização. Cinco Estados-Membros questionaram a aplicação demasiado prudente das regras de proteção de dados por parte da Europol e do seu Conselho de Administração, sob a orientação da AEPD. Sugerem que a flexibilidade concedida pelos colegisladores deve ser utilizada de forma adequada para maximizar a eficácia e a eficiência das funções da Europol e assegurar a sua pertinência e rentabilidade a longo prazo.
Uma avaliação dos métodos de trabalho da Europol e dos potenciais domínios de simplificação está fora do âmbito do relatório nos termos do artigo 68.º, n.º 3, do Regulamento Europol e será realizada no âmbito da avaliação prevista nos termos do artigo 68.º, n.º 1, do referido regulamento.
4.Conclusões e rumo a seguir
Em suma, as principais constatações preliminares da Comissão são que os Estados-Membros mantêm o seu apoio ao papel desempenhado pela Europol nos domínios fundamentais em que esta atualmente lhes presta assistência com as suas novas funções em matéria de tratamento de dados pessoais. No entanto, para maximizar os benefícios das novas competências em matéria de tratamento de dados pessoais, na opinião de algumas partes interessadas, será necessário resolver eventuais ineficiências, nomeadamente no âmbito do atual quadro de governação, administração e proteção de dados. Seria igualmente útil atenuar a complexidade e a fragmentação do quadro jurídico, que pode desencorajar os profissionais de utilizarem as novas possibilidades.
De um modo geral, a Comissão não encontrou provas de que as novas regras tivessem tido um impacto negativo nos direitos fundamentais, em especial graças a garantias sólidas em matéria de proteção de dados, que também facilitam o fluxo de informações, aumentando a confiança dos parceiros. Para alguns Estados-Membros, a Agência privilegiou uma abordagem conservadora, embora deva ser feita uma utilização adequada da flexibilidade concedida pelos colegisladores no que diz respeito à categorização dos titulares dos dados, à avaliação de impacto sobre a proteção de dados, à consulta prévia da Autoridade Europeia para a Proteção de Dados e ao tratamento dos pedidos de direitos de acesso.
Tendo em conta o período geralmente curto de aplicação das novas regras de proteção de dados pessoais previstas no Regulamento (UE) 2022/991, os dados recolhidos não são, no entanto, conclusivos em todas as questões.
Na sua ProtectEU, a Estratégia Europeia de Segurança Interna
, a Comissão anunciou que irá propor uma revisão ambiciosa do mandato da Europol para fazer face à escalada dos desafios em matéria de segurança. De acordo com as suas Orientações para Legislar Melhor, a Comissão lançou preparativos para avaliar o Regulamento Europol e os métodos de trabalho da Europol, abrindo caminho a uma proposta da Comissão, em 2026, para tornar a Agência mais operacional, conforme estabelecido nas orientações políticas. Em julho de 2025, a Comissão publicou o convite à apreciação e encomendou um estudo externo para apoiar a avaliação do Regulamento Europol e a avaliação de impacto para a nova proposta. A avaliação do Regulamento Europol realizada para efeitos da elaboração do presente relatório destina-se a contribuir para essa avaliação.